II SA/Wa 918/17

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Adam Lipiński (spr.), Sędziowie WSA Danuta Kania, Maria Werpachowska, Protokolant specjalista Monika Gieroń po rozpoznaniu na rozprawie w dniu 24 listopada 2017 r. sprawy ze skargi W. P. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] maja 2017 r. nr [...] w przedmiocie odmowy udostępnienia informacji publicznej 1. uchyla zaskarżona decyzję oraz poprzedzającą ją decyzję z dnia [...] kwietnia 2017 r.; 2. zasądza od Generalnego Inspektora Ochrony Danych Osobowych na rzecz skarżącego W. P. kwotę 200 (słownie: dwieście) złotych tytułem zwrotu kosztów postępowania.

Generalny Inspektor Ochrony Danych Osobowych po rozpatrzeniu wniosku W. P. o ponowne rozpatrzenie sprawy, decyzją z dnia [...] maja 2017 r. utrzymał w mocy poprzedzającą decyzję z dnia [...] kwietnia 2017 r., o odmowie udostępnienia informacji publicznej w zakresie kopii protokołów kontroli [...], dotyczących [...] Sp. z o.o. W podstawie prawnej decyzji z dnia [...] maja 2017 r. organ powołał art. 138 § 1 Kodeksu postępowania administracyjnego i art. 16 ust. 3 w związku z art. 5 ust. 1 ustawy z dnia 6 września 2001 r. o dostępie do informacji publicznej (Dz. U. z 2016 r., poz. 1764). W uzasadnieniu decyzji GIODO wskazał, co następuje: W dniu [...] kwietnia 2017 r. do biura GIODO wpłynął wniosek W. P., o udostępnienie informacji publicznej w zakresie kopii protokołów kontroli: [...] i [...] przeprowadzonej przez GIODO w [...] Sp. z o.o. Od decyzji z dnia [...] kwietnia 2017 r., odmawiającej udostępnienia żądanej informacji, skarżący wniósł wniosek o ponowne rozpatrzenie sprawy. Generalny Inspektor nie znalazł podstaw do jego uwzględnienia i decyzją z dnia [...] maja 2017 r. utrzymał w mocy poprzedzające rozstrzygnięcie. Organ podkreślił, iż wniosek W. P. dotyczy informacji publicznej, jednakże udostepnienie żądanej informacji nie jest możliwe, gdyż żądana informacja publiczna stanowi tajemnicę prawnie chronioną, o której mowa w art. 39 ust. 2 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r" poz. 922), a zgodnie z art. 5 ust. 1 ustawy o dostępie do informacji publicznej, prawo do informacji publicznej podlega ograniczeniu w zakresie i na zasadach określonych w przepisach o ochronie informacji niejawnych oraz o ochronie innych tajemnic ustawowo chronionych, co skutkowało wydaniem decyzji w trybie art. 16 ust. 1 ustawy o dostępie do informacji publicznej. W [...] Sp. z o.o. zostały przeprowadzone przez GIODO kontrole w celu ustalenia zgodności przetwarzania danych osobowych z przepisami o ochronie danych osobowych, tj. ustawą o ochronie danych osobowych oraz rozporządzeniem Ministra Spraw Wewnętrznych i Administracji z dnia 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych (Dz. U. Nr 100, poz. 1024). W toku przedmiotowych kontroli dokonano między innymi sprawdzenia systemów informatycznych oraz przeprowadzono badania dokumentacji dotyczącej procesu przetwarzania danych osobowych. W treści żądanych przez W. P. protokołów zawarte są m.in. opisy systemów informatycznych, przedstawiające sposób ich funkcjonowania, użytkowania oraz zabezpieczenia. Ponadto, w protokołach kontroli znajdują się również szczegółowe informacje dotyczące stosowanych środków technicznych, organizacyjnych i administracyjnych mających na celu zabezpieczenie danych osobowych. Protokoły zawierają informacje, w zakresie opisu systemów informatycznych, sposobu ich funkcjonowania, użytkowania oraz zabezpieczenia, a także szczegółowe informacje dotyczące stosowanych środków technicznych, organizacyjnych i administracyjnych mających na celu zabezpieczenie danych osobowych, udostępnianie tych informacji zagrażałoby bezpieczeństwu danych przetwarzanych w zasobach informatycznych kontrolowanych podmiotów. Stosowanie do art. 39 ust. 2 ustawy o ochronie danych osobowych, osoby które zostały upoważnione do przetwarzania danych są obowiązane zachować w tajemnicy te dane osobowe oraz sposoby ich zabezpieczenia. Nie tylko zatem osoby, które zostały upoważnione do ochrony danych osobowych przez administratora, lecz także organ kontrolny, który wszedł w posiadanie tych informacji, nie jest uprawniony do ich udostępniania osobom nieuprawnionym. (porównaj: I. Barta, P. Fajgielski, R. Markiewicz, Ochrona danych osobowych. Komentarz, Kraków 2007, str. 618). Prawo do informacji, objętych wnioskiem o udostępnienie informacji zawartych w we wskazanych przez wnioskodawcę protokołach kontroli, podlega zatem ograniczeniu ze względu na art. 39 ust. 2 wyżej wskazanej ustawy oraz art. 5 ust. 1 ustawy o dostępie do informacji publicznej. W. P. wniósł skargę do Wojewódzkiego Sądu Administracyjnego w Warszawie, w której zakwestionował powyższą decyzję. W uzasadnieniu skargi wyjaśnił motywy, którymi kierował się składając wniosek o udostepnienie żądanej informacji – trzech protokołów z kontroli GIODO w [...] Sp. z o.o. W odpowiedzi na skargę Generalny Inspektor wniósł o jej oddalenie, argumentując jak w uzasadnieniu zaskarżonej decyzji. W. P. w dodatkowym piśmie z dnia [...] czerwca 2017 r. oraz na rozprawie wskazał, iż nie interesują go sprawy związane z zabezpieczeniem ochrony danych osobowych przez kontrolowany podmiot, ale zakres i wyniki kontroli dokonanej przez GIODO oraz zastosowane przez niego przepisy prawa. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: Skarga jest zasadna. Poza sporem pozostaje okoliczność, iż żądane do udostepnienia, w trybie ustawy o dostępie do informacji publicznej, przez skarżącego dokumenty – protokoły [...] z kontroli przeprowadzonej przez GIODO w [...] Sp. z o.o. – stanowią informację publiczną, zgodnie z art. 6 ust. 1 pkt 4) ppkt a) ustawy i podmiot, będący adresatem tego żądania jest podmiotem zobowiązanym do udostępniania informacji publicznej będącej w jego posiadaniu – art. 4 ust. 1 pkt 1) ustawy. Zatem w niniejszej sprawie spełnione zostały przesłanki podmiotowe oraz przedmiotowe do procedowania w ramach przepisów ustawy o dostępie do informacji publicznej. Generalny Inspektor Ochrony Danych Osobowych przedstawił Wojewódzkiemu Sądowi Administracyjnemu w Warszawie trzy dokumenty stanowiące protokoły z kontroli [...], przeprowadzonej przez GIODO w [...] Sp. z o.o. Dokumenty te nie były dostępne dla skarżącego. Analiza powyższych dokumentów, dokonana przez Wojewódzki Sąd Administracyjny w Warszawie, nie potwierdza aby zawierały one treści, które dotyczyły kontrolowanego przez GIODO podmiotu i jednocześnie były wskazane w uzasadnieniu zaskarżonej decyzji, to jest: - opis systemów informatycznych, - sposób ich funkcjonowania, użytkowania oraz zabezpieczenia, - szczegółowe informacje dotyczące stosowanych środków technicznych, organizacyjnych i administracyjnych mających na celu zabezpieczenie danych osobowych. Porównując zatem treść uzasadnienia decyzji i wskazane w niej okoliczności faktyczne z treścią żądanych protokołów, w ocenie Wojewódzkiego Sądu Administracyjnego w Warszawie nie sposób uznać, iż żądane przez skarżącego dokumenty (trzy wyżej wyszczególnione protokoły z kontroli) zawierać mogą wskazaną w uzasadnieniu zaskarżonej decyzji tajemnicę, znajdującą swoje odzwierciedlenie w treści art. 5 ust. 1 ustawy o dostępie do informacji publicznej. Nadto, wskazany w treści decyzji art. 39 ust. 2 ustawy o ochronie danych osobowych (Osoby, które zostały upoważnione do przetwarzania danych, są obowiązane zachować w tajemnicy te dane osobowe oraz sposoby ich zabezpieczenia.), obejmuje tajemnicą jedynie informację o danych osobowych oraz sposobach ich zabezpieczenia, które posiada administrator danych i które posiadła osoba kontrolująca dany podmiot. Oczywiście tajemnica ta dotyczy przede wszystkim administratora danych osobowych, ale rozciąga się także na GIODO, rozumiane jako podmiot stosunków prawnych i organ, który poprzez swoich kontrolerów uzyskuje powyższe informacje. Jednakże, w niniejszej sprawie przepis ten, wobec braku odniesienia do konkretnych fragmentów żądanych protokołów (brak w ich treściach powyższych informacji podlegających ochronie a wskazanych w uzasadnieniu decyzji - odnośnie danych osobowych oraz sposobach ich zabezpieczenia u kontrolowanego podmiotu) nie może zostać zastosowany w niniejszej sprawie. W tym aspekcie, podkreślenia wymaga także i to, iż tajemnicą wskazaną w art. 39 ust. 2 ustawy o ochronie danych osobowych, zgodnie z tym przepisem, pośrednio nie został objęty cały protokół z kontroli, ale jedynie dane osobowe oraz sposoby ich zabezpieczenia, o ile zostały zamieszczone w tym protokole. Tymczasem skarżący żąda jedynie udostępnienia mu treści tych trzech protokołów i zaznacza, iż nie interesują go dane osobowe oraz sposoby ich zabezpieczenia. Powyższa wada w subsumpcji zastosowanych przez organ przepisów z materiałem faktycznym sprawy, uzasadnia uchylenie zaskarżonej i poprzedzającej ją decyzji. Z tych względów, na podstawie art. 145 § 1 pkt 1) pkt c) ustawy – Prawo o postępowaniu przed sądami administracyjnymi, Wojewódzki Sąd Administracyjny w Warszawie orzekł jak w sentencji wyroku. O kosztach procesu Sąd orzekł zgodnie z art. 200 powyższej ustawy.