Decyzja

Na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. – Kodeks postępowania administracyjnego (Dz.U. z 2018 poz. 2096 ze zm.) oraz art. 22 i art. 23 ust. 1 pkt 2 ustawy z dnia  29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r., poz. 922 ze zm.), zwana dalej „ustawą” w związku z art. 100 ust. 1 ustawy z dnia 14 grudnia 2019 r. o ochronie danych osobowych przetwarzanych w związku z zapobieganiem i zwalczaniem przestępczości  (Dz. U. z 2019 r. poz. 125) po przeprowadzeniu postępowania administracyjnego w sprawie skargi Pani K. S. (zam. [...]), Pani O. S. (zam. [...]), Pani K. D. (zam. [...]) oraz Pana S. S. (zam. [...]), na przetwarzanie ich danych osobowych przez Komendanta Komisariatu Policji w C.  (ul. [...])

odmawiam uwzględnienia wniosku

Uzasadnienie

Do Biura Generalnego Inspektora Ochrony Danych Osobowych (obecnie: Urząd Ochrony Danych Osobowych) [...] maja 2018 r. wpłynęła skarga Pani K. S. (dalej jako: Skarżąca) na bezprawne przetwarzanie jej danych osobowych przez Komisariat Policji w C. W treści swej skargi wskazała, że funkcjonariusz Komisariatu Policji w C. dopuścił się przetwarzania danych osobowych w sposób bezprawny, naruszając prawa Skarżącej oraz innych osób. Zdaniem Skarżącej ze strony funkcjonariusza wielokrotnie dochodziło do nadużyć poprzez dokonywanie sprawdzeń w elektronicznych bazach danych Policji bez ich wiedzy, co spowodowało wyciek danych. Wobec powyższego Skarżąca wniosła o nakazanie Komisariatowi w C. usunięcie uchybień w procesie przetwarzania jej danych osobowych oraz innych osób poprzez wypełnienie obowiązku informacyjnego wynikającego z treści art. 25 ust. 1 ustawy oraz stosownego ukarania funkcjonariusza Komisariatu Policji w C. W dniu [...] czerwca 2018 r. wpłynęło pismo Pani K. S. z prośbą o udzieleniu informacji co do statusu sprawy. Prezes Urzędu Ochrony Danych Osobowych wezwał Skarżącą [...] września 2018 r. do uzupełnienia braków formalnych skargi. W dniu [...] września 2018 r. do Urzędu Ochrony Danych Osobowych wpłynęło pismo Skarżącej wraz z pełnomocnictwem od Pani K. D., Pani O. S. oraz Pana S. S., wskazując zakres danych, które miały być przedmiotem naruszenia. Ponadto Skarżąca wniosła o wydanie przez organ nadzorczy decyzji nakazującej zastosowanie dodatkowych środków zabezpieczających przedmiotowe dane osobowe i usunięcie uchybień. W odpowiedzi Prezes Urzędu Ochrony Danych Osobowych pismem z [...] września 2018 r. poinformował o konieczności uiszczenia opłaty skarbowej od udzielenia pełnomocnictwa oraz o przesłankach uprawniających do zwolnienia z jej uiszczenia. W odpowiedzi do Urzędu Ochrony Danych Osobowych [...] października 2018 r. wpłynęło pismo informujące o spełnieniu powyższych przesłanek zwalniających z jej złożenia. Pismem z [...] października 2018 r. Prezes Urzędu Ochrony Danych Osobowych wezwał Skarżącą do złożenia dodatkowych wyjaśnień w sprawie. W odpowiedzi, która wpłynęła do Urzędu Ochrony Danych Osobowych, Skarżąca wskazała dodatkowe okoliczności. W związku z powyższym Prezes Urzędu Ochrony Danych Osobowych pismami z [...] października 2018 r. wezwał Komendanta Komisariatu Policji w C. do złożenia wyjaśnień w przedmiotowej. W związku z odpowiedzią Komendanta Komisariatu Policji w C., która wpłynęła do Urzędu Ochrony Danych Osobowych [...] listopada 2018 r., organ nadzorczy zwrócił się [...] grudnia 2018 r. do jednostki nadrzędnej, Komendanta Miejskiego Policji w K. o złożenie wyjaśnień w sprawie. Przedmiotowych wyjaśnień Komendant Miejski Policji w K. udzielił pismem z [...] grudnia 2018 r. oraz pismem z [...] lutego 2019 r. W związku z powyższym [...] kwietnia 2019 r. Prezes Urzędu Ochrony Danych Osobowych poinformował strony postępowania o zebraniu materiału i możliwości zapoznania się z aktami postępowania administracyjnego, z którego to uprawnienia strony skorzystały.

W toku postępowania zainicjowanego skargą, Prezes Urzędu Ochrony Danych Osobowych zapoznał się z materiałem dowodowym i dokonał następujących ustaleń:

1. Zgodnie z odpowiedzią udzieloną przez Komendanta Komisariatu Policji w C., żadne pismo od Skarżącej oraz osób przez nią reprezentowanych w przedmiocie realizacji obowiązku wynikającego z art. 25 ust. 1 ustawy nie wpłynęło.
2. Zgodnie z odpowiedzią udzieloną przez Komendanta Miejskiego Policji w K., podstawą prawną przetwarzania danych osobowych Skarżącej oraz osób przez nią reprezentowanych pozostawała ustawa z 6 kwietnia 1990 r. o Policji  (Dz.U. z 2016 r.  poz. 1782) oraz Rozporządzenie Ministra Spraw Wewnętrznych i Administracji z dnia 21 lipca 2016 r. w sprawie przetwarzania informacji przez Policję (Dz. U. 2016 r. poz. 1091)  w brzmieniu wówczas obowiązującym.

W takim stanie faktycznym i prawnym Prezes Urzędu Ochrony Danych Osobowych  zważył, co następuje:

Na wstępnie należy zauważyć, że zgodnie z art. 100 ust. 1 ustawy z dnia 14 grudnia 2019 r. o ochronie danych osobowych przetwarzanych w związku z zapobieganiem i zwalczaniem przestępczości (Dz. U. z 2019 r. poz. 125) postępowania prowadzone przez Prezesa Urzędu Ochrony Danych Osobowych, wszczęte i niezakończone przed dniem wejścia w życie niniejszej ustawy, prowadzone są na podstawie przepisów dotychczasowych. Tym samym w przedmiotowej sprawie znajduje zastosowanie ustawa z dnia 29 sierpnia 1997 r. o ochronie danych osobowych, która określa zasady postępowania przy przetwarzaniu danych osobowych oraz prawa osób fizycznych, których dane osobowe są lub mogą być przetwarzane w zbiorach danych (art. 2 ust. 1 ustawy).

Stosownie do brzmienia art. 7 pkt 2 ustawy pod pojęciem przetwarzania danych rozumieć należy jakiekolwiek operacje wykonywane na danych osobowych, takie jak zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie udostępnianie i usuwanie, a zwłaszcza te, które wykonuje się w systemach informatycznych. Każda ze wskazanych w art. 7 pkt 2 ustawy form przetwarzania danych osobowych powinna znaleźć oparcie w jednej z przesłanek warunkujących legalność procesu przetwarzania danych osobowych, enumeratywnie wymienionych w art. 23 ust. 1 ustaw o ochronie danych osobowych. Z uwagi na brzmienie art. 7 Konstytucji Rzeczypospolitej Polskiej z dnia 2 kwietnia 1997 r., zgodnie z którym organy władzy publicznej działają na podstawie i w granicach prawa, na uwadze należy mieć treść art. 23 ust. 1 pkt 2 ustawy o ochronie danych osobowych, który stanowi, iż przetwarzanie danych jest dopuszczalne, gdy jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa.

Tym samym należy zwrócić uwagę na art. 20 ust. 15  ustawy o Policji w brzmieniu wówczas obowiązującym, który jasno wskazywał, że Policja w celu zapobieżenia lub wykrycia przestępstw oraz identyfikacji osób może uzyskiwać, gromadzić i przetwarzać informacje, w tym również dane osobowe ze zbiorów prowadzonych na podstawie odrębnych przepisów przez organy władzy publicznej, a w szczególności z Krajowego Rejestru Karnego oraz rejestru PESEL, w tym również ze zbiorów, w których przetwarza się informacje, obejmujące dane osobowe, uzyskane  w wyniku wykonywania przez te organy czynności operacyjno-rozpoznawczych. Administratorzy danych gromadzonych w tych rejestrach są obowiązani do nieodpłatnego ich udostępniania.

Biorąc zatem pod uwagę treść złożonych w sprawie wyjaśnień przez Komendanta Miejskiego Policji w K. w szczególności pisma z [...] lutego 2019 r., w którym wskazano, iż  w wyniku analizy logów potwierdzono cel i podstawę przetwarzania danych, Prezes Urzędu Ochrony Danych nie może stwierdzić, aby w przedmiotowej sprawie doszło do przetwarzania przedmiotowych danych osobowych Skarżącej oraz osób przez nią reprezentowanych w sposób nieuprawniony. Zgromadzony materiał dowodowy nie uprawdopodabnia sytuacji, w której dane osobowe Skarżącej oraz osób przez nią reprezentowanych znalazły się w posiadaniu osób trzecich. Należy również zauważyć, że skoro w przedmiotowej sprawie, zgodnie z dyspozycją art. 20 ust. 16 pkt 1 odnotowano w systemie, kto, kiedy, w jakim celu oraz jakie dane uzyskał, a jednocześnie nie uprawdopodobniono, aby dostęp do przedmiotowych danych osobowych miały osoby do tego nieuprawnione, Prezes Urzędu Ochrony Danych Osobowych nie ma podstawy do wydania ewentualnego nakazu zastosowania dodatkowych środków zabezpieczających.

Odnosząc się do wyrażanego przez Skarżącą żądania ukarania funkcjonariusza Policji, należy zauważyć, że Prezes Urzędu Ochrony Danych Osobowych nie posiada w tym zakresie odpowiednich kompetencji. Skarżąca została pouczona, iż w zgodzie z wyrokiem NSA  z 19 listopada 2001 r. „osoba dochodzącą ochrony swych spraw w trybie w/w ustawy o ochronie danych osobowych nie jest podmiotem postępowania obliczonego na wydanie decyzji o zawiadomieniu stosownego organu o przestępstwie w zakresie przetwarzania danych osobowych i nie może się tego domagać od GIODO w administracyjno-prawnych formach tego postepowania”. (sygn. akt II SA 2702/00). Ponadto jako załącznik do skargi z [...] kwietnia 2018 r. załączyła pismo potwierdzające prowadzenie postępowanie przez właściwą jednostkę prokuratury.

Odnosząc się zaś do żądania nakazania realizacji obowiązku wynikającego z art. 25 ust. 1 ustawy należy zauważyć, że zgodnie z brzmieniem niniejszego przepisu, administrator jest zobowiązany do realizacji obowiązku bezpośrednio po utrwaleniu zebranych danych. Mimo powyższych ustaleń należy zwrócić uwagę, że zgodnie z art. 25 ust. 2 ustawy, przepisów ust. 1 nie stosuje się, gdy dane są przetwarzane przez organy państwowe, organy samorządu terytorialnego oraz państwowe i komunalne jednostki organizacyjne na podstawie przepisów prawa.

Ponieważ Skarżąca w piśmie z [...] kwietnia 2018 r. wskazywała na naruszenie praw osób, których dane dotyczą, innych niż ona sama i osoby przez nią reprezentowane, należy zauważyć, że w zgodzie z wyrokiem Wojewódzkiego Sądu Administracyjnego w Warszawie z  9 listopada 2011 r. „jeżeli określona osoba zgłasza organowi Ochrony Danych Osobowych nieprawidłowości w zakresie przetwarzania danych osobowych, organ ten jest władny i zobligowany do wszczęcia postępowania wyjaśniającego, którego zadaniem jest ustalenie, czy dane osobowe skarżącego są w istocie przetwarzane, jeżeli tak, to w jakim celu i czy następuje to z poszanowaniem przepisów u.o.d.o. Organ Ochrony Danych Osobowych wszczyna zatem i prowadzi postępowanie na wniosek strony według przepisów k.p.a. i rozstrzyga sprawę indywidualną strony w zakresie objętym jej wnioskiem. Natomiast sygnalizowanie przez stronę nieprawidłowości w procesie przetwarzania danych osobowych w zakresie szerszym, niż zbadanie poprawności przetwarzania danych osobowych wnioskodawcy, prowadzić może jedynie do wszczęcia przez Generalnego Inspektora Ochrony Danych Osobowych postępowania z urzędu”. (sygn. akt II SA/Wa 1363/11). Tym samym Prezes Urzędu Ochrony Danych Osobowych, wydał niniejszą decyzję administracyjną na wniosek Skarżącej oraz osób przez nią reprezentowanych, rozpatrując przedmiotową sprawę w odniesieniu do stron niniejszego postępowania.

Zgodnie z art. 9 ust. 2 ustawy z dnia 14 grudnia 2018 r. o ochronie danych osobowych przetwarzanych w związku  z zapobieganiem i zwalczaniem przestępczości (Dz. U. z 2019 r. poz. 125), od decyzji przysługuje stronie prawo do wniesienia skargi na decyzję do Wojewódzkiego Sądu Administracyjnego w Warszawie, w terminie 30 dni od dnia doręczenia jej stronie. Skargę wnosi się za pośrednictwem Prezesa Urzędu Ochrony Danych Osobowych  (adres: ul. Stawki 2, 00-193 Warszawa). Wpis od skargi wynosi 200 złotych. Strona ma prawo ubiegania się o prawo pomocy, w tym zwolnienie od kosztów sądowych.