II SA/Wa 1970/19

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Łukasz Krzycki (spr.), Sędzia WSA Konrad Łukaszewicz, Sędzia WSA Janusz Walawski, Protokolant specjalista Sylwia Mikuła po rozpoznaniu na rozprawie w dniu 11 marca 2020 r. sprawy ze skargi J. S. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] lipca 2019 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę

Zaskarżoną decyzją – wobec skargi p. J. S., zwanego dalej "Wnioskodawcą", na nieprawidłowości w procesie przetwarzania jego danych osobowych przez Najwyższą Izbę Kontroli - Delegatura w W., zwaną dalej "delegaturą NIK" - odmówiono uwzględnienia wniosku. Jako podstawę prawną orzeczenia wskazano art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego (Dz.U. z 2018 r., poz. 2096 ze zm.), zwanej dalej "K.p.a.", art. 160 ust. 1 i 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz.U. z 2018 r. poz. 1000 ze zm.), zwanej dalej "ustawą o danych z 2018 roku", oraz art. 12 pkt. 2 i art. 22 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r. poz. 922 ze zm.), zwanej dalej "ustawą o danych z 1997 roku". Powołano również art. 5 ust. 1 lit. f oraz art. 57 ust. 1 lit. a i f rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 4.05.2016, str. 1 ze zm.), zwanego dalej "RODO". W uzasadnieniu decyzji wskazano na następujące okoliczności faktyczne i prawne uwarunkowania sprawy: - Wnioskodawca w skardze podnosił nieprawidłowości w procesie przetwarzania jego danych osobowych przez Delegaturę NIK; polegały one na niezapewnieniu im należytej, poprzez pozostawienie w miejscu ogólnodostępnym zawierającej te dane oceny kwalifikacyjnej, - w toku postępowania ustalono następujący stan faktyczny: - Wnioskodawca jest pracownikiem [...], zatrudnionym w [...] na stanowisku głównego [...]; zgodnie z art. 76 ust. 1 ustawy z dnia 23 grudnia 1994 r. o Najwyższej Izbie Kontroli (Dz. U. z 2019 r., poz. 489) - jako [...] - podlega okresowym ocenom kwalifikacyjnym, - [...] kwietnia 2018 r. w siedzibie [...] pozostawiono - w pomieszczeniu ogólnodostępnym dla pracowników - wydruk oceny kwalifikacyjnej Wnioskodawcy z 2017 roku; wydruku dokonał dyrektor [...], zwany dalej "Dyrektorem", - NIK - w złożonych wyjaśnieniach - wskazała: "W przedmiotowej sprawie przeprowadzone zostało postępowanie wyjaśniające, w wyniku którego Prezes NIK w dniu [...] czerwca 2018 r., stosownie do art. 97c ust. 1 ustawy o NIK, wyznaczył rzecznika dyscyplinarnego i polecił mu wszczęcie i przeprowadzenie postępowania dyscyplinarnego. Rzecznik dyscyplinarny, zgodnie z art. 91d ust. 1 ustawy o NIK, wydał postanowienie o wszczęciu postępowania dyscyplinarnego (...)."; wskazała też: "(...) postępowanie dyscyplinarne wszczęte w związku z niezapewnieniem należytej ochrony danych osobowych (...), mianowanego [...] zatrudnionego w [...] w W., zostało umorzone. Biorąc pod uwagę, ciężar gatunkowy ujawnionego uchybienia, a w szczególności brak szkody po stronie pracownika, którego dane nie zostały należycie zabezpieczone, rzecznik dyscyplinarny postanowił umorzyć postępowanie uznając, że społeczna szkodliwość czynu jest znikoma (...)" oraz "W dniu [...] września 2016 r. Dyrektor [...] skierował do wszystkich pracowników Izby pismo, związane z potrzebą skutecznej ochrony dokumentów. W piśmie tym wskazano m.in. każda osoba, która znajdzie dokument pozostawiony na drukarkach i urządzeniach wielofunkcyjnych zobowiązana jest przekazać go gestorowi zasobu (kierownikowi jednostki lub komórki organizacyjnej), który jest odpowiedzialny za dany zasób informacji.", - z dniem wejścia w życie ustawy o danych z 2018 roku - 25 maja 2018 r. - Biuro Generalnego Inspektora Ochrony Danych Osobowych stało się Urzędem Ochrony Danych Osobowych; na podstawie art. 160 ust. 2 wskazanej ustawy postępowania, prowadzone przez Generalnego Inspektora Ochrony Danych Osobowych wszczęte i niezakończone przed 25 maja 2018 r. prowadzone są przez Prezesa Urzędu Ochrony Danych Osobowych na podstawie ustawy o danych z 1997 roku), zgodnie z zasadami określonymi w K.p.a.; wszelkie czynności podejmowane przez Generalnego Inspektora Ochrony Danych Osobowych przed 25 maja 2018 r. pozostają skuteczne (art. 160 ust. 3 ustawy o danych z 2018 roku), - 25 maja 2018 r. wszedł w życie obowiązek stosowania przepisów RODO; wobec tego do spraw rozstrzyganych, które wpłynęły przed wejściem w życie RODO, w zakresie prawa materialnego zastosowanie będą miały przepisy tego rozporządzenia, a w zakresie proceduralnym przepisy ustawy o danych z 1997 roku, - zgodnie z art. 18 ust. 1 ustawy o danych z 1997 r., w przypadku naruszenia przepisów o ochronie danych osobowych, organ z urzędu lub na wniosek osobowy zainteresowanej nakazuje w drodze decyzji administracyjnej przywrócenie stanu zgodnego z prawem, a w szczególności usunięcie uchybień, - odnosząc się do legalności przetwarzania danych osobowych Wnioskodawcy wskazano: Prezes NIK - będący administratorem danych osobowych, a więc podmiotem, który samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych osobowych, zgodnie z art. 4 pkt 7 RODO - odpowiada za prawidłowość procesów przetwarzania danych osobowych, wynikających z przepisów o ochronie danych osobowych, - w niniejszej sprawie doszło do niezapewnienia należytej ochrony danych osobowych Wnioskodawca, zawartych w okresowej ocenie kwalifikacyjnej za 2017 rok; w zaistniałych okolicznościach doszło do naruszenia zasady poufności - wynikającej z art. 5 ust. 1 lit f RODO; powinna być ona bowiem przestrzegana nie tylko przy gromadzeniu danych, ale także na każdym etapie ich dalszego wykorzystania; według motywu 39 ogólnego RODO, dane osobowe powinny być przetwarzane w sposób zapewniający im odpowiednie bezpieczeństwo i odpowiednią poufność, w tym ochronę przed nieuprawnionym dostępem do nich i do sprzętu, służącego ich przetwarzaniu, oraz przed nieuprawnionym korzystaniem z tych danych i z tego sprzętu; zapewnienie poufności przetwarzania danych osobowych można osiągnąć przez stosowanie odpowiednich procedur administracyjno-prawnych, obowiązujących w danym podmiocie, - Dyrektor - w oświadczeniu z [...] kwietnia 2019 r. - wyjaśnił, że [...] kwietnia 2018 r. otrzymał od Wnioskodawcy informację o pozostawieniu w pomieszczeniu drukarek w siedzibie [...] dokumentu, zawierającego jego dane osobowe; podejmując czynności wyjaśniające w sprawie Dyrektor ustalił, że - w wyniku pomyłki - do wydrukowania dokumentu oceny okresowej Wnioskodawcy wybrano niewłaściwą drukarkę i skierowano do niej polecenie drukowania, a wydrukowanego dokumentu z niej nie zabrano po wydruku, - opisane zdarzenie było jednakże działaniem jednorazowym; Dyrektor [...] skierował do wszystkich pracowników Izby pismo, dotyczące procedury skutecznej ochrony dokumentów; w jego treści podkreślono m.in., że każda osoba, która znajdzie dokument pozostawiony na drukarkach i urządzeniach wielofunkcyjnych jest zobowiązana przekazać go gestorowi zasobu (kierownikowi jednostki lub komórki organizacyjnej), który jest odpowiedzialny za dany zasób informacji; na tej podstawie nałożono na pracowników [..] obowiązek informowania Dyrektora w przypadku znalezieniu wydrukowanych dokumentów na drukarkach i urządzeniach wielofunkcyjnych, - tym samym - wobec art. 18 ust. 1 ustawy o danych z 1997 roku - nie ma podstaw do wydania decyzji nakazującej zaprzestanie udostępnienia danych osobowych Wnioskodawcy, jak również ukształtowania innego nakazu, o którym mowa w tym przepisie. W skardze, zarzucono naruszenie przepisów: - postępowania - art. 7, w zw. z art. 77 § 1 i 107 § 3, K.p.a. poprzez niedostateczne i niedokładne wyjaśnienie stanu faktycznego; skutkowało to przyjęciem błędnego logicznie i niezgodnego ze stanem faktycznym sprawy rozumowania; polega ono na: - stwierdzeniu, że mimo - wykazanego przez Wnioskodawcę i należycie udowodnionego - istotnego uchybienia prawu przez Dyrektora w materii przestrzegania przepisów, dotyczących ochrony danych osobowych, potraktowano je jako "działanie jednorazowe" - niejako konwalidowane skierowaniem przez Dyrektora [...] pisma, dotyczącego skutecznej procedury ochrony dokumentów i nakładającego "obowiązek informowania Dyrektora [...] Izby [...] w W. w przypadku znalezienia wydrukowanych dokumentów na drukarkach i urządzeniach wielofunkcyjnych"; tymczasem rzeczone pismo - wewnętrzny okólnik (określane dalej mianem "Okólnik") - wskazujące na obowiązki związane z prawidłową procedurą zabezpieczenia dokumentów, zawierających informację stanowiące tajemnicę kontrolerską w (art. 73 ustawy o Najwyższej Izbie Kontroli) pozostawianych na drukarkach i urządzeniach wielofunkcyjnych, pochodzi z [...] września 2016 r.; zatem już a priori - przed zaistnieniem zastanego w sprawie stanu faktycznego - stwarzało wobec pracowników [...] wyższe standardy procedowania z dokumentami, pozostawionymi w pomieszczeniach ogólnodostępnych; organ wskazał w opisie stanu faktycznego właściwą datę skierowania Okólnika; jednocześnie uznał zachowanie Dyrektora za nieistotną pomyłkę urzędniczą, w oparciu o niespójną chronologicznie argumentację zawartą w uzasadnieniu zaskarżanej decyzji; w istocie uniemożliwia to zdekodowanie toku myślowego organu - odczytanie kryteriów prawidłowego zachowania w przedstawionym stanie faktycznym; jest to wadliwość mająca istotny wpływ na wynik sprawy; - wskazaniu w uzasadnieniu decyzji, że "w zaistniałych okolicznościach doszło do naruszenia zasady poufności wynikającej z art. 5 ust 1 litera f ogólnego rozporządzenia o ochronie danych osobowych"; nie znajduje to odzwierciedlenia w wyniku postępowania; bez jakichkolwiek wątpliwości doszło w istocie do zachowania, będącego przedmiotem krytycznej oceny Wnioskodawcy; decyzja - w warstwie logiki wywodu uzasadnienia co do oceny stanu faktycznego w sprawie - nie daje rękojmi dla uznania, że organ działał zgodnie z prawem, zasadami doświadczenia, zasadami ochrony prawa jednostki, dotkniętej działaniami przełożonego i organu kontroli; sprzeniewierzono się zasadzie art. 7 Konstytucji Rzeczypospolitej Polskiej z dnia 2 kwietnia 1997 r. (Dz.U. Nr 78, poz. 483 ze zm.) - działania na podstawie prawa i w jego granicach, - prawa materialnego: - art. 36 ust. 1 i art. 18 ust. 1 ustawy o danych z 1997 roku, w zw. z art. 160 ust. 1 i 2 ustawy o danych 2018 roku.; wobec wskazanego art. 160 ust. 1 i 2 postępowania, o których mowa w ust. 1, prowadzi się na podstawie ustawy o danych z 1997 roku, zgodnie z zasadami określonymi w K.p.a.; organ dopuścił się więc naruszenia prawa materialnego w postaci niezastosowania art. 36 ustawy o danych z 1997 roku, tyczącego obowiązków administratora danych w zakresie stosowania środków technicznych i organizacyjnych, zapewniających ochronę przetwarzania danych osobowych - w szczególności zabezpieczenia danych przed ich udostępnieniem osobom nieupoważnionym i zabraniem przez osobę nieupoważnioną; w rezultacie błędnie wyłożono art. 18 danej ustawy; przyjęto jakoby nie było podstaw do wydania decyzji, nakazującej zaprzestanie udostępnienia danych osobowych, jak również "ukształtowania innego nakazu, o którym mowa w tym przepisie", - art. 5 ust. 1 lit. f i ust. 2, w zw. z motywem 39 in fine RODO, polegające na ich niezastosowaniu w sprawie, mimo powołania się na wskazane przepisy w uzasadnieniu skarżonej decyzji; zgodnie z uzasadnieniem: "doszło do niezapewnienia należytej ochrony danych osobowych Skarżącego zawartych w treści jego okresowej oceny kwalifikacyjnej za 2017 r." oraz: "w zaistniałych w przedmiotowej sprawie okolicznościach doszło do naruszenia zasady poufności wynikającej z art. 5 ust. 1 lit f RODO"; w nawiązaniu do art. 5 ust. 2 RODO - zobowiązującego administratora danych do przestrzegania przepisów ust. 1 - mimo powołania się na powyższe przepisy obowiązki w nich określone nie są egzekwowane; w szczególności istnienia wewnętrznych procedur postępowania (w niniejszej sprawie - Okólnika) nie można interpretować jako zwolnienie z tego obowiązku; będące przedmiotem oceny zachowanie stanowi bowiem jawne naruszenie danej, dodatkowej, wewnętrznej procedury w ramach funkcjonowania [...]; dane naruszenie prawa materialnego wypacza istotę regulacji RODO; takie działanie organu stoi w oczywistej sprzeczności z podstawowymi zasadami jego powołania, jako instytucji prawa publicznego; ma on stać na straży egzekwowania przestrzegania przepisów ustawy o danych z 1997 roku i obecnych - zawartych w RODO. W szerokim uzasadnieniu skargi rozwinięto powyższe zarzuty. Wskazano, że wewnętrzne działania w celu wyjaśnienia zaistniałego zdarzenia - pozostawienia dokumentu w drukarce - podjęto dopiero wobec interwencji Wnioskodawcy skierowanej do Prezesa [...]. Prowadzono je przewlekle. Nie przyniosły też stosownych skutków. Wszczęte postępowanie dyscyplinarne umorzono zaś Wnioskodawca nie miał możliwości zakwestionowanie rozstrzygnięcia w danym zakresie. Prokurator z kolei odmówił wszczęcia śledztwa wobec jego wniosku, gdyż uchylono ustawę o danych z 1997 roku, gdzie zmieszczono przepis karny. Organ całkowicie pominął tą kwestię. W odpowiedzi na skargę organ administracji wniósł o jej oddalenie, podtrzymując dotychczasową argumentację. W piśmie procesowym (k. 35) uczestnik postępowania - Prezes [...] - podzielił stanowisko organu i wnosił o oddalenie skargi. Podkreślono w nim, że - wobec zaistniałych nieprawidłowości w przetwarzaniu danych osobowych - zainicjowano stosowne procedury prawne, lecz – wobec konkretnej oceny zdarzenia - nie zakończyły się one ukaraniem Dyrektora. Sąd zważył, co następuje: Skarga została oddalona. Nie zasługuje ona na uwzględnienie, albowiem zaskarżone rozstrzygnięcie nie narusza prawa, w zakresie uzasadniającym jego wyeliminowanie z obrotu prawnego. Trafnie skonstatował organ brak podstaw do uwzględnienia żądania Wnioskdaowcy wydanie decyzji o zobowiązaniu do usunięcia nieprawidłowości, w myśl mających w sprawie zastosowanie regulacji normatywnych. Trafne są wprawdzie wywody skargi, gdy zarzucono organowi brak stosownie szerokiego uzasadnienia decyzji, zwłaszcza gdy chodzi o zakres mających w sprawie zastosowanie regulacji - przywoływanych przez organ. W rozpatrywanym przypadku uchybienie w tym zakresie nie mogą mieć jednak istotnego znaczenia dla wyniku sprawy. Z treści uzasadnienia wynika bowiem, że – pomimo tego - stosownie ją rozważono we wszelkich istotnych aspektach. Stosowne rozważania organu, co do zdarzeń dotyczących bezpodstawnego przetwarzania danych osobowych Wnioskodawcy są trafne i stosownie umotywowane, w kontekście właściwie przytoczonych regulacji normatywnych. Powtarzanie argumentacji w danym zakresie byłoby bezzasadne wobec uprzedniego szczegółowego zreferowania. Sąd przyjmuje ją za własną. W kontekście uwarunkowań prawnych należy wskazać, że w sprawie - co trafnie odnotował organ – pomimo jej wszczęcia pod rządami ustawy o danych z 1997 roku (skarga datowana [...] maja 2018 r., nadana tego samego dnia u operatora pocztowego – k. 18a akt. adm.) - znajdą także zastosowanie przepisy prawa materialnego, regulujące zasady ochrony danych osobowych zawarte w RODO. Zdarzenie w postaci naruszenie reguł poufności ochrony danych osobowych -pozostawienie dokumentu w drukarce, gdzie możliwy był wgląd osób trzecich - miało wprawdzie miejsce w czasie obowiązywania ustawy o danych z 1997 roku. Jednakże, samo odwrócenie jego skutków – jako możliwości bezprawnego ujawnienia danych osobowych Wnioskodawcy - oczywiście nie było to możliwe. Dokument został bowiem zabezpieczony. W danym przedmiocie nie mógł więc orzekać organ, w ramach kompetencji przewidzianych art. 18 ust. 1 ustawy o danych z 1997 roku. Przewidziane tam m.in. możliwość wydania decyzji o nakazaniu przywrócenia stanu zgodnego z prawem (zwanej dalej "decyzją naprawczą") w zakresie usunięcie uchybień (tak pkt 1), czy zastosowania dodatkowych środków, zabezpieczających zgromadzone dane osobowe (tak pkt 3). Poza kwestią odwrócenia skutków określonego zdarzenia, które może mieć charakter ciągły, w ramach wskazanych regulacji mieści się też możliwość nałożenia na podmiot, który naruszył przepisy dotyczące ochrony danych osobowych, obowiązku określonych działań organizacyjnych czy technicznych. Ponieważ kwestia zasadności nałożenia danych obowiązków musiała być rozważona wedle stanu istniejącego na dzień orzekania, zasadnym było odniesienie się do ram materialnoprawnych ochrony danych osobowych na dzień orzekania. Zasadne było więc także przywołanie przepisów RODO, dla oceny czy dane zdarzenie stanowi także o naruszenia reguł tej regulacji. Zresztą nie jest to w sprawie sporne. Jednocześnie - jak ocenił organ - reguły ochrony danych osobowych w konkretnej instytucji, gdzie doszło do zdarzenia, określono prawidłowo - wydając stosowne wewnętrzne instrukcje – m.in. Okólnik. W ich ramach określono taki system obiegu dokumentów, aby te - przypadkowo pozostawione - były zabezpieczane przez pracowników i dostarczone kierownikiem stosownych jednostek organizacyjnych (pkt 4). Przy tym - czego notabene nie odnotował organ, lecz pominięcie to nie może mieć wpływu na wynik sprawy - w Okólniku wskazano też, że nie prawidłowe zabezpieczenie dokumentów może się wiązać podjęciem stosownych środków dyscyplinarnych (tak pkt 5). Bez znaczenia jest okoliczność, że określonych reguł nie zamieszczono w dokumencie dotyczącym stricte ochrony danych osobowych - takim jest zawarte w aktach zarządzenie nr [...] (k. 7 – 17 akt adm.). W istocie chodzi bowiem o skuteczne zabezpieczenie w instytucji dokumentów, zawierających dane osobowe, nie zaś gdzie określono niezbędne reguły postępowania. Z kolei przywołany Okólnik – choć, co wynika z jego części wstępnej, służyć ma ochronie tajemnicy kontrolerskiej – wedle jego treści dotyczy wszelkich pozostawionych w [...] dokumentów. W rozpatrywanej sprawie Wnioskodawca podnosił wprawdzie, że stosowne procedury przeciwko sprawcą naruszenie reguł (postępowanie dyscyplinarne) podjęto dopiero wobec konkretnych interwencji zainteresowanego. Przepisy dotyczące ochrony danych osobowych nie zawierały jednak na dzień wystąpienia zdarzenia obowiązku podejmowania z urzędu działań wobec każdego pracownika, który uchybił regułom ochrony danych osobowych - niezależnie od stopnie i wagi zdarzenia, w tym jego skutków. Wnioskodawca nie wywodził także na etapie skargi, aby w instytucji gdzie jest zatrudniony (NIK) generalnie źle chroniono dane osobowe - dochodziło do częstych przypadków ich bezprawnego ujawnienia. W takiej sytuacji - mając na uwadze, że dane zdarzenie było epizodyczne - organ wyspecjalizowany w zakresie nadzoru nad ochroną danych osobowych miał prawo ocenić, że wdrożone jeszcze przed zdarzeniem środki - w postaci określenia konkretnych reguł - są wystarczające. Brak więc przesłanek dla wydania decyzji naprawczej, w myśl art. 18 ust. 1 ustawy o danych z 1997 roku. Zakreśla on granice kompetencji danego organu w tej sprawie. Poza oceną organu – jak i Sądu badającego legalność zaskarżonej decyzji - musiały pozostawać natomiast podnoszone przez Wnioskodawcę kwestie zasadności czy wręcz legalności orzeczeń, wydanych w - zainicjowanych wobec zdarzenia w postaci naruszenia reguł ochrony danych osobowych - postępowaniach dyscyplinarnym czy karnym. Nie do przyjęcia jest bowiem takie wykładanie regulacji ustawy o danych z 1997 roku, aby wywodzić z jej art. 18 ust. 1, dla organu właściwego w sprawie ochrony danych, prawo władczej oceny działań innych organów - rzecznika dyscyplinarnego NIK czy prokuratora - w ramach postępowania prowadzonego myśl przywołanego przepisu. Wynikające z danej regulacji kompetencje nie obejmują z pewnością uprawnienia do kwestionowania konkretnych orzeczeń innych organów. W takiej sytuacji ich ocena nie może mieć znaczenia dla wyniku sprawy. Organ procedujący w przedmiocie wydania decyzji naprawczej nie może mieć także na względzie okoliczności, że sprawca uchybienia wymaganiom ochrony danych osobowych nie może być ukarany w ramach przepisów karnych, wobec zmiany stosownych regulacji. Nie ma to znaczenia dla zakresu jego kompetencji do wydania decyzji naprawczej. Wobec wskazanych wcześniej uwarunkowań chybione są zarzuty skargi, jakoby naruszono przepis prawa materialnego, określający kompetencje organu, przewidziane art. 18 ust. 1 ustawy o danych z 1997 roku. Mylnie określono go mianem przepisu prawa procesowego. Nie ma to jednak znaczenia z perspektywy oceny legalności zaskarżonej decyzji przez Sąd. Nie jest on związany granicami i wnioskami skargi. Chybiony jest także zarzut, jakoby sprawa nie została stosownie wnikliwie wyjaśniona. W istocie wszelkie istotne okoliczności faktyczne, powołane przez organ w uzasadnieniu zaskarżonego aktu, są bezsporne. Oceniają sytuację faktyczną organ wywiódł też logiczne wnioski. Nie naruszono też przepisów prawa materialnego, co do reguł ochrony danych osobowych, zarówno na gruncie ustawy o danych z 1997 roku jak i RODO. W sprawie było poza sporem, że doszło do naruszenia reguły ochrony poufności danych na gruncie RODO. W takiej sytuacji samo nie przywołanie w uzasadnienie zaskarżonego aktu regulacji w danym zakresie, zawartych w ustawie o danych z 1997 roku, a dotyczących ochrony poufności danych, nie może mieć żadnego znaczenia dla wyniku sprawy. Poza sporem jest bowiem, że zasady w danym zakresie naruszono, na dzień zdarzenia (pozostawienie dokumentu w drukarce). Nie jest także trafna argumentacja, jakoby uzasadnienie zaskarżonego aktu było wewnętrznie, logicznie niespójne skoro przywołano tam Okólnik z daty sprzed stosownego zdarzenia. Organ ocenił wszak - w ramach swoich kompetencji - że wdrożone wcześniej działania są adekwatne i wystarczające a zdarzenie, którego dotyczyła skarga Wnioskodawcy, ma charakter incydentalny. Trzeba mieć przy tym na uwadze, że - nawet przy zastosowaniu najdalej idących środków - w instytucjach o wieloosobowych strukturach mogą zderzyć się przypadki, gdy dojdzie do uchybienia stosownym regułom. Wynika to z błędów ludzkich. Wystąpienie pojedynczego zdarzenia nie musi przesądzać o wadliwości systemu ochrony danych osobowych, gdy ma ono wyłącznie charakter incydentalny i nie pociągają znaczniejszych skutków. Ocena, jak daleko idące środki organizacyjne i techniczne należy podejmować, aby było to ekonomicznie adekwatne do potrzeb skutecznej ochrony na rozsądnym poziomie należy właśnie do wyspecjalizowanego organu. W rozpatrywanej sprawie nie wykroczył on poza granice racjonalnych ocen. W rozpoznawanej sprawie Wnioskodawca nie podnosił nawet, aby uchybienie - w postaci potencjalnego umożliwienia dostępu do jego danych osobowych osobom trzecim - prowadziło do istotnych negatywnych dlań skutków. Oczywiście zrozumiała jest jego dezaprobata, gdy zaistniałe uchybienie dotyczy właśnie jego danych, zaś osobą, która się go dopuściła jest przełożony w danej komórce organizacyjnej. Daje temu zresztą wyraz w uzasadnieniu skargi. Nie czyni to jej jednak zasadą, gdy nie naruszono przepisów postępowania w zakresie obowiązku właściwego wyjaśnienia sprawy w istotnych aspektach ani przepisów prawa materialnego, zakreślających reguły ochrony danych osobowych oraz kompetencje organu do wydawania decyzji naprawczych. Tym samym nie naruszono także konstytucyjnej zasady działania organów administracji na podstawie i w granicach prawa. Z uwagi na termin wszczęcia postępowania nie może znaleźć z kolei w sprawie zastosowania przepis przyznający organowi administrację kompetencje do nałożenia kary administracyjnej z tytułu uchybienia regułom ochrony danych osobowych (tak art. 102 ustawy o danych z 2018 roku). Rozważanie więc - wobec ujawnienia danego zdarzenia - zasadności takiej sankcji jest bezcelowe. Sąd nie dostrzegł także z urzędu wad w zaskarżonym akcie, które przemawiałyby za jego wyeliminowaniem z obrotu prawnego. Z przytoczonych wyżej przyczyn, na podstawie art. 151 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (Dz.U. z 2019 r., poz. 2325 ze zm.), orzeczono jak w sentencji.