II SA/Wa 2057/19

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Agnieszka Góra-Błaszczykowska (spr.), Sędzia WSA Iwona Maciejuk, Sędzia WSA Andrzej Góraj, Protokolant starszy specjalista Małgorzata Plichta po rozpoznaniu na rozprawie w dniu 9 lipca 2020 r. sprawy ze skargi I. M. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] lipca 2019 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę

Przedmiotem rozpoznania w niniejszej sprawie była skarga I. M. na decyzję Prezesa Urzędu Ochrony Danych Osobowych znak [...] z dnia [...] lipca 2019 r. w przedmiocie przetwarzania danych osobowych. Skarga została złożona w następującym stanie faktycznym sprawy: W dniu 29 listopada 2018 r. (data wniesienia za pośrednictwem platformy ePUAP) I. M. (zwany dalej: wnioskodawca, skarżący), wniósł do Prezesa Urzędu Ochrony Danych Osobowych (zwany dalej: PUODO, organ), skargę na przetwarzanie jego danych osobowych przez Powiatowe Centrum Pomocy Rodzinie z siedzibą w K. W treści skargi skarżący wskazał, że złożył skargę w okresie obowiązywania ustawy o ochronie danych osobowych do dnia 25.05.2018 r., Administrator Danych Osobowych PCPR K. naruszył jego prawa pozyskując i przetwarzając bez jego zgody jego wrażliwe dane osobowe (naruszając art. 27 ustawy u.o.d.o.). Ponadto wskazał, że pozyskano i przetwarzano jego "wrażliwe" dane osobowe do dnia [...].05.2018, dokładnie sentencję wyroku SR K. [...] z dnia [...] lipca 2015 i wyroku wydanego przez Sąd Okręgowy G. [...] z dnia [...] marca 2017. Skarżący wskazał, że oczekuje od organu nakazania administratorowi lub podmiotowi przetwarzającemu jego dane spełnienie jego żądania na mocy art. 16, art. 17 i art. 18 RODO (EU), czyli usunięcia wszystkich jego "wrażliwych" danych osobowych i ich kopii (materialnych i elektronicznych) oraz dostarczenie przez administratora zaświadczenia, iż wszystkie sporządzone przez niego kopie orzeczenia jakie bezprawnie pozyskał i przekazał do innych podmiotów, także zostały przez niego usunięte. Decyzją znak [...] z dnia [...] lipca 2019 r. organ, działając na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2018 r., poz. 2096 ze zm., zwana dalej: k.p.a.) w związku z art. 7 z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2018 r., poz. 1000 ze zm., zwana dalej: u.o.d.o.), art. 10 oraz art. 57 ust. 1 lit. a) i f) rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z 04.05.2016, str. 1, ze zm., zwane dalej: rozporządzeniem 2016/679), orzekł o odmowie uwzględnienia wniosku. W uzasadnieniu podjętej decyzji organ wskazał, że z wyjaśnień Dyrektora Powiatowego Centrum Pomocy Rodzinie w K. (zwane dalej także: PCPR) wynika, że PCPR przetwarza dane skarżącego (w tym dane pochodzące z wyroku Sądu Rejonowego w K. z dnia [...] lipca 2016 r., sygn. akt [...] oraz utrzymującego go w mocy wyroku Sądu Okręgowego w G., sygn. akt [...] z dnia [...] marca 2017 r.) w celu wypełnienia obowiązku prawnego, związanego z realizacją zadań, wynikających miedzy innymi z ustawy z dnia 9 czerwca 2011 r. o wspieraniu rodziny i systemie pieczy zastępczej (Dz. U. z 2019 r. poz. 1111, zwana dalej: u.w.r.p.z.). W szczególności w celu prawidłowego zorganizowania opieki nad dziećmi skarżącego, zwłaszcza w zakresie przyszłych kontaktów rodziców (skarżącego i matki dziecka) z jego synem, przebywającym obecnie w placówce socjalizacyjnej, jak również kwestii zapewnienia mu opieki psychologa, psychiatry itp. Dane osobowe skarżącego zostały pozyskane od osoby, której dane dotyczą, jak również od innych organów i przetwarzane są w PCPR w zakresie: imię i nazwisko, data i miejsce urodzenia, adres zamieszkania, numer PESEL, miejsce pracy, źródła dochodu, informacja o sytuacji zdrowotnej, rodzinnej, orzeczenia sądu, numer telefonu. Pismem z dnia 21 stycznia 2018 r. Dyrektor PCPR wystąpił o wydanie odpisu wyroku Sądu Rejonowego w K. [...] Wydział Karny - o ile taki został wydany. Informacja zawarta w wyroku była niezbędna w celu objęcia dzieci skarżącego pieczą instytucjonalną, a w szczególności do zorganizowania dla nich pieczy zastępczej, do czego jest zobowiązany Powiat K., wykonujący zadania przy pomocy PCPR. Do wyroku Sądu w K. dołączony był wyrok Sądu Okręgowego w G. sygn. akt [...] z dnia [...] marca 2017 r., wydany na skutek wniesionej przez skarżącego apelacji. Z akt sprawy wynika, że Sąd Rejonowy w K. przesłał do PCPR odpis prawomocnego wyroku z dnia [...] lipca 2016 r., sygn. akt [...] oraz utrzymującego go w mocy wyroku Sądu Okręgowego w G., sygn. akt [...] z dnia [...] marca 2017 r., a otrzymane odpisy nigdy nie zostały przetworzone w formie elektronicznej i są przechowywane w siedzibie administratora. Z dokumentów sprawy wynika też, że podczas rozprawy w Sądzie Okręgowym w G. w dniu [...] października 2018 r. w sprawie o alimenty, połączonej ze sprawą rozwodową skarżącego, na której skarżący był obecny (wraz z pełnomocnikiem), zostały złożone 3 kopie orzeczeń Sądu Rejonowego w K. [...] Wydział Karny sygn. akt [...] i Sądu Okręgowego w G. [...] Wydział Karny Odwoławczy sygn. akt [...] Dyrektor PCPR, jako osoba reprezentująca jednostkę, realizującą zadania pieczy instytucjonalnej, był uprawniony do otrzymania danych osobowych w ramach tego postępowania w celu realizacji obowiązku prawnego, do którego została zobowiązana placówka socjalizacyjna "[...]'* w K. O przekazaniu ww. informacji ww. podmiotom, skarżący został poinformowany pismem z dnia 31 stycznia 2019 r. Oceniając ustalony w sprawie stan faktyczny w kontekście obowiązujących w tym zakresie przepisów organ stwierdził, że wobec braku potwierdzenia faktu niezgodnego z prawem przetwarzania danych osobowych skarżącego przez PCPR, administrator nie naruszył przepisów rozporządzenia 2106/679. PCPR jako samodzielna jednostka organizacyjno-budżetowa podporządkowana bezpośrednio Zarządowi Powiatu K. i realizująca zadania powiatu z zakresu pomocy społecznej i zadania z zakresu administracji rządowej oraz zadania z zakresu rehabilitacji zawodowej i społecznej, przetwarza dane osobowe skarżącego w celu wypełnienia obowiązku prawnego, jakie nakłada na PCPR ustawa o wspieraniu rodziny i systemie pieczy zastępczej. Zdaniem PUODO przetwarzanie danych osobowych skarżącego, w tym danych pochodzących z ww. wymienionych wyroków sądów, jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze, ponieważ odbywa się w związku z koniecznością realizacji zadań nałożonych przez Powiat K. na PCPR. PCPR działało zgodnie przydzielonymi kompetencjami, nie naruszając prawa w tym zakresie. Stwierdził także, że analiza zebranego w sprawie materiału dowodowego wskazuje, iż bezzasadny jest zarzut skarżącego, dotyczący naruszenia przez PCPR jego danych osobowych, wskutek zwrócenia się do Sądu o udostępnienie odpisu wyroku Sądu Rejonowego w K. Wykonując zadania zlecone, polegające na zorganizowaniu pieczy zastępczej dla dzieci skarżącego przez Powiat K. miał podstawę prawną do tego, aby zwrócić się do sądu w przedmiotowej sprawie. Za niezasadne - nie mające oparcia w przepisach prawa, jak również wobec braku stwierdzenia naruszenia przez PCPR przepisów rozporządzenia 2016/679, organ uznał żądanie skarżącego, dotyczące usunięcia jego wszystkich wrażliwych danych osobowych z dokumentów materialnych i elektronicznych oraz wydania przez administratora zaświadczenia, że wszystkie sporządzone przez niego kopie orzeczenia zostały przez niego usunięte. Za nietrafny uznał także zarzut skarżącego, dotyczący przetwarzania jego danych osobowych przez PCPR. Powyższe ustalenia skutkowały stwierdzeniem przez organ, że brak jest podstaw do wydania decyzji administracyjnej, nakazującej przywrócenie stanu zgodnego z prawem, jak również nie może skorzystać z uprawnień naprawczych, o których mowa w art. 58 ust. 2 rozporządzenia 2016/679. Tym samym brak jest podstaw faktycznych i prawnych do uwzględnienia wniosku skarżącego. W skardze złożonej na powołane rozstrzygnięcie, skarżący wniósł o uchylenie zaskarżonej decyzji w całości. Wydanej decyzji skarżący zarzucił naruszenie: 1. art. 27 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r. poz. 922 ze zm., zwana dalej: u.o.d.o. z 1997 r.) poprzez błędną wykładnię i niewłaściwą ocenę jego wniosku - skargi na bezprawne czynności (dokonane w marcu 2018 r.), czyli pozyskanie i przetwarzanie jego wrażliwych danych osobowych przez organ PCPR w K.; 2. art. 7 ust. 1 i ust. 2 u.w.r.p.z. poprzez jego zastosowanie, w sytuacji gdy z przepisu tego nie wynika uprawnienie do organów samorządowych do żądania danych osobowych. Uzasadniając skargę skarżący wskazał, iż PCPR pozyskał i przetwarzał jego wrażliwe dane osobowe (tj. sentencję wyroku SR K. [...] z dnia [...] lipca 2015 r. i wyroku wydanego przez Sąd Okręgowy G. [...] z dnia [...] marca 2017 r.) do dnia [...] maja 2018 r. PCPR nie mieści się jednak w zamkniętym katalogu podmiotów i sytuacji – określonym w art. 27 ust. 2 u.o.d.o., które dostęp do danych wrażliwych (sensytywnych) mogły uzyskiwać na mocy art 27 "starej" ustawy u.o.d.o. Ponadto nie istniał żaden przepis szczególny innej ustawy, który by zezwalał w marcu 2018 r. na przetwarzanie przez PCPR jego danych osobowych. Jego zdaniem PUODO pomylił się w ocenie faktu niezgodnego z prawem przetwarzania przez PCPR jego wrażliwych danych osobowych. W odpowiedzi na skargę organ wniósł o oddalenie skargi, podtrzymując argumentację, zaprezentowaną w zaskarżonej decyzji. Wojewódzki Sąd Administracyjny w Warszawie, zważył co następuje: Skarga podlegała oddaleniu. Stosownie do treści art. 3 § 1 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2019 r., poz. 2325 ze zm., zwana dalej: p.p.s.a), sądy administracyjne sprawują kontrolę działalności administracji publicznej i stosują środki określone w ustawie. Oznacza to, iż sąd rozpoznając skargę ocenia, czy zaskarżona decyzja nie narusza przepisów prawa materialnego bądź przepisów postępowania administracyjnego. Zgodnie z art. 134 p.p.s.a. Sąd rozstrzyga w granicach danej sprawy, nie będąc jednak związany zarzutami i wnioskami skargi ani powołaną w niej podstawą prawną. Uwzględnienie skargi następuje w przypadku stwierdzenia naruszenia przez Sąd przepisów prawa, wskazanego w art. 145 § 1 pkt 1 p.p.s.a. Zgodnie z art. 135 p.p.s.a. orzekanie następuje w granicach sprawy, w której wydano zaskarżoną decyzję i odbywa się z uwzględnieniem obowiązujących w czasie jej wydania przepisów prawa. W pierwszej kolejności zauważyć należy, że według treści art. 3 ust. 3 u.w.r.p.z., zadania z zakresu wspierania rodziny i systemu pieczy zastępczej są realizowane zgodnie z zasadą pomocniczości, zwłaszcza gdy przepisy ustawy przewidują możliwość zlecania realizacji tych zadań przez organy jednostek samorządu terytorialnego. Zgodnie z art. 7 ust. 1 i 3 u.w.r.p.z., podmioty i osoby realizujące zadania w zakresie wspierania rodziny i systemu pieczy zastępczej przetwarzają dane osobowe osób, do których stosuje się niniejszą ustawę, oraz członków ich rodzin w zakresie niezbędnym do realizacji zadań wynikających z niniejszej ustawy, a podmioty i osoby realizujące zadania w zakresie wspierania rodziny i systemu pieczy zastępczej są obowiązane do zachowania w tajemnicy informacji o osobach, do których stosuje się niniejszą ustawę, oraz członkach ich rodzin, w tym informacji o udzielonej tym osobom pomocy i świadczeniach. Stosownie do treści art. 182 ust. 1, 2 i 4 u.w.r.p.z., zadania powiatu w zakresie pieczy zastępczej starosta wykonuje za pośrednictwem powiatowego centrum pomocy rodzinie oraz organizatorów rodzinnej pieczy zastępczej. Do zakresu działania powiatowego centrum pomocy rodzinie należą wszystkie sprawy z zakresu pieczy zastępczej, niezastrzeżone na rzecz innych podmiotów. Ponadto kierownik powiatowego centrum pomocy rodzinie współpracuje z sądem w sprawach dotyczących opieki i wychowania dzieci, których rodzice zostali pozbawieni lub ograniczeni we władzy rodzicielskiej nad nimi. Organy jednostek samorządu terytorialnego mogą zlecić realizację zadań, o których mowa w art. 10 ust. 1, art. 18 ust. 2 i 3, art. 60 ust. 1, art. 76 ust. 1, art. 93 ust. 2 i 3 i art. 154 ust. 2, organizacjom pozarządowym, prowadzącym działalność w zakresie wspierania rodziny, pieczy zastępczej lub pomocy społecznej (art. 190 ust. 1 pkt 1 u.w.r.p.z.). Sądy, organy i jednostki organizacyjne są obowiązane niezwłocznie, nie później jednak niż w terminie 7 dni, udostępnić lub udzielić na wniosek podmiotu realizującego zadania w zakresie wspierania rodziny i systemu pieczy zastępczej niezbędnych informacji, które mają znaczenie w realizacji zadań wynikających z niniejszej ustawy (art. 190a u.w.r.p.z.) Jak wyraźnie wynika z przytoczonych wyżej przepisów prawa, PCPR jako samodzielna jednostka organizacyjno-budżetowa, podporządkowana bezpośrednio zarządowi Powiatu K. i realizująca zadania powiatu z zakresu pomocy społecznej i zadania z zakresu administracji rządowej oraz zadania z zakresu rehabilitacji zawodowej i społecznej, przetwarza dane osobowe skarżącego w celu wypełnienia obowiązku prawnego jakie nakłada na nią ustawa o wspieraniu rodziny i systemie pieczy zastępczej. Ponadto zgodnie z regulacją art. art. 10 rozporządzenia 2016/679, przetwarzanie danych osobowych dotyczących wyroków skazujących oraz naruszeń prawa lub powiązanych środków bezpieczeństwa na podstawie art. 6 ust. 1 wolno dokonywać wyłącznie pod nadzorem władz publicznych lub jeżeli przetwarzanie jest dozwolone prawem Unii lub prawem państwa członkowskiego, przewidującymi odpowiednie zabezpieczenia praw i wolności osób, których dane dotyczą. W ocenie Sądu, pozyskanie przez PCPR danych osobowych skarżącego, w tym wyroków skazujących, w związku z prowadzonym przez tę jednostkę postępowaniem, mającym na celu prawidłowe zorganizowanie opieki nad dziećmi skarżącego (w szczególności do zorganizowania pieczy zastępczej), miało swoje oparcie w przepisach prawa i było zgodne z zasadą legalności, wyrażoną w art. 5 ust. 1 lit. a rozporządzenia 2016/679. Dyrektor PCPR, jako osoba reprezentująca jednostkę realizującą zadania pieczy instytucjonalnej, był uprawniony do wystąpienia (do sądu karnego) i otrzymania odpisu prawomocnego wyroku Sądu Rejonowego w K. [...] Wydział Karny z dnia [...] lipca 2016 r., sygn. akt [...] oraz utrzymującego go w mocy wyroku Sądu Okręgowego w G., sygn. akt [...] z dnia [...] marca 2017 r. Informacja zawarta w ww. wyrokach była konieczna do realizacji zadań przez PCPR, w związku z objęciem dzieci skarżącego pieczą instytucjonalną, w szczególności do zorganizowania pieczy zastępczej dla dzieci. Jako prawidłowe uznać zatem należy ustalenia organu, że wobec braku potwierdzenia faktu niezgodnego z prawem przetwarzania danych osobowych skarżącego przez PCPR, administrator nie naruszył w tym zakresie przepisów rozporządzenia 2106/679. Przetwarzanie danych osobowych skarżącego, w tym danych pochodzących z ww. wymienionych wyroków sądów, jest niezbędne do wypełnienia obowiązku prawnego, ciążącego na administratorze, ponieważ odbywa się w związku z koniecznością realizacji zadań nałożonych przez Powiat K. na PCPR. Ponadto PCPR działało zgodnie przydzielonymi kompetencjami, nie naruszając prawa w tym zakresie. Właściwie zatem ocenił organ, że brak jest podstaw faktycznych i prawnych do usunięcia wszystkich wrażliwych danych osobowych skarżącego, z dokumentów materialnych i elektronicznych oraz wydania przez administratora zaświadczenia, że wszystkie sporządzone przez niego kopie orzeczenia zostały przez niego usunięte. W kontekście powyższych ustaleń, za nietrafione uznać należy podniesione w skardze zarzuty naruszenia art. 7 u.w.r.pz. oraz nieprawidłowego przetwarzania jego danych osobowych przez PCPR. Mając na uwadze powołane okoliczności, Sąd działając na podstawie art. 151 p.p.s.a, orzekł o oddaleniu skargi.