Czy dopuszczalne jest podanie pełnych danych adresowych strony w postanowieniu administracyjnym? Czy jednak, jako przetwarzanie danych osobowych, powinno podlegać ocenie przez pryzmat RODO?
nieprawomocny wyrok WSA w Warszawie z 16 kwietnia 2021 r. (II SA/Wa 1715/20)
Dane obejmujące miejsce zamieszkania strony są danymi pozwalającymi na identyfikację (odróżnienie) osoby fizycznej, zwłaszcza w sytuacji powszechności danego nazwiska w określonej miejscowości. Nie oznacza to jednak, iż dane te winny zostać zawsze zamieszczane w treści postanowienia administracyjnego.
Orzeczenie dotyczyło decyzji PUODO, w której odmówiono uwzględnienia skargi na ujawnienie przez nadzór budowlany danych osobowych strony — w treści postanowienia, innym stronom prowadzonego postępowania (łącznie ok. 88 osób mogło zapoznać się z danymi 88 osób).
Zdaniem PUODO nie doszło w ten sposób do naruszenia zasad przetwarzania danych osobowych, ponieważ przepisy nakazują oznaczyć strony oraz doręczyć pismo adresatowi, zatem urząd powinien był wpisać imię i nazwisko oraz podać adres, toteż przetwarzanie wynikało z art. 6 ust. 1 lit. c) RODO.
art. 124 par. 1 kpa
Postanowienie powinno zawierać: (…) oznaczenie strony lub stron albo innych osób biorących udział w postępowaniu (…)
W skardze na odmowę zainteresowani podkreślili, że wskazanie w piśmie danych 88 osób nie było konieczne dla celów prowadzonego przez nadzór budowlany postępowania — a tylko tak interpretowana przesłanka legalizuje przetwarzanie danych osobowych.
Wojewódzki Sąd Administracyjny stwierdził, iż nie ma wątpliwości, że treść postanowienia powinna przytaczać m.in. oznaczenie strony lub stron, albo innych osób będących uczestnikami postępowania administracyjnego. Przepis nie określa w ścisły sposób sposobu oznaczania stron, jednak w orzecznictwie przyjmuje się, że musi mieć ono charakter ścisły i precyzyjny, tak by zakres podmiotowy rozstrzygnięcia nie budził jakichkolwiek wątpliwości („oznaczenie nie może być zatem dorozumiane, a w szczególności wyrażane za pomocą ujęć niejasnych, skrótowych, literackich, handlowych bądź powszechnie używanych w odniesieniu do oznaczonej osoby”). Jest także jasne, że w treści postanowienia (lub decyzji) należy określić dane wszystkich stron, a nie tylko wnioskodawców.
art. 5 ust. 1 lit. c) rozporządzenia o ochronie danych osobowych
Dane osobowe muszą być:
c) adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane („minimalizacja danych”);
Szczegółowy sposób oznaczania strony zależy od jej rodzaju: jest oczywistym, iż inaczej oznacza się osobę fizyczną, a inaczej osobę prawną lub inny podmiot (i tak nie można np. oznaczyć osoby fizycznej prowadzącej działalność gospodarczą wyłącznie fantazyjną częścią firmy). Oznaczenie osoby fizycznej może polegać na wskazaniu jej dwóch podstawowych właściwości w ujęciu cywilnoprawnym: jej tożsamości, czyli cech indywidualizujących jednostkę ludzką (imienia i nazwiska) oraz miejsca zamieszkania (adresu).
W ocenie WSA nie oznacza to jednak, iżby przetwarzanie danych adresowych było zawsze konieczne — bo i kodeks postępowania administracyjnego nie wskazuje adresu strony jako elementu postanowienia. Wykorzystanie niektórych danych identyfikujących człowieka może być podyktowane potrzebą „dalszego odróżnienia (wyróżnienia) osoby fizycznej”, na przykład wówczas jeśli jakieś nazwisko dość powszechnie występuje w danej miejscowości (osobiście lubię rzucić okiem na cmentarne nagrobki w małych miejscowościach, tych, które uniknęły przeorania walcem historii) — zatem przetwarzanie danych adresowych strony w postanowieniu powinno być za każdym razem z odrębnie analizowane, z uwzględnieniem zasady minimalizacji danych (art. 5 ust. 1 lit. c) RODO).
Biorąc pod uwagę, że PUODO nie ocenił tej okoliczności, zaskarżona decyzja została uchylona.