II SA/Wa 1242/23

II SA/Wa 1242/23 - Wyrok WSA w Warszawie
Data orzeczenia
2024-03-05
orzeczenie prawomocne
Data wpływu
2023-06-20
Sąd
Wojewódzki Sąd Administracyjny w Warszawie
Sędziowie
Joanna Kruszewska-Grońska /przewodniczący/
Lucyna Staniszewska
Piotr Borowiecki /sprawozdawca/
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Oddalono skargę
Sentencja
Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Joanna Kruszewska-Grońska, Sędzia WSA Piotr Borowiecki (spr.), Asesor WSA Lucyna Staniszewska, , , , po rozpoznaniu w trybie uproszczonym w dniu 5 marca 2024 r. sprawy ze skargi B K. na postanowienie Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] kwietnia 2023 r. nr [...] w przedmiocie odmowy wszczęcia postępowania oddala skargę
Uzasadnienie
W skierowanym do Urzędu Ochrony Danych Osobowych piśmie z [...] listopada 2018 r. B. K. (dalej: "skarżąca") zawarła m.in. skargę na nieprawidłowości
w procesie przetwarzania jej danych osobowych przez [...] Inc. (obecnie [...] Inc.) z siedzibą w [...] (dalej: "spółka"), bez podstawy prawnej na stronie internetowej pod adresem [...]. Skarżąca podniosła, że ww. strona internetowa zawiera plik w formacie .pdf zawierający jej dane osobowe, w tym nr PESEL.
Postanowieniem z [...] kwietnia 2023 r. nr [...] Prezes Urzędu Ochrony Danych Osobowych (dalej: "PUODO", "organ"), na podstawie art. 61a § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (obecnie tekst jednolity: Dz. U. z 2024 r., poz. 572; dalej: "k.p.a.") w związku z art. 3 ust. 2 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z dnia 4 maja 2016 r., str. 1 ze sprost.; dalej: "RODO"), odmówił wszczęcia postępowania administracyjnego.
W uzasadnieniu ww. rozstrzygnięcia PUODO stwierdził, że żadna z przesłanek zawartych w art. 3 ust. 1 i ust. 2 oraz motywie 23 i motywie 24 preambuły RODO nie została spełniona. Podkreślił, iż spółka ma siedzibę w [...], tj. państwie trzecim względem państw członkowskich Unii Europejskiej (dalej: "UE"). Charakter przedstawionej w skardze działalności nie pozwala na stwierdzenie, że oferuje ona swoje usługi osobom, których dane dotyczą, w którymkolwiek państwie członkowskim UE. Dla uznania, iż oferowana usługa skierowana jest do osób znajdujących się na terenie UE, nie wystarczy sama jej dostępność w danym państwie członkowskim ze względu na globalny charakter sieci Internet. Na taki wniosek nie pozwala też prowadzenie tej strony w języku angielskim.
Spółka prowadzi działalność związaną ze sprzedażą nazw domen (rejestracją). Rejestratora nazwy domeny (ang. "registrar") nie należy utożsamiać z administratorem danych osobowych, gdyż co do zasady zarządzającym domeną, a więc decydującym jak jest wykorzystywana i o jakie treści uzupełniania, jest abonent (ang. "registrant"). Obecnie rejestratorem ww. strony jest [...] z siedzibą w [...].
Organ wyjaśnił, że monitorowanie należy rozumieć jako "obserwowanie zachowań osoby, której dane dotyczą, w Internecie, w tym za pośrednictwem odpowiednich urządzeń i rozwiązań technicznych, które może, ale nie musi prowadzić do opracowania profilu pozwalającego na określenie jej przyszłych zachowań, np. związanych z trybem życia, nawykami konsumpcyjnymi, poglądami politycznym itp.". Tymczasem z treści skargi nie wynika, aby przetwarzanie danych osobowych skarżącej można było uznać za monitorowanie jej zachowania lub profilowanie w celu podjęcia decyzji.
PUODO skonkludował, iż nie ma możliwości dokonania - w oparciu o obowiązujące przepisy o ochronie danych osobowych - merytorycznej oceny zarzucanych spółce naruszeń w procesie przetwarzania danych osobowych skarżącej ze względu wyłączenie stosowania przepisów RODO. W konsekwencji niemożliwym jest skorzystanie przez organ z uprawnień pozwalających na przywrócenie stanu zgodnego z prawem.
Pismem z 21 maja 2023 r. skarżąca, powołując się na art. 7 ust. 2, ust. 3
i ust. 4 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r., poz. 1781; dalej: "u.o.d.o.") oraz art. 3 ust. 2 pkt 2 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2024 r., poz. 935; dalej: "p.p.s.a."), wniosła skargę na opisane wyżej postanowienie PUODO z [...] kwietnia 2023 r.
W odpowiedzi na skargę PUODO wniósł o jej oddalenie, podtrzymując argumentację przedstawioną w uzasadnieniu zaskarżonego postanowienia.
Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje:
Skarga nie zasługuje na uwzględnienie.
Zgodnie z 7 ust. 1 u.o.d.o., w sprawach nieuregulowanych w ustawie do postępowań administracyjnych przed PUODO, o których mowa w rozdziałach 4-7 i 11, stosuje się k.p.a.
Istota sprawy w kontrolowanym postępowaniu sprowadza się do zbadania, czy organ prawidłowo zastosował art. 61a § 1 k.p.a. Stosownie do treści ww. przepisu, gdy żądanie wszczęcia postępowania zostało wniesione przez osobę niebędącą stroną lub z innych uzasadnionych przyczyn postępowanie nie może być wszczęte, organ administracji publicznej wydaje postanowienie o odmowie wszczęcia postępowania. Cytowany przepis zawiera dwie odrębne przesłanki uzasadniające wydanie postanowienia o odmowie wszczęcia postępowania. Są to: wniesienie podania przez osobę, która nie jest stroną albo istnienie innych uzasadnionych przyczyn uniemożliwiających wszczęcie postępowania. Okoliczności dotyczące innych uzasadnionych przyczyn nie zostały skonkretyzowane w k.p.a. Należy jednak uznać, że są to okoliczności, które w oczywisty sposób stanowią przeszkodę do wszczęcia postępowania (vide wyrok Wojewódzkiego Sądu Administracyjnego w Poznaniu z 6 września 2012 r., sygn. akt IV SA/Po 332/12 – orzeczenia sądów administracyjnych są dostępne w internetowej bazie orzeczeń na stronie Naczelnego Sądu Administracyjnego, dalej: "NSA": orzeczenia.nsa.gov.pl). Odmowa wszczęcia postępowania na tej podstawie może mieć miejsce w sytuacjach oczywistych, niewymagających analizy sprawy i przeprowadzenia dowodów (vide wyrok NSA z 22 maja 2015 r., sygn. akt II OSK 2671/13).
Do uzasadnionych przyczyn uniemożliwiających wszczęcie postępowania należy zakwalifikować takie okoliczności, które już na wstępnym etapie przesądzają, iż postępowanie nie mogłoby się zakończyć wydaniem decyzji merytorycznej (vide M. Karpiuk [red.], P. Krzykowski [red.], A. Skóra [red.], Kodeks postępowania administracyjnego. Komentarz do art. 61-126, tom II, Warszawa 2020). Postępowanie administracyjne nie może być wszczęte, gdy wszczęciu stoi na przeszkodzie przepis prawa bądź poszczególne przepisy, których wykładnia uniemożliwia prowadzenie tego postępowania i rozpatrzenie treści żądania w sposób merytoryczny (vide wyrok NSA z 18 października 2016 r., sygn. akt I FSK 301/15). Podkreślenia wymaga, że organ w postanowieniu o odmowie wszczęcia postępowania nie może zawrzeć wniosków i ocen dotyczących meritum żądania (vide wyroki: NSA z 4 kwietnia 2019 r., sygn. akt II OSK 1268/17; Wojewódzkiego Sądu Administracyjnego w Olsztynie z 13 grudnia 2011 r., sygn. akt II SA/Ol 893/11; Wojewódzkiego Sądu Administracyjnego w Gorzowie Wielkopolskim z 17 października 2012 r., sygn. akt II SA/Go 695/12). Tak więc postanowienie o odmowie wszczęcia postępowania ma charakter rozstrzygnięcia formalnego, a nie merytorycznego. Wydanie przez organ administracji publicznej ww. postanowienia poprzedza wyłącznie zbadanie przesłanek uzasadniających dopuszczalność wszczęcia postępowania (vide wyrok NSA z 18 kwietnia 2012 r., sygn. akt II GSK 347/11).
W niniejszej sprawie odmowa wszczęcia postępowania nastąpiła z uwagi na wyłączenie stosowania przepisów RODO.
Stosownie do treści art. 3 ust. 1 RODO, niniejsze rozporządzenie ma zastosowanie do przetwarzania danych osobowych w związku z działalnością prowadzoną przez jednostkę organizacyjną administratora lub podmiotu przetwarzającego w UE, niezależnie od tego, czy przetwarzanie odbywa się w UE. Przepis art. 3 ust. 2 RODO rozszerza zastosowanie rozporządzenia, obejmując przetwarzanie danych osobowych osób, których dane dotyczą, przebywających w UE przez administratora lub podmiot przetwarzający niemających jednostek organizacyjnych w UE, jeżeli czynności przetwarzania wiążą się z:
a) oferowaniem towarów lub usług takim osobom, których dane dotyczą, w UE - niezależnie od tego, czy wymaga się od tych osób zapłaty; lub
b) monitorowaniem ich zachowania, o ile do zachowania tego dochodzi w UE.
W celu stwierdzenia zaistnienia pierwszej przesłanki, tj. oferowania towarów lub usług osobom przebywającym w UE, należy odnieść się do motywu 23 preambuły RODO. Wedle jego treści, aby osoby fizyczne nie zostały pozbawione ochrony przysługującej im na mocy niniejszego rozporządzenia, przetwarzanie danych osobowych osób, których dane dotyczą, znajdujących się w UE przez administratora lub podmiot przetwarzający, którzy nie posiadają jednostki organizacyjnej w UE, powinno podlegać niniejszemu rozporządzeniu, jeżeli czynności przetwarzania wiążą się z oferowaniem takim osobom towarów lub usług, niezależnie od tego, czy pociąga to za sobą płatność. Aby stwierdzić, czy administrator lub podmiot przetwarzający oferują towary lub usługi znajdującym się w UE osobom, których dane dotyczą, należy ustalić, czy jest oczywiste, że administrator lub podmiot przetwarzający planują oferować usługi osobom, których dane dotyczą, w co najmniej jednym państwie członkowskim UE. O ile do ustalenia takiego zamiaru nie wystarczy sama dostępność w UE strony internetowej administratora, podmiotu przetwarzającego, pośrednika, adresu poczty elektronicznej lub innych danych kontaktowych ani posługiwanie się językiem powszechnie stosowanym w państwie trzecim, w którym jednostkę organizacyjną ma administrator, o tyle potwierdzeniem oczywistości faktu, że administrator planuje oferować w UE towary lub usługi osobom, których dane dotyczą, mogą być czynniki takie, jak posługiwanie się językiem lub walutą powszechnie stosowanymi w co najmniej jednym państwie członkowskim oraz możliwość zamówienia towarów i usług w tym języku lub wzmianka o klientach lub użytkownikach znajdujących się w UE.
Drugą przesłanka umożliwiającą stosowanie przepisów RODO przez podmioty niemające jednostki organizacyjnej w UE jest przetwarzanie danych osób przebywających w UE związane z monitorowaniem ich zachowania, o ile do zachowania tego dochodzi w UE. Jak wskazuje motyw 24 preambuły RODO, przetwarzanie danych osobowych znajdujących się w UE osób, których dane dotyczą, przez administratora lub podmiot przetwarzający, którzy nie mają jednostki organizacyjnej w UE, powinno podlegać niniejszemu rozporządzeniu także w przypadkach, gdy wiąże się z monitorowaniem zachowania takich osób, których dane dotyczą, o ile zachowanie to ma miejsce w UE. Aby stwierdzić, czy czynność przetwarzania można uznać za "monitorowanie zachowania" osób, których dane dotyczą, należy ustalić, czy osoby fizyczne są obserwowane w internecie, w tym także czy później potencjalnie stosowane są techniki przetwarzania danych polegające na profilowaniu osoby fizycznej, w szczególności w celu podjęcia decyzji jej dotyczącej lub przeanalizowania lub prognozowania jej osobistych preferencji, zachowań i postaw.
Tutejszy Sąd w pełni podziela stanowisko PUODO wyrażone w zaskarżonym postanowieniu. Okoliczność, iż oferowana przez spółkę usługa jest dostępna w państwie członkowskim UE nie jest równoznaczne ze skierowaniem jej do osób znajdujących się na terenie UE. W szczególności nie świadczy o tym fakt, że wyszukiwarka Google zwraca wynik wyszukiwania do ww. strony.
Spółka ma siedzibę w [...], czyli państwie trzecim względem państw członkowskich UE. Prowadzi działalność związaną ze sprzedażą nazw domen (rejestracją). Obecnie rejestratorem strony, której dotyczy skarga skarżącej, jest [...] z siedzibą w [...]. Natomiast nie jest znany abonent, tj. podmiot zarządzający domeną, a tym samym decydujący jak jest wykorzystywana i o jakie treści uzupełniania.
Prawidłowo organ nie dopatrzył się zaistnienia przesłanek ujętych w art. 3 ust. 2 RODO. Ustalenie - w ramach wstępnego badania powołanej na wstępie skargi - wyłączenia stosowanie przepisów RODO stanowi przeszkodę czyniącą niedopuszczalnym rozpoznanie tej skargi w formie administracyjnoprawnej. W konsekwencji wydanie zaskarżonego postanowienia należy uznać za ze wszech miar zasadne.
Mając na uwadze powyższe, Wojewódzki Sąd Administracyjny w Warszawie na mocy art. 151 p.p.s.a. orzekł jak w sentencji wyroku.
Sprawa została rozpoznana w trybie uproszczonym w oparciu
o art. 119 pkt 3 p.p.s.a., w myśl którego sprawa może być rozpoznana w trybie uproszczonym, jeżeli przedmiotem skargi jest postanowienie wydane w postępowaniu administracyjnym, na które służy zażalenie albo kończące postępowanie, a także postanowienie rozstrzygające sprawę co do istoty oraz postanowienia wydane
w postępowaniu egzekucyjnym i zabezpieczającym, na które służy zażalenie.