Uzasadnienie
Przedmiotem niniejszej sprawy jest skarga J. M. na decyzję Samorządowego Kolegium Odwoławczego z dnia 20 maja 2016 r. nr [...].
Z akt sprawy wynika, że zaskarżona decyzja wydana została w następujących okolicznościach faktycznych i prawnych:
W dniu 7 marca 2016 r. do Urzędu Gminy wpłynął wniosek skarżącego o następującej treści: "w nawiązaniu do pisma z dnia 13.10.2015 r. zawierającego informację o bezczynności administratora bezpieczeństwa informacji w przedmiocie sprawdzenia zgodności przetwarzania danych osobowych z przepisami o ochronie danych osobowych, uprzejmie proszę o informację czy nastąpiło już sprawdzenie tej zgodności, oraz czy sporządzono sprawozdanie, o który mowa w art. 36a ust. 2 pkt 1 lit. a ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych. W razie sporządzenia sprawozdania, wnoszę o jego udostępnienie w dowolnej formie".
W odpowiedzi, Wójt Gminy, przy piśmie z dnia 18 marca 2016 r., przekazał wnioskującemu kopię sprawozdania z dokonanego w dniu 3 listopada 2015 r. sprawdzenia planowanego zgodności przetwarzania danych osobowych z przepisami o ochronie danych osobowych po usunięciu (przysłonięciu) z niego zapisów dotyczących: wykazu podjętych czynności sprawdzających, opisu stwierdzonego stanu faktycznego oraz stwierdzonych przypadków naruszenia przepisów o ochronie danych osobowych a także podjętych środków naprawczych.
W dniu 22 marca 2016 r. skarżący złożył w Urzędzie Gminy pismo, w którym zażądał podania podstawy prawnej nieujawnienia całości sprawozdania, a w przypadku istnienia takiej podstawy prawnej – niezwłocznego wydania decyzji o odmowie udostępnienia informacji publicznej, pod rygorem skierowania skargi na bezczynność.
W rezultacie, Wójt Gminy, decyzją z dnia 29 marca 2016 r. nr [...], wydaną na podstawie art. 16 ust. 1 w związku z art. 5 ust. 1 ustawy z dnia 6 września 2001 r. o dostępie do informacji publicznej (Dz.U. z 2015 r., poz. 2058 z późn. zm.), odmówił udostępnienia wnioskującemu informacji publicznej w zakresie wskazanym we wniosku. Uzasadniając wydane rozstrzygniecie, Wójt wskazał, że wnioskodawca w ustawowym terminie otrzymał wnioskowaną przez niego informację publiczną w takim zakresie, w jakim dopuszczają to przepisy prawa. Prawo do objętych tym wnioskiem informacji, a zawartych w sprawozdaniu ze sprawdzenia dokonanego przez administratora bezpieczeństwa informacji w dniu 3 listopada 2015 r., podlega bowiem ograniczeniom ze względu na przysługujący im walor tajemnicy ustawowo chronionej, o której mowa w art. 39 ust. 2 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych, a dotyczącej sposobów zabezpieczenia danych osobowych przetwarzanych przez organ.
W sprawozdaniu tym zawarte są bowiem ustalenia w zakresie zabezpieczeń stosowanych w Urzędzie Gminy w celu ochrony przetwarzanych w nim danych osobowych, w tym dotyczące systemów informatycznych, a przywołany art. 39 ust. 2 stanowi, że osoby, które zostały upoważnione do przetwarzania danych, są obowiązane zachować w tajemnicy te dane osobowe oraz sposoby ich zabezpieczenia. Tak więc wszystkie osoby, które w sposób uprawniony weszły w posiadanie danych osobowych oraz poznały sposoby ich zabezpieczenia mają obowiązek chronić te informacje przed dostępem osób nieuprawnionych. W związku z powyższym informacje w tym przedmiocie nie podlegają udostępnieniu w trybie określonym w ustawie o dostępie do informacji publicznej.
Nie zgadzając się ze stanowiskiem wyrażanym przez Wójta Gminy, J. M. wniósł odwołanie od powyższej decyzji, domagając się jej uchylenia. Skarżący wyjaśnił, że złożył wniosek o udostępnienie informacji publicznej z dnia 7 marca 2016 r., gdyż w dniu 25 sierpnia 2015 r., nieustalony pracownik Urzędu Gminy, korzystając z adresu poczty elektronicznej [...], przesłał mu sporządzoną przez Sekretarza Gminy informację o Konkursie [...], w formie załącznika do wiadomości, w formule korespondencji seryjnej wysłanej do 206 różnych adresatów. Działanie to spowodowało ujawnienie każdemu z tych 206 adresatów adresów poczty elektronicznej wszystkich pozostałych adresatów. W ramach korespondencji prowadzonej z Urzędem w okresie od 25 sierpnia 2015 r. do 7 marca 2016 r. otrzymał szereg informacji dotyczących stosowanych w Urzędzie Gminy środków ochrony danych osobowych i na ich podstawie stwierdził, że Urząd Gminy pozyskał jego adres poczty elektronicznej z akt sprawy prowadzonej w przedmiocie udostępnienia informacji publicznej.
Nie udało mu się jednak ustalić czy ujawnienie danych osobowych (adresów e-mail) nastąpiło z naruszeniem zasad ochrony danych osobowych, czy też było uprawnioną formą ich przetwarzania. Dlatego też, pismem z dnia 16 września 2015 r., domagał się udostępnienia sprawozdania ze sprawdzenia zgodności przetwarzania danych osobowych z przepisami o ochronie danych osobowych ale, pismem z dnia 13 października 2015 r., Sekretarz Gminy poinformował go, że takowe sprawdzenie nie zostało sporządzone. W ocenie skarżącego przepis art. 39 ust. 2 ustawy o ochronie danych osobowych nie może stać na przeszkodzie w udostępnieniu sprawozdania ze sprawdzenia zgodności przetwarzania danych z przepisami o ochronie danych osobowych. Przepis ten adresowany jest bowiem do osób upoważnionych przez administratora danych do przetwarzania danych a sporządzenie sprawozdania ze sprawdzenia zgodności przetwarzania danych z przepisami o ochronie danych osobowych nie jest przetwarzaniem danych i sporządza je administrator bezpieczeństwa danych a nie osoba upoważniona do przetwarzania danych.
Sprawozdanie nie stanowi ponadto zbioru danych osobowych i jako takie nie podlega żadnemu przetwarzaniu. Skarżący zaznaczył przy tym, że nie interesują go żadne dane osobowe, a celem jego jest ustalenie, czy organ przetwarzając (ujawniając) jego dane osobowe naruszył zasady ochrony danych osobowych, czy też nie.
Zaskarżoną w niniejszej sprawie decyzją z dnia 20 maja 2016 r. Samorządowe Kolegium Odwoławcze utrzymało w mocy decyzję Wójta Gminy z dnia 29 marca 2016 r. stwierdzając, że jest ona prawidłowa i zasadna w świetle przepisów obowiązującego prawa. W ocenie Kolegium, żądana przez skarżącego informacja w postaci sprawozdania ze sporządzenia przez administratora bezpieczeństwa informacji sprawozdania w zakresie sprawdzenia zgodności przetwarzania danych osobowych z przepisami o ochronie danych osobowych, o którym mowa w art. 36a ust. 2 pkt 1 lit a ustawy o ochronie danych osobowych, stanowi informację publiczną w świetle przepisów ustawy o dostępie do informacji publicznej. Jednakże informacja ta nie może być udostępniona w trybie ustawy o dostępie do informacji publicznej ze względu na ograniczenie określone w art. 5 ust. 1 tej ustawy w zw. z art. 39 ust. 2 ustawy o ochronie danych osobowych.
Kolegium wyjaśniło przy tym, że z akt sprawy wynika, iż sporządzone 3 listopada 2015 r. sprawozdanie ze sprawdzenia planowego zgodności przetwarzania danych osobowych z przepisami o ochronie danych osobowych dotyczy przestrzegania przez wybranych pracowników określonych technicznych i organizacyjnych środków służących zabezpieczeniu przetwarzania danych osobowych na danych stanowiskach pracy. W związku z czym dane sprawozdania w postaci ustaleń faktycznych i podjętych działań naprawczych mieszczą się w sferze informacji chronionych na mocy art. 39 ust. 2 ustawy o ochronie danych osobowych, zgodnie z którym osoby, które zostały upoważnione do przetwarzania danych, są obowiązane zachować w tajemnicy te dane osobowe oraz sposoby ich zabezpieczenia.
W ocenie Kolegium, ujawnienie tych danych mogłoby odnieść negatywne konsekwencje dla skuteczności stosowanych zabezpieczeń, przyczyniając się tym samym do nieuprawnionego dostępu do posiadanej bazy danych osobowych. Odnosząc się zaś do argumentów podniesionych w odwołaniu, Kolegium wyjaśniło, że skarżący otrzymał żądaną informację publiczną w takim zakresie, w jakim dopuszczają to przepisy prawa, a ochrona informacji objętych tajemnicą ustawową czy też informacji niejawnych związana jest z koniecznością dokonania anonimizacji danych, określonej przepisem art. 7 pkt 2 ustawy o ochronie danych osobowych, służącej ograniczeniu dostępu do danych osobowych. Kolegium wyjaśniło również, że objęte wnioskiem sprawozdanie sporządzone zostało przez administratora bezpieczeństwa informacji powołanego przez administratora danych a nie przez "administratora bezpieczeństwa danych" a przepis art. 39 ust. 2 ustawy o ochronie danych osobowych adresowany jest do wszystkich osób upoważnionych do przetwarzania danych osobowych, w tym właśnie do administratora bezpieczeństwa informacji.
We wniesionej do Sądu skardze skarżący domagał się uchylenia zarówno zaskarżonej decyzji Samorządowego Kolegium Odwoławczego z dnia 20 maja 2016 r. jak i poprzedzającej ją decyzji Wójta Gminy z dnia 29 marca 2016 r., jako wydanych z nieuzasadnionym zastosowaniem art. 5 ust. 1 ustawy o dostępie do informacji publicznej w związku z błędnym zastosowaniem art. 39 ust. 2 ustawy o ochronie danych osobowych. W ocenie skarżącego, w niniejszej sprawie nie może być mowy o naruszeniu art. 39 ust. 2 ustawy o ochronie danych osobowych, gdyż obowiązek zachowania w tajemnicy danych osobowych oraz sposobów ich zabezpieczenia został nałożony tym przepisem na osoby posiadające upoważnienie do przetwarzania danych nadane na podstawie art. 37 ustawy przez administratora danych a sprawozdanie ze sprawdzenia zgodności przetwarzania danych osobowych z przepisami o ochronie danych osobowych udostępnia administrator danych, a nie osoba przez niego upoważniona do przetwarzania danych.
Ponadto, sprawozdanie sporządzone zgodnie z przepisami art. 36c ustawy o ochronie danych osobowych, w ogóle nie powinno zawierać danych osobowych oraz informacji o sposobie ich zabezpieczenia, o których mowa w art 39 ust. 2 tej ustawy. Uzasadniając podniesione zarzuty skarżący wskazał jednocześnie, że nie ma on możliwości skorzystania z prawa do kontroli przetwarzania danych, o którym mowa w art. 32 ust. 1 ustawy o ochronie danych osobowych, gdyż zawierający jego dane osobowe zbiór mailingowy utworzony w Urzędzie Gminy ani nie został zgłoszony przez administratora danych do rejestru prowadzonego przez Głównego Inspektora Danych Osobowych, ani nie jest ujęty w rejestrze zbiorów danych prowadzonych przez administratora bezpieczeństwa informacji.
Ponadto, skarżący mógłby wnioskować o uruchomienie przez Generalnego Inspektora Ochrony Danych Osobowych procedury kontrolnej lub upominawczej, o których stanowią przepisy art. 12 pkt 1 i 6 ustawy o ochronie danych osobowych, ale w sytuacji, gdy dokonane sprawdzenie zgodności przetwarzania danych z przepisami o ochronie danych osobowych doprowadziło już do ujawnienia nieprawidłowości oraz wdrożenia działań naprawczych, takie wnioski stają się zbędne.
W odpowiedzi na skargę Samorządowe Kolegium Odwoławcze wniosło o jej oddalenie, w pełni podtrzymując stanowisko i argumentację przedstawioną w uzasadnieniu zaskarżonej decyzji.
Rozpoznając wniesioną skargę, Wojewódzki Sąd Administracyjny w Gdańsku zważył, co następuje
Kontrolowana decyzja Samorządowego Kolegium Odwoławczego z dnia 20 maja 2016 r. jak i poprzedzająca ją decyzja Wójta Gminy z dnia 29 marca 2016 r. są zgodne z prawem.
Wniosek J. M. z dnia 7 marca 2016 r. zainicjował postępowanie w sprawie udzielenia informacji publicznej, które uregulowane zostało przepisami ustawy z dnia 6 września 2001 r. o dostępie do informacji publicznej (Dz.U. z 2015 r, poz. 2058 ze zm.).
Niesporne w sprawie jest, że w świetle przepisów tej ustawy Wójt Gminy jest podmiotem zobowiązanym do udzielania posiadanych informacji publicznych. Zgodnie bowiem z treścią art. 4 ust. 1 pkt 1 obowiązane do udostępniania informacji publicznej są władze publiczne oraz inne podmioty wykonujące zadania publiczne, w szczególności organy władzy publicznej. Przy czym, organami władzy publicznej, w rozumieniu powołanego przepisu, są też organy samorządu terytorialnego, a więc organy gminy, powiatu i województwa (zob. I. Kamińska, M. Rozbicka – Ostrowska, Ustawa o dostępie do informacji publicznej. Komentarz, Wydawnictwo Wolters Kluwer, Warszawa 2016 r., str. 94).
Niesporne w sprawie jest również, że w świetle przepisów ustawy o dostępie do informacji publicznej, sporządzane dla Wójta Gminy, będącego administratorem danych przez administratora bezpieczeństwa informacji sprawozdanie ze sprawdzenia zgodności przetwarzanych w Urzędzie Gminy danych osobowych z przepisami o ochronie danych osobowych tj. sprawozdanie, o którym mowa w art. 36a ust. 2 pkt 1 lit a ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych – stanowi informację publiczną. Sprawozdanie to dotyczy realizacji zadań publicznych z zakresu ochrony danych osobowych przez organ władzy publicznej i mimo, że rzeczony dokument służy głównie do użytku wewnętrznego to dotyczy on materii publicznej czyli dokumentacji ochrony danych osobowych w Urzędzie Gminy (por. wyrok Wojewódzkiego Sądu Administracyjnego w Olsztynie z dnia 5 stycznia 2016 r., sygn. akt II SAB/Ol 72/15, dostępny na stronie internetowej https://orzeczenia.nsa.gov.pl).
Stosownie bowiem do treści art. 36 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz.U. z 2015 r., poz. 2135 ze zm.) administrator danych jest obowiązany zastosować środki techniczne i organizacyjne zapewniające ochronę przetwarzanych danych osobowych odpowiednią do zagrożeń oraz kategorii danych objętych ochroną, a w szczególności powinien zabezpieczyć dane przed ich udostępnieniem osobom nieupoważnionym, zabraniem przez osobę nieuprawnioną, przetwarzaniem z naruszeniem ustawy oraz zmianą, utratą, uszkodzeniem lub zniszczeniem.
Zgodnie zaś z treścią art. 1 ust. 1 ustawy o dostępie do informacji publicznej każda informacja o sprawach publicznych stanowi informację publiczną w rozumieniu ustawy i podlega udostępnieniu i ponownemu wykorzystywaniu na zasadach i w trybie określonych w ustawie. Informacją publiczną jest zatem każda wiadomość wytworzona lub odnoszona do władz publicznych, a także wytworzona lub odnoszona do innych podmiotów wykonujących funkcje publiczne w zakresie wykonywania przez nie zadań władzy publicznej i gospodarowania mieniem komunalnym lub mieniem Skarbu Państwa. Informacja publiczna dotyczy sfery faktów. Jest nią treść dokumentów wytworzonych przez organy władzy publicznej, treść wystąpień i ocen przez nie dokonywanych, niezależnie, do jakiego podmiotu są one kierowane i jakiej sprawy dotyczą (zob. wyrok Naczelnego Sądu Administracyjnego z dnia 28 lutego 2013 r., sygn. akt I OSK 2904/12, dostępny na stronie internetowej https://orzeczenia.nsa.gov.pl).
W szczególności zaś, zgodnie z art. 6 ust. 1 ustawy, udostępnieniu podlega informacja publiczna o: zasadach funkcjonowania podmiotów, o których mowa w art. 4 ust. 1, w tym o prowadzonych rejestrach, ewidencjach i archiwach oraz o sposobach i zasadach udostępniania danych w nich zawartych (art. 6 ust. 1 pkt 3 lit f) oraz o danych publicznych, w tym treść i postać dokumentów urzędowych, w szczególności dokumentacja przebiegu i efektów kontroli oraz wystąpienia, stanowiska, wnioski i opinie podmiotów ją przeprowadzających (art. 6 ust. 1 pkt 4 lit a).
W ocenie Sądu, orzekające w sprawie organy prawidłowo oceniły przy tym, że żądana przez skarżącego informacja publiczna w zakresie sposobów zabezpieczenia danych osobowych przetwarzanych przez organ nie może zostać udostępniona z uwagi na ochronę tajemnic ustawowo chronionych.
Przy czym Wójt Gminy, przy piśmie z dnia 18 marca 2016 r., przekazał skarżącemu kopię sprawozdania z dokonanego w dniu 3 listopada 2015 r. sprawdzenia planowanego zgodności przetwarzania danych osobowych z przepisami o ochronie danych osobowych po usunięciu (przysłonięciu) z niego zapisów dotyczących: wykazu podjętych czynności sprawdzających, opisu stwierdzonego stanu faktycznego oraz stwierdzonych przypadków naruszenia przepisów o ochronie danych osobowych a także podjętych środków naprawczych.
Konstytucja Rzeczypospolitej Polskiej w art. 61 ust. 1 stanowi, że obywatel ma prawo do uzyskiwania informacji o działalności organów władzy publicznej oraz osób pełniących funkcje publiczne. Prawo to obejmuje również uzyskiwanie informacji o działalności organów samorządu gospodarczego i zawodowego, a także innych osób oraz jednostek organizacyjnych w zakresie, w jakim wykonują one zadania władzy publicznej i gospodarują mieniem komunalnym lub majątkiem Skarbu Państwa. Prawo do uzyskiwania informacji obejmuje dostęp do dokumentów oraz wstęp na posiedzenia kolegialnych organów władzy publicznej pochodzących z powszechnych wyborów, z możliwością rejestracji dźwięku lub obrazu (ust. 2). Ograniczenie prawa, o którym mowa w ust. 1 i 2, może nastąpić wyłącznie ze względu na określone w ustawach ochronę wolności i praw innych osób i podmiotów gospodarczych oraz ochronę porządku publicznego, bezpieczeństwa lub ważnego interesu gospodarczego państwa (ust. 3).
Jak wynika z brzmienia przywołanych norm konstytucyjnych dostęp do informacji publicznej nie ma charakteru absolutnego i uprawnienie to może być w pewnych sytuacjach ograniczone. Stosownie do treści art. 31 ust. 3 Konstytucji RP ograniczenia w zakresie korzystania z konstytucyjnych wolności i praw mogą być ustanawiane tylko w ustawie i tylko wtedy, gdy są konieczne w demokratycznym państwie dla jego bezpieczeństwa lub porządku prawnego, bądź też dla ochrony środowiska, zdrowia i moralności publicznej, albo wolności i praw innych osób.
Na ograniczenia w dostępie do informacji publicznej wskazuje art. 5 ustawy o dostępie do informacji publicznej, określając m.in. w ust. 1, że prawo do informacji publicznej podlega ograniczeniu w zakresie i na zasadach określonych w przepisach o ochronie informacji niejawnych oraz o ochronie innych tajemnic ustawowo chronionych.
Z brzmienia tego przepisu wynika, że informacje, które wymagają zabezpieczenia przed nieuprawnionym ujawnieniem, jako stanowiące tajemnicę państwową, uregulowane zostały przede wszystkim w ustawie z dnia 5 sierpnia 2010 r. o ochronie informacji niejawnych. Poza informacjami niejawnymi istnieje kilkadziesiąt różnego rodzaju tajemnic chronionych ustawowo, które stanowią ograniczenie prawa dostępu do informacji publicznej. W doktrynie przyjmuje się, iż zazwyczaj ochrona ta wynika m.in z tajemnicy adwokackiej, radcowskiej, lekarskiej, bankowej, ubezpieczeniowej, notarialnej, ochrony danych osobowych, itd., będzie mieściła się w kategorii ochrony porządku publicznego lub praw i wolności osób trzecich (zob. M. Kałczyński, Komentarz do art. 5 ustawy o dostępie do informacji publicznej, LEX el).
Na potrzeby niniejszej sprawy wskazać należy, że ustawa z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz.U. z 2015 r., poz. 2135 ze zm.) w art. 1 ust. 1 i 2 stanowi, iż każdy ma prawo do ochrony dotyczących go danych osobowych, a przetwarzanie danych osobowych może mieć miejsce ze względu na dobro publiczne, dobro osoby, której dane dotyczą, lub dobro osób trzecich w zakresie i trybie określonym ustawą. Zgodnie z art. 2 ust. 1 tej ustawy, ustawa określa zasady postępowania przy przetwarzaniu danych osobowych oraz prawa osób fizycznych, których dane osobowe są lub mogą być przetwarzane w zbiorach danych. Podkreślenia wymaga, iż ustawa o ochronie danych osobowych określa zasady postępowania przy przetwarzaniu danych osobowych, co koresponduje z art. 5 ust. 1 ustawy o dostępie do informacji publicznej.
Nie można przy tym mieć wątpliwości, iż zasady postępowania przy przetwarzaniu danych osobowych jest pojęciem szerszym niż samo przetwarzanie danych osobowych i obejmuje swym zasięgiem również zabezpieczanie danych osobowych, co znajduje odzwierciedlenie w Rozdziale 5 tej ustawy o ochronie danych osobowych (zob. wyrok Wojewódzkiego Sądu Administracyjnego z dnia 21 grudnia 2015 r., sygn. akt II SA/Wa 1261/15, dostępny na stronie internetowej https://orzeczenia.nsa.gov.pl). Zgodnie z art. 36 tej ustawy administrator danych jest obowiązany zastosować środki techniczne i organizacyjne zapewniające ochronę przetwarzanych danych osobowych odpowiednią do zagrożeń oraz kategorii danych objętych ochroną, a w szczególności powinien zabezpieczyć dane przed ich udostępnieniem osobom nieupoważnionym, zabraniem przez osobę nieuprawnioną, przetwarzaniem z naruszeniem ustawy oraz zmianą, utratą, uszkodzeniem lub zniszczeniem (ust. 1).
Administrator danych prowadzi dokumentację opisującą sposób przetwarzania danych oraz środki, o których mowa w ust. 1 (ust. 2). Z treści art. 36a ust. 2 pkt 1 wynika, że dokumentem takim jest m.in. sporządzane dla administratora danych przez administratora bezpieczeństwa informacji sprawozdanie zgodności przetwarzania danych osobowych z przepisami o ochronie danych osobowych.
Zauważyć przy tym należy, że w świetle art. 39 ust. 2 ustawy o ochronie danych osobowych, osoby, które zostały upoważnione do przetwarzania danych, są obowiązane zachować w tajemnicy te dane osobowe oraz sposoby ich zabezpieczenia. Choć ustawodawca nie podaje, jakie konkretnie środki mają być zastosowane przez administratora danych to przyjąć należy, że obowiązki administratora wynikają z postawionych mu zadań a więc administrator ma zapewnić ochronę przetwarzanych danych osobowych. Tak ujęty obowiązek jest następnie uszczegółowiony w ten sposób, że wskazane zostały najistotniejsze zadania polegające na zabezpieczeniu danych przed ich: a) udostępnieniem osobom nieupoważnionym, b) zabraniem przez osobę nieuprawnioną, c) uszkodzeniem, d) zniszczeniem, e) zmianą, f) utratą, g) przetwarzaniem z naruszeniem ustawy. Zadania te powinny być zrealizowane przez zastosowanie odpowiednich, należy przez to rozumieć: skutecznych, środków technicznych i organizacyjnych.
Ustawodawca nie przesądza, jakie to mają być środki. Mogą być one różnego rodzaju, od rozwiązań architektoniczno-budowlanych przez systemy alarmowe i służby ochrony aż po środki technicznego i czysto informatycznego charakteru (karty chipowe, kody dostępu, systemy kodujące i przeciwdziałające hakerstwu). Administrator powinien dzięki nim wyeliminować wystąpienie opisanych wyżej szkodliwych zdarzeń, a gdy to niemożliwe - maksymalnie ograniczyć ryzyko ich pojawienia się (zob. J. Barta, P. Fajgielski, R. Markiewicz, Komentarz do art. 36 ustawy o ochronie danych osobowych, LEX el).
W doktrynie, obowiązek wynikający z art. 39 ust. 2 ustawy o ochronie danych osobowych, traktowany jest jako tajemnica zawodowa. Oznacza to, iż podobnie jak tajemnica adwokacka, lekarska, bankowa i inne podlega prawnej ochronie. Wskazuje się przy tym, że tajemnica osoby upoważnionej do przetwarzania danych osobowych (odpowiednio zobowiązanej do zachowania w tajemnicy sposobu ich zabezpieczenia) to tajemnica publicznoprawna, ustanowiona w drodze ustawy (wyznaczającej zakres informacji objętych ochroną), a ustawa o ochronie danych osobowych przewiduje zasady odpowiedzialności za naruszenie tajemnicy (por. G. Sibiga, Tajemnica osoby upoważnionej do przetwarzania danych osobowych (w:) Ochrona danych osobowych. Skuteczność regulacji, red. G. Szpor, Warszawa 2009, s. 237). Zwraca się też uwagę, że tajemnica ta powinna być kwalifikowana jako tajemnica funkcyjna, a nie zawodowa, gdyż upoważnienie do przetwarzania danych może zostać nadane nie tylko pracownikom administratora, ale także innym osobom podlegającym administratorowi, a instytucja upoważnienia nie została powiązana z wykonywaniem określonych zawodów.
Obowiązek zachowania danych osobowych i systemów zabezpieczeń tych danych w tajemnicy oznacza przy tym zakaz ich ujawniania innym osobom, przekazywania, wykorzystywania. Naruszenie tego obowiązku może skutkować odpowiedzialnością karną przewidzianą nie tylko w art. 51 i 52 ustawie o ochronie danych osobowych, ale również w kodeksie karnym. W świetle przepisu art. 266 § 1 kodeksu karnego kto wbrew przepisom ustawy lub przyjętemu na siebie zobowiązaniu ujawnia lub wykorzystuje informację, z którą zapoznał się w związku z pełnioną funkcją, wykonywaną pracą, działalnością publiczną, społeczną, gospodarczą lub naukową, podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do lat 2. Zgodnie z § 2 wskazanego powyżej artykułu funkcjonariusz publiczny, który ujawnia osobie nieuprawnionej informację niejawną o klauzuli "zastrzeżone" lub "poufne" lub informację, którą uzyskał w związku z wykonywaniem czynności służbowych, a której ujawnienie może narazić na szkodę prawnie chroniony interes, podlega karze pozbawienia wolności do lat 3. Ściganie przestępstwa określonego w art. 266 § 1 kodeksu karnego następuje na wniosek pokrzywdzonego.
Niewątpliwie, racjonalny ustawodawca nie dopuszcza do sytuacji, w której z jednej strony przepisem ustawowym nakazuje podmiotowi pod rygorem odpowiedzialności karnej zachowanie w poufności informacji o sposobach zabezpieczania danych osobowych, zaś z drugiej innym przepisem rangi ustawowej wyłącza ten obowiązek. W takich sytuacjach trzeba mieć na względzie pewną spójność systemu prawa, która w tym przypadku ustanawia prymat ochrony informacji nad prawem do jej uzyskania przez obywatela. Zwłaszcza jeśli weźmie się pod uwagę, iż organ nie odmawia udostępnienia informacji o danych ogólnych, lecz danych zindywidualizowanych, o stosowanych rozwiązaniach technicznych, a wchodzących w skład sytemu ochrony danych osobowych (zob. wyrok Wojewódzkiego Sądu Administracyjnego z dnia 21 grudnia 2015 r., sygn. akt II SA/Wa 1261/15, dostępny na stronie internetowej https://orzeczenia.nsa.gov.pl).
Powyższe niewątpliwie wskazuje, że żądana przez skarżącego informacja w zakresie sposobów zabezpieczania danych osobowych przetwarzanych przez organ korzysta z ochrony prawnej określonej w art. 39 ust. 2 ustawy o ochronie danych osobowych. Tym samym, uznać należało, że orzekające w sprawie organy prawidłowo zastosowały w niniejszej sprawie dyspozycję przepisu art. 16 ust. 1 ustawy o dostępie do informacji publicznej wydając decyzję o odmowie udostępnienia takiej informacji (zob. I. Kamińska, M. Rozbicka – Ostrowska, Ustawa o dostępie do informacji publicznej. Komentarz, Wydawnictwo Wolters Kluwer, Warszawa 2016 r., str. 112).
Mając powyższe na uwadze, Wojewódzki Sąd Administracyjny w Gdańsku, działając na podstawie art. 151 ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (Dz.U. z 2016 r., poz. 718 ze zm.), oddalił wniesioną w niniejszej sprawie skargę.