ZWAD.405.1981.2018

Na podstawie art. 105 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2018 r. poz. 2096), w związku z art. 58 ust. 2 lit. e rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz.Urz. UE L 119 z 04.05.2016, str. 1, późn. zm.) po przeprowadzeniu postępowania administracyjnego w sprawie niezawiadomienia przez Zespół Szkół w W., osób, których dotyczyło naruszenie ochrony danych osobowych, zgodnie z art. 34 ust. 2 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz.Urz. UE L 119 z 04.05.2016, str. 1, późn. zm.), Prezes Urzędu Ochrony Danych Osobowych

umarza w całości postępowanie w niniejszej sprawie.

UZASADNIENIE

Do Urzędu Ochrony Danych Osobowych, w dniu […] grudnia 2018 r. wpłynęło zgłoszenie naruszenia ochrony danych osobowych przesłane przez Zespół Szkół w W., zwany dalej jako „Zespół Szkół”, na podstawie art. 33 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz.Urz. UE L 119 z 04.05.2016, str. 1, późn. zm.) zwanego dalej jako „rozporządzenie 2016/679”.

Zgodnie ze zgłoszeniem, przesłanym przez dyrektora Zespołu Szkół, naruszenie ochrony danych osobowych polegało na zagubieniu nośnika danych, pendrive’a, zawierającego następujące dane osobowe pracowników Zespołu Szkół: imię i nazwisko, imiona rodziców, data urodzenia, adres zamieszkania lub pobytu, numer PESEL, nazwisko rodowe matki, seria i numer dowodu osobistego.

Ze zgłoszenia wynikało, iż administrator zawiadomił osoby, których dane dotyczą o naruszeniu ochrony danych osobowych. Ponieważ jednak zgłoszenie nie spełniało wymogów zawartych w art. 34 ust. 2 w zw. z art. 33 ust. 3 rozporządzenia 2016/679 Prezes Urzędu Ochrony Danych Osobowych wystosował wystąpienie do Zespołu Szkół, wzywające do ponownego, prawidłowego powiadomienia osób, których dane dotyczą.

W odpowiedzi na wystąpienie, Zespół Szkół, w dniu […] stycznia 2019 r., przesłał ponownie treść zawiadomienia, lecz nie różniła się ona od tej przesłanej w dniu […] grudnia 2018 r., a w następstwie, nie spełniała wymogów zawartych w art. 34 ust. 2 rozporządzenia 2016/679.

Wobec powyższego, w dniu […] lutego 2019 r. na podstawie art. 61 § 1 i 4 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2018 r. poz. 2096) zwanej dalej „Kpa” w związku z art. 58 ust. 2 lit. e rozporządzenia 2016/679 wszczęte zostało postępowanie administracyjne w sprawie niezawiadomienia przez Zespół Szkół w W., osób, których dotyczyło naruszenie ochrony danych osobowych, zgodnie z art. 34 ust. 2 rozporządzenia 2016/679.

Pismem z dnia […] marca 2019 r. Zespół Szkół oświadczył, iż wobec odnalezienia nośnika danych w dniu […] grudnia 2018 r. w siedzibie administratora, tj. gabinecie dyrektora Zespołu Szkół, naruszenie nie mogło doprowadzić do nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych osobowych.

W tym stanie faktycznym Prezes Urzędu Ochrony Danych Osobowych zważył, co następuje.

Stosownie do przepisu art. 105 § 1 Kpa, gdy postępowanie z jakiejkolwiek przyczyny stało się bezprzedmiotowe, organ administracji publicznej wydaje decyzję o umorzeniu postępowania. Z powołanego przepisu wynika zatem, że postępowanie administracyjne nie może toczyć się w sytuacji, gdy w jego toku przestał istnieć jego przedmiot, bądź też przedmiot ten nie istniał już przed wszczęciem tego postępowania.

Mając na uwadze fakt, iż przedmiotowy nośnik danych został odnaleziony w siedzibie administratora i nie doszło do nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych osobowych, stwierdzić należy, iż postępowanie w niniejszej sprawie stało się bezprzedmiotowe. W konsekwencji konieczne jest, na podstawie art. 105 § 1 Kpa, wydanie decyzji o jego umorzeniu w całości.

Wobec powyższego Prezes Urzędu Ochrony Danych Osobowych rozstrzygnął jak w sentencji.

Decyzja jest ostateczna. Od decyzji stronie przysługuje prawo wniesienia skargi do Wojewódzkiego Sądu Administracyjnego w Warszawie, w terminie 30 dni od dnia jej doręczenia, za pośrednictwem Prezesa Urzędu Ochrony Danych Osobowych (adres: Urząd Ochrony Danych Osobowych, ul. Stawki 2, 00 - 193 Warszawa). Od skargi należy wnieść wpis stosunkowy, zgodnie z art. 231 w związku z art. 233 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2018 1302, t. j. z dnia 2018.07.05). Strona ma prawo ubiegać się o prawo pomocy, które obejmuje zwolnienie od kosztów sądowych oraz ustanowienie adwokata, radcy prawnego, doradcy podatkowego lub rzecznika patentowego. Prawo pomocy może być przyznane na wniosek Strony złożony przed wszczęciem postępowania lub w toku postępowania. Wniosek jest wolny od opłat sądowych.