Czy urząd może przekazywać dane wnioskodawcy osobie trzeciej?

 W 2019 r. opisywaliśmy sprawę klientki poradni prawnej, która poskarżyła się Generalnemu Inspektorowi Ochrony Danych Osobowych (aktualnie Prezesowi Urzędu Ochrony Danych Osobowych) na nieprawidłowe przetwarzanie jej danych osobowych przez jednostkę organizacyjną miasta.

Chodziło o udostępnienie przez tę jednostkę treści wniosku o udostępnienie informacji publicznej oraz danych wnioskodawczyni byłej pracownicy, której dotyczyło pytanie o wyniki oceny okresowej. PUODO wydał wtedy korzystną decyzję, uznając, że udostępnienie danych wnioskodawczyni nie miało żadnej podstawy prawnej. Postępowanie nie zakończyło się jednak na tym etapie, ponieważ jednostka skierowała do PUODO wniosek o ponowne rozpatrzenie sprawy, a dalej zaskarżyła obie decyzje do sądu administracyjnego. W listopadzie 2023 r. sprawę rozpatrzył NSA, który zdecydował się uchylić zaskarżony wyrok i obie wydane decyzje PUODO. Sąd podtrzymał dotychczasowe stanowisko, wedle którego dane wnioskodawców występujących o udostępnienie informacji publicznej nie powinny być udostępniane osobom trzecim. Stwierdził jednak, że PUODO zajął się sprawą na podstawie niewłaściwych przepisów. Na ostateczne rozstrzygnięcie sprawy trzeba będzie więc jeszcze trochę poczekać.

Decyzje PUODO

Zacznijmy od przypomnienia początków. W 2017 r. klientka naszej poradni prawnej skierowała skargę do Generalnego Inspektora Ochrony Danych Osobowych (GIODO) na nieprawidłowe przetwarzanie jej danych osobowych, jako że po zwróceniu się z wnioskiem o udostępnienie informacji publicznej do jednostki organizacyjnej miasta, treść wniosku i dane wnioskodawczyni przekazano osobie, której dotyczyło pytanie. Organ tłumaczył się chęcią zapewnienia równości postępowania administracyjnego oraz próbował wykazać, że z ogólnodostępnych portali i mediów społecznościowych wynikało, że Panie się znają, a wnioskodawczyni miała prywatny interes w uzyskaniu informacji o byłej pracownicy.

W 2019 r. pierwszą decyzję w tej sprawie wydał nie GIODO, ale PUODO. W okresie między wniesieniem skargi a jej rozpatrzeniem zmieniły się bowiem przepisy dotyczące ochrony danych osobowych, jak również zmienił się organ stojący na czele urzędu ochrony danych osobowych. PUODO uznał, że jednostka organizacyjna miasta w sposób nieuprawniony udostępniła dane osobowe wnioskodawczyni, a ponieważ czynności tej nie dało się już odwrócić, to udzielono jej upomnienia na podstawie Rozporządzenia o ochronie danych osobowych (RODO).

Powyższe stanowisko PUODO podtrzymał w kolejnej decyzji wydanej na skutek złożonego przez organ wniosku o ponowne rozpatrzenie sprawy. Jednostka organizacyjna miasta zaskarżyła rozstrzygnięcia PUODO i tym samym sprawa trafiła do Wojewódzkiego Sądu Administracyjnego w Warszawie (WSA w Warszawie), a następnie do Naczelnego Sądu Administracyjnego (NSA).

Wyrok WSA w Warszawie

W 2020 r. WSA w Warszawie wydał wyrok o sygn. akt II SA/Wa 1551/19, w którym oddalił skargę jednostki organizacyjnej miasta. Sąd podzielił argumenty PUODO, przyznając, że zasadnie stwierdził on, iż w sprawie nie zaszła żadna z podstaw uprawniających do udostępnienia danych osobowych wnioskodawczyni. Osoba wnioskująca ani nie wyraziła zgody na udostępnienie jej danych osobowych, ani nie było to niezbędne dla zawarcia bądź wykonania umowy, wypełnienia obowiązku prawnego, do ochrony żywotnych interesów wnioskodawczyni oraz byłej pracownicy czy do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej. W sprawie nie miało również znaczenia, że wnioskodawczyni była osobą prowadzącą działalność gospodarczą.

Sąd wykluczył także argument jednostki organizacyjnej miasta, zgodnie z którym byłą pracownicę należało uznać za stronę postępowania w rozumieniu przepisów Kodeksu postępowania administracyjnego. WSA w Warszawie przypomniał, że w sprawach o udostępnienie informacji publicznej przepisy te nie znajdują zastosowania. Dalej dodano:

Niezależnie jednak od powyższego, zauważyć należy, że osoba, której dotyczą wnioskowane informacje (żądane dane), nie jest stroną postępowania w sprawie z wnioski o udostępnienie informacji publicznej. Pogląd ten jest ugruntowany w orzecznictwie sądowoadministracyjnym. Stroną postępowania o dostęp do informacji publicznej wszczynanego na wniosek jest wyłącznie wnioskodawca.

WSA w Warszawie uznał następnie, że nie było żadnych podstaw do przyjęcia, że udostępnienie danych osobowych wnioskodawczyni o informację publiczną było niezbędne z punktu widzenia jakichkolwiek praw byłej pracownicy na gruncie przepisów Kodeksu cywilnego o ochronie dóbr osobistych. Udostępnienie danych osobowych nastąpiło ściśle w związku z rozpatrywaniem wniosku o udostępnienie informacji publicznej, a zatem bez podstawy prawnej, naruszając przepisy RODO.

Wyrok NSA

Jednostka organizacyjna miasta wniosła skargę kasacyjną na wyrok WSA w Warszawie, a pod koniec listopada 2023 r. NSA wydał wyrok o sygn. akt III OSK 2836/21. Sąd uchylił zaskarżony wyrok sądu pierwszej instancji oraz obie zaskarżone decyzje PUODO.

Nie oznacza to jednak, że Sąd potwierdził, że dane osobowe wnioskodawczyni mogły zostać udostępnione na zewnątrz. Wręcz przeciwnie, NSA napisał jasno, że ten zarzut jednostki organizacyjnej miasta nie był uzasadniony oraz że:

Udostępnienie danych osobowych nastąpiło w wyniku rozpoznania wniosku o udostępnienie informacji publicznej. Stroną w takim postępowaniu jest wyłącznie wnioskodawca, a nie osoba, której dane są udostępniane.

Dlaczego więc decyzje PUODO zostały uchylone? Zdecydował argument proceduralny. W przeciwieństwie do stanowiska WSA w Warszawie, zdaniem NSA sprawa powinna była zostać rozpatrzona nie w oparciu o przepisy RODO, ale na podstawie ,,starych’’ przepisów o ochronie danych osobowych.

Skutki wyroku NSA 

Mimo że NSA uchylił wyrok WSA w Warszawie oraz decyzje PUODO, to waga opisanej sprawy pozostaje aktualna. Sąd rozstrzygnął jasno, że stronami postępowania o udostępnienie informacji publicznej jest wyłącznie wnioskodawca i podmiot zobowiązany do udzielenia odpowiedzi. Oznacza to, że dane wnioskodawcy poszukującego informacji publicznej nie mogą być udostępniane ,,na zewnątrz’’.

Po wyroku NSA sprawa trafi ponownie do PUODO, który będzie musiał rozstrzygnąć sprawę na podstawie przepisów o ochronie danych obowiązujących przed RODO. Powinien uczynić to jednak, biorąc pod uwagę wspomnianą już okoliczność, że nie istnieje podstawa prawna do udostępniania danych osobowych wnioskodawców innym osobom, nawet w sytuacji, gdy zadawane pytania dotyczą ich bezpośrednio.