II SA/Wa 1897/20

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Łukasz Krzycki, Sędzia WSA Joanna Kruszewska-Grońska (spr.) Janusz Walawski, Sędzia WSA, po rozpoznaniu na posiedzeniu niejawnym w dniu 27 kwietnia 2021 r. sprawy ze skargi [...] S.A. z siedzibą w [...] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] lipca 2020 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę

Pismem z [...] listopada 2018 r. M. G. (dalej: "uczestnik postępowania") wniosła do Prezesa Urzędu Ochrony Danych Osobowych (dalej: "Prezes UODO", "organ") skargę na udostępnienie jej danych osobowych przez K. I. S.A. z siedzibą w W. (dalej: "skarżący", "spółka"), wskazując, że jej dane osobowe w zakresie imienia i nazwiska zostały zawarte w treści opinii rewidenta do spraw szczególnych, opublikowanej na stronie internetowej spółki w załączeniu do raportu bieżącego nr [...] z [...] września 2018 r., dostępnej pod adresem internetowym: http://..... Uczestnik postępowania zażądał usunięcia jego danych z opinii przez spółkę. Ponadto z uwagi na fakt, że ww. opinia została udostępniona także na innych stronach internetowych, uczestnik postępowania zwrócił się o zobowiązanie spółki do podjęcia działań mających na celu usunięcie jej danych przez administratorów stron, którzy udostępnili przedmiotową opinię. W toku prowadzonego postępowania administracyjnego Prezes UODO ustalił, że uczestnik postępowania był zatrudniony w spółce do [...] marca 2016 r. jako administrator bezpieczeństwa informacji, natomiast [...] września 2018 r. na stronie internetowej skarżącego opublikowano raport nr [...], do którego została załączona opinia rewidenta do spraw szczególnych, dostępna pod adresem: http://.... Dane osobowe uczestnika postępowania w zakresie imienia i nazwiska zawarte w ww. opinii nie zostały zanonimizowane w jednym przypadku - na stronie nr 18 opinii. W postępowaniu przed Prezesem UODO spółka wyjaśniła, że samodzielnie podjęła decyzję o anonimizacji danych osobowych zawartych w publikowanej wersji opinii, a pominięcie danych osobowych uczestnika postępowania w trakcie procesu anonimizacji (w jednym przypadku) było omyłką. Uczestnik postępowania nie zwracał się do skarżącego o anonimizację lub usunięcie jego danych osobowych. Decyzją z [...] lipca 2020 r. nr [...], po przeprowadzeniu postępowania administracyjnego, organ, mając za podstawę art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2020 r., poz. 256 ze zm.; dalej: "k.p.a.") oraz art. 5 ust. 1 lit. c, art. 6 ust. 1, art. 24 ust. 1 i art. 58 ust. 2 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych - Dz. U. UE. L. z 2016 r. Nr 119 ze zm.; dalej: "RODO"), nakazał spółce usunięcie danych osobowych uczestnika postępowania w zakresie imienia i nazwiska zawartych w opinii rewidenta ds. szczególnych z 18 września 2018 r., opublikowanej na stronie internetowej pod adresem http://.... poprzez ich anonimizację, a w pozostałym zakresie odmówił uwzględnienia wniosku. W uzasadnieniu rozstrzygnięcia Prezes UODO, powołując się na zebrany w sprawie materiał dowodowy, stwierdził, że skarżący zdecydował o anonimizacji danych osobowych uczestnika postępowania zawartych w sprawozdaniu przed jego udostępnieniem na stronie internetowej. W ocenie organu można więc uznać, iż co do zasady administrator danych ma możliwość zdecydowania, czy i jakie dane osobowe powinny być zawarte w udostępnionym sprawozdaniu. Ponadto Prezes UODO uznał, iż udostępnienie danych osobowych uczestnika postępowania nie było niezbędne do realizacji obowiązku prawnego ciążącego na administratorze wynikającego z przywołanych przepisów oraz działanie to nie miało wpływu na merytoryczną treść sprawozdania. Dodatkowo organ wskazał, że przedmiotowe udostępnienie danych osobowych odbyło się za pośrednictwem strony internetowej spółki, co oznacza że mógł uzyskać do nich dostęp nieokreślony i nieograniczony krąg odbiorców. Co więcej, z materiału dowodowego przedstawionego przez uczestnika postępowania wynika, iż sprawozdanie zostało udostępnione przez odrębnych administratorów, co rozszerza jego krąg odbiorców. W ocenie Prezesa UODO tego rodzaju działanie narusza zasadę minimalizacji danych, zgodnie z którą zakres przetwarzanych danych powinien być ograniczony do tego co niezbędne. Skarżący nie spełniał żadnej z przesłanek legitymizujących przetwarzanie danych zgodnie z art. 6 ust. 1 RODO. Tym samym przedmiotowe działanie stanowi naruszenie art. 6 ust. 1 oraz art. 24 ust. 1 w związku z art. 5 ust. 1 lit. c RODO. Zdaniem organu, udostępnienie przez spółkę danych osobowych uczestnika postępowania w opinii rewidenta ds. szczególnych nie było niezbędne i nie znajduje oparcia w żadnej z przesłanek legalizujących przetwarzanie danych osobowych. Tym samym Prezes UODO nakazał usunięcie danych osobowych uczestnika postępowania zawartych w sprawozdaniu umieszczonym na stronie internetowej spółki. Powyższa decyzja Prezesa UODO stała się przedmiotem skargi spółki do Wojewódzkiego Sądu Administracyjnego w Warszawie, w której sformułowano zarzuty naruszenia prawa materialnego, mającego istotny wpływ na wynik postępowania, a mianowicie naruszenie: 1. art. 86 ust. 2 ustawy z dnia 29 lipca 2005 r. o ofercie publicznej i warunkach wprowadzania instrumentów finansowych do zorganizowanego systemu obrotu oraz spółkach publicznych (Dz. U. z 2021 r., poz. 355; dalej: "ustawa o ofercie") poprzez jego błędną wykładnię, polegającą na przyjęciu, że dane osobowe zawarte w opinii powinny być z niej usunięte, podczas gdy przywołany przepis nie zobowiązuje do usuwania danych osobowych z opinii biegłych rewidentów ds. szczególnych, 2. art. 5 ust. 1 lit. c RODO poprzez jego błędne zastosowanie, ponieważ przetwarzanie danych osobowych w przedmiotowej sprawie nie może podlegać zasadzie minimalizacji danych ze względu na wykonanie obowiązku prawnego wynikającego z art. 86 ust. 2 ustawy o ofercie, 3. § 15 ust. 2 rozporządzenia Ministra Finansów z dnia 29 marca 2018 r. w sprawie informacji bieżących i okresowych przekazywanych przez emitentów papierów wartościowych oraz warunków uznawania za równoważne informacji wymaganych przepisami prawa państwa niebędącego państwem członkowskim (Dz. U. z 2018 r., poz. 757; dalej: "Rozporządzenie MF") w związku z art. 56 ust. 1 ustawy o ofercie, poprzez jego pominięcie, podczas gdy przepis ten stanowi, że korekty raportów bieżących, a więc również załączników stanowionych ich integralny element, należy dokonywać wyłącznie przez publikację nowego raportu bez możliwości modyfikacji raportu korygowanego, co podważa celowość wykonania decyzji. W oparciu o ww. zarzuty, skarżący wniósł o uchylenie decyzji, a ponadto, działając na podstawie art. 61 § 2 pkt 1 oraz § 3 ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2019 r., poz. 2325 ze zm.; dalej: "p.p.s.a.") spółka zwróciła się o wstrzymanie wykonania zaskarżonej decyzji. W odpowiedzi na skargę Prezes UODO wniósł o jej oddalenie, podtrzymując stanowisko wyrażone w zaskarżonej decyzji. Postanowieniem z 22 stycznia 2021 r., sygn. akt II SA/Wa 1897/20, Wojewódzki Sąd Administracyjny w Warszawie odmówił wstrzymania wykonania zaskarżonej decyzji (ww. orzeczenie nie zostało zaskarżone zażaleniem przez żadną ze stron postępowania). Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: Skarga nie zasługuje na uwzględnienie. W myśl art. 1 § 1 i § 2 ustawy z dnia 25 lipca 2002 r. - Prawo o ustroju sądów administracyjnych (Dz. U. z 2021 r., poz. 137) oraz art. 3 § 1 p.p.s.a., sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej. Zgodnie z art. 134 § 1 p.p.s.a., sąd rozstrzyga w granicach danej sprawy nie będąc związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną, z zastrzeżeniem art. 57a. Sąd nie może wydać orzeczenia na niekorzyść skarżącego, chyba że stwierdzi naruszenie prawa skutkujące stwierdzeniem nieważności zaskarżonego aktu lub czynności (art. 134 § 2 p.p.s.a.). Podkreślenia wymaga, że na skarżącym jako na administratorze danych spoczywają obowiązki określone w RODO. Należy zgodzić się z organem, iż w związku z brakiem bezpośrednio nałożonego na skarżącego obowiązku zawarcia w przedmiotowej opinii danych osobowych uczestnika postępowania, ich przetwarzanie odbywa się na podstawie przepisów o ochronie danych osobowych, a więc powinno uwzględniać poszanowanie zasad wskazanych w art. 5 RODO. Na gruncie niniejszej sprawy trzeba też powołać się na zasadę minimalizmu danych, wyrażoną w art. 5 ust. 1 lit. c RODO, wedle której dane osobowe muszą być adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane. Swym rodzajem i treścią dane te nie powinny wykraczać poza potrzeby wynikające z celu ich przetwarzania, a za błędne należy uznać przetwarzanie wszelkich danych dla celu tego przetwarzania, tj. zarówno danych nieistotnych, niemających znaczenia, jak i danych o większym niż uzasadniony z tego względu stopniu szczegółowości. W doktrynie wskazuje się, że określenie "adekwatne" oznacza "odpowiednie, zgodne, proporcjonalne, nienadmierne" i może być traktowane jako synonim słowa "stosowne". Adekwatność i stosowność rozumieć można jako konieczność zachowania odpowiednich proporcji zakresu danych do celów przetwarzania i przetwarzanie tylko takich danych, które są potrzebne dla realizacji określonych celów." (P. Fajgielski, [w:] Komentarz do rozporządzenia nr 2016/679 w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) [w:] Ogólne rozporządzenie o ochronie danych. Ustawa o ochronie danych osobowych. Komentarz, Warszawa 2018, art. 5.). Doprecyzowanie powyższej zasady w zakresie organizacyjnym stanowi art. 25 ust. 2 RODO, który znajduje zastosowanie w kontrolowanej sprawie. Zgodnie z ww. przepisem administrator wdraża odpowiednie środki techniczne i organizacyjne, aby domyślnie przetwarzane były wyłącznie te dane osobowe, które są niezbędne dla osiągnięcia każdego konkretnego celu przetwarzania. Ponadto zastosowanie w przedmiotowej sprawie powinny znaleźć również zasada poufności i integralności (art. 5 ust. 1 lit. f RODO) oraz zasada ograniczenia celu przetwarzania danych (art. 5 ust. 1 lit. b RODO). Powyższe zasady korelują z obowiązkiem nałożonym na administratora danych, który wiąże się z przetwarzaniem jak najmniejszego zakresu danych przy jednoczesnej możliwości realizacji ustalonego celu. Wskazać należy, że na administratorze danych spoczywa również obowiązek zapewnienia poufności danych, które przetwarza, przy równoczesnym ograniczeniu dostępu do nich jedynie dla osób uprawnionych i tylko do sytuacji, w których ich udostępnienie jest konieczne. Należy także zwrócić uwagę, że art. 5 ust. 2 RODO przewiduje odpowiedzialność administratora za przestrzeganie powyższych zasad i to na administratorze ciąży obowiązek wykazania ich przestrzegania. W ocenie Sądu, skarżący naruszył obowiązki, które na nim ciążyły jako na administratorze danych. Skarżący z własnej inicjatywy doprowadził do anonimizacji danych uczestnika postępowania. Poza wszelką polemiką pozostaje również fakt, iż dane osobowe uczestnika postępowania zostały opublikowane przez spółkę omyłkowo, bowiem przedmiotowe dane znalazły się jedynie na stronie 18 opinii, a w pozostałym zakresie nastąpiła ich anonimizacja. Powyższe przesądza o tym, iż zamiarem skarżącego była zupełna anonimizacja danych znajdujących się w opinii jeszcze przed jej publikacją. Nietrafiony jest również zarzut naruszenia art. 86 ust. 2 ustawy o ofercie poprzez jego błędną wykładnię polegającą na przyjęciu, że dane osobowe zawarte w opinii powinny być z niej usunięte, podczas gdy przywołany przepis nie zobowiązuje do usuwania danych osobowych z opinii biegłych rewidentów ds. szczególnych. Powołany przepis stanowi, że rewident do spraw szczególnych jest obowiązany przedstawić zarządowi i radzie nadzorczej spółki pisemne sprawozdanie z wyników badania. Natomiast zarząd jest obowiązany przekazać ww. sprawozdanie do wiadomości publicznej. Sprawozdanie rewidenta do spraw szczególnych nie może ujawniać informacji stanowiących tajemnicę techniczną, handlową lub organizacyjną spółki, chyba że jest to niezbędne do uzasadnienia stanowiska zawartego w tym sprawozdaniu. Jak słusznie wskazał organ w zaskarżonej decyzji, stosowanie powołanego wyżej przepisu powinno uwzględniać obecnie obowiązujące przepisy o ochronie danych osobowych. Ponadto, wskazać należy, że podanie przedmiotowego sprawozdania do publicznej wiadomości nie jest tożsame z obowiązkiem uwzględnienia w nim danych osobowych; nie określa również zakresu danych podlegających publikacji. W niniejszej sprawie, w oparciu o zebrany materiał dowodowy, Sąd uznał, iż udostępnienie danych uczestnika postępowania nie było konieczne, a ponadto nie pozostawało w związku z zasadniczą treścią sprawozdania. W odniesieniu do powyższego, powołać należy art. 6 ust. 1 lit. c RODO, w myśl którego przetwarzanie jest zgodne z prawem wyłącznie w przypadkach gdy – i w takim zakresie, w jakim – przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze. Powyższą normę należy stosować w związku z przepisem, który taki obowiązek ustanawia. Na gruncie niniejszej sprawy - jak zostało wskazane - jest to art. 86 ust. 2 ustawy o ofercie, niemniej jednak dokonana już wykładnia przedmiotowego przepisu niewątpliwie przesądza o tym, że art. 86 ust. 2 ustawy o ofercie nie statuuje obowiązku w zakresie publikacji danych osobowych. W związku z tym, w ocenie Sądu, skarżący bezpodstawnie podniósł zarzut naruszenia przedmiotowego przepisu. Odnosząc się do zarzutu naruszenia § 15 ust. 2 Rozporządzenia MF w związku z art. 56 ust. 1 ustawy o ofercie, poprzez jego pominięcie, podczas gdy przepis ten stanowi, że korekty raportów bieżących, a więc również załączników stanowionych ich integralny element, należy dokonywać wyłącznie przez publikację nowego raportu bez możliwości modyfikacji raportu korygowanego, co podważa celowość wykonania decyzji, wskazać należy, że skarżący błędnie przyjął możliwość zastosowania ww. przepisu w przedmiotowej sprawie. Brzmienie § 15 ust. 2 Rozporządzenia MF niewątpliwie przesądza o tym, iż przepis ten dotyczy zakresu merytorycznego przedmiotowego sprawozdania. W niniejszej sprawie błąd polegał na udostępnieniu danych osobowych uczestnika postępowania przez omyłkę, a więc nie odnosił się do zasadniczych kwestii raportu. W ocenie Sądu, w następstwie przedmiotowego udostępnienia przez skarżącego danych osobowych uczestnika postępowania doszło do naruszenia ochrony jego danych osobowych. Zaskarżona decyzja jako uwzględniająca wagę i charakter stwierdzonego naruszenia oraz potrzebę egzekwowania przepisów RODO, jest zasadna zarówno co w zakresie stwierdzonego naruszenia, jak i w zakresie instrumentu o charakterze naprawczym z jakiego skorzystał Prezes UODO w postaci nakazania skarżącemu usunięcia danych osobowych uczestnika postępowania w zakresie imienia i nazwiska zawartych w opinii rewidenta ds. szczególnych z dnia [...] września 2018 roku opublikowanej na stronie internetowej pod adresem http://.... poprzez ich anonimizację. Mając na względzie powyższe, Wojewódzki Sąd Administracyjny w Warszawie na podstawie art. 151 p.p.s.a., orzekł jak w sentencji wyroku.