II SA/Wa 1210/24

II SA/Wa 1210/24 - Wyrok WSA w Warszawie
Data orzeczenia
2025-04-01
orzeczenie prawomocne
Data wpływu
2024-07-25
Sąd
Wojewódzki Sąd Administracyjny w Warszawie
Sędziowie
Arkadiusz Koziarski.
Danuta Kania /przewodniczący/
Izabela Głowacka-Klimas /sprawozdawca/
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne
Inne
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Oddalono skargę
Powołane przepisy
Dz.U. 2024 poz 935
art. 151
Ustawa z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (t. j.)
Sentencja
Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Danuta Kania, Sędzia WSA Izabela Głowacka-Klimas (spr.), Asesor WSA Arkadiusz Koziarski, , Protokolant specjalista Monika Gieroń po rozpoznaniu na rozprawie w dniu 1 kwietnia 2025 r. sprawy ze skargi S. A. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] maja 2024 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę
Uzasadnienie
Prezes Urzędu Ochrony Danych Osobowych (dalej: Prezes UODO, organ) decyzją z [...] maja 2024 r. nr [...], na podstawie art. 104 § 1 oraz art. 105 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz.U. z 2024 r. poz. 572; dalej "Kpa.") w zw. z art. 7 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz.U. z 2019 r. poz. 1781; dalej "uodo."), art. 15 ust. 1 lit. b i d w zw. z art. 12 ust. 3 i 4, art. 58 ust. 2 lit. b rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 74
z 4.03.2021, str. 35, dalej "RODO"), po przeprowadzeniu postępowania w sprawie skargi Pana S. A. (dalej skarżący), zamieszkałego w [...] przy
ul. [...], na nieprawidłowości w procesie przetwarzania danych osobowych przez [...] sp. z o.o. z siedzibą w [...] (dalej spółka), polegające na niewypełnieniu wobec skarżącego obowiązku informacyjnego wynikającego
z art. 15 ust. 1 lit. a-d RODO:
1) udzielił spółce upomnienia za naruszenie art. 15 ust. 1 lit. b i d w zw. z art. 12 ust. 3 i 4 RODO, polegające na niespełnieniu żądania skarżącego w zakresie prawa dostępu do danych, w terminie wynikającym z art. 12 ust. 3 RODO oraz niedopełnieniu obowiązku wynikającego z art. 12 ust 4 RODO, tj. poinformowaniu skarżącego o powodach niepodjęcia działań oraz o możliwości wniesienia skargi
do organu nadzorczego oraz skorzystania ze środków ochrony prawnej przed sądem,
2) w pozostałym zakresie umorzył postępowanie.
Wydaniu powyższej decyzji towarzyszył następujący stan sprawy.
W skardze skierowanej do Urzędu Ochrony Danych Osobowych skarżący zwrócił uwagę na nieprawidłowości w procesie przetwarzania jego danych osobowych przez spółkę, polegające na niewypełnieniu wobec niego obowiązku informacyjnego wynikającego z art. 15 ust. 1 lit. a-d RODO. Wskazał, że "Firma [...] Sp. z o.o. zebrała dotyczące mnie dane osobowe". (tak: pismo z [...] września 2023 r.)
Skarżący [...] sierpnia 2023 r. wysłał na adres e-mail spółki wiadomość,
w której zawnioskował, powołując się na art. 15 RODO, o następujące informacje,
a mianowicie: cele przetwarzania; kategorie odnośnych danych osobowych; informacje o odbiorcach, którym dane osobowe zostały lub zostaną ujawnione; okres przechowywania danych osobowych i kryteria ustalania tego okresu przetwarzania danych osobowych. [...] sierpnia 2023 r. zadzwonił do spółki i uzyskał od pracownika potwierdzenie, że adres e-mail spółki, tj. [...], jest "(...) właściwym do uzyskania wnioskowanych przez niego informacji".
Jak wynika z wyjaśnień prezesa spółki z [...] marca 2024 r., prowadzi ona działalność detektywistyczną. Wskazano na przepisy ustawy z dnia 6 lipca 2001 r.
o usługach detektywistycznych (Dz.U. z 2020 r. poz. 129 ze zm.; dalej "ustawa
o usługach detektywistycznych"), tj. art. 28c danego aktu.
Spółka – zdaniem jej prezesa – nie otrzymała wiadomości e-mail skarżącego
z [...] sierpnia 2023 r., "(...) być może wpadł [wiadomość e-mail] do Spamu lub
z innego powodu nie dotarł". Prezes stwierdził także, "Nie przypominam sobie również treści rozmowy ani faktu, aby Pan S. A. przedstawiał się
w rozmowie ze mną (natomiast wskazuję, iż prowadzę dziennie około 80-100 rozmów) oraz zadawanych pytań, gdyż wskazałabym, aby wszelkie wnioski zostały przesyłane pisemnie pocztą lub kurierem i również pisemnie na takie wnioski odpowiadam, z zachowaniem obowiązujących przepisów prawa" (tak: wyjaśnienia spółki, które wpłynęły do organu [...] grudnia 2023 r.).
Zdaniem Prezesa spółki nie można wykluczyć, że połączenie od skarżącego
[...] sierpnia 2023 r. miało miejsce. Podał przy tym, że "(...) wskazany numer telefonu jest numerem do działu marketingu Spółki. Osoba odbierająca telefon pod wskazanym numerem nie posiada uprawnień detektywa i nie ma dostępu do danych osobowych osób objętych obserwacją przez detektywów pracujących w Spółce, zatem już tylko z tego względu niemożliwym jest, by udzieliła ona jakichkolwiek informacji w tym zakresie z wyjątkiem przekazania kontaktu bezpośrednio do mnie". Aktualnie spółka nie przetwarza danych osobowych skarżącego. (tak: wyjaśnienia prezesa spółki z [...] marca 2024 r.).
W uzasadnieniu wymienionej na wstępie decyzji Prezes UODO przywołał treść art. 15 ust. 1 RODO. Wyjaśnił, że termin na udzielenie odpowiedzi na żądania osób, których dane dotyczą określono w art. 12 ust. 3 i 4 RODO.
Organ wskazał, że skarżący przedmiotem postępowania uczynił niespełnienie przez spółkę jego żądania w zakresie prawa do informacji złożonego na podstawie art. 15 ust. 1 lit. a-d RODO. W związku z tym, zbadano zebrany materiał dowodowy, kierując się przy tym żądaniem skarżącego.
Jak podano, w niniejszej sprawie bezspornym jest, że skarżący wystosował
do spółki żądanie w zakresie prawa do informacji. Dowodem, potwierdzającym tę okoliczność, jest kopia wiadomości e-mail z [...] sierpnia 2023 r., którą skarżący przedstawił jako załącznik do skargi. Prezes spółki nie zaprzeczył, aby spółka otrzymała ową wiadomość. Jego zdaniem, wiadomość ta mogła trafić do spamu lub
z innego powodu nie dotarła na skrzynkę e-mail spółki. [...] sierpnia 2023 r. skarżący zadzwonił na numer spółki ([...]), gdzie uzyskał potwierdzenie, że adres
e-mail, na który wysłał wiadomość, jest – jak sam wskazał – "właściwym sposobem żądania takich informacji". Powyższy numer, zdaniem prezesa spółki, jest numerem działu marketingu spółki, zaś osoba odbierająca telefon nie posiada uprawnień detektywa i nie ma dostępu do danych osobowych osób objętych obserwacją przez detektywów pracujących w spółce. W związku z tym, według prezesa spółki, niemożliwym jest, aby taka osoba udzieliła informacji w powyższym zakresie.
Organ wskazał, że spółka w żaden sposób nie odpowiedziała na żądanie skarżącego. Brak podejmowanych działań w związku z żądaniem skarżącego spowodowało u niego niepewność co do przetwarzania jego danych, tym samym musiał on szukać pomocy w egzekwowaniu swoich praw składając skargę
do Prezesa UODO.
Prezes UODO zauważył, że spółka objęta jest regulacją art. 28c ustawy
o usługach detektywistycznych, na który zwracał również uwagę prezes spółki
w złożonych wyjaśnieniach. Twierdził bowiem, że do przetwarzania danych osobowych zebranych w toku wykonywania czynności, o których mowa w art. 2
ust. 1, nie stosuje się przepisów art. 13 ust. 1 i 2 oraz art. 15 ust. 1 lit. a, c i g RODO.
Z zebranego w sprawie materiału dowodowego wynika, że spółka prowadzi działalność detektywistyczną i w związku z tym świadczy usługi detektywistyczne,
o których mowa w art. 2 ust. 1 ustawy o usługach detektywistycznych. W związku
z tym zachodzi w niniejszej sprawie wyłączenie stosowania art. 15 ust. 1 lit. a, c i g RODO. Skarżący przedmiotem postępowania uczynił niespełnienie przez spółkę jego żądania w zakresie prawa do informacji złożonego na podstawie art. 15 ust. 1 lit. a-d RODO. W związku z tym, przepis art. 15 ust. 1 lit. a i c RODO nie będzie miał
w niniejszej sprawie zastosowania, zaś prowadzenie postępowania w tym zakresie jest bezprzedmiotowe. Dlatego, jak stwierdził Prezes UODO, postępowanie
w zakresie niespełnienia przez spółkę art. 15 ust. 1 lit. a i c RODO podlega umorzeniu na podstawie art. 105 § 1 Kpa., tj. z powodu jego bezprzedmiotowości.
Zdaniem Prezesa UODO spółka naruszyła jednak art. 15 ust. 1 lit. b i d
w zw. z art. 12 ust. 3 i 4 RODO, nie odpowiadając na żądanie skarżącego w zakresie prawa do informacji w terminie wynikającym z art. 12 ust. 3 oraz niedopełniając obowiązku wynikającego z art. 12 ust. 4 RODO, tj. nie informując skarżącego
o powodach niepodjęcia działań oraz o możliwości wniesienia skargi do organu nadzorczego oraz skorzystania ze środków ochrony prawnej przed sądem. Prezes UODO wskazał przy tym, że spółka powinna dostosować swe funkcjonowanie
w obrocie gospodarczym w taki sposób, by wykonywać ciążące na niej obowiązki
w zakresie realizacji praw wynikających z RODO, a co się z tym wiąże, rozpatrywać żądania osób, których dane dotyczą, gdy wpływają na skrzynkę e-mail spółki. Skierowanie przez skarżącego korespondencji na adres należący do spółki, było działaniem wywołującym skutek prawny, polegający na obowiązku udzielenia odpowiedzi na kwestie podnoszone w żądaniu. Sytuacja, w której skarżący nie może zrealizować swojego prawa, pomimo prawidłowo złożonego żądania, jest wynikiem uchybienia spółki. Skierowanie wynikającego z RODO żądania na każdy należący do spółki adres e-mail jest dla niej wiążące – nawet jeśli wiadomość zostałaby zakwalifikowana przez serwer pocztowy jako "spam".
Zgodnie z art. 58 ust. 2 lit. b RODO, każdemu organowi nadzorczemu przysługuje uprawnienie do udzielania upomnień administratorowi lub podmiotowi przetwarzającemu w przypadku naruszenia przepisów RODO. Wobec tego, że Prezes UODO nie może nakazać spółce spełnienia żądania skarżącego, bowiem żądanie to nie może być dopełnione wobec danych osobowych, których spółka aktualnie nie przetwarza - udzielono spółce upomnienia za naruszenie art. 15 ust. 1 lit. b i d w zw. z art. 12 ust. 3 i 4 RODO.
W pozostałym zakresie, a dotyczącym niespełnienia żądania skarżącego
w zakresie prawa dostępu do danych, wynikającego z art. 15 ust. 1 lit. a i c RODO, umorzono postępowanie.
Skarżący w skierowanej do Wojewódzkiego Sądu Administracyjnego
w Warszawie skardze, zarzucił:
1. obrazę art. 15 ust. 1 lit. b i d ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (uodo.) poprzez brak postanowienia w celu udostępnienia informacji dotyczących danych osobowych skarżącego przetwarzanych przez spółkę i okresu przechowywania tych danych oraz kryteriów ustalania tego okresu,
2. sprzeczność istotnych ustaleń organu z zebranym materiałem dowodowym
w postaci: wyjaśnień spółki, które wpłynęły do organu [...] grudnia 2023 r. i [...] marca 2024 r.; wynika z nich, że prezes spółki nie kontestuje, że dane osobowe skarżącego były przetwarzane przed datą złożenia skargi do Prezesa UODO, a jedynie stwierdza, że w chwili składania wyjaśnień spółka takich danych nie przetwarza;
z czego wynika również, że dane te zostały przetwarzane w ramach usług detektywistycznych,
3. pominięcie części skargi dotyczącej art. 15 ust. 3 uodo. to jest "(...) moich danych osobowych przetwarzanych przez [...] Sp. z o.o. i jej partnerów," mające na celu uzyskanie kopii danych osobowych, które spółka zbierała,
4. sprzeczność szczegółów dotyczących obowiązków detektywów zawartych
w przepisach art. 13, 23, 23b i 28b ustawy o usługach detektywistycznych,
w szczególności, z których wynika m.in., że "(...) detektyw ma obowiązek sporządzić
i przekazać zatrudniającemu go przedsiębiorcy końcowe pisemne sprawozdanie
z wykonanych w danej sprawie czynności", "(...) ma obowiązek sporządzić końcowe pisemne sprawozdanie z wykonanych czynność", "(...) sporządza jego kopię
i przechowuje ją przez okres 2 lat od dnia sporządzenia", i "(...) w przypadku rezygnacji zleceniodawcy z odbioru danych osobowych zebranych podczas wykonywania czynności, o których mowa w art. 2 ust. 1, albo nieodebrania ich
w ustalonym terminie dane te podlegają zniszczeniu po upływie 5 lat od dnia zakończenia realizacji usługi detektywistycznej".
Mając na uwadze powyższe zarzuty skarżący wniósł o zmianę zaskarżonej decyzji poprzez nakazanie spółce spełnienia żądania skarżącego i udostępnienia żądanych informacji, nałożenie na spółkę kary pieniężnej za niedopełnienie obowiązków przewidzianych przepisami prawa.
Prezes UODO w odpowiedzi na skargę wniósł o jej oddalenie.
Spółka, reprezentowana przez adwokata, w piśmie procesowym z [...] grudnia 2024 r. stwierdziła, że skarga jest całkowicie pozbawiona podstaw faktycznych oraz prawnych. Podzieliła argumentację Prezesa UODO zaprezentowaną w odpowiedzi na skargę, która – w ocenie spółki – nie tylko znajduje oparcie w prawidłowo ustalonym stanie faktycznym, ale też opiera się na jego prawidłowej subsumpcji
do obowiązujących przepisów prawa.
Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje.
Zgodnie z art. 1 § 1 i 2 ustawy z dnia 25 lipca 2002 r. – Prawo o ustroju sądów administracyjnych (Dz.U. z 2024 r. poz. 1267), sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej, przy czym kontrola ta sprawowana jest pod względem zgodności z prawem, jeżeli ustawy nie stanowią inaczej.
W świetle powołanych powyżej przepisów Wojewódzki Sąd Administracyjny
w Warszawie, w zakresie swojej właściwości, ocenia zaskarżoną decyzję administracyjną, postanowienie, czy też inny akt lub czynność z zakresu administracji publicznej dotyczącą uprawnień lub obowiązków wynikających z przepisów prawa,
z punktu widzenia ich zgodności z prawem materialnym i przepisami postępowania administracyjnego, według stanu faktycznego i prawnego obowiązującego w dacie wydania tego aktu lub podjęcia spornej czynności. Chodzi więc o kontrolę aktów lub czynności z zakresu administracji publicznej dokonywaną pod względem ich zgodności z prawem materialnym i przepisami procesowymi, nie zaś według kryteriów słuszności.
Ponadto, co wymaga podkreślenia, Sąd rozstrzyga w granicach danej sprawy, nie będąc jednak związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną (vide art. 134 § 1 ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi – Dz.U. z 2024 r. poz. 935 ze zm.; dalej "p.p.s.a.").
Przechodząc na grunt rozpoznawanej sprawy, zasadnym jest przytoczenie treści niektórych przepisów RODO, które miały w sprawie zastosowanie.
Na mocy art. 15 RODO osoba, której dane dotyczą jest uprawniona
do uzyskania od administratora potwierdzenia, czy przetwarzane są dane osobowe jej dotyczące, a jeżeli ma to miejsce, jest uprawniona do uzyskania dostępu do nich oraz określonych informacji. Informacje te obejmują m.in.: cele przetwarzania (ust. 1 lit. a), kategorie odnośnych danych osobowych (ust. 1 lit. b), informacje o odbiorcach danych osobowych lub kategoriach odbiorców, którym dane osobowe zostały lub zostaną ujawnione, w szczególności o odbiorcach w państwach trzecich lub organizacjach międzynarodowych (ust. 1 lit. c) oraz w miarę możliwości planowany okres przechowywania danych osobowych, a gdy nie jest to możliwe, kryteria ustalania tego okresu (ust. 1 lit. d).
Termin na udzielenie odpowiedzi na żądania osób, których dane dotyczą określono w art. 12 ust. 3 RODO, który stanowi, że administrator bez zbędnej zwłoki - a w każdym razie w terminie miesiąca od otrzymania żądania - udziela osobie, której dane dotyczą, informacji o działaniach podjętych w związku z żądaniem
na podstawie art. 15-22 RODO. W razie potrzeby termin ten może zostać przedłużony o kolejne dwa miesiące z uwagi na skomplikowany charakter żądania lub liczbę żądań. Jeżeli administrator nie podejmuje działań w związku z żądaniem osoby, której dane dotyczą, to niezwłocznie - najpóźniej w terminie miesiąca
od otrzymania żądania - informuje osobę, której dane dotyczą, o powodach niepodjęcia działań oraz o możliwości wniesienia skargi do organu nadzorczego
oraz skorzystania ze środków ochrony prawnej przed sądem (art. 12 ust. 4).
Jak wynika z poczynionych przez organ ustaleń, mających odzwierciedlenie
w zgromadzonym materiale dowodowym, żądanie skarżącego było w swym zakresie jasne i obejmowało prośbę o interwencję Prezesa UODO w stosunku
do braku zrealizowania przez spółkę obowiązków wynikających z RODO w postaci udostępnienia danych oraz informacji, obejmujących swoim zakresem art. 15 ust. 1 lit. a-d RODO. Wobec nieudzielenia przez spółkę odpowiedzi na wspomniane żądanie, wniósł on do Prezesa UODO o "(...) podjęcie wszelkich niezbędnych działań wobec [...] Sp. z o.o. za rażące niestosowanie obowiązków RODO". Prezes spółki
z kolei nie zanegował otrzymania wiadomości (e-mail z [...] sierpnia 2023 r.)
zawierającej żądanie skarżącego. [...] sierpnia 2023 r. skarżący zadzwonił na numer spółki i uzyskał potwierdzenie, że adres e-mail, na który wysłano wiadomość, jest "właściwym sposobem żądania takich informacji". Numer telefonu do spółki jest numerem działu marketingu, osoba zaś odbierająca telefon nie posiada uprawnień detektywa i nie ma dostępu do danych osobowych osób objętych obserwacją przez detektywów pracujących w spółce.
Wobec tak ukształtowanego stanu sprawy, zadać należy pytanie, czy spółka zrealizowała żądanie skarżącego w powołanym zakresie i czy podjęte przez nią działania stanowiły uzasadnienie dla złożonej w organie skargi, mającej na celu wyegzekwowanie praw skarżącego wynikających z art. 15 RODO.
Spółka objęta jest regulacją art. 28c ustawy o usługach detektywistycznych, według którego do przetwarzania danych osobowych zebranych w toku wykonywania czynności, o których mowa w art. 2 ust. 1, nie stosuje się przepisów art. 13 ust. 1 i 2 oraz art. 15 ust. 1 lit. a, c i g RODO. Z zebranego w sprawie materiału dowodowego wynika, że spółka prowadzi działalność detektywistyczną i w związku z tym świadczy usługi detektywistyczne, o których mowa w art. 2 ust. 1 ustawy o usługach detektywistycznych. Zachodzi zatem w rozpatrywanej sprawie wyłączenie stosowania wobec spółki art. 15 ust. 1 lit. a, c i g RODO. Zasada wyrażona
w powołanym przepisie art. 28c nie nasuwa jakich wątpliwości co do jej rozumienia
z punktu widzenia języka użytego przez prawodawcę.
Skarżący zarzucił niespełnienie przez spółkę żądania w zakresie prawa do informacji złożonego na podstawie art. 15 ust. 1 lit. a-d danego aktu. W związku
z tym, przepis art. 15 ust. 1 lit. a oraz c RODO nie będzie miał w niniejszej sprawie zastosowania, a co za tym idzie, prowadzenie postępowania w tym zakresie zasadnie organ uznał za bezprzedmiotowe i w danym zakresie umorzył je.
Zgodnie z brzmieniem art. 105 § 1 Kpa., gdy postępowanie z jakiejkolwiek przyczyny stało się bezprzedmiotowe w całości lub w części, organ administracji publicznej wydaje decyzję o umorzeniu postępowania odpowiednio w całości lub
w części. Powołana regulacja nie pozostawia wątpliwości, że w razie stwierdzenia bezprzedmiotowości postępowania organ prowadzący to postępowanie obligatoryjnie je umarza. Jednocześnie w literaturze przedmiotu wskazuje się, że bezprzedmiotowość postępowania administracyjnego, o której stanowi art. 105 § 1 Kpa. oznacza, że brak jest któregoś z elementów materialnego stosunku prawnego, a wobec tego nie można wydać decyzji załatwiającej sprawę przez rozstrzygnięcie jej co do istoty (tak: B. Adamiak, J. Borkowski, Kodeks postępowania administracyjnego. Komentarz. Wyd. 18, Warszawa 2022).
Zasadne są natomiast zarzuty skarżącego wobec naruszenia przez spółkę
art. 15 ust. 1 lit. b oraz d w zw. z art. 12 ust. 3 i 4 RODO. Spółka nie odpowiedziała bowiem na żądanie skarżącego odnośnie do prawa do informacji – w zakresie określonym w art. 15 ust. 1 lit. b i d RODO – w terminie wynikającym z art. 12 ust. 3 RODO oraz nie dopełniła obowiązku wynikającego z art. 12 ust. 4 RODO, tj. nie poinformowała skarżącego o powodach niepodjęcia działań oraz o możliwości wniesienia skargi do organu nadzorczego oraz skorzystania ze środków ochrony prawnej przed sądem.
Warto w tym miejscu zwrócić uwagę na stanowisko wyrażane w nauce prawa wobec umożliwienia dostępu do informacji na gruncie art. 15 RODO. "Umożliwienie dostępu do danych może być realizowane w różny sposób. Istotą tego uprawnienia jest stworzenie osobie, której dane dotyczą, możliwości zapoznania się z treścią danych. Może to w praktyce oznaczać pokazanie osobie (np. na monitorze komputera) treści danych, odczytanie treści danych, okazanie jej wydruku zawierającego jej dane lub umożliwienie wglądu do danych w inny sposób" (tak:
P. Fajgielski [w:] Komentarz do rozporządzenia nr 2016/679 w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) [w:] Ogólne rozporządzenie o ochronie danych. Ustawa
o ochronie danych osobowych. Komentarz, wyd. II, Warszawa 2022, art. 15).
Należy zgodzić się z Prezesem UODO, że dostęp do danych jest czymś odmiennym od uzyskania kopii danych, o której stanowi odrębny przepis, tj. art. 15 ust. 3 RODO. Doktryna również zwraca uwagę na różnicę między dostępem
do danych a kopią danych, wskazując "Umożliwienie dostępu nie jest równoznaczne z obowiązkiem przekazania danych na trwałym nośniku (papierowym lub elektronicznym), jednakże uzyskanie kopii danych jest przedmiotem szczególnego uprawnienia uregulowanego w ust. 3 i 4 komentowanego artykułu". Biorąc pod uwagę powyższe nie sposób przyjąć, aby Prezes UODO pominął część żądania skarżącego, obejmującą kwestie uzyskania od spółki kopii jego danych osobowych, bo żądania w tym zakresie nie wystosował ani wobec spółki, ani wobec organu.
Sąd wskazuje, że skarżący, na podstawie art. 111 Kpa. mógł w terminie czternastu dni od dnia doręczenia decyzji zażądać jej uzupełnienia co do rozstrzygnięcia. Skarżący tymczasem nie skorzystał z tego uprawnienia, podnosząc kwestię pominięcia przez organ nadzorczy części jego skargi po upływie przepisanego terminu.
Wracając do zarzutu naruszenia przez spółkę art. 15 ust. 1 lit. b oraz d w zw.
z art. 12 ust. 3 i 4 RODO, wyjaśnić należy, że prowadzenie dokumentacji przez detektywa jest określone w przepisach ustawy o usługach detektywistycznych. Aby zapobiegać nadmiarowemu przetwarzaniu danych, zgodnie z zasadą ograniczenia czasowego (art. 5 ust. 1 lit. e RODO) mają oni także obowiązek m.in. przekazać klientowi zebrane dane osobowe po zrealizowaniu usługi detektywistycznej. W tej sprawie obowiązek wytworzenia i przechowywania tej dokumentacji przez okres 2 lat (art. 23b ust. 3 ustawy o usługach detektywistycznych) albo 5 lat (art. 28b ust. 2 powołanego aktu) lub do jej zwrotu klientowi nie przeczy twierdzeniu, że już w czasie prowadzenia postępowania przez organ, spółka mogła danych skarżącego nie przetwarzać.
Z powyższych obowiązków spółki nie można wywodzić uprawnień skarżącego, bowiem dokumentacja szczegółowa z przeprowadzonych czynności mogła już zostać zwrócona klientowi, lub na przykład na jego żądanie zniszczona. Relacje klienta i spółki nie mają więc wpływu na prawidłowość wydanego rozstrzygnięcia, ponieważ nie warunkują w żadnym stopniu relacji spółki
i skarżącego. Prezes UODO nie miał podstaw, aby nie przyjąć oświadczenia spółki
o nieprzetwarzaniu danych skarżącego. Uzupełnianie materiału dowodowego w tym zakresie, tj. dodatkowe dowodzenie, czy aby na pewno spółka posiadała jeszcze dane skarżącego, byłoby sprzeczne z ekonomiką procesową, dotyczyłoby bowiem sytuacji hipotetycznej, że spółka mogła te dane jeszcze przetwarzać.
W konsekwencji, wobec jednoznacznego oświadczenia spółki, że danych skarżącego już nie posiadała, Prezes UODO nie miał innej możliwości, jak upomnieć spółkę co do niezrealizowania przez nią obowiązku informacyjnego wobec skarżącego, w zakresie określonym w art. 15 ust. 1 lit. b oraz d RODO.
Przyznać należy rację organowi, że spółka powinna dostosować swe funkcjonowanie w obrocie gospodarczym w taki sposób, by wykonywać ciążące na niej obowiązki w zakresie realizacji praw wynikających z RODO, a co się z tym, rozpatrywać żądania osób, których dane dotyczą, gdy wpływają na skrzynkę e-mail spółki. Skierowanie przez skarżącego korespondencji na adres należący
do spółki, było działaniem wywołującym skutek prawny, polegający na obowiązku udzielenia odpowiedzi na kwestie podnoszone w jego żądaniu. Sytuacja, w której skarżący nie mógł zrealizować swojego prawa, pomimo prawidłowo złożonego żądania, jest wynikiem uchybienia spółki. Skierowanie wynikającego
z powołanego przepisu RODO żądania na każdy należący do spółki adres e-mail, jest dla niej wiążące - nawet jeśli wiadomość zostałaby zakwalifikowana przez serwer pocztowy jako "spam".
Sąd wskazuje, że każdy podmiot świadczący usługi określone w ustawie
o usługach detektywistycznych winien tak zorganizować prowadzenie swojej działalności gospodarczej, również w zakresie prowadzonej komunikacji
za pośrednictwem łączy internetowych, przy wykorzystaniu dostępnych narzędzi przesyłu informacji drogą elektroniczną, by ustrzec się przed zarzutem niedopełnienia obowiązku informacyjnego wynikającego z art. 15 ust. 1 RODO.
W niniejszej sprawie zaś zawiodła ścieżka komunikacji pomiędzy skarżącym i spółką, prowadzona przy wykorzystaniu e-maila oraz telefonu, co odzwierciedliły poczynione przez organ ustalenia i zebrane w ich toku oświadczenia stron postępowania.
W efekcie spółka dopuściła się naruszenia w powołanym zakresie, nie reagując na zgłoszone przez skarżącego żądanie, co stanowiło uzasadnienie dla udzielenia upomnienia.
Trzeba mieć przy tym na uwadze, że sankcja upomnienia stanowi jeden
ze środków dyscyplinujących. Jej celem jest zwrócenie uwagi na określone nieprawidłowości dla wyeliminowania ich w przyszłości. Nie chodzi tu jednak
o reakcję na zdarzenia, które obiektywnie są niepożądane z perspektywy potrzeby ochrony danych osobowych, lecz zwrócenie uwagi na określone uchybienia po stronie podmiotu, któremu udzielono upomnienia - tu administrującej spółki. Wobec stwierdzonego incydentu naruszenia przez spółkę wobec skarżącego obowiązku określonego w powołanych przepisach, Prezes UODO uprawniony był do udzielania upomnienia.
Zgodnie z art. 58 ust. 2 lit. b RODO, każdemu organowi nadzorczemu przysługuje uprawnienie do udzielania upomnień administratorowi lub podmiotowi przetwarzającemu w przypadku naruszenia przepisów danego aktu. Wobec tego, że Prezes UODO nie mógł nakazać spółce spełnienia żądania skarżącego, bowiem nie mogło być ono zrealizowane wobec danych osobowych, których spółka już nie przetwarzała, udzielono spółce upomnienia za naruszenie art. 15 ust. 1 lit. b oraz d
w zw. z art. 12 ust. 3 i 4 RODO. W pozostałym zakresie, tj. dotyczącym niespełnienia żądania skarżącego w zakresie prawa dostępu do danych, wynikającego z art. 15 ust. 1 lit. a oraz c RODO, umorzono postępowanie jako bezprzedmiotowe.
Wobec wniosku skarżącego o nałożenie kary pieniężnej za niedopełnienie obowiązków przewidzianych przepisami prawa, Sąd wyjaśnia, że zakres jego uprawnień wyznaczają powołane na wstępie niniejszych rozważań przepisy ustaw procesowych, w świetle których pozbawiony jest możliwości wymierzania danemu podmiotowi dolegliwości finansowych. To organ nadzorczy jest uprawniony
do nakładania administracyjnych kar pieniężnych na mocy art. 83 RODO, niemniej skorzystanie z tego środka naprawczego jest autonomiczną decyzją organów nadzorczych, niezależną od woli osoby (skarżącego), która zainicjowała postępowanie w jej indywidulanej sprawie. W niniejszej sprawie Prezes UODO nie skorzystał z przysługującego mu w danym zakresie prawa, orzekł bowiem, jak w pkt 1 i 2 zaskarżonej decyzji, wobec czego Sąd uprawniony był do zbadania legalności rozstrzygnięcia określonego wyłącznie treścią sentencji tej decyzji.
W tym stanie sprawy, uznając skargę za niezasadną, Wojewódzki Sąd Administracyjny w Warszawie orzekł, jak w sentencji wyroku na podstawie art. 151 p.p.s.a..
-----------------------
4