PREZES
URZĘDU OCHRONY
DANYCH OSOBOWYCH

dr Edyta Bielak–Jomaa

Warszawa, dnia 30 stycznia 2019 r.

DECYZJA

ZSZZS.440.370.2018

Na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2017 r. poz. 1257 oraz z 2018 r. poz. 149), art. 18 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. 2016 r. poz. 922 ze zm.) w związku z art. 160 ust. 1 oraz ust. 2 ustawy z 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2018 r. poz. 1000) oraz art. 6 ust. 1 lit. c Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych  i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dziennik Urzędowy Unii Europejskiej, L 119, 4 maja 2016), po przeprowadzeniu postępowania administracyjnego w sprawie skargi Pana M.B., na udostępnienie jego danych osobowych w zakresie imienia, nazwiska i miejsca zamieszkania przez Urząd Celno-Skarbowy w W. na stronie internetowej Urzędu pod adresami:

1. […]
2. […]
3. […]

Prezes Urzędu Ochrony Danych Osobowych

nakazuje Urzędowi Celno-Skarbowemu w W. usunięcie danych osobowych Pana M.B. w zakresie imienia, nazwiska oraz miejsca zamieszkania umieszczonych na stronie internetowej Urzędu pod adresami:

1. […]
2. […]
3. […].

Uzasadnienie

Do Biura Generalnego Inspektora Ochrony Danych Osobowych wpłynęła skarga Pana M.B., zwanego dalej Skarżącym, na udostępnienie jego danych osobowych w zakresie imienia, nazwiska oraz miejsca zamieszkania przez Urząd Celno-Skarbowy w W., zwanego dalej Urzędem, na stronie internetowej Urzędu pod adresami internetowymi:

1. […]
2. […]
3. […]

W treści skargi Skarżący wskazał, iż jego dane zostały udostępnione w związku z prowadzoną przez Urząd rekrutacją. Podniósł również, iż udostępnienie jego danych w takim kontekście ogranicza jego prawo do prywatności oraz pozwala na profilowanie jego osoby.

W toku prowadzonego postępowania administracyjnego, Prezes Urzędu Ochrony Danych Osobowych ustalił następujący stan faktyczny.

1. Skarżący brał udział w naborze na stanowisko […] w Urzędzie Kontroli Skarbowej w W. […] zakończonym dnia […] marca 2016 r., w którym wybrany został inny kandydat. Mimo to, dane Skarżącego w postaci imienia i nazwiska nie zostały usunięte ze strony internetowej Urzędu, również po zażądaniu zaprzestania przetwarzania danych przez Skarżącego.
2. Dyrektor Izby Administracji Skarbowej w W. w złożonych wyjaśnieniach wskazał na istnienie przepisu prawa, który zobowiązuje do publikacji danych osobowych w zakresie imion i nazwisk kandydatów, którzy spełnili wymagania formalne ogłoszonego naboru w związku z publicznym charakterem tych informacji, co stanowiło również podstawę do odmowy spełnienia żądania o zaprzestaniu przetwarzania danych osobowych Skarżącego na stronie internetowej Urzędu.
3. Dane osobowe Skarżącego nadal widnieją na stronie internetowej Urzędu pod adresami internetowymi:
   1. […]
   2. […]
   3. […]

Po zapoznaniu się z całością zgromadzonego w sprawie materiału dowodowego, Prezes Urzędu Ochrony Danych Osobowych zważył, co następuje.

Na wstępie należy wskazać, że z dniem wejścia w życie ustawy z 10 maja 2018 r., (Dz. U. 2018 r. poz. 1000), tj. 25 maja 2018 r., zgodnie z art. 167 ust. 1 ww. ustawy, Biuro Generalnego Inspektora Ochrony Danych Osobowych stało się Urzędem Ochrony Danych Osobowych. Zgodnie natomiast z art. 160 ww. ustawy, postępowania prowadzone przez Generalnego Inspektora Ochrony Danych Osobowych, wszczęte i niezakończone przed 25 maja 2018 r. prowadzone są przez Prezesa Urzędu Ochrony Danych Osobowych, na podstawie ustawy z 29 sierpnia 1997 r. (Dz. U. 2016 r. poz. 922 ze zm.), zwanej dalej jako ustawa z 1997 r., zgodnie z zasadami określonymi w Kodeksie postępowania administracyjnego (Dz. U. z 2017 r. poz. 1257 oraz z 2018 r. poz. 149), zwanym dalej Kpa.

Dodatkowo konieczne jest podkreślenie, że Prezes Urzędu Ochrony Danych Osobowych wydając decyzję administracyjną, zobowiązany jest do rozstrzygania sprawy w oparciu o stan faktyczny istniejący w chwili wydania tej decyzji. Jak podnosi się w doktrynie „organ administracji publicznej ocenia stan faktyczny sprawy według chwili wydania decyzji administracyjnej. Reguła ta odnosi się także do oceny stanu prawnego sprawy, co oznacza, że organ administracji publicznej wydaje decyzję administracyjną na podstawie przepisów prawa obowiązujących w chwili jej wydania (…). Rozstrzyganie w postępowaniu administracyjnym polega na zastosowaniu obowiązującego prawa do ustalonego stanu faktycznego sprawy administracyjnej. W ten sposób organ administracji publicznej realizuje cel postępowania administracyjnego, jakim jest urzeczywistnienie obowiązującej normy prawnej w zakresie stosunków administracyjno-prawnych, gdy stosunki te tego wymagają” (Komentarz do ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego M. Jaśkowska, A. Wróbel, Lex., el/2012). Ponadto, w wyroku z dnia 7 maja 2008 r. w sprawie o sygn. akt I OSK 761/07, Naczelny Sąd Administracyjny stwierdził, iż „badając […] legalność przetwarzania danych osobowych, GIODO ma obowiązek ustalenia, czy na datę wydawania rozstrzygnięcia w sprawie dane konkretnego podmiotu są przetwarzane oraz czy czynione to jest w sposób zgodny z prawem”.

Podkreślić należy, że decydujące znaczenie dla rozstrzygnięcia, jakie musi być wydane w przedmiotowej sprawie, ma okoliczność, że dane osobowe Skarżącego są nadal przetwarzane na stronie internetowej Urzędu, wobec czego zastosowanie do niego mają przepisy obowiązujące w czasie wydawania rozstrzygnięcia sprawy tj. Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych  i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dziennik Urzędowy Unii Europejskiej, L 119, 4 maja 2016), zwane dalej: RODO.

W przedmiotowej sprawie zakres danych osobowych Skarżącego, który został udostępniony mieści się w granicach tzw. „danych zwykłych”, wobec czego w momencie udostępnienie zastosowanie miał art. 23 ust. 1 ustawy z 29 sierpnia 1997 r. (Dz. U. 2016 r. poz. 922 ze zm.), zwanej dalej jako ustawa z 1997 r. Zgodnie z wyjaśnieniami złożonymi przez Urząd, wskazać należy iż zgodnie z art. 2 ust. 1 pkt 3a ustawy z dnia 21 listopada 2008 r. o służbie cywilnej (Dz.U.2018.1559) pracownicy Krajowej Informacji Skarbowej i izb administracji skarbowej stanowią korpus służby cywilnej. Dodatkowo, zgodnie z art. 29 ustawy o służbie cywilnej, wyniki naboru do ww. organów oraz imiona i nazwiska kandydatów, którzy spełniają wymagania formalne, stanowią informację publiczną w zakresie objętym wymaganiami określonymi w ogłoszeniu o naborze. Co więcej, zgodnie z art. 7 ust. 1 pkt 1 ustawy z dnia 6 września 2001 r. o dostępie do informacji publicznej (Dz. U. z 2018 r. poz. 1330) informacje publiczne muszą być publikowane w Biuletynie Informacji Publicznej.

Wobec powyższego uznać należy, że dane osobowe Skarżącego zostały udostępnione na stronie internetowej Urzędu zgodnie z obowiązującymi wówczas przepisami prawa, tj. art. 23 ust. 1 pkt 2 ustawy z 1997 r. w związku z art. 2 ust. 1 pkt 3a oraz art. 29 ustawy o służbie cywilnej.

W odniesieniu do kontynuowania przetwarzania tych danych, analizy wymaga art. 6 ust. 1 RODO, który reguluje dopuszczalność przetwarzania tzw. „danych zwykłych” odbywającego się po 25 maja 2018 r. Katalog przesłanek wymienionych w art. 6 ust. 1 RODO, jest zamknięty. Każda z przesłanek legalizujących proces przetwarzania danych osobowych ma charakter autonomiczny i niezależny. Oznacza to, że przesłanki te co do zasady są równoprawne, a wobec tego spełnienie co najmniej jednej z nich stanowi o zgodnym z prawem przetwarzaniu danych osobowych. Niezależnie od zgody osoby, której dane dotyczą (art. 6 ust. 1 lit. a RODO) przetwarzanie danych osobowych jest dopuszczalne między innymi wtedy, gdy jest to niezbędne dla wypełnienia obowiązku prawnego ciążącego na administratorze  (art. 6 ust. 1 lit. c RODO). Dodatkowo, proces przetwarzania danych osobowych musi być zgodny z zasadami ustanowionymi w art. 5 ust. 1 RODO. Do zasad tych zalicza się między innymi ograniczenie celu przetwarzania (lit. b), jak również ograniczenia przechowywania danych (lit. e). Wspomniane zasady wymagają, by proces przetwarzania był ukierunkowany na konkretny, wyraźny i prawnie uzasadniony cel, a także by dane umożliwiające identyfikację osoby, której dotyczą były przechowywane w takiej formie jedynie przez okres niezbędny do spełnienia określonego celu.

Jak wskazano wyżej, ustawa o służbie cywilnej czyni z informacji o naborze oraz ww. danych kandydatów informację publiczną, która zgodnie z art. 7 ust. 1 pkt 1 ustawy o dostępie do informacji publicznej musi być publikowane w Biuletynie Informacji Publicznej. Wobec powyższego, Prezes Urzędu Ochrony Danych Osobowych nie neguje prawidłowości i celowości udostępnienia przez Urząd danych osobowych Skarżącego w związku z realizacją obowiązku wynikającego bezpośrednio z przepisów ustawy o służbie cywilnej. Niemniej jednak wskazać należy, że powyższe regulacje zobowiązujące do publikacji danych dotyczących naboru, nie określają okresu, w którym dane osoby biorącej udział w rekrutacji mogą być udostępniane w sposób opisany przez Skarżącego. Wobec powyższego, do określenia tego okresu zastosowanie mają przepisy RODO. Jak wskazano wyżej wszelkie formy przetwarzania danych osobowych muszą zgodne z zasadami wymienionymi w art. 5 ust. 1 RODO. W związku z tym, dane osobowe powinny być przetwarzane w jasno określonym celu, w zakresie adekwatnym dla tego celu, a także jedynie przez okres czasu niezbędny do spełnienia wyznaczonego celu. W tym zakresie Prezes Urzędu podziela stanowisko, zgodnie z którym nawet wówczas, gdy określone dane odpowiadają celowi, dla którego są zbierane i są dla tego celu adekwatne, to nie wynika z tego, iż mogą być one przetwarzane, w tym też udostępniane innym podmiotom. Czasowym wyznacznikiem jest tu osiągnięcie zamierzonego celu przetwarzania (tak również: J. Barta, P. Fajgielski, R. Markiewicz, Ochrona danych osobowych, Komentarz, Kraków 2007, wyd. 4, s. 510). W związku z powyższym, na administratorze danych ciąży obowiązek rozważenia celowości i ustanowienia okresu udostępniania danych osobowych oraz ich niezwłocznego usuwania po upływie ustanowionego okresu.

W przedmiotowej sprawie, celem udostępnienia danych kandydatów, którzy spełnili wymagania formalne naboru jest realizacja zasady jawności, która umożliwia dokonanie społecznej kontroli prawidłowości przebiegu postępowania rekrutacyjnego. Zatem czas publikacji takich danych powinien być wystarczający do umożliwienia przeprowadzenia takiej kontroli w czasie niezbyt odległym od dokonanego wyboru, tzn. w czasie, kiedy kandydaci lub osoby trzecie mogą być zainteresowane danym naborem i będą chciały skorzystać z prawa do takiej informacji, jakie mają na podstawie art. 31 ustawy o służbie cywilnej. Wydaje się, że optymalnym okresem czasu, przez jaki takie informacje mogą być ujawniane na podstawie art. 31 ustawy jest okres trzech miesięcy liczony od dnia ich publikacji. Na taki okres czasu może wskazywać art. 33 ustawy o służbie cywilnej stanowiący przepis dotyczący wyjątku od zasady obowiązku przeprowadzenia naboru. Jednocześnie trzeba pamiętać, że przepis art. 29 ustawy o służbie cywilnej uznaje wyniki naboru za informację publiczną, a zatem każda osoba zainteresowana wynikiem naboru może złożyć wniosek o udostępnienie takich informacji w sytuacji, kiedy zostaną one usunięte z Biuletynu urzędu, Biuletynu Kancelarii czy przestaną być dostępne w siedzibie urzędu, do którego przeprowadzany był nabór.

Postępowanie administracyjne prowadzone przez Prezesa Urzędu Ochrony Danych Osobowych służy kontroli zgodności przetwarzania danych z przepisami o ochronie danych osobowych i jest ukierunkowane na wydanie decyzji administracyjnej na podstawie art. 18 ust. 1 ustawy. Jak wynika z brzmienia powołanego przepisu, w przypadku naruszenia przepisów ustawy o ochronie danych osobowych, niniejszy organ z urzędu lub na wniosek osoby zainteresowanej, w drodze decyzji administracyjnej, nakazuje przywrócenie stanu zgodnego z prawem, a w szczególności usunięcie uchybień (pkt 1), uzupełnienie, uaktualnienie, sprostowanie, udostępnienie lub nieudostępnienie danych osobowych (pkt 2), zastosowanie dodatkowych środków zabezpieczających zgromadzone dane osobowe (pkt 3), wstrzymanie przekazywania danych osobowych do państwa trzeciego (pkt 4), zabezpieczenie danych lub przekazanie ich innym podmiotom (pkt 5), usunięcie danych osobowych (pkt 6).

Wobec powyższego, kontynuowanie do chwili obecnej przetwarzania danych osobowych Skarżącego na stronie internetowej [...] Urzędu Celno-Skarbowego w W. należy uznać za zbędne i niezgodne z obowiązującymi przepisami o ochronie danych osobowych. W związku z czym, Prezes Urzędu Ochrony Danych Osobowych nakazał usunięcie danych osobowych Skarżącego w zakresie imienia, nazwiska oraz miejsca zamieszkania ze stron internetowych wskazanych w przedmiotowej skardze.

W tym stanie faktycznym oraz prawnym Prezes Urzędu Ochrony Danych Osobowych orzekł, jak w sentencji.

Na podstawie art. 127 § 3 Kpa od niniejszej decyzji stronie przysługuje prawo do wniesienia wniosku o ponowne rozpatrzenie sprawy w terminie 14 dni od dnia doręczenia decyzji stronie. Jeżeli strona nie chce skorzystać z prawa do złożenia wniosku o ponowne rozpatrzenie sprawy, ma prawo do wniesienia skargi na decyzję do Wojewódzkiego Sądu Administracyjnego w Warszawie w terminie 30 dni od dnia doręczenia jej stronie. Skargę wnosi się za pośrednictwem Prezesa Urzędu Ochrony Danych Osobowych. Wpis od skargi wynosi 200 złotych. Strona ma prawo ubiegania się o prawo pomocy, w tym zwolnienie od kosztów sądowych.

Decyzja Prezesa Urzędu Ochrony Danych Osobowych z dnia 30 stycznia 2019 r.