Administrator musi wydać fizyczną kopię nagrania?

Według Wojewódzkiego Sądu Administracyjnego administrator danych jest zobowiązany do wydania kopii nagrań na określonym nośniku. Takie stanowisko budzi pewne wątpliwości, bo jeśli pominąć dyskusję na temat samego obowiązku udostępniania nagrań, to można je udostępnić bez nośnika np. za pomocą linku prowadzącego do nagrania (pliku) w zasobach chmurowych czy to administratora czy też podmiotu przetwarzającego. 

Pomijając to techniczne zagadnienie warto się bliżej przyjrzeć orzeczeniu, bo jest ono ważne dla praktyki administratorów danych. Orzeczeniem tym WSA w Warszawie uchylił postanowienie Prezesa Urzędu Ochrony Danych Osobowych wydane w przedmiocie odmowy wszczęcia postępowania. 

Sprawa została zainicjowana skargą do Prezesa Urzędu Ochrony Danych Osobowych ze skargą na odmowę wydania im przez Prezesa Sądu Rejonowego w […] kopii nagrań (na płycie CD lub DVD) z monitoringu zamieszczonego na korytarzu budynku Sądu obok sali nr 2 (od godziny 8:45 do 9:25 oraz od 11:10 do 11:30) oraz z monitoringu obejmującego wejście do budynku Sądu (od godziny 8:00 do 11:30) z dnia […] listopada 2020 r. i wnieśli o nakazanie Prezesowi tego Sądu wydania kopii tych nagrań (po dokonaniu pseudoanonimizacji danych innych osób).

Prezes Urzędu Ochrony Danych Osobowych postanowieniem, wydanym na podstawie art. 61a § 1 k.p.a., odmówił K.N. i R. N., wszczęcia postępowania z ich skargi z uwagi na brak podstawy materialnoprawnej do rozpatrzenia żądania w trybie administracyjnym.

Subskrypcja 30 dni
Przez 30 dni masz dostęp do zaawansowanej wyszukiwarki:
129
 PLN z VAT
  • Aktualizowanej Bazy Orzeczeń Sądów i Trybunałów
  • Eksperckich tez wybranych orzeczeń
  • Decyzji Polskiego Organu Nadzorczego
  • Decyzji Europejskich Organów Nadzorczych
  • Wytycznych i Opinii EDPB oraz EDPS
  • Konkretnych argumentów w postępowaniu administracyjnym
Wybieram
Subskrypcja 360 dni
Przez 360 dni masz dostęp do wszystkich funkcjonalności subskrypcji 30 dni
1548
 PLN z VAT
  • Dedykowany newsletter zawierający najważniejsze wyroki opublikowane w danym miesiącu wraz z tezami
  • Indywidualnych konsultacji z założycielem serwisu Judykatura.pl w kwestiach związanych z RODO (3 konsultacje w ramach obowiązującej subskrypcji)
  • Oszczędność 15% względem pozostałych pakietów
Wybieram
Subskrypcja 180 dni
Przez 180 dni masz dostęp do wszystkich elementów subskrypcji 90 dni:
774
 PLN z VAT
  • Dedykowany newsletter zawierający najważniejsze wyroki opublikowane w danym miesiącu wraz z tezami
  • Indywidualną konsultację z założycielem serwisu Judykatura.pl w kwestiach związanych z RODO (1 konsultacja w ramach obowiązującej subskrypcji)
  • Oszczędność 10% względem pozostałych pakietów
Wybieram

Takie stanowisko Prezes UODO argumentował tym, że:

Z art. 15 ust. 3 rozporządzenia o ochronie danych osobowych wynika, że administrator dostarcza osobie, której dane dotyczą, kopię danych osobowych podlegających przetwarzaniu, nie zaś “kopię dokumentów (nośnika) zawierającego dane osobowe”. Wykonanie obowiązku, o którym mowa w powołanym przepisie może być realizowane zarówno poprzez sporządzenie kopii lub odpisu dokumentu (nośnika) zawierającego dane osobowe oraz inne dane, jak i poprzez podanie uprawnionemu treści jego danych osobowych, a z pominięciem informacji znajdujących się na nośniku, które nie są danymi osobowymi w rozumieniu art. 4 pkt 1 rozporządzenia 2016/679, jak i tych niedotyczących wnioskującego. Jednocześnie należy mieć na uwadze, że co do zasady, kopia danych odnosi się do zakresu informacji posiadanych przez administratora, więc może on przekazać osobie, której dane dotyczą informację o tym jakie dane i w jakim zakresie przetwarza, bez konieczności tworzenia kopii nośników, na których są przetwarzane te dane. W przypadku zwrócenia się do administratora o kopię przetwarzanych danych osobowych, administrator każdorazowo podejmuje decyzję, w jaki sposób zrealizuje to uprawnienie.

oraz

W zakresie kompetencji Prezesa Urzędu Ochrony Danych Osobowych mieści się wydawanie decyzji administracyjnych nakazujących spełnienie żądania osoby, której dane osobowe dotyczą, m. in. w zakresie dostarczenia jej kopii danych przetwarzanych przez danego administratora, nie zaś kopii nośnika. K. i R. N. w skardze z 15 lutego 2021 r. zwrócili się o nakazanie Prezesowi Sądu Rejonowego w […] udostępnienia nagrań z monitoringu. Organ był tym żądaniem związany.

W takiej sytuacji Sąd wskazał:

Z przepisu art. 61a § 1 k.p.a. wynika, że organ administracji publicznej wydaje postanowienie o odmowie wszczęcia postępowania, gdy postępowanie administracyjne nie może być wszczęte m. in. “z innych uzasadnionych przyczyn”.

Sąd nie podziela tego zapatrywania organu. Nie ulega bowiem wątpliwości, że istnieje przepis prawa materialnego, który nakłada na administratora danych obowiązek dostarczenia osobie, której dane dotyczą, kopii danych osobowych (art. 15 ust. 3 RODO). Odróżnianie kopii danych od nośnika zawierającego tę kopię jest niczym nieuzasadnione, oczywistym jest bowiem, że dane te muszą być udostępnione na określonym nośniku.

Na zakończenie Sąd zwraca uwagę, że należy odróżnić brak podstawy materialnoprawnej do rozpatrzenia żądania w trybie administracyjnym, z brakiem materialnoprawnej podstawy do uwzględnienia wniosku o dostarczenie kopii danych osobowych. Jak już powiedziano, istnieje przepis prawa materialnego, który nakłada na administratora danych obowiązek dostarczenia osobie, której dane dotyczą, kopii danych osobowych (art. 15 ust. 3 RODO).