II SA/WA 1216/24

II SA/Wa 1216/24 - Wyrok WSA w Warszawie
Data orzeczenia
2024-11-25
orzeczenie prawomocne
Data wpływu
2024-07-26
Sąd
Wojewódzki Sąd Administracyjny w Warszawie
Sędziowie
Andrzej Wieczorek
Izabela Głowacka-Klimas
Łukasz Krzycki /przewodniczący sprawozdawca/
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne
Ochrona danych osobowych
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Oddalono skargę
Powołane przepisy
Dz.U. 1997 nr 78 poz 483
art. 10
Konstytucja Rzeczypospolitej Polskiej z dnia 2 kwietnia 1997 r. uchwalona przez Zgromadzenie  Narodowe w dniu 2 kwietnia 1997 r., przyjęta przez Naród w referendum konstytucyjnym w dniu  25 maja 1997 r., podpisana przez Prezydenta Rzeczypospolitej Polskiej w dniu 16 lipca 1997 r.
Dz.U.UE.L 2016 nr 119 poz 1 art. 58 ust. 2 lit. b i d
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z  przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE
Sentencja
Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Łukasz Krzycki (spr.), Sędzia WSA Izabela Głowacka-Klimas, Sędzia WSA Andrzej Wieczorek, , Protokolant referent Joanna Mazur, po rozpoznaniu na rozprawie w dniu 25 listopada 2024 r. sprawy ze skargi M. M. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] maja 2024 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę
Uzasadnienie
Zaskarżoną decyzją – przywołując art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego (Dz.U. z 2023 r. poz. 775 ze zm.), zwanej dalej "K.p.a.", oraz art. 58 ust. 2 lit. b i d rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz.Urz. UE L. nr 119. str. 1, ze zm.), zwanego dalej "RODO", wobec skargi p. M. M., zwanej dalej "Wnioskodawcą", na nieprawidłowości w procesie przetwarzania danych osobowych jej oraz reprezentowanych przez nią małoletnich dzieci (M. i M. M., zwanych dalej "Dziećmi") przez p. M. M., zwanego dalej "Wskazanym", polegające na przetwarzaniu ich danych osobowych na stronach portalu społecznościowego [...] bez podstawy prawnej oraz nie zrealizowaniu żądania usunięcia danych osobowych:
- udzielono Wskazanemu, upomnienia za naruszenie art. 5 ust. 1 lit. a w zw. z art. 6 ust. 1 RODO, polegające na udostępnieniu bez podstawy prawnej danych osobowych Wnioskodawcy oraz Dzieci na stronach portalu społecznościowego [...] (w pkt 1),
- nakazano Wskazanemu, usunięcie imion Dzieci oraz zdjęć, zawierających ich wizerunek ze strony internetowej [...] (pkt 2),
- w pozostałym zakresie odmówiono uwzględnienia wniosku (pkt 3).
W uzasadnieniu decyzji przywołano następujące okoliczności faktyczne i prawne uwarunkowania sprawy:
- w skardze Wnioskodawca podniósł, że Wskazany prowadzi na portalu [...] bloga o nazwie "[...] M. i M.", zwany dalej "blog [...]"; publikuje tam obszerne fragmenty prywatnej opinii psychologicznej na temat Dzieci oraz przedstawia Wnioskodawcę negatywnie jako ich matkę; na blogu opublikowano posty, zawierające pierwsze i drugie imię oraz nazwisko rodowe oraz obecne Wnioskodawcy; blog ten jest połączony - zawiera linki do strony [...]; udostępniono tam imię i nazwisko Wnioskodawcy, imiona Dzieci oraz zdjęcia, zawierające ich wizerunek; Wskazany rozpowszechnia posty z powołanego bloga na ponad 30 stronach internetowych; Wnioskodawca wskazał, że bezskutecznie zwracał się do Wskazanego - pismem z [...] czerwca 2018 r. - o usunięcie danych jego oraz Dzieci a także zdjęć Dzieci ze stron - z powołaniem na postanowienie Sądu Okręgowego w [...], z [...] kwietnia 2018 r. (sygn. akt [...]); pismo to doręczono Wskazanemu [...] lipca 2018 r.; w związku z tym wniesiono o nakazanie Wskazanemu usunięcie danych osobowych Wnioskodawcy oraz Dzieci a także zdjęć dzieci ze wskazanych stron internetowych; w skierowanym do organu piśmie z [...] stycznia 2019 r. Wnioskodawca wskazał linki do stron, na których upubliczniono dane osobowe jego oraz dzieci – wymieniono 12 adresów,
- wobec skargi Wnioskodawcy ustalono następujący stan faktyczny:
- Wskazany prowadzi na stronie internetowej - pod adresem [...] - ogólnodostępny blog [...]; zamieścił tam imię i nazwisko Wnioskodawcy, w tym również panieńskie, imiona Dzieci oraz zdjęcia, zawierające wizerunek Wnioskodawcy oraz Dzieci (tak: pismo Wnioskodawcy do organu z [...] stycznia 2019 r. wraz z załącznikami),
- Wskazany na stronie internetowej - pod adresem [...] - zamieścił imiona Dzieci oraz zdjęcia zawierające ich wizerunek; dane te są nadal udostępnione na tej stronie (tak: pismo Wnioskodawcy do organu z [...] stycznia 2019 r. UODO wraz z załącznikami oraz strona [...],
- Wnioskodawca - pismem z dnia [...] czerwca 2018 r., skierowanym do Wskazanego - zwrócił się o usunięcie danych Dzieci zawartych na portalu [...]: "(...) Na Twoim blogu na [...] >[...]< nadal są zamieszczone obszerne fragmenty prywatnej opinii psychologicznej, dotyczącej naszych dzieci, żądam ich usunięcia (...). Jednocześnie na tej samej stronie na [...] >[...]< nadal jest link do zdjęć dzieci na stronie [...]. żądam natychmiastowego usunięcia tego linku ze względu na ochronę wizerunku dzieci (...). Na Twojej bardzo popularnej stronie na [...] >M. M.< publikujesz zdjęcia dzieci, podobnie jak na Twojej stronie na [...] >[...]<. Jednocześnie na tych stronach jest informacja, że zarządzasz stroną na [...] >[...]<, co stanowi powiązanie zdjęć naszych dzieci z treściami na blogu na [...] >[...]< i jest niezgodne z postanowieniem Sądu Okręgowego z [...].04.2018. Na stronie na [...] >[...]< jest film z wywiadem i zdjęciami M. oraz link do bloga na [...] >[...]<. To również stanowi naruszenie postanowienia Sądu Okręgowego z [...].04.2018. Żądam natychmiastowego usunięcia wszelkich powiązań Twoich licznych stron internetowych z blogiem na [...] >[...]<, w przypadku gdy dzięki tym powiązaniom możliwa jest identyfikacja naszych dzieci" (tak pismo Wnioskodawcy z [...] czerwca 2018 r. wraz dowodem nadania przesyłki poleconej),
- Sąd Okręgowy w [...] w sprawie z powództwa Wnioskodawcy o rozwód - postanowieniem z [...] kwietnia 2018 r. (sygn. akt [...]) w przedmiocie wniosku o zabezpieczenie - udzielił go; zakazał pozwanemu (Wskazanemu) wykorzystywania w środkach masowego przekazu wizerunku Dzieci oraz ich danych osobowych, pozwalających na identyfikację - w związku z prowadzoną przez niego działalnością publiczną, dotyczącą ochrony praw alienowanych rodziców - jak również angażowania Dzieci w tą działalność na forum publicznym; nadto nakazał podjęcie działań w celu usunięcia dotychczas umieszczonego wizerunku Dzieci oraz danych osobowych, pozwalających na ich identyfikację w środkach masowego przekazu - w związku z opisaną wyżej działalnością (tak: postanowienie o sygn. akt [...]),
- zgodnie z oświadczeniem Wskazanego w całości wykonał on "zobowiązanie Sądu, usuwając dane osobowe dzieci pozwalające na ich identyfikację w środkach masowego przekazu (...)" (tak: pismo Wskazanego do organu z [...] kwietnia 2021 r.),
- opisano, które z wymienionych przez Wnioskodawcę 12 stron nie są obecnie dostępne, gdzie nie ma danych jego i Dzieci oraz stwierdzono, że - na stronie internetowej [...] - nadal figuruje zdjęcie, zawierające wizerunek Dzieci i Wskazanego; przy tym oczy Dzieci są zamaskowane (zamazane) czarnym paskiem i zdjęcie jest nieostre,
- organ prowadzi postępowanie w celu ustalenie, czy w sprawie doszło do naruszenia przepisów o ochronie danych osobowych, zaś - w razie stwierdzenia takiego naruszenia - korzysta z uprawnień naprawczych, o których mowa w art. 58 ust. 2 RODO,
- Wnioskodawca kwestionował udostępnienie przez Wskazanego swoich danych jego Dzieci w zakresie: imion, nazwisk i wizerunków na portalu społecznościowym [...] podmiotom nieupoważnionym - poprzez ich publikację na portalu oraz odmowę usunięcia (mimo żądania),
- zgodnie z art. 2 ust. 2 lit. c RODO, akt ten nie ma zastosowania do przetwarzania danych osobowych przez osobę fizyczną - w ramach czynności o czysto osobistym lub domowym charakterze; z zebranego w sprawie materiału dowodowego wynika, że Wskazany udostępnił na portalu [...] dane osobowe Wnioskodawcy oraz Dzieci; wskutek tego dostęp do wskazanych danych uzyskali inni użytkownicy portalu społecznościowego [...]; tym samym działania Wskazanego nie można już uznać za przetwarzanie danych o charakterze czysto osobistym; podlega zatem ocenie - pod kątem legalności - na gruncie przepisów RODO,
- dla legalności kwestionowanego udostępnienia przez Wskazanego danych osobowych Wnioskodawcy oraz Dzieci konieczne było spełnienie przezeń którejkolwiek z przesłanek, określonych art. 6 ust. 1 RODO; zgodnie z art. 6 ust. 1 RODO, przetwarzanie danych dopuszczono tylko w razie spełnienia jednej z wskazanych w tym przepisie przesłanek; ich katalog jest zamknięty zaś każda z przesłanek legalizujących proces przetwarzania danych osobowych ma charakter autonomiczny i niezależny; oznacza to, że przesłanki te są - co do zasady – równoprawne; wobec tego spełnienie co najmniej jednej z nich stanowi o zgodnym z prawem przetwarzaniu danych osobowych; w konsekwencji zgoda osoby, której dane dotyczą, nie jest jedyną podstawą przetwarzania danych osobowych; proces ich przetwarzania będzie bowiem zgodny z RODO również, gdy administrator danych wykaże spełnienie innej z wymienionych przesłanek; niezależnie od zgody osoby, której dane dotyczą (art. 6 ust. 1 lit. a RODO), przetwarzanie danych osobowych dopuszczono m.in., gdy jest niezbędne do celów, wynikających z prawnie uzasadnionych - realizowanych przez administratora - interesów lub przez stronę trzecią – z wyjątkiem sytuacji, gdy nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dotyczą dane, jest dzieckiem (art. 6 ust. 1 lit. f RODO),
- jednocześnie - zgodnie z art. 5 ust. 1 lit. a RODO - dane osobowe należy przetwarzać zgodnie z prawem, rzetelnie i przejrzyście dla osoby, której dotyczą ("zgodność z prawem, rzetelność i przejrzystość"),
- Wskazany nie legitymował się żadną z przesłanek z art. 6 ust. 1 RODO - uprawniającą do kwestionowanego skargą przetwarzania danych osobowych Wnioskodawcy i Dzieci na wskazanych stronach internetowych - na portalu społecznościowym [...]; Wnioskodawca nie wyraził zgody na przedmiotowe udostępnienie (art. 6 ust. 1 lit. a RODO); nie można również uznać działania Wskazanego za mające oparcie w art. 6 ust. 1 lit. f RODO; nie było to bowiem niezbędne do celów, wynikających z jego prawnie uzasadnionych interesów - skorzystania z prawa do wolności wypowiedzi i informacji na temat swojej sytuacji, jako ojca dzieci; nadrzędny charakter nad tym prawem mają niewątpliwie podstawowe prawa i wolności osób, których dane dotyczą - wymagające ochrony; zwłaszcza, że udostępniono dane osobowe dzieci; osoby te - z uwagi na przedstawiane przez Wskazanego szczegóły z ich życia prywatnego - mają prawo pozostać anonimowe; Wskazany mógł, co do zasady, poinformować o problemach, z jakimi mogą się spotykać alienowani rodzice; niemniej opublikowane przezeń komentarze i materiały zachowałyby swój przekaz oraz intencję bez wskazania w nim danych Wnioskodawcy oraz Dzieci – zwłaszcza ich wizerunku; co wskazano w motywie 38 RODO, szczególnej ochrony danych osobowych wymagają dzieci; mogą być one bowiem mniej świadome ryzyka, konsekwencji, zabezpieczeń i przysługujących im praw - w związku z przetwarzaniem danych osobowych; zatem jeśli nawet Wskazanemu przysługuje władza rodzicielska nad Dziećmi w równym stopniu co Wnioskodawcy i - korzystając z tego uprawnienia - podjął decyzję o upublicznieniu danych dzieci na portalu [...], nie budzi wątpliwości, że wykorzystanie danych małoletnich dzieci dla realizacji jego interesów - polegających na kreowaniu się tam, jako pokrzywdzony ojciec - odbyło się z naruszeniem praw i wolności dzieci; nie było bowiem do tego celu niezbędne; z oczywistych względów nie wystąpiły w sprawie również pozostałe przesłanki, wskazane w art. 6 ust. 1 RODO; kwestionowane przetwarzanie nie było niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej (art. 6 ust. 1 lit d RODO), przetwarzanie nie było też niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania powierzonej administratorowi władzy publicznej (art. 6 ust. 1 lit e), ani też do wykonania umowy, której stroną jest osoba, której dane dotyczą (art. 6 ust. 1 lit. b RODO) czy też do wypełnienia ciążącego na administratorze obowiązku prawnego (art. 6 ust. 1 lit. c RODO),
- w sprawie doszło tym samym do przetwarzania przez Wskazanego danych osobowych Wnioskodawcy i Dzieci z naruszeniem zasady legalności - określonej w art. 5 ust. 1 lit. a w zw. z art. 6 ust. 1 RODO - wobec braku podstaw prawnych do przetwarzania,
- w niniejszej sprawie konieczne stało się w związku z tym skorzystanie przez organ z uprawnień naprawczych, o których mowa w art. 58 ust. 2 lit. b RODO - udzielenie upomnienia za naruszenie wskazanych przepisów RODO, poprzez operacje przetwarzania danych osobowych Wnioskodawcy i Dzieci,
- ponieważ na stronie internetowej portalu [...] pod adresem [...] nadal są natomiast udostępnione imiona Dzieci oraz zawierające ich wizerunek zdjęcia, konieczne stało się skorzystanie przez organ z uprawnień naprawczych, o których mowa w art. 58 ust. 2 lit. d RODO - nakazanie Wskazanemu usunięcia tych danych z konkretnej strony internetowej, wobec braku podstaw prawnych do przetwarzania,
- - z kolei - co wynika z materiału dowodowego sprawy - z pozostałych, wskazywanych przez Wnioskodawcę, stron internetowych portalu [...], kwestionowane dane osobowe jego oraz Dzieci usunięto; strony te są niedostępne, nie zawierają danych, względnie wizerunki Dzieci na zdjęciu zanonimizowano - poprzez zamazanie części ich twarzy (oczu) i pozbawienie zdjęcia ostrości; zabieg ten pozbawia, co do zasady, wizerunek jego cech; w tym zakresie należało odmówić uwzględnienia wniosku.
W skardze zarzucono wydanie kwestionowanego aktu z naruszeniem:
- art. 58 ust. 2 lit. b. RODO - w zw. z art. 1 ustawy z 20 maja 2018 r. o ochronie danych osobowych (Dz.U. z 2019 r. poz. 1781) - poprzez udzielenie podmiotowi przetwarzającemu upomnienia; środek ten nie ma tymczasem charakteru więżącego - w tym sensie, że nie zobowiązuje adresata do określonego działania lub zaniechania,
- art. 58 ust. 2 lit. c RODO - w zw. z art. 1 ustawy o ochronie danych osobowych poprzez nieuwzględnienie żądania Wnioskodawcy; poprzestano jedynie na nakazie, określonym w pkt 2 decyzji; nie wyjaśniono nadto przesłanek nieuwzględnienia żądania Wnioskodawcy w zakresie usunięcia zdjęć oraz danych osobowych Dzieci oraz Wnioskodawcy ze strony internetowej na [...] pod adresem: [...], zwanym dalej "Adres [...]";
- art. 1 w zw. z art. 101 i 103 ustawy o ochronie danych osobowych, w zw. z art. 83 RODO, poprzez ich niezastosowanie.
W uzasadnieniu skargi wskazano:
- postępowanie przed organem trwało bardzo długo; w jego trakcie nie udzielono przy tym zabezpieczenia; ewidentnie naruszono więc prawa dziecka; wynika to z również ze stosownej konwencji; postępowanie dotyczyło w istocie dzieci oraz ich wizerunków i prawa ochrony do prywatności,
- podkreślono rozważania – zawarte w uzasadnieniu zaskarżanej decyzji – z których wynika, że Wskazany permanentnie i z brakiem poszanowania prawa naruszał RODO - również wbrew nakazom sądowym,
- zadaniem organu jest nie tylko strzec przestrzegania określonych w RODO zasad, ale też - gdy naruszane jest dobro dziecka - winien on reagować kategorycznie,
- z art. 58 ust. 2 lit. b RODO wynika, że upomnienie jest jedną z kompetencji organu nadzorczego; jego zastosowanie odnosi się do przypadków, gdy naruszenie przepisów rozporządzenia jest niewielkie lub, jeżeli grożąca kara pieniężna stanowiłaby dla osoby fizycznej nieproporcjonalne obciążenie; organ nadzorczy nie wyjaśnił, na czym opiera swoją ocenę niewielkiego naruszenia przepisów, jak również w oparciu, o jakie przesłanki zrezygnował z nałożenia kary pieniężnej, której wysokość określa samodzielnie,
- w sprawie nie może być mowy o niewielkim naruszeniu; z akt jednoznacznie wynika, że było ono permanentne, świadome i celowe; wskazano, jakie przesłanki należy mieć na względzie przy wymierzaniu kary; z uzasadnienia decyzji nie można wywieść, aby je uwzględniono; tym samym budzi zdziwienie, że poprzestano na udzieleniu upomnienia; w istocie nie jest to skuteczne wobec Wskazanego; jest to tym bardziej niezrozumiałe, że – co wykazano w materiale dowodowym - przedmiotem naruszenia było dobro dzieci,
- nakaz - dotyczący dostosowania operacji przetwarzania do przepisów RODO - ma charakter ogólny i obejmuje wszystkie potencjalne przypadki niezgodności przetwarzania danych osobowych z RODO; skorzystanie z tej możliwości pozostawiono uznaniu organu nadzorczego; całkowicie pominął on spełnienie żądania osoby, której dane dotyczą - wynikającego z praw, przysługujących na mocy RODO,
- organ poprzestał wyłącznie na nakazie określonym w pkt. 2 decyzji; całkowicie pominął, że w blogu - na stronie pod Adresem [...] - obok licznych postów, zawierających drastyczne, oszczercze i osobiste treści, dotyczące rodziny Wnioskodawcy, znajduje się również inne zdjęcia jego i Dzieci; organ uznał, że zasłonięcie dzieciom oczu na zdjęciu jest wystarczające, aby nie zostały one zidentyfikowane; w dobie Internetu - a w szczególności powiązań kont (zwłaszcza na [...]) - identyfikacja osoby, która ma wyłącznie zasłonięte oczy, nie stanowi żadnego problemu; zwłaszcza gdy wiadomo, kogo i czego dotyczy podana informacja; tym samym organ wykazał się rażącą nieznajomością mechanizmów działania portali społecznościach; blog [...] Wskazany celowo powiązał z kilkoma prowadzonymi przezeń kontami; umieszcza tam zdjęcia i dane osobowe Dzieci – wskazano przykładowe adresy stron,
- ponieważ konta Dzieci są powiązane z tymi profilami Wskazanego na [...], automatycznie istnieje powiązanie pomiędzy nimi a stroną o Adresie [...]; w związku z tym Dzieci są z łatwością identyfikowalne dla czytelników bloga; identyfikowalne są również gdyż w blogu tym Wskazany kilkukrotnie podaje dane osobowe Wnioskodawcy i przedstawia go, jako matkę Dzieci, a siebie jako ojca; z uwagi na aktywność medialną Wskazanego, dane osobowe dzieci oraz ich wizerunek w kontekście drastycznych treści, zawartych w blogu [...], są całkowicie jawne (przedłożono wydruki stron internetowych na potwierdzenie tej tezy,
- wobec braku zrozumienia przez organ mechanizmów działania portali społecznościach, decyzja jest całkowicie nieskuteczna; zasadnym byłoby nakazanie Wskazanemu, aby - w oznaczonym terminie - usunął zdjęcia i dane osobowe Wnioskodawcy oraz Dzieci ze strony [...], gdyby zaś tego nie zrobił - nakaz odnosiłby się automatycznie do administratora danych,
- dalej wskazano, jakie są - wynikające z RODO - reguły wymierzania przez organ kar pieniężnych; wywodzono, dlaczego środek ten należało w przedmiotowej sprawie zastosować.
W odpowiedzi na skargę organ wniósł o jej oddalenie, podtrzymując dotychczasową argumentację.
W trakcie rozprawy (k. 75) Wnioskodawca podniósł, że Wskazany może tworzyć kolejne strony zwierające dane osobowe jego lub Dzieci i wiązać je ze stroną [...]. Ze stronami Wskazanego powiązane są konta Dzieci. Możliwa będzie więc identyfikacja ich danych. Przedłożył do akt sprawy aktualne wydruki ze stron, będących – jego zdaniem - przedmiotem postępowania. Podniósł, że na stronie [...] nadal widnieją jego dane osobowe. W istocie realizacje jego wniosku, stanowiłoby usuniecie całego blogu. Znajdują się tam bowiem informacje, dotyczące rodziny a jest ona identyfikowalna. Alternatywą byłoby usunięcie wszelkich informacji, dotyczących sytuacji rodziny Wnioskodawcy, co stanowi 90% treści bloga.
Sąd zważył, co następuje.
Skarga nie zasługuje na uwzględnienie, gdyż zaskarżona decyzja nie narusza prawa.
Sąd w tym składzie podziel na stanowisko prezentowane przez organ w tej sprawie - wcześniej zreferowane. W tej sytuacji jego ponowne przywoływanie byłoby bezzasadne. Sąd argumentację organu przyjmuje za własną.
Odnosząc się do zarzutów skargi należy wskazać, że są one bezzasadne z następujących przyczyn.
Ramy postępowania w sprawie przed wyspecjalizowanym organem, gdy prowadzona jest ono w następstwie wniesienia skargi, wyznaczają w istocie równocześnie granice kompetencji organu oraz treść zarzutów samej skargi.
W tym kontekście należy mieć na uwadze, że organ tylko w ograniczonym zakresie obowiązany jest prowadzić postępowanie wyjaśniające z urzędu – w kontekście ustalania, czy w ogóle odbywa się przetwarzanie danych wnoszącego skargę, aby następnie ocenić, czy są to działania zgodne z prawem. Jest on obowiązany odnieść się jedynie do konkretnych - przywoływanych przez wnioskodawcę w skardze - domniemanych procesów przetwarzania. Gdy treść skargi jest nazbyt ogólna, organ zwraca się więc o jej doprecyzowanie, co miało zresztą także miejsce w rozpoznawanej sprawie. Otóż - wobec skargi, gdzie podnoszono nieprawidłowości przetwarzaniu danych osobowych Wnioskodawcy oraz Dzieci w związku z prowadzeniem przez Wskazanego - w sferze jego działalnością o charakterze publicznym (tu w społecznym) - bloga [...], pod ogólnym Adresem [...] - wezwano Wnioskodawcę do sprecyzowania adresów stron, gdzie w sieci Internet zamieszczone są dane osobowe reprezentowanych osób. Wnioskodawca - w piśmie z [...] stycznia 2019 r. - wskazał 12 konkretnych adresów stron, gdzie znajdowały się dane w ramach bloga [...].
Po stosownej weryfikacji przekazanej informacji wydano orzeczenie. Należy podkreślić że - działający z urzędu organ, finansowany ze środków publicznych – nie był powiązany badać w szerszym zakresie, czy dane Wnioskodawcy bądź Dzieci nie są możliwe do ustalenia – np. wobec określonych systemów powiązań między stronami. Wystarczyło stwierdzenie, że samo zamieszczone na wskazanej stronie zdjęcie nie pozwala na identyfikację osoby. Aktywność w tym zakresie musi zaś pozostawać po stronie osoby zainteresowanej podjęciem działań - w celu ochrony jej interesu przez wyspecjalizowany organ administracji. W odmiennym przypadku możliwe byłoby wręcz inicjowanie postępowań niejako z ostrożności – z żądaniem ustalenia, czy dane osobowe określonej osoby są dostępne w sieci Internet i zamieszczone tam zgodnie z przepisami prawa. Takiego szerokiego zakresu powinności działań wyspecjalizowanego organu nie sposób wywieść z przepisów RODO, statuujących bezpośrednio jego właściwość.
Organ nie był więc zobowiązany ustalać wobec treści skargi, czy ewentualnie dane osobowe Wnioskodawcy bądź Dzieci są dostępne przez system powiązań stron, a więc nie jest konieczne określenie Wskazanemu szerszych - acz równocześnie konkretnych – nakazów (zakazów) zachowań.
Chybiony jest zarzut - sformułowany w pkt 2 skargi - braku nakazania usunięcia danych osobowych Wnioskodawcy bądź dzieci ze strony o Adresie [...]. Nie wymieniono bowiem tego adresu, pod którym prowadzony jest ogólnie blog [...], wśród wskazanych w piśmie z [...] stycznia 2019 r., gdzie sprecyzowano zarzuty - wobec ogólnej treści skargi w której podnoszono, że - w ramach prowadzenia w sieci Internet tzw. bloga o określonym tytule - udostępniane są dane osobowe Wnioskodawcy i Dzieci, Nie było z kolei - wbrew zarzutom skargi - podstaw dla sformułowania ogólnego zakazu przetwarzania danych przez Wskazanego na przyszłość. Powinność taka stanowiłaby obowiązek, który – wobec brak stosownego skonkretyzowania - nie poddaje się egzekucji w trybie przepisów o postępowaniu egzekucyjnym w administracji. Zasadnym było natomiast zobowiązanie do usunięcia ujawnionych danych - przetwarzanych bez podstawy prawnej - z konkretnie określonej strony.
Organ nie mógł też w ogóle zakazać Wskazanemu przetwarzania danych osobowych Wnioskodawcy bądź Dzieci. Stosowne ograniczenie dotyczą bowiem wyłącznie treści ujawnianych na aktualnie powszechnie dostępnych stronach - jedynie w kontekście prowadzonej przez Wskazanego działalności publicznej - co było przedmiotem weryfikacji przez organ w tej sprawie. Nie mógł on także sformułować wobec Wskazanego zakazów o charakterze abstrakcyjnym na przyszłość – tak wniosek sformułowany na rozprawie. W rzeczywistości stosowne ograniczenia wynikają tu z mocy prawa. Organ - w ramach swoich kompetencji - może stosować wyłącznie środki o charakterze naprawczym bądź dyscyplinującym. Nie ma uprawnienia dla wydawania nakazów określonego zachowania (także zaniechań) na przyszłość.
Zrozumiałe jest wyrażone w skardze niezadowolenie Wnioskodawcy, który podnosił, że zastosowane środki zaradcze (upomnienie i nakaz usunięcia danych), nie gwarantują zaprzestania naruszeń – np. tworzenia przez Wskazanego kolejnych stron, bądź ustanawiania określonych między nimi powiązań. W RODO nie przewidziano jednak dalej idących niejako uniwersalnych środków, których zastosowaniach mogłaby żądać sama strona. Należy jedynie odnotować, że - w razie wystąpienia ponownych analogicznych naruszeń ze strony Wskazanego i wniesienia przez Wnioskodawcę stosownej skargi do organu - przedmiotem rozważań tegoż może być - oprócz wydania określonych nakazów - także zastosowanie sankcji w postaci nałożenia administracyjnej kary pieniężnej - jako środka, który może okazać się niezbędny dla skutecznego egzekwowania prawa w danym zakresie.
Wobec zarzutu niezastosowania danego instrumentu oddziaływania w przedmiotowej sprawie należy natomiast wskazać, co następuje. Wykorzystanie w określonej sprawie środka naprawczego pozostaje w gestii uznania organu. Strona, wobec której zastosowano konkretny środek, może wprawdzie kwestionować zasadność określonej sankcji - w tym wystąpienie podstaw wymierzenia kary pieniężnej bądź właściwego jej miarkowania. Dotyczy to jednak wyłącznie podmiotów ukaranych - w kontekście niewykraczania przez organ administracji poza granice uznania administracyjnego. Inaczej ma się jednak rzecz, gdy chodzi o stronę inicjującą postępowanie – osobę występującą ze skargą do organu. Zastosowanie sankcji administracyjnej w postaci wymierzenia kary służy wszak osiągnięciu skutku publicznego – skutecznego egzekwowania przestrzegania prawa w zakresie ochrony danych osobowych. Nie dotyczy zaś realizacji interesów innych stron postępowania. Ewentualne roszczenia, pozostające w związku z naruszeniem ochrony danych osobowych, realizuje się w ramach stosownych postępowań - inicjowanych przez zainteresowane osoby przed sądami powszechnymi.
Co podkreśla się jednolicie w judykaturze, kontrola działań, które organy administracji mogą podejmować wyłącznie z urzędu, pozostaje poza kompetencjami sądów administracyjnych. Są one właściwe wyłącznie do oceny w sprawach indywidualnych, czy ingerencja w prawa bądź nałożenie obowiązków mieści się w granicach prawa - w tym podjęto działania, do których organ był zobligowany wobec wniosku. Skoro w sprawie nie wymierzono administracyjnej kary pieniężnej, co organ czyni wyłącznie z urzędu – nie będąc w danym zakresie związany żądaniem wnoszącego skargę - kwestia zasadności zastosowania tej sankcji musi pozostawać poza oceną Sądu (patrz tak samo prawomocny wyrok WSA o sygn. akt II SA/Wa 185/20, dostępny na stronie internetowej orzeczenia.nsa.gov.pl/cbo/query – w Centralnej Bazie Orzeczeń Sądów Administracyjnych).
W konsekwencji jest poza jego oceną, czy samo udzielenie Wskazanemu upomnienia i wydanie mu nakazu usunięcia danych osobowych Dzieci jest współmierne wobec natury stwierdzonego naruszenia. Z uzasadnienia skarżonego aktu zaś wynika wprost, że organ miał na uwadze - formułując upomnienie i nakaz - okoliczność naruszenia w zakresie przetwarzania danych osobowych także wobec uprzedniego orzeczenia sądu powszechnego (sprawa o sygn. akt [...]) oraz zignorowania wezwania ze strony Wnioskodawcy. Stosując dane środki uznał, że cel - w postaci należytego przestrzegania przepisów RODO - będzie osiągnięty, gdy pozostałe dane zostaną usunięte zaś Wskazanego upomniano.
Sąd podziela stanowisko organu – zawarte w odpowiedzi na skargę – zgodnie z którym korzystanie z uprawnień naprawczych jest autonomiczną decyzją organu. Skoro uznano, w kontekście realiów niniejszej sprawy, że zasadne są upomnienie i nakaz usunięcia pozostałych danych – jako wystarczający dla przywrócenia stanu zgodnego z prawem w zakresie przetwarzania danych osobowych – Sąd nie jest uprawniony do wyrażania stanowiska w tym względzie. Formułowanie ocen w kwestii stosowanej polityki wymierzania kar, jako pozostającej w domenie organu władzy wykonawczej, prowadziłoby wprost do naruszenia konstytucyjnej reguły trójpodziału władzy - tak art. 10 Konstytucji Rzeczypospolitej Polskiej z dnia 2 kwietnia 1997 r. (Dz.U. Nr 78 poz. 483 ze zm.). Ingerencja sądu administracyjnego w czynności (w tym zaniechania) organów administracji jest dopuszczalna tylko w przypadkach przewidzianych ustawą – kiedy orzeczeniem indywidualnym wkroczono w prawo i obowiązki określonych podmiotów lub organ uchylił się od powinności realizacji wniosków, gdy równocześnie dla strony przewidziano wprost prawo żądania od niego podjęcia określonych działań.
W konsekwencji organ, stosując w niniejszej sprawie instrument o charakterze dyscyplinującym i naprawczym – przewidziany w art. 58 ust. 2 lit. b i d RODO – nie naruszył prawa. Zastosowanie ich – w postaci udzielenia upomnienia i nakazu usunięcia pozostałych danych Dzieci, mające na celu dostosowanie operacji przetwarzania tych danych do przepisów RODO – było zasadne. W skardze tego zresztą nie kwestionowano.
Zaskarżoną decyzją prawa więc nie naruszono – ani, co do powinności właściwego wyjaśnienia sprawy, czy stosownego uzasadnienia orzeczenia (w kwestii wymagań o charakterze procesowym), bądź zastosowania przewidzianych przepisami RODO reguł przetwarzania danych osobowych i stosowania przez organ środków naprawczych w razie ich naruszenia – tak: powołane w skardze ramy materialnoprawne.
Poza granicami sprawy pozostać musi zagadnienie czasu trwania postępowania. Kwestie te można by podnosić wyłącznie w ramach złożenia do sądu administracyjnego stosownego środka - skargi na bezczynność bądź przewlekłe prowadzenie postępowania, w myśl art. 3 §. 2 pkt 8 w zw. z pkt 1 ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (Dz.U. Dz.U. z 2024 r., poz. 935).
W tej sytuacji, wobec zarzutów skargi ani też z urzędu, Sąd nie dopatrzył się wadliwości skarżonej decyzji, która uzasadniałaby jej wyeliminowanie z obrotu prawnego.
Z przytoczonych wyżej przyczyn, na podstawie art. 151 ustawy – Prawo o postępowaniu przed sądami administracyjnymi, orzeczono jak w sentencji wyroku.
-----------------------
19