Centralna Baza Orzeczeń Sądów Administracyjnych

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Ewa Marcinkowska, Sędzia WSA Ewa Kwiecińska (spr.), Sędzia WSA Danuta Kania, , Protokolant starszy specjalista Bogumiła Kobierska, po rozpoznaniu na rozprawie w dniu 6 maja 2022 r. sprawy ze skargi E. M. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] maja 2021 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę.

Prezes Urzędu Ochrony Danych Osobowych wydał w dniu [...] maja 2021 r. decyzję nr [...], którą po przeprowadzeniu postępowania administracyjnego w sprawie skargi E. M. na przetwarzanie jej danych osobowych przez [...] S.A. w [...] z siedzibą w [...] z udziałem Prezydenta Miasta [...] z siedzibą w [...] odmówił uwzględnienia wniosku.

W uzasadnieniu przedmiotowej decyzji organ nadmienił, iż w dniu [...] grudnia 2018 r. do Prezesa Urzędu Ochrony Danych Osobowych wpłynęła skarga E. M. na przetwarzanie jej danych osobowych przez Miejskie Przedsiębiorstwo Komunikacyjne S.A. w [...] z siedzibą w [...] z udziałem Prezydenta Miasta [...].

Skarżąca zarzuciła Spółce nieprawidłowości w procesie przetwarzania danych osobowych polegające na przetwarzaniu jej imienia i nazwiska na Karcie [...] od dnia [...] sierpnia 2018 r. Domagała się od Prezesa Urzędu nakazania Spółce wydania nowej Karty [...] z datą jej ważności od [...] sierpnia 2018 r., tj. bez imienia i nazwiska, zastępując je wytworzonym kodem dla potrzeb regulaminowych zniżek dla transportu publicznego. Skarżąca wniosła o nakazanie Spółce dostosowania operacji do przepisów RODO, zakazania przetwarzania jej danych osobowych w przyszłości na kartach MPK służących celom korzystania z transportu publicznego oraz usunięcia jej danych osobowych przez Spółkę i usunięcia jej danych "w czynnościach UODO, tj. w protokołach, sprawozdaniach i innych w kontroli."

W uzasadnieniu decyzji z dnia [...] maja 2021 r. Prezes Urzędu ustalił, iż skarżąca w dniu [...] lipca 2018 r. złożyła wniosek o przystąpienie do programu Karta [...]. Nie wyraziła jednak zgody na przetwarzanie jej danych osobowych przez Zarząd Transportu Publicznego, dalej ZTM. Została objęta programem Karty [...] i otrzymała nośnik – plastikową "Kartę [...]", lecz bez możliwości zakupu za jej pośrednictwem imiennych biletów okresowych.

W ramach programu Karta [...] przetwarzane są następujące dane osobowe strony: imię, nazwisko, numer PESEL, data urodzenia, adres do korespondencji, adres poczty elektronicznej i numer telefonu oraz wizerunek (zdjęcie). Administratorem danych osobowych jest Prezydent Miasta [...]. Są one przetwarzane w celu realizacji programu Karta [...], a Spółka przetwarza je na podstawie umowy powierzenia danych osobowych do przetwarzania z dnia [...] marca 2018 r. zawartej pomiędzy administratorem danych i Spółką. Realizacja programu Karta [...] odbywa się na podstawie uchwały Nr [...] Rady Miasta [...] z dnia [...] lutego 2018 r. w sprawie wprowadzenia i realizacji programu pn. Karta [...] (Dz. Urz. Woj. [...] z 2018 r. poz. 1102 ze zm.). Zgodnie z § 6 ust. 2 tej uchwały, karta wydawana jest imiennie, zawiera fotografię i jest dokumentem identyfikującym osobę uprawnioną do korzystania z przywilejów przewidzianych w programie.

Skarżąca otrzymała plastikową Kartę [...], jednak bez możliwości zakupu za jej pośrednictwem imiennych biletów okresowych. Spółka wyjaśniła, że ze względu na to, iż administratorem danych osobowych dotyczących imiennych biletów okresowych jest ZTM, aby strona mogła korzystać z możliwości nabywania biletu mieszkańca na Karcie [...], zachodzi konieczność wyrażenia przez nią zgody na udostępnienie ZTP jej danych osobowych, czego strona nie zrobiła.

W dniu [...] sierpnia 2018 r. strona złożyła do Spółki wniosek o usunięcie jej danych osobowych z systemu Karta [...], zastąpienie jej danych osobowych kodem/pinem i wydanie nowej karty dla takich danych. Domagała się od Spółki zwrotu różnicy pomiędzy ceną biletu normalnego, a ceną biletu mieszkańca za okres 2 miesięcy.

W odpowiedzi na ww. żądanie Spółka w formie pisemnej wyjaśniła, że Skarżąca składając wniosek o przystąpienie do programu Karta [...], nie wyraziła zgody na przetwarzanie jej danych osobowych przez ZTP, zatem nie mogła przy pomocy tego nośnika nabyć żadnego biletu, gdyż wiązałoby się to z koniecznością przekazania jej danych osobowych bez jej zgody. Spółka wyjaśniła również stronie, że Regulamin Karty [...] nie przewiduje zastąpienia danych osobowych pinem/kodem, a uzyskanie uprawnień Karty [...] jest możliwe po złożeniu kolejnego wniosku i wyrażeniu zgody na przetwarzanie jej danych osobowych przez ZTP.

Spółka wyjaśniła, że strona zwróciła się do Spółki z wnioskiem o usunięcie jej danych osobowych z systemu Karta [...], przy czym z treści pisma wynikało, że jej życzeniem było usunięcie danych osobowych przy zachowaniu przywilejów wynikających z Karty [...]. Spółka w piśmie z dnia [...] listopada 2018 r. jednoznacznie poinformowała stronę, że usunięcie danych osobowych skutkować będzie utratą ulg i zniżek wynikających z Karty [...]. Skarżąca nie odpowiedziała na pismo Spółki, w konsekwencji czego Spółka nie usunęła danych z systemu Karty [...] i przetwarza je jako dane osoby uczestniczącej w tym programie.

Po zapoznaniu się z całością zgromadzonego w sprawie materiału dowodowego, Prezes Urzędu Ochrony Danych Osobowych stwierdził, że program pn. "Karta [...]" został wprowadzony na podstawie uchwały Nr [...] Rady Miasta [...] z dnia [...] lutego 2018 r. w sprawie wprowadzenia i realizacji programu pn. Karta [...] (Dz. Urz. Woj. [...] z 2018 r. poz. 1102 ze zm.), dalej zwanej "Uchwałą Nr [...]", stanowiącej akt prawa miejscowego. Z art. 4 ust. 1 oraz art. 13 pkt 2 ustawy z dnia 20 lipca 2000 r. o ogłaszaniu aktów normatywnych i niektórych aktów prawnych (t. j. Dz.U. z 2019 r. poz. 1461 ze zm.) wynika, iż akty normatywne zawierające przepisy powszechnie obowiązujące ogłaszane w dziennikach urzędowych wchodzą w życie po upływie 14 dni od terminu ich ogłoszenia (jeżeli dany akt normatywny nie określa innego dłuższego terminu), zaś akty prawa miejscowego stanowione przez organy gminy ogłaszane są w wojewódzkim dzienniku urzędowym. Uchwała nr [...], zgodnie z art. 87 Konstytucji RP, stanowi źródło powszechnie obowiązującego prawa Rzeczypospolitej Polskiej na obszarze działania Gminy Miejskiej [...]. Zgodnie z Uchwałą Nr [...] w ramach realizacji Karty [...] stworzono system zniżek, ulg, preferencji i uprawnień, które realizowane są przez Gminę Miejską [...] i jej partnerów, którzy przystąpią do realizacji Karty [...] na podstawie zawieranych porozumień. Karta [...] realizowana jest w szczególności w obszarze komunikacji miejskiej, kultury, sportu i rekreacji, zdrowia i usług, a do korzystania z niej uprawnione są osoby zameldowane na pobyt stały na terenie Gminy Miejskiej [...] lub rozliczające podatek dochodowy od osób fizycznych w urzędzie skarbowym właściwym dla osoby zamieszkałej na terenie Gminy Miejskiej [...] ze wskazaniem Gminy Miejskiej [...] jako miejsca swego zamieszkania, bez względu na to czy osoby te osiągają dochód. Zgodnie z § 6 ust. 1-3 Uchwały Nr [...] potwierdzeniem przysługujących w ramach Karty [...] zniżek, ulg, preferencji i uprawnień jest imienna, zawierająca fotografię karta pn. Karta [...], zwana "Kartą", wydawana w formie dokumentu z tworzywa sztucznego lub w formie elektronicznej, identyfikująca osobę uprawnioną. Wykonanie Uchwały Nr [...] powierzono Prezydentowi Miasta [...], upoważniając go zwłaszcza do ustalenia procedury wydawania, przedłużania ważności i unieważniania Karty, w tym wykazu składanych lub okazywanych przez wnioskodawców dokumentów i sposobu przyjmowania wniosków, jak również wzoru Karty.

Procedura wydawania, przedłużania ważności i unieważniania Karty stanowi załącznik nr [...] do zarządzenia Nr [...] Prezydenta Miasta [...] z dnia [...] października 2018 r. w sprawie realizacji programu pn. Karta [...]. Zgodnie z § 2 ust. 12 tej procedury w przypadku chęci nabywania biletów okresowych Komunikacji Miejskiej w [...], w tym zniżkowego "biletu mieszkańca" z wykorzystaniem Karty, niezbędne jest wyrażenie zgody na udostępnienie stosownych danych osobowych Zarządowi Dróg Miasta [...], a od dnia [...] stycznia 2019 r. Zarządowi Transportu Publicznego w [...]. Szczegółowe informacje oraz oświadczenie w tym zakresie zamieszczone są we wniosku o wydanie Karty.

Administrator może przetwarzać dane osobowe nienależące do szczególnych kategorii danych, jeśli posiada ku temu przynajmniej jedną z podstaw przewidzianych w art. 6 ust. 1 RODO. Zgodnie z art. 6 ust. 1 lit. e) RODO, przetwarzanie danych osobowych jest zgodne z prawem, jeśli jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi. Uchwałą Nr [...], a więc aktem prawa miejscowego, wprowadzony został program pn. "Karta [...]", a jego realizację powierzono Prezydentowi Miasta [...]. Program jest elementem polityki promocyjnej i społecznej miasta, a udział w nim jest uprawnieniem mieszkańców, dających im przewidziane w programie przywileje związane z uczestnictwem w lokalnym życiu publicznym.

Z dowodów zebranych w toku niniejszego postępowania jednoznacznie wynika, że dane osobowe Skarżącej są przetwarzane przez Spółkę w związku z realizacją Karty [...], przy czym strona żąda usunięcia jej danych osobowych z Karty [...], oczekując zachowania ulg i przywilejów z niej wynikających. Tymczasem z załącznika do zarządzenia Nr [...] Prezydenta Miasta [...] z dnia [...] października 2018 r. w sprawie realizacji programu pn. Karta [...] wynika, że każda osoba składająca wniosek o wydanie Karty [...] jest informowana, że niepodanie danych osobowych będzie skutkowało niemożliwością korzystania ze zniżek, ulg, preferencji i uprawnień wprowadzonych w związku z realizacją programu pn. Karta [...].

Dane osobowe strony są przetwarzane w celu wypełnienia zobowiązań umownych wynikających z przejazdu Komunikacją Miejską w [...] oraz podjęcia działań na żądanie pasażera przed zawarciem takiej umowy, w tym związanych z zakupem biletu okresowego - art. 6 ust. 1 lit. b) RODO. Jednak wobec niewyrażenia przez Skarżącą zgody na udostępnienie jej danych osobowych ZTP, strona nie może korzystać z przywilejów zniżkowego "biletu mieszkańca" z wykorzystaniem Karty [...], co strona zaakceptowała, składając wniosek o wydanie Karty [...].

Prezes Urzędu nie dysponuje żadnymi dowodami na potwierdzenie nieuprawnionego przetwarzania danych osobowych strony. Z zebranych dowodów jednoznacznie wynika, że strona nie może korzystać z przywilejów zniżkowego "biletu mieszkańca" z wykorzystaniem Karty [...], bowiem Spółka nie udostępniła ZTP danych osobowych wobec braku stosownej zgody strony.

Skoro akt prawa miejscowego, tj. Uchwala Nr [...] określa, iż potwierdzeniem przysługujących w ramach Karty [...] zniżek, ulg, preferencji i uprawnień jest imienna, zawierająca fotografię karta pn. Karta [...], to Spółka zasadnie odmawia zastąpienia danych osobowych stronie kodem/pinem i wydania jej nowej Karty nie zawierających jej danych osobowych.

Analiza zgromadzonego materiału dowodowego nie potwierdziła zarzutu strony, jak wyjaśnił Prezes UODO. W toku postępowania administracyjnego nie potwierdzono zarzutu nieuprawnionego przetwarzania danych osobowych. Tym samym brak jest dowodów umożliwiających stwierdzenie naruszenia przepisów dotyczących ochrony danych osobowych, strona nie przedstawiła takich dowodów w toku niniejszego postępowania.

Podsumowując, organ wyjaśnił, że nie jest możliwe usunięcie danych osobowych strony znajdujących się "w czynnościach UODO, tj. w protokołach, sprawozdaniach i innych w kontroli". Dane osobowe strony są przetwarzane w celu załatwienia niniejszej sprawy, na podstawie art. 6 ust. 1 lit c i art. 9 ust. 2 lit. g RODO, ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz.U. 2019 r. poz. 1781) oraz k.p.a. Dane osobowe będą przechowywane w celu wypełnienia obowiązku archiwizacji dokumentów wynikającego z ustawy z dnia 14 lipca 1983 r. o narodowym zasobie archiwalnym i archiwach (Dz.U. 2020 r. poz. 164), tj. będą przechowywane przez okres 5 lat od końca roku, w którym zakończono czynności w sprawie, lub dłużej, w tym wieczyście, w przypadku skierowania zawiadomienia o popełnieniu przestępstwa, wystąpienia lub wydania decyzji administracyjnej, o czym strona została powiadomiona przez Prezesa Urzędu pismem z dnia [...] stycznia 2019 r. [...].

E. M. wniosła do Wojewódzkiego Sądu Administracyjnego w Warszawie skargę na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] maja 2021 r. nr [...], żądając jej uchylenia w całości. Skarżąca domagała się nakazania przez Sąd ujawnienia dowodu źródłowego na mocy, którego wydano Kartę [...] z naruszeniem wizerunku i danych osobowych.

Strona wniosła o wytłumaczenie dlaczego jej dane osobowe i wizerunek zostały umieszczone na Karcie – pomimo braku udzielenia zgody. Stwierdziła, iż Sąd powinien orzec o nieważności Karty poprzez ocenę, czy zaskarżona decyzja dotknięta jest jedną z wad kwalifikowanych. Wniosła o zasądzenie na jej rzecz sumy 2000 zł za zaniechanie organu oraz wymuszanie.

Na podstawie art. 102 ustawy RODO skarżąca wniosła o nałożenie na PMK grzywny w wysokości 100.000 zł. Stwierdziła, że organ nie ujawnił dokumentu, na podstawie którego wymuszano zgodę [...]. W tak skonstruowanym dokumencie żaden [...] nie miał możliwości odmowy wyrażenia zgody na udostępnienie swoich danych, jeżeli chciał korzystać z profitów. Wnioskodawca zmuszony został do składania podpisów pod całością wniosku, przez co jego zgoda nie była swobodna.

Skarżąca podniosła, iż w niniejszej sprawie dochodzi do wymuszenia zgody, gdyż instytucja publiczna realizująca profity uzależnia ich realizację od zgody strony, pomimo że z przepisów wynika uprawnienie lub obowiązek przetwarzania danych dla tych celów.

Skarżąca nadmieniła, iż w myśl art. 7 ust. 3 RODO zgoda jest odwoływalna i uprawnienie to przysługuje osobie, której dane dotyczą, w każdym czasie. Sąd ma zatem obowiązek orzec czy wymuszenie to jest przestępstwem. Wszelkie modele wykorzystujące bierność, milczenie osoby, której dane dotyczą, lub jej nieuwagę, a także ustawienia domyślne, domyślnie zaznaczone okienka zgód, itp. są niedopuszczalne.

Podsumowując, stwierdziła, że Karta [...] nie realizuje żadnego zadania publicznego, wymuszała jedynie udostępnienie danych osobowych w zamian za profity.

W odpowiedzi na skargę organ wniósł o jej oddalenie oraz podtrzymał twierdzenia zawarte w uzasadnieniu przedmiotowej decyzji.

Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje.

Zgodnie z art. 1 § 1 i 2 ustawy z dnia 25 lipca 2002 r. – Prawo o ustroju sądów administracyjnych (t.j. Dz. U. z 2021 r., poz. 137), sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej, przy czym kontrola ta sprawowana jest pod względem zgodności z prawem, jeżeli ustawy nie stanowią inaczej.

W świetle powołanych powyżej przepisów Wojewódzki Sąd Administracyjny w Warszawie, w zakresie swojej właściwości, ocenia zaskarżoną decyzję administracyjną, postanowienie, czy też inny akt lub czynność z zakresu administracji publicznej dotyczącą uprawnień lub obowiązków wynikających z przepisów prawa, z punktu widzenia ich zgodności z prawem materialnym i przepisami postępowania administracyjnego, według stanu faktycznego i prawnego obowiązującego w dacie wydania tego aktu lub podjęcia spornej czynności. Chodzi więc o kontrolę aktów lub czynności z zakresu administracji publicznej dokonywaną pod względem ich zgodności z prawem materialnym i przepisami procesowymi, nie zaś według kryteriów słuszności.

Ponadto, co wymaga podkreślenia, Sąd rozstrzyga w granicach danej sprawy, nie będąc jednak związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną (vide art. 134 § 1 ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi – Dz. U. z 2022 r. poz. 329 – dalej P.p.s.a.).

Należy jednocześnie wyraźnie zaznaczyć, że od dnia wejścia w życie Traktatu Akcesyjnego z dnia 16 kwietnia 2003 r. (Dz. U. z 2004 r. Nr 90, poz. 864), na mocy którego Polska stała się państwem członkowskim Unii Europejskiej, kontrola sądu administracyjnego obejmuje również zgodność rozstrzygnięć krajowych organów administracji publicznej z prawem europejskim (prawem Unii Europejskiej), rozumianym, jako całokształt dorobku prawnego Unii Europejskiej (acquis communautaire), w tym zasad ogólnych prawa europejskiego, interpretowanych oraz stosowanych w sposób jednolity na całym obszarze Unii Europejskiej.

Wyjaśnienia wymaga, że w dniu 25 maja 2018 r. weszła w życie ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r., poz. 1781 ze zm.), ponadto, od dnia 25 maja 2018 r. bezpośrednie zastosowanie w polskim porządku prawnym mają przepisy rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (dalej "RODO"). Stosownie bowiem do przepisu art. 99 ust. 1 RODO, wchodzi ono w życie dwudziestego dnia po publikacji w Dzienniku Urzędowym Unii Europejskiej, która nastąpiła w dniu 4 maja 2016 r. (Dz.U.UE.L2016.119.1), natomiast zastosowanie w państwach członkowskich wspomniane rozporządzenie ma od dnia 25 maja 2018 r. (art. 99 ust. 2 RODO).

Zgodnie z art. 51 ust. 1 RODO, każde państwo członkowskie zapewnia, by za monitorowanie stosowania RODO odpowiadał co najmniej jeden niezależny organ publiczny w celu ochrony podstawowych praw i wolności osób fizycznych w związku z przetwarzaniem oraz ułatwiania swobodnego przepływu danych osobowych w Unii. W związku z powyższym, na podstawie art. 34 ust. 1 ustawy o ochronie danych osobowych (2018 r.) organem właściwym w sprawie ochrony danych osobowych jest w Polsce obecnie Prezes Urzędu Ochrony Danych Osobowych.

Przechodząc na grunt rozpoznawanej sprawy, zasadnym jest przytoczenie treści niektórych przepisów z RODO, które miały w sprawie zastosowanie.

Zgodnie z art. 6 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z 04.05.2016, str. 1 oraz Dz. Urz. UE L 127 z 23.05.2018 str. 2 ze zm.), przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy – i w takim zakresie, w jakim – spełniony jest co najmniej jeden z poniższych warunków:

a) osoba, której dane dotyczą, wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów;

b) przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy;

c) przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze;

d) przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej;

e) przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi;

f) przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem.

Akapit pierwszy lit. f) nie ma zastosowania do przetwarzania, którego dokonują organy publiczne w ramach realizacji swoich zadań.

Natomiast art. 57 ust. 1 lit. f) rozporządzenia stanowi, że bez uszczerbku dla innych zadań określonych na mocy niniejszego rozporządzenia każdy organ nadzorczy na swoim terytorium rozpatruje skargi wniesione przez osobę, której dane dotyczą, lub przez podmiot, organizację lub zrzeszenie zgodnie z art. 80, w odpowiednim zakresie prowadzi postępowania w przedmiocie tych skarg i w rozsądnym terminie informuje skarżącego o postępach i wynikach tych postępowań, w szczególności jeżeli niezbędne jest dalsze prowadzenie postępowań lub koordynacja działań z innym organem nadzorczym.

Zgodnie za art. 4 pkt 1-3 RODO, "dane osobowe" oznaczają informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej ("osobie, której dane dotyczą"). Możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora takiego jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej. "Przetwarzanie" oznacza operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, taką jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie. "Ograniczenie przetwarzania" oznacza oznaczenie przechowywanych danych osobowych w celu ograniczenia ich przyszłego przetwarzania.

Jest rzeczą niesporną, iż skarżąca w dniu [...] lipca 2018 r. złożyła wniosek o przystąpienie do programu Karta [...], została objęta tym programem i otrzymała nośnik w postaci plastikowej "Karty [...]". Jednakże z uwagi na to, iż przystępując do ww. programu, skarżąca nie wyraziła zgody na przetwarzanie jej danych osobowych przez Zarząd Transportu Publicznego w [...], nie ma ona możliwości zakupu za pośrednictwem "Karty [...]" imiennych biletów okresowych.

Brak możliwości zakupu imiennych biletów okresowych wynika z tego, iż administratorem danych osobowych imiennych biletów okresowych był Zarząd Transportu Miejskiego w [...], obecnie Zarząd Transportu Publicznego w [...], a skarżąca nie wyraziła – jak to powyżej wyjaśniono – zgody na udostępnienie przez MPK S.A. z siedzibą w [...] jej danych osobowych temu Zarządowi.

Żądanie skarżącej zawarte w jej wniosku z dnia [...] sierpnia 2018 r. sprowadza się do usunięcia jej danych osobowych z systemu Karta [...], zastąpienia jej danych osobowych kodem/pinem i wydania nowej karty dla takich danych, a nadto wyrównania różnicy pomiędzy ceną biletu normalnego, a ceną biletu mieszkańca za okres 2 miesięcy. Naruszenie przepisów o ochronie danych osobowych polega – zdaniem skarżącej – na niezrealizowaniu powyższego żądania.

Wyjaśnić należy, iż jak trafnie zauważa Prezes UODO, Program pn. "Karta [...]" został wprowadzony na podstawie uchwały Nr [...] Rady Miasta [...] z dnia [...] lutego 2018 r. w sprawie wprowadzenia i realizacji programu pn. Karta [...] (Dz. Urz. Woj. [...] z 2018 r. poz. 1102 ze zm.), dalej zwanej "Uchwałą Nr [...]", stanowiącej akt prawa miejscowego. Z art. 4 ust. 1 oraz art. 13 pkt 2 ustawy z dnia 20 lipca 2000 r. o ogłaszaniu aktów normatywnych i niektórych aktów prawnych (tekst jednolity: Dz.U.2019.1461 z późn. zm.) wynika, iż akty normatywne zawierające przepisy powszechnie obowiązujące ogłaszane w dziennikach urzędowych wchodzą w życie po upływie 14 dni od terminu ich ogłoszenia (jeżeli dany akt normatywny nie określa innego dłuższego terminu), zaś akty prawa miejscowego stanowione przez organy gminy ogłaszane są w wojewódzkim dzienniku urzędowym. Nie ulega zatem wątpliwości, że Uchwała Nr [...], zgodnie z art. 87 Konstytucji RP, stanowi źródło powszechnie obowiązującego prawa Rzeczypospolitej Polskiej na obszarze działania Gminy Miejskiej [...], jak trafnie podkreślił organ.

Prezes UODO trafnie też przyjął, że zgodnie z Uchwałą Nr [...] w ramach realizacji Karty [...] stworzono system zniżek, ulg, preferencji i uprawnień, które realizowane są przez Gminę Miejską [...] i jej partnerów, którzy przystąpią do realizacji Karty [...] na podstawie zawieranych porozumień. Karta [...] realizowana jest w szczególności w obszarze komunikacji miejskiej, kultury, sportu i rekreacji, zdrowia i usług, a do korzystania z niej uprawnione są osoby zameldowane na pobyt stały na terenie Gminy Miejskiej [...] lub rozliczające podatek dochodowy od osób fizycznych w urzędzie skarbowym właściwym dla osoby zamieszkałej na terenie Gminy Miejskiej [...] ze wskazaniem Gminy Miejskiej [...] jako miejsca swego zamieszkania, bez względu na to czy osoby te osiągają dochód. Zgodnie z § 6 ust. 1-3 Uchwały Nr [...] potwierdzeniem przysługujących w ramach Karty [...] zniżek, ulg, preferencji i uprawnień jest imienna, zawierająca fotografię karta pn. Karta [...], zwana "Kartą", wydawana w formie dokumentu z tworzywa sztucznego lub w formie elektronicznej, identyfikująca osobę uprawnioną.

Wykonanie Uchwały Nr [...] powierzono Prezydentowi Miasta [...], upoważniając go zwłaszcza do ustalenia procedury wydawania, przedłużania ważności i unieważniania Karty, w tym wykazu składanych lub okazywanych przez wnioskodawców dokumentów i sposobu przyjmowania wniosków, jak również wzoru Karty.

Procedura wydawania, przedłużania ważności i unieważniania Karty stanowi załącznik nr [...] do zarządzenia Nr [...] Prezydenta Miasta [...] z dnia [...] października 2018 r. w sprawie realizacji programu pn. Karta [...]. Zgodnie z § 2 ust. 12 tej procedury w przypadku chęci nabywania biletów okresowych Komunikacji Miejskiej w [...], w tym zniżkowego "biletu mieszkańca" z wykorzystaniem Karty, niezbędne jest wyrażenie zgody na udostępnienie stosownych danych osobowych Zarządowi Dróg Miasta [...], a od dnia [...] stycznia 2019 r. Zarządowi Transportu Publicznego w [...]. Szczegółowe informacje oraz oświadczenie w tym zakresie zamieszczone są we wniosku o wydanie Karty.

Jak zatem wynika z powyższego, przetwarzanie danych osobowych skarżącej przez MPK S.A. z siedzibą w [...], znajduje podstawę prawną w przepisie art. 6 ust. 1 lit. e) RODO. Jest ono bowiem niezbędne do wykonania zadania realizowanego w interesie publicznym wynikającego z realizacji programu "Karty [...]" wprowadzonego aktem prawa miejscowego w postaci ww. uchwały nr [...] Rady Miasta [...] z dnia [...] lutego 2018 r. Usunięcie danych osobowych skarżącej z Karty [...] z jednoczesnym zachowaniem ulg i przywilejów z niej wynikających jest –na gruncie obowiązujących regulacji prawnych – niedopuszczalne. Jak już powyżej wyjaśniono stoi temu na przeszkodzie przepis § 6 ust. 1-3 ww. uchwały, z którego wynika, iż Karta [...] wydana jest w formie dokumentu z tworzywa sztucznego lub w formie elektronicznej, jest imienna i zawiera fotografię.

Ponadto z § 2 ust. 12 zarządzenia [...]Prezydenta Miasta [...] z dnia [...] października 2018 r. wynika, iż do nabycia zniżkowego "biletu mieszkańca" z wykorzystaniem Karty [...] konieczne jest wyrażenie zgody na udostępnienie stosowanych danych osobowych Zarządowi Dróg Miasta [...], a od [...] stycznia 2019 r. Zarządowi Transportu Publicznego w [...], na co skarżąca we wniosku z dnia [...] ipca 2018 r. nie wyraziła zgody.

W tym stanie rzeczy uznać należało, iż zgromadzony w toku postępowania administracyjnego materiał dowodowy nie potwierdził zarzutu nieuprawnionego przetwarzania danych osobowych skarżącej. Brak jest zatem podstaw do uwzględnienia skargi i żądań w niej zawartych.

Mając na względzie powyższe, Wojewódzki Sąd Administracyjny w Warszawie na podstawie art. 151 P.p.s.a. orzekł jak w sentencji.