ZSZZS.440.660.2018

Na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2017 r. poz. 1257 ze zm.), art. 15 ust. 1 i ust. 3 oraz art. 58 ust. 2 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dziennik Urzędowy Unii Europejskiej, L 119, 4 maja 2016) po przeprowadzeniu postępowania administracyjnego w sprawie skargi Pana A.K., na nieprawidłowości w procesie przetwarzania jego danych osobowych polegające na niewypełnieniu obowiązku informacyjnego określonego w art. 15 ust. 1 i 3 RODO przez T. w M., Prezes Urzędu Ochrony Danych Osobowych

odmawia uwzględnienia wniosku.

Uzasadnienie

Do Urzędu Ochrony Danych Osobowych wpłynęła skarga Pana A.K., zwanego dalej Skarżącym, na nieprawidłowości w procesie przetwarzania jego danych osobowych polegające na niewypełnieniu obowiązku informacyjnego określonego w art. 15 ust. 1 i 3 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dziennik Urzędowy Unii Europejskiej, L 119, 4 maja 2016), zwane dalej RODO, przez T. w M., zwane dalej Placówką.

W treści skargi Skarżący wskazał, że na podstawie art. 15 RODO zwrócił się do Placówki o udostępnienie informacji związanych z przetwarzaniem jego danych osobowych oraz o przekazanie kopii jego danych osobowych przetwarzanych zarówno w formie papierowej, jak i elektronicznej. Jednakże do dnia wniesienia skargi tj. do dnia […] września 2018 r. nie otrzymał pełnej odpowiedzi, a tym bardziej wszystkich kopii żądanych dokumentów zawierających jego dane osobowe. W związku z powyższym Skarżący wniósł o nakazanie Placówce zrealizowania w pełni złożonego przez niego wniosku.

W toku prowadzonego postępowania administracyjnego Prezes Urzędu Ochrony Danych Osobowych ustalił następujący stan faktyczny:

1. Skarżący do dnia […] marca 2017 r. był zatrudniony w Placówce […].
2. Skarżący w dniu [...] sierpnia 2018 r., na podstawie art. 15 ust. 1 RODO, zwrócił się do Placówki za pośrednictwem poczty elektronicznej o udostępnienie mu informacji związanych z przetwarzaniem jego danych osobowych dot. kategorii przetwarzanych danych osobowych, celów przetwarzania tych danych, okresu przetwarzania danych osobowych, odbiorców jakim zostały przekazane te dane, źródeł pochodzenia danych osobowych oraz podejmowania wobec niego zautomatyzowanych decyzji. Ponadto Skarżący, na podstawie art. 15 ust. 3 RODO, wniósł o przekazanie mu kopii jego danych osobowych przetwarzanych zarówno w formie papierowej, jaki i elektronicznej.
3. W odpowiedzi na wniosek Skarżącego Placówka, w piśmie z dnia […] września 2018 r., wskazała, że przetwarza jego dane osobowe znajdujące się w teczce akt osobowych oraz programach księgowo-płacowych w celu wypełnienia obowiązku prawnego ciążącego na administratorze tj. na podstawie art. 6 ust. 1 lit c RODO. Ponadto zgodnie z ustawą z dnia 14 lipca 1983 r. o narodowym zasobie archiwalnym i archiwach (Dz.U.2018.217 t.j.) dane osobowe Skarżącego będą przechowywane przez okres 50 lat. Dane osobowe Skarżącego zostały udostępnione sądom w ramach prowadzonych postępowań, których stroną jest Skarżący, Generalnemu Inspektorowi Ochrony Danych Osobowych, Rzecznikowi Dyscyplinarnemu […], Ministerstwu Środowiska oraz [...]. Odnośnie źródeł pochodzenia danych osobowych Placówka wskazała, że zostały one przekazane przez Skarżącego. Ponadto Placówka wyjaśniła, że nie podejmuje względem Skarżącego zautomatyzowanych decyzji. Natomiast co do udostępnienia kopii danych osobowych Skarżącego podlegających przetwarzaniu, Placówka w dniu […] września 2018 r. przesłała na jego adres poczty elektronicznej zaszyfrowany plik składający się ze 138 stron zawierających dane osobowe Skarżącego pochodzące z akt osobowych i systemu płacowo-kadrowego. Powyższe dokumenty zostały również wysłane do Skarżącego drogą pocztową.
4. Skarżący pismem z dnia […] września 2018 r. zwrócił się do Placówki o zrealizowanie jego wniosku i przekazanie mu wszystkich kopii jego danych osobowych podlegających przetwarzaniu. Wskazał, że Placówka nie przekazała mu kopii jego danych osobowych znajdujących się w następujących dokumentach: piśmie z dnia […] listopada 2017 r. do [...], notatce służbowej z dnia […] lutego 2018 r. przekazanej do Ministerstwa Środowiska, piśmie z dnia […] listopada 2017 r. do Generalnego Inspektora Ochrony Danych Osobowych oraz piśmie z dnia […] lutego 2018 r. do Biura Kontroli i Audytu Wewnętrznego Ministerstwa Środowiska. W odpowiedzi na powyższy wniosek Skarżącego, Placówka w piśmie z dnia […] września 2018 r. wskazała, że Skarżący otrzymał wszystkie informacje znajdujące się w jego teczce osobowej.
5. Placówka w piśmie z dnia […] października 2018 r. wskazała, że podjęła decyzję o udostępnieniu Skarżącemu zanonimizowanych dokumentów, o których udostępnienie wnosił we wniosku z dnia […] września 2018 r.

Po zapoznaniu się z całością zgromadzonego w sprawie materiału dowodowego, Prezes Urzędu Ochrony Danych Osobowych zważył, co następuje.

Odnosząc się do zarzutu Skarżącego dotyczącego niewypełnienia przez Placówkę obowiązku informacyjnego określonego w art. 15 ust. 1 i 3 RODO wskazania wymaga, że na mocy art. 15 ust. 1 RODO osoba, której dane dotyczą, jest uprawniona do uzyskania od administratora potwierdzenia, czy przetwarzane są dane osobowe jej dotyczące, a jeżeli ma to miejsce, jest uprawniona do uzyskania dostępu do nich oraz informacji dotyczących: celów przetwarzania (art. 15 ust. 1 lit. a) RODO), kategorii danych osobowych (art. 15 ust. 1 lit. b) RODO), odbiorców lub kategorii odbiorców, którym dane osobowe zostały lub zostaną ujawnione (art. 15 ust. 1 lit. c) RODO), planowanego okresu przechowywania danych osobowych, a gdy nie jest to możliwe, kryteriów ustalania tego okresu (art. 15 ust. 1 lit. d) RODO), prawa do żądania od administratora sprostowania, usunięcia lub ograniczenia przetwarzania danych osobowych dotyczącego osoby, której dane dotyczą, oraz prawa do wniesienia sprzeciwu wobec takiego przetwarzania (art. 15 ust. 1 lit. e) RODO), prawa do wniesienia skargi do organu nadzorczego (art. 15 ust. 1 lit. f) RODO), jeżeli dane osobowe nie zostały zebrane od osoby, której dane dotyczą - wszelkich dostępnych informacje o ich źródle (art. 15 ust. 1 lit. g) RODO) oraz zautomatyzowanego podejmowania decyzji, w tym profilowania (art. 15 ust. 1 lit. h) RODO). Ponadto zgodnie z art. 15 ust. 3 RODO administrator dostarcza osobie, której dane dotyczą, kopię danych osobowych podlegających przetwarzaniu. Za wszelkie kolejne kopie, o które zwróci się osoba, której dane dotyczą, administrator może pobrać opłatę w rozsądnej wysokości wynikającej z kosztów administracyjnych. Jeżeli osoba, której dane dotyczą, zwraca się o kopię drogą elektroniczną i jeżeli nie zaznaczy inaczej, informacji udziela się w powszechnie stosowanej formie elektronicznej.

W toku prowadzonego postępowania wyjaśniającego ustalono, iż Placówka na podstawie art. 15 ust. 1 RODO udostępniła Skarżącemu informacje związane z przetwarzaniem jego danych osobowych. W piśmie z dnia […] września 2018 r. Placówka wskazała bowiem kategorie przetwarzanych danych osobowych, cel przetwarzania danych osobowych i okres ich przechowywania, podmioty, którym zostały udostępnione dane osobowe Skarżącego, sposób pozyskania tych danych oraz informacje o niepodejmowaniu wobec Skarżącego zautomatyzowanych decyzji. Ponadto Placówka zgodnie z art. 15 ust. 3 RODO w dniu [...] września 2018 r. przesłała na adres poczty elektronicznej Skarżącego zaszyfrowany plik składający się ze 138 stron zawierających jego dane osobowe pochodzące z akt osobowych i systemu płacowo-kadrowego. Powyższe dokumenty zostały również wysłane do Skarżącego drogą pocztową. Ponadto w piśmie z dnia […] października 2018 r. Placówka oświadczyła, że podjęło decyzję o udostępnieniu Skarżącemu dokumentów, o których udostępnienie wnosił we wniosku z dnia […] września 2018 r.

Podkreślić należy, że udostępnienie kopii danych zawartych w dokumentach (np. w pismach urzędowych), zgodnie z art. 15 ust. 3 RODO, nie jest równoznaczne z obowiązkiem udostępnienia kopii dokumentów. Administrator nie ma bowiem obowiązku udostępniania osobie zainteresowanej nośnika, na którym przetwarzane są dane osobowe oraz danych, które nie stanowią danych osobowych w rozumieniu art. 4 pkt 1 RODO i nie dotyczą wnioskującego. Realizując obowiązek wynikający z art. 15 ust. 3 RODO, administrator może poprzestać na wskazaniu treści danych dotyczących osoby, z wyłączeniem pozostałych informacji zawartych na nośniku. Wykonanie obowiązku określonego w art. 15 ust. 3 RODO może być zatem realizowane zarówno poprzez sporządzenie kopii lub odpisu dokumentu (nośnika) zawierającego dane osobowe oraz inne dane, jak i poprzez podanie uprawnionemu treści jego danych osobowych, z pominięciem informacji znajdujących się w nośniku, które nie są danymi osobowymi w rozumieniu art. 4 pkt 1 RODO. Nie ma zatem konieczności udostępniania każdego z posiadanych dokumentów, jeżeli zakres danych, który jest w nich zawarty jest taki sam. Podkreślenia również wymaga, że w przypadku zwrócenia się do administratora o kopię przetwarzanych danych osobowych, administrator każdorazowo podejmuje decyzję, w jaki sposób zrealizuje to uprawnienie. Administrator może dokonać wyboru, czy udostępnia kopię dokumentów, czy też udostępnia kopię danych zawartych w tych dokumentach. Mając powyższe na uwadze należy stwierdzić, iż Placówka w prawidłowy sposób wypełniła wobec Skarżącego obowiązek informacyjny określony w art. 15 ust. 1 oraz ust. 3 RODO.

Zauważyć w tym miejscu należy, iż postępowanie administracyjne prowadzone przez Prezesa Urzędu Ochrony Danych Osobowych służy kontroli zgodności przetwarzania danych z przepisami o ochronie danych osobowych i jest ukierunkowane na wydanie decyzji administracyjnej przywracającej stan zgodny z prawem na podstawie art. 58 ust. 2 RODO.

Ocena dokonywana przez Prezesa Urzędu w każdym przypadku służy zbadaniu zasadności skierowania pod adresem określonego podmiotu nakazu odpowiadającego dyspozycji art. 58 ust. 2 RODO służącego przywróceniu stanu zgodnego z prawem w procesie przetwarzania danych - jest więc ona uzasadniona i potrzebna tylko o tyle, o ile nieprawidłowości w procesie przetwarzania danych osobowych istnieją. W ocenie Prezesa Urzędu Ochrony Danych Osobowych nie ma podstaw do stwierdzenia, że w niniejszej sprawie takie nieprawidłowości istnieją, bowiem Placówka, jako administrator danych osobowych Skarżącego, wypełniła wobec niego obowiązek informacyjny wynikający z art. 15 ust. 1 oraz ust. 3 RODO.

W tym stanie faktycznym oraz prawnym Prezes Urzędu Ochrony Danych Osobowych orzekł, jak w sentencji.

Decyzja jest ostateczna. Na podstawie art. 7 ust. 2 oraz ust. 4 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2018 r. poz. 1000) w zw. z art. 13 § 2, art. 53 § 1 oraz art. 54 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (t. j. Dz. U. z 2018r. poz. 1302), stronie niezadowolonej z niniejszej decyzji przysługuje prawo wniesienia skargi do Wojewódzkiego Sądu Administracyjnego w Warszawie w terminie 30 dni od dnia doręczenia jej stronie. Skargę wnosi się za pośrednictwem Prezesa Urzędu Ochrony Danych Osobowych (adres: Urząd Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa). Wpis od skargi wynosi 200 złotych. Strona ma prawo ubiegania się o zwolnienie od kosztów sądowych lub prawo pomocy.