Warszawa, dnia  24 sierpnia 2020 r.

DECYZJA

DKN.5112.13.2020

Na podstawie art. 104 § 1 oraz art. 105 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2020 r. poz. 256 z późn. zm.), art. 7 ust. 1, art. 60, art. 102 ust. 1 pkt 1 i ust. 3 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781) oraz art. 57 ust. 1 lit. a, art. 58 ust. 2 lit. d oraz lit. i w zw. z art. 5 ust. 1 lit. a, art. 6 ust. 1, a także art. 83 ust. 1 – 3 i art. 83 ust. 5 lit. a rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1, z późn. zm.), po przeprowadzeniu postępowania administracyjnego w sprawie naruszenia przepisów o ochronie danych osobowych w związku z przetwarzaniem danych osobowych przez Głównego Geodetę Kraju, Prezes Urzędu Ochrony Danych Osobowych,

I. Stwierdzając naruszenie przez Głównego Geodetę Kraju, przepisów: art. 5 ust. 1 lit. a rozporządzenia Parlamentu Europejskiego i Rady UE 2016/679 i Rady UE 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1, z późn. zm.), zwanego dalej „rozporządzeniem 2016/679”, tj. zasady zgodności z prawem przetwarzania danych osobowych oraz art. 6 ust. 1 rozporządzenia 2016/679, poprzez udostępnianie na portalu o nazwie „GEOPORTAL2” („geoportal.gov.pl”) bez podstawy prawnej danych osobowych w zakresie numerów ksiąg wieczystych pozyskanych z ewidencji gruntów i budynków (prowadzonej przez starostów),

nakazuje Głównemu Geodecie Kraju dostosowanie operacji przetwarzania danych osobowych do przepisów rozporządzenia 2016/679, w terminie 14 dni od dnia doręczenia niniejszej decyzji, poprzez: zaprzestanie udostępniania na portalu o nazwie „GEOPORTAL2” („geoportal.gov.pl”) danych osobowych w zakresie numerów ksiąg wieczystych pozyskanych z ewidencji gruntów i budynków (prowadzonej przez starostów).

II. Za naruszenie przepisów art. 5 ust. 1 lit. a oraz art. 6 ust. 1 rozporządzenia 2016/679, nakłada na Głównego Geodetę Kraju administracyjną karę pieniężną w kwocie 100 000 złotych (słownie: sto tysięcy złotych).

III. W pozostałym zakresie postępowanie umarza.

UZASADNIENIE

W dniach [...] marca 2020 r., na podstawie art. 78 ust. 1, art. 79 ust. 1 pkt 1 oraz art. 84 ust. 1 pkt 1-4 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r., poz. 1781), zwanej dalej „ustawą”, w zw. z art. 57 ust. 1 lit. a i lit. h, art. 58 ust. 1 lit. b, lit. e oraz lit. f rozporządzenia 2016/679, w celu kontroli zgodności przetwarzania danych osobowych z przepisami o ochronie danych osobowych dokonano czynności kontrolnych u Głównego Geodety Kraju (miejsce przeprowadzenia kontroli - Główny Urząd Geodezji i Kartografii z siedzibą w Warszawie przy ul. Wspólnej 2).

Zgodnie z zakresem wskazanym w upoważnieniach imiennych planowana kontrola miała na celu zbadanie procesu udostępniania przez Głównego Geodetę Kraju za pośrednictwem portalu internetowego GEOPORTAL2 (geoportal.gov.pl), danych osobowych z ewidencji gruntów i budynków. Główny Geodeta Kraju udaremnił jednak przeprowadzenie czynności kontrolnych w zaplanowanym zakresie. Odmówił składania jakichkolwiek zeznań w zakresie legalności publikowania na GEOPORTAL2 (geoportal.gov.pl) informacji o numerach ksiąg wieczystych, jak również nie pozwolił kontrolującym na zbadanie systemów informatycznych wykorzystywanych w procesie publikowania danych na GEOPORTAL2. Powstałe okoliczności spowodowały, że Prezes Urzędu Ochrony Danych Osobowych decyzją z […] lipca 2020 r. (sygn. […]) nałożył na Głównego Geodetę Kraju administracyjną karę pieniężną w związku z naruszeniem art. 31 oraz art. 58 ust. 1 lit. e i lit. f rozporządzenia 2016/679.

Ostatecznie w toku kontroli pozyskana została jedynie dokumentacja określająca środki organizacyjne zastosowane przez Głównego Geodetę Kraju w celu zapewnienia bezpieczeństwa danych oraz dowody potwierdzające  wyznaczenie inspektora ochrony danych.

Stan faktyczny ustalony w toku kontroli (przeprowadzonej w ograniczonym zakresie) opisano w protokole kontroli, który został podpisany [...] marca 2020 r. przez Głównego Geodetę Kraju bez żadnych zastrzeżeń.

W niniejszej sprawie istotne znaczenie ma fakt, że Prezes Urzędu Ochrony Danych Osobowych w dniach [...] lutego 2020 r. przeprowadził czynności kontrolne (sygn. […]) w Starostwie Powiatowym w J. Zakresem kontroli objęta została kwestia dotycząca udostępniania przez Starostę J. za pośrednictwem portalu internetowego o nazwie „GEOPORTAL2” (geoportal.gov.pl) danych osobowych z ewidencji gruntów i budynków. W toku wskazanej kontroli ustalono, że Starosta J. nie publikuje na ww. portalu danych osobowych z ewidencji gruntów i budynków, lecz dane z przedmiotowej ewidencji (w tym numery ksiąg wieczystych) na podstawie zawartego porozumienia przekazuje Głównemu Geodecie Kraju, który pozyskane w ten sposób informacje udostępnia na portalu GEOPORTAL2. Z uwagi na powyższe, Prezes Urzędu Ochrony Danych Osobowych zdecydował o konieczności przeprowadzenia kontroli u Głównego Geodety Kraju.

W toku kontroli Główny Geodeta Kraju zeznał, że „w przypadku 90 starostw powiatowych, które nie posiadają jeszcze własnej infrastruktury technicznej Główny Geodeta Kraju na podstawie zawartych porozumień (zawartych na podstawie art. 5 ustawy Prawo geodezyjne i kartograficzne), po otrzymaniu stosownych danych geodezyjnych z tych starostw dokonuje publikacji tych danych na portalu internetowym GEOPORTAL2” – protokół przesłuchania świadka stanowi załącznik nr 1 do protokołu kontroli sygn. DKN.5112.13.2020.

W związku z powyższym stwierdzić należy, że Główny Geodeta Kraju publikuje na GEOPORTAL2 (geoportal.gov.pl) informacje pozyskane z ewidencji gruntów i budynków (w tym numery ksiąg wieczystych) prowadzonej przez Starostę J., jak i przez innych starostów powiatowych, którzy nie dysponują infrastrukturą techniczną umożliwiającą publikowanie tych informacji na GEOPORTAL2.

Na podstawie zgromadzonego w sprawie materiału dowodowego ustalono, że w procesie przetwarzania danych osobowych Główny Geodeta Kraju naruszył przepisy o ochronie danych osobowych. Naruszenia te polegały na:

1) udostępnianiu na portalu internetowym GEOPORTAL2 (geoportal.gov.pl) bez podstawy prawnej danych pozyskanych z ewidencji gruntów i budynków (prowadzonej przez starostów) dotyczących numerów ksiąg wieczystych (naruszenie art. 5 ust. 1 lit. a oraz art. 6 ust. 1 rozporządzenia 2016/679);

2) niewskazaniu w rejestrze czynności przetwarzania danych, dla czynności o nazwach: „Rejestracja użytkowników forum witryny Geoportal”, „Rejestracja użytkowników repozytorium projektowego”, „Rejestracja uczestników szkoleń Geoportal”, które są związane z Geoportalem, informacji o planowanych terminach usunięcia danych (naruszenie art. 30 ust. 1 lit. f rozporządzenia 2016/679);

3) niewskazaniu w rejestrze czynności przetwarzania danych osobowych dla czynności o nazwach: „Rejestracja użytkowników systemu Geoportal i systemów dziedzinowych GUGiK”, „Rejestracja użytkowników forum witryny Geoportal”, „Rejestracja użytkowników repozytorium projektowego” i „Rejestracja uczestników szkoleń Geoportal” wymaganych środków bezpieczeństwa dla danej czynności przetwarzania (naruszenie art. 30 ust. 1 lit. g rozporządzenia 2016/679).

W związku z powyższym, pismem z dnia [...] marca 2020 r. (znak: DKN.5112.13.2020) Prezes Urzędu Ochrony Danych Osobowych wszczął z urzędu postępowanie administracyjne w zakresie stwierdzonych uchybień, w celu wyjaśnienia okoliczności sprawy.

Ponadto, postanowieniem z dnia [...] kwietnia 2020 r. (znak: DKN.5112.13.2020) Prezes Urzędu Ochrony Danych Osobowych zobowiązał Głównego Geodetę Kraju do ograniczenia przetwarzania danych osobowych w zakresie numerów ksiąg wieczystych, nakazując zaprzestanie ich publikowania na portalu internetowym GEOPORTAL2 (geoportal.gov.pl) do czasu wydania decyzji administracyjnej kończącej postępowanie w tej sprawie. W dniu […] kwietnia 2020 r. do Urzędu Ochrony Danych Osobowych wpłynęło pismo (znak: […]), w którym Głównego Geodety Kraju domagał się m.in. zawieszenia wykonania postanowienia ze wskazaniem, że wydane postanowienie zagraża stabilności systemów informacji przestrzennej państwa, ale w żaden sposób żądania tego nie uzasadnił, koncentrując się jedynie na braku zasadności wydania postanowienia.

W dniu […] kwietnia 2020 r. do Urzędu Ochrony Danych Osobowych wpłynęła skarga Głównego Geodety Kraju, reprezentowanego przez adwokata S. K. oraz adwokata P. T. (pełnomocnictwo w aktach sprawy), skierowana do Wojewódzkiego Sądu Administracyjnego w Warszawie, na postanowienie Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] kwietnia 2020 r. (znak: DKN.5112.13.2020).

          W odpowiedzi na zawiadomienie o wszczęciu postępowania administracyjnego, Pełnomocnik Głównego Geodety Kraju pismem z dnia […] maja 2020 r. złożył wyjaśnienia, w których wskazał m.in., że wszczęcie i prowadzenie postępowania przez Prezesa Urzędu Ochrony Danych Osobowych w niniejszej sprawie jest bezprzedmiotowe i w związku z tym postępowanie to powinno zostać umorzone w całości. Uzasadniając swoje stanowisko w sprawie Pełnomocnik Głównego Geodety Kraju wskazał, że:

1. Wobec Głównego Geodety Kraju nie zostało przeprowadzone obligatoryjne uprzednie postępowanie kontrolne, co stanowi rażące naruszenie art. 90 ustawy o ochronie danych osobowych, albowiem kontrola Prezesa Urzędu Ochrony Danych Osobowych prowadzona była w Głównym Urzędzie Geodezji i Kartografii, a nie u Głównego Geodety Kraju, który z punktu widzenia przepisów rozporządzenia 2016/679 jest odrębnym administratorem danych.

2. Prezes Urzędu Ochrony Danych Osobowych bezpodstawnie uznał, że dane pochodzące z ewidencji gruntów i budynków, w tym w szczególności numery ksiąg wieczystych przetwarzane w serwisie www.geoportal.gov.pl stanowią dane osobowe, a tym samym, że Prezes UODO jest władny podejmować działania odnośnie ich przetwarzania.

3. Prezes Urzędu Ochrony Danych Osobowych bezpodstawnie uznał, że administratorem danych pochodzących z ewidencji gruntów i budynków publikowanych w serwisie www.geoportal.gov.pl jest Główny Geodeta Kraju.

4. Kontrola poprzedzająca wszczęcie postępowania dotyczyła udostępniania danych pochodzących z ewidencji gruntów i budynków w tym, w szczególności numerów ksiąg wieczystych. Natomiast zarzut naruszenia art. 30 ust. 1 lit. f i lit. g rozporządzenia 2016/679 dotyczy czynności przetwarzania, w których dane te nie są w ogóle wykorzystywane. Prezes UODO nie mógł zatem przeprowadzić w stosunku do tych procesów kontroli. Wszczęcie postępowania w tym zakresie jest więc bezpodstawne, ponieważ nie zostało poprzedzone obligatoryjną kontrolą.

5. Prezes Urzędu Ochrony Danych Osobowych bezpodstawnie uznał, że w rejestrze czynności przetwarzania danych osobowych prowadzonym przez Głównego Geodetę Kraju na podstawie art. 30 rozporządzenia 2016/679, należy określić planowane terminy usunięcia danych pochodzących z ewidencji gruntów i budynków publikowanych w serwisie www.geoportal.gov.pl oraz zamieścić ogólny opis technicznych i organizacyjnych środków bezpieczeństwa przetwarzania tych danych. Niezależnie od tego, w ocenie Pełnomocnika GGK naruszenie art. 30 ust. 1 lit. f i lit. g rozporządzenia 2016/679 w zakresie wskazanym przez Prezesa UODO, nie miało miejsca gdyż przedmiotowy rejestr był prowadzony zgodnie z wymogami prawa.

6. Główny Geodeta Kraju uznaje, że nie jest adresatem obowiązków wynikających z art. 5 ust. 1 lit. a, art. 6 ust. 1 oraz art. 30 ust. 1 lit. f i lit. g rozporządzenia 2016/679, w odniesieniu do danych pochodzących z ewidencji gruntów i budynków (w szczególności do numerów ksiąg wieczystych) publikowanych w serwisie www.geoportal.gov.pl i w związku z tym nie może naruszyć ww. przepisów.

7. Zgodnie z art. 15zzs ust. 9 ustawy z dnia 2 marca 2020 r. o szczególnych rozwiązaniach związanych z zapobieganiem, przeciwdziałaniem i zwalczaniem COVID-19, innych chorób zakaźnych oraz wywołanych nimi sytuacji kryzysowych organ w okresie stanu zagrożenia epidemicznego lub stanu epidemii ogłoszonego z powodu COVID może wydać decyzję w całości uwzględniającą żądanie strony. W związku z tym, pomimo zawieszenia biegu terminów procesowych w postępowaniach administracyjnych na podstawie art. 15zzs ust. 1 pkt 6 ww. ustawy, Pełnomocnik Głównego Geodety Kraju wniósł o umorzenie przez Prezesa UODO postępowania w całości bez konieczności kontynuowania postępowania administracyjnego.

Do ww. pisma stanowiącego odpowiedź na zawiadomienie o wszczęciu postępowania załączone zostały następujące dokumenty: wyciąg z dokumentacji dotyczącej kontroli, kopia Porozumienia nr […] z […] lutego 2018 r. wraz z aneksem nr […] z […] maja 2019 r. oraz aneksem nr […] z […] marca 2020 r.

Ponadto, wskazać należy, że w pkt 5 pisma z [...] maja 2020 r., Pełnomocnik Głównego Geodety Kraju wyjaśnił, że „w dniu kontroli nie było możliwe określenie planowanych terminów usunięcia danych, ponieważ w tym zakresie trwała analiza (po zakończeniu procesu analizy, co nastąpiło po otrzymaniu protokołu kontroli, terminy zostały w rejestrze wskazane). Z uwagi na fakt, że złożone wyjaśnienia nie stanowiły podstawy do uznania, że Główny Geodeta Kraju nie narusza art. 30 ust. 1 lit. f rozporządzenia, pismem z dnia [...] czerwca 2020 r. Prezes Urzędu Ochrony Danych Osobowych wystąpił do Pełnomocnika Głównego Geodety Kraju o przesłanie dowodów potwierdzających zamieszczenie w rejestrze czynności przetwarzania danych informacji o planowanych terminach usunięcia danych.

Pismem z dnia […] lipca 2020 r. Pełnomocnik Głównego Geodety Kraju złożył wyjaśnienia w których wskazał, że:

- w rejestrze czynności przetwarzania danych osobowych dla czynności o nazwach: „Rejestracja użytkowników repozytorium projektowego”, „Rejestracja uczestników szkoleń Geoportal”, które są związane z Geoportalem, obecnie zawarte są informacje o planowanych terminach usunięcia danych, o których mowa w art. 30 ust. 1 lit. f rozporządzenia 2016/679,

- w rejestrze czynności przetwarzania danych osobowych dla czynności o nazwach: „Rejestracja użytkowników systemu Geoportal i systemów dziedzinowych GUGiK”, „Rejestracja użytkowników repozytorium projektowego” oraz „Rejestracja uczestników szkoleń Geoportal” zawarty jest już opis dotyczący technicznych i organizacyjnych środków bezpieczeństwa, o których mowa w art. 32 ust. 1 rozporządzenia 2016/679,

-  obecnie Główny Geodeta Kraju nie realizuje czynności o nazwie „Rejestracja użytkowników forum witryny Geoportal” i w związku z tym nie przetwarza danych osobowych w ramach tej czynności. Powyższa czynność została wykreślona z rejestru czynności przetwarzania danych.

Ponadto, do pisma z dnia [...] lipca 2020 r. Pełnomocnik Głównego Geodety Kraju załączył wydruk rejestru czynności przetwarzania wraz z nośnikiem elektronicznym zawierającym zapis elektroniczny tego rejestru.

Po zapoznaniu się z całością zgromadzonego w sprawie materiału dowodowego, Prezes Urzędu Ochrony Danych Osobowych zważył, co następuje:

Prezes Urzędu Ochrony Danych Osobowych jest organem właściwym w sprawie ochrony danych osobowych (art. 34 ustawy) i organem nadzorczym w rozumieniu przepisów rozporządzenia 2016/679 (art. 34 ust. 2 ustawy).

I. Odnosząc się do stanowiska Głównego Geodety Kraju zawartego w odpowiedzi na wszczęcie postępowania, z którego wynika, że Prezes Urzędu Ochrony Danych Osobowych naruszył art. 90 ustawy, gdyż kontrola została przeprowadzona w Głównym Urzędzie Geodezji i Kartografii, a nie u Głównego Geodety Kraju, który jest odrębnym administratorem danych osobowych, wskazać należy, że zgodnie z art. 81 ust. 2 pkt 5 ustawy imienne upoważnienie do przeprowadzenia kontroli zawiera oznaczenie kontrolowanego. Ponadto, zauważyć należy, że zgodnie z art. 90 ustawy, jeżeli na podstawie informacji zgromadzonych w postępowaniu kontrolnym Prezes Urzędu Ochrony Danych Osobowych uzna, że mogło dojść do naruszenia przepisów o ochronie danych osobowych, obowiązany jest do niezwłocznego wszczęcia postępowania.

Bezsporne jest, że w treści upoważnień imiennych do przeprowadzenia kontroli, jak również w protokole kontroli wskazany został jako podmiot kontrolowany Główny Geodeta Kraju. W pierwszej kolejności, oceniając upoważnienia imienne do przeprowadzenia kontroli, wskazać należy, że z części określającej zakres kontroli w sposób jednoznaczny wynika, że kontrola dotyczyła udostępniania przez Głównego Geodetę Kraju za pośrednictwem portalu internetowego GEOPORTAL2 danych osobowych z ewidencji gruntów i budynków. Nadmienić w tym miejscu należy, że przepisy ustawy o ochronie danych osobowych nie określają, ani nie zawierają delegacji dla ministra właściwego do spraw wewnętrznych (ani żadnego innego) do określenia wzoru upoważnienia imiennego do przeprowadzenia kontroli, w którym w sposób precyzyjny wskazane zostałoby miejsce przeznaczone do oznaczenia podmiotu kontrolowanego. W konsekwencji wskazanie podmiotu kontrolowanego w upoważnieniu imiennym znajduje się w miejscu najbardziej do tego celu adekwatnym w ocenie Prezesa UODO. W odniesieniu do upoważnień imiennych wydanych w związku z kontrolą zaplanowaną u Głównego Geodety Kraju nastąpiło to w części upoważnienia, gdzie wskazany został szczegółowy zakres kontroli wraz ze wskazaniem podmiotu kontrolowanego, tj. Głównego Geodety Kraju.

Ponadto, odnosząc się do zamieszczonej w treści upoważnień do przeprowadzenia kontroli informacji o nazwie i adresie Głównego Urzędu Geodezji i Kartografii wskazać należy, że informacja ta odnosi się wyłącznie do wskazania jednostki organizacyjnej, przy pomocy której Główny Geodeta Kraju realizuje swoje zadania, w tym także czynności objęte zakresem kontroli. Z art. 6 ustawy z dnia 17 maja 1989 r. Prawo geodezyjne i kartograficzne (Dz. U. 2020 r. poz.276) wynika, że centralnym organem administracji rządowej właściwym w sprawach geodezji i kartografii jest Główny Geodeta Kraju, który wykonuje swoje zadania przy pomocy Głównego Urzędu Geodezji i Kartografii. W związku z tym wskazanie Głównego Urzędu Geodezji i Kartografii miało jedynie na celu wskazanie przez Prezesa Urzędu Ochrony Danych Osobowych faktycznego miejsca przeprowadzenia kontroli.

Ponadto, zakres kontroli zawarty w upoważnieniach imiennych odnosi się wyłącznie do działalności Głównego Geodety Kraju, a nie do działalności Głównego Urzędu Geodezji i Kartografii. Bezsporne jest zatem, że podmiotem poddanym kontroli był Główny Geodeta Kraju.

Wskazać również należy, że Główny Geodeta Kraju w toku kontroli zakwestionował zakres kontroli, natomiast nie miał żadnych wątpliwości, że jest podmiotem kontrolowanym jako organ służby geodezyjnej i kartograficznej. Potwierdzają to zarówno oświadczenia złożone przez Głównego Geodetę Kraju na okoliczność odmowy przeprowadzenie kontroli w zaplanowanym zakresie, jak również jego zeznania złożone w toku kontroli.

Nie można również zgodzić się ze stanowiskiem Pełnomocnika GGK, który uważa, że niedopuszczalne jest wszczęcie przez Prezesa Urzędu Ochrony Danych Osobowych postępowania administracyjnego w sytuacji, kiedy nie została przeprowadzona kontrola. Uznanie takiego stanowiska oznaczałoby w praktyce niemożność wszczęcia postępowania w każdym przypadku kiedy podmiot kontrolowany udaremniłby przeprowadzenie kontroli. Z takim stanem faktycznym mamy do czynienia w niniejszej sprawie, albowiem Główny Geodeta Kraju udaremnił przeprowadzenie kontroli w pełnym zaplanowanym zakresie. Nie ulega najmniejszej wątpliwości, że następstwem świadomego łamania prawa przez Głównego Geodetę Kraju, nie może być zaniechanie ze strony Prezesa Urzędu Ochrony Danych Osobowych. W zaistniałej sytuacji Prezes Urzędu Ochrony Danych Osobowych jest zobowiązany do podjęcia stosownych działań w świetle przepisów ogólnego rozporządzenia o ochronie danych, jak i ustawy o ochronie danych osobowych.

Niezależnie od powyższego należy również zakwestionować  nieprawidłową interpretację art. 90 ustawy dokonaną przez Pełnomocnika GGK. Wskazać bowiem należy, że powołany przepis nie określa katalogu podmiotów, wobec których Prezes Urzędu Ochrony Danych Osobowych może wszcząć postępowanie administracyjne, a w szczególności nie zawęża katalogu tego wyłącznie do podmiotów kontrolowanych. Oznacza to, że organ nadzorczy może wszcząć postępowanie administracyjne wobec każdego podmiotu, jeśli tylko informacje zgromadzone w postępowaniu kontrolnym wskazują na to, że doszło do naruszenia przepisów o ochronie danych osobowych.

W przedmiotowej sprawie Główny Geodeta Kraju udaremnił możliwość zbadania w ramach czynności kontrolnych przez organ ochrony danych osobowych tak ważnej sprawy jaką jest legalność publikowania na GEOPORTAL2 (geoportal.gov.pl) informacji o numerach ksiąg wieczystych.

W toku kontroli udostępnił jedynie dokumentację określającą środki organizacyjne zastosowane w celu zapewnienia bezpieczeństwa danych oraz dowody potwierdzające wyznaczenie inspektora ochrony danych. Niemniej jednak na okoliczność odmowy przeprowadzenia kontroli Główny Geodeta Kraju złożył zeznania, z których wynika, że „w przypadku 90 starostw powiatowych, które nie posiadają jeszcze własnej infrastruktury technicznej Główny Geodeta Kraju na podstawie zawartych porozumień (zawartych na podstawie art. 5 ustawy Prawo geodezyjne i kartograficzne), po otrzymaniu stosownych danych geodezyjnych z tych starostw dokonuje publikacji tych danych na portalu internetowym GEOPORTAL2”. Zatem, w przedmiotowej sprawie pomimo udaremnienia przez Głównego Geodetę Kraju przeprowadzenia kontroli w pełnym zakresie, Prezes UODO na podstawie zebranego materiału dowodowego w niniejszej sprawie bez wątpienia stwierdził nieprawidłowości dotyczące procesu przetwarzania danych osobowych przez Głównego Geodetę Kraju w związku z udostępnianiem przez niego bez podstawy prawnej danych osobowych (w zakresie numerów ksiąg wieczystych) na portalu Geoportal2 (geoportal.gov.pl). Główny Geodeta Kraju w całym postępowaniu nie wskazał żadnego przepisu prawa, który stanowiłby podstawę prawną jego działania w zakresie, o którym mowa powyżej. W konsekwencji, uznać należy, że stosownie do art. 90 ustawy Prezes Urzędu Ochrony Danych Osobowych miał podstawę do wszczęcia wobec Głównego Geodety Kraju postępowania administracyjnego w sprawie naruszenia przepisów o ochronie danych osobowych.

Nie można również zgodzić się ze stanowiskiem Pełnomocnika GGK zawartym w odpowiedzi na wszczęcie postepowania, z którego wynika, że Prezes Urzędu Ochrony Danych Osobowych bezpodstawnie uznał, że dane pochodzące z ewidencji gruntów i budynków, w tym w szczególności numery ksiąg wieczystych przetwarzane w serwisie www.geoportal.gov.pl stanowią dane osobowe i w związku z tym Prezes Urzędu Ochrony Danych Osobowych nie jest władny podejmować działania w odniesieniu do ich przetwarzania.

Wskazać należy, że zgodnie z art. 4 pkt 1 rozporządzenia 2016/679 „dane osobowe” oznaczają wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej („osobie, której dane dotyczą”); możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora takiego jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej.

Bezsporny w niniejszej sprawie jest fakt, że podmiotami, których dotyczą poszczególne prawa i obowiązki ujawnione w księgach wieczystych, są również osoby fizyczne. Zakres ujawnianych w księdze wieczystej danych osób fizycznych obejmuje m.in. imiona, nazwiska, imiona rodziców, numer PESEL, adres nieruchomości. Na tej podstawie stwierdzić należy, że podane do publicznej wiadomości (na portalu GEOPORTAL2) numery ksiąg wieczystych pozwalają na identyfikację osób, których dane zawarte są w księdze wieczystej. Z uwagi na powyższe nie ulega wątpliwości, że posiadanie informacji o numerze księgi wieczystej umożliwia w sposób łatwy i prosty dostęp do danych podmiotowych osób ujawnionych w księgach wieczystych. Uzyskanie wglądu do danych osobowych zawartych w treści księgi wieczystej nie wymaga bowiem od osób dysponujących tym numerem posiadania dostępu do dedykowanego systemu informatycznego ani posiadania specjalnych uprawnień. Wystarczy komputer podłączony do Internetu. Co więcej, Główny Geodeta Kraju swoim działaniem umożliwił użytkownikom przedmiotowego portalu bezpośredni dostęp do zawartości ksiąg wieczystych, gdyż umieszczone na Geoportal2 (geoportal.gov.pl) numery ksiąg wieczystych stanowią jednocześnie odnośniki przekierowujące użytkownika na stronę Ministerstwa Sprawiedliwości do elektronicznych ksiąg wieczystych. Ta funkcjonalność Geoportal2 (geoportal.gov.pl) spowodowała, że użytkownik tego portalu nie musiał nawet podawać numeru księgi wieczystej, by uzyskać wgląd do informacji w niej zawartych, w tym do danych osobowych właściciela danej nieruchomości. Wskazać w konsekwencji należy, że numer księgi wieczystej jest informacją, która pozwala w sposób pośredni zidentyfikować osobę fizyczną (tj. właściciela danej nieruchomości). W związku z tym uznać należy, że numer księgi wieczystej stanowi dane osobowe w rozumieniu art. 4 ust. 1 rozporządzenia 2016/679.

Niezasadne jest również stanowisko Pełnomocnika Głównego Geodety Kraju, który w odpowiedzi na wszczęcie postępowania wskazał, że Prezes Urzędu Ochrony Danych Osobowych bezpodstawnie uznał, że administratorem danych pochodzących z ewidencji gruntów i budynków publikowanych w serwisie www.geoportal.gov.pl jest Główny Geodeta Kraju.

Wskazać bowiem należy, że zgodnie z art. 4 pkt 7 rozporządzenia 2016/679  „administrator” oznacza osobę fizyczną lub prawną, organ publiczny, jednostkę lub inny podmiot, który samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych osobowych; jeżeli cele i sposoby takiego przetwarzania są określone w prawie Unii lub w prawie państwa członkowskiego, to również w prawie Unii lub w prawie państwa członkowskiego może zostać wyznaczony administrator lub mogą zostać określone konkretne kryteria jego wyznaczania”. Bezsporny w niniejszej sprawie jest fakt, że to Główny Geodeta Kraju publikuje na Geoportal2 (www.geoportal.gov.pl) numery ksiąg wieczystych pozyskanych z ewidencji gruntów i budynków prowadzonych przez starostów. W tym miejscu wskazać należy, że zaplanowana kontrola miała przede wszystkim na celu ustalenie jaką rolę pełni Główny Geodeta Kraju w procesie publikacji numerów ksiąg wieczystych na Geoportal2. Niestety również w tym zakresie Główny Geodeta Kraju udaremnił Prezesowi Urzędu Ochrony Danych Osobowych ustalenie niniejszej kwestii. Nie mniej jednak należy zauważyć, że w Regulaminie SERWISU www.geoportal.gov.pl (zamieszczonego na stronie internetowej www.geoportal.gov.pl.) znajduje się informacja, z której wynika, że „Administratorem Pani/Pana danych osobowych jest Główny Geodeta Kraju z siedzibą w Warszawie, ul. Wspólna 2, 00-926 Warszawa”.

Odnosząc się do stanowiska Pełnomocnika GGK, zawartego w odpowiedzi na wszczęcie postępowania, z którego wynika, m.in. że Główny Geodeta Kraju w związku z publikowaniem w serwisie www.geoportal.gov.pl, numerów ksiąg wieczystych nie narusza przepisów art. 5 ust. 1 lit. a oraz art. 6 ust. 1 rozporządzenia 2016/679, gdyż nie jest adresatem tych przepisów, wskazać należy, co następuje:

Zgodnie z art. 5 ust. 1 lit. a rozporządzenia 2016/679, dane osobowe muszą być przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą.

Jak stanowi art. 6 ust. 1 rozporządzenia 2016/679, przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy – i w takim zakresie, w jakim – spełniony jest co najmniej jeden z poniższych warunków: a) osoba, której dane dotyczą wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów; b) przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy; c) przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze; d) przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej; e) przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi.

W toku kontroli Główny Geodeta Kraju zeznał, że „w przypadku 90 starostw powiatowych, które nie posiadają jeszcze własnej infrastruktury technicznej Główny Geodeta Kraju na podstawie zawartych porozumień (zawartych na podstawie art. 5 ustawy Prawo geodezyjne i kartograficzne), po otrzymaniu stosownych danych geodezyjnych z tych starostw dokonuje publikacji tych danych na portalu internetowym GEOPORTAL2”.

W związku z powyższym stwierdzić należy, że Główny Geodeta Kraju publikuje na GEOPORTAL2 informacje pozyskane z ewidencji gruntów i budynków (w tym numery ksiąg wieczystych) prowadzonych przez starostów powiatowych, którzy nie dysponują infrastrukturą techniczną umożliwiającą publikowanie tych informacji na GEOPORTAL2.

Bezsporne w niniejszej sprawie jest to, że funkcjonalność GEOPORTAL2 pozwala na podstawie numeru księgi wieczystej udostępnionej przez Głównego Geodetę Kraju osobom korzystającym z tego portalu zapoznać się z zakresem informacji zawartym w danej księdze wieczystej. Zgodnie bowiem z art. 36⁴ ust. 6 ustawy z dnia 6 lipca 1982 r. o księgach wieczystych i hipotece (Dz. U. 2019 r. poz. 2204) każdy, kto zna numer księgi wieczystej, może bezpłatnie przeglądać księgę wieczystą za pośrednictwem systemu teleinformatycznego. Zatem, ze względu na umieszczenie w ramach GEOPORTAL2 numeru księgi wieczystej, każdy może zapoznać się z jej zawartością, nawet jeżeli wcześniej nie dysponował jej numerem.

Wskazać należy, że zgodnie z art. 25 ust. 1 ustawy o księgach wieczystych i hipotece, księga wieczysta zawiera cztery działy, z których: 1) pierwszy obejmuje oznaczenie nieruchomości oraz wpisy praw związanych z jej własnością; 2) drugi obejmuje wpisy dotyczące własności i użytkowania wieczystego; 3) trzeci przeznaczony jest na wpisy dotyczące ograniczonych praw rzeczowych, z wyjątkiem hipotek, na wpisy ograniczeń w rozporządzaniu nieruchomością lub użytkowaniem wieczystym oraz na wpisy innych praw i roszczeń, z wyjątkiem roszczeń dotyczących hipotek; 4) czwarty przeznaczony jest na wpisy dotyczące hipotek.

Ponownie należy zatem podkreślić, że podmiotami, których dotyczą poszczególne prawa i obowiązki ujawnione w księgach wieczystych, są m. in. osoby fizyczne. Zakres ujawnianych w księdze wieczystej danych tych osób obejmuje m.in. imiona, nazwiska, imiona rodziców, numer PESEL, adres nieruchomości. Na tej podstawie stwierdzić należy (co również zostało już wykazane we wcześniejszej części niniejszej decyzji), że podane do publicznej wiadomości (na GEOPORTAL2) numery ksiąg wieczystych pozwalają na pośrednią identyfikację osób fizycznych, a tym samym stanowią dane osobowe w rozumieniu art. 4 ust. 1 rozporządzenia 2016/679. Jak wskazał Naczelny Sąd Administracyjny w uzasadnieniu wyroku z dnia 26 września 2018 r., sygn. akt I OSK 11/17, „otrzymanie informacji dotyczącej oznaczenia księgi wieczystej umożliwia bowiem w sposób łatwy i prosty dostęp do treści całej księgi wieczystej, a więc wszystkich IV działów, a w tym również do zawartych w niej danych podmiotowych. Ubieganie się o uzyskanie z ewidencji gruntów i budynków danych dotyczących oznaczenia księgi wieczystej ma na celu nie pozyskanie "zbioru oznaczonych cyfr i znaków", ale ma na celu pozyskanie danych podmiotowych dotyczących właściciela nieruchomości, które w prosty sposób można pozyskać dysponując "zbiorem oznaczonych cyfr i znaków", czyli oznaczeniem księgi wieczystej.” W konsekwencji uznać należy, że ujawnienie numerów ksiąg wieczystych na GEOPORTAL2 (geoportal.gov.pl) narusza ochronę danych osób, których one dotyczą.

W tym miejscu należy wskazać, że zgodnie z art. 36⁴ ust. 16 ustawy o księgach wieczystych i hipotece, Centralna Informacja umożliwia organom prowadzącym kataster nieruchomości, dla nieruchomości z określonej miejscowości, gminy lub powiatu, w celu weryfikacji zgodności danych ewidencji gruntów i budynków z danymi zawartymi w księgach wieczystych bezpłatne pozyskiwanie, za pośrednictwem systemu teleinformatycznego, danych zawartych w dziale pierwszym i drugim ksiąg wieczystych, bez prawa udostępniania osobom trzecim.

Wskazać należy, że projekt GEOPORTAL2 został opracowany w ramach wykonywania ustanawiania infrastruktury informacji przestrzennej we Wspólnocie Europejskiej (INSPIRE). Projekt opracowania takiej infrastruktury jest regulowany przepisami dyrektywy 2007/2/WE Parlamentu Europejskiego i Rady z dnia 14 marca 2007 r. ustanawiającej infrastrukturę informacji przestrzennej we Wspólnocie Europejskiej (INSPIRE). Zakres danych, które znajdują się w zbiorach danych przestrzennych jest określony w załącznikach do Dyrektywy 2007/2/WE. Wskazany zakres nie obejmuje danych dotyczących własności, czy statusu prawnego nieruchomości, które są objęte zbiorem.

Zgodnie z motywem 24 dyrektywy 2007/2/WE, świadczenie usług sieciowych (takich jak udostępnianie danych w ramach Geoportal2), powinno być zgodne z zasadami przetwarzania danych osobowych. Dodatkowo, art. 13 ust. 1 lit. f Dyrektywy stanowi, że państwa członkowskie mogą ograniczyć publiczny dostęp do zbiorów i usług danych przestrzennych, jeśli ich udostępnienie miałoby niekorzystny wpływ na poufność danych osobowych, jeżeli osoba, której dane dotyczą, nie wyraziła zgody na publiczne ujawnienie tych informacji oraz jeśli poufność danych jest przewidziana w przepisach krajowych czy unijnych.

Należy także przywołać art. 5a ust. 4 ustawy Prawo geodezyjne i kartograficzne, który nakłada na Głównego Geodetę Kraju obowiązek zastosowania zabezpieczeń zapobiegających nadużyciom lub niezgodnemu z prawem dostępowi lub przekazaniu danych osobowych przetwarzanych m.in. w związku z prowadzeniem państwowego zasobu geodezyjnego i kartograficznego oraz tworzeniem i utrzymywaniem zintegrowanego systemu informacji o nieruchomościach.

Wskazać należy, że z treści porozumienia nr […] z dnia […] listopada 2018 r. (zawartego przez Głównego Geodetę Kraju ze Starostą J.) wynika, że porozumienie to zostało zawarte na podstawie art. 5 ustawy z dnia 17 maja 1989 r. Prawo geodezyjne i kartograficzne w związku z art. 7 i art. 9 ust. 1 ustawy z dnia 4 marca 2010 r. o infrastrukturze informacji przestrzennej (Dz. U. z 2018 r. poz. 1472). W treści tego porozumienia określony został cel współpracy, tj. uzupełnienie i usprawnienie funkcjonowania elementów krajowego systemu informacji o terenie, stanowiącego część składową infrastruktury informacji przestrzennej. Zakres przekazywanych informacji przez Starostę J. (i następnie publikowanych przez Głównego Geodetę Kraju na GEOPORTAL2), zgodnie z ww. porozumieniem, obejmuje m.in. numery ksiąg wieczystych nieruchomości położonych na terenie Powiatu J.

Wskazać należy, że zgodnie z art. 11 ustawy o infrastrukturze informacji przestrzennej, dostęp do zbiorów danych i usług przestrzennych podlega ograniczeniu na podstawie m.in. przepisów o ochronie danych osobowych.

Ochrona danych osobowych jest obecnie uregulowana w przepisach rozporządzenia 2016/679. Przepisy te ustanowiły podstawowe zasady przetwarzania danych osobowych, w tym zasadę zgodności z prawem, sformułowaną w art. 5 ust. 1 lit. a rozporządzenia 2016/679. Zasada zgodności z prawem, „określana również mianem legalności przetwarzania danych, oznacza wymóg przestrzegania norm ustanowionych w przepisach prawa. Zasada zgodności przetwarzania danych z prawem ma szeroki zakres przedmiotowy, nie chodzi tu tylko o przepisy komentowanego rozporządzenia, ale także o przepisy zawarte w innych aktach normatywnych. (…) Wśród przepisów dotyczących przetwarzania danych szczególną rolę pełnią wymogi odnoszące się do zgodności przetwarzania z prawem (określane także jako tzw. podstawy dopuszczalności przetwarzania danych lub przesłanki legalności przetwarzania danych), określone w przepisach art. 6, 9 i 10 komentowanego rozporządzenia. Przepisy te wskazują przypadki, gdy przetwarzanie danych jest prawnie dopuszczalne (ujmując to najprościej: kiedy można zgodnie z prawem przetwarzać dane osobowe)” (Fajgielski Paweł, Komentarz do rozporządzenia nr 2016/679 w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych), [w:] Ogólne rozporządzenie o ochronie danych. Ustawa o ochronie danych osobowych. Komentarz). Zatem Główny Geodeta Kraju jako organ administracji publicznej powinien dysponować przesłanką dopuszczającą nie tylko zbieranie przez niego numerów ksiąg wieczystych, ale również ich publiczne udostępnianie w ramach infrastruktury informacji przestrzennej (GEOPORTAL2). Tymczasem w niniejszej sprawie Główny Geodeta Kraju nie może powołać się na żadną z przesłanek wymienionych w art. 6 ust. 1 rozporządzenia 2016/679, a w szczególności na wskazaną w art. 6 ust. 1 lit. c, zgodnie z którą przetwarzanie danych jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze.

Jak bowiem wykazano wyżej, żaden z przepisów regulujących kwestie związane z działalnością Głównego Geodety Kraju nie pozwala na udostępnianie przez niego w ramach GEOPORTAL2 (geoporatl.gov.pl) tego typu danych, a wręcz z art. 36⁴ ust. 16 ustawy o księgach wieczystych i hipotece oraz art. 5a ust. 4 ustawy Prawo geodezyjne i kartograficzne wynika zakaz ich udostępniania osobom trzecim. Na tej podstawie stwierdzić również należy, że przesłanka wskazana w art. 6 ust. 1 lit. e rozporządzenia 2016/679 nie może być zastosowana. Pozostałe przesłanki dopuszczalności przetwarzania danych osobowych wymienione w art. 6 ust. 1 rozporządzenia 2016/679 z uwagi na ich charakter nie mogą stanowić podstawy przetwarzania danych osobowych w niniejszej sprawie.

Jednocześnie wskazać należy, że Główny Geodeta Kraju miał świadomość braku przepisów prawa, które stanowiłyby podstawę prawną do opublikowania nr ksiąg wieczystych na Geoportal2 (geoportal.gov.pl). Świadczy o tym jednoznacznie fakt zawarcia porozumień ze starostami powiatowymi w tym zakresie. Porozumienia te, stosownie do art. 5 ust. 2 ustawy Prawo geodezyjne i kartograficzne, mają jednak dotyczyć tworzenia i utrzymywania wspólnych elementów infrastruktury technicznej przeznaczonej do przechowywania i udostępniania określonych zbiorów danych, a nie stanowić podstawę prawną udostępniania (publikowania) danych, w tym nr ksiąg wieczystych. Podstawa taka, jak już wyżej wykazano, musi wynikać z powszechnie obowiązujących przepisów prawa.

Ponadto, wskazać należy, że Główny Geodeta Kraju jako organ administracji publicznej nie może się zasłaniać tym, że nie decyduje o tym, jakie informacje są ujawniane w księdze wieczystej.

Wskazać bowiem należy, że Główny Geodeta Kraju poprzez zamieszczenie na Geoportal2 (geoportal.gov.pl) nr ksiąg wieczystych wraz z odnośnikiem do strony Ministerstwa Sprawiedliwości z systemem Elektronicznych Ksiąg Wieczystych miał na celu umożliwienie użytkownikom geoportal.gov.pl szybkiego i bezproblemowego uzyskania dostępu do zawartości księgi wieczystej, której numer został ujawniony, w tym do danych osobowych właściciela nieruchomości.

W konsekwencji uznać należy, że udostępnianie bez podstawy prawnej na GEOPORTAL2 (geoportal.gov.pl) numerów ksiąg wieczystych skutkuje naruszeniem przez Głównego Geodetę Kraju art. 5 ust. 1 lit. a oraz art. 6 ust. 1 rozporządzenia 2016/679. Wskazać również należy, że w doktrynie prawa reprezentowane jest stanowisko, zgodnie z którym udostępnianie danych osobowych ze zbiorów publicznych wobec braku wyraźnej podstawy prawnej odnoszącej się do operacji udostępniania jest niezgodne z prawem. Aby przetwarzanie (w tym upublicznianie) danych osobowych było zgodne z prawem, konieczne jest wskazanie podstawy prawnej przetwarzania. Bezsporne w niniejszej sprawie jest, że żaden przepis prawa nie upoważnia Głównego Geodetę Kraju do publikowania na GEOPORTAL2 (geoportal.gov.pl) informacji o numerach ksiąg wieczystych, a ponadto sam Główny Geodeta Kraju nie jest w stanie wskazać podstawy prawnej swojego działania.

Wskazać również należy, że ustawa o księgach wieczystych i hipotece zawiera regulacje, które zapewniają realizację zasady jawności ksiąg wieczystych. Są to w szczególności przepisy art. 36⁴ ust. 5 i 6 tej ustawy. Jak wynika z tych przepisów, Centralna Informacja Ksiąg Wieczystych umożliwia, za pośrednictwem systemu teleinformatycznego, przeglądanie ksiąg wieczystych, a każdy, kto zna numer księgi wieczystej, może bezpłatnie przeglądać księgę wieczystą za pośrednictwem systemu teleinformatycznego. Ustawodawca tym samym wskazał, w jaki sposób zapewniana jest jawność ksiąg wieczystych oraz jakie podmioty są za to odpowiedzialne. Żaden z tych przepisów, jak również inne przepisy ustawy o księgach wieczystych i hipotece, nie przyznają kompetencji w tym zakresie Głównemu Geodecie Kraju. Ponadto, z żadnego przepisu powszechnie obowiązującego prawa nie wynika zadanie Głównego Geodety Kraju do zapewnienia powszechnej dostępności ksiąg wieczystych i informacji zawartych w jej treści. Przypisanie sobie tego zadania przez Głównego Geodetę Kraju stanowi nie tylko naruszenie art. 7, ale również art. 47 i 51 ust. 2 Konstytucji RP, skoro prowadzi do naruszenia ochrony danych osobowych ujawnionych w treści księgi wieczystej. W tym miejscu należy ponownie przypomnieć przywołany wyżej wyrok Naczelnego Sądu Administracyjnego z 26 września 2018 r., sygn. akt I OSK 11/17, w którego uzasadnieniu NSA stwierdził, że „jawność ewidencji gruntów i budynków oznacza to, że informacje zawarte w ewidencji nie mają charakteru informacji niejawnych w rozumieniu prawa, nie oznacza to jednak powszechnego dostępu do nich.” Powyższe stwierdzenie odnosi się w sposób oczywisty również do numerów ksiąg wieczystych.

II. Na podstawie art. 58 ust. 2 lit. i rozporządzenia 2016/679, każdemu organowi nadzorczemu przysługuje uprawnienie do zastosowania, oprócz lub zamiast innych środków naprawczych przewidzianych w art. 58 ust. 2 lit. a - h oraz lit. j tego rozporządzenia, administracyjnej kary pieniężnej na mocy art. 83 rozporządzenia 2016/679, zależnie od okoliczności konkretnej sprawy. Mając na uwadze ustalenia stanu faktycznego, Prezes Urzędu Ochrony Danych Osobowych, korzystając z przysługującego mu uprawnienia określonego we wskazanym wyżej przepisie rozporządzenia 2016/679 stwierdził, że w rozpatrywanej sprawie zaistniały przesłanki uzasadniające nałożenie na Głównego Geodetę Kraju administracyjnej kary pieniężnej.

Przy ustalaniu wysokości kary Prezes Urzędu Ochrony Danych Osobowych wziął pod uwagę następujące okoliczności sprawy wpływające obciążająco na wymiar nałożonej kary finansowej:

1. Waga i charakter naruszenia - Główny Geodeta Kraju swoim działaniem w procesie udostępniania bez podstawy prawnej na portalu internetowym GEOPORTAL2 (geoportal.gov.pl) danych pozyskanych z ewidencji gruntów i budynków (prowadzonej przez starostów) dotyczących numerów ksiąg wieczystych narusza zasadę zgodności z prawem przetwarzania danych, o której mowa art. 5 ust. 1 lit. a rozporządzenia 2016/679. Ustalenia dokonane przez Prezesa Urzędu Ochrony Danych Osobowych pozwalają na stwierdzenie, że przedmiotowe naruszenie dotyczy bardzo dużej liczby osób. Masową skalę występowania takiego zjawiska potwierdził sam Główny Geodeta Kraju, który w uzasadnieniu odmowy przeprowadzenia kontroli wskazał, że sytuacja taka dotyczy co najmniej 90 starostw powiatowych. Niewątpliwie upublicznienie na portalu internetowym GEOPORTAL2 (geoportal.gov.pl) numerów ksiąg wieczystych wraz z linkiem, który bezpośrednio pozwala każdemu na zapoznanie się danymi osobowymi (w zakresie: imienia i nazwiska, adresu, nr PESEL i często informacji o zadłużeniu) zawartymi w księgach wieczystych naraża bardzo dużą liczbę osób (których dane dotyczą) na kradzież ich tożsamości.

2. Czas trwania naruszeń - z ustaleń dokonanych przez Prezesa UODO wynika, że publikacja numerów ksiąg wieczystych na przedmiotowym portalu dokonywana jest przez Głównego Geodetę Kraju co najmniej od 2019 r.

3. Umyślny charakter naruszenia – Główny Geodeta Kraju jako podmiot administracji publicznej powinien działać wyłącznie na podstawie przepisów prawa. W ocenie Prezesa Urzędu Ochrony Danych Osobowych, z uwagi na brak podstaw prawnych, które upoważniałyby Głównego Geodetę Kraju do pozyskiwania informacji z ewidencji gruntów i budynków (w tym numerów ksiąg wieczystych) prowadzonych przez starostów celem ich publikacji na GEOPORTAL2 (geoportal.gov.pl), Główny Geodeta Kraju zdecydował się na zawarcie porozumień ze starostami. Niestety zawarte porozumienia, w ocenie Prezesa Urzędu Ochrony Danych Osobowych, nie stanowią podstawy prawnej do tego typu działań prowadzonych przez Głównego Geodetę Kraju. Należy podkreślić, że Głównego Geodeta Kraju decydując się na publikację na GEOPORTAL2 (geoportal.gov.pl) informacji o numerach ksiąg wieczystych zdawał sobie sprawę, że w ocenie organu nadzorczego numer księgi wieczystej podlega przepisom o ochronie danych osobowych i w związku z tym ich przetwarzanie powinno być zgodne z tymi przepisami. Z zaistniałych okoliczności niniejszej sprawy wynika bezspornie, że Główny Geodeta Kraju pomimo, że wiedział o stanowisku organu nadzorczego w tej sprawie zdecydował się wbrew temu stanowisku na publikację numerów ksiąg wieczystych na GEOPORTAL2. Na tej podstawie stwierdzić należy, że naruszenie przez Głównego Geodetę Kraju przepisów o ochronie danych w powyższym zakresie ma charakter umyślny.

4. Wysoki stopień odpowiedzialności Głównego Geodety Kraju jako podmiotu administracji publicznej, który niewątpliwie powinien stać na straży praworządności, a którego działalność (w zakresie publikowania numerów ksiąg wieczystych na GEOPORTAL2) narusza obowiązujące przepisy prawa, co skutkuje nieuprawnionym dostępem do danych osobowych nieograniczonej liczby osób, albowiem z dostępu do tego źródła informacji o m.in. numerach ksiąg wieczystych może korzystać każdy zainteresowany użytkownik Internetu.

Ponadto, wskazać należy, że:

1. Niewątpliwie upublicznienie na GEOPORTAL2 (geoportal.gov.pl) numerów ksiąg wieczystych naraża bardzo dużą liczbę osób na kradzież ich tożsamości. Działania Głównego Geodety Kraju w zakresie udaremnienia przeprowadzenia kontroli w pełnym zakresie nie pozwoliły na pozyskanie dowodów, które bezpośrednio świadczyłyby o tym, że konsekwencją stwierdzonego naruszenia było powstanie szkód po stronie podmiotów danych. Niemniej jednak nie ulega wątpliwości, że dalsze upublicznianie informacji o numerze ksiąg wieczystych na GEOPORTAL2 stwarza niebezpieczeństwo narażenia znacznej liczby osób fizycznych na ingerencję w sferę ich prywatności (działania podjęte dla zminimalizowania szkody).

2. Nie zostało stwierdzone, żeby Główny Geodeta Kraju uprzednio dopuścił się naruszenia przepisów rozporządzenia 2016/679, które miałoby istotne znaczenie dla niniejszego postępowania.

3. Prezes Urzędu Ochrony Danych Osobowych pozyskał informację o udostępnianiu na portalu o nazwie „GEOPORTAL2” („geoportal.gov.pl”) bez podstawy prawnej danych osobowych w zakresie numerów ksiąg wieczystych w toku innej kontroli, która została przeprowadzona u Starosty J. (sposób, w jaki organ nadzorczy dowiedział się o naruszeniu).

4. W tej samej sprawie Prezes Urzędu Ochrony Danych Osobowych na podstawie art. 70 ust. 1 i 2 ustawy o ochronie danych osobowych wydał [...] kwietnia 2020 r. postanowienie (znak: DKN.5112.13.2020), którym zobowiązał Głównego Geodetę Kraju do ograniczenia przetwarzania danych osobowych w zakresie numerów ksiąg wieczystych, nakazując zaprzestanie ich publikowania na portalu internetowym GEOPORTAL2 do czasu wydania decyzji administracyjnej kończącej postępowanie w tej sprawie.

Ustalając wysokość administracyjnej kary pieniężnej, Prezes Urzędu Ochrony Danych Osobowych nie znalazł podstaw do uznania, że zachodziły jakiekolwiek okoliczności łagodzące, mające wpływ na ostateczny wymiar kary.

W przedmiotowej sprawie organ nie rozważał przy nałożeniu kary okoliczności, o których mowa w art. 83 ust. 2 lit. j ogólnego rozporządzenia o ochronie danych, z uwagi na brak stosowania przez administratora kodeksów postępowania oraz zatwierdzonych mechanizmów certyfikacji.

Decydując, czy nałożyć administracyjną karę pieniężną, a także ustalając jej wysokość, Prezes Urzędu Ochrony Danych Osobowych uznał poważny charakter naruszenia wynikający z udostępnienia danych osobowych bez podstawy prawnej innym osobom, niż osoby, których dane dotyczą.

Ponadto, Prezes Urzędu Ochrony Danych Osobowych wziął pod uwagę, iż oceniany organ jest jednostką sektora publicznego.

W tym miejscu wskazać również należy na treść art. 102 ustawy o ochronie danych osobowych, z którego wynika ograniczenie wysokości (do 100 000 zł) kary, jaka może zostać nałożona na jednostkę sektora publicznego.

Prezes Urzędu Ochrony Danych Osobowych przy nakładaniu kary w maksymalnej wysokości wziął pod uwagę dużą wagę naruszenia. W ocenie Prezesa Urzędu Ochrony Danych Osobowych zastosowana administracyjna kara pieniężna w wysokości 100 000 zł spełnia w ustalonych okolicznościach niniejszej sprawy funkcje, o których mowa w art. 83 ust. 1 ogólnego rozporządzenia o ochronie danych, tzn. jest w tym indywidualnym przypadku skuteczna, proporcjonalna i odstraszająca.

Należy uznać, że kara będzie skuteczna, jeżeli jej nałożenie doprowadzi do tego, że Główny Geodeta Kraju stosować będzie się do obowiązujących przepisów prawa i zaprzestanie na stałe dalszego naruszenia ochrony danych osobowych poprzez ujawnianie numerów ksiąg wieczystych na GEOPORTAL2 (geoportal.gov.pl).

W ocenie Prezesa Urzędu Ochrony Danych Osobowych zastosowana kara pieniężna jest proporcjonalna do stwierdzonego naruszenia, szczególnie ze względu na wagę naruszenia, masowy charakter naruszenia oraz czas trwania naruszenia.

Odstraszający charakter kary pieniężnej wiąże się z zapobieganiem naruszeń w przyszłości oraz przykładanie większej wagi do realizacji zadań administratora. Kara ma odstraszać zarówno administratora przed ponownym naruszeniem, jak i inne podmioty. Nakładając niniejszą decyzją administracyjną karę pieniężną za naruszenie przepisów o ochronie danych osobowych Prezes Urzędu Ochrony Danych Osobowych wziął pod uwagę oba aspekty: po pierwsze - charakter represyjny, Główny Geodeta Kraju naruszył przepisy ogólnego rozporządzenia o ochronie danych, po drugie - charakter prewencyjny, zarówno Główny Geodeta Kraju, jak i inni administratorzy, będą skutecznie zniechęceni do naruszania w przyszłości prawa ochrony danych osobowych, jednocześnie dokładając większej staranności przy realizacji swoich obowiązków wynikających z ogólnego rozporządzenia o ochronie danych.

Celem nałożonej kary jest doprowadzenie do właściwego wykonywania przez Głównego Geodetę Kraju obowiązków przewidzianych w art. 5 ust. 1 lit. a i art. 6 ust. 1 ogólnego rozporządzenia o ochronie danych, a w konsekwencji do prowadzenia procesów przetwarzania danych zgodnie z obowiązującymi przepisami prawa.

III. Jednocześnie na podstawie złożonych przez Pełnomocnika Głównego Geodety Kraju wyjaśnień zawartych w pismach z dnia […] maja 2020 r. i z dnia […] lipca 2020 r. oraz załączonych pozostałych dowodów należy stwierdzić, że pozostałe uchybienia stanowiące przedmiot niniejszego postępowania zostały przez Głównego Geodetę Kraju usunięte.

Obecnie w rejestrze czynności przetwarzania danych osobowych dla czynności o nazwach: „Rejestracja użytkowników repozytorium projektowego”, „Rejestracja uczestników szkoleń Geoportal”, które są związane z Geoportalem, zawarte są informacje o planowanych terminach usunięcia danych, o których mowa w art. 30 ust. 1 lit. f rozporządzenia 2016/679.

Ponadto, w rejestrze czynności przetwarzania danych osobowych dla czynności o nazwach: „Rejestracja użytkowników systemu Geoportal i systemów dziedzinowych GUGiK”, „Rejestracja użytkowników repozytorium projektowego” oraz „Rejestracja uczestników szkoleń Geoportal” zamieszczony został opis dotyczący technicznych i organizacyjnych środków bezpieczeństwa, o których mowa w art. 32 ust. 1 rozporządzenia 2016/679.

Z wyjaśnień Pełnomocnika Głównego Geodety Kraju zawartych w piśmie z […] lipca 2020 r. wynika również, że obecnie Główny Geodeta Kraju nie realizuje czynności o nazwie „Rejestracja użytkowników forum witryny Geoportal” i w związku z tym nie przetwarza danych osobowych w ramach tej czynności. Powyższa czynność została wykreślona z rejestru czynności przetwarzania danych.

Mając powyższe na uwadze Prezes Urzędu Ochrony Danych Osobowych rozstrzygnął jak w  sentencji niniejszej decyzji. 

Decyzja jest ostateczna. Od decyzji stronie przysługuje prawo wniesienia skargi do Wojewódzkiego Sądu Administracyjnego w Warszawie, w terminie 30 dni od dnia jej doręczenia, za pośrednictwem Prezesa Urzędu Ochrony Danych Osobowych (adres: ul. Stawki 2, 00 - 193 Warszawa). Od skargi należy wnieść wpis stosunkowy, zgodnie z art. 231 w związku z art. 233 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2018, poz. 1302, z późn. zm.). Strona (osoba fizyczna, osoba prawna, inna jednostka organizacyjna nieposiadająca osobowości prawnej) ma prawo ubiegać się o prawo pomocy, które obejmuje zwolnienie od kosztów sądowych oraz ustanowienie adwokata, radcy prawnego, doradcy podatkowego lub rzecznika patentowego. Prawo pomocy może być przyznane na wniosek Strony złożony przed wszczęciem postępowania lub w toku postępowania. Wniosek jest wolny od opłat sądowych.

Zgodnie z art. 105 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781), administracyjną karę pieniężną należy uiścić w terminie 14 dni od dnia upływu terminu na wniesienie skargi do Wojewódzkiego Sądu Administracyjnego, albo od dnia uprawomocnienia się orzeczenia sądu administracyjnego, na rachunek bankowy Urzędu Ochrony Danych Osobowych w NBP O/O Warszawa nr 28 1010 1010 0028 8622 3100 0000. Ponadto, zgodnie z art. 105 ust. 2 ww. ustawy Prezes Urzędu Ochrony Danych Osobowych może, na uzasadniony wniosek podmiotu ukaranego odroczyć termin uiszczenia administracyjnej kary pieniężnej albo rozłożyć ją na raty. W przypadku odroczenia terminu uiszczenia administracyjnej kary pieniężnej albo rozłożenia jej na raty, Prezes Urzędu Ochrony Danych Osobowych nalicza od nieuiszczonej kwoty odsetki w stosunku rocznym, przy zastosowaniu obniżonej stawki odsetek za zwłokę, ogłaszanej na podstawie art. 56d ustawy z dnia 29 sierpnia 1997 r. - Ordynacja podatkowa (Dz. U. z 2019 r. poz. 900, z późn. zm.), od dnia następującego po dniu złożenia wniosku.

Zgodnie z art. 74 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781) wniesienie przez stronę skargi do sądu administracyjnego wstrzymuje wykonanie decyzji w zakresie administracyjnej kary pieniężnej.

Decyzja PUODO