II SA/Wa 564/23

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Łukasz Krzycki, Sędzia WSA Agnieszka Góra-Błaszczykowska, Asesor WSA Lucyna Staniszewska (spr.), Protokolant referent Edyta Brzezicka, po rozpoznaniu na rozprawie w dniu 27 lipca 2023 r. sprawy ze skargi L. A. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] stycznia 2023 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę.

I. Przedmiotem zaskarżenia w niniejszej sprawie jest decyzja Prezesa Urzędu Ochrony Danych Osobowych (dalej jako: ,,Organ’’, ,,Prezes UODO’’, ,,PUODO’’) z dnia [...] stycznia 2023 r., mocą której udzielone zostało upomnienie za wykorzystanie w dniu [...] grudnia 2021 r. danych L. A. (dalej jako: ,,skarżąca’’) numeru PESEL bez podstawy prawnej w celu uzyskania dostępu do jej danych zlokalizowanych na Platformie Usług Elektronicznych Zakładu Ubezpieczeń Społecznych (dalej także: ,,PUE ZUS’’). II. Skarga została wniesiona w następującym stanie sprawy. II.1. Dnia [...] grudnia 2021 r. L. A. złożyła do Prezesa Urzędu skargę w sprawie incydentu bezprawnego przetwarzania jej danych osobowych. W piśmie podała, że w dniu [...] grudnia 2021 r. podczas przeglądania portalu PUE ZUS, odnalazła w wiadomościach informację, o uzyskaniu w dniu [...] grudnia 2021 r. dostępu do jej danych osobowych przez lekarza L. D.. Podczas gdy skarżąca nie ma i nie miała nic wspólnego z ww. lekarzem, nie wie skąd posiadał jej nr PESEL. II.2. W związku z powyższym dnia [...] lutego 2022 r. Prezes Urzędu skierował do L. D. pismo działając na podstawie art. 58 ust. 2 lit a i lit e rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) dalej także: ,,RODO’’, w treści którego zobowiązał go do ustosunkowania się do treści skargi złożonej przez L. A.. Dnia [...] lutego 2022 r. skarżąca została powiadomiona o wszczęciu w jej sprawie postępowania wyjaśniającego przez Organ. Dnia [...] lutego 2022 r. L. D. wniósł o wydłużenie terminu na przesłanie odpowiedzi do [...] marca 2022 r., bowiem z załączonych dokumentów podróży wynikało, że przebywa na wyjeździe urlopowym, a powrót zaplanowany jest na [...] lutego 2022 r. Dnia [...] marca 2022 r. pismem (data wpływu [...] marca 2022 r.) L. D. wskazał, że dane skarżącej zostały wyświetlone w systemie PUE ZUS przypadkowo, przez jego pracownicę zarejestrowaną jako asystent medyczny, podczas wypełniania druku ZUS-ZLA. Do zdarzenia doszło w dacie wskazanej przez Panią L. A., a dane skarżącej nie zostały pobrane, przetworzone ani przekazane innej osobie lub podmiotowi, czy zarchiwizowane. Nie było zatem możliwości poinformowania skarżącej o tym incydencie, ponieważ dane adresowe skarżącej nie zostały pobrane z systemu ZUS. Dane zostały niezwłocznie skasowane i nie są przetwarzane przez L. D. ani jego pracowników. Lekarz podkreślił, że o sytuacji dowiedział się dopiero z pisma Pani L. A. z dnia [...] grudnia 2021 r. i niezwłocznie udzielił odpowiedzi w dniu [...] grudnia 2021 r. Ponadto, wskazał, że na przyszłość poinstruował zarejestrowanych asystentów medycznych w zakresie posługiwania się systemem PUE ZUS. Organ poinformował lekarza L. D. pismem z dnia [...] kwietnia 2022 r. o tym, że wyjaśnienia wymagają uzupełnienia w zakresie nadesłania upoważnienia lekarza dla pracownika zarejestrowanego w systemie jako asystent medyczny, który uzyskał dostęp do indywidualnego konta skarżącej w dniu [...] grudnia 2021 r., a także wyjaśnienia podstaw prawnych i celów korzystania w dniu [...] grudnia 2021 r. przez ww. pracownika z danych osobowych skarżącej oraz uzyskania dostępu do jej danych osobowych przetwarzanych w PUE ZUS w ramach indywidualnego dostępu lekarza do tej platformy. Pismem z dnia [...] października 2022 r. L. D. w odpowiedzi załączył upoważnienie z dnia [...] września 2021 r. dla pracownicy M. F. do wystawienia zaświadczeń lekarskich o niezdolności do pracy; szczegóły upoważnienia [...]; historię upoważnienia. Natomiast w zakresie podstaw prawnych i celów korzystania w dniu [...] grudnia 2021 r. przez M. F. wskazał, że wyniki wewnętrznej kontroli wykazały, iż pracownica, wykonując standardowe czynności związane z wypełnieniem elektronicznych druków ZUS-ZLA, omyłkowo wprowadziła nieprawidłowy nr PESEL osoby, której druk dotyczył, który to PESEL - jak się okazało - należał do skarżącej. W dniu [...] października 2022 r. Organ zawiadomił strony o prawach z art. 10 § 1 k.p.a. skarżąca w odpowiedzi na pismo w trakcie bieg 7 dniowego terminu wskazała, że nie ma możliwości wypowiedzenia się co do zebranych w toku postępowania dowodów i materiałów oraz zgłoszenia żądań. Przekazała, że jej dane były przetwarzane celowo. II.3. W dniu [...] stycznia 2023 r. Prezes UODO wydał decyzję nr [...] na podstawie art. 104 § 1 k.p.a. oraz art. 5 ust. 1, art. 6 ust. 1 oraz 58 ust. 2 lit b. Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólnego rozporządzenia o ochronie danych) (Dz. Urz. UE L 119 z 4 maja 2016 r., str. l, Dz. Urz. UE L 127 z 23 maja 2018 r., str. 2 oraz Dz. Urz. UE L 74 z 4 marca 2021 r., str. 35, ,,dalej: RODO’’) w przedmiocie udzielenia upomnienia Panu L. D. za naruszenie art. 5 ust. 1 lit. a oraz art. 6 ust. 1 RODO polegające na wykorzystaniu dnia [...] grudnia 2021 r. danych osobowych L. A. w zakresie numeru PESEL, bez podstawy prawnej w celu uzyskania dostępu do jej danych osobowych zlokalizowanych na platformie usług elektronicznych Zakładu Ubezpieczeń Społecznych. W uzasadnieniu Organ wskazał, że zgodnie z art. 4 ust. 1 RODO za dane osobowe uważa się wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej ("osobie, której dane dotyczą"); możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora takiego jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej. Organ zwrócił uwagę, że na podstawie art. 5 RODO, dane osobowe muszą być: przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą ("zgodność z prawem, rzetelność i przejrzystość") (lit. a), zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach i nieprzetwarzane dalej w sposób niezgodny z tymi celami; dalsze przetwarzanie do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych nie jest uznawane w myśl art. 89 ust. 1 za niezgodne z pierwotnymi celami (,,ograniczenie celu") (lit. b); adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane ("minimalizacja danych") (lit. c). Natomiast, na podstawie art. 5 ust. 2 RODO administrator jest odpowiedzialny za przestrzeganie przepisów ust. 1 i musi być w stanie wykazać ich przestrzeganie ("rozliczalność"). Każda forma przetwarzania danych osobowych powinna znaleźć oparcie w jednej z następujących, enumeratywnie wyliczonych w art. 6 ust. 1 RODO przesłanek, warunkujących legalność tego procesu. Przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy - i w takim zakresie, w jakim - spełniony jest co najmniej jeden z ustawowych warunków, tj.: a) osoba, której dane dotyczą wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów; b) przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy; c) przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze. Dodatkowo, Organ zwrócił uwagę, że z art. 29 RODO wynika, iż podmiot przetwarzający oraz każda osoba działająca z upoważnienia administratora lub podmiotu przetwarzającego i mająca dostęp do danych osobowych przetwarzają je wyłącznie na polecenie administratora, chyba że wymaga tego prawo Unii lub prawo państwa członkowskiego. Zgodnie natomiast z art. 54 ust. 1 ustawy z dnia 25 czerwca 1999 r. o świadczeniach pieniężnych z ubezpieczenia społecznego w razie choroby i macierzyństwa (Dz. U. z 2017 r., poz. 1368, dalej: ,,u.ś.p.’’) ZUS upoważnia do wystawienia zaświadczeń lekarskich o czasowej niezdolności do pracy z powodu choroby, pobytu w szpitalu albo innym zakładzie leczniczym podmiot leczniczy wykonujący działalność leczniczą w rodzaju stacjonarnego i całodobowe świadczenia zdrowotne, lekarza, lekarza dentystę, felczera lub starszego felczera, po złożeniu, w formie określonej w tym przepisie oświadczenia, że zobowiązuje się do przestrzegania zasad orzekania o czasowej niezdolności do pracy i wykonywania obowiązków wynikających z przepisów ustawy i przepisów o ochronie danych osobowych. Natomiast, zgodnie z art. 55a u.ś.p ZUS, w celu wystawiania zaświadczeń lekarskich wystawiający zaświadczenie lekarskie tworzy za pomocą systemu teleinformatycznego udostępnionego bezpłatnie przez Zakład Ubezpieczeń Społecznych profil informacyjny. Zakład Ubezpieczeń Społecznych w celu wystawienia zaświadczenia lekarskiego udostępnia bezpłatnie wystawiającemu zaświadczenie lekarskie na jego profilu informacyjnym: 1) dane zgromadzone w prowadzonych na podstawie ustawy o systemie ubezpieczeń społecznych: a) Centralnym Rejestrze Ubezpieczonych - pierwsze imię, nazwisko, datę urodzenia i adres zamieszkania ubezpieczonego, b) Centralnym Rejestrze Płatników Składek - nazwę skróconą oraz NIP lub numer PESEL albo serię i numer paszportu płatnika składek, jeżeli nie ma obowiązku posługiwania się NIP i nie nadano numeru PESEL, c) Centralnym Rejestrze Członków Rodziny Ubezpieczonych Uprawnionych do Ubezpieczenia Zdrowotnego - datę urodzenia chorego członka rodziny i stopień jego pokrewieństwa lub powinowactwa z ubezpieczonym; 2) informacje o wcześniejszych zaświadczeniach lekarskich wystawionych ubezpieczonemu, zgromadzone w rejestrze, o którym mowa w art. 55b ust. 1, oraz o zaświadczeniach, o których mowa w art. 59 ust. 8. Powyższe, w ocenie Organu, prowadzi do konstatacji, że lekarz jako podmiot zobowiązany do oceny zasadności wystawienia zaświadczenia lekarskiego, jest upoważniony do dostępu do danych zgromadzonych na platformie ZUS, ale dostęp taki jest możliwy w sytuacji służącej do udostępnienia osobom wystawiającym zaświadczenia lekarskie usług, umożliwiających wystawienie zaświadczenia lekarskiego. Pomimo tego, iż lekarz ma dostęp do danych zgromadzonych na PUE ZUS to jednak nie może korzystać z dostępu do nich w sposób dowolny. W toku postępowania ustalono, że w wyniku błędu pracownika, lekarz wykonujący czynności związane z wypełnianiem elektronicznych druków ZUS-ZLA, omyłkowo wprowadził nieprawidłowy PESEL, będący numerem PESEL skarżącej. Zatem, działanie pracownika lekarza nosiło znamiona przetwarzania danych osobowych, a jako operacja na danych nie znajdowało oparcia w żadnej z przesłanek z art. 6 ust. 1 RODO. Lekarz jest administratorem danych w rozumieniu art. 4 ust. 7 RODO w zakresie zadań wykonywanych przez jego pracowników i to na nim ciąży obowiązek przetwarzania danych osobowych skarżącej zgodnie z prawem, także w ramach działań podejmowanych przez jego pracowników. Organ zauważył, że nawet jeśli dostęp nastąpił na skutek omyłki, to brak przepisów legalizujących takie przetwarzanie danych osobowych, jak i danych o stanie zdrowia pacjentów, które powinny podlegać szczególnej ochronie. Organ wskazał, że wobec powyższego, na podstawie art. 58 ust. 2 lit. b RODO, Prezes Urzędu udzielił lekarzowi upomnienia za naruszenie art. 5 ust. 1 lit. a oraz art. 6 ust. 1 RODO poprzez wykorzystanie danych osobowych skarżącej bez podstawy prawnej w celu dostępu do jej konta zlokalizowanego na PUE ZUS. Jednocześnie w toku postępowania nie stwierdzono, aby lekarz zapoznał się lub pozyskiwał ostatecznie dane osobowe skarżącej znajdujące się na PUE ZUS, tym samym nie doszło ani z jego strony, ani ze strony pracownicy następczego przetwarzaniu danych osobowych zgromadzonych na tej platformie. III.1. Od wskazanej decyzji skargę wywiodła L. A. reprezentowana przez fachowego pełnomocnika, zarzucając jej naruszenia prawa procesowego w postaci: 1) art. 7 k.p.a. poprzez brak dokładnego wyjaśnienia stanu faktycznego w zakresie okoliczności i celu pozyskania danych osobowych przez pracowników [...] z siedzibą przy ul. [...] w [...]. Skarżąca wskazała, że pracownica Pani F., działała na zlecenie byłego małżonka skarżącej co w efekcie spowodowało brak odpowiedniej reakcji na naruszenie art. 5 ust. 1 i art. 6 ust. 1 RODO; 2) art. 12 § 1 k.p.a. poprzez brak wnikliwego zbadania sprawy i pominięcie okoliczności celowego działania pracownika kliniki, które nie było omyłkowym wpisaniem numeru PESEL a wynikało z chęci pozyskania informacji wrażliwych dotyczących stanu zdrowia skarżącej, w dodatku motywowane pobudkami zasługującymi na szczególne potępienie, co w efekcie spowodowało brak odpowiedniej reakcji Organu i naruszenie art. 5 ust. 1 i art. 6 ust. 1 RODO. Skarżąca wniosła o uchylenie decyzji Prezesa UODO w całości i zasądzenie na jej rzecz zwrotu kosztów postępowania. Skarżąca w uzasadnieniu skargi wskazała, że wbrew ustaleniom Organu pozyskanie jej danych osobowych nie było wynikiem przypadku, a jedynie celowego działania. Pracownikiem odpowiedzialnym za pozyskanie danych była Pani M. F., która od 2021 r. utrzymuje bliskie relacje z byłym mężem skarżącej M. A.. Pani M. F. była również przez pewien czas sąsiadką skarżącej, zamieszkiwała ona przy ul. [...] w [...], podczas gdy skarżąca zamieszkiwała przy ul. [...] w [...]. Żadna z tych okoliczności nie została wzięta pod uwagę przez Organ. Placówka medyczna, będąca administratorem danych osobowych w rozumieniu art. 4 ust. 7 RODO, nie powinna dopuścić do sytuacji, w której pracownik wykorzystuje serwis PUE ZUS do pozyskania wrażliwych danych osobowych osób trzecich dla własnych celów. W rozmowie ze swoim mężem Pani M. F. przyznała, iż pozyskała dane osobowe na prośbę M. A., który w tamtym czasie pozyskiwał dane na temat zwolnień lekarskich skarżącej i informacje związane ze stanem jej zdrowia. Wbrew ustaleniom Prezesa UODO doszło zatem do następczego przetworzenia danych osobowych, a brak takiego ustalenia w procesie wydania decyzji świadczy o braku należytego starania przy czynieniu ustaleń faktycznych przez Organ. Skarżąca wskazała, że poniosła uszczerbek w jej dobrach osobistych przez pogwałcenie prawa do prywatności, a ZATEM zgodnie z art. 82 RODO ma ona prawo do uzyskania od administratora danych lub podmiotu je przetwarzającego odszkodowanie za poniesioną szkodę. III.2. W odpowiedzi na skargę z dnia [...] marca 2023 r. Organ wniósł o jej oddalenie. Odnosząc się do zarzutów skarżącej wskazał, ze bezzasadne jest powoływanie się na naruszenia art. 7 k.p.a. oraz art. 12 k.p.a. przez skarżącą poprzez brak dokładnego wyjaśnienia stanu faktycznego sprawy i pominięcie celowego działania pracownika ww. podmiotu w zakresie danych skarżącej. Prezes UODO wskazał, że jego ocena opiera się na pisemnych wyjaśnieniach i przesłanych przez strony dowodach. Organ w celu zweryfikowania zarzutów skarżącej zwracał się do lekarza korzystając z kompetencji nadanych art. 58 ust. 1 lit a i lit. e RODO o złożenie pisemnych wyjaśnień oraz potwierdzających je dowodów. Ponadto, organ wskazał, że odnosząc się do zarzutu zastosowania zbyt łagodnego środka naprawczego wobec podmiotu naruszającego, jako organ nadzorczy w oparciu o ustalenia faktyczne, to organ sam podejmuje decyzję o zastosowaniu danego typu działań w zależności od oceny okoliczności konkretnej sprawy, analizując stan faktyczny i prawny w konkretnej indywidualnej sprawie, co sprawia że nie podejmuje rozstrzygnięć wskazanych w art. 58 ust. 2 RODO na wniosek osoby składającej skargę. W zakresie natomiast roszczeń o zapłatę odszkodowania, Organ wskazał że w tym zakresie właściwym jest sąd okręgowy zarówno w zakresie roszczeń cywilnoprawnych z tytułu naruszenia dóbr osobistych jak i przewidzianych z tytułu naruszeń RODO. IV. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: IV.1. Skarga nie zasługiwała na uwzględnienie, albowiem zaskarżona decyzja odpowiada prawu. IV. 2. W myśl art. 1 ustawy z dnia 25 lipca 2002 r. Prawo o ustroju sądów administracyjnych (t.j. Dz. U. z 2022 r. poz. 2492) sądy administracyjne kontrolują prawidłowość zaskarżonych aktów administracyjnych, między innymi ostatecznych aktów indywidualnych, w tym rozkazów personalnych, przy uwzględnieniu kryterium ich zgodności z prawem. Podlegają one uchyleniu, jeśli sąd stwierdzi naruszenie prawa materialnego w stopniu mającym wpływ na wynik sprawy, naruszenie prawa dające podstawę do wznowienia postępowania lub inne naruszenie przepisów postępowania, jeżeli mogło ono mieć istotny wpływ na wynik sprawy, o czym stanowi art. 145 § 1 pkt 1 lit. a-c ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (t.j. Dz. U. z 2023 r. poz. 259, dalej: "p.p.s.a.") lub też naruszenie prawa będące podstawą stwierdzenia nieważności decyzji (art. 145 § 1 pkt 2 p.p.s.a.). W razie zaś stwierdzenia, że zaskarżona decyzja odpowiada prawu, sąd oddala skargę w całości albo w części (art. 151 p.p.s.a.). W myśl natomiast art. 134 § 1 p.p.s.a. sąd rozstrzyga w granicach danej sprawy nie będąc jednak związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną. Sąd stosuje przewidziane ustawą środki w celu usunięcia naruszenia prawa w stosunku do aktów lub czynności wydanych lub podjętych we wszystkich postępowaniach prowadzonych w granicach sprawy, której dotyczy skarga, jeżeli jest to niezbędne dla końcowego jej załatwienia (art. 135 p.p.s.a.). Sąd orzekał w konwencji przepisu art. 153 p.p.s.a. - miał zatem obowiązek dokonać kontroli zgodności z prawem zaskarżonej decyzji w pełnym zakresie. IV. 3. Istotą zaskarżonej decyzji jest udzielenie upomnienia za wykorzystanie w dniu [...] grudnia 2021 r. danych L. A., tj. numeru PESEL bez podstawy prawnej w celu uzyskania dostępu do jej danych zlokalizowanych na Platformie Usług Elektronicznych Zakładu Ubezpieczeń Społecznych (dalej także: ,,PUE ZUS’’). Odniesienie się do zarzutów skargi wymaga przywołania podstawowych przepisów, na podstawie których wydano zaskarżoną decyzję. W ocenie Sądu, Organ nie naruszył przepisów procedury administracyjnej, ani prawa materialnego. A analiza zarzutów skargi prowadzi do wniosku, że stanowią one polemikę z ustaleniami faktycznymi Organu, podczas gdy skarżąca brała czynny udział w postępowaniu dowodowym. IV.4. Podstawą materialnoprawną wydania zaskarżonej decyzji były art. 5 ust. 1, art. 6 ust. 1 oraz 58 ust. 2 lit b. Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólnego rozporządzenia o ochronie danych) (Dz. Urz. UE L 119 z 4 maja 2016 r., str. l, Dz. Urz. UE L 127 z 23 maja 2018 r., str. 2 oraz Dz. Urz. UE L 74 z 4 marca 2021 r., str. 35 zastosowane z uwagi na ustalenie popełnienia deliktu administracyjnego w postaci wykorzystania dnia [...] grudnia 2021 r. danych osobowych L. A. w zakresie numeru PESEL, bez podstawy prawnej przez administratora Pana L. D. w celu uzyskania dostępu do jej danych osobowych zlokalizowanych na platformie usług elektronicznych Zakładu Ubezpieczeń Społecznych. Zgodnie z tymi przepisami dane osobowe muszą być przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą. Przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy - i w takim zakresie, w jakim - spełniony jest co najmniej jeden z poniższych warunków: a) osoba, której dane dotyczą wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów; b) przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy; c) przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze; d) przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej; e) przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi; f) przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem. Akapit pierwszy lit. f) nie ma zastosowania do przetwarzania, którego dokonują organy publiczne w ramach realizacji swoich zadań. Przenosząc to na grunt niniejszej sprawy Organ trafnie ustalił, czego zresztą nie kwestionował naruszający L. D., że doszło do bezprawnego, bez wiedzy L. A., bez jej zgody, bez prawnie usprawiedliwiającego przetwarzanie celu wykorzystania jej danych osobowych przez zatrudnioną przez lekarza asystentkę medyczną Panią M. F. Kwestią sporną pozostaje nastawienie psychiczne pracownicy, która wykorzystała numer PESEL skarżącej do użycia go w celu zalogowania na platformę PUE ZUS. W ocenie skarżącej działanie było nacechowane umyślnością i niskimi pobudkami wynikającymi z relacji ww. z mężem skarżącej w celu umożliwienia mu pozyskania danych na temat zwolnień lekarskich skarżącej. Odmiennie twierdził w postępowaniu administracyjnym lekarz L. D. wskazując, że pracownica wykonując standardowe czynności związane z wypełnieniem elektronicznych druków ZUS-ZLA omyłkowo wprowadziła nieprawidłowy nr PESEL osoby, której druk dotyczył, który to PESEL jak się okazało należał do skarżącej. Okoliczność ta jednak nie ma znaczenia dla przypisania odpowiedzialności za delikt administracyjny i skorzystania z uprawnienia naprawczego z art. 58 ust. 2b RODO w postaci udzielenia upomnień administratorowi lub podmiotowi przetwarzającemu w przypadku naruszenia przepisów niniejszego rozporządzenia przez operacje przetwarzania. Na marginesie zauważyć należy, że skarżąca nie wykazała w toku postępowania administracyjnego podnoszonych okoliczności w skardze, celowość działania administratora nie wynika także z materiału dowodowego zebranego zgodnie z przepisami k.p.a. i RODO przez Organ. Poczynić należy uwagę natury ogólnej, iż odpowiedzialność za naruszenie danych osobowych ma charakter obiektywny a zatem niezależny od nastawienia psychicznego naruszyciela do deliktu. IV.5. Dla rozstrzygnięcia niniejszej sprawy, w aspekcie zarzutów skargi, najistotniejsze znaczenie ma ocena tego, czy zastosowany środek naprawczy nie był zbyt łagodny w obliczu okoliczności naruszenia. Skarżąca jak można odczytać ze skargi domaga się zastosowania środka represyjnego w postaci kary pieniężnej jak i odszkodowania. Prezes UODO posiada kompetencje do wyboru zastosowanych środków naprawczych oraz zastosowania oprócz środków naprawczych bądź zamiast nich administracyjnych kar pieniężnych. Wybór zastosowanych środków nie jest jednak dowolny ma służyć zabezpieczeniu wykonania przepisów RODO w sposób skuteczny, proporcjonalny i odstraszający. Przy tym należy pamiętać, że zastosowanie administracyjnej kary pieniężnej jako środka dotkliwego powinno stanowić ultima ratio, gdy zastosowanie środka naprawczego byłoby nieskuteczne. W uzasadnieniu zaskarżonej decyzji Prezes UODO uargumentował zasadność zastosowania środka naprawczego w postaci udzielania upomnienia administratorowi w odpowiedzi na naruszenie przepisów RODO przez operacje przetwarzania danych skarżącej. Wykorzystanie numeru PESEL skarżącej miało miejsce incydentalnie, jednokrotnie, a sam administrator przyznał się do naruszenia, składając w tym przedmiocie dwukrotnie wyjaśnienia pisemne. W toku postępowania nie ujawniono, aby doszło do następczego przetworzenia danych osobowych. Przy tym Organ prowadził właściwie postępowanie dowodowe z udziałem stron postępowania. Zwrócił się dwukrotnie do administratora o wyjaśnienie okoliczności, informował skarżącą o treści ustaleń, umożliwiając jej ustosunkowanie się do twierdzeń administratora. Udowodnienie okoliczności obciążającej jaką jest umyślny charakter naruszenia, czy też następcze wykorzystanie danych skarżącej jest niezmiernie trudne, jednak jeżeli przedmiotem postępowania administracyjnego jest nałożenie na stronę obowiązku bądź ograniczenie lub odebranie stronie uprawnienia, a w tym zakresie pozostają niedające się usunąć wątpliwości co do stanu faktycznego Organ obowiązuje wynikający z art. 81a. k.p.a. nakaz rozstrzygania wątpliwości faktycznych na rzecz strony. Zgodnie z motywem 148 preambuły RODO zastosowanie upomnienia jest właściwe – w przypadku, gdy naruszenie przepisów rozporządzenia jest niewielkie lub jeżeli grożąca kara pieniężna stanowiłaby dla osoby fizycznej nieproporcjonalne obciążenie. Pojęcie ,,niewielkie naruszenie’’ nie zostało zdefiniowane w RODO i stanowi pojęcie nieostre wymagające interpretacji. Oceniając, czy naruszenie jest niewielkie organ zwraca uwagę na okoliczności takie jak: waga naruszenia, liczba poszkodowanych osób, których naruszenie dotyczy, rozmiar poniesionej szkody, charakter naruszenia, działania podjęte przez administratora w celu zminimalizowania szkody poniesionej przez osoby, których dane dotyczą, stopień odpowiedzialności administratora przetwarzającego z uwzględnieniem środków technicznych i organizacyjnych, wszelkie stosowne wcześniejsze naruszenia ze strony administratora lub podmiotu przetwarzającego, stopień współpracy z organem nadzorczym w celu usunięcia naruszenia oraz złagodzenia jego ewentualnych negatywnych skutków, kategorie danych osobowych, których dotyczyło naruszenie, sposób, w jaki organ nadzorczy dowiedział się o naruszeniu, w szczególności, czy i w jakim zakresie administrator lub podmiot przetwarzający zgłosili naruszenie, jeżeli wobec administratora lub podmiotu przetwarzającego, których sprawa dotyczy, zostały wcześniej zastosowane w tej samej sprawie środki, o których mowa w art. 58 ust. 2 - przestrzeganie tych środków, stosowanie zatwierdzonych kodeksów postępowania na mocy art. 40 lub zatwierdzonych mechanizmów certyfikacji na mocy art. 42; oraz wszelkie inne obciążające lub łagodzące czynniki mające zastosowanie do okoliczności sprawy, takie jak osiągnięte bezpośrednio lub pośrednio w związku z naruszeniem korzyści finansowe lub uniknięte straty. W niniejszej sprawie doszło do bez podstawy prawnej przetwarzania danych w postaci numeru PESEL skarżącej w celu zalogowania się do platformy PUE ZUS, na której widnieją dane dotyczące zdrowia. Naruszenie było jednorazowym incydentem, podmiotu profesjonalnego, który winien wdrożyć środki zabezpieczające tak techniczne jak i organizacyjne. Administrator podjął współpracę z organem nadzorczym, złożył wyjaśnienia w sprawie, poinformował o podjęciu działań naprawczych na przyszłość, wyjaśnił sposób działania platformy PUE ZUS umożliwiającej wpisanie odmiennego nr PESEL przez pracownika medycznego, administrator nie był uprzednio karany ani nie nałożono na niego nakazów naprawczych. Zgodnie z tymi ustaleniami przy braku dowodów na następcze przetworzenie danych osobowych skarżącej, jak i działania wielokrotne Organ właściwie przyjął, że doszło do naruszenia jednak było ono niewielkie. Zatem trafnie uznał organ dokonując wyboru środka, że funkcję prewencyjną zrealizuje środek w postaci upomnienia. Upomnienie w przeciwieństwie do ostrzeżenia, które dotyczy jedynie zagrożenia naruszeń, stosuje się kiedy mamy do czynienia z operacjami przetwarzania danych. Nie zaistniały przy tym podstawy do wykorzystania szczególnej kompetencji organu nadzorczego jaką jest prawo do nakładania administracyjnych kar pieniężnych, zgodnie z art. 83 RODO oprócz lub zamiast pozostałych kompetencji naprawczych. IV.6. Przenosząc powyższe ustalenia na grunt niniejszej sprawy, należy w pierwszej kolejności zauważyć, że skarżąca w trakcie postępowania administracyjnego nie zgłaszała zarzutów co do treści wyjaśnień administratora, nie przedstawiła również jakichkolwiek dowodów mogących wiarygodność jego twierdzeń podważyć. Jedynie w piśmie z dnia [...] listopada 2022 r. Skarżąca wskazała, że do niezgodnego z prawem przetwarzania jej danych osobowych doszło celowo, bez wskazania okoliczności czy jakichkolwiek dowodów. Zarzutów takich, a tym bardziej dowodów w tej materii, skarżąca nie zgłosiła również w skardze. Trudno za zarzut taki w każdym razie uznać ogólne stwierdzenia skargi, że organy nie poczyniły ustaleń faktycznych czym doszło do naruszenia art. 7 k.p.a. Zaprezentowana przez skarżącą argumentacja, odnosząca się do braków w postępowaniu dowodowym, poprzez jego nieukierunkowanie na zbadanie celu przetwarzania jej danych osobowych z uwagi na brak relewantności przesłanki winy dla ustalenia naruszenia, nie może odnieść zamierzonego skutku. Ustalenia faktyczne poczynione przez Organ były wystarczające dla rozstrzygnięcia sprawy i zastosowania właściwej podstawy prawnej nałożenia środka naprawczego. Organ szczegółowo i prawidłowo wyjaśnił podstawy prawne decyzji, jak i zasadność zastosowanego upomnienia za wykorzystanie w dniu [...] grudnia 2021 r. danych L. A. numeru PESEL bez podstawy prawnej w celu uzyskania dostępu do jej danych zlokalizowanych na Platformie Usług Elektronicznych Zakładu Ubezpieczeń Społecznych. IV.7. Mając powyższe na uwadze, Wojewódzki Sąd Administracyjny w Warszawie, na podstawie art. 151 p.p.s.a., orzekł jak w sentencji wyroku. [pic]