Wyrok Wojewódzkiego Sądu Administracyjnego w Warszawiez 23 czerwca 2022 r., sygn. akt II SA/Wa 3752/21

Uzasadnienie

Zaskarżoną decyzją - przywołując, art. 58 ust. 2 lit. b rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz.Urz. UE L. nr 119. str. 1, ze zm.), zwanego dalej "RODO" - wobec skargi p. K. B., zwanego dalej "Wnioskodawcą", na nieprawidłowości w procesie przetwarzania jego danych osobowych przez [...] Sp. z o.o. w likwidacji, zwaną dalej "Spółką", udzielono jej upomnienia za naruszenie art. 6 ust. 1 w zw. z art. 5 ust. 1 lit. f RODO, polegające na udostępnieniu bez podstawy prawnej danych osobowych Wnioskodawcy, podmiotom nieuprawnionym.

W uzasadnieniu decyzji przywołano następujące okoliczności faktyczne i prawne uwarunkowania sprawy:

1. - do organu wpłynęła skarga Wnioskodawcy na udostępnieniu przez Spółkę jego danych osobowych podmiotom nieuprawnionym,
2. - w toku prowadzonego postępowania administracyjnego ustalono następujący stan faktyczny;
3. - Wnioskodawca wskazał w skardze, że Spółka - bez jego wiedzy i zgody - udostępniła w dniach [...] marca 2020 r. jego dane osobowe podmiotom nieuprawnionym (tak: pismo Wnioskodawcy z [...] czerwca i [...] sierpnia 2020 r. wraz z załącznikami),
4. - Spółka przetwarza dane osobowe Wnioskodawcy od [...] listopada 2018 r. - dnia, w którym zarejestrował się na stronie [...] oraz zawarł ze Spółką Ramową Umowę [...]; zakres przetwarzanych danych osobowych Wnioskodawcy obejmuje: imię, nazwisko, PESEL, serię i numer dokumentu tożsamości, obywatelstwo, miejsce urodzenia, numer rachunku bankowego, adres zamieszkania czy korespondencyjny, adres zameldowania, adres e-mail, numer telefonu komórkowego, numer telefonu pracodawcy, nazwę pracodawcy, zatrudnienie (rodzaj umowy), przychód miesięczny netto, źródło przychodu, ilość osób na pozostających utrzymaniu, stan cywilny, wykształcenie, hasło do profilu klienta na [...] (tak: wyjaśnienia Spółki z [...] września 2020 r.),
5. - wedle wyjaśnień Spółki przetwarza ona dane osobowe Wnioskodawcy w następujących celach:

podjęcia na żądanie klienta działań zmierzających do zawarcia umowy ze Spółką, w tym podjęcia czynności przygotowawczych poprzedzających zawarcie umowy (podstawa prawna: art. 6 ust. 1 lit. b RODO) oraz dokonania oceny zdolności kredytowej i analizy ryzyka kredytowego (podstawa prawna: art. 6 ust. 1 lit. c RODO), wykonania umowy zawartej ze Spółką (podstawa prawna: art. 6 ust. 1 lit. b RODO), w tym dokonania oceny zdolności kredytowej i analizy ryzyka kredytowego w trakcie trwania umowy (podstawa prawna: art. 6 ust. 1 lit. c RODO), zarzadzania ryzykiem kredytowym i analizy ryzyka kredytowego, po wygaśnięciu umowy zawartej ze Spółką (podstawa prawna: art. 6 ust. 1 lit. a RODO), wypełniania nałożonych na Spółkę obowiązków prawnych - zgodnie z przepisami dotyczącymi prowadzenia działalności przez instytucje pożyczkowe - a także w celu wykonania obowiązków wynikających z decyzji lub orzeczeń wydawanych przez uprawione organy, instytucje lub sądy, a także zaleceń lub rekomendacji, wydawanych przez organy lub instytucje publiczne (podstawa prawna: art. 6 ust. 1 lit. c RODO), prowadzenia marketingu bezpośredniego usług świadczonych przez Spółkę poprzez ich promowanie, reklamowanie i oferowanie (podstawa prawna: art. 6 ust. 1 lit. a RODO - w zakresie, w jakim klient wyraził odpowiednie zgody), wewnętrznych celach administracyjnych Spółki, w tym prowadzenia analizy zarządczej, analiz statystycznych, badania tendencji rynkowych i raportowania na potrzeby wewnętrzne Spółki (podstawa prawna: art. 6 ust. 1 lit. f RODO), przekazywania danych osobowych klienta innym podmiotom z grupy kapitałowej, do której należy Spółka, gdy byłoby to niezbędne w celu realizacji usprawiedliwionego interesu Spółki (podstawa prawna: art. 6 ust. 1 lit. a lub f RODO), przekazywania danych osobowych klienta podmiotom, prowadzącym systemy wymiany informacji o klientach lub potencjalnych klientach instytucji pożyczkowych, banków, instytucji kredytowych, innych instytucji, ustawowo upoważnionym do udzielania kredytów oraz podmiotów, o których mowa w art. 59 d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim (Dz.U. z 2016 r., poz. 1528), w przypadku udzielenia przez klienta zgody (upoważnienia) na takie przekazanie danych (podstawa prawna: art. 6 ust. 1 lit. a RODO) oraz – w przypadkach określonych przepisami prawa - także pomimo braku udzielenia takiej zgody (podstawa prawna: art. 6 ust. 1 lit. c RODO);

poza tymi celami, Spółka przetwarza dane osobowe Wnioskodawcy w innych prawnie dopuszczalnych celach (cel drugorzędny), gdy cel pierwszorzędny i drugorzędny były ze sobą ściśle powiązane; w ramach tego Spółka działając na podstawie art. 6 ust. 1 lit. f RODO przetwarzała dane Wnioskodawcy także w następujących celach drugorzędnych: (a) audyty lub postępowania wyjaśniające, lub (b) wdrożenie mechanizmów kontroli zarządczej, lub (c) prowadzenie badań statystycznych, (d) doradztwo biznesowe, ekonomiczne lub prawne (tak: wyjaśnienia Spółki z [...] września 2020 r.),

1. - Spółka wskazała, że - na podstawie umowy z [...] marca 2018 r. w przedmiocie powierzenia przetwarzania danych osobowych - udostępniła dane osobowe Wnioskodawcy [...] Sp. z o. o., zwanej dalej Spółka II; to podmiot należący do tej samej grupy kapitałowej co Spółka; odpowiada ona m.in. za obsługę strony internetowej ([...]), w tym aplikacji służącej do składania wniosków o pożyczkę oraz systemu obsługi klienta,
2. - Spółka wyjaśniła, że - w wyniku błędu pracownika Spółki II, polegającego na braku zabezpieczenia w dniach [...] marca 2020 r. danych osobowych Wnioskodawcy - doszło do ich udostępnienia w zakresie: imię, nazwisko, PESEL, serię numer dokumentu tożsamości, NIP, obywatelstwo, miejsce urodzenia, numer rachunku bankowego, adres korespondencyjny, adres zameldowania, adres e-mail, numer telefonu stacjonarnego, numer telefonu komórkowego, poprzedni numer telefonu komórkowego (jeśli uległ zmianie), numer telefonu pracodawcy, adres e-mail osoby, której klient rekomendował pożyczkę (jeśli rekomendował), nazwę pracodawcy, zatrudnienie (rodzaj umowy), przychód miesięczny netto, źródło przychodu, ilość osób na pozostających utrzymaniu, stan cywilny, wykształcenie, hasło do profilu klienta na [...] (tak: wyjaśnienia Spółki z [...] września 2020 r. wraz z załącznikami oraz z [...] kwietnia 2021 r.); zdarzenie to będzie określane dalej mianem "Incydent",
3. - jak wskazała Spółka, poinformowano Wnioskodawcę o zgłoszonym do Prezesa Urzędu Ochrony Danych Osobowych Incydencie za pośrednictwem: wiadomości SMS ze zmienionym hasłem wysyłanej [...] marca 2020 r., wiadomości e-mail – [...] marca 2020 r., wiadomości e-mail z [...] marca 2020 r., wiadomości SMS z dodatkowymi informacjami o zmianie hasła wysłanej [...] marca 2020 r., oraz poprzez zamieszczenie [...] marca 2020 r. informacji na stronie internetowej Spółki w zakładce "Oświadczenie [...] na temat bezpieczeństwa danych osobowych" (tak: wyjaśnienia Spółki z [...] września 2020 r.),
4. - przepisem uprawniającym administratorów danych do przetwarzania zwykłych danych osób fizycznych jest art. 6 ust. 1 RODO; zgodnie z nim, przetwarzanie danych jest dopuszczalne tylko, gdy spełniono jedną z przesłanek - wskazanych w tym przepisie; ich katalog jest zamknięty, zaś każda ma charakter autonomiczny i niezależny,
5. - na administratorze danych osobowych, którym w rozumieniu art. 4 pkt 7 RODO jest Spółka, ciąży obowiązek prawny przetwarzania danych osobowych zgodnie z obowiązującymi przepisami - w szczególności zapewnienia by przetwarzanie odbywało się na podstawie co najmniej jednej z enumeratywnie wymienionych przesłanek art. 6 ust. 1 RODO,
6. - art. 5 ust. 1 lit. f RODO nakłada też na administratora danych obowiązek przetwarzania danych osobowych zgodnie z zasadą integralności i poufności; oznacza to, że administrator powinien zapewnić odpowiednie bezpieczeństwo danych osobowych - w tym ochronę przed niedozwolonym lub niezgodnym z prawem przetwarzaniem oraz przypadkową utratą, zniszczeniem lub uszkodzeniem, za pomocą odpowiednich środków technicznych lub organizacyjnych,
7. - zgodnie z art. 28 ust. 1 RODO to na administratorze spoczywa obowiązek wyboru takiego podmiotu przetwarzającego, który zapewnia wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych, aby przetwarzanie spełniało wymogi tego rozporządzenia i chroniło prawa osób, których dane dotyczą,
8. - w złożonych wyjaśnieniach Spółka przyznała, że - w wyniku błędu pracownika Spółki II, z którą zawarła umowę powierzenia przetwarzania danych osobowych, polegającego na braku zabezpieczenia w dniach [...] – [...] marca 2020 r. danych osobowych Wnioskodawcy - doszło do udostępnienia danych osobie nieuprawnionej; przy tym udostępnieniu nie spełniono żadnej z przesłanek, legalizujących proces przetwarzania danych osobowych, określonych w art. 6 ust. 1 RODO; ustalone okoliczności potwierdzają, że - w przedmiotowej sprawie - doszło do udostępnienia danych osobowych Wnioskodawcy na rzecz nieznanego, nieuprawnionego odbiorcy; nie znajdowało to oparcia w żadnej z przesłanek legalizujących proces przetwarzania danych osobowych, wyrażonych w art. 6 ust. 1 RODO,
9. - niezależnie od tego,
10. - w niniejszym postępowaniu, zainicjowanym indywidualną skargą - organ właściwy do spraw ochrony danych osobowych może oceniać wyłącznie legalność przetwarzania danych; natomiast ogólne - stosowane przez administratora danych w procesach ich przetwarzania - praktyki, w tym sposoby zabezpieczeń, jak również ich adekwatność oraz skuteczność, mogą być jedynie przedmiotem postępowania, wszczętego przez organ z urzędu; podobne stanowisko zajął Wojewódzki Sąd Administracyjny w wyroku z 7 stycznia 2016 r. (sygn. akt II SA/Wa 1238/15, dostępny na stronie internetowej orzeczenia.nsa.gov.pl/cbo/query - w Centralnej Bazie Orzeczeń Sądów Administracyjnych, zwanej dalej "CBOSA"), które pozostaje aktualne także w obecnym stanie prawnym; wskazano tam: "(...) sprawy dotyczące zabezpieczenia danych osobowych (...) mogą być jedynie przedmiotem postępowania wszczętego z urzędu przez Generalnego Inspektora",
11. - skarga do organu nie służy kontroli zabezpieczenia danych na wniosek osoby, której dane dotyczą; funkcją skargi jest egzekwowanie przestrzegania przepisów o ochronie danych osobowych w operacjach przetwarzania danych, które bezpośrednio wpływają na osobę, której przetwarzane dane dotyczą, ocena prawidłowości zabezpieczeń następuje zatem wyłącznie w postępowaniu wszczętym przez organ z urzędu; przyjęcie przeciwnego stanowiska oznaczałoby de facto możliwość zapoznania się przez wnioskodawcę - w ramach postępowania przed organem - ze sposobem zabezpieczenia przez administratora danych (w tym danych innych osób); samo w sobie zmniejszałoby to poziom ochrony danych oraz mogło zwiększyć ryzyko naruszenia ochrony danych osobowych; prowadzone przez organ postępowanie nie jest zatem ukierunkowane na pozyskanie informacji na temat stosowanych przez administratora danych zabezpieczeń oraz na przekazanie tychże informacji na rzecz osób fizycznych, zainteresowanych sprawą,
12. - ocena organu służy w każdym przypadku zbadaniu zasadności skierowania pod adresem określonego podmiotu decyzji, odpowiadającej dyspozycji art. 58 ust. 2 RODO - w celu przywróceniu stanu zgodnego z prawem w procesie przetwarzania danych; jest więc uzasadniona i potrzebna tylko o tyle, o ile nieprawidłowości w procesie przetwarzania danych osobowych istnieją; na podstawie art. 58 ust. 2 RODO przysługują organowi uprawnienia naprawcze - w tym udzielanie upomnień administratorowi lub podmiotowi przetwarzającemu w przypadku naruszenia przepisów RODO, przez operacje przetwarzania (lit. b); mając powyższe na uwadze - w realiach niniejszej sprawy, z uwagi na charakter przedmiotowego udostępnienia - właściwe jest zastosowanie wobec Spółki upomnienia za stwierdzone naruszenie przepisów o ochronie danych osobowych - art. 6 ust. 1 RODO w zw. z art. 5 ust. 1 lit. f; przetwarzanie danych osobowych Wnioskodawcy, polegające ich na udostępnieniu w dniach [...] - [...] marca 2020 roku na rzecz nieznanej i nieuprawnionej osoby stanowiło naruszenie norm z zakresu ochrony danych osobowych.

W skardze Spółka, reprezentowana przez pełnomocnika – adwokata, zarzuciła naruszenie przepisów:

1. - prawa materialnego:
2. - art. 6 ust. 1 RODO, polegające na błędnym przyjęciu, że przepis ten miał w sprawie zastosowanie - w zakresie podstawy prawnej udostępnienia danych; tymczasem Incydent - polegający na cyberataku na bazę danych oraz uzyskanie dostępu do niej przez nieznaną osobę trzecią - nie oznacza, że Spółka udostępniła dane osobowe na rzecz nieznanej osoby trzeciej;
3. - art. 6 ust. 1 oraz art. 5 ust. 1 lit. f RODO, polegające na błędnym przyjęciu, że ważność podstawy prawnej przetwarzania danych zależy od odpowiedniego zabezpieczenia danych osobowych; tymczasem zasada zgodności z prawem (art. 5 ust. 1 lit. a RODO) jest niezależna od zasady integralności i poufności (art. 5 ust. 1 lit. f RODO), zaś ewentualne naruszenie wymogów bezpieczeństwa - art. 32 RODO - nie oznacza automatycznie, że dane były przetwarzane bez ważnej podstawy prawnej,
4. - postępowania:
5. - art. 6, 7, 8 § 1, art. 77 § 1 oraz art. 80 ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego (Dz.U. z 2021 r., poz. 735 ze zm.), zwanej dalej "K.p.a.", polegające na braku zgromadzenia materiału dowodowego, pozwalającego uznać naruszenie zasady integralności i poufności oraz niezgodne z prawem przetwarzanie danych osobowych przez Spółkę za udowodnione,
6. - art. 8 § 1 i 2, art. 77 § 1 i 4 i art. 110 § 1 K.p.a., poprzez brak uwzględnienia znanego z urzędu faktu, że działanie Spółki - będące w istocie przedmiotem skargi Wnioskodawcy do organu, tzn. rzekome nieadekwatne zabezpieczenie przez Spółkę bazy danych osobowych użytkowników portalu [...],
7. - było już przedmiotem decyzji organu z [...] grudnia 2020 r.; orzeczenie to Spółka zaskarżyła do sądu administracyjnego (sprawa o sygn. akt II SA/Wa 528/21); ta sama kwestia jest również przedmiotem szeregu podobnych postępowań w sprawach indywidualnych; prowadzi to do wielokrotnej oceny tego samego działania lub zaniechania, wielokrotnego nakładania sankcji w różnych postępowaniach, jak również kształtowania sytuacji, gdy jeden i ten sam Incydent jest w części spraw uznany za naruszenie przez Spółkę przepisów prawa, a w innych nie.

Wniesiono o zasądzenie zwrotu kosztów postępowania sądowego.

W uzasadnieniu skargi rozwinięto powyższe zarzuty. Wskazano m.in.:

1. - art. 6 ust. 1 RODO dotyczy podstaw prawnych przetwarzania danych osobowych; w zależności od celów przetwarzania, dane osobowe - będące przedmiotem postępowania administracyjnego - były przetwarzane przez Spółkę w oparciu o art. 6 ust. 1 lit. a, b, c lub f RODO - stosownie do treści klauzuli informacyjnej, o której mowa w art. 13 i 14 RODO, przekazanej organowi w toku postępowania administracyjnego,
2. - jedną z czynności przetwarzania danych osobowych jest ich udostępnianie, które także powinno mieć odpowiednią podstawę prawną; udostępnianie danych osobowych jest z definicji działaniem aktywnym - polega na czynnym umożliwieniu dostępu do danych osobowych na rzecz odbiorcy; o nieuprawnionym udostępnieniu danych osobowych, można byłoby mówić, gdyby Spółka aktywnie przesłała będące przedmiotem postępowania dane osobowe stronom trzecim - nie posiadając w tym zakresie ważnej podstawy prawnej; podobnie, nie można mówić o nieuprawnionym ujawnieniu danych osobowych przez Spółkę,
3. - zdarzenie ocenione przez organ jako naruszenie art. 6 ust. 1 RODO (tzn. uzyskanie przez nieznaną osobę nieuprawnionego dostępu do bazy danych użytkowników portalu [...] w drodze cyberataku) nie stanowiło przetwarzania danych osobowych przez Spółkę; art. 6 ust. 1 RODO w ogóle nie miał zatem w tej sprawie zastosowania; istnieje zasadnicza różnica między udostępnieniem danych osobowych bez podstawy prawnej (przez Spółkę), a nieuprawnionym dostępem do danych osobowych (przez cyberprzestępców) - w niniejszej sprawie miał miejsce ten drugi przypadek,
4. - zdarzenie ocenione przez organ jako naruszenie art. 6 ust. 1 RODO, stanowiło naruszenie bezpieczeństwa, prowadzące do nieuprawnionego dostępu do danych osobowych; należało je zatem zakwalifikować jako naruszenie ochrony danych osobowych w rozumieniu art. 4 pkt 12 RODO; z tej perspektywy, organ mógł co najwyżej rozważyć poziom zabezpieczenia danych osobowych w świetle art. 5 ust. 1 lit. f lub art. 32 RODO; nie powinien zaś oceniać podstawy prawne przetwarzania danych osobowych; z kolei organ sam wskazał w swojej decyzji: "(...) sposoby zabezpieczeń, jak również ich adekwatność oraz skuteczność mogą być jedynie przedmiotem postępowania wszczętego przez organ z urzędu",
5. - nie uzasadniono decyzji - dlaczego istnieje możliwość zastosowania art. 6 ust. 1 RODO w zw. z art. 5 ust. 1 lit. f RODO; ewentualny brak ważnych podstaw prawnych przetwarzania danych osobowych, w rozumieniu art. 6 lub art. 9 RODO, może skutkować co najwyżej naruszeniem zasady zgodności z prawem - tzn. art. 5 ust. 1 lit. a RODO; nie ma to żadnego związku z zasadą integralności i poufności - jej naruszenie można stwierdzić w powiązaniu z art. 32 RODO, którym ustanowiono obowiązek stosowania odpowiednich środków bezpieczeństwa; jak sam stwierdził organ, będące przedmiotem niniejszej skargi postępowanie nie było nakierowane na zbadanie adekwatności stosowanych przez Spółkę środków bezpieczeństwa; w związku z tym - niezależnie od braku powiązania z art. 6 ust. 1 RODO - organ nie mógł też stwierdzić naruszenia zasady integralności i poufności (art. 5 ust. 1 lit. f RODO); konieczna byłaby do tego ocena adekwatności zastosowanych środków technicznych i organizacyjnych,
6. - obok błędnej kwalifikacji z perspektywy prawa materialnego, doszło do naruszenia przepisów postępowania; nawet przy hipotetycznym założeniu naruszenia przez Spółkę zasady integralności i poufności, organ nie oparł stwierdzonego przez siebie naruszenia art. 6 ust. 1 w zw. z art. 5 ust. 1 lit. f RODO na wystarczającym materiale dowodowym; nie ocenił adekwatności zastosowanych środków technicznych i organizacyjnych; w związku z tym nie było wystarczających podstaw do stwierdzenia, że doszło do naruszenia zasady integralności i poufności,
7. - Spółka była obowiązana - jako administrator danych osobowych, stosownie do art. 32 RODO - zapewnić bezpieczeństwo danych osobowych; obowiązek ten nie był natomiast absolutny, zaś - w zakresie dotyczącym niniejszej sprawy - zrealizowano go poprzez powierzenie przetwarzania danych wyspecjalizowanemu podmiotowi, który udzielił gwarancji zastosowania odpowiednich organizacyjnych i technicznych środków bezpieczeństwa danych osobowych,
8. - obowiązek administratora dotyczy zatem zastosowania środków odpowiednich, a nie stuprocentowego zapobieżenia wszelkim możliwym naruszeniom ochrony danych; idąc tokiem rozumowania organu, każdy nieuprawniony dostęp do danych - nawet o nieistotnym znaczeniu oraz przy najnowocześniejszych środkach bezpieczeństwa - uzasadniałby stwierdzenie, że administrator naruszył art. 6 ust. 1 w zw. z art. 5 ust. 1 lit. f RODO; organ mógłby ponadto stwierdzić takie naruszenie na podstawie samego zgłoszenia naruszenia - bez przeprowadzania postępowania dowodowego,
9. - niniejsze postępowanie to sprawą, gdzie możliwe jest nie tylko rozstrzygnięcie problemu Spółki, ale także nadania kierunku postępowaniom, prowadzonym przez organ w przypadku jednego dużego naruszenia ochrony danych osobowych oraz - powiązanym z nim - wielokrotnym skargom potencjalnie poszkodowanych osób,
10. - będące przedmiotem postępowania naruszenie dotyczyło ponad 140 tys. osób; Spółka zgłosiła naruszenie - stosownie do art. 33 i 34 RODO - zaś postępowanie główne w sprawie naruszenia i zarazem jedyne, w którym organ analizował stosowane przez nią środki bezpieczeństwa, jest prowadzone pod sygn. [...]; w postępowaniu tym organ wydał decyzję zaskarżoną do sądu administracyjnego; obok tego postępowania głównego, Spółkę obciążono indywidualnymi postępowaniami administracyjnymi ze skarg osób, które miały lub rozpoczęły rejestrację na portalu Spółki, jak również równoległymi powództwami o zadośćuczynienie; prowadzi to do absurdalnej sytuacji, gdy naruszenie, które w istocie wystąpiło po stronie podmiotu przetwarzającego, a nie samej Spółki, może teoretycznie powodować - po stronie Spółki - ciężar 140 tys. odrębnych postępowań administracyjnych i takiej samej ilości postępowań cywilnoprawnych (w razie, gdyby wszystkie osoby z bazy danych portalu wniosły skargi i powództwa),
11. - abstrahując od możliwej sumy wszystkich negatywnych dla Spółki skutków - w tym kosztów postępowań, kar pieniężnych i zadośćuczynień – zarzut wobec decyzji dotyczy przede wszystkim wielokrotnego wprowadzania do obrotu prawnego orzeczeń o sankcji za to samo naruszenie,
12. - prowadzi to do sytuacji, gdy nawet jeśli postępowanie główne (aktualnie pod sygn. akt II SA/Wa 528/21) zostanie prawomocnie zakończone orzeczeniem, z którego będzie wynikać brak naruszenia przepisów RODO po stronie Spółki, to inna decyzja w sprawie indywidualnej (taka jak decyzja będąca przedmiotem niniejszej skargi) będzie prawomocnie wskazywać, że ten sam stan faktyczny stanowił jednak naruszenie przepisów RODO po stronie Spółki; innymi słowy, w obrocie prawnym mogą w ten sposób funkcjonować sprzeczne rozstrzygnięcia i oceny tego samego stanu faktycznego - i to w postępowaniu przed tym samym organem; prawdopodobieństwo takiej sprzeczności potęguje to, że w zaskarżonej decyzji ani razu nie odwołano się do postępowania głównego (pod sygn. [...]); traktowano te postępowania jako zupełnie niezależne,
13. - doniosłość orzeczenia w danej sprawie nie tyczy tylko kwestii formalnej - prawidłowości zastosowania przepisów; rozstrzygnięcie będzie miało znaczenie dla praktyki organu, jak również ilości skarg do sądu administracyjnego, które Spółka będzie musiała składać w podobnych sprawach - w razie wydania analogicznych decyzji; rozstrzygnięcie będzie miało także znaczenie dla Spółki oraz podmiotów, znajdujących się w podobnych sytuacjach - kolejne wycieki danych - nawet mimo stosowania odpowiednich środków - są nieuniknione,
14. - Spółka od dawna znajduje się w procesie likwidacji, zwolniła większość pracowników i nie prowadzi już działalności operacyjnej; toczące się postępowania blokują możliwość dokończenia procesu likwidacji, zaś niezależne rozpatrywanie każdej indywidualnej sprawy - dotyczącej tego samego naruszenia - przedłuża ten niepożądany stan,
15. - właściwą byłaby interpretacja zasad postępowania analogicznie do art. 95 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz.U. z 2019 r. poz. 1781); sensem tego przepisu jest zawieszenie postępowań z powództw cywilnoprawnych do czasu prawomocnego zakończenia sprawy przed organem; dzięki temu, fakty są ustalane - co do zasady - w jednym postępowaniu; pozwala to na sprawne i spójne dokończenie pozostałych,
16. - wielokrotne stosowanie sankcji za jedno naruszenie jest bezzasadne, zaś kontynuowanie takiej praktyki może prowadzić do naruszenia art. 189f § 1 pkt 2 K.p.a.; stanowi on przykład zastosowania zasady ne bis in idem - na gruncie postępowania administracyjnego.

W odpowiedzi na skargę organ wniósł o jej oddalenie, podtrzymując dotychczasowe stanowisko.

W piśmie procesowym (k. 57-60) Spółka potrzymała zarzuty podkreślając, że organ - udzielając upomnienia po przeprowadzeniu danego postępowania - nie badał w istocie, jakim wymaganiom w zakresie zabezpieczenia danych uchybiła Spółka. Zamieszczono argumentacje dla tezy, że Spółka nie uchybiła żadnym powinnościom, a w każdym razie nie wykazał ich organ w uzasadnieniu.

W trakcie rozprawy (k. 103) pełnomocnik Spółki zwracał uwagę, że każdej utraty danych osobowych – np. kradzieży nośnika takich danych z samochodu - nie można kwalifikować jako przetwarzanie danych osobowych przez administratora. Publicznie prezentowane stanowisko organu oparte jest na założeniu, że dane powinny być zabezpieczone w sposób adekwatny do ryzyka. Dowolnego przypadku nielegalnego pozyskania danych nie można więc kwalifikować jako naruszenia zasady poufności. Każdy przypadek powinien być oceniany indywidualnie. W takiej sytuacji zaskarżona decyzja nie ma charakteru naprawczej - nie wynika z niej, jakie nieprawidłowości powinien wyeliminować administrator danych.

Dodatkowo podniósł, że kwestia udzielenia upomnienia, które pozostaje w oderwaniu od faktycznego badania czy dane były prawidłowo zabezpieczone (tak wskazuje organ) ma istotne znaczenie z perspektywy administratorów danych. Przyjęcie, że każde nieuprawnione pozyskanie danych stanowi bezpodstawne przetwarzanie danych osobowych przez administratora skutkować będzie udzielaniem upomnień w każdej tego rodzaju sprawie. Upomnienie takie stanowi zaś prejudykat w sprawach cywilnych o odszkodowanie. Sądy cywilne w takim przypadku nie badają już zawinienia administratora, zasądzają zaś odszkodowania w znacznych kwotach.

Sąd miał na uwadze, że Wojewódzki Sąd Administracyjny - wyrokiem z 5 października 2021 r. (sygn. akt II SA/Wa 528/21) - uchylił decyzję organu z [...] grudnia 2020 r. o wymierzeniu Spółce kary pieniężnej, wobec nieprawidłowości przy przetwarzaniu administrowanych danych osobowych w zw. z Incydentem.

Sąd zważył, co następuje.

Skarga zasługuje na uwzględnienie, gdyż zaskarżoną decyzję wydano z naruszeniem przepisów prawa materialnego, zakreślających reguły przetwarzania danych osobowych przez administratorów i zakresu stosowania przepisów dotyczących "naruszenie ochrony danych osobowych" oraz regulacji statuujących właściwość wyspecjalizowanego w sprawach ochrony danych osobowych organu – w kontekście stosowania przezeń przepisów sankcyjnych, w tym reguł ponoszenia odpowiedzialności administracyjnej oraz zasady pewności prawa.

Na wstępie należy wskazać, że trafne jest stanowisko strony skarżącej (Spółki) oraz podniesiony przez nią zarzuty, co do naruszenia - przy orzekaniu w danej sprawie - przepisów prawa materialnego oraz ich uzasadnienie. W związku z wcześniejszym, szerokim zreferowaniem treści skargi, powtarzanie sformułowanej tam argumentacji byłoby bezzasadne. Sąd przyjmuje ją za własną.

Wobec zawartych w skardze wywodów należy je uzupełnić jedynie w następującym zakresie.

W sprawie bezsporne są jej uwarunkowania faktyczne w tym zakresie, że powodem udzielenia zaskarżoną decyzją Spółce upomnienia jest zdarzenie pozostające w związku z Incydentem. Doszło wówczas do nielegalnego przejęcia danych osobowych (m.in. Wnioskodawcy), których generalnie administratorem jest Spółka, przez podmiot trzeci – nie uprawniony do tego, nie dysponujący tytułem prawnym do przetwarzania danych zgromadzonych w zasobach Spółki II - powiązanej ze stroną skarżącą stosowną umową. Incydent - wobec zgłoszenia przez Spółkę naruszenia ochrony danych osobowych, w myśl art. 33 ust. 1 RODO - był przedmiotem oceny w prowadzonym z urzędu postępowaniu zakończonym wydaniem decyzji o wymierzeniu Spółce kary pieniężnej. Orzeczenie to zaskarżono do sądu administracyjnego, który nieprawomocnym wyrokiem je uchylił (sprawa o sygn. akt II SA/Wa 528/21).

Wobec takich ram faktycznych sprawy oraz stanowiska prezentowanego przez organ w zaskarżonej obecnie decyzji, kluczowe znaczenie ma ustalenie, czy zdarzenie polegające na wejściu w posiadanie bez podstawy prawnej przez osobę trzecią danych osobowe, których administratorem jest generalnie określony podmiot, może być rozumiane jako przetworzenie przezeń danych, w czym mieści się także udostępnienie (wedle definicji zawartej w art. 4 pkt 2 RODO).

Odpowiedź na tak postawione pytanie musi być - na gruncie obowiązujących regulacji RODO - negatywna, mając na względzie zarówno proste reguły wykładni językowo- logicznej, jak i celowościowej czy systemowej.

Co trafnie odnotowano w skardze pojęcie "przetwarzania" opisuje czynność. Ze swej natury musi mieć ona swojego sprawcę. Jedną z form przetwarzania danych jest zaś "udostępnianie". Nie wydaje się logicznym, aby - z woli prawodawcy – tę samą operację przetworzenia mogły realizować równocześnie dwa podmioty, choćby możliwym było nadanie jej różnych nazw. Oznacza to, że konkretna operację musi być przypisana jednemu sprawcy zaś kilku tylko gdy współdziałają. W tym kontekście w pełni trafne jest stanowisko Spółki, gdzie podkreślano, że Incydent - w postaci utraty danych - nie stanowi żadnej operacji na tychże przeprowadzonej przez samego administratora. Przetworzenie danych – w postaci ich nielegalnego pozyskania - dokonał podmiot trzeci. Wyklucza to przyjęcie, jakoby doszło do przetworzenia danych przez Spółkę jako administratora bez podstawy prawnej, jak kwalifikował to zdarzenie organ.

Prawidłowość odczytania znaczenia pojęcia "przetwarzania danych osobowych przez administratora" jako zdarzenia, które musi pozostawać w bezpośrednim związku z działaniami samego administratora, potwierdza normatywne znaczenie samego określenia "administrator", jakie przypisał mu prawodawca unijny. Jest nim mianowicie osoba, która - samodzielnie lub wspólnie z innymi - ustala cele i sposoby przetwarzania danych osobowych (trak art. 4 pkt 7 RODO). Nie można więc uznać za czynność administratora zdarzenia, polegającego na nielegalnym uzyskaniu danych z jego zasobów. Odrębną kwestią jest ciążący na administratorze obowiązek zapewnienia integralność danych - ich właściwego zabezpieczenia. Rozumie się przez to zastosowanie środków adekwatnych do przewidywalnych zagrożeń(tak m.in. art. 5 ust. 1 lit. f i art. 32 RODO). Kwestii tej jednak nie badano w ogóle w danym postępowaniu - tak wyjaśnienia organu w uzasadnieniu zaskarżonego aktu.

Odrębną kwestią jest więc ocena, czy przetworzenie danych do jakiego doszło w trakcie Incydentu, było następstwem zaniedbanie Spółki - np. w zakresie zastosowania stosownych zabezpieczeń (gdyby sama zarządzała danymi), wyboru podmiotu zarządzającego czy innych - np. właściwej szybkiej reakcji, wobec ujawnienia Incydentu. Kwestia ta była natomiast przedmiotem rozważań w sprawie zakończonej wydaniem przez organ odrębnej decyzji, na która skargę rozpatrywano pod sygn. akt II SA/Wa 528/21.

W przedmiotowej sprawie jednak w danej kwestii organ w ogóle nie zajmował stanowiska.

Jednocześnie zastosowany środek prawny – w postaci upomnienia - jest zupełnie nieadekwatny - na co zasadnie zwraca uwagę Spółka - gdy organ orzekał w całkowitym oderwaniu od realiów sprawy w kwestii przypisania Spółce odpowiedzialności za ujawnione nieprawidłowości, w postaci nieuprawnionego przetworzenie danych osobowych Wnioskodawcy (w ramach Incydentu). Wedle powszechnego rozumienia, słowo "upomnienie" oznacza czynność zwrócenia komuś uwagi - przypomnienia o obowiązkach. W uzasadnieniu skarżonego aktu wskazano wprawdzie stan, który organ uznał za niepożądany, udzielając upomnienia. Określono go – zresztą błędnie - jako udostepnienie danych bez podstawy prawnej. Nie wskazano jednak czy i w jakim zakresie sama Spółka uchyliła w istocie swoim obowiązkom - poza udostepnieniem danych, czego w istocie sama nie uczyniła. Z sentencji decyzji nie wynika nawet jednoznacznie, czy – zdaniem organu - podmiotem udostępniającym była w istocie Spółka.

W takiej sytuacji wprowadzenie szeregu postępowań w tym samym przedmiocie - udostępnienia danych w następstwie Incydentu - nie służy ani wyjaśnienie jakichkolwiek wątpliwości (fakt nielegalnego pozyskania jest bezsporny), ani też eliminowaniu określonych nieprawidłowości w działaniu Spółki, której udzielano upomnień. Nie wskazano bowiem, jakie zaniedbania można jej przypisać – skutkujące wedle organu udostępnieniem danych.

Równocześnie, co trafnie zauważa Spółka, przypadek Incydentu wyczerpuje znamiona zdarzenia opisywanego w RODO, jako naruszenie ochrony danych osobowych (tak art. 4 pkt 12). Zdaniem Sądu w tym składzie, prowadzenie postępowań w myśl regulacji dotyczącej tego rodzaju przypadków - wedle reguł rozdziału IV sekcji 2 RODO - stanowi regulację szczególną, wobec ogólnych reguł procedowania w następstwie skarg indywidualnych (analogicznie powołane przez organ orzeczenie o sygn. akt II SA/Wa 1238/15). Stanowisko takie wyraził też tutejszy Sąd w uzasadnieniu nieprawomocnego wyroku z 20 maja 2022 r. o sygn. akt II SA/Wa 2742/21. Jest ono znane organowi zaś dla stron postępowania dostępne w CBOSA. Pogląd taki podzielał też organ, w decyzji będącej przedmiotem kontroli sądowej w powołanej sprawie. Umorzono tam m.in. postępowanie w zakresie, w jakim wnoszący do organu skargę podnosił kwestie nielegalnego udostępnienia jego danych w wyniku innego incydentu. Skargę na tę decyzję oddalono.

Trafnie podniesiono też w skardze, że bezzasadne byłoby zajmowanie stanowiska wobec tego samego zdarzenia - tu Incydentu - w kontekście jego opisu jako uchybienia obowiązkom wobec naruszenia ochrony danych osobowych, lub jako udostępnienia danych osobowych bez podstawy prawnej. Mogłoby to prowadzić do odmiennych konstatacji w poszczególnych postępowaniach, co do związku zdarzeń z działaniem bądź zaniechaniem określonego podmiotu - administratora. Godziłoby więc to w zasadę pewności prawa jak też reguły odpowiedzialności administracyjnej za jeden czyn w ramach jednej podstawy prawnej.

Trafnie zauważył też Spółka, że przyjęta przez organ koncepcja przypisywania administratorowi winy niejako obiektywnej - na zasadzie ryzyka - za samo zdarzenie udostępnienia przezeń administrowanych danych, prowadziłby do ustanowienie takiej odpowiedzialności na gruncie reguły cywilnoprawnych, wobec treści art. 97 ustawy o ochronie danych osobowych. Stanowi on:

"Ustalenia prawomocnej decyzji Prezesa Urzędu o stwierdzeniu naruszenia przepisów o ochronie danych osobowych lub prawomocnego wyroku wydanego w wyniku wniesienia skargi, o której mowa w art. 145a § 3 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi, wiążą sąd w postępowaniu o naprawienie szkody wyrządzonej przez naruszenie przepisów o ochronie danych osobowych co do stwierdzenia naruszenia tych przepisów.".

Intencji ustanowienia reguły odpowiedzialności administratora za utratę danych na zasadzie ryzyka nie sposób przypisać pracodawcy, jedynie poprzez zabieg określonej wykładni przepisów. Udzielając zaś ostateczną decyzją upomnienia, organ przesądził jakoby po stronie administratora doszło do określonych zaniedbań czy nieprawidłowości, co do jego powinności. Mogłyby one dotyczyć w istocie stosowania adekwatnych środków dla ochrony administrowanych danych osobowych. Z treści uzasadnienia wynika jednak jednoznacznie, że wcale nie badano kwestii indywidualnych uchybień po stronie administratora. Kwestie to nie będą mogły być z kolei badane przez sąd powszechny który będzie związany orzeczeniem, gdzie zarzucono administratorowi nieprawidłowość - w postaci przetwarzania danych osobowych bez podstawy prawnej. Udzielono wszak za to upomnienia. Oceną tą związany byłby sąd powszechny orzekający w przedmiocie roszczeń osób poszkodowanych w następstwie Incydentu.

Przyczynienie po stronie administratora nie byłoby więc badana ani na etapie postępowania administracyjnego w przedmiocie skargi ani też przed sądem powszechnym. Prowadziłoby to de facto – poprzez określoną praktykę orzeczniczą w sprawach skargowych organu wyspecjalizowanego w sprawach ochrony danych osobowych - do ukształtowania absolutnej odpowiedzialności materialnej administratorów za wszelkie przypadki utraty danych osobowych. Jak wskazano, reguły takiej nie wyrażono wprost ani w RODO ani w regulacjach, stanowionych na szczeblu prawa krajowego – np. w ustawie o ochronie danych osobowych czy w ustawie z dnia 23 kwietnia 1964 r. - Kodeks cywilny (obecnie opubl. w Dz.U. z 2022 r., poz. 2459).

Także więc przywołane wyżej względy wykładni systemowy i celowościowej przemawiają przeciw przyjętej przez organ koncepcji, jakoby zasadne było udzielenie administratorowi danych osobowych - na podstawie art. 58 ust. 2 lit. b RODO, - upomnienia wobec indywidualnych skarg w następstwie incydentów utraty danych, niezależnie od okoliczności danego zdarzenia - przyczynienia administratora.

W końcu należy zauważyć że prowadzenie nawet setek postępowań - wobec kolejnych wniosków osób poszkodowanych incydentami, gdzie może dochodzić do jednorazowej utraty tysięcy danych - stanowi bezzasadne obciążenie nie tylko dla podmiotu, od którego dane bezprawnie pozyskano (w niektórych przypadkach pomimo stosowania najwyższej klasy zabezpieczeń – braku uchybienia wymaganiom art. 32 RODO), ale jest także poważnym uszczupleniem środków publicznych, z których wszak utrzymywany jest wyspecjalizowany urząd. Jak wskazano, prowadzenie takich postępowań administracyjnych nie służy jednocześnie eliminacji żadnych nieprawidłowości po stronie administratora.

Należy przy tym podkreślić, że w rozpoznawanej sprawie pozostała całkowicie poza oceną Sądu kwestia, czy w istocie Spółka przyczyniła się i w jakim zakresie do utraty danych, bądź w innych sposób uchybiła wymaganiom prawa wobec Incydentu. Nie było to w ogóle przedmiotem rozważań przez organ w tej sprawie, jest zaś przedmiotem odrębnej - prowadzony z urzędu.

Jak wskazano na wstępie, zaskarżoną decyzje wydano więc z naruszeniem przepisów prawa materialnego w zakresie prawidłowości oceny, że:

1. - w sprawie nastąpiło przetworzenia danych osobowych przez administratora bez podstawy prawnej, gdy chodzi o opis skutków Incydentu (błędne zastosowanie art. 6 ust. 1, wobec treści art. 4 pkt 2 w zw. z pkt 12 RODO),
2. - skutki Incydentu mogły stanowić przesłankę prowadzenia wobec Spółki – w następstwie skargi Wnioskodawcy – kolejnego postępowania administracyjnego - zakończonego wydaniem orzeczenia, w myśl art. 58 ust. 2 pkt 2 RODO - służącego ocenie nieprawidłowości w zakresie przetwarzaniu danych osobowych; odpowiedzialność administratora z tego tytułu była bowiem analizowana w toku innego postępowania przed wyspecjalizowanym organem - wobec zaskarżenia decyzji w tym przedmiocie wydano tam orzeczenie o sygn. akt II SA/Wa 528/21.

Podstawy stwierdzenia nieprawidłowości w procesie przetwarzania danych przez Spółkę nie mogła więc też stanowić, przywołana w rozstrzygnięciu organu, reguła art. 5 ust. 1 lit. f RODO. Bezpodstawnie przywołano ją w danej sprawie, gdy kwestia przyczynienia administratora (zagwarantowania integralności i poufności danych). nie była w ogóle badana.

W takiej sytuacji, prowadzenie danego postępowania, służącego ocenie tego samego zdarzenia (Incydentu), w kontekście zastosowania środków wymienionych w art. 58 ust. 2 RODO, było bezprzedmiotowe.

Sąd umorzył więc prowadzone przed organem postępowanie.

Chybione są natomiast zarzuty skargi, dotyczące naruszenia przepisów postępowania w zakresie obowiązku wyjaśnienia sprawy w jej istotnych aspektach. W świetle bezspornych jej okoliczności faktycznych i prawnych - wobec skargi Wnioskodawcy - postępowania w ogóle nie należało wszczynać. Bezzasadność zarzutów Spółki w tym zakresie nie ma jednak żadnego znaczenia dla wyniku sprawy.

Orzekającemu w sprawie Sądowi w tym składzie znane były uprzednie orzeczenia Wojewódzkiego Sądu Administracyjnego w Warszawie w przedmiocie innych skarg Spółki - w analogicznych sprawach, gdzie skargi oddalono (tak: sprawy o sygn. akt II SA/Wa 1850/21, 2216/21, 2230/21, 2468/21, 2484/21, 2485/21, 2720/21, 3092/21 i 3515/21). Nie podziela jednak wyrażonego w tych wyrokach stanowiska - ze wskazanych wyżej przyczyn.

Z przytoczonych wyżej przyczyn, na podstawie art. 145 § 1 pkt 1 lit. a oraz § 3 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (Dz.U. z 2022 r., poz. 329 ze zm.), orzeczono jak w pkt 1 i 2 sentencji. O zwrocie kosztów postępowania Sąd orzekł jak w pkt 3 sentencji, w myśl art. 200 w zw. z art. 205 § 2 powyższej ustawy oraz § 14 ust. 1 pkt 1 lit. c rozporządzenia Ministra Sprawiedliwości z dnia 22 października 2015 r. w sprawie opłat za czynności adwokackie (Dz.U. z 2015 r., poz. 1800 ze zm.). Do kosztów na rzecz Wnioskodawcy zaliczono wynagrodzenie jego pełnomocnika w kwocie 480 zł, wpis sądowy od skargi - 200 zł oraz 17 zł tytułem opłaty skarbowej od pełnomocnictwa.

1. - ---------------------- 2