>Decyzje Giodo>2006 >

Warszawa, dnia       lipca 2006 r.

DECYZJA

Na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2000 r. Nr 98, poz. 1071 z późn. zm.), art. 22, art. 12 pkt 2 oraz
art. 18 ust. 1 pkt 1 w zw. z art. 23 ust. 1 pkt 5 i art. 26 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 z późn. zm.), po przeprowadzeniu postępowania administracyjnego w sprawie skargi Pana X – Prezesa Zarządu Y, , dotyczącej przetwarzania jego danych osobowych zawartych w pismach Stowarzyszenia Z skierowanych do Burmistrza pewnej Gminy (tj. skargach na działania Komendanta i Zastępcy Komendanta Straży Miejskiej) przez Burmistrza pewnej Gminy oraz Komendanta Straży Miejskiej w tej gminie,

1)    nakazuję Burmistrzowi Gminy, wprowadzenie w Urzędzie Miasta i Gminy mieszczącym się w Konstancinie – Jeziornej, wewnętrznych procedur określających zasady udostępniania pracownikom Urzędu Miasta i Gminy, danych osobowych, których administratorem jest Burmistrz Gminy, dla realizacji celów innych niż wypełnianie obowiązków służbowych;
2)    w pozostałym zakresie odmawiam uwzględnienia wniosku.

Uzasadnienie

Do Biura Generalnego Inspektora Ochrony Danych Osobowych wpłynęła skarga Pana X – Prezesa Zarządu Y, zwanego dalej również Skarżącym, na nieuprawnione przetwarzanie jego danych osobowych przez Burmistrza Gminy, zwanego dalej również Burmistrzem, oraz Komendanta Straży Miejskiej, zwanego dalej Komendantem. Jak bowiem wskazał Skarżący, Burmistrz udostępnił skierowane do niego dwa pisma Stowarzyszenia Y z dnia 20 czerwca 2003 r. (stanowiące skargi na działania Komendanta i Zastępcy Komendanta Straży Miejskiej
), podpisane przez Pana X – jako Prezesa Zarządu ww. stowarzyszenia - Komendantowi. Komendant wykorzystał natomiast pozyskane w ten sposób dane osobowe Skarżącego w celu skierowania przeciwko niemu aktu oskarżenia do Sądu Rejonowego,. Pan X dołączył do swojej skargi kopię „uproszczonego aktu oskarżenia przeciwko Panu X – oskarżonemu o czyn z art. 212 § 1 k. k..” (ustawy z dnia 6 czerwca 1997 r. Kodeks karny; Dz. U. Nr 88, poz. 553 z późn. zm.), z jakim wystąpił przeciwko niemu Pan S (Komendant). W ocenie Pana X opisane praktyki Burmistrza oraz Komendanta w zakresie przetwarzania danych osobowych Skarżącego zawartych w skierowanej przez niego do Burmistrza korespondencji nie znajdowały uzasadnienia w przepisach obowiązującego prawa.W toku przeprowadzonego w przedmiotowej sprawie postępowania administracyjnego Generalny Inspektor odebrał pisemne wyjaśnienia oraz stosowne dowody od Burmistrza oraz Komendanta.
Zarówno, jak i Komendant, potwierdzili okoliczności faktyczne przedstawione przez Pana X w jego skardze do organu do spraw ochrony danych osobowych, nie godząc się jednak z dokonaną przez Skarżącego ich oceną – jako bezprawnych. Burmistrz wyjaśnił, iż przyjętą w Urzędzie Miasta i Gminy praktyką w zakresie postępowania z wpływającymi tam skargami na pracowników ww. Urzędu jest prowadzenie postępowań wyjaśniających, w ramach których osoba, której skarga dotyczy, zapoznawana jest z jej treścią, tak, aby miała możliwość ustosunkowania się do formułowanych wobec niej zarzutów. Jak wskazał Burmistrz „(...) Tak było i w tym przypadku, tym bardziej, że zarzuty sformułowane przez pana X (...) dotyczyły domniemania przyjęcia korzyści materialnych przez Komendanta Straży Miejskiej oraz Zastępcę Komendanta Straży Miejskiej podczas wykonywania czynności służbowych (...)”. Jednocześnie Burmistrz poinformował, iż zarządzeniem wprowadził w Urzędzie Miasta i Gminy „Instrukcję zarządzania systemem informatycznym służącym do przetwarzania danych osobowych w Urzędzie Miasta i Gminy” oraz „Politykę bezpieczeństwa w Urzędzie Miasta i Gminy”. Burmistrz wyjaśnił również, że wszyscy pracownicy Urzędu Miasta i Gminy, w tym także wszyscy pracownicy Straży Miejskiej - łącznie z Komendantem – zostali zapoznani z powyższymi dokumentami, zobowiązani do przestrzegania postanowień w nich zawartych, a także przeszkoleni w zakresie obowiązujących przepisów o ochronie danych osobowych, w tym zwłaszcza ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 z późn. zm.), zwanej dalej również ustawą – co potwierdzili stosownymi oświadczeniami.
Z pisma Burmistrza wynika natomiast, że Burmistrz wiedział o decyzji Komendanta dotyczącej wystąpienia przeciwko Panu X z aktem oskarżenia o czyn z art. 212 § 1 Kodeksu karnego. Burmistrz podkreślił zarazem, iż: „(...) to właśnie Straż Miejska jest tą jednostką, na której nie powinien ciążyć jakikolwiek cień podejrzeń o działania niezgodne z prawem (...)”. Ponadto Burmistrz poinformował, iż zdarzenie polegające na wykorzystaniu danych osobowych zawartych w skierowanej do niego skardze przez pracownika Urzędu Miasta i Gminy (Komendanta) w celach innych od tych, dla realizacji których dane te pracownikowi powierzono, miało charakter incydentalny.
Do Biura Generalnego Inspektora Ochrony Danych Osobowych wpłynęła – przesłana Generalnemu Inspektorowi przez Wojewódzki Sąd Administracyjny w Warszawie – skarga Pana X na pismo Biura Generalnego Inspektora Ochrony Danych Osobowych.
Za pismem przewodnim Generalny Inspektor przesłał do Wojewódzkiego Sądu Administracyjnego odpowiedź na ww. skargę Pana X wraz z uwierzytelnionymi odpisami akt niniejszego postępowania, natomiast za kolejny, organ do spraw ochrony danych osobowych przekazał Wojewódzkiemu Sądowi Administracyjnemu oryginały tych akt Postanowieniem Wojewódzki Sąd Administracyjny  odrzucił omawianą skargę Pana X.
Po zwrocie akt przedmiotowego postępowania przez Wojewódzki Sąd Administracyjny w organ do spraw ochrony danych osobowych kontynuował postępowanie wyjaśniające w niniejszej sprawie.
W odpowiedzi na zawartą w pismach: informację o zebraniu materiału dowodowego w przedmiotowej sprawie oraz o uprawnieniach przysługujących stronie postępowania na mocy art. 10 § 1 i art. 73 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2000 r. Nr 98, poz. 926 z późn. zm.), zwanej dalej również Kpa, Pan X przesłał do Biura Generalnego Inspektora kolejno pisma: wraz z załącznikami. Wskazane pisma zatytułowane zostały jako „Odpowiedź w formie wypowiedzenia się w sprawie”, zaś w ich treści Skarżący wniósł o włączenie do zebranego w niniejszej sprawie materiału dowodowego załączonych kopii dokumentów i artykułów prasowych. Podkreślenia wymaga, że powyższe materiały, jakkolwiek stanowią w chwili obecnej integralną część akt postępowania. pozostają bez związku z jego przedmiotem.

Po zapoznaniu się z całością zgromadzonego w sprawie materiału dowodowego Generalny Inspektor Ochrony Danych Osobowych zważył, co następuje:

Na wstępie niniejszych rozważań wskazać należy, iż administratorem danych osobowych Skarżącego zawartych w skierowanych przez niego do Burmistrza skargach dotyczących funkcjonowania Straży Miejskiej, jest Burmistrz. Zgodnie bowiem z art. 7 pkt 4 ustawy o ochronie danych osobowych, administratorem danych jest organ, jednostka organizacyjna, podmiot lub osoba, o których mowa w art. 3 ustawy, decydujące o celach i środkach przetwarzania danych osobowych. O celach i środkach przetwarzania danych osobowych Skarżącego utrwalonych w ww. jego korespondencji decyduje natomiast jej adresat – tj. Burmistrz.
Bezprawność działań Burmistrza – jako administratora danych osobowych Pana X zawartych w treści skierowanej do tego organu korespondencji  – wyraża się zdaniem Skarżącego w jej udostępnieniu przez Burmistrza Komendantowi, a także w umożliwieniu Komendantowi wykorzystania pozyskanych w ten sposób danych osobowych Pana X dla wszczęcia przeciwko niemu postępowania karnego na podstawie prywatnego aktu oskarżenia.
W pierwszej kolejności należy zatem wskazać, iż udostępnienie danych osobowych Skarżącego utrwalonych w skargach Stowarzyszenia Y na Komendanta i Zastępcę Komendanta Straży Miejskiej przez Burmistrza - Komendantowi znajduje – zdaniem Generalnego Inspektora – oparcie w art. 23 ust. 1 pkt 5 ustawy i jako takie stanowi działanie w pełni uprawnione. Stosownie do brzmienia powołanego przepisu, przetwarzanie danych osobowych należy uznać za dopuszczalne, jeżeli jest to niezbędne dla wypełniania prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą.
Pisma Pana X skierowane do Burmistrza stanowiły skargi w rozumieniu przepisów Działu VIII ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2000 r. Nr 98, poz. 1071 z późn. zm.), zwanej dalej Kpa (art. 221 – art. 260 Kpa). Zawarte w nich zarzuty dotyczyły bowiem rzekomo nienależytego wykonywania zadań przez pracowników Urzędu Miasta i Gminy tj. Komendanta i Zastępcę Komendanta Straży Miejskiej i podejrzenia dopuszczenia się przez te osoby czynów zabronionych. Zgodnie natomiast z brzmieniem art. 227 Kpa, przedmiotem skargi może być w szczególności zaniedbanie lub nienależyte wykonywanie zadań przez właściwe organy albo przez ich pracowników, naruszenie praworządności lub interesów skarżących, a także przewlekłe lub biurokratyczne załatwianie spraw. W myśl art. 221 § 1 Kpa, konstytucyjnie zagwarantowane każdemu prawo składania petycji, skarg i wniosków do organów państwowych, organów jednostek samorządu terytorialnego, organów samorządowych jednostek organizacyjnych oraz do organizacji i instytucji społecznych realizowane jest na zasadach określonych przepisami Działu VIII Kpa („Skargi i wnioski”). Petycje, skargi i wnioski można składać w interesie publicznym, własnym lub innej osoby za jej zgodą (art. 221 § 3 Kpa).
Podkreślenia wymaga jednocześnie, że choć skarga inicjująca uregulowane w Dziale VIII Kpa („Skargi i wnioski”) postępowanie skargowe ma charakter środka prawnego
w znacznym stopniu odformalizowanego, istotnym jej elementem jest nie tylko zarzut wadliwej działalności organu lub jego pracownika, lecz również wskazanie osoby od której skarga pochodzi. Ostatni z wymienionych elementów stanowi niezbędny warunek prawidłowej oceny danego pisma jako skargi (por. art. 222 Kpa oraz komentarz do wskazanego przepisu:
B. Adamiak, J. Borkowski „Kodeks postępowania administracyjnego. Komentarz” Wydawnictwo C.H.Beck 2005, str. 823 i nast.), jak również warunkuje możliwość podejmowania określonych, obligatoryjnych czynności w ramach postępowania skargowego (w szczególności zawiadomienia skarżącego o sposobie załatwienia skargi – stosownie do art. 237 § 3 Kpa). Nie może zatem ulegać wątpliwości, że nie tylko treść zarzutów pod adresem określonych organów lub ich pracowników, lecz również dane skarżącego stanowią czynnik indywidualizujący daną skargę. Jakkolwiek powołane przepisy Działu VIII Kpa nie wyznaczają wzorów czynności postępowania skargowego, nie może budzić wątpliwości potrzeba podejmowania w takich przypadkach czynności wyjaśniających, w szczególności zaś umożliwienia wypowiedzenia się co do zasadności zarzutów zawartych w skardze podmiotowi, pod adresem którego zostały sformułowane. Uzyskanie przez podmiot właściwy do rozpatrzenia skargi stanowiska skarżonego podmiotu w określonej sprawie stanowi nie tylko podstawowy warunek obiektywnego rozpatrzenia sprawy, lecz równocześnie gwarancję respektowania praw podmiotu, którego dotyczą zarzuty skargi – tj. prawa do ustosunkowania się do tych zarzutów, wyjaśnienia okoliczności sprawy oraz obrony przed konsekwencjami nieprawdziwych oskarżeń.
Dążenie do wyjaśnienia wszystkich okoliczności sprawy będącej przedmiotem skargi i obiektywnego jej rozpatrzenia, przy jednoczesnym poszanowaniu praw nie tylko podmiotu występującego ze skargą, lecz również tego, którego skarga dotyczy, niewątpliwie ocenić należy zatem jako prawnie usprawiedliwiony cel Burmistrza (administratora danych osobowych Skarżącego). Jednocześnie, wobec okoliczności, iż sam Pan X skierował do Burmistrza skargę na działania Komendanta i Zastępcy Komendanta Straży Miejskiej, nie ma podstaw by przyjąć, że zainicjowane w ten sposób postępowanie skargowe, prowadzone na podstawie przepisów Działu VIII Kpa, wiąże się z naruszeniem praw bądź wolności Skarżącego.
W tej sytuacji w pełni zasadnym jest przyjęcie, że udostępnienie przez Burmistrza na rzecz Komendanta danych osobowych Pana X zawartych w opisanych wcześniej skargach Stowarzyszenia Y na działania Straży Miejskiej , dokonane zostało na warunkach określonych w art. 23 ust. 1 pkt 5 ustawy o ochronie danych osobowych.
Podkreślenia wymaga, że Generalny Inspektor nie znalazł jakichkolwiek podstaw, aby zanegować prawdziwość przekazanych przez Burmistrza informacji dotyczących prowadzonego przez ten organ postępowania skargowego zainicjowanego skargami Stowarzyszenia Y (informacje te znalazły potwierdzenie także w wyjaśnieniach Komendanta). Pan X wykazywał wprawdzie – przesyłając kopie dokumentów iż Burmistrz nie zakończył ww. postępowania w sposób przewidziany przepisami obowiązującego prawa – tj. nie udzielił Skarżącemu odpowiedzi na temat sposobu załatwienia podpisanych przez niego skarg, jednakże okoliczność taka nie świadczy o tym, że postępowanie skargowe w ogóle nie było prowadzone. Ewentualne niedopełnienie przez Burmistrza procedury skargowej, polegające na braku obligatoryjnego poinformowania Pana X o sposobie załatwienia skarg reprezentowanego przez niego stowarzyszenia, pozostaje bez wpływu na ocenę wiarygodności wyjaśnień Burmistrza o prowadzonym przez ten organ postępowaniu skargowym, jak również nie pozbawia legalności procesu przetwarzania danych osobowych Skarżącego w toku tego postępowania.
Odmiennie przedstawia się natomiast ocena dopuszczalności późniejszego wykorzystania pozyskanych w opisanych sposób danych osobowych Pana X przez Komendanta – dla celu skierowanie przeciwko niemu prywatnego aktu oskarżenia do sądu.
W pierwszej kolejności ponownego zaznaczenia wymaga, że przekazanie przez Burmistrza – Komendantowi skarg stowarzyszenia Y, tym samym zaś udostępnienie zawartych w treści przedmiotowych pism danych osobowych Pana X, dokonane zostało w ramach procedury skargowej i miało na celu wyłącznie ustosunkowanie się przez Komendanta do zarzutów sformułowanych pod adresem Straży Miejskiej w tychże pismach. Komendant pozyskał zatem zawarte w ww. skargach dane osobowe Pana X w celach służbowych i wyłącznie dla realizacji tych celów mógł legalnie je wykorzystać. Tymczasem dane osobowe Pana X utrwalone w treści ww. jego skarg, zostały przez Komendanta wykorzystane w celu skierowania przeciwko Skarżącemu prywatnego aktu oskarżenia do sądu – a zatem w celach pozasłużbowych, prywatnych. Do takich zaś działań Komendant nie był uprawniony. Istotnym jest przy tym, że odpowiedzialność za powyższe działania Komendanta ponosi Burmistrz – jako że ten właśnie organ posiada status administratora danych osobowych Pana X zawartych w jego pismach z dnia 20 czerwca 2003 r. Do obowiązków administratora danych należy natomiast m. in. wynikający z brzmienia art. 26 ust. 1 ustawy, obowiązek dołożenia szczególnej staranności w celu ochrony interesów osób, których dane dotyczą, a w szczególności zapewnienia, aby dane te były przetwarzane zgodnie z prawem (pkt 1), zbierane dla oznaczonych, zgodnych z prawem celów i nie poddawane dalszemu przetwarzaniu niezgodnemu z tymi celami, z zastrzeżeniem ust. 2 (pkt 2). Zgodnie z art. 26 ust. 2 ustawy przetwarzanie danych w celu innym niż ten, dla którego zostały zebrane, jest dopuszczalne, jeżeli nie narusza praw i wolności osoby, której dane dotyczą, oraz następuje w celach badań naukowych, dydaktycznych, historycznych lub statystycznych (pkt 1), z zachowaniem przepisów art. 23 i 25 (pkt 2).
Oceniając okoliczności przedmiotowej sprawy w świetle powołanych przepisów wskazać należy, że Burmistrz - jako administrator danych osobowych Skarżącego - nie dopełnił należycie obowiązku zapewnienia, aby dane te nie były poddawane dalszemu przetwarzaniu niezgodnemu z celami, dla których zostały zebrane. Niewątpliwie bowiem wykorzystanie przez Komendanta - dla jego prywatnych celów - danych osobowych Pana X pozyskanych od Burmistrza w ramach wykonywania czynności służbowych nie mieści się w zakresie upoważnienia wynikającego z art. 26 ust. 2 ustawy.
Za zasadnością wniosku o niedopełnieniu przez Burmistrza obowiązku wynikającego z art. 26 ust. 1 pkt 2 ustawy przemawia fakt, iż Komendant, podobnie jak inni pracownicy Urzędu Miasta i Gminy nie został pouczony wprost o zakazie wykorzystywania danych osobowych pozyskiwanych w związku z wykonywaniem czynności służbowych, dla celów innych niż realizacja tychże czynności. Organ do spraw ochrony danych osobowych nie kwestionuje, że Burmistrz podjął określone działania służące zapewnieniu legalności procesu przetwarzania danych osobowych w Urzędzie Miasta i Gminy (wprowadzenie „Instrukcji zarządzania systemem informatycznym służącym do przetwarzania danych osobowych w Urzędzie Miasta i Gminy” oraz „Polityki bezpieczeństwa w Urzędzie Miasta i Gminy”, przeszkolenie w zakresie przepisów o ochronie danych osobowych, w tym ustawy o ochronie danych osobowych), jednakże okazały się one niewystarczające. W tym miejscu warto również zauważyć, że w piśmie z Burmistrz wskazał m. in.: „(...) Pan S Komendant Straży Miejskiej po otrzymaniu do służbowego zapoznania się i złożenia wyjaśnień odnośnie pism skierowanych do Burmistrza przez Prezesa Zarządu Y, przeprowadził rozmowę z Burmistrzem (...) na okoliczność kierowanych zarzutów pod adresem Straży Miejskiej oraz osobiście jego, jako Komendanta Straży Miejskiej (...) Pan S sam osobiście podjął decyzję o skierowaniu sprawy do Sądu przeciwko p. X (...) o czym poinformował osobiście Burmistrza (...)”. Treść powyższych wyjaśnień Burmistrza wydaje się świadczyć, że Burmistrz, wiedząc czy to o zamiarze nieuprawnionego wykorzystania przez Komendanta – dla jego prywatnych celów – danych osobowych Pana X, czy też o fakcie takiego wykorzystania tychże danych, nie zareagował w żaden sposób. Tymczasem jak najbardziej zasadne było w tej sytuacji pouczenie - i to nie tylko Komendanta lecz również innych pracowników Urzędu Miasta i Gminy– o niedopuszczalności wykorzystywania danych osobowych pozyskiwanych w związku z wykonywaniem obowiązków służbowych dla celów wykraczających poza realizację tych obowiązków.
Podkreślić należy, że Generalny Inspektor nie kwestionuje prawa Komendanta do tego, aby w sytuacji, gdy informacje zawarte w treści pism Pana X uznał za zniesławiające jego osobę, poniżające go w opinii publicznej lub narażające na utratę zaufania potrzebnego dla zajmowanego stanowiska, na drodze sądowej bronił się przed konsekwencjami takich oskarżeń. Aby jednak wykorzystać dane osobowe Pana X zawarte w treści powyższych jego pism dla celu skierowania przeciwko niemu prywatnego aktu oskarżenia do sądu Komendant powinien pozyskać te dane w ramach odrębnej procedury (przewidzianej w art. 29 – 30 ustawy o ochronie danych osobowych) i dla realizacji tego właśnie celu. Przyjęcie odmiennej koncepcji oznaczałoby dopuszczenie niekontrolowanego przetwarzania danych osobowych pozyskiwanych w ramach obowiązków służbowych i dla ich realizacji - w celach prywatnych.
Mając zatem na względzie zarówno fakt, iż dane osobowe, których administratorem jest Burmistrz i które pozyskiwane są przez pracowników Urzędu Miasta i Gminy dla realizacji ich obowiązków służbowych, nie mogą być przez nich wykorzystywane w innych celach, ja również niezaprzeczalne prawo do bronienia się przez Komendanta (czy innych pracowników ww. Urzędu) przed konsekwencjami nieprawdziwych oskarżeń kierowanych pod ich adresem, Generalny Inspektor uznał za niezbędne nakazanie Burmistrzowi wprowadzenia w Urzędzie Miasta i Gminy wewnętrznych procedur określających zasady udostępniania pracownikom tego Urzędu, danych osobowych, których administratorem jest Burmistrz, dla celów innych niż wypełnianie obowiązków służbowych.
Uzasadniając konieczność skierowania w stosunku do Burmistrza nakazu o treści wskazanej w sentencji niniejszej decyzji powołać należy, wydany na tle zbliżonego stanu faktycznego, wyrok Naczelnego Sądu Administracyjnego. W uzasadnieniu powyższego rozstrzygnięcia Naczelny Sąd Administracyjny zaakcentował w szczególności, iż: „(...) administrator danych odpowiada za czyny swoich pracowników w zakresie naruszenia ustawy o ochronie danych osobowych (...)”. W konsekwencji - jak podkreślił ww. Sąd - w razie stwierdzenia naruszenia przepisów o ochronie danych osobowych w procesie przetwarzania tych danych przez pracownika podmiotu posiadającego status ich administratora, Generalny Inspektor powinien wydać nakaz zgodny z brzmieniem art. 18 ust. 1 ustawy o ochronie danych osobowych wobec administratora. Przeciwne rozstrzygnięcie oznaczałoby brak odpowiedzialności administratora za działania podległych mu pracowników, taka zaś decyzja naruszałaby art. 18 ust. 1 ustawy.

W tym stanie prawnym i faktycznym, Generalny Inspektor Ochrony Danych Osobowych rozstrzygnął, jak w sentencji.

Decyzja jest ostateczna. Na podstawie art. 21 ust. 1 ustawy o ochronie danych osobowych
i art. 129 § 2 w zw. z art. 127 § 3 Kodeksu postępowania administracyjnego, strona niezadowolona z niniejszej decyzji może, w terminie 14 dni od dnia jej doręczenia, zwrócić się do Generalnego Inspektora Ochrony Danych Osobowych (adres: Biuro Generalnego Inspektora Ochrony Danych Osobowych, ul. Stawki 2, 00 - 193 Warszawa) z wnioskiem o ponowne rozpatrzenie sprawy.