Wyrok WSA w Warszawie z dnia 6 listopada 2019 r., sygn. II SA/Wa 971/19

Ochrona danych osobowych

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Piotr Borowiecki, Sędzia WSA Stanisław Marek Pietras, Sędzia WSA Konrad Łukaszewicz (spr.), , Agnieszka Fidor, Protokolant starszy referent, po rozpoznaniu na rozprawie w dniu 6 listopada 2019 r. sprawy ze skargi P. O. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] marca 2019 r. nr [...] w przedmiocie przetwarzania danych osobowych 1. uchyla zaskarżoną decyzję; 2. zasądza od Prezesa Urzędu Ochrony Danych Osobowych na rzecz skarżącego P. O. kwotę 200 zł (słownie: dwieście złotych) tytułem zwrotu kosztów postępowania sądowego.

Uzasadnienie

Kontrolą sądowoadministracyjną w niniejszej sprawie objęte zostało postępowanie zakończone decyzją Prezesa Urzędu Ochrony Danych Osobowych (zwanego dalej: "Prezesem UODO") z dnia [...] marca 2019 r. nr [...] w przedmiocie przetwarzania danych osobowych.

Stan faktyczny sprawy przedstawia się następująco:

Pismem z dnia 4 kwietnia 2016 r. P. O. (zwany dalej: "Skarżącym") wystąpił do Generalnego Inspektora Ochrony Danych Osobowych (zwanego dalej: "GIODO") ze skargą na nielegalne przetwarzanie danych osobowych, których administratorem jest Dom Pomocy Społecznej "[...]" w [...] (zwany dalej: "DPS"), polegające na skopiowaniu tych danych, wyniesieniu ich poza placówkę oraz udostępnieniu nieokreślonej liczbie podmiotów przez pracowników Urzędu Miasta [...] (zwanego dalej: "Urzędem Miasta"), którzy nie mieli uprawnień do dostępu i przetwarzania tych danych. W uzasadnieniu wyjaśnił, iż w dniach [...] i [...] marca 2016 r. pracownicy Urzędu Miasta, podczas jego nieobecności i bez jego zgody jako Dyrektora DPS, weszli do pomieszczenia, w którym znajdował się rejestrator utrwalający dane osobowe z monitoringu wizyjnego zainstalowanego w placówce, a następnie "zmusili" pracownicę DPS do udostępnienia hasła dostępu, po czym skopiowali dane osobowe pracowników i podopiecznych placówki, a także ich rodzin. W jego ocenie, odbyło się to w sposób nielegalny, bowiem administratorem danych osobowych był DPS reprezentowany przez Dyrektora, który nie wyraził na to zgody. Tym samym dane te zostały udostępnione osobom nieupoważnionym. Skarżący powołał się przy tym na dokument "Polityka Bezpieczeństwa Informacji w Domu Pomocy Społecznej "[...]" w [...]", zgodnie z którym, dane osobowe zgromadzone w zbiorze pochodzącym z monitoringu mogły być przetwarzane wyłącznie w calu zapewnienia opieki nad mieszkańcami. Nadto wskazał, że ustawa z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (t. j. Dz. U. z 2016 r., poz. 922 ze zm.; zwanej dalej: "u.o.d.o. z 1997 r.") nie legitymizuje dostępu do danych osobowych osobom, które nie są ich administratorem, bez względu na zajmowane przez te osoby stanowisko służbowe. Konkludując Skarżący sformułował żądanie podjęcia działań w celu usunięcia wskazanych uchybień, odwołując się przy tym do art. 18 u.o.d.o. z 1997 r.