Nieprawidłowe dostarczanie przesyłek sądowych. Prezes UODO składa skargę kasacyjną do NSA

Sprawa dotyczy naruszenia danych osobowych w wyniku dostarczenia uszkodzonej i niekompletnej przesyłki sądowej przez operatora pocztowego. WSA w Warszawie uznał, że jest to problem z zakresu sprawowania wymiaru sprawiedliwości, co oznacza, że nie może jej oceniać PUODO. Prezes UODO zaskarżył ten wyrok do NSA.

W ocenie Prezesa UODO, pozostawienie w obrocie prawnym tego wyroku WSA może doprowadzić do sytuacji, że osoby objęte podobnym naruszeniem danych pozostaną bez ochrony prawnej, zagwarantowanej przepisami Konstytucji RP.

Z uwagi na wagę problemu prawnego i wątpliwości dotyczące wykładni prawa UE, Prezes UODO wystąpił do NSA o rozważenie skierowania pytania prejudycjalnego do TSUE. Organ zawnioskował o zadanie trzeć takich pytań, a uzyskane na nie odpowiedzi pozwolą na określenie: 1) czy takie sprawy należą do tzw. sprawowania wymiaru sprawiedliwości, 2) czy stanowią czynności techniczne (administracyjne), 3) ustalenie właściwego organu nadzorczego (w przypadku braku przepisów kompetencyjnych dla sądowego organu nadzorczego w zakresie spraw dot. przyjmowania zgłoszeń naruszenia ochrony danych).

Historia sprawy

Prezes UODO, po przeprowadzeniu postępowania, wydał decyzję z 19 grudnia 2023 r., w której stwierdził naruszenie przepisów RODO przez sąd okręgowy:

1)    polegające na niezgłoszeniu Prezesowi UODO naruszenia ochrony danych osobowych bez zbędnej zwłoki, nie później niż w terminie 72 godzin po stwierdzeniu naruszenia,

2)     polegające na niezawiadomieniu o naruszeniu ochrony danych osobowych, bez zbędnej zwłoki, osób, których dane dotyczą.

Ponadto organ, na mocy tej decyzji, nałożył na Sąd Okręgowy, za naruszenie art. 33 ust. 1 i ust. 3 oraz art. 34 ust. 1 i ust. 2 RODO, administracyjną karę pieniężną w wysokości 10.000 zł oraz nakazał mu zawiadomienie, w terminie 3 dni od dnia otrzymania wskazanej decyzji, osób, których dane były zawarte na dokumentach znajdujących się w uszkodzonej przesyłce pocztowej, o naruszeniu ochrony ich danych osobowych w celu przekazania im informacji wymaganych zgodnie z art. 34 ust. 2 RODO.

WSA decyzję tę uchylił i umorzył postępowanie prowadzone przed Prezesem UODO uznając, że w przypadku korespondencji sądowej Prezes UODO nie ma kompetencji, by się sprawą zajmować, bowiem zdaniem sądu mieści się to w pojęciu tzw. „sprawowania wymiaru sprawiedliwości”, który  wyłączony jest spod kompetencji organu nadzorczego właśnie na mocy art. 55 ust. 3 RODO.

WSA podjął próbę zdefiniowania pojęcia wymiaru sprawiedliwości, zwracając szczególną uwagę na niezawisłość sędziów. Wskazał m.in., że „ramy prawne dla przetwarzania danych osobowych przez sędziów konstytuują odpowiednie przepisy prawa. Uprawnienia dotyczące przetwarzania danych osobowych (danych orzeczniczych) są bowiem związane ze specyfiką procesu sądowego, w którym niezawiśli sędziowie występują jako osoby powołane do sprawowania wymiaru sprawiedliwości i prowadzenia konkretnego postępowania sądowego”. WSA wskazał również, że „niezawisłe sprawowanie wymiaru sprawiedliwości obejmuje czynności wykonywane na zarządzenie sędziego w konkretnej sprawie sądowej, związane z doręczeniem stronom pism procesowych, w tym - jak w sprawie niniejszej - odpisu pozwu wraz ze stosownymi pouczeniami i załącznikami. Jest to bowiem czynność procesowa niezawisłego sędziego stanowiąca element zarządzania procesem orzekania. Odpis pozwu jest pismem sądowym pozostającym w bezpośrednim związku z postępowaniem sądowym, którego doręczenie, w świetle obowiązujących przepisów prawa, ma charakter sformalizowany.” Ponadto Sąd oceniając zaskarżoną decyzję, wskazał, że organ nie zgromadził kompletnego materiału w sprawie, jak również nieprawidłowo ustalił, iż doszło do naruszenia ochrony danych osobowych.

Znaczenie sprawy

Z orzeczeniem tym PUODO się nie zgadza, dlatego złożył skargę kasacyjną do NSA.

Przypomnieć należy, że zdarzenie dotyczy uszkodzonej i niekompletnej korespondencji doręczonej za pośrednictwem operatora pocztowego, co oznacza, że mogło dojść do naruszenia poufności i dostępności danych (a więc korespondencji, która opuściła sąd, i za zawartość której sąd okręgowy odpowiada jako administrator).

PUODO, wbrew twierdzeniu WSA, w przedmiotowej sprawie nie ingerował w sprawowanie wymiaru sprawiedliwości, ale ocenił działania administratora danych, przede wszystkim interweniował w sprawie ujawnienia danych osobowych w wyniku nieprawidłowo dostarczonej korespondencji. Trudno uznać, by kontrola działań administratora w zakresie postępowania przy obsłudze naruszenia danych osobowych przy dostarczaniu przesyłki, mogła wpływać na decyzyjność członków składu orzekającego.

Doręczanie korespondencji sądowej należy do działalności administracyjnej sądów, a nie do sprawowania wymiaru sprawiedliwości. Czynności sądu nie rozciągają się na działania operatora pocztowego. Przyjęcie stanowiska zaprezentowanego przez WSA prowadziłoby do wniosku, że operator pocztowy doręczający korespondencję sądową również sprawuje wymiar sprawiedliwości, a to przecież nie znajduje żadnego uzasadnienia prawnego.

WSA nieprawidłowo zatem ocenił problem w tej sprawie. Skupił się wyłącznie na procesowym aspekcie zagadnienia, pominął całkowicie prawo do ochrony danych osobowych osób objętych naruszeniem, które wystąpiło w następstwie działania operatora pocztowego.

Istotne jest tu to, że w następstwie błędów po stronie operatora pocztowego doszło do naruszenia poufności danych zawartej w korespondencji sądowej, co stanowi o naruszeniu ochrony danych osobowych i wymaga podjęcia przez sąd okręgowy, jako administratora danych zawartych w tej korespondencji, działań niezbędnych do prawidłowego wywiązania się z obowiązków określonych w art. 33 i art. 34 RODO. Prezes UODO ma obowiązek ocenić, jak sąd okręgowy jako administrator, te obowiązki wykonał - a w tym przypadku ich nie wykonał.

Gdyby zaklasyfikować całe zdarzenie jako element sprawowania wymiaru sprawiedliwości, sprawa podlegałaby sądowym organom nadzorczym. Te jednak, w myśl ustawy o ustroju sądów powszechnych, nie dysponują uprawnieniami w zakresie badania bezpieczeństwa danych, ani przyjmowania zgłoszeń dotyczących naruszeń i ich oceny. Doszłoby zatem do sytuacji, w której osoby objęte naruszeniami ochrony danych osobowych powstałymi w sądach, zostałyby pozbawione ochrony prawnej.

Pozostawienie w obrocie prawnym tego wyroku może doprowadzić do sytuacji, w której sądy nie będą zgłaszać naruszeń ochrony danych osobowych Prezesowi UODO ani zawiadamiać o nich osób objętych takimi naruszeniami, bowiem nieprawidłowo klasyfikują zdarzenia. Potwierdzeniem takich problemów jest przedmiotowa sprawa. Zauważyć przy tym należy, iż zakres danych znajdujących się w korespondencji nadanej przez sąd naraża te osoby na różnego rodzaju szkody, zarówno o charakterze materialnym (ryzyko spłacania cudzych kredytów, korzystania z różnego rodzaju świadczeń) jak i niematerialnym (stres, dyskryminację w środowisku lokalnym). Jednocześnie, osoby te pozbawione informacji o naruszeniu ochrony danych osobowych nie będą mogły przedsięwziąć żadnych środków zaradczych, które wyeliminowałyby lub przynajmniej ograniczyłyby ryzyko wystąpienia tych szkód. Co więcej, będą one pozbawione także ochrony prawnej, gdyż Prezes UODO nie będzie mógł w ich sprawie zainterweniować kierując chociażby pismo do sądu z wezwaniem zawiadomienia tych osób o naruszeniu ochrony danych osobowych.

Podsumowując pozostawienie w obrocie prawnym takiego wyroku w ocenie Prezesa UODO może doprowadzić do negatywnych konsekwencji dla osób, których dane przetwarzane są przez sądy i podmioty z którymi sądy współpracują (np. operatora pocztowego), w szczególności w przypadku pozostawienia ich bez odpowiedniego nadzoru.

II SA/Wa 252/24, dot. DKN.5131.42.2022