Decyzja DS.523.2582.2024

Na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2025 r. poz. 1691) w zw. z art. 7 ust. 1 i ust. 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. 2019 r. poz. 1781 ze zm.), art. 6 ust. 1 i art. 58 ust. 2 lit. b rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z 4.05.2016, str. 1, Dz. Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35),

po przeprowadzeniu postępowania administracyjnego w sprawie skargi Pana T. W., zam. w U. ((…)-(…)) przy. (…), na nieprawidłowości w procesie przetwarzania jego danych osobowych przez Prezydenta Miasta U. (Urząd Miejski w U., Pl. (…), (…)-(…) U.), polegające na udostępnieniu na rzecz Z. S.C. (ul. (…), (…)-(…) G.) danych osobowych Pana T. W. w zakresie imienia, nazwiska i adresu e-mail w piśmie Prezydenta Miasta U. z dnia (…) kwietnia 2024 r. (znak: (…)) i (…) kwietnia 2024 r. (znak: (…)), stanowiących odpowiedź na wniosek Pana T. W. z dnia (…) lutego 2024 r. i (…) kwietnia 2024 r. o udostępnienie informacji publicznej, Prezes Ochrony Danych Osobowych

udziela upomnienia Prezydentowi Miasta U. (Urząd Miejski w U., Pl. (…), (…)-(…) U.) za naruszenie art. 6 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z 4.05.2016, str. 1, Dz. Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35), polegające na udostępnieniu bez podstawy prawnej na rzecz Z. S.C. (ul. (…), (…)-(…) G.) danych osobowych Pana T. W. w zakresie imienia, nazwiska i adresu e-mail w piśmie Prezydenta Miasta U. z dnia (…) kwietnia 2024 r. (znak: (…)) i (…) kwietnia 2024 r. (znak: (…)), stanowiących odpowiedź na wniosek Pana T. W. z dnia (…) lutego 2024 r. i (…) kwietnia 2024 r. o udostępnienie informacji publicznej.

Uzasadnienie

Do Prezesa Urzędu Ochrony Danych Osobowych (zwanego dalej również Prezesem UODO) wpłynęła skarga Pana T. W., zam. w U. ((…)-(…)) przy (…) (zwanego dalej Skarżącym), na nieprawidłowości w procesie przetwarzania jego danych osobowych przez Prezydenta Miasta U. (Urząd Miejski w U., Pl. (…), (…)-(…) U.) (zwanego dalej Prezydentem), polegające na udostępnieniu na rzecz Z. S.C. (ul. (…), (…)-(…) G.) danych osobowych Skarżącego w zakresie imienia, nazwiska i adresu e-mail w piśmie Prezydenta z dnia (…) kwietnia 2024 r. (znak: (…)) i (…) kwietnia 2024 r. (znak: (…)), stanowiących odpowiedź na wniosek Skarżącego z dnia (…) lutego 2024 r. i (…) kwietnia 2024 r. o udostępnienie informacji publicznej.

W toku przeprowadzonego postępowania wyjaśniającego w niniejszej sprawie Prezes UODO ustalił następujący stan faktyczny.

1.

Skarżący wnioskiem z dnia (…) lutego 2024 r. na podstawie art. 2 ust. 1 ustawy z dnia 6 września 2001 r. o dostępie do informacji publicznej (Dz. U. z 2022 r. poz. 902 ze zm.) (dalej jako d.d.i.p), zwrócił się do Prezydenta o udostępnienie skanów umów z Z. S.C. oraz Y. (…) oraz skanów wszystkich faktur wystawionych na ww. podmioty. W odpowiedzi na powyższe, Prezydent pismem z dnia (…) kwietnia 2024 r. (znak: (…)) poinformował Skarżącego, że nie posiada wnioskowanych umów i faktur. Ww. pismo Prezydenta z dnia (…) kwietnia 2024 r. zostało przekazane m.in. na adres e-mail firmy Z., na co wskazuje użycie w nim wyrażenia „Otrzymują” (dowód: kopia wniosku Skarżącego z dnia (…) lutego 2024 r., kopia pisma Prezydenta z dnia (…) kwietnia 2024 r. załączona do skargi Skarżącego z dnia (…) kwietnia 2024 r.).

2.

Skarżący wnioskiem z dnia (…) kwietnia 2024 r. na podstawie art. 2 ust. 1 d.d.i.p. zwrócił się do Prezydenta o udostępnienie informacji, czy Urząd Miejski w U. i podległe mu miejskie spółki zawierały umowy z Z. S.C. oraz Y. (…) (pkt 1 ww. wniosku Skarżącego). W odpowiedzi na powyższe, Prezydent pismem z dnia (…) kwietnia 2024 r. (znak: (…)) poinformował Skarżącego, że Urząd Miejski w U. nie zawierał umów z ww. podmiotami. Jednocześnie wskazał, że zakres pytań zawartych w pkt 2-5 wniosku Skarżącego nie jest informacją publiczną. Ww. pismo Prezydenta z dnia (…) kwietnia 2024 r. zostało przekazane m.in. na adres e-mail firmy Z., na co wskazuje użycie w nim wyrażenia „Otrzymują” (dowód: kopia wniosku Skarżącego z dnia (…) kwietnia 2024 r., kopia pisma Prezydenta z dnia (…) kwietnia 2024 r. załączona do skargi Skarżącego z dnia (…) kwietnia 2024 r.).

3.

Prezydent oświadczył, że dane osobowe Skarżącego przetwarzane są wyłącznie w celu rozpatrzenia wniosku o dostęp do informacji publicznej na podstawie przepisów d.d.i.p., a ich przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze (dowód: wyjaśnienia Prezydenta z dnia (…) czerwca 2024 r.).

4.

W dniu (…) kwietnia 2024 r. do Prezydenta wpłynął wniosek Pana B. D. o udostępnienie informacji publicznej w zakresie: „Czy Urząd Miejski w U. udzielał informacji w sprawie braku umów zawieranych z firmami Z. i Y. (…)? Jeśli tak, poproszę o skan udzielonych odpowiedzi.” (dowód: dowód: wyjaśnienia Prezydenta z dnia (…) sierpnia 2024 r.).

5.

Prezydent oświadczył, że „(…) imię, nazwisko oraz adres e-mail Skarżącego zostały przekazane w treści odpowiedzi na wniosek o udostępnienie informacji publicznej, złożony przez Pana B. D., tj. w trybie ustawy z dnia 6 września 2001 r. o dostępie do informacji publicznej (…) W dniu (…) kwietnia 2024 r. Urząd Miejski w U. przesłał do Pana T. W. na adres e-mail wskazany we wniosku o udostępnienie informacji publicznej, tj. (…) oraz do Pana B. D. na adres e-mail wskazany we wniosku o udostępnienie informacji publicznej, tj. (…) pismo stanowiące odpowiedź na złożone przez ww. wnioskodawców wnioski o udostępnienie informacji publicznej” (dowód: wyjaśnienia Prezydenta z dnia (…) czerwca 2024 r., kopia pisma Prezydenta z dnia (…) kwietnia 2024 r. znak: (…) załączona do wyjaśnień Prezydenta z dnia (…) czerwca 2024 r.).

6.

Prezydent oświadczył, że „W toku toczącego się postępowania administracyjnego Organ samodzielnie dokonał oceny i skoro sprawa dotyczyła więcej niż jednego Wnioskodawcy w tym radnego uznał, iż zachodzi szczególna przesłanka udostepnienia informacji przetworzonej. Wobec powyższego pismem z dnia (…) kwietnia 2024 roku udzielił odpowiedzi Skarżącemu oraz stronie postępowania na adres e-mail wskazany we wniosku Pana B. D.” (dowód: wyjaśnienia Prezydenta z dnia (…) sierpnia 2024 r.).

Po zapoznaniu się z całością zgromadzonego w sprawie materiału dowodowego, Prezes UODO zważył, co następuje.

Należy w pierwszej kolejności podkreślić, że administrator zobowiązany jest zapewnić, by dane osobowe były przetwarzane zgodnie z prawem. Oznacza to, że administrator przetwarzając dane osobowe, musi legitymować się przynajmniej jedną z przesłanek określonych w art. 6 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 4.05.2016, str. 1, Dz. Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35), zwanego dalej RODO. Katalog przesłanek wymienionych w art. 6 ust. 1 RODO jest zamknięty. Każda z przesłanek legalizujących proces przetwarzania danych osobowych ma charakter autonomiczny i niezależny. Oznacza to, że przesłanki te co do zasady są równoprawne, a wobec tego spełnienie co najmniej jednej z nich stanowi o zgodnym z prawem przetwarzaniu danych osobowych. Powyższy przepis stanowi, że przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy – i w takim zakresie, w jakim – spełniony jest co najmniej jeden z poniższych warunków: c) przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze.

Jednocześnie należy podkreślić, że każda operacja przetwarzania danych osobowych powinna być zgodna z ogólnymi zasadami przetwarzania danych określonymi w art. 5 ust. 1 RODO, zaś zgodnie z art. 5 ust. 2 RODO administrator jest odpowiedzialny za przestrzeganie przepisów ust. 1 i musi być w stanie wykazać ich przestrzeganie ("rozliczalność"). Ponadto art. 5 ust. 1 lit. f RODO nakłada na administratora danych obowiązek przetwarzania danych osobowych zgodnie z zasadą integralności i poufności. Oznacza to, że administrator powinien zapewnić odpowiednie bezpieczeństwo danych osobowych, w tym ochronę przed niedozwolonym lub niezgodnym z prawem przetwarzaniem oraz przypadkową utratą, zniszczeniem lub uszkodzeniem, za pomocą odpowiednich środków technicznych lub organizacyjnych.

Zgodnie z art. 4 ust. 1 pkt 1 d.d.i.p obowiązane do udostępniania informacji publicznej są władze publiczne oraz inne podmioty wykonujące zadania publiczne, w szczególności organy władzy publicznej. W myśl art. 7 ust. 1 pkt 2 d.d.i.p. udostępnianie informacji publicznej następuje w drodze dostępniania, o którym mowa w art. 10 i 11. Natomiast jak wskazuje art. 10 ust. 1 d.d.i.p., informacja publiczna, która nie została udostępniona w Biuletynie Informacji Publicznej lub portalu danych, jest udostępniana na wniosek. W tym miejscu należy zwrócić uwagę na ograniczenia jakie nakłada art. 5 ust 2 d.d.i.p., który stanowi, że prawo do informacji publicznej podlega ograniczeniu ze względu na prywatność osoby fizycznej lub tajemnicę przedsiębiorcy. Ograniczenie to nie dotyczy informacji o osobach pełniących funkcje publiczne, mających związek z pełnieniem tych funkcji, w tym o warunkach powierzenia i wykonywania funkcji, oraz przypadku, gdy osoba fizyczna lub przedsiębiorca rezygnują z przysługującego im prawa.

Ze zgromadzonego materiału dowodowego w niniejsze sprawie wynika, że Skarżący zwrócił się do Prezydenta z dwoma wnioskami o udzielenie informacji publicznej dotyczących m.in. Z. S.C. Jednocześnie do Prezydenta wpłynął wniosek Pana B. D. o udostępnienie informacji publicznej w zakresie informacji czy Prezydent udzielał informacji publicznej w sprawie braku umów zawieranych z firmami Z. i Y. (…), a jeżeli tak, to Pan B. D. wniósł o przekazanie skanu udzielonych odpowiedzi. Prezydent, działając w celu udzielenia odpowiedzi Panu B. D. przesłał do jego wiadomości pisma kierowane do Skarżącego bez anonimizacji jego danych osobowych.

Jak wskazano powyżej, stosownie do art. 5 ust. 2 RODO administrator jest odpowiedzialny za przestrzeganie przepisów ust. 1 i musi być w stanie wykazać ich przestrzeganie. Wskazać należy, że na Prezydencie, jako administratorze danych osobowych, spoczywają konkretne obowiązki wynikające z obowiązujących przepisów o ochronie danych osobowych, w tym z art. 5 ust. 1 lit. c RODO, zgodnie z którym dane osobowe muszą być adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane. Przepis ten nakazuje ograniczenie przetwarzania danych jedynie do niezbędnego minimum i przetwarzanie tylko takich danych, bez których nie da się osiągnąć celu. Ponadto wskazano również na ograniczenia jakie nakłada art. 5 ust. 2 d.d.i.p, który stanowi, że prawo do informacji publicznej podlega ograniczeniu ze względu na prywatność osoby fizycznej lub tajemnicę przedsiębiorcy. Ograniczenie to nie dotyczy informacji o osobach pełniących funkcje publiczne, mających związek z pełnieniem tych funkcji, w tym o warunkach powierzenia i wykonywania funkcji, oraz przypadku, gdy osoba fizyczna lub przedsiębiorca rezygnują z przysługującego im prawa. Zauważyć należy, że dane osobowe Skarżącego w zakresie jego imienia, nazwiska i adresu e-mail jako osoby, która składała do organu wniosek w trybie dostępu do informacji publicznej, podlegały ochronie.

Zebrany w sprawie materiał dowodowy nie daje podstaw do przyjęcia, iż Skarżący zrezygnował z przysługującego mu prawa do prywatności w stosunku do udostępnionych odpowiedzi Prezydenta na jego wnioski. Ponadto, z przywołanych przez Prezydenta okoliczności nie wynika również, aby Skarżący był osobą pełniącą funkcję publiczną w rozumieniu art. 5 ust. 2 d.d.i.p.

Ponadto, Prezydent w złożonych przed Prezesem UODO wyjaśnieniach nie wskazał konkretnego przepisu prawa materialnego, stanowiącego podstawę prowadzenia jednego postępowania administracyjnego na skutek wniosków Skarżącego oraz Pana B. D., którego stroną uznał Z. S.C. Organ zauważa, że procedura rozpatrzenia wniosku o dostęp do informacji publicznej nie jest postępowaniem administracyjnym w rozumieniu przepisów ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego, a jest odrębną procedurą o charakterze informacyjnym, oparta na przepisach d.d.i.p. Złożenie dwóch lub więcej wniosków o udostępnienie informacji publicznej, nawet jeśli dotyczą one tożsamego lub zbliżonego zakresu informacji, nie skutkuje prowadzeniem jednej, wspólnej procedury. Każdy wniosek o udostępnienie informacji publicznej stanowi odrębne żądanie, podlegające samodzielnemu rozpatrzeniu. Przepisy d.d.i.p. nie przewidują możliwości łączenia kilku wniosków w jedną procedurę ani ich „kumulowania” ze względu na podobieństwo przedmiotu żądania.

W związku z powyższym, udostępnienie danych osobowych Skarżącego w zakresie jego imienia, nazwiska i adresu e-mail na rzecz Z. S.C. lub też na rzecz Pana B. D., nie było niezbędne do spełnienia obowiązku wynikającego z art. 4 ust. 1 pkt 1 d.d.i.p, który to obowiązek mógł zostać bez przeszkód spełniony przez Prezydenta bez udostępniania ww. danych osobowych Skarżącego. Należy zatem uznać, że Prezydent udostępniając ww. dane osobowe Skarżącego w piśmie z dnia (…) kwietnia 2024 r. i (…) kwietnia 2024 r., stanowiących odpowiedź na wniosek Skarżącego złożone w trybie art. 2 ust. 1 d.d.i.p., udostępnił dane osobowe Skarżącego bez podstawy prawnej, czym naruszył art. 6 ust. 1 RODO. Prezydent nie wykazał, aby ciążył na nim obowiązek prawny, dla którego wypełnienia konieczne było udostępnienie danych Skarżącego w zakwestionowany przez niego sposób (art. 6 ust. 1 lit. c RODO).

W niniejszej sprawie doszło ponadto do naruszenia wymogów z art. 5 ust. 1 lit. a i lit. f RODO. Przedmiotowe udostępnienie danych osobowych Skarżącego na rzecz podmiotu nieuprawnionego niewątpliwie kwalifikuje się jako niezgodne z prawem przetwarzanie danych, ponadto przy powyższym doszło do naruszenia zasady obligującej administratora do przetwarzania danych osobowych zgodnie z zasadą poufności.

Ocena dokonywana przez Prezesa Urzędu Ochrony Danych Osobowych w każdym przypadku służy zbadaniu zasadności skierowania pod adresem określonego podmiotu decyzji odpowiadającej dyspozycji art. 58 ust. 2 RODO w celu przywróceniu stanu zgodnego z prawem w procesie przetwarzania danych - jest więc ona uzasadniona i potrzebna o tyle, o ile nieprawidłowości w procesie przetwarzania danych osobowych istnieją. Mając na uwadze powyższe, uwzględniając wagę i nieodwracalny charakter stwierdzonego naruszenia, Prezes UODO uznał za zasadne skorzystanie w niniejszej sprawie z instrumentu o charakterze naprawczym przewidzianego w art. 58 ust. 2 lit. b RODO i udzielił Prezydentowi upomnienia w związku z zaistniałym naruszeniem art. 6 ust. 1 RODO. W ocenie Prezesa UODO zastosowanie w niniejszej sprawie tego instrumentu prawnego jest adekwatne do wagi stwierdzonego naruszenia

W tym stanie faktycznym i prawnym Prezes Urzędu Ochrony Danych Osobowych rozstrzygnął, jak w sentencji.