Czy organ ochrony danych może oddalić skargę na naruszenie RODO, jeśli w toku postępowania się okaże, że dane nie są już przetwarzane? Czy jednak zaprzestanie przetwarzania danych nie pozwala na umorzenie postępowania przez PUODO — bo jeśli doszło do nieprawidłowości, to należy je wyjaśnić? I, wcale nie na marginesie: czy kradzież sprzętu do monitoringu może wskazywać, że administrator nie popisał się w kontekście zabezpieczenia przetwarzanych danych? (wyrok Naczelnego Sądu Administracyjnego z 29 lutego 2024 r., III OSK 3624/21).
Sprawa zaczęła się od wniesionej do PUODO skargi na nielegalne przetwarzanie danych osobowych przez wspólnotę mieszkaniową, która zamontowała na budynku monitoring wizyjny, ale zapomniała o wynikającym z RODO obowiązku informacyjnym (po pewnych pierepałkach wywieszono zaledwie „mało widoczną, czarno-białą tabliczkę, na której zamieszczono piktogram kamery oraz lakoniczną informację o administratorze danych osobowych”). Wcale nie na marginesie można dodać, że skarżący kilkakrotnie niszczył kamery, o czym wspólnota zawiadomiła prokuraturę, a po wniesieniu skargi ktoś ukradł cały sprzęt.
W wydanej decyzji PUODO stwierdził, że skoro urządzenia do rejestracji obrazu z monitoringu zostały skradzione, to wspólnota na pewno wizerunku skarżącego już nie przetwarza. A skoro obowiązek informacyjny został spełniony (wspólnota wysłała stosowne informacje listem, listelem i wywiesiła na tablicy ogłoszeń), postępowanie podlega umorzeniu jako bezprzedmiotowe (art. 105 par. 1 kpa).
Odmiennie rzecz ocenił Wojewódzki Sąd Administracyjny: organ może umorzyć postępowanie, jeśli stało się ono bezprzedmiotowe, tj. brakuje materialno-prawnych przesłanek do władczego rozstrzygnięcia. Na gruncie RODO okolicznością taką jest brak stwierdzenia naruszenia w zakresie przetwarzania danych osobowych. Jednak w sytuacji, kiedy organ dostrzega naruszenie prawa, choćby ustało ono przed zakończeniem prowadzonego przez PUODO postępowania, pominięcie skargi jest niedopuszczalne — przeto zaprzestanie przetwarzania danych osobowych, czy też zdemontowanie monitoringu lub kradzież urządzeń nie jest okolicznością usprawiedliwiającą umorzenie postępowania (wyrok WSA w Warszawie z 23 lipca 2020 r., II SA/Wa 2316/19).
art. 13 ust. 1 RODO
Jeżeli dane osobowe osoby, której dane dotyczą, zbierane są od tej osoby, administrator podczas pozyskiwania danych osobowych podaje jej wszystkie następujące informacje:
a) swoją tożsamość i dane kontaktowe oraz, gdy ma to zastosowanie, tożsamość i dane kontaktowe swojego przedstawiciela;
b) gdy ma to zastosowanie – dane kontaktowe inspektora ochrony danych;
c) cele przetwarzania danych osobowych, oraz podstawę prawną przetwarzania;
d) jeżeli przetwarzanie odbywa się na podstawie art. 6 ust. 1 lit. f) – prawnie uzasadnione interesy realizowane przez administratora lub przez stronę trzecią; (…)
We wniesionej skardze kasacyjnej wspólnota mieszkaniowa podkreśliła, że kradzież sprzętu do monitoringu dowodzi, że dane osobowe skarżącego nie były już przetwarzane, a więc obligowała PUODO do umorzenia postępowania prowadzonego ze skargi.
Odnosząc się do tych zarzutów Naczelny Sąd Administracyjny zwrócił uwagę, że w toku postępowania PUODO ujawnił określone nieprawidłowości, m.in. wspólnota nie wykonała prawidłowo obowiązku informacyjnego we właściwym czasie, a także nie zabezpieczyła monitoringu w prawidłowy sposób (skarżący pokazał zdjęcia, z których wynikało, że pomieszczenia ze sprzętem nie były zamykane, a więc nagrania nie zostały prawidłowo zabezpieczone).Tymczasem kradzież sprzętu do monitoringu nie usprawiedliwia zaniechania oceny przetwarzania danych osobowych — choćby dlatego, że fakt kradzieży usprawiedliwia założenie, że administrator nie zabezpieczył danych w sposób adekwatny do zagrożeń. Istnieją także wątpliwości co do prawidłowości wdrożenia środków niezbędnych dla zabezpieczenia danych — sumarycznie są to okoliczności, które należy najsamprzód dokładnie wyjaśnić, a dopiero po tym umorzyć postępowanie, lub wydać decyzję merytoryczną (por. „Zaprzestanie bezprawnego przetwarzania danych osobowych nie oznacza konieczności umorzenia postępowania przez PUODO”).
Na marginesie — „obiter dicta”, że pozwolę sobie zacytować uzasadnienia — NSA zwrócił uwagę, że wspólnota monitoring znów zainstalowała, i to trzy tygodnie po kradzieży, a całą instalację podłączyła do internetu, więc tym bardziej nie ma co chować głowy w piasek, trzeba wyjaśniać sprawę do końca.