II SA/Wa 1097/23

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Joanna Kruszewska-Grońska, Sędzia WSA Danuta Kania (spr.), Sędzia WSA Tomasz Szmydt, , Protokolant referent Beata Kowalska, , po rozpoznaniu na rozprawie w dniu 21 lutego 2024 r. sprawy ze skargi Banku [...] w [...] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] marca 2023 r. nr [...] w przedmiocie przetwarzania danych osobowych 1. uchyla zaskarżoną decyzję; 2. zasądza od Prezesa Urzędu Ochrony Danych Osobowych na rzecz Banku [...] w [...] kwotę 697 zł (słownie: sześćset dziewięćdziesiąt siedem złotych) tytułem zwrotu kosztów postępowania.

Prezes Urzędu Ochrony Danych Osobowych (dalej: "Prezes UODO", "organ") decyzją z dnia [...] marca 2023 r. nr [...], na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2022 r., poz. 2000 ze zm.), dalej: "k.p.a.", art. 12 ust. 3, art. 15 ust. 3, art. 58 ust. 2 lit. b rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z dnia 4 maja 2016 r., s. 1, Dz. Urz. UE L 127 z dnia 23 maja 2018 r., s. 2 oraz Dz. Urz. UE L 74 z dnia 4 marca 2021 r., s. 35), dalej: "RODO", udzielił Bankowi [...] z siedzibą w [...] (dalej: "Bank", "strona skarżąca") upomnienia za naruszenie art. 12 ust. 3 w związku z art. 15 RODO polegające na nieudzieleniu R. S. (dalej: "uczestnik postępowania") odpowiedzi na jego żądanie z dnia [...] marca 2022 r. na podstawie art. 15 ust. 3 RODO, dotyczące dostarczenia kopii danych osobowych w zakresie nałożonych na niego i aktualnych na dzień złożenia żądania, zakazów inwestowania i okresów obowiązywania tych zakazów, w terminach określonych w art. 12 ust. 3 i 4 RODO. W uzasadnieniu decyzji Prezes UODO wskazał, iż do Urzędu Ochrony Danych Osobowych wpłynęła skarga R. S. na nieprawidłowości w procesie przetwarzania jego danych osobowych przez Bank [...] polegające na niespełnieniu wobec niego żądania dostarczenia kopii danych osobowych w zakresie nałożonych na niego zakazów inwestowania oraz okresów obowiązywania tych zakazów. W toku prowadzonego postępowania Prezes UODO ustalił, co następuje: Uczestnik postępowania był pracownikiem Banku. Bank przetwarza dane osobowe uczestnika postępowania m.in. w zakresie nałożonych na niego zakazów inwestowania oraz okresów obowiązywania tych zakazów na podstawie realizacji obowiązku prawnego ciążącego na Banku jako administratorze, wynikającego z art. 18 rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 596/2014 z dnia 16 kwietnia 2014 r. w sprawie nadużyć na rynku oraz uchylającego dyrektywę 2003/6/WE Parlamentu Europejskiego i Rady i dyrektywy Komisji 2003/124/WE, 2003/125/WE i 2004/72/WE (dalej: "rozporządzenie MAR"), w celu utrzymania zgodności z wymogami prawnymi dotyczącymi ewidencjonowania osób posiadających dostęp do informacji poufnych przetwarzanych przez Bank. Zakres przetwarzanych w tym celu danych osobowych uczestnika postępowania wynika z Załącznika nr 1 do rozporządzenia Wykonawczego Komisji (UE) 2016/347 z dnia 10 marca 2016 r. ustanawiającego wykonawcze standardy techniczne w odniesieniu do określonego formatu list osób mających dostęp do informacji poufnych i ich aktualizacji zgodnie z rozporządzeniem Parlamentu Europejskiego i Rady (UE) nr 596/2014 (dalej: "rozporządzenie Wykonawcze") i obejmuje: imię (imiona), nazwisko, nazwisko rodowe (jeśli dotyczy), datę urodzenia, nr PESEL, prywatny numer telefonu, adres zamieszkania oraz informacje dotyczące powodu wpisania na listę restrykcyjną, tj. stanowisko - zakres obowiązków służbowych i czas dostępu do informacji poufnych. Uczestnik postępowania wiadomością e-mail z dnia [...] marca 2022 r. zwrócił się do Banku z żądaniem wydania mu kopii danych jego dotyczących w zakresie aktualnie obowiązujących go zakazów inwestowania, a jeżeli takie go aktualnie obowiązują, to wskazanie firm spółek, których dotyczą oraz dat, w których wygasają. Z uwagi na brak odpowiedzi Banku, w dniu [...] marca 2022 r. uczestnik postępowania przesłał monit w formie e-maila, następnie w dniu [...] kwietnia 2022 r. skontaktował się z Bankiem telefonicznie, a w dniu [...] kwietnia 2022 r. złożył reklamację do Banku. Bank pismem z dnia [...] maja 2022 r. udzielił uczestnikowi postępowania informacji, iż aktualnie nie dotyczą go zakazy inwestowania. Uczestnik postępowania wskazał, iż udzielonej informacji o braku aktualnie obowiązujących go zakazów inwestowania nie traktuje jako wiążącej, gdyż nie stanowi ona opinii prawnej podpisanej przez pracownika specjalizującego się w regulacjach dotyczących prawa papierów wartościowych. Uwzględniając powyższe Prezes UODO powołał art. 4 pkt 1 RODO. Wskazał, że Bank, zgodnie z art. 18 rozporządzenia MAR, zobowiązany jest do prowadzenia list wszystkich osób mających dostęp do informacji poufnych, które pracują na podstawie umowy o pracę lub wykonują, na innej podstawie, zadania, w ramach których mają dostęp do informacji poufnych, takich jak: doradcy, księgowi lub agencje ratingowe (lista osób mających dostęp do informacji poufnych) oraz do ich niezwłocznej aktualizacji. Bank przechowuje archiwalne listy osób mających dostęp do informacji poufnych przez okres 5 lat od daty jej utworzenia bądź aktualizacji. Organ wskazał, że Bank przetwarza informacje dotyczące uczestnika postępowania m.in. w zakresie obowiązujących go w okresie zatrudnienia zakazów inwestowania, a także informację, iż aktualnie, z uwagi na brak pomiędzy uczestnikiem postępowania a Bank stosunku pracy, uczestnika postępowania nie obowiązują zakazy inwestowania. Informacja o aktualnym braku obowiązywania uczestnika postępowania zakazów inwestowania stanowi dane osobowe jego dotyczące w myśl art. 4 pkt 1 RODO. Dalej podał, że uczestnik postępowania wiadomością e-mail z dnia [...] marca 2022 r. skierował do Banku żądanie dostarczenia mu kopii jego danych osobowych w zakresie obowiązujących go zakazów inwestowania, a jeżeli takie go aktualnie obowiązują, to wskazanie firm spółek, których dotyczą oraz dat, w których obowiązujące go zakazy wygasają. Wobec czego Bank zobowiązany był udzielić uczestnikowi postępowania informacji o działaniach podjętych w związku z jego żądaniem do dnia [...] kwietnia 2022 r. Natomiast Bank dopiero pismem z dnia [...] maja 2022 r. udzielił uczestnikowi postępowania odpowiedzi na jego żądanie, a zatem uczynił to z uchybieniem miesięcznego terminu określonego w art. 12 ust. 3 RODO. Bank nie poinformował o konieczności przedłużenia terminu do udzielenia odpowiedzi na skierowane żądanie, co stanowi również naruszenie art. 12 ust. 3 RODO. Odnosząc się do kwestii udzielenia odpowiedzi na żądanie uczestnika postępowania przez pracownika niespecjalizującego się w regulacjach dotyczących prawa papierów wartościowych, organ wskazał, iż przepisy RODO obowiązek udzielenia odpowiedzi na żądanie osoby, której dane dotyczą nakładają na administratora. Administrator wykonując swoje zadania związane z przetwarzaniem danych osobowych może działać poprzez upoważnione podmioty, w tym swoich pracowników. Wobec tego przekazanie przez pracownika Banku odpowiedzi na żądanie uczestnika jest wystarczające do spełnienia przez Bank ciążących na nim obowiązków wynikających ze złożonego żądania. Podsumowując Prezes UODO wskazał, iż dokonywana ocena przetwarzania danych w każdym przypadku służy zbadaniu zasadności skierowania pod adresem określonego podmiotu nakazu odpowiadającego dyspozycji art. 58 ust. 2 RODO, służącego przywróceniu stanu zgodnego z prawem w procesie przetwarzania danych - jest więc ona uzasadniona i potrzebna o tyle, o ile nieprawidłowości w procesie przetwarzania danych osobowych istnieją. W przedmiotowej sprawie działanie Banku skutkowało naruszeniem art. 12 ust. 3 RODO poprzez brak udzielenia uczestnikowi postępowania informacji o działaniach podjętych w związku z jego żądaniem z zachowaniem miesięcznego terminu oraz brak udzielenia informacji o konieczności przedłużenia terminu do udzielenia odpowiedzi, wobec czego Prezes UODO udzielił Bankowi upomnienia. Pismem z dnia 21 kwietnia 2023 r. Bank [...] wniósł na powyższą decyzję Prezesa UODO z dnia [...] marca 2023 r. skargę do Wojewódzkiego Sądu Administracyjnego w Warszawie, zarzucając naruszenie: 1) art. 7, art. 77 § 1 i art. 80 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2021 r. poz. 735 ze zm.), dalej: "k.p.a.", poprzez niepodjęcie wszelkich czynności niezbędnych do dokładnego wyjaśnienia stanu faktycznego i załatwienia sprawy oraz niezebranie i nierozpatrzenie w sposób wyczerpujący całego materiału dowodowego, jak również niedokonanie wnikliwej analizy całokształtu materiału dowodowego zebranego w sprawie, tj.: a) błędną analizę materiału dowodowego, w tym wniosków R. S. w efekcie czego organ nie ustalił rzeczywistego celu i przedmiotu kierowanej przez uczestnika postępowania do Banku korespondencji, w szczególności: - wniosku z dnia [...] marca 2022 r., co doprowadziło do ustalenia, że wniosek ten zawiera żądanie uzyskania kopii danych osobowych w sytuacji, gdy nie było to jego przedmiotem, - wniosku z dnia [...] maja 2022 r., w efekcie czego organ nie ustalił, że uczestnik postępowania zażądał realizacji praw podmiotu danych po raz pierwszy dopiero w ww. wniosku, b) brak skompletowania całości materiału dowodowego w sprawie - niepozyskanie treści udzielonej przez Bank w dniu [...] czerwca 2022 r. odpowiedzi na pismo z dnia [...] maja 2022 r., w którym uczestnik postępowania po raz pierwszy w całej korespondencji zażądał realizacji praw podmiotu danych, mimo iż fakt złożenia takiego pisma przez uczestnika postępowania był znany organowi; w efekcie organ nie ustalił, że Bank prawidłowo i z uwzględnieniem właściwych terminów zareagował na to żądanie uczestnika postępowania, które jako jedyne odnosiło się do realizacji praw podmiotów danych; 2) art. 4 pkt 1 RODO poprzez jego błędną wykładnię i przyjęcie, że informacje, o których udzielenie wnioskował były pracownik Banku, stanowią dane osobowe w rozumieniu art. 4 pkt 1 RODO, bowiem informacji o terminie zakazu inwestowania nie można uznać za dane osobowe, co w konsekwencji doprowadziło do błędnego przyjęcia przez organ, że żądanie zawarte w piśmie z dnia [...] marca 2022 r. dotyczyło realizacji praw związanych z przetwarzaniem danych osobowych uczestnika postępowania, 2) art. 15 ust. 3 RODO poprzez jego niewłaściwe zastosowanie i przyjęcie, że w piśmie z dnia [...] marca 2022 r. uczestnik postępowania skierował do Banku żądanie realizacji prawa podmiotu danych wynikającego z art. 15 ust. 3 RODO, tj. prawa otrzymania kopii danych osobowych, w sytuacji gdy uczestnik postępowania nie odnosił się w piśmie do przetwarzania danych osobowych i związanych z tym praw, a w szczególności nie zwracał się do Banku o przekazanie kopii jego danych osobowych, co w konsekwencji doprowadziło do błędnego przyjęcia przez organ, że Bank był zobowiązany udzielić odpowiedzi na pismo uczestnika postępowania w terminie określonym w RODO; 3) art. 12 ust. 3 i 4 RODO poprzez jego niewłaściwe zastosowanie i przyjęcie, że pismo z dnia [...] marca 2022 r. zawierało żądanie na gruncie przepisów RODO, objęte koniecznością udzielenia odpowiedzi z uwzględnieniem terminów określonych w art. 12 ust. 3 i 4 RODO w sytuacji, gdy uczestnik postępowania w piśmie z dnia [...] marca 2022 r. nie ubiegał się o realizację praw przysługujących podmiotom danych na gruncie RODO; tym samym do ww. pisma nie miały zastosowania terminy określone w art. 12 ust. 3 i 4 RODO, co w konsekwencji doprowadziło do błędnego przyjęcia przez Organ, że Bank uchybił terminowi, udzielając odpowiedzi na pismo z dnia [...] marca 2022 r. w dniu [...] maja 2022 r.; 4) art. 58 ust. 2 lit. b RODO w związku z art. 15 ust. 3 RODO w związku z art. 12 ust. 3 i 4 RODO poprzez ich niewłaściwe zastosowanie, polegające na przyjęciu, że uprawniają one organ do udzielenia Bankowi upomnienia za nieudzielenie uczestnikowi postępowania odpowiedzi na jego żądanie z dnia [...] marca 2022 r., dotyczące - w ocenie organu - dostarczenia kopii danych osobowych, w terminach określonych w art. 12 ust. 3 i 4 RODO w sytuacji, gdy upomnienie nie powinno być udzielone, gdyż żądanie uczestnika postępowania złożone w dniu [...] marca 2022 r. nie dotyczyło dostarczenia kopii danych osobowych, co więcej, nie było żądaniem realizacji któregokolwiek z wynikających z RODO praw podmiotu danych, w wyniku czego Bank nie był zobowiązany do udzielenia odpowiedzi z zachowaniem terminów określonych w art. 12 ust. 3 i 4 RODO, a tym samym nie doszło do naruszenia przez Bank przepisów RODO, co w konsekwencji doprowadziło do bezpodstawnego udzielenia Bankowi upomnienia. W związku z powyższymi zarzutami strona skarżąca wniosła o uchylenie w całości zaskarżonej decyzji oraz zasądzenie od organu zwrotu kosztów postępowania według norm przepisanych. W uzasadnieniu skargi wskazano w szczególności, że organ w sposób dowolny i niewyczerpujący dokonał oceny zebranego materiału dowodowego, w szczególności korespondencji między Bankiem a uczestnikiem postępowania, przez co nie ustalił prawidłowo przedmiotu tej korespondencji. Gdyby organ wnikliwie zbadał stan faktyczny sprawy i poddał analizie rzeczywiste cele i treść żądań uczestnika postępowania, nie wyciągnąłby błędnego wniosku w zakresie przypisania Bankowi odpowiedzialności za naruszenie polegające na nieudzieleniu odpowiedzi w terminie. Ponadto organ nie zebrał w sposób wyczerpujący całego materiału dowodowego niezbędnego do rozpatrzenia sprawy, tj. nie pozyskał treści udzielonej w dniu [...] czerwca 2022 r. odpowiedzi Banku na pismo uczestnika postępowania z dnia [...] maja 2022 r. Pismo to było jedynym żądaniem, w którym uczestnik postępowania odwoływał się do przetwarzania przez Bank jego danych osobowych, a co do którego termin na udzielenie odpowiedzi upłynął w czasie prowadzenia przez Prezesa UODO postępowania (tj. przed poinformowaniem Banku przez Prezesa UODO w dniu [...] października 2022 r. o zebraniu materiału dowodowego wystarczającego do wydania decyzji administracyjnej), zatem organ powinien ustalić przed zakończeniem postępowania, czy i kiedy Bank ewentualnie zareagował na żądanie uczestnika postępowania. Brak ww. odpowiedzi w materiale dowodowym sprawy uniemożliwił ustalenie, że Bank prawidłowo i z uwzględnieniem właściwych terminów zareagował na pismo z dnia [...] maja 2022 r. (tj. na żądanie uczestnika postępowania, które odnosiło się do przetwarzania danych osobowych). W dalszej części uzasadnienia skargi podniesiono, że organ błędnie zaklasyfikował informacje, o których udzielenie uczestnik postępowania ubiegał się w żądaniu z dnia [...] marca 2022 r., jako dane osobowe w rozumieniu art. 4 pkt 1 RODO, w sytuacji, gdy uczestnik postępowania w rzeczywistości żądał podania nazw spółek, których dotyczy zobowiązanie do nieinwestowania i dat, w których ono wygasa, podpisanego przez uczestnika w trakcie trwania zatrudnienia w B[...]. Ponadto organ niewłaściwie przyjął, że pismo z dnia [...] marca 2022 r. stanowiło żądanie realizacji prawa do otrzymania kopii danych, o którym mowa w art. 15 ust. 3 RODO, w sytuacji gdy wiadomość ta nie stanowiła nie tylko żądania otrzymania kopii danych (były pracownik nie wnioskował o to w przesłanej do Banku wiadomości), ale również nie stanowiła ona nawet szeroko pojętego ubiegania się o dostęp do danych osobowych w rozumieniu art. 15 RODO. Uczestnik postępowania ubiegał się o przekazanie mu informacji identyfikujących konkretne spółki będące klientami Banku w związku z zakazami inwestowania w te spółki oraz wyjaśnienie zasad obowiązywania złożonych przez niego zobowiązań i ustalenie, czy obowiązują one po ustaniu zatrudnienia. Zdaniem Banku, uczestnik postępowania zwrócił się zatem o interpretację przepisów regulujących dostęp do informacji poufnych w rozporządzeniu MAR. Bank, nie będąc związany terminem wynikającym z przepisów prawa, udzielił odpowiedzi uczestnikowi postępowania po dokonaniu niezbędnych ustaleń w dniu [...] maja 2022 r. W ocenie Banku treść skargi uczestnika postępowania z dnia [...] czerwca 2022r., w którym wskazał, że nie traktuje udzielonych mu przez Bank informacji (z dnia [...] i [...] maja 2022 r.) jako wiążących, gdyż nie stanowiły one opinii prawnej podpisanej przez pracownika Banku specjalizującego się w regulacjach dotyczących prawa papierów wartościowych, wskazuje na fakt, że rzeczywistą intencją byłego pracownika było uzyskanie od Banku opinii prawnej w zakresie możliwości obrotu papierami wartościowymi, a nie odpowiedzi odnoszącej się do przetwarzania jego danych osobowych. Znamiennym jest tu także to, że zarzutem uczestnika postępowania w ww. wiadomości nie było to, że odpowiedzi udzielił mu pracownik inny, niż zajmujący się zagadnieniami związanymi z ochroną danych osobowych, co także wskazuje na fakt, że uczestnik postępowania nie występował o dostęp do danych osobowych. Podsumowując Bank wskazał, że organ bezpodstawnie udzielił upomnienia w sytuacji, gdy nie wystąpiło naruszenie przepisów RODO w zakresie zachowania terminu na udzielnie odpowiedzi na żądanie dotyczące realizacji prawa uzyskania kopii danych. Z pisma z dnia [...] marca 2022 r. nie wynika bowiem, aby uczestnik postępowania domagał się realizacji prawa przysługującego podmiotom danych zgodnie z RODO, jak i przede wszystkim samo żądanie nie dotyczyło informacji, które można byłoby objąć definicją danych osobowych. W odpowiedzi na skargę Prezes UODO wniósł o jej oddalenie, podtrzymując argumentację zawartą w zaskarżonej decyzji. Odnosząc się do zarzutów skargi organ podniósł, że w przedmiotowej sprawie zgromadził pełny materiał dowodowy i dokonał jego oceny w sposób rzetelny i wyczerpujący zgodnie z art. 77 § 1 i art. 80 k.p.a., a wyniki tej oceny znalazły odzwierciedlenie w uzasadnieniu decyzji. Pod uwagę wzięte zostały zarówno składane przez Bank wyjaśnienia, jak i pisma uczestnika postępowania wraz z załącznikami, które prezentowały m.in. treść jego wniosku z dnia [...] marca 2022 r. oraz dalszej wymiany korespondencji pomiędzy stronami. Prezes UODO powołał się również na zasadę czynnego udziału strony w postępowaniu wynikającą z art. 10 § 1 k.p.a.. Zaznaczył, że poinformował Bank o zebraniu materiału dowodowego w sprawie wskazując na uprawnienie Banku do zapoznania się z aktami sprawy oraz wypowiedzenia się co do zebranych dowodów i materiałów oraz zgłoszonych żądań, z którego to uprawnienia Bank nie skorzystał. Podkreślił, że zwrócił się do Banku z wezwaniem do złożenia wyjaśnień oraz dowodów w sprawie zakreślając odpowiedni termin co ma o tyle znaczenie, iż powoływane przez Bank pismo z dnia [...] czerwca 2022 r., stanowiące odpowiedź na pismo uczestnika z dnia [...] maja 2022 r., jest w posiadaniu Banku. Zaznaczył przy tym, że brak w materiale dowodowym ww. pisma Banku z dnia [...] czerwca 2022 r. nie ma istotnego wpływu na rozstrzygnięcie sprawy. Uczestnik kwestionował bowiem naruszenie jego praw wynikających z RODO poprzez brak udzielenia odpowiedzi na wniosek z dnia [...] marca 2022 r., co, jak zostało ustalone w toku postępowania administracyjnego, zostało zrealizowane przez Bank w dniu [...] maja 2022 r. Tym samym dalsza wymiana pism pomiędzy stronami - obejmująca pismo uczestnika z dnia [...] maja 2022 r. oraz pismo Banku z dnia [...] czerwca 2022 r. - pozostaje bez istotnego wpływu na wynik sprawy. Organ wskazał również, że przepisy RODO określają, iż dane osobowe to wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej ("osobie, której dane dotyczą"); możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować (art. 4 pkt 1 RODO). Bank przetwarza informacje dotyczące uczestnika postępowania m.in. w zakresie obowiązujących go w okresie zatrudnienia zakazów inwestowania, a także informację, iż aktualnie, z uwagi na brak istnienia pomiędzy uczestnikiem a Bankiem stosunku pracy, uczestnika nie obowiązują zakazy inwestowania. Przedmiotowa informacja o aktualnym braku obowiązywania zakazów inwestowania stanowi dane osobowe uczestnika postępowania w myśl art. 4 pkt 1 RODO. Organ podtrzymał stanowisko, że uczestnik postępowania skierował do Banku żądanie dostarczenia mu kopii jego danych osobowych w dniu [...] marca 2022 r. Natomiast Bank dopiero pismem z dnia [...] maja 2022 r. udzielił uczestnikowi odpowiedzi na jego żądanie, a więc nie zachował terminu określonego w art. 12 ust. 3 RODO. Nie poinformował również uczestnika postępowania o konieczności przedłużenia terminu stosownie do art. 12 ust. 3 RODO. W piśmie procesowym z dnia 6 lipca 2023 r. Bank podtrzymał zarzuty i wnioski skargi, jednocześnie ustosunkował się do stanowiska organu zawartego w odpowiedzi na skargę. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: Zgodnie z art. 1 § 1 i § 2 ustawy z dnia 25 lipca 2002 r. - Prawo o ustroju sądów administracyjnych (Dz. U. z 2022 r., poz. 2492) oraz art. 3 § 1 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2023 r., poz. 1634), dalej: "p.p.s.a.", sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej. Kontrola ta polega na ocenie zgodności zaskarżonego aktu z przepisami postępowania administracyjnego, a także prawidłowości zastosowania i wykładni norm prawa materialnego. W myśl art. 134 § 1 i 2 p.p.s.a. sąd rozstrzyga w granicach danej sprawy nie będąc związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną z zastrzeżeniem art. 57a. Sąd nie może wydać orzeczenia na niekorzyść skarżącego, chyba że stwierdzi naruszenie prawa skutkujące stwierdzeniem nieważności zaskarżonego aktu lub czynności. Skarga oceniana w świetle powyższych przepisów zasługuje na uwzględnienie. Kluczową okolicznością w sprawie zakończonej wydaniem zaskarżonej decyzji Prezesa UODO z dnia [...] marca 2023 r. jest dokonana przez organ ocena treści i celu pisma z dnia [...] marca 2022 r. skierowanego przez uczestnika postępowania do Banku, które to pismo organ zakwalifikował jako żądanie uczestnika postępowania dostarczenia kopii danych osobowych w rozumieniu art. 15 ust. 3 RODO. Kwalifikacja ta, w ocenie Sądu, nie jest nieprawidłowa. Została bowiem dokonana z naruszeniem art. 7, art. 77 § 1 i 80 k.p.a. w związku z art. 4 ust. 1 oraz art. 15 ust. 3 RODO, które to uchybienia skutkowały uchyleniem zaskarżonej decyzji. Uwzględniając powyższe wskazać należy, że zgodnie z art. 15 ust. 1 RODO osoba, której dane dotyczą, jest uprawniona do uzyskania od administratora potwierdzenia, czy przetwarzane są dane osobowe jej dotyczące, a jeżeli ma to miejsce, jest uprawniona do uzyskania dostępu do nich oraz do informacji wymienionych w zamkniętym katalogu pod lit. a - h. Elementem prawa dostępu do danych osobowych określonego w ww. przepisie jest uprawnienie osoby, której dane dotyczą, do otrzymania od administratora danych kopii danych osobowych stosownie do art. 15 ust. 3 RODO. Przepis ten stanowi, że administrator dostarcza osobie, której dane dotyczą, kopię danych osobowych podlegających przetwarzaniu. Za wszelkie kolejne kopie, o które zwróci się osoba, której dane dotyczą, administrator może pobrać opłatę w rozsądnej wysokości wynikającej z kosztów administracyjnych. Jeżeli osoba, której dane dotyczą, zwraca się o kopię drogą elektroniczną i jeżeli nie zaznaczy inaczej, informacji udziela się w powszechnie stosowanej formie elektronicznej. Powyższy przepis reguluje prawo dostępu osoby, której dane dotyczą, do jej danych osobowych, a rezultatem wykonania tego prawa powinno być udzielenie tej osobie żądanych przez nią informacji (kopii danych) na zasadzie art. 12 ust. 3 RODO. Przepis ten stanowi, że administrator bez zbędnej zwłoki - a w każdym razie w terminie miesiąca od otrzymania żądania - udziela osobie, której dane dotyczą, informacji o działaniach podjętych w związku z żądaniem na podstawie art. 15-22. W razie potrzeby termin ten można przedłużyć o kolejne dwa miesiące z uwagi na skomplikowany charakter żądania lub liczbę żądań. W terminie miesiąca od otrzymania żądania administrator informuje osobę, której dane dotyczą o takim przedłużeniu terminu, z podaniem przyczyn opóźnienia. Jeśli osoba, której dane dotyczą, przekazała swoje żądanie elektronicznie, w miarę możliwości informacje także są przekazywane elektronicznie, chyba że osoba, której dane dotyczą, zażąda innej formy (ust. 4). Prawo do uzyskania kopii danych jest szczególnym uprawnieniem stanowiącym element prawa dostępu do danych realizowanym na żądanie osoby, której dane dotyczą, a nie z własnej inicjatywy administratora, bowiem nawet w sytuacji, gdy osoba wystąpi do administratora z żądaniem informacyjnym, może ona ograniczyć swoje żądanie jedynie do wglądu do danych. Tym samym podmiot danych powinien wyraźnie zaznaczyć w swoim żądaniu, że ubiega się o dostarczenie kopii danych osobowych. Wskazać również należy, że zgodnie z art. 18 rozporządzenia MAR, emitenci lub osoby działające w ich imieniu lub na ich rzecz: a) sporządzają listę wszystkich osób mających dostęp do informacji poufnych i pracujących dla nich na podstawie umowy o pracę lub na innej podstawie, wykonując zadania, w ramach których mają dostęp do informacji poufnych, takich jak doradcy, księgowi lub agencje ratingowe (lista osób mających dostęp do informacji poufnych); b) niezwłocznie aktualizują listę osób mających dostęp do informacji poufnych. Emitenci lub każda osoba działająca w ich imieniu lub na ich rzecz podejmują wszelkie zasadne kroki w celu zapewnienia, aby każda osoba ujęta na liście osób mających dostęp do informacji poufnych potwierdziła na piśmie związane z tym obowiązki wynikające z przepisów ustawowych i wykonawczych oraz była świadoma sankcji mających zastosowanie w razie wykorzystywania informacji poufnych i bezprawnego ujawnienia informacji poufnych (ust. 2). Lista osób mających dostęp do informacji poufnych obejmuje co najmniej: a) dane osobowe wszelkich osób mających dostęp do informacji poufnych; b) przyczynę uwzględnienia danej osoby w liście osób mających dostęp do informacji poufnych; c) datę i godzinę uzyskania dostępu do informacji poufnych, d) datę utworzenia listy osób mających dostęp do informacji poufnych (ust. 3). Emitenci i wszelkie osoby działające w ich imieniu lub na ich rzecz aktualizują wykaz osób mających dostęp do informacji poufnych niezwłocznie, z uwzględnieniem daty aktualizacji, w następujących okolicznościach: a) gdy następuje zmiana przyczyny, dla której dana osoba została uwzględniona na liście osób mających dostęp do informacji poufnych; b) gdy nowa osoba ma dostęp do informacji poufnych i w związku z tym musi zostać dodana do listy osób mających dostęp do informacji poufnych; c) gdy dana osoba przestaje mieć dostęp do informacji poufnych. W każdej aktualizacji podaje się datę i godzinę wystąpienia zmiany, która skutkuje aktualizacją (ust. 4). Emitenci i wszelkie osoby działające w ich imieniu lub na ich rzecz przechowują wykaz osób mających dostęp do informacji poufnych przez okres co najmniej pięciu lat od jej sporządzenia lub aktualizacji (ust. 5). W celu realizacji obowiązku wynikającego z ww. przepisów Bank przetwarza dane osobowe uczestnika postępowania, których zakres wynika z Załącznika nr 1 do rozporządzenia Wykonawczego i obejmuje: imię (imiona), nazwisko, nazwisko rodowe (jeśli dotyczy), datę urodzenia, nr PESEL, prywatny numer telefonu, adres zamieszkania oraz informacje dotyczące powodu wpisania na listę restrykcyjną, tj. stanowisko - zakres obowiązków służbowych i czas dostępu do informacji poufnych. Uwzględniając powyższe podnieść należy, że w dniu [...] marca 2022 r. uczestnik postępowania skierował do Banku następującą wiadomość e-mail: "(...) Jestem byłym pracownikiem (...) B[...] (...). W trakcie pracy w Banku podpisałem zobowiązania do nieinwestowania w niektóre polskie spółki notowane na Giełdzie Papierów Wartościowych w [...]. Proszę o informację, czy któreś z tych zobowiązań jeszcze obowiązują, a jeśli tak to o podanie nazw spółek, których dotyczą i dat, w których wygasają (...)". Powyższa wiadomość, co należy odnotować, nie została skierowana na adres korespondencyjny (publicznie dostępny i znany uczestnikowi choćby z racji zatrudnienia w Banku) z adnotacją, że dotyczy ona przetwarzania danych osobowych, bądź na adres mailowy Inspektora Ochrony Danych B[...], lecz na ogólny adres mailowy Banku. Treść ww. wiadomości nie uprawnia do przyjęcia, jak przyjął organ, że uczestnik postępowania domagał się dostarczenia kopii danych osobowych w rozumieniu art. 15 ust. 3 RODO. Wiadomość ta w żaden sposób nie nawiązuje do realizacji prawa dostępu do danych osobowych (dostarczenia kopii danych osobowych) wynikającego z art. 15 RODO, co więcej, nie nawiązuje w ogóle do procesu przetwarzania danych osobowych uczestnika postępowania przez Bank. Nie wiadomo zatem na jakiej podstawie organ przyjął, że żądanie wniosku "dotyczy dostarczenia kopii danych osobowych w zakresie nałożonych na uczestnika postępowania i aktualnych na dzień złożenia żądania, zakazów inwestowania i okresów obowiązywania tych zakazów". Nie wiadomo również na jakiej podstawie organ przyjął, że Bank przetwarza dane osobowe uczestnika postępowania "w zakresie nałożonych na uczestnika postępowania i aktualnych na dzień złożenia żądania, zakazów inwestowania i okresów obowiązywania tych zakazów" i z czego wywiódł, że ww. informacje stanowią dane osobowe w rozumieniu art. 4 ust. 1 RODO. Uzasadnienie zaskarżonej decyzji nie zawiera żadnego wyjaśnienia ww. kwestii, a przecież pozostawały one kluczowe w kontekście podjętego w sprawie rozstrzygnięcia. Zauważyć zatem należy, że Bank przetwarza dane osobowe uczestnika postępowania - na podstawie art. 18 rozporządzenia MAR i Załącznika nr 1 do rozporządzenia wykonawczego - we wskazanym wyżej zakresie, który nie wymienia "nałożonych na pracownika Banku (czy też byłego pracownika) i aktualnych na dzień złożenia żądania, zakazów inwestowania i okresów obowiązywania tych zakazów". Z przepisów tych nie wynika, aby lista osób mających dostęp do informacji poufnych, o której mowa w ww. przepisach, obejmowała informacje o zakazie inwestowania (czasie trwania tego zakazu) przez daną osobę (pracownika bądź byłego pracownika Banku) w określone spółki, będące klientami Banku, co potwierdził pełnomocnik Banku obecny na rozprawie przed Sądem w dniu 21 lutego 2024 r. Nie sposób w związku z tym w okolicznościach sprawy zakwalifikować informacji "o nałożonych na uczestnika postępowania i aktualnych na dzień złożenia żądania zakazach inwestowania i okresach obowiązywania tych zakazów" jako danych osobowych uczestnika postępowania w rozumieniu art. 4 ust. 1 RODO, tj. informacji o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej, którą można bezpośrednio lub pośrednio zidentyfikować (...). Okres trwania zakazów inwestowania nie jest informacją o konkretnej osobie fizycznej i terminem ustalanym indywidualnie dla tejże osoby w zależności od decyzji podmiotu zobowiązanego do prowadzenia list poufności (art. 18 rozporządzenia MAR), lecz terminem, którego trwanie wynika z przepisów powszechnie obowiązującego prawa. Zatem ani informacji o długości trwania zakazu uregulowanego przepisami prawa, ani informacji obejmujących nazwy spółek, których domagał się uczestnik postępowania, nie można traktować jako jego danych osobowych. W konsekwencji wniosku uczestnika postępowania z dnia [...] marca 2022 r. nie można traktować jako żądania dostarczenia kopii danych osobowych. Zgodzić należy się ze stanowiskiem Banku, że pytanie uczestnika postępowania zawarte we wiadomości e-mail z dnia [...] marca 2022 r. dotyczyło zamiaru ustalenia, czy zobowiązania podpisane przez pracowników Banku (uczestnik postępowania podpisał oświadczenie o niewykorzystywaniu informacji poufnych w rozumieniu rozporządzenia MAR i sankcjach za takie działanie - k. 15 akt admin.) obowiązują po ustaniu zatrudnienia. Bank w dniu [...] maja 2022 r., pomimo braku takiego obowiązku, udzielił uczestnikowi postępowania informacji o zasadach obowiązywania zakazów inwestowania, tj. wskazał, że zakazem inwestowania wynikającym z samego faktu wpisania na listę poufności (a nie - co należy podkreślić - z faktu zamieszczenia zakazu na tej liście) nie są objęci byli pracownicy Banku. Co istotne, uczestnik postępowania, pomimo uzyskania od Banku odpowiedzi na pytanie zawarte w mailu z dnia [...] marca 2022 r., w piśmie z dnia [...] czerwca 2022 r. złożonym do organu stwierdził, że nie traktuje udzielonych przez Bank informacji (z dnia [...] i [...] maja 2022 r. - tj. gdzie Bank wskazywał, że z uwagi na fakt, iż uczestnik jest byłym pracownikiem, to zakazy go nie obowiązują) jako wiążących, gdyż nie stanowiły one opinii prawnej podpisanej przez pracownika Banku specjalizującego się w regulacjach dotyczących prawa papierów wartościowych. W ocenie Sądu, wskazuje to na fakt, że rzeczywistą intencją byłego pracownika było uzyskanie od Banku opinii prawnej w zakresie możliwości obrotu papierami wartościowymi określonych spółek, a nie odpowiedzi odnoszącej się do przetwarzania jego danych osobowych. Znamiennym jest również to, że zarzut uczestnika w ww. wiadomości nie dotyczył okoliczności, że odpowiedzi udzielił mu pracownik inny niż zajmujący się zagadnieniami związanymi z ochroną danych osobowych, lecz to, że nie uzyskał odpowiedzi w satysfakcjonującej go formie (formalnej opinii prawnej). Potwierdza to dodatkowo, że uczestnik postępowania nie występował o dostęp do danych osobowych (ani nie żądał dostarczenia mu kopii danych osobowych) przetwarzanych przez Bank w oparciu o załącznik nr 1 do rozporządzenia wykonawczego, lecz o uzyskanie wiążącej interpretacji przepisów prawa powszechnie obowiązującego. Zaznaczyć należy, że dopiero w ślad za odpowiedzią Banku z dnia [...] maja 2022 r., w której podtrzymano stanowisko z dnia [...] maja 2022 r., uczestnik postępowania w dniu [...] maja 2022 r. wystosował do Banku wiadomość email, w której (po raz pierwszy) nawiązał do kwestii możliwości dostępu do danych osobowych powołując się na RODO. Jednakże nawet i z tej wiadomości nie sposób wywnioskować, że uczestnik postępowania domaga się dostarczenia mu kopii danych osobowych w takim zakresie, w jakim przyjął to organ w zaskarżonej decyzji. Odnosząc się w tym miejscu do zarzutu skargi dotyczącego naruszenia art. 7, art. 77 i art. 80 k.p.a. w zakresie zaniechania zebrania przez organ pełnego materiału dowodowego obejmującego odpowiedź Banku na ww. wiadomość uczestnika postępowania, udzieloną w dniu [...] czerwca 2022 r., wskazać należy, że zarzut ten nie jest trafny. Istota sprawy sprowadza się bowiem do oceny żądania uczestnika postępowania z dnia [...] marca 2022 r., która to ocena doprowadziła organ do przekonania o zasadności zastosowania wobec Banku sankcji z art. 58 ust. 2 lit. b RODO. Pismo uczestnika postępowania z dnia [...] maja 2022 r., jakkolwiek ma znaczenie dowodowe w świetle uprzedniej korespondencji prowadzonej pomiędzy uczestnikiem a Bankiem, nie było podstawą wydania przez organ rozstrzygnięcia w niniejszej sprawie. Z tego względu również kwestia, czy, w jakiej dacie i jakiej treści odpowiedzi udzielił Bank na ww. pismo nie była istotna w sprawie i nie musiała być przedmiotem oceny organu. Podsumowując stwierdzić należy, że Prezes UODO dokonał błędnej oceny skierowanego do Banku wniosku uczestnika postępowania z dnia [...] marca 2022 r. Wadliwie przyjął, że przedmiotem tego wniosku było żądanie dostarczenia uczestnikowi kopii jego danych osobowych. W konsekwencji wadliwie zakwalifikował ten wniosek jako żądanie realizacji prawa podmiotu danych, o którym mowa w art. 15 ust. 3 RODO. Tymczasem uczestnik postępowania nie ubiegał się o dostęp, czy uzyskanie kopii jego danych osobowych, lecz de facto o wyjaśnienie mu zasad obowiązywania złożonych przez niego zobowiązań jako pracownika Banku i ustalenie, czy obowiązują one po ustaniu zatrudnienia, a jeśli tak, o przekazanie mu informacji identyfikujących konkretne spółki będące klientami Banku w związku z zakazem inwestowania w te spółki. Uczestnik zwrócił się zatem o interpretację przepisów regulujących dostęp do informacji poufnych w rozumieniu rozporządzenia MAR. Podkreślić należy, że organ nie może dowolnie interpretować wniosków strony, nawet jeśli takie działanie jest zgodne z interesem wnioskodawcy. Tym bardziej jest to niedopuszczalne, gdy stronami postępowania są podmioty o sprzecznych interesach. Takie działanie narusza podstawowe zasady postępowania: zasadę praworządności i prowadzenia postępowania w sposób budzący zaufanie jego uczestników do władzy publicznej. Kwalifikując wniosek z dnia [...] marca 2022 r. jako żądanie dostarczenia kopii danych osobowych (art. 15 ust. 3 RODO) organ dopuścił się nie tylko naruszenia art. 7, art. 77 § 1 i 80 k.p.a., ale również art. 6 i art. 8 k.p.a. W konsekwencji powyższego organ błędnie uznał, że Bank uchybił terminowi określonemu w art. 12 ust. 3 RODO. Skoro bowiem żądanie uczestnika postępowania nie dotyczyło przekazania mu kopii danych, to Bank nie miał obowiązku udzielenia informacji o działaniach podjętych w związku z tym żądaniem w terminie miesiąca od otrzymania żądania. Nie był zatem również zobligowany do poinformowania uczestnika o przedłużeniu tego terminu zgodnie z ww. przepisem. W świetle powyższego organ nie miał podstaw do udzielenia Bankowi upomnienia za naruszenie art. 12 ust. 3 w związku z art. 15 RODO z powodów wskazanych w sentencji zaskarżonej decyzji. Czyniąc to, organ naruszył art. 58 ust. 2 lit. b RODO, bowiem w świetle przedstawionych wyżej okoliczności faktycznych i prawnych brak było podstaw do zastosowania uprawnienia o charakterze naprawczym określonego w ww. przepisie. Rozpoznając ponownie skargę uczestnika postępowania Prezes UODO uwzględni ocenę prawną w wynikającą z wyroku i prawidłowo zastosuje przepisy ochrony danych osobowych. Mając na względzie wszystko powyższe, Wojewódzki Sąd Administracyjny w Warszawie, na podstawie art. 145 § 1 pkt 1 lit. a i c p.p.s.a. orzekł jak w punkcie 1 sentencji wyroku. O kosztach postępowania obejmujących wpis od skargi (200 złotych) oraz wynagrodzenie pełnomocnika strony skarżącej w stawce minimalnej (480 złotych), wraz z opłatą skarbową od pełnomocnictwa (17 złotych), Sąd postanowił jak w punkcie 2 sentencji wyroku.