Brak kompetencji Prezesa UODO w “starych” sprawach

Czy można mówić o pewnego rodzaju “odpuszczeniu” win administratorów danych ze względu na brak regulacji materialnoprawnych, które można byłoby zastosować, gdy skarga wpłynęła już po wejściu w życie nowych przepisów, zaś dotyczy zdarzeń przeszłych – pod rządami uprzednich regulacji?

Powyższe stanowisko zaprezentował Wojewódzki Sąd Administracyjny w prawomocnym wyroku z maja 2021 r., w którym oddali skargę na decyzję Prezesa UODO w przedmiocie umorzenia postępowania.

Zaskarżoną decyzją umorzono – przywołując art. 105 § 1 ustawy z dnia 14 czerwca 1960 r. – Kodeks postępowania administracyjnego (Dz.U. z 2020 r. poz. 256), zwanej dalej “K.p.a.” – postępowanie wszczęte wobec skargi p. A.S., zwanego dalej “Wnioskodawcą”, na nieprawidłowości w procesie przetwarzania jego danych osobowych przez Zespól Szkół z siedzibą w R., zwany dalej “Szkołą”.

W uzasadnieniu decyzji przywołano następujące okoliczności faktyczne i prawne uwarunkowania sprawy:

– w skardze podnoszono, że w dniach […] – […] maja 2018 r., na stole w pokoju nauczycielskim Szkoły leżała kserokopia zawiadomienia z sekretariatu Prokuratury Rejonowej w L. z […] kwietnia 2018 r., zwana dalej “Zawiadomieniem”; wymieniono w nim jego imię i nazwisko oraz informację o postawieniu go w stan oskarżenia; wedle docierających do Wnioskodawcy informacji, zawiadomienie to czytało wielu nauczycieli Szkoły a być może także pracownicy obsługi Szkoły; 25 maja 2018 r. Wnioskodawca skierował do dyrektora Szkoły pismo o wyjaśnienie tego incydentu; nie otrzymał na nie odpowiedzi; wskazywano też, że podobne incydenty miały miejsce już wcześniej – […] grudnia 2015 r. wicedyrektor Szkoły rozesłał – w imieniu dyrektora – za pomocą środków komunikacji elektronicznej, kserokopię skargi Wnioskodawcy, skierowanej do Rady Miejskiej w R., zwaną dalej “Skargą”; zawierała ona jego dane osobowe w zakresie: imienia i nazwiska, adresu zamieszkania, adresu e-mail, numeru telefonu, informacji o przynależności związkowej oraz pełnionej funkcji w Związku Nauczycielstwa Polskiego przy Szkole; następnie – na tablicy ogłoszeń w pokoju nauczycielskim Szkoły – wywieszono zarządzenie w sprawie zebrania Rady Pedagogicznej, które wydał Dyrektor Szkoły […] maja 2016 r., zwane dalej “Zarządzeniem”; wskazano w nim m.in.: “1. Kontrola Kuratorium w sprawie następnej skargi p. S.”, zarządzenie to wisiało do 31 marca 2016 r.; Wnioskodawca wskazał ponadto, że po 13 października 2016 r., na tablicy ogłoszeń w pokoju nauczycielskim Szkoły, wywieszono kserokopię protokołu z kontroli doraźnej, przeprowadzonej w Szkole przez Kuratorium Oświaty, zwaną dalej “Protokołem”; kilkukrotnie wymieniono tam imię i nazwisko Wnioskodawcy oraz dane o stanie jego zdrowia – informacje o okresie przebywania na zwolnieniu lekarskim; kserokopię protokołu wywieszono w pokoju nauczycielskim na co najmniej 10 dni,

Przy takim stanie faktycznym Sąd wskazał, że:

(..) należy wskazać, że w sprawie są zasadniczo bezsporne ustalone przez organ okoliczności faktyczne. W uzasadnieniu skarżonego aktu nie kwestionowano możliwości upublicznienia danych osobowych Wnioskodawcy w terminie, w sposób i w zakresie wskazanym w skardze, choć dyrektor Szkoły twierdzi, że nie jest mu to wiadome. Trafnie organ przywołał także uwarunkowania prawne sprawy – w kontekście przytoczenia stosownych regulacji. Wobec zreferowania jego stanowiska w danym zakresie, ponowne ich przytaczanie byłoby bezzasadne.

W rozpoznawanej sprawie niewątpliwie organ nie może wykorzystać kompetencji, pisanych mu w RODO. Opisane w skardze zdarzenia – upublicznienie danych – miały bowiem miejsce przed wejściem w życie danego aktu zaś – co bezsporne – po tej dacie przetwarzanie danych Wnioskodawcy w zakresach opisanych w skardze nie miało już miejsca. Bez znaczenia jest przy tym podnoszona przez Wnioskodawcę okoliczność, że swoje wystąpienie do dyrektora Szkoły (żądanie wyjaśnienia sytuacji) skierował on 25 maja 2018 r. – a więc pod rządami nowych przepisów. Dotyczyło ono bowiem zdarzeń wcześniejszych nie zaś trwającego procesu przetwarzania jego danych, kontynuowanego już po wejściu w życie nowych regulacji. Do tego rodzaju wystąpień – wykraczających poza kwestie aktualnego przetwarzania danych – przepisy RODO (np. obowiązek informacyjny) nie mają zastosowania.

Organ administracji słusznie z kolei zauważył, że proste, językowo-logiczne wyłożenie treści przepisów przejściowych ustawy o danych uzasadnia konstatację o braku regulacji materialnoprawnych, które można byłoby zastosować, gdy skarga wpłynęła już po wejściu w życie nowych przepisów, zaś dotyczy zdarzeń przeszłych – pod rządami uprzednich regulacji. Może wprawdzie budzić pewne wątpliwości, czy wykładnia taka jest prawidłowa. Prowadzi bowiem do specyficznego ukształtowania sytuacji prawnej osób, wobec których proces przetwarzania danych osobowych prowadzono wcześniej z naruszeniem prawa wedle kryterium, czy zdążyli wnieść skargę przed wejściem w życie nowych regulacji – naruszenie mogło wszak mieć miejsce pod rządami uprzedniego prawa nawet ostatniego dnia.

Żadne z nich nie byłyby w ogóle adekwatne w danej sprawie. Trzeba ponownie podkreślić, że konkretne postępowanie administracyjne, wszczęte wnioskiem osoby, która czuje się pokrzywdzona bezprawnym przetworzeniem danych, nie mogło się zakończyć ogólnym nakazem przestrzegania przepisów o ochronie danych osobowych, lecz nałożeniem obowiązku wyeliminowania konkretnych, trwających nieprawidłowości, wdrożeniem rozwiązań technicznych im zapobiegającym bądź – co do zdarzeń, które mają miejsce pod rządami nowych przepisów (RODO) – także ewentualnie zastosowaniem sankcji pieniężnej (tak art. 58 ust. 2 lit. i) czy upomnienia. Ostatnie z wymienionych środków nie znajdą oczywiście zastosowania w danej sprawie, gdzie zdarzenia miały miejsce pod rządami uprzednich regulacji.

Sąd podkreślił, że:

Brak kompetencji organu administracji do wydania władczego rozstrzygnięcia w przedmiotowej sprawie nie zamyka przy tym Wnioskodawcy drogi do ochrony swoich praw przez zainicjowanie stosownego postępowania przed sądami powszechnymi, o ile doszło faktycznie do bezprawnego upublicznienia danych dotyczących jego tożsamości i stanowiłoby to równocześnie naruszenie jego dóbr osobistych – np. prawa do dobrego imienia, czy prywatności w kontekście stanu zdrowia. Wykracza to jednak poza granice sprawy administracyjnej, skoro stosownymi kompetencjami do rozstrzygania sporów w danym zakresie nie obdarzono organu administracji publicznej.