Decyzja

Na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. 2021 r., poz. 735 ze. zm.) w związku z art. 7 ust. 1 i 2 i art. 60 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781) oraz na podstawie art. 58 ust. 2 lit. b) w związku z art. 31 i art. 58 ust. 1 lit. a) i lit. e) rozporządzenia Parlamentu Europejskiego i Rady UE 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1, Dz. Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35), po przeprowadzeniu postępowania administracyjnego w przedmiocie nałożenia administracyjnej kary pieniężnej na Wojewodę [...], Prezes Urzędu Ochrony Danych Osobowych,

udziela upomnienia Wojewodzie […], za naruszenie przepisów art. 31 oraz art. 58 ust. 1 lit. a) i lit. e) rozporządzenia Parlamentu Europejskiego i Rady UE 2016/679 i Rady UE 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z  04.05.2016, str. 1, Dz. Urz. UE L 127 z 23.05.2018, str. 2, oraz w Dz. Urz. UE L 74 z 04.03.2021, str. 35) zwanego dalej „rozporządzeniem 2016/679”, polegające na braku współpracy z Prezesem UODO w ramach wykonywania przez niego jego zadań oraz niezapewnieniu Prezesowi UODO dostępu do danych osobowych i  informacji niezbędnych do realizacji jego zadań.

Uzasadnienie

1.       Stan faktyczny
1. Do Urzędu Ochrony Danych Osobowych wpłynęły trzy skargi na przetwarzanie danych osobowych przez Wojewodę [...]:
1. Pani E. M. i Pana D. M., zwanych dalej Skarżącymi, na przetwarzanie ich danych osobowych oraz danych osobowych ich małoletnich dzieci F. M. i A. M. - postępowanie o sygn. […] (poprzednio: […]);
2. Pani K. B. i Pana G. F. zwanych dalej Skarżącymi, na przetwarzanie ich danych osobowych oraz danych osobowych ich małoletniej córki M. F. - postępowanie o sygn. […] (poprzednio: […]);
3. Pana A. B., zwanego dalej Skarżącym, na przetwarzanie jego danych osobowych oraz danych osobowych jego małoletniego syna Ad. B. - postępowanie o sygn. […] (poprzednio: […]).
2. Prezes Urzędu Ochrony Danych Osobowych (dalej „Prezes UODO”) w ramach wszczętych postępowań administracyjnych prowadzonych celem rozpatrzenia wniesionych skarg pod sygnaturami: […] (poprzednio: […]); […] (poprzednio: […]); […] (poprzednio: […]) wzywał Wojewodę - do ustosunkowania się do treści ww. skarg, oraz do złożenia wyjaśnień w sprawie przez udzielenie odpowiedzi na szczegółowo sformułowane pytania, w szczególności dotyczące legalności przetwarzania przez Wojewodę danych osobowych ww. Skarżących. Z uwagi na to, że w 2018 r. wyjaśnienia do ww. spraw złożyła Pani A. G., Kierownik Oddziału […] Urzędu Wojewódzkiego nie załączając pełnomocnictwa do składania takich wyjaśnień oraz występowania w postępowaniu przed Prezesem UODO w imieniu Wojewody, pisma kierowane do Wojewody zawierały także wezwanie do uzupełnienia braków formalnych poprzez załączenie stosownego pełnomocnictwa (art. 33 § 3 k.p.a.).
3. W przypadku postępowania administracyjnego o sygn. […] (poprzednio: […]), Wojewoda [...] wzywany był przez Prezesa UODO trzema pismami z: […] marca 2020 r., […] czerwca 2020 r. i […] grudnia 2020 r. Pisma te w sposób przewidziany przepisami k.p.a. o doręczeniach, zostały również Wojewodzie doręczone. W piśmie z […] czerwca 2020 r. Wojewoda pouczony został, że brak złożenia wyjaśnień w zakresie ww. wezwań będzie skutkować nałożeniem administracyjnej kary pieniężnej zgodnie z art. 83 ust. 5 lit. e) RODO w wysokości określonej w art. 101 ustawy ochronie danych osobowych z 2018 r.
4. W przypadku postępowania administracyjnego o sygn. […], Wojewoda [...] wzywany był przez Prezesa UODO trzema pismami z: […] lutego 2020 r., […] czerwca 2020 r. i […] grudnia 2020 r. Wszystkie ww. pisma zostały także Wojewodzie doręczone w sposób przewidziany w k.p.a. o doręczeniach. W piśmie z […] czerwca 2020 r. Wojewoda pouczony został, że brak złożenia wyjaśnień w zakresie ww. wezwań będzie skutkować nałożeniem administracyjnej kary pieniężnej zgodnie z art. 83 ust. 5 lit. e) RODO w wysokości określonej w art. 101 ustawy o ochronie danych osobowych z 2018 r.
5. W przypadku postępowania administracyjnego o sygn. […], Wojewoda wzywany był przez Prezesa UODO czterema pismami z: […] listopada 2019 r., […] lutego 2020 r., […] czerwca 2020 r. i […] grudnia 2020 r. Pisma te zostały doręczone Wojewodzie w sposób przewidziany przepisami k.p.a. o doręczeniach. W piśmie z […] grudnia 2020 r. Wojewoda […] pouczony został, że brak złożenia wyjaśnień w zakresie ww. wezwań będzie skutkować nałożeniem administracyjnej kary pieniężnej zgodnie z art. 83 ust. 5 lit. e) RODO w wysokości określonej w art. 101 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781), zwanej dalej „ustawą o ochronie danych osobowych z 2018 r.”.
6. W związku z nieudzieleniem przez Wojewodę informacji niezbędnych do rozstrzygnięcia spraw o sygnaturach: ([…] (poprzednio: […]); […] (poprzednio: […]); […] (poprzednio: […]), Prezes UODO pismem z […] kwietnia 2022 r. wszczął z urzędu wobec Wojewody – w oparciu o art. 83 ust. 5 lit. e) rozporządzenia 2016/679 – postępowanie administracyjne w przedmiocie nałożenia na Wojewodę administracyjnej kary pieniężnej (pod sygn. DKE.561.13.2022).
7. W piśmie zawarte było pouczenie o możliwości nałożenia na Wojewodę – w przypadku braku wyczerpującej odpowiedzi na to wezwanie – administracyjnej kary pieniężnej na podstawie art. 83 ust. 5 lit. e) rozporządzenia 2016/679 w związku z brakiem współpracy z Prezesem UODO w ramach wykonywania przez niego swoich zadań (art. 31 rozporządzenia 2016/679) oraz niezapewnieniem dostępu do danych osobowych i informacji niezbędnych Prezesowi UODO do realizacji jego zadań (art. 58 ust. 1 lit. a) i e) rozporządzenia 2016/679).
8. W ww. piśmie Wojewoda pouczony został także o tym, że jeżeli udzieli wyczerpujących wyjaśnień do postępowań o sygnaturach: […] (poprzednio: […]); […] (poprzednio: […]); […]. (poprzednio: […]), do udzielenia, których wezwał go Prezes UODO oraz uzasadni wcześniejszy brak odpowiedzi na te wezwania, okoliczność ta w postępowaniu o sygn. DKE.561.13.2022 może wpłynąć łagodząco na wymiar administracyjnej kary pieniężnej lub też może spowodować odstąpienie od jej nałożenia.
9. Powyższe okoliczności stanu faktycznego Prezes UODO ustalił na podstawie całokształtu korespondencji urzędowej prowadzonej pomiędzy Wojewodą a Prezesem UODO, znajdującej się w aktach postępowań o następujących sygnaturach: (pod sygn. […] (poprzednio: […]); […] (poprzednio: […]); […] (poprzednio: […]). Korespondencja ta odzwierciedla całokształt prób uzyskania przez Prezesa UODO dostępu do informacji niezbędnych do realizacji jego zadań, to jest w tym przypadku – do rozpatrzenia spraw o ww. sygnaturach, a z drugiej strony – reakcję Wojewody na żądania Prezesa UODO.
10. W reakcji na pismo informujące o wszczęciu postępowania w przedmiocie nałożenia na Wojewodę administracyjnej kary pieniężnej, Wojewoda niezwłocznie złożył wyjaśnienia, które pozwoliły Prezesowi UODO na dalsze prowadzenie postępowań w sprawach o sygnaturach: […] (poprzednio: […]); […] (poprzednio: […]); […] (poprzednio: […]). Mianowicie w pismach Wojewody z […] maja 2022 r. o sygnaturach: […] dot. postępowania o sygn. […] (poprzednio: […]); […] dot. postępowania o sygn. […] (poprzednio: […]); […] dot. postępowania o sygn. […] (poprzednio: […]), znalazły się obszerne wyjaśnienia, w szczególności dotyczące legalności przetwarzania przez Wojewodę danych osobowych ww. Skarżących. Pisma te zostały skierowane do Prezesa UODO w odrębnej dla każdej z ww. spraw korespondencji.
11. Wojewoda uzasadnił również powody swojego milczenia w postępowaniach o sygnaturach: […] (poprzednio: […]); […] (poprzednio: […]); […] (poprzednio: […]), którym Prezes UODO dał wiarę. Wojewoda wskazał, że jego milczenie w ww. postępowaniach spowodowane było tym, że sprawy dotyczące szczepień ochronnych prowadzone są w […] Urzędzie Wojewódzkim w […] (dalej „Urząd”) przez Wydział […]. Wydział ten był wiodącą komórką organizacyjną w realizacji zadań Wojewody podejmowanych w celu zapobiegania, przeciwdziałania i zwalczania COVID-19. Okres braku udzielanych odpowiedzi w ramach ww. postępowań zbiegł się w czasie z największym natężeniem zadań związanych z ogłoszoną w kraju epidemią. Miesiąc luty 2020 r. - początek pandemii i potrzeba koordynacji działań epidemiologicznych przez Wojewodę (ze stacjami sanitarno-epidemiologicznymi, punktami testowania, miejscami pobytu dla osób na kwarantannie lub izolacji, wyznaczanie kolejnych miejsc hospitalizacji pacjentów z COVID-19, zabezpieczenia usług koronerów <badanie okoliczności nagłych, niewyjaśnionych  zgonów>, etc.). Z kolei grudzień 2020 r. - organizacja szpitala tymczasowego dla osób chorych na terenie […] i współpraca z operatorem szpitala tymczasowego. Zwłaszcza pierwszy rok epidemii był czasem bardzo obciążającym działania Urzędu, a zadania związane z COVID-19 stały się priorytetowe, przez co spowodowały odsunięcie wielu merytorycznych zadań na drugi plan. Nie bez znaczenia był również wzrastający z każdą falą epidemii wirusa Sars-Cov-2 procent chorobowych absencji pracowników. Na powstałe naruszenie miała wpływ także trudna sytuacja organizacyjna w Wydziale […]: począwszy od listopada 2020 r. ówczesny dyrektor Wydziału przebywał na długotrwałym zwolnieniu lekarskim, a w styczniu 2021 r. został odwołany ze stanowiska. Nowy dyrektor w Wydziale […] został powołany po dwóch miesiącach, tj. w marcu 2021 r. Wśród wykazu spraw wszczętych i niezakończonych nie został nowemu dyrektorowi Wydziału […] przedstawiony problem poruszony w korespondencji Prezesa Urzędu Ochrony Danych Osobowych, stąd też do dnia otrzymania informacji w sprawie wszczęcia postępowania administracyjnego w przedmiocie nałożenia na Wojewodę administracyjnej kary pieniężnej, nie był on świadomy niezałatwienia spraw w terminie. Kierownik Oddziału […], odpowiedzialny za nadzorowanie spraw związanych ze szczepieniami, do którego trafiała wcześniejsza korespondencja od Prezesa UODO w ww. sprawach, nie dopilnował załatwienia sprawy w terminie. Obecnie kierownik ten znajduje się w okresie wypowiedzenia umowy o pracę.
12. Wojewoda wskazał także, że zmiany personalne w wyżej wskazanym okresie dotyczyły również zmian na stanowisku Wojewody. Pan […] został odwołany ze stanowiska Wojewody […] grudnia 2020 r., a Pan […] zaczął pełnić Urząd Wojewody od […] stycznia 2021 r. Zdaniem Wojewody, nadmiar obowiązków w trudnym epidemicznym okresie, absencje pracowników oraz zmiany personalne doprowadziły do zaistniałej sytuacji. W związku z powyższym, pismem z […] maja 2022 r. Wojewoda skierował do Dyrektora Gabinetu Wojewody, Dyrektorów Wydziałów, Biur i Delegatur, Kierowników innych komórek organizacyjnych Urzędu przypomnienie o konieczności natychmiastowego informowania powołanego w Urzędzie Inspektora Ochrony Danych m.in. o postępowaniach prowadzonych przed organem nadzorczym w zakresie ochrony danych osobowych ponieważ o wcześniejszych wezwaniach dotyczących ww. postępowań, Inspektor Ochrony Danych Osobowych nie posiadał wiedzy. Zdaniem Wojewody podjęte przez niego działanie na pewno zapobiegną podobnym sytuacjom w przyszłości.
13. Wojewoda zdając sobie sprawę z braku współpracy z Prezesem UODO poprosił o uwzględnienie przedstawionych ww. wyjaśnień i odstąpienie od nałożenia na Wojewodę administracyjnej kary pieniężnej.
14. Po zapoznaniu się z całością materiału dowodowego zebranego w sprawie Prezes Urzędu Ochrony Danych Osobowych zważył, co następuje.

1.        Uzasadnienie prawne
15. Zgodnie z art. 57 ust. 1 lit. a) rozporządzenia 2016/679, Prezes UODO – jako organ nadzorczy w rozumieniu art. 51 rozporządzenia 2016/679 – na swoim terytorium monitoruje i egzekwuje stosowanie tego rozporządzenia. W ramach swoich kompetencji Prezes UODO rozpatruje m.in. skargi wniesione przez osoby, których dane dotyczą, w odpowiednim zakresie prowadzi postępowania w przedmiocie tych skarg i w rozsądnym terminie informuje skarżącego o postępach i wynikach tych postępowań (art. 57 ust. 1 lit. f)). Dla umożliwienia realizacji tak określonych zadań Prezesowi UODO przysługuje szereg określonych w art. 58 ust. 1 rozporządzenia 2016/679 uprawnień w zakresie prowadzonych postępowań, w tym uprawnienie do nakazania administratorowi i podmiotowi przetwarzającemu dostarczenia wszelkich informacji potrzebnych do realizacji jego zadań (art. 58 ust. 1 lit. a)) oraz uprawnienie do uzyskania od administratora i podmiotu przetwarzającego dostępu do wszelkich danych osobowych i wszelkich informacji niezbędnych do realizacji jego zadań (art. 58 ust. 1 lit. e)). Ponadto, Prezesowi UODO przysługuje szereg określonych w art. 58 ust. 2 uprawnień naprawczych, w tym udzielanie upomnień administratorowi lub podmiotowi przetwarzającemu w przypadku naruszenia przepisów rozporządzenia 2016/679 przez operacje przetwarzania.
16. Naruszenie przepisów Rozporządzenia 2016/679, polegające na niezapewnieniu przez organ publiczny będący administratorem lub podmiotem przetwarzającym dostępu do danych i informacji, o których mowa powyżej, skutkującym naruszeniem uprawnień organu określonych w art. 58 ust. 1 Rozporządzenia 2016/679 (w tym uprawnień do uzyskania danych osobowych i informacji niezbędnych do realizacji jego zadań oraz do uzyskania dostępu do pomieszczeń, sprzętu i środków służących do przetwarzania danych), podlegać zaś może – zgodnie z art. 83 ust. 5 lit e) in fine Rozporządzenia 2016/679 w związku z art. 102 ust. 1 i 3 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781), zwanej dalej „u.o.d.o.” – administracyjnej karze pieniężnej w wysokości do 100 000 złotych. Wskazać należy ponadto, że administrator i podmiot przetwarzający obowiązani są współpracować z organem nadzorczym w ramach wykonywania przez niego zadań, o czym stanowi art. 31 Rozporządzenia 2016/679. Niewywiązanie się z tego obowiązku również zagrożone jest - zgodnie z art. 83 ust. 4 lit. a)Rozporządzenia 2016/679 w związku  z art. 102 ust. 1 i 3 u.o.d.o. – administracyjną karą pieniężną w wysokości do 100 000 złotych.
17. Prezes UODO działając na podstawie art. 58 ust. 2 lit. b) rozporządzenia 2016/679 może także uznać za uzasadnione udzielenie administratorowi upomnienia w zakresie stwierdzonego naruszenia przepisu art. 31 w związku z art. 58 ust. 1 lit. e) rozporządzenia 2016/679. Zgodnie z motywem 148 rozporządzenia 2016/679, aby egzekwowanie przepisów rozporządzenia było skuteczniejsze, należy za jego naruszenie nakładać sankcje, w tym administracyjne kary pieniężne – oprócz lub zamiast odpowiednich środków nakładanych na mocy niniejszego rozporządzenia przez organ nadzorczy. Jeżeli naruszenie jest niewielkie, karę pieniężną można zastąpić upomnieniem. Powinno się jednak zwrócić należytą uwagę na charakter, wagę oraz czas trwania naruszenia, na to, czy naruszenie nie było umyślne, na działania podjęte dla zminimalizowania szkody, na stopień odpowiedzialności lub wszelkie mające znaczenie wcześniejsze naruszenia, na sposób, w jaki organ nadzorczy dowiedział się o naruszeniu, na przestrzeganie środków nałożonych na administratora lub podmiot przetwarzający, na stosowanie kodeksów postępowania oraz wszelkie inne czynniki obciążające lub łagodzące.
18. Odnosząc przytoczone powyżej przepisy rozporządzenia 2016/679 do ustalonego w niniejszej sprawie, a opisanego na wstępie uzasadnienia niniejszej decyzji, stanu faktycznego, stwierdzić należy, że Wojewoda – administrator danych osobowych Skarżących, – jako strona prowadzonych przez Prezesa UODO postępowań o sygnaturach: […] (poprzednio: […]); […] (poprzednio: […]); […] (poprzednio: […]), niewątpliwe naruszył obowiązek zapewnienia Prezesowi UODO dostępu do informacji niezbędnych do realizacji jego zadań – w tym przypadku do merytorycznego rozstrzygnięcia sprawy. Jednakże w odpowiedzi na informację o wszczęciu postępowania administracyjnego w sprawie o sygn. DKE.561.13.2022 […] Wojewoda złożył obszerne wyjaśnienia pozwalające Prezesowi UODO prowadzenie dalszego postępowania w sprawach o sygnaturach: […] (poprzednio: […]); […] (poprzednio: […]); […] (poprzednio: […]). Zdaniem Prezesa UODO, działania Wojewody z pewnością skutkowały brakiem dostępu do dowodów wskazujących na legalność i zgodność z prawem przetwarzania przez Wojewodę danych osobowych Skarżących i to przez okres od 2019 r. do dnia wszczęcia postępowania w przedmiocie nałożenia na Wojewodę administracyjnej kary pieniężnej. Przedstawione przez Wojewodę uzasadnienie braku odpowiedzi na wezwania Prezesa UODO nie zdejmuje z niego odpowiedzialności za stwierdzone zaniechanie. Jednakże wskazane przez Wojewodę przyczyny braku współpracy z organem nadzorczym należało uwzględnić, jako wiarygodne oraz mające istotny wpływ na ocenę zachowania Wojewody, w kontekście wyboru zastosowanej wobec niego w niniejszym postępowaniu sankcji.
19. W ocenie Prezesa UODO ww. naruszenie miało charakter nieumyślny. Wszystkie okoliczności sprawy, rozpatrywane łącznie, pozwalają wnioskować, że brak reakcji Wojewody na wezwania do złożenia wyjaśnień, nie było celowe, lecz wynikało przede wszystkim z wielości zadań w trudnym epidemicznym okresie, absencji pracowników oraz zmian personalnych. Ponadto, podjęte przez Wojewodę działania w celu uniknięcia w przyszłości podobnych zdarzeń świadczą jak najbardziej o chęci współpracy Wojewody z Prezesem UODO.
20. Wojewoda natychmiast podjął próbę kontaktu z Urzędem celem udzielania wyjaśnień niezbędnych do dalszego prowadzenia postępowania pod sygnaturami: […] (poprzednio: […]); […] (poprzednio: […]; […] (poprzednio: […]), jak również wyjaśnił, z jakiego powodu milczał w tychże postępowaniach.
21. W ocenie organu nadzorczego, następcza, aktywa postawa Wojewody wskazuje na gotowość do dalszego z nim współdziałania. W tym miejscu, wskazać również należy, że samo już wszczęcie postępowania w przedmiocie nałożenia administracyjnej kary pieniężnej oraz realna perspektywa wymierzania administracyjnej kary pieniężnej stały się dla Wojewody wyraźnym sygnałem tego, że dalsze uchylanie się od obowiązków nałożonych przepisami rozporządzenia 2016/679, nieuchronnie prowadziło będzie do zastosowania wobec niego najsurowszych, przewidzianych tymi przepisami sankcji.
22. Prezes UODO uznał, że w tej sprawie udzielenie upomnienia, w świetle kryteriów określonych w art. 83 ust. 2 rozporządzenia 2016/679, będzie wystarczające, i co najmniej tak samo „skuteczne, proporcjonalne i odstraszające” jak wymierzenie kary pieniężnej (vide art. 83 ust. 1 rozporządzenia 2016/679).
23. Należy także zauważyć, że w przypadku zaistnienia podobnego zdarzenia w przyszłości, każde upomnienie wydane przez Prezesa UODO wobec Wojewody będzie brane pod uwagę przy ocenie przesłanek ewentualnego wymierzenia kary administracyjnej, zgodnie z zasadami określonymi w art. 83 ust. 2 rozporządzenia 2016/679.
24. W tym stanie faktycznym i prawnym Prezes UODO rozstrzygnął, jak w sentencji niniejszej decyzji.

                  Pouczenie

1. Decyzja jest ostateczna. Od decyzji stronie przysługuje prawo wniesienia skargi do Wojewódzkiego Sądu Administracyjnego w Warszawie, w terminie 30 dni od dnia jej doręczenia, za pośrednictwem Prezesa UODO (adres: ul. Stawki 2, 00 - 193 Warszawa). Wpis od skargi wynosi 200 zł. W postępowaniu przed Wojewódzkim Sądem Administracyjnym strona ma prawo ubiegać się o prawo pomocy, które obejmuje zwolnienie od kosztów sądowych oraz ustanowienie adwokata, radcy prawnego, doradcy podatkowego lub rzecznika patentowego. Prawo pomocy może być przyznane na wniosek Strony złożony przed wszczęciem postępowania lub w toku postępowania. Wniosek jest wolny od opłat sądowych.