Uzasadnienie
Generalny Inspektor Ochrony Danych Osobowych decyzją z dnia [...] września 2012 r. utrzymał w mocy swoją poprzedzającą decyzję z dnia [...] maja 2012 r. o odmowie uwzględnienia wniosku J. J. w sprawie udostępnienia przez Politechnikę [...] w [...] M. B. informacji o jego niepełnosprawności i o umorzeniu postępowania w pozostałym zakresie. Podstawę prawną wydania decyzji stanowiły przepisy art. 138 § 1 pkt 1 Kpa oraz art. 12 pkt 2, art. 22 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (tekst jedn. Dz. U. z 2002 r. nr 101, poz. 926 ze zm.).
W uzasadnieniu decyzji organ wskazał, co następuje:
J. J. zwrócił się do Generalnego Inspektora Ochrony Danych Osobowych ze skargą na udostępnienie przez Politechnikę [...] z siedzibą w [...]informacji o jego niepełnosprawności na rzecz M. B. oraz na przetwarzanie przez Politechnikę [...], po ukończeniu przez niego studiów, informacji o jego prywatnym adresie e-mail w celu przesyłania korespondencji za pomocą środków komunikacji elektronicznej. Zażądał: usunięcia wszelkich uchybień związanych z powyższą sprawą; sprawdzenia, czy jego dane o niepełnosprawności, jakie przedstawił w dziekanacie Politechniki [...] były w przeszłości należycie przechowywane i zabezpieczone; zastosowania dodatkowych środków zabezpieczających dane niepełnosprawnych studentów, które nie dopuszczą do ich wycieku; wyjaśnienia przyczyny przesłania mu maila, co miało miejsce prawie rok po ukończeniu studiów; wyjaśnienia faktycznej przyczyny ujawnienia jego wrażliwych danych osobowych osobie do tego niepowołanej - M. B.; ustalenia, czy stypendium dla osób niepełnosprawnych było przyznawane na okres roku akademickiego oraz czy na jego realizację miało wpływ przedawnienie orzeczenia o stopniu niepełnosprawności w trakcie roku akademickiego.
Ponadto J. J. zasugerował Generalnemu Inspektorowi Ochrony Danych Osobowych, by skierował do Rektora Politechniki [...] pouczenie służące poprawie ochrony wrażliwych danych studentów i zażądał wszczęcia postępowania dyscyplinarnego przeciwko osobom winnym naruszeń w procesie przetwarzania jego danych osobowych, a także skierowanie do organów ścigania zawiadomienia o podejrzeniu popełnienia przestępstwa.
Organ ustalił następujące okoliczności faktyczne.
- 1. Skarżący jest absolwentem Wydziału [...] Politechniki [...] w [...]. Studia ukończył w lipcu 2008 r.
- 2. Skarżący posiada orzeczenie o niepełnosprawności.
- 3. W dniu [...] maja 2008 r. skarżący został poproszony do pokoju kierowniczki Dziekanatu Wydziału [...] Politechniki [...] w [...], M. K., w którym obecna była też koleżanka z grupy studenckiej skarżącego, M. B.. W jej obecności kierowniczka Dziekanatu zapytała skarżącego, czy posiada aktualizację orzeczenia o niepełnosprawności, upoważniającego go do dalszego otrzymywania stypendium dla osób niepełnosprawnych, zgodnie z Regulaminem Pomocy Materialnej dla Studentów.
- 4. W tymże dniu skarżący ze swojej prywatnej skrzynki elektronicznej [...] wysłał na adres dyrektora Instytutu [...] wiadomość faktycznie adresowaną do M. K., w której zarzucił, iż celowo dopuściła do sytuacji, w której świadkiem rozmowy była M. B..
W dalszej korespondencji ze skarżącym, M. K. wyraziła żal z powodu zaistniałej sytuacji, a następnie za sugestią skarżącego zobowiązała się przeprowadzić rozmowę z M. B. w celu zapewnienia skarżącemu dyskrecji. W jednej z kolejnych kierowanych do M. K. wiadomości skarżący oznajmił, że sprawę uważa za zamkniętą.
5. W dniu [...] grudnia 2009 r. na adres prywatnej skrzynki mailowej skarżącego, z której uprzednio korespondował w sprawie kwestionowanego zdarzenia z M. K., otrzymał wiadomość zwrotną z adresu [...] o treści "odczytano w dniu 2009-12-[...] 07:42". Z opisu wiadomości wynikało, że dotyczyła wiadomości przesłanej przez skarżącego w dniu [...] maja 2008 r. o godz. 12:56. (wydruk wiadomości zwrotnej w aktach sprawy).
6. W wyjaśnieniach złożonych przez GIODO, Rektor Politechniki [...] w [...] wskazał, że w świetle notatki sporządzonej przez Kierownika Dziekanatu M. K., nie udostępniła ona informacji o niepełnosprawności skarżącego M. B.. Z wyjaśnień wynika, że M. B. mogła być świadkiem rozmowy na temat doniesienia przez skarżącego orzeczenia brakującego w dokumentacji stypendialnej, ale nie była ona świadoma sensu prowadzonej przez nich rozmowy. Zdaniem Rektora, za powyższym miał przemawiać fakt, iż na wniosek skarżącego została w terminie późniejszym przeprowadzona rozmowa ze świadkiem, mająca na celu wybadać, czy M. B. mogła zostać poinformowana o niepełnosprawności skarżącego. Z rozmowy z M. B. wynikało, że do tego faktu nie doszło.
7. Odnosząc się do zarzutu Skarżącego, dotyczącego przetwarzania przez Politechnikę [...] jego adresu prywatnej skrzynki mailowej, Rektor wskazał, że dnia [...] maja 2008 r. skarżący zainicjował korespondencję z prywatnego konta mailowego, ponieważ domagał się wyjaśnienia wspomnianej sprawy; co więcej w korespondencji po przeprosinach ze strony Kierownika Dziekanatu M. K., sprawę uznał za zamkniętą. Naturalną sprawą jest, że korespondencja, zainicjowana przez ówczesnego studenta, jest zwrotnie adresowana w odpowiedzi na ten sam adres e-mail. Wyjaśnieniem przesłania korespondencji z adresu [...] w dniu [...] grudnia 2009 r. jest odebranie jedynie zwrotnego potwierdzenia otrzymania ostatniego listu wysłanego przez skarżącego. Jako wytłumaczenie faktu, że wiadomość ta przesłana została do skarżącego w dniu [...] grudnia 2009 r., M. K. w notatce z dnia [...] stycznia 2012 r., załączonej do pisma zawierającego wyjaśnienia Rektora Politechniki [...], wskazała, że sytuację taką może wytłumaczyć faktem, iż J. J. zainicjował korespondencję na jej służbowy adres elektroniczny ze swojego prywatnego adresu, i oczekiwał potwierdzenia odebrania wiadomości z dnia [...] maja 2008 r. W tym okresie (grudzień 2009) M. K. zmieniała komputer stacjonarny, stąd jedynie może wytłumaczyć, że przy przenoszeniu danych z komputera mogło nastąpić potwierdzenie zwrotne korespondencji tak odległe w czasie. M. K. zaznaczyła, że nie przetwarzała danych osobowych skarżącego. Ponadto Rektor oświadczył, że Politechnika nie przetwarza adresu e-mail skarżącego.
8. Do ww. pisma Rektora Politechniki [...] załączono pismo Pełnomocnika Rektora Politechniki [...] ds. Osób Niepełnosprawnych, w których wskazano, że "na Politechnice [...] od [...] lipca 2008 r. funkcjonuje Biuro ds. Osób Niepełnosprawnych, które zajmuje się sprawami studentów niepełnosprawnych. Biuro zostało umieszczone w dwóch pokojach w Centrum Kultury Studenckiej »[...]« (...). Biuro jest miejscem, które pozwala na dyskretny kontakt studentów Politechniki [...] funkcjonuje stanowisko Pełnomocnika Dziekana ds. Osób Niepełnosprawnych, którzy wspierają studentów i są w stanie zapewnić im warunki do rozmowy zapewniające pełną dyskrecję. Są to osoby, które w kontakcie z niepełnosprawnymi studentami stosują zasadę poufności. Wszystko odbywa się zgodnie z przepisami o ochronie danych osobowych. Jeżeli chodzi o dane kontaktowe naszych niepełnosprawnych studentów, to są one ściśle chronione i nie są w żaden sposób rozpowszechniane."
Wskazując na powyższe ustalenia, Generalny Inspektor, decyzją administracyjną z dnia [...] maja 2012 r. odmówił uwzględnienia wniosku J. J. w sprawie udostępnienia przez Politechnikę [...] informacji o jego niepełnosprawności na rzecz M. B., a w pozostałym zakresie umorzył postępowanie.
W wyniku wniosku zainteresowanego o ponowne rozpatrzenie sprawy, decyzją z dnia [...] września 2012 r., organ utrzymał poprzedzające rozstrzygnięcie w mocy.
Na podstawie materiału dowodowego, zgromadzonego w sprawie, Generalny Inspektor dokonał jedynie oceny legalności przetwarzania danych osobowych J. J. przez Politechnikę [...] w [...], stosownie do art. 12 ustawy o ochronie danych osobowych.
Organ wskazał, iż nie dysponuje żadnymi dowodami na potwierdzenie okoliczności przedstawionych w skardze. J. J. oparł skargę jedynie na swoich podejrzeniach, nie przedstawiając żadnych dowodów na ich potwierdzenie. Zgromadzony w sprawie materiał dowodowy wskazuje tylko, że M. B. była obecna podczas rozmowy M. K. ze skarżącym, gdy kierowniczka dziekanatu zapytała go, czy posiada aktualne orzeczenie o niepełnosprawności.
Generalny Inspektor przyznał, że w ten sposób ww. osoba niewątpliwie umożliwiła M. B. zapoznanie się z informacją o stanie zdrowia skarżącego, jednak zaznaczono, że brak jest dowodów do uznania, że informacja ta została przez M. B. pozyskana. Teoretycznie w warunkach lokalowych (w jakich była prowadzona rozmowa) możliwe byłoby pozyskanie przez M. B. informacji o stanie zdrowia skarżącego w związku z rozmową między nim a M. K., jednak brak jest dowodu, że do tego doszło. Ponadto z wyjaśnienia Rektora Politechniki [...] wynika, że na wniosek skarżącego została w terminie późniejszym przeprowadzona rozmowa ze świadkiem, mająca na celu wybadać, czy M. B. mogła zostać poinformowana o niepełnosprawności skarżącego. Ustalono, że do tego faktu nie doszło.
Generalny Inspektor przyznał, że działanie kierowniczki Dziekanatu Wydziału [...] Politechniki [...], polegające na umożliwieniu M. B. pozyskania szczególnie chronionych danych skarżącego, naruszyło przepisy ustawy o ochronie danych osobowych. Nadrzędnym obowiązkiem administratora danych osobowych, w myśl art. 26 ust. 1 pkt 1 ustawy, jest dołożenie szczególnej staranności w celu ochrony interesów osób, których dane dotyczą. Art. 36 ust. 1 ustawy zobowiązuje do zastosowania środków technicznych i organizacyjnych zapewniających ochronę przetwarzanych danych osobowych, a w szczególności zabezpieczenia danych przed ich udostępnieniem osobom nieupoważnionym.
W tej sprawie wskutek niezastosowania przez pracownika Politechniki [...] - M. K., odpowiednich środków technicznych i organizacyjnych zapewniających ochronę przetwarzanych danych, doszło do niekontrolowanego przetwarzania danych osobowych skarżącego i zaistniała sytuacja, w której osoba nieupoważniona do przetwarzania jego danych wrażliwych miała możliwość zapoznania się z nimi. Jednakże chociaż poczynione w sprawie ustalenia faktyczne i prawne wskazują na naruszenie przepisów ustawy o ochronie danych osobowych wobec skarżącego, to brak jest podstaw do zastosowania art. 18 ust. 1 ustawy. Organ uznał, że nakaz taki byłby niemożliwy do wykonania ze względu na charakter kwestionowanego zachowania, mianowicie jego nieodwracalność.
Wobec zarzutu podniesionego we wniosku o ponowne rozpatrzenie sprawy, że GIODO nie zajął jednoznacznego stanowiska odnośnie braku w trakcie studiów skarżącego Biura ds. Osób Niepełnosprawnych na Politechnice [...] w [...] i związaną z tym koniecznością składania przez niego podań o stypendium dla osób niepełnosprawnych w nieprzystosowanych do tej czynności dziekanatach uczelni, wskazać należy, że organ nie badał procedur dotyczących udzielania przez tę uczelnię stypendiów dla osób niepełnosprawnych, o co wnosił skarżący w skardze do GIODO. Organ wskazał w rozstrzygnięciu na wyjaśnienia Rektora Politechniki [...], że została utworzona ww. komórka organizacyjna, która zajmuje się sprawami studentów niepełnosprawnych, co szczegółowo opisano w stanie faktycznym decyzji. Generalny Inspektor nie badał zaś kwestii organizacji ww. Biura ani powodów jego nieistnienia w trakcie studiów skarżącego na tej uczelni (w przeszłości), które to zagadnienia nie mieszczą się w katalogu zadań organu.
Ze względu na utworzenie ww. Biura, organ uznał za niecelowe skorzystanie z uprawnienia skierowania do Politechniki [...] w [...] wystąpienia zmierzającego do zapewniania skutecznej ochrony danych osobowych.
We wniosku o ponowne rozpatrzenie sprawy skarżący uznał za nieprawdziwe twierdzenie Rektora Politechniki [...], że nie przetwarza adresu e-mail skarżącego.
Postępowanie administracyjne prowadzone przez Generalnego Inspektora w zakresie przetwarzania przez ww. uczelnię, po ukończeniu studiów przez skarżącego, informacji o jego prywatnym adresie e-mail, w celu przesyłania korespondencji za pomocą środków komunikacji elektronicznej dotyczyło adresu [...], co wynika z załączników do pisma skarżącego do GIODO z dnia [...] listopada 2011 r. Generalny Inspektor stwierdził, że postępowanie w tym zakresie należy umorzyć na zasadzie art. 105 § 1 Kpa. Z materiału dowodowego zebranego w sprawie wynika bowiem, że Politechnika [...] w [...] aktualnie nie przetwarza prywatnego adresu e-mail skarżącego.
Natomiast odnośnie zarzutu skarżącego, dotyczącego przetwarzania w związku z tą sprawą przez Politechnikę [...] jego drugiego prywatnego adresu e-mail, zauważyć należy, że został on podniesiony dopiero we wniosku o ponowne rozpatrzenie sprawy. W tej sytuacji brak jest podstaw do oceny zasadności tego zarzutu w toku postępowania odwoławczego, skoro skarżący nie uczynił go przedmiotem skargi inicjującej postępowanie przed Generalnym Inspektorem Ochrony Danych Osobowych.
Odnosząc się do zarzutu, że GIODO pominął wniosek skarżącego o wszczęcie postępowania dyscyplinarnego wobec M. K. i ówczesnego Dziekana Wydziału [...] Politechniki [...] oraz, że nie przekazał akt niniejszej sprawy administracyjnej do Prokuratury Rejonowej [...] w [...], stwierdzić należy, że jest on bezpodstawny. Generalny Inspektor Ochrony Danych Osobowych nie formułuje wniosków o wszczęcie postępowania dyscyplinarnego ani karnego oraz zawiadomień o podejrzeniu popełnienia przestępstwa na wniosek. Powyższe działania stanowią bowiem autonomiczną decyzję organu.
J. J. wniósł do Wojewódzkiego Sądu Administracyjnego w Warszawie skargę na powyższą decyzję Generalnego Inspektora Ochrony Danych Osobowych, wnosząc o jej uchylenie wraz z decyzją poprzedzającą.
W uzasadnieniu skargi oraz w dodatkowych pismach procesowych skarżący kwestionował zasadność ustaleń faktycznych dokonanych przez organ oraz podnosił opieszałe działanie organu w niniejszej sprawie.
W odpowiedzi na skargę organ wniósł o jej oddalenie, wskazując na argumentację zawartą w uzasadnieniu zaskarżonej decyzji. Natomiast uczestnik postępowania nie zajął stanowiska w sprawie.
Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje
Stosownie do treści art. 13 § 2 Prawo o postępowaniu przed sądami administracyjnymi (t. j. Dz. U. z 2012 r. poz. 270 ze zm.), do rozpoznania sprawy właściwy jest wojewódzki sąd administracyjny, na którego obszarze właściwości ma siedzibę organ administracji publicznej, którego działalność została zaskarżona.
Natomiast zgodnie z treścią art. 1 § 1 i 2 ustawy z dnia 25 lipca 2002 r. Prawo o ustroju sądów administracyjnych (Dz. U. nr 153, poz. 1269 ze zm.), sąd administracyjny sprawuje wymiar sprawiedliwości poprzez kontrolę pod względem zgodności z prawem zaskarżonej decyzji administracyjnej i to z przepisami obowiązującymi w dacie jej wydania.
Skarga jest niezasadna.
Organ w swojej decyzji prawidłowo wytknął Rektorowi Politechniki [...] w [...] nieprawidłowy sposób załatwiania sprawy J. J. przez kierowniczkę Dziekanatu Wydziału [...] w dniu [...] maja 2008 r. Naruszono tu art. 26 ust. 1 pkt 1 i art. 36 ust. 1 ustawy o ochronie danych osobowych. W tej sprawie wskutek niezastosowania odpowiednich środków technicznych i organizacyjnych, zapewniających ochronę przetwarzanych danych, doszło do niekontrolowanego przetwarzania wrażliwych danych osobowych skarżącego i zaistniała sytuacja, w której osoba nieupoważniona do przetwarzania jego danych wrażliwych - M. B. - miała możliwość zapoznania się z nimi. Jednakże, co prawidłowo ustalił organ, M. B. nie była zainteresowana rozmową skarżącego z kierowniczką Dziekanatu i dlatego danych wrażliwych skarżącego faktycznie nie pozyskała.
Zatem w takim materiale faktycznym sprawy właściwe jest ograniczenie się organu jedynie do wytknięcia tej nieprawidłowości i zaniechanie stosowania środków przewidzianych w art. 18 ustawy. Takie działanie organu jest tym bardziej uzasadnione, iż Politechnika [...] w [...] wprowadziła komórki organizacyjne, które zajmują się sprawami studentów niepełnosprawnych. Zatem sytuacja skarżącego była incydentalna i w zasadzie nie doprowadziła do faktycznego wycieku jego danych wrażliwych, a nadto obecnie wobec powyższych zmian organizacyjnych nie ma możliwości załatwiania spraw studentów niepełnosprawnych w taki sposób, jak to miało miejsce w dniu [...] maja 2008 r. w stosunku do J. J. W tym materiale sprawy ustalenia organu są zgodne z ustalonym w decyzji stanem faktycznym sprawy. Działania organu są także proporcjonalne do skali i rozmiaru naruszenia ustawy o ochronie danych osobowych. Wojewódzki Sąd Administracyjny w Warszawie w pełni podziela zasadność takiego załatwienia sprawy przez Generalnego Inspektora Ochrony Danych Osobowych.
Natomiast podniesione w skardze zarzuty, co do powyższych ustaleń, nie mają żadnego oparcia w materiale dowodowym i stanowią jedynie zespół subiektywnych odczuć i przekonań skarżącego. Zatem zasadne było odmowne załatwienie wniosku skarżącego i w pozostałym zakresie umorzenie postępowania, jak to uczynił organ w decyzji z dnia [...] maja 2012 r. i utrzymanie w mocy tego rozstrzygnięcia, decyzją z dnia [...] września 2012 r.
W uzasadnieniu zaskarżonej decyzji organ bardzo szczegółowo odniósł się do wszystkich zarzutów zawartych we wniosku o ponowne rozpatrzenie sprawy i wykazał ich niezasadność.
Brak jest dowodów na potwierdzenie zarzutu dalszego (po zakończeniu studiów) przetwarzania danych osobowych skarżącego, w szczególności jego adresu elektronicznego przez Politechnikę [...] w [...], poza danymi związanymi bezpośrednio z korespondencją w niniejszej sprawie – co jest zrozumiałe.
Także nie mogą stanowić przedmiotu rozpoznania przez organ w trybie wniosku o ponowne rozpatrzenie sprawy nowe zarzuty dotyczące przetwarzania danych osobowych skarżącego, podniesione po wydaniu decyzji z dnia [...] maja 2012 r. Trafnie argumentuje tu organ, iż takie zarzuty powinny być zgłoszone we wniosku inicjującym sprawę, bądź co najpóźniej, w czasie rozpatrywania sprawy na etapie gromadzenia materiału do wydania decyzji poprzedzającej, a nie jako zarzuty wniosku o ponowne rozpatrzenie sprawy.
Wojewódzki Sąd Administracyjny w Warszawie w pełni podziela zasadność stanowiska organu w zakresie zarzutu braku powiadomienia o przestępstwie organów ścigania oraz w zakresie ewentualnego zainicjowania postępowania dyscyplinarnego wobec pracownika Politechniki.
Podniesione w skardze zarzuty przewlekłości postępowania nie mogą stanowić przedmiotu skutecznego zaskarżania w tej sprawie.
Skoro skarżący twierdzi, iż organ w sposób przewlekły prowadził jego sprawę, mógł składać skargę na bezczynność organu w rozpatrywaniu jego wniosku, czego nie uczynił.
Reasumując, skarga jest chybiona, zaskarżona decyzja Generalnego Inspektora Ochrony Danych Osobowych i utrzymana nią w mocy decyzja poprzedzająca z dnia [...] maja 2012 r. nie naruszają prawa. Organ prawidłowo przywołał i zastosował przepisy prawne leżące u podstaw rozstrzygnięcia. Wojewódzki Sąd Administracyjny w Warszawie nie dopatrzył się w niniejszej sprawie naruszenia prawa, które skutkowałoby uchyleniem zaskarżonej decyzji albo stwierdzeniem jej nieważności i dlatego, mając na uwadze art. 151 ustawy Prawo o postępowaniu przed sądami administracyjnymi, orzekł jak w sentencji.