Decyzja

Na podstawie art. 105 § l ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2022 r. poz. 2000) w związku z art. 7 ust. 1 i 2 oraz art. 60 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781), a także na podstawie art. 58 ust. 1 lit. e) rozporządzenia Parlamentu Europejskiego i Rady UE 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 4 maja 2016, str. 1, ze zmianami ogłoszonymi w Dz. Urz. UE L 127 z 23 maja 2018, str.2, oraz w Dz. Urz. UE L 74 z 4 marca 2021, str. 35), po przeprowadzeniu postępowania administracyjnego w przedmiocie nałożenia administracyjnej kary pieniężnej na Panią M. D., prowadzącą jednoosobową działalność gospodarczą pod firmą „M. D.", D, Prezes Urzędu Ochrony Danych Osobowych          

 umarza postępowanie

UZASADNIENIE

Stan faktyczny

1. W dniu 15 listopada 2021 r. wpłynęła skarga Pana S. O. (zwanego dalej „Skarżącym”), zam. w K. przy (...), na nieprawidłowości w procesie przetwarzania jego danych osobowych, polegających na uzyskania dostępu do danych osobowych Skarżącego, zlokalizowanych na Platformie Usług Elektronicznych Zakładu Ubezpieczeń Społecznych (zwaną dalej „PUE ZUS”) w dniu 28 października 2021 r. przez Panią M. D., prowadzącą jednoosobową działalność gospodarczą pod firmą „M. D.” (zwaną dalej „Przedsiębiorcą”). W związku z powyższym, Prezes Urzędu Ochrony Danych Osobowych (zwanym dalej „Prezesem UODO”) wszczął postępowanie wyjaśniające o sygn. DS.523.7405.2021.
2. W ramach wyżej wskazanego postępowania (zob. pkt 1 uzasadnienia niniejszej decyzji), Prezes UODO zwrócił się do Przedsiębiorcy – pismem z 22 lutego 2022 r. – z wezwaniem do odpowiedzi na poniższe pytania:

1)      „czy, a jeżeli tak, to na jakiej podstawie prawnej (proszę o wskazanie przepisu prawa), w jakim celu, zakresie (proszę o wymienienie danych osobowych) i z jakiego źródła pozyskała Pani dane osobowe Skarżącego wykorzystane celem uzyskania 28 października 2021 r. dostępu do jego danych osobowych zlokalizowanych na PUE ZUS;

2)      czy, a jeżeli tak, to na jakiej podstawie prawnej (proszę o wskazanie przepisu prawa) obecnie przetwarza Pani dane osobowe Skarżącego, o których mowa w ww. pkt 1);

3)      czy, a jeżeli tak, to na jakiej podstawie prawnej (proszę o wskazanie przepisu prawa), w jakim celu i zakresie (proszę o wymienienie danych osobowych) uzyskała Pani dostęp do danych osobowych Skarżącego 28 października 2021 r. zawartych na PUE ZUS;

4)      czy, a jeżeli tak, to na jakiej podstawie prawnej (proszę o wskazanie przepisu prawa), w jakim celu, zakresie (proszę o wymienienie danych osobowych) obecnie przetwarza Pani dane osobowe Skarżącego, o których mowa w ww. pkt 3).”

Wezwanie, wysłane na adres stałego miejsca wykonywania działalności gospodarczej, tj. ul. (…), K., nie zostało odebrane przez Przedsiębiorcę i wróciło do Urzędu Ochrony Danych Osobowych (zwanym dalej „UODO”) z adnotacją „ZWROT nie podjęto w terminie”.

3. Pismem z 29 marca 2022 r. Prezes UODO ponownie zwrócił się do Przedsiębiorcy z wezwaniem do odpowiedzi na wskazane wyżej pytania (zob. pkt 2 uzasadnienia niniejszej decyzji). Ponadto, skierowane do Przedsiębiorcy wezwanie z 29 marca 2022 r. zawierało pouczenie wskazujące, że niezłożenie wyjaśnień może skutkować nałożeniem na Przedsiębiorcę administracyjnej kary pieniężnej zgodnie z art. 83 ust. 5 lit. e) Rozporządzenia 2016/679. Wezwanie to, również wysłane na adres stałego miejsca wykonywania działalności gospodarczej (zob. pkt 2 uzasadnienia niniejszej decyzji), nie zostało odebrane przez Przedsiębiorcę i wróciło do UODO z adnotacją „ZWROT nie podjęto w terminie”.
4. W dniu 20 maja 2022 r. do UODO wpłynęło pełnomocnictwo Przedsiębiorcy z 18 maja 2022 r., które zostało udzielone adw. A. K. w zakresie wykonywania w imieniu Przedsiębiorcy fotokopii akt postępowania o sygn. DS.523.7405.2021.
5. Pismem z 20 maja 2022 r., które wpłynęło do UODO w dniu 24 maja 2022 r., Przedsiębiorca wniósł o wydłużenie terminu do złożenia wyjaśnień w związku z wezwaniami skierowanymi do niego, tj. wezwanie z 22 lutego 2022 r. i z 29 marca 2022 r. Przedsiębiorca uzasadnił zwłokę w odpowiedzi na powyższe pisma, brakiem dostępu do lokalu, na adres którego, była wysyłana korespondencja. Celem uzasadnienia powyższego, Przedsiębiorca załączył do przedmiotowego pisma umowę najmu lokalu z 17 września 2021 r. Przedsiębiorca wyjaśnił również, że po odbiorze lokalu od najemców, tj. 10 maja 2022 r., powziął informację o toczącym się postępowaniu o sygn. DS.523.7405.2021.
6. Pismem z 26 maja 2022 r., Przedsiębiorca za pośrednictwem swojego pełnomocnika – adw. K. R. (Kancelaria Adwokacka (…)), udzielił wyjaśnień w sprawie. W związku z czym, odpowiedział na pytania zawarte w wezwaniach z 22 lutego i 29 marca 2022 r. w następujący sposób: Przedsiębiorca „[…] w dniu 28 października 2021 r. uzyskał dostęp do danych osobowych Skarżącego w ramach PUE ZUS, logując się tym samym jednorazowo i krótkotrwale, nie utrwalając w żadnej formie uzyskanych danych.” Wskazał, że uzyskał dostęp do danych osobowych Skarżącego w ramach platformy PUE ZUS w związku z pełnieniem funkcji lekarza w przychodni, w której pracuje również żona Skarżącego. Dane Skarżącego, które zostały przekazane przez jego żonę, w postaci imienia, nazwiska i numeru PESEL, były przetwarzane w celu weryfikacji statusu zwolnienia lekarskiego Skarżącego. Przedmiotowe przetwarzanie Przedsiębiorca uzasadniał jako działanie, celem ochrony interesów Skarżącego, tj. nieprawidłowo wystawione zwolnienie lekarskie, zdaniem Przedsiębiorcy, mogłoby spowodować problemy Skarżącego w pracy. W związku z czym, Przedsiębiorca podniósł, że „podstawą prawną przetwarzania danych osobowych przez niego był art. 6 ust. 1 lit. a) w zw. z art. 9 ust. 2 lit. a) RODO w zakresie, w jakim przetwarzanie miało miejsce w związki z udzielonym przez Skarżącego upoważnieniem dla żony do uzyskiwania informacji dotyczących stanu zdrowia (w przypadku, gdy upoważnienie takie faktycznie zostało udzielone), a w razie braku stosownego upoważnienia, na podstawie art. 6 ust. 1 lit. d) w zw. z art. 9 ust. 2 lit. c) RODO – celem była ochrona interesów osoby, której dane dotyczą (Skarżącego)”. W odpowiedzi na pytanie nr 4) (zob. pkt 2 uzasadnienia niniejszej decyzji), Przedsiębiorca oświadczył, że obecnie, tj. na dzień 26 maja 2022 r., nie przetwarza danych osobowych Skarżącego. W kwestii niezapewnienia Prezesowi UODO dostępu do informacji niezbędnych do realizacji jego zadań, Przedsiębiorca podtrzymał argumentację zawartą w piśmie z 20 maja 2022 r. (zob. pkt 5 niniejszego uzasadnienia decyzji) oraz wniósł o odstąpienie od wymierzenia mu kary finansowej. W niniejszym piśmie, Przedsiębiorca wskazał aktualny adres korespondencyjny, tj. (…) B, oraz załączył pełnomocnictwo, udzielone adw. K. R., do reprezentowania Przedsiębiorcy w postępowaniu przed Prezesem UODO.
7. Powyższe okoliczności stanu faktycznego Prezes UODO ustalił na podstawie całokształtu korespondencji urzędowej, prowadzonej pomiędzy Przedsiębiorcą a Prezesem UODO, znajdującej się w aktach postępowania o sygn. DS.523.7405.2021. Korespondencja ta odzwierciedla całokształt prób uzyskania przez Prezesa UODO dostępu do informacji niezbędnych do realizacji jego zadań, to jest w tym przypadku – do rozpatrzenia sprawy o sygn. DS.523.7405.2021, a z drugiej strony – reakcję Przedsiębiorcy i jego pełnomocnika na żądania Prezesa UODO.

Postępowanie

8. W związku z nieudzieleniem przez Przedsiębiorcę informacji niezbędnych do rozstrzygnięcia sprawy o sygn. DS.523.7405.2021, Prezes UODO wszczął wobec Przedsiębiorcy z urzędu – na podstawie art. 83 ust. 5 lit. e) Rozporządzenia 2016/679 – niniejsze postępowanie administracyjne o sygn. DKE.561.28.2022, w przedmiocie nałożenia administracyjnej kary pieniężnej, w związku z naruszeniem art. 58 ust. 1 lit. e) Rozporządzenia 2016/679. O wszczęciu postępowania Przedsiębiorca został poinformowany pismem z 12 października 2022 r. (znak: DKE.561.28.2022), doręczonym Przedsiębiorcy 17 października 2022 r. Pismem tym, Przedsiębiorca został zobowiązany – celem ustalenia podstawy wymiaru kary, w oparciu o art. 101a ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r., poz. 1781, zwanej dalej „u.o.d.o.”) – do doręczenia informacji o osiągniętych dochodach za rok 2021.
9. W odpowiedzi na informację o wszczęciu przez Prezesa UODO postępowania w przedmiocie nałożenia administracyjnej kary pieniężnej – pismem z 19 października 2022 r. – Przedsiębiorca, za pośrednictwem swojego pełnomocnika, wskazał, że niezwłocznie po odbiorze lokalu, który stanowi jego stałe miejsce wykonywania działalności gospodarczej, zapewnił Prezesowi UODO dostęp do informacji niezbędnych do realizacji jego zadań, o czym świadczą pisma z 20 maja 2022 r. i z 26 maja 2022 r. (zob. pkt 5 – 6 uzasadnienia niniejszej decyzji). Ponadto, oznajmił, że „za pośrednictwem pełnomocnika, trzykrotnie kontaktował się telefonicznie z Urzędem, aby dowiedzieć się, czy powinien podjąć jakieś dalsze kroki oraz jaki jest stan sprawy”. Do niniejszej odpowiedzi zostało załączone pełnomocnictwo, udzielone adw. K. R. do reprezentowania Przedsiębiorcy w przedmiotowym postępowaniu, pismo z 26 maja 2022 r. wraz z załącznikami (zob. pkt 6 uzasadnienia niniejszej decyzji) i potwierdzeniem odbioru pisma.

Po rozpatrzeniu całości materiału dowodowego zebranego w sprawie Prezes Urzędu Ochrony Danych Osobowych zważył, co następuje.

Przepisy prawne

10. Zgodnie z art. 57 ust. 1 lit. a) Rozporządzenia 2016/679, Prezes UODO, jako organ nadzorczy w rozumieniu art. 51 Rozporządzenia 2016/679, na swoim terytorium monitoruje i egzekwuje stosowanie tego rozporządzenia. W ramach swoich kompetencji Prezes UODO rozpatruje m.in. skargi wniesione przez osoby, których dane dotyczą, w odpowiednim zakresie prowadzi postępowania w przedmiocie tych skarg i w rozsądnym terminie informuje skarżącego o postępach i wynikach tych postępowań (art. 57 ust. 1 lit. f) Rozporządzenia 2016/679).
11. Dla umożliwienia realizacji tak określonych zadań Prezesowi UODO przysługuje szereg określonych w art. 58 ust. 1 Rozporządzenia 2016/679 uprawnień w zakresie prowadzonych postępowań, w tym uprawnienie do nakazania administratorowi i podmiotowi przetwarzającemu dostarczenia wszelkich informacji potrzebnych do realizacji jego zadań (art. 58 ust. 1 lit. a) Rozporządzenia 2016/679) oraz uprawnienie do uzyskania od administratora i podmiotu przetwarzającego dostępu do wszelkich danych osobowych i wszelkich informacji niezbędnych do realizacji jego zadań (art. 58 ust. 1 lit. e) Rozporządzenia 2016/679).
12. Naruszenie przepisów Rozporządzenia 2016/679, polegające na niezapewnieniu przez administratora lub podmiot przetwarzający dostępu do danych i informacji, o których mowa powyżej, skutkujące naruszeniem uprawnień organu określonych w art. 58 ust. 1, podlega zaś – zgodnie z art. 83 ust. 5 lit. e) in fine Rozporządzenia 2016/679 – administracyjnej karze pieniężnej w wysokości do 20 000 000 EUR, a w przypadku przedsiębiorstwa – w wysokości do 4 % jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, przy czym zastosowanie ma kwota wyższa.
13. Zgodnie z art. 105 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2022 r. poz. 2000), zwanej dalej „k.p.a.”, gdy postępowanie z jakiejkolwiek przyczyny stało się bezprzedmiotowe w całości albo w części, organ administracji publicznej wydaje decyzję o umorzeniu postępowania odpowiednio w całości albo w części.
14. Stosownie do art. 60 u.o.d.o. postępowanie w sprawie naruszenia przepisów o ochronie danych osobowych jest prowadzone przez Prezesa UODO. Art. 7 ust. 1 u.o.d.o. stanowi zaś, że w sprawach nieuregulowanych w tej ustawie do postępowań administracyjnych przed Prezesem UODO (w tym w postępowaniach w przedmiocie nałożenia administracyjnej kary pieniężnej, o których mowa w Rozdziale 11 u.o.d.o.) stosuje się k.p.a. Zgodnie z art. 7 ust. 2 u.o.d.o. postępowania te są postępowaniami jednoinstancyjnymi.
15. Stosownie do art. 44 §4 k.p.a. w zw. z art. 44 §1 k.p.a. fikcja doręczenia zachodzi z upływem ostatniego dnia okresu, tj. 14 dni w przypadku doręczania pisma przez operatora pocztowego, a pismo pozostawia się w aktach sprawy.

Ocena prawna

16. W niniejszej sprawie, Przedsiębiorca nie udzielił informacji niezbędnych do rozstrzygnięcia sprawy o sygn. DS.523.7405.2021 w terminie, wskazanym w wezwaniach z 22 lutego 2022 r. i 29 marca 2022 r. Nastąpiła fikcja doręczenia wyżej wskazanej korespondencji, odpowiednio: 11 marca 2022 r. oraz 15 kwietnia 2022 r., w związku z czym Prezes UODO wszczął z urzędu postępowanie w przedmiocie nałożenia na Przedsiębiorcę administracyjnej kary pieniężnej. O fakcie tym, Przedsiębiorca poinformowany został pismem datowanym na 12 października 2022 r., a doręczonym w dniu 17 października 2022 r.
17. Jednocześnie, na podstawie wyjaśnień udzielonych przez Przedsiębiorcę pismem z 19 października 2022 r. (zob. pkt 9 uzasadnienia niniejszej decyzji) oraz dokumentów pochodzących z akt sprawy o sygn. DS.523.7405.2021 (zob. pkt 5 - 6 uzasadnienia niniejszej decyzji), ustalono, że informacje żądane od Przedsiębiorcy pismem z 12 października 2022 r., udzielone zostały Prezesowi UODO w piśmie z 26 maja 2022 r. (zob. pkt 6 uzasadnienia niniejszej decyzji), które zostało doręczone UODO w dniu 30 maja 2022 r. Należy zauważyć, że w przedmiotowej sprawie powyższe informacje, zostały przekazane Prezesowi UODO po upływie terminu wyznaczonego w wezwaniach z 22 lutego 2022 r. oraz z 29 marca 2022 r., a zgodnie z treścią umowy najmu lokalu, Przedsiębiorca w danym okresie czasu był zameldowany pod adresem, który również stanowił jego stałe miejsce wykonywania działalności gospodarczej (zob. pkt 5 uzasadnienia niniejszej decyzji). W terminie od 22 lutego do 15 kwietnia 2022 r., czyli od daty sporządzenia pierwszego wezwania do dnia fikcji doręczenia drugiego wezwania, trwał najem lokalu. Wskazany okres czasu był wystarczający, aby Przedsiębiorca powziął informację od najemców lokalu o próbie doręczenia wyżej wskazanych wezwań, w związku z czym, mógł odpowiedzieć na przedmiotową korespondencję. Potwierdzeniem powyższego jest obowiązek informacyjny najemców lokalu wobec Przedsiębiorcy, dot. kwestii przychodzącej korespondencji do Przedsiębiorcy, który wynika z § 4.4 umowy najmu lokalu (zob. pkt 5 uzasadnienia niniejszej decyzji). Jednakże, pismem z 26 maja 2022 r., Przedsiębiorca w sposób wyczerpujący złożył wyjaśnienia w sprawie o sygn. DS.523.7405.2021 i od tego momentu należy uznać, że zapewnił dostęp do informacji, niezbędnych do realizacji zadań Prezesa UODO (zob. pkt 6 i pkt 9 uzasadnienia niniejszej decyzji).
18. W związku z powyższym, stwierdzić należy, że niniejsze postępowanie, wszczęte po dacie uzyskania przez Prezesa UODO wszelkich niezbędnych mu w postępowaniu o sygn. DS.523.7405.2021 informacji, było od chwili jego wszczęcia bezprzedmiotowe. Jak ustalono już w toku postępowania, nie istniał bowiem w tym momencie stan faktyczny uzasadniający nałożenie na Przedsiębiorcę administracyjnej kary pieniężnej za naruszenie objęte przedmiotem postępowania określonym w piśmie informującym o jego wszczęciu, to jest za naruszenie art. 58 ust. 1 lit. e) Rozporządzenia 2016/679 polegające na niezapewnieniu Prezesowi UODO dostępu do informacji niezbędnych do realizacji jego zadań.
19. Zgodnie z przepisem art. 105 § 1 k.p.a. w związku z art. 7 ust. 1 u.o.d.o., w sytuacji, gdy postępowanie z jakiejkolwiek przyczyny stało się bezprzedmiotowe w całości albo w części, postępowanie administracyjne podlega obligatoryjnemu umorzeniu. Przesłanka umorzenia postępowania może przy tym istnieć jeszcze przed jego wszczęciem, co zostanie ujawnione dopiero w toczącym się postępowaniu (jak miało to miejsce w niniejszej sprawie), a może ona zaistnieć także w czasie trwania postępowania, a więc w sprawie już zawisłej przed organem administracyjnym.
20. W doktrynie wskazuje się, że „Umorzenie postępowania nie jest zależne ani od woli organu administracji, ani tym bardziej pozostawione do uznania organu – organ ten jest zobowiązany do umorzenia postępowania w przypadku stwierdzenia jego bezprzedmiotowości. […] Okoliczności stanowiące podstawę do umorzenia postępowania mogą pojawić się zarówno przed wszczęciem postępowania, jak i w jego trakcie. […] Bezprzedmiotowość postępowania może być także wynikiem zmiany stanu faktycznego sprawy. Postępowanie musi być uznane za bezprzedmiotowe wskutek ustania stanu faktycznego podlegającego uregulowaniu przez organ administracji w drodze decyzji (por. uzasadnienie wyroku NSA z 29 września 1987 r., IV SA 220/87, ONSA 1987, nr 2, poz. 67).” (vide: P. M. Przybysz [w:] Kodeks postępowania administracyjnego. Komentarz aktualizowany, LEX/el. 2022, komentarz do art. 105). Należy zatem uznać, że w niniejszej sprawie nastąpiła zmiana stanu faktycznego sprawy, która doprowadziła do umorzenia przedmiotowego postępowania.

W tym stanie faktycznym i prawnym Prezes UODO rozstrzygnął jak w sentencji.

Pouczenie

Decyzja jest ostateczna. Od decyzji Stronie przysługuje prawo wniesienia skargi do Wojewódzkiego Sądu Administracyjnego w Warszawie, w terminie 30 dni od dnia jej doręczenia, za pośrednictwem Prezesa UODO (adres: ul. Stawki 2, 00 – 193 Warszawa). Wpis od skargi wynosi 200 zł. W postępowaniu przed Wojewódzkim Sądem Administracyjnym Strona ma prawo ubiegać się o prawo pomocy, które obejmuje zwolnienie od kosztów sądowych oraz ustanowienie adwokata, radcy prawnego, doradcy podatkowego lub rzecznika patentowego. Prawo pomocy może być przyznane na wniosek Strony złożony przed wszczęciem postępowania lub w toku postępowania. Wniosek jest wolny od opłat sądowych.