Uzasadnienie
Prezes Urzędu Ochrony Danych Osobowych decyzją z dnia [...] marca 2020 r. nr [...], na podstawie art. 138 § 1 pkt 1 Kodeksu postępowania administracyjnego (t.j. Dz. U. z 2020 r., poz. 256, dalej: "k.p.a."), art. 160 ust.1 i 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (t.j. Dz. U. z 2019 r. poz. 1781), art. 6 ust. 1 lit. f) rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z 04.05.2016, str. 1, z późn. zm., dalej: "RODO"), po ponownym rozpatrzeniu sprawy, utrzymał w mocy decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] września 2019 r. znak: [...] w przedmiocie skargi B. S. na nieprawidłowości w procesie przetwarzania jej danych osobowych przez [...] I. Z., prowadzącą działalność gospodarczą: Kancelaria Adwokacka [...] I. Z. z siedzibą w [...], przy ul. [...].
Jak wynika z ustaleń organu, do Generalnego Inspektora Ochrony Danych Osobowych, wpłynęła skarga B. S., dalej: "skarżącej", na przetwarzanie jej danych osobowych przez [...] I. Z., prowadzącą działalność gospodarczą: Kancelaria Adwokacka [...] I. Z. z siedzibą w [...], przy ul. [...].
W ocenie skarżącej, Kancelaria z naruszeniem przepisów prawa udostępniła jej dane osobowe osobom nieupoważnionym, w tym M. C. i L. B., naruszając przy tym tajemnicę adwokacką. W związku z tym skarżąca zakwestionowała legalność ich gromadzenia przez Kancelarię oraz wniosła o przedsięwzięcie przez Generalnego Inspektora Ochrony Danych Osobowych odpowiednich kroków zmierzających do usunięcia jej danych osobowych z Kancelarii.
W toku postępowania Prezes Urzędu Ochrony Danych Osobowych ustalił następujący stan faktyczny.
1. Skarżąca w 2013 r. zgłosiła się do Fundacji "[...]" w celu udzielenia jej pomocy prawnej. W związku z tym, przekazała Prezesowi Fundacji – L. B., dokumenty z postępowań sądowych, żądając ich upublicznienia w całości w Internecie (dowód: wyjaśnienia [...] I. Z.).
2. Prezes Fundacji "[...]", w związku z powstałymi kwestiami natury procesowej, wskazał skarżącej na konieczność skorzystania z pomocy adwokata i zaproponował Kancelarię Adwokacką [...] I. Z. (dowód: wyjaśnienia [...] I. Z.)
3. Kancelaria przyjęła do prowadzenia cztery sprawy skarżącej, na podstawie pisemnych umów zawartych w listopadzie i grudniu 2013 r., kwietniu 2014 r. oraz lipcu 2015 r. Dane skarżącej pozyskała bezpośrednio od niej (dowód: wyjaśnienia [...] I. Z.).
4. Kancelaria po zakończeniu współpracy ze skarżącą, zwróciła wszystkie dokumenty oraz płyty CD otrzymane od skarżącej, a wszelkie dokumenty w formie elektronicznej, dotyczące skarżącej, zostały usunięte (dowód: wyjaśnienia [...] I. Z.).
5. Kancelaria wskazała, że nie udostępniła nikomu nieuprawnionemu danych osobowych skarżącej, a osoby takie jak aplikanci adwokaccy, odbywający aplikację w Kancelarii, mają prawo dostępu do danych klientów Kancelarii w zakresie określonym ustawą z dnia 26 maja 1982 r. Prawo o adwokaturze (Dz. U. z 2019 r. poz. 1513), przy czym są związani tajemnicą adwokacką. To samo dotyczy praktykantów, wolontariuszy, pracowników i współpracowników, z których każdy z nich podpisuje z Kancelarią umowę o zachowaniu w ścisłej tajemnicy wszelkich niepodanych oficjalnie przez Kancelarię do publicznej wiadomości informacji, w tym ekonomicznych, finansowych, handlowych, marketingowych, prawnych, organizacyjnych, osobowych i innych, dotyczących Kancelarii oraz podmiotów pozostających z nimi w relacjach faktycznych i prawnych. Wskazana przez skarżącą M. C. pracowała w Kancelarii, jako asystentka i była zatrudniona na umowę o pracę na 1/4 etatu (dowód: wyjaśnienia [...] I. Z.).
6. Kancelaria aktualnie przetwarza dane osobowe skarżącej w związku z prowadzonym postępowaniem o zapłatę umówionego wynagrodzenia oraz w związku z prywatnym aktem oskarżenia o naruszenie dóbr osobistych (dowód: wyjaśnienia [...] I. Z.).
Prezes Urzędu zwrócił uwagę, że w czasie, kiedy wpłynęła do Generalnego Inspektora Ochrony Danych Osobowych przedmiotowa skarga, obowiązywały przepisy ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r. poz. 922), które określały zasady postępowania przy przetwarzaniu danych osobowych. W świetle tych przepisów, przetwarzanie danych osobowych było uprawnione, gdy spełniona została którakolwiek z przesłanek wymienionych w art. 23 ust. 1 ustawy.
Odnosząc się do zarzutu skarżącej, co do udostępnienia jej danych osobowych osobom nieupoważnionych, podkreślono, że stosownie do art. 6 ust. 1 ustawy Prawo o adwokaturze, adwokat zobowiązany jest zachować w tajemnicy wszystko, o czym dowiedział się w związku z udzielaniem pomocy prawnej, ust. 3 powyższego przepisu stanowi zaś, że adwokata nie można zwolnić od obowiązku zachowania tajemnicy zawodowej, co do faktów, o których dowiedział się udzielając pomocy prawnej lub prowadząc sprawę. Ponadto, w myśl art. 16b ustawy Prawo o adwokaturze obowiązek zachowania tajemnicy, o której mowa w art. 6, nie ustaje, w przypadku gdy z żądaniem ujawnienia informacji uzyskanych przez adwokata w związku z udzielaniem pomocy prawnej występuje Prezes Urzędu Ochrony Danych Osobowych.
Zdaniem Prezesa UODO, wyjaśnienia Kancelarii stanowią wystarczający materiał dowodowy w przedmiotowej sprawie, z którego wynika, że dostęp do danych osobowych skarżącej mieli wyłączne pracownicy, tj. M. C. oraz ewentualnie aplikanci adwokaccy, odbywający aplikację w Kancelarii czy praktykanci, wolontariusze, z których każdy podpisuje z Kancelarią umowę o zachowaniu w ścisłej tajemnicy wszelkich niepodanych oficjalnie przez Kancelarię do publicznej wiadomości informacji, w tym ekonomicznych, finansowych, handlowych, marketingowych, prawnych, organizacyjnych, osobowych i innych dotyczących Kancelarii oraz podmiotów pozostających z nimi w relacjach faktycznych i prawnych. Obowiązek ten polega na nieujawnianiu informacji pozyskanych w trakcie wykonywania czynności zawodowych, stanowiących tajemnicę zawodową. Powyższe należy rozpatrywać w ramach świadczenia pomocy prawnej, podczas której pełnomocnik może korzystać z pomocy innych osób zatrudnionych w Kancelarii.
Osoby te, w związku z tym, muszą mieć dostęp do danych osobowych klientów. Z materiału dowodowego przedmiotowej sprawy wynika również, że Kancelaria nie udostępniła danych osobowych skarżącej L. B., który nie był zatrudniony w Kancelarii i nie miał dostępu do dokumentów skarżącej. Z okoliczności sprawy wynika bowiem, że to sama skarżąca udostępniła swoje dane osobowe L. B., jako Prezesowi Fundacji "[...]" w związku ze zwróceniem się o pomoc w sprawach dotyczących skarżącej. Wobec powyższego brak jest podstaw do uznania zarzutu skarżącej, że doszło do udostępnienia jej danych osobowych przez Kancelarię osobom nieupoważnionym.
Odnosząc się do wniosku skarżącej o przedsięwzięcie przez Prezesa Urzędu odpowiednich kroków, zmierzających do usunięcia jej danych osobowych z Kancelarii, wskazano, że po wypowiedzeniu przez skarżącą pełnomocnictwa [...] I. Z., Kancelaria zwróciła skarżącej wszystkie dotyczące jej dokumenty oraz płyty CD, a wszelkie dokumenty w formie elektronicznej zostały usunięte. Jednak, w związku z toczącym się postępowaniem sądowym o zapłatę umówionego wynagrodzenia za wykonaną przez Kancelarię na rzecz skarżącej pracę oraz w związku z prywatnym aktem oskarżenia przeciwko skarżącej, Kancelaria przetwarzała dane osobowe skarżącej, spełniając dyspozycję art. 187 ustawy z dnia 23 kwietnia 1964 r. Kodeks postępowania cywilnego (k.p.c.), który stanowi, że pozew powinien czynić zadość warunkom pisma procesowego oraz art. 126 § 1 i § 2 k.p.c., na mocy, którego pismo procesowe powinno zawierać m.in. imię i nazwisko lub nazwę stron, a gdy pismo procesowe jest pierwszym pismem w sprawie powinno ponadto zawierać miejsce zamieszkania lub siedziby stron, numer Powszechnego Elektronicznego Systemu Ewidencji Ludności (PESEL) lub numer identyfikacji podatkowej (NIP) lub numer w Krajowym Rejestrze Sądowym, a w przypadku jego braku - numer w innym właściwym rejestrze, ewidencji lub NIP powoda niebędącego osobą fizyczną, który nie ma obowiązku wpisu we właściwym rejestrze lub ewidencji, jeżeli jest on obowiązany do jego posiadania.
Tym samym Kancelaria miała prawnie uzasadniony cel w przetwarzaniu danych osobowych skarżącej, tj. dochodzenie roszczeń z tytułu prowadzonej działalności gospodarczej. Wypełniało to przesłankę z art. 23 ust. 1 pkt 5 ustawy o ochronie danych osobowych w zw. z art. 23 ust. 4 pkt 2 ustawy o ochronie danych osobowych.
Prezes Urzędu stwierdził, że przesłanką legalizującą aktualne przetwarzanie danych skarżącej przez Kancelarię w związku z postępowaniem sądowym jest art. 6 ust. 1 lit. f) rozporządzenia 2016/679, stanowiący, że przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności, gdy osoba, której dane dotyczą, jest dzieckiem.
W skardze do Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 5 listopada 2019 r. B. S. zaskarżyła decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] marca 2020 r. nr [...], wnosząc o jej uchylenie z powodu rażących zaniechań i nieprawidłowości w zakresie błędnego ustalenia stanu faktycznego.
Zdaniem skarżącej, doszło do naruszania tajemnicy adwokackiej przez [...] I. Z. i przekazywanie informacji i dokumentów nieuprawnionym osobom w związku z prowadzaniem powierzonych spraw, przekazywanie tych informacji L. B. i innym nieuprawnionym osobom, którzy w siedzibie Kancelarii, jako nieuprawnieni przebywali. Jej zdaniem, doszło do naruszania tajemnicy adwokackiej przez [...] I. Z. i przekazywanie informacji, dokumentów, wrażliwych danych jak opinie lekarskie, o stanie zdrowia, wyroki sądowe, dokumenty z powierzonych do prowadzania spraw.
W odpowiedzi na skargę Prezes Urzędu wniósł o jej oddalenie, podtrzymując stanowisko zaprezentowane w zaskarżonej decyzji.
Pismami procesowymi z dnia 25 czerwca 2020 r. oraz z dnia 9 października 2020 r. skarżąca podtrzymała złożoną skargę.
W odpowiedzi na skargę z dnia 11 lutego 2021 r. uczestniczka postępowania I. Z. wniosła o jej oddalenie.
Odnosząc się do zarzutów strony skarżącej, podniosła, że decyzja pierwszej i drugiej instancji wydana przez Prezesa UODO, wbrew zarzutom skarżącej, zawierała wszystkie konieczne elementy decyzji administracyjnej, wynikające z art. 107 § 1 k.p.a., stosowanego w niniejszym postępowaniu, z mocy art. 22 mającej zastosowanie w niniejszej sprawie poprzednio obowiązującej ustawy o ochronie danych osobowych z dnia 29 sierpnia 1997 r., w tym uzasadnienie faktyczne i prawne - wyjaśnienie podstawy prawnej i faktycznej, ze wskazaniem, jakie zostały podjęte czynności dowodowe.
W toku postępowania jednoznacznie ustalono, że przetwarzanie danych osobowych B. S. w trakcie zajmowania się jej sprawą przez Kancelarię uczestniczki miało pełne uzasadnienie w obowiązującym wówczas i w dacie składania przez B. S. skargi do Prezesa UODO art. 23 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych, określającym przesłanki legalnego przetwarzania danych osobowych. Art. 159 ust. 1 ustawy o ochronie danych osobowych wyraźnie stanowi, iż do kontroli wszczętych na podstawie ustawy uchylanej w art. 175 i niezakończonych przed dniem wejścia w życie niniejszej ustawy stosuje się przepisy dotychczasowe, tj. ustawy o ochronie danych osobowych z dnia 29 sierpnia 1997 r.
Zdaniem uczestniczki postępowania, skarżąca bezskutecznie próbowała w niniejszej sprawie nałożyć na Prezesa UODO kompetencje właściwe dla wizytatora lub rzecznika dyscyplinarnego Izby Adwokackiej w [...], domagając się kontroli przestrzegania tajemnicy adwokackiej. Posunęła się nawet do przedstawienia nieprawdziwych informacji, dotyczących postępowań dyscyplinarnych, w tym rzekomego złożenia zawiadomienia przeciwko uczestniczce przez Sąd Dyscyplinarny Izby Adwokackiej w [...]w sprawie sygn. [...]. Czyniła wywody również, co do deliktów dyscyplinarnych, mających urzeczywistnić się w złożonych przez uczestniczkę przeciwko niej prywatnych aktów oskarżenia czy w zawiadomieniach o przestępstwie, co nawet gdyby rzekome delikty dyscyplinarne miały miejsce, to i tak ich ocena leżałaby w gestii właściwego Rzecznika Dyscyplinarnego Izby Adwokackiej.
W trakcie prowadzenia spraw skarżącej dostęp do jej danych mieli wyłącznie ustaleni przez organ pracownicy, ewentualnie aplikanci adwokaccy odbywający aplikację w kancelarii czy praktykanci, wolontariusze, z których każdy podpisywał umowę o zachowaniu w ścisłej tajemnicy wszelkich informacji, w tym ekonomicznych, finansowych, handlowych, marketingowych, prawnych, organizacyjnych, osobowych i innych dotyczących kancelarii oraz podmiotów pozostających z nimi w relacjach faktycznych i prawnych. Uczestniczka miała prawo - prowadząc sprawę skarżącej, jak też wielu innych klientów - korzystać z pomocy innych osób, co nie naruszało przepisów o zachowaniu tajemnicy adwokackiej, tym bardziej norm ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych, czy późniejszej ustawy o ochronie danych osobowych z dnia 10 maja 2018 r. (która weszła w życie po zakończeniu współpracy ze skarżącą), jak też rozporządzenia RODO (vide art. 9 tego rozporządzenia).
Twierdzenia skarżącej, zawarte w skardze, są nie tylko nieprawdziwe, niemające żadnego rzetelnego odniesienia do zebranego materiału dowodowego, ale też stanowią wyraz oderwania skarżącej od rzeczywistości, zwłaszcza w aspekcie posądzenia Prezesa UODO o zatajanie faktów, czy o działanie w zmowie z uczestniczką lub z L. B. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje.
W kontekście uwarunkowań prawnych należy wskazać, że w sprawie wszczętej pod rządami ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r. poz. 922 z późn. zm.) generalnie zastosowanie mają przepisy tej ustawy, wobec treści art. 160 ust. 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2018 r. poz. 1000 z późn. zm.).
Należy jednak zastrzec, że uprzednie regulacje znajdowały zastosowania w tych aspektach sprawy, gdzie chodzi o ocenę zdarzeń, mających miejsce przed wejściem w życie rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z 04.05.2016, str. 1, ze zm.), zwanego dalej "RODO". Normuje ono bowiem reguły ochrony danych osobowych bezpośrednio od dnia jego wejścia w życie 25 maja 2018 r. (art. 99 ust. 2 RODO). Przypadki naruszenia zasad ochrony danych osobowych sprzed tej daty, podlegają ocenie na gruncie RODO jedynie w sytuacji, gdy nie ustały do tego czasu.
W art. 23 § 1 ustawy z 1997 r. zostały wymienione przesłanki legalizujące przetwarzanie danych osobowych. Zgodnie z treścią tego przepisu, przetwarzanie danych jest dopuszczalne tylko wtedy, gdy: (1) osoba, której dane dotyczą, wyrazi na to zgodę, chyba że chodzi o usunięcie dotyczących jej danych, (2) jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa, (3) jest to konieczne do realizacji umowy, gdy osoba, której dane dotyczą, jest jej stroną lub gdy jest to niezbędne do podjęcia działań przed zawarciem umowy na żądanie osoby, której dane dotyczą, (4) jest niezbędne do wykonania określonych prawem zadań realizowanych dla dobra publicznego, (5) jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą.
Skarga zasługuje na uwzględnienie, ponieważ Sąd, przeprowadzając kontrolę pod względem zgodności z prawem zaskarżonej decyzji administracyjnej, stosownie do art. 1 § 1 i § 2 ustawy z dnia 30 sierpnia 2002 r. - Prawo postępowaniu przed sądami administracyjnymi (t.j. Dz. U. z 2019 r., poz. 2325 z późn. zm.), dalej: "p.p.s.a.", stwierdził, że Prezes Urzędu, wydając decyzję z dnia [...] marca 2020 r., którą utrzymał w mocy decyzję poprzedzającą z dnia [...] września 2019 r., naruszył przepisy postępowania administracyjnego w stopniu mogącym mieć istotny wpływ na wynik sprawy.
W ocenie Sądu, w sprawie tej naruszony został przepis art. 77 § 1 k.p.a. oraz art. 107 § 3 k.p.a., które to uchybienie mogło mieć istotny wpływ na wynik niniejszej sprawy. Zgodnie z pierwszym z powołanych przepisów, organ administracji publicznej jest obowiązany w sposób wyczerpujący zebrać i rozpatrzyć cały materiał dowodowy. Natomiast uzasadnienie zaskarżonej decyzji nie zawiera wskazania faktów, które organ uznał za udowodnione, dowodów, na których się oparł, oraz przyczyn, z powodu których innym dowodom odmówił wiarygodności i mocy dowodowej, zaś uzasadnienie prawne nie zawiera, w nawiązaniu do powyższego, należytego wyjaśnienia podstawy prawnej podjętego rozstrzygnięcia.
Skarżąca, w piśmie z dnia [...] marca 2018 r., zwracając się do Głównego Inspektora Ochrony Danych Osobowych o zabezpieczenie jej danych przed udostępnieniem osobom nieupoważnionym, przetwarzaniem z naruszeniem ustawy o ochronie danych osobowych, naruszeniem tajemny adwokackiej, wskazała, że po zakończeniu współpracy [...] I. Z. złożyła na nią w sierpniu 2016 r. prywatny akt oskarżenia, przesyłając go do Sądu Rejonowego w [...], naruszając w nim tajemnicę adwokacką i załączając jej korespondencję mailową z pracownikiem Kancelarii Adwokackiej M. C..
Ponadto, w dniu [...] września 2016 r., [...] I. Z., składając na nią zawiadomienie o przestępstwie do Prokuratury Rejonowej w [...], podłączyła opinię psychiatryczną wykonaną na zarządzenie Sądu w 2014 r. Skarżąca podkreśliła, że opinia psychiatryczna to wrażliwe dane, nigdy nie powinna być rozpowszechniana i rozsyłana do innych instytucji przez nieuprawnione osoby, celem jej szykanowania i znieważania. Zaznaczyła, że samo zawiadomienie o przestępstwie z dnia [...] września 2016 r. zawiera poświadczanie nieprawdy i szykany wobec niej i jej najbliższych członków rodziny (...). Jej zdaniem narusza to tajemnicę adwokacką, jak również ochronę jej danych osobowych, które z Kancelarii Adwokackiej w [...] przez [...] I. Z. są rozpowszechniane nieuprawnionym osobom.
W ocenie Sądu, do przedstawionego w tym zakresie zarzutu skarżącej, Prezes UODO w istocie się nie odniósł. Tymczasem, na tym opiera się zasadnicza argumentacja skarżącej, która twierdziła, że do udostępnienia jej danych osobowych doszło.
Prezes UODO w zaskarżonej decyzji stwierdził jedynie, że w związku z toczącym się postępowaniem sądowym o zapłatę umówionego wynagrodzenia za wykonaną przez Kancelarię na rzecz skarżącej pracę oraz w związku z prywatnym aktem oskarżenia przeciwko skarżącej, Kancelaria przetwarzała dane osobowe skarżącej, spełniając dyspozycję art. 187 ustawy z dnia 23 kwietnia 1964 r. Kodeks postępowania cywilnego (k.p.c.), który stanowi, że pozew powinien czynić zadość warunkom pisma procesowego oraz art. 126 § 1 i § 2 k.p.c., na mocy którego pismo procesowe powinno zawierać m.in. imię i nazwisko lub nazwę stron, a gdy pismo procesowe jest pierwszym pismem w sprawie powinno ponadto zawierać miejsce zamieszkania lub siedziby stron, numer Powszechnego Elektronicznego Systemu Ewidencji Ludności (PESEL) lub numer identyfikacji podatkowej (NIP) lub numer w Krajowym Rejestrze Sądowym, a w przypadku jego braku - numer w innym właściwym rejestrze, ewidencji lub NIP powoda niebędącego osobą fizyczną, który nie ma obowiązku wpisu we właściwym rejestrze lub ewidencji, jeżeli jest on obowiązany do jego posiadania.
W konsekwencji Prezes UODO stwierdził, że Kancelaria miała prawnie uzasadniony cel w przetwarzaniu danych osobowych skarżącej, tj. dochodzenie roszczeń z tytułu prowadzonej działalności gospodarczej, co wypełniało przesłankę z art. 23 ust. 1 pkt 5 ustawy o ochronie danych osobowych w zw. z art. 23 ust. 4 pkt 2 ustawy o ochronie danych osobowych.
W niniejszej sprawie, wobec braku należytego i wyczerpującego rozpatrzenia całego materiału dowodowego, które to uchybienie mogło mieć istotny wpływ na jej wynik, organ przedwcześnie przyjął, że brak jest podstaw do uwzględnienia żądania wnioskodawczyni, w myśl mających w sprawie zastosowanie regulacji normatywnych.
Podkreślenia przy tym wymaga, że zgodnie z art. 3 ust. 2 pkt 2 u.o.d.o. (obowiązującym w dacie wniesienia przez B. S. skargi do Generalnego Inspektora Ochrony Danych Osobowych), ustawę stosuje się również do osób fizycznych i osób prawnych oraz jednostek organizacyjnych niebędących osobami prawnymi, jeżeli przetwarzają dane osobowe w związku z działalnością zarobkową, zawodową lub dla realizacji celów statutowych, które mają siedzibę albo miejsce zamieszkania na terytorium Rzeczypospolitej Polskiej, albo w państwie trzecim, o ile przetwarzają dane osobowe przy wykorzystaniu środków technicznych znajdujących się na terytorium Rzeczypospolitej Polskiej. Ustawa znajduje zatem zastosowanie do podmiotów, których wniosek skarżącej do UODO dotyczył. Ustawę stosuje się do przetwarzania danych osobowych m.in. w systemach informatycznych, także w przypadku przetwarzania danych poza zbiorem danych (art. 2 ust. 2 pkt 2 u.o.d.o.).
Ponadto należy zaznaczyć, że (jak słusznie zauważył organ w odpowiedzi na skargę) przedmiotem postępowania przed Prezesem UODO w tej sprawie mogły być wyłącznie kwestie dotyczące prawidłowości przetwarzania danych osobowych skarżącej przez Kancelarię, jako administratora tych danych. Przedmiotem badań organu w przedmiotowej sprawie nie mogły być natomiast kierowane przez skarżącą liczne zarzuty dotyczące zatrudniania pracowników oraz działania Kancelarii niezgodnie z przepisami Prawo o adwokaturze. Z tej też racji Sąd, kontrolując legalność zaskarżonej decyzji, pominął te kwestie, jako niepodlegające ocenie w przedmiotowej sprawie.
Ponownie rozpoznając sprawę, Prezes UODO rozważy wszechstronnie wszystkie okoliczności sprawy powołane przez skarżącą w zakresie zakwestionowanym przez Sąd i zależnie od dokonanych ustaleń i ocen – po wszechstronnym rozważeniu materiału dowodowego - wyda stosowne rozstrzygnięcie.
Mając powyższe na uwadze, Wojewódzki Sąd Administracyjny w Warszawie, na podstawie art. 145 § 1 pkt 1 lit c) w związku z art. 135 p.p.s.a., orzekł jak w punkcie pierwszym wyroku. O zwrocie kosztów postępowania sądowego, jak w punkcie drugim wyroku, Sąd orzekł na podstawie art. 200 i art. 205 § 1 powołanej ustawy. Do kosztów tych zaliczono uiszczony przez skarżącą wpis sądowy w wysokości 200 zł.
Sprawa została rozpoznana na posiedzeniu niejawnym w oparciu o zarządzenie Przewodniczącego Wydziału II z dnia 1 lutego 2021 r., wydane na podstawie art. 15zzs4 ust. 3 ustawy z dnia 2 marca 2020 r. o szczególnych rozwiązaniach związanych z zapobieganiem, przeciwdziałaniem i zwalczaniem COVID-19, innych chorób zakaźnych oraz wywołanych nimi sytuacji kryzysowych (Dz. U. z 2020 r., poz. 1842 z późn. zm.).