Dane wnioskodawcy są chronione. Ważna decyzja Prezesa UODO

Aby prawo do informacji było efektywne i umożliwiało rzeczywistą kontrolę władzy, obywatele muszą móc korzystać z niego swobodnie. Jeśli wnioskodawca będzie obawiał się przykrych konsekwencji związanych ze złożeniem wniosku o udostępnienie informacji, może ostatecznie zrezygnować z kierowania pytań do organów administracji.

Jednym ze sposobów zniechęcania obywateli do korzystania z prawa do informacji jest perspektywa ujawnienia ich danych osobowych podmiotom trzecim. W jednej z najnowszych decyzji Prezes Urzędu Ochrony Danych Osobowych przypomniał, że niedozwolone jest udostępnianie innym osobom danych identyfikujących wnioskodawcę działającego w trybie dostępu do informacji publicznej.

Kto jest stroną postępowania w przedmiocie udostępnienia informacji?

Orzecznictwo sądowe nie pozostawia wątpliwości, że stroną postępowania w przedmiocie udostępnienia informacji na wniosek jest wyłącznie sam wnioskodawca (zob. m.in. wyrok NSA z 6.09.2016 r. (I OSK 634/16), wyrok NSA z 4.11.2016 r. (I OSK 1372/15)i przywołane tam orzeczenia). Oznacza to, że nikt poza wnioskodawcą nie może chociażby uzyskiwać wglądu do akt sprawy na zasadach przysługujących stronom i uczestnikom postępowania. Brak jest zatem również podstawy prawnej do ujawnienia podmiotom trzecim danych osobowych wnioskodawcy korzystającego z prawa do informacji.

Bez znaczenia pozostaje przy tym, czy wniosek dotyczy innej osoby lub podmiotu. Jak wyjaśnił Wojewódzki Sąd Administracyjny w Warszawie (zob. wyrok WSA w Warszawie z 14.02.2020 r., II SA/Wa 1551/19):

(…) osoba, której dotyczą wnioskowane informacje (żądane dane), nie jest stroną postępowania w sprawie z wniosku o udostępnienie informacji publicznej.

Mimo że orzeczenie to zostało uchylone przez Naczelny Sąd Administracyjny (zob. wyrok NSA z 24.11.2023 r., III OSK 2836/21), przesądziły o tym względy proceduralne. Sąd II instancji uznał jednak za trafną ocenę prawną sądu I instancji dotyczącą niedopuszczalności przekazania podmiotowi trzeciemu danych osobowych wnioskodawcy w sprawie z wniosku o udostępnienie informacji publicznej. Podkreślił przy tym, że stroną takiego postępowania jest wyłącznie wnioskodawca.

W konsekwencji, nawet jeżeli wnioskodawca domaga się udostępnienia informacji dotyczącej innej osoby lub podmiotu — na przykład urzędnika, spółki albo przedsiębiorcy prowadzącego jednoosobową działalność gospodarczą — wciąż niedopuszczalne jest ujawnienie tej osobie lub temu podmiotowi danych wnioskodawcy.

Realny problem związany z ujawnianiem danych

Zagadnienie dopuszczalności udostępnienia innym podmiotom danych osoby składającej wniosek w trybie prawa do informacji nie jest wyłącznie teoretycznym problemem. W ramach prowadzonego przez nas poradnictwa udzielaliśmy wsparcia osobie, która została pokrzywdzona bezprawnym ujawnieniem jej danych przez organ administracji.

W sprawie tej wnioskodawca zwrócił się do prezydenta jednego z miast z dwoma wnioskami o udostępnienie informacji dotyczących wskazanej przez siebie spółki cywilnej. Następnie wspólnik tej spółki zwrócił się do prezydenta miasta z pytaniem, czy organ udzielał jakichkolwiek odpowiedzi na wnioski dotyczące spółki, a jeśli tak — poprosił o ich udostępnienie. Prezydent przekazał wspólnikowi spółki cywilnej odpowiedzi na wnioski skierowane wcześniej przez wnioskodawcę, nie dokonując jednak anonimizacji jego danych osobowych. Obywatel pokrzywdzony działaniem prezydenta zawiadomił o sprawie Urząd Ochrony Danych Osobowych.

Prezes UODO udziela prezydentowi miasta upomnienia

Decyzją z 18 maja 2026 r., znak DS.523.2582.2024.WP.ES (niepubl.), Prezes UODO uznał, że działanie prezydenta polegające na ujawnieniu danych osobowych wnioskodawcy było nieprawidłowe, i udzielił organowi upomnienia.

W swoim rozstrzygnięciu Prezes UODO wskazał, że administrator danych, którym w tej sprawie był prezydent miasta, jest zobowiązany zadbać o zgodne z prawem przetwarzanie danych osobowych. Zaakcentował również, że przepisy rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. (RODO) nakładają na administratora obowiązek przetwarzania danych osobowych zgodnie z zasadą integralności i poufności, czyli w sposób zapewniający odpowiednie bezpieczeństwo danych osobowych, w tym ochronę przed niedozwolonym lub niezgodnym z prawem przetwarzaniem oraz przypadkową utratą, zniszczeniem lub uszkodzeniem.

Prezes UODO podkreślił także, że przetwarzane dane osobowe muszą być adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane. Przepisy RODO ograniczają więc przetwarzanie danych do niezbędnego minimum i tylko do takiego zakresu, bez którego nie dałoby się osiągnąć zamierzonego rezultatu.

Prezes zwrócił również uwagę na art. 5 ust. 2 ustawy z 6 września 2001 r. o dostępie do informacji publicznej, z którego wynika, że prawo do informacji publicznej podlega ograniczeniu ze względu na prywatność osoby fizycznej, z wyjątkiem osób pełniących funkcje publiczne — w zakresie związanym z pełnieniem tych funkcji — oraz osób, które zrezygnowały z przysługującej im ochrony.

W oparciu o ustalony przebieg wydarzeń Prezes UODO wskazał, że:

Zebrany w sprawie materiał dowodowy nie daje podstaw do przyjęcia, iż Skarżący [wnioskodawca – dop. red.] zrezygnował z przysługującego mu prawa do prywatności w stosunku do udostępnionych odpowiedzi Prezydenta na jego wnioski. Ponadto, z przywołanych przez Prezydenta okoliczności nie wynika również, aby Skarżący był osobą pełniącą funkcję publiczną.

W związku z powyższym, udostępnienie danych osobowych Skarżącego w zakresie jego imienia, nazwiska i adresu e-mail na rzecz [wspólnika spółki cywilnej – dop. red.], nie było niezbędne do spełnienia obowiązku wynikającego z [u.d.i.p. – dop. red.], który to obowiązek mógł zostać bez przeszkód spełniony przez Prezydenta bez udostępniania ww. danych osobowych Skarżącego. Należy zatem uznać, że Prezydent udostępniając ww. dane osobowe Skarżącego […], udostępnił dane osobowe Skarżącego bez podstawy prawnej […]. Prezydent nie wykazał, aby ciążył na nim obowiązek prawny, dla którego wypełnienia konieczne było udostępnienie danych Skarżącego w zakwestionowany przez niego sposób.

Jakie jeszcze środki prawne przysługują pokrzywdzonemu wnioskodawcy?

W tego typu sytuacjach zawiadomienie Urzędu Ochrony Danych Osobowych nie jest jedyną ścieżką, z której może skorzystać wnioskodawca pokrzywdzony ujawnieniem jego danych przez organ administracji.

Należy pamiętać, że takie działanie może stanowić przestępstwo określone w art. 266 § 1 Kodeksu karnego oraz art. 107 ust. 1 ustawy z 10 maja 2018 r. o ochronie danych osobowych. Ponadto nieuprawnione ujawnienie danych może rodzić po stronie organu administracji odpowiedzialność cywilną — zarówno na gruncie samego RODO (zob. art. 82 RODO), jak i na zasadach ogólnych, jako naruszenie dóbr osobistych (zob. art. 23, 24 i 448 Kodeksu cywilnego).