II SA/Wa 1253/24

II SA/Wa 1253/24 - Wyrok WSA w Warszawie
Data orzeczenia
2025-02-21
orzeczenie prawomocne
Data wpływu
2024-08-01
Sąd
Wojewódzki Sąd Administracyjny w Warszawie
Sędziowie
Arkadiusz Koziarski /sprawozdawca/
Ewa Radziszewska-Krupa
Joanna Kube /przewodniczący/
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne
Ochrona danych osobowych
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Oddalono skargę
Powołane przepisy
Dz.U. 2024 poz 935
art. 151
Ustawa z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (t. j.)
Sentencja
Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Joanna Kube, Sędzia WSA Ewa Radziszewska-Krupa, Asesor WSA Arkadiusz Koziarski (spr.), , po rozpoznaniu w trybie uproszczonym w dniu 21 lutego 2025 r. sprawy ze skargi E. B. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] maja 2024 r. nr [...] w przedmiocie umorzenia postępowania oddala skargę
Uzasadnienie
Prezes Urzędu Ochrony Danych Osobowych (dalej "PUODO"), decyzją z dnia [...] maja 2024 r. nr [...] wydaną na podstawie art. 105 § 1 oraz ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz.U.
z 2023 r. poz. 775, z późn. zm.), dalej "k.p.a.", art. 7 ust. 1 i 2 ustawy z dnia 10 maja
2018 r. o ochronie danych osobowych (Dz. U. z 2019 r., poz. 1781 ze zm.), po przeprowadzeniu postępowania administracyjnego w sprawie skargi E. B. (dalej "skarżąca"), na nieprawidłowości w procesie przetwarzania jej danych osobowych przez Organizację Międzyzakładową nr [...] NSZZ Solidarność-80 w WORD (dalej "Związek") polegające na przetwarzaniu, w tym upublicznieniu, danych osobowych skarżącej
w zakresie jej wizerunku bez podstawy prawnej na stronie pod adresem URL : https [...] oraz na portalu społecznościowych Facebook pod adresem URL https[...], na którym został udostępniony link do strony https: [...] oraz udostępnieniu tego wizerunku podmiotom nieuprawnionym, umorzył postępowanie.
W uzasadnieniu organ wyjaśnił, że do Urzędu Ochrony Danych Osobowych wpłynęła skarga skarżącej na nieprawidłowości w procesie przetwarzania jej danych osobowych przez Związek, polegające na przetwarzaniu, w tym upublicznieniu, danych osobowych skarżącej w zakresie jej wizerunku bez podstawy prawnej na stronie pod adresem URL: https: [...] oraz na portalu społecznościowych Facebook pod adresem URL https: [...], na którym został udostępniony link do strony https: [...] oraz udostępnieniu tego wizerunku podmiotom nieuprawnionym.
Dalej organ wskazał, że w toku przeprowadzonego postępowania ustalił następujący stan faktyczny:
1. [...] czerwca 2023 r. skierowane zostało przez pracowników Wojewódzkiego Ośrodka Ruch Drogowego w R. (dalej "WORD") do Związku zawiadomienie dotyczące bezpieczeństwa jednej z pracownic WORD wykonującej czynności [...] oraz zwrócono się, za pośrednictwem tego pisma, z prośbą o podjęcie przez Związek działań w celu ochrony zdrowia i życia tej pracownicy. Do pisma dołączono płytę CD zawierającą zdjęcia osoby myjącej okna na po ich zewnętrznej stronie.
2. Osoba myjąca okna uwidoczniona na zdjęciach myje okna w pozycji kucającej i jest odwrócona tyłem do obiektywu aparatu. Na jednym ze zdjęć osoba ta myje okna w pozycji stojącej (bokiem do obiektywu aparatu), ma zamazaną.
3. W treści skargi skarżąca wskazała, że pracuje na stanowisku [...] w WORD oraz, że na tym stanowisku są zatrudnione tylko 3 osoby, które, jak twierdzi skarżąca, różnią się posturą.
4. Związek w piśmie z [...] listopada 2023 r. wskazał, że zdjęcia znajdujące się na płycie CD przechowywane są w dokumentacji Związku. W piśmie powyższym Związek wskazał, że nie wie kto wykonał przesłane zdjęcia, a samo zdjęcie kucającej osoby na parapecie zewnętrznym zostało umieszczone na profilu Związku na portalu Facebook w celu wykazania jak bardzo nieprzestrzegane są przepisy BHP w WORD.
5. Związek w piśmie z [...] października 2023 r. wyjaśnił, że nie udostępnił kwestionowanego zdjęcia podmiotom trzecim.
Dalej organ wyjaśnił, że zgodnie z art. 4 pkt 1 rozporządzenia Parlamentu Europejskiego i Rady UE 2016/679 z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 4.05.2016, str. 1, Dz. Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35), dalej "RODO", "dane osobowe" oznaczają wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej ("osobie, której dane dotyczą"); możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora takiego jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej.
Organ zwrócił uwagę, że definicja danych osobowych zawarta w przepisach RODO składa się z czterech podstawowych elementów: 1) wszelkie informacje, 2) dotyczące, 3) zidentyfikowanej lub możliwej do zidentyfikowania, 4) osoby fizycznej. By dana informacja stanowiła daną osobową koniecznym jest by pozwalała ona na zidentyfikowanie osoby fizycznej. Można uważać osobę fizyczną za "zidentyfikowaną", jeśli w grupie osób można ją odróżnić od wszystkich pozostałych członków grupy. Osoba fizyczna jest też "możliwa do zidentyfikowania", jeżeli, mimo że nie została jeszcze zidentyfikowana, taka identyfikacja jest możliwa. Identyfikacji dokonuje się dzięki czynnikami identyfikującymi, tj. poszczególnym informacjom, które wiążą się w sposób szczególny i bliski z daną osobą. Tożsamość osoby można ustalić bezpośrednio poprzez jej wizerunek lub nazwisko lub pośrednio poprzez jej numer telefonu, numer rejestracyjny samochodu, numer ubezpieczenia społecznego, numer paszportu lub poprzez zestawienie istotnych kryteriów, które umożliwią odróżnienie tej osoby poprzez zawężenie grupy, do której ona należy (cechy fizyczne, wiek, zajęcie, miejsce zamieszkania, itp.). Pośrednia identyfikacja osoby odnosi się do zjawiska "niepowtarzalnej kombinacji". Oznacza to, że w sytuacji, gdy dostępne czynniki identyfikujące nie pozwalają prima facie na wyodrębnienie konkretnej osoby, osoba ta może pomimo to być "możliwa do zidentyfikowania", ponieważ informacje te, w połączeniu z innymi informacjami, pozwalają na odróżnienie tej osoby od innych.
PUODO podniósł, że w motywie 26 RODO wskazuje się, że dla stwierdzenia, czy dana osoba fizyczna jest możliwa do zidentyfikowania, należy wziąć pod uwagę wszelkie rozsądnie prawdopodobne sposoby (w tym wyodrębnienie wpisów dotyczących tej samej osoby), w stosunku do których istnieje uzasadnione prawdopodobieństwo, iż zostaną wykorzystane przez administratora lub inną osobę w celu bezpośredniego lub pośredniego zidentyfikowania osoby fizycznej. Aby stwierdzić, czy dany sposób może być z uzasadnionym prawdopodobieństwem wykorzystany do zidentyfikowania danej osoby, należy wziąć pod uwagę wszelkie obiektywne czynniki, takie jak koszt i czas potrzebne do jej zidentyfikowania, oraz uwzględnić technologię dostępną w momencie przetwarzania danych, jak i postęp technologiczny. Zasady ochrony danych nie powinny więc mieć zastosowania do informacji anonimowych, czyli informacji, które nie wiążą się ze zidentyfikowaną lub możliwą do zidentyfikowania osobą fizyczną, ani do danych osobowych zanonimizowanych w taki sposób, że osób, których dane dotyczą, w ogóle nie można zidentyfikować lub już nie można zidentyfikować.
Następnie organ stwierdził, że przeprowadzone postępowanie administracyjne nie wykazało, by Związek publikując na swoim portalu oraz stronie internetowej zdjęcie kwestionowane przez skarżącą naruszył jej dane osobowe. PUODO wskazał, że zdjęcie publikowane na stronie [...] oraz profilu Facebook Związku zawiera ujęcie osoby w pozycji kucającej odwróconej tyłem do obiektywu aparatu. Ujęcie to nie zawiera ani koloru włosów tej osoby, brak jest widocznej głowy, a ubranie nie zawiera napisów ani śladów szczególnych indywidualizujących taką osobę. Również treść zawarta nad i pod tym zdjęciem nie pozwala na ustalenie tożsamości uwidocznionej na zdjęciu osoby. Organ zaznaczył ponadto, że również zdjęcie, na którym zawarty jest obraz stojącej osoby w pozycji bocznej nie pozwala na ustalenie rysów twarzy, koloru włosów bądź uczesania, bowiem treść ta jest zamazana.
Zdaniem organu powyższe okoliczności nie pozwalają na przyjęcie, że Związek przetwarza dane w zakresie wizerunku zidentyfikowanej skarżącej, w tym by wizerunek ten był przez Związek udostępniany podmiotom trzecim. Tym samym zgromadzony materiał dowodowy nie pozwala na przyjęcie założenia dotyczącego przetwarzania danych osobowych skarżącej w zakresie jej wizerunku w oparciu o treść definicji danych osobowych, o której mowa w art. 4 pkt 1 RODO.
PUODO stwierdził, że wobec powyższego w przedmiotowej sprawie nie zaistniał proces przetwarzania danych, którego prawidłowość kwestionuje skarżąca. Natomiast PUODO jest upoważniony do wydania decyzji administracyjnej tylko i wyłącznie w sytuacji stwierdzenia naruszenia przepisów RODO w zaistniałym procesie przetwarzania danych. Wobec tego postępowanie w tym zakresie jest bezprzedmiotowe i podlega umorzeniu.
Końcowo organ dodał, że jeśli w odczuciu skarżącej, doszło do naruszenia jej dóbr osobistych przez Związek, wskutek czego doznała ona określonej szkody, może ona dochodzić swoich praw na drodze postępowania przed sądem powszechnym stosownie do przepisów ustawy z 17 listopada 1964 r. Kodeks postępowania cywilnego (Dz. U. z 2022 r. poz. 1360 tj.). Stosownie do treści art. 23 Kodeksu cywilnego, niezależnie od ochrony przewidzianej w innych przepisach, dobra osobiste człowieka, jak
w szczególności zdrowie, wolność, cześć, swoboda sumienia, nazwisko lub pseudonim, wizerunek, tajemnica korespondencji, nietykalność mieszkania, twórczość naukowa, artystyczna, wynalazcza i racjonalizatorska, pozostają pod ochroną prawa cywilnego. Zgodnie z art. 24 § 1 Kodeksu cywilnego ten, czyje dobro osobiste zostaje zagrożone cudzym działaniem, może żądać zaniechania tego działania, chyba że nie jest ono bezprawne. W razie dokonanego naruszenia może on także żądać, ażeby osoba, która dopuściła się naruszenia, dopełniła czynności potrzebnych do usunięcia jego skutków, w szczególności ażeby złożyła oświadczenie odpowiedniej treści i w odpowiedniej formie. Na zasadach przewidzianych w Kodeksie cywilnym może ona również żądać zadośćuczynienia pieniężnego lub zapłaty odpowiedniej sumy pieniężnej na wskazany cel społeczny. Sądem właściwym w tym zakresie będzie sąd cywilny.
Na powyższą decyzję skarżąca wniosła skargę do Wojewódzkiego Sądu Administracyjnego w Warszawie. Zaskarżonej decyzji zarzuciła naruszenie:
1. przepisów postępowania, które mogło mieć istotny wpływ na wynik sprawy, w szczególności art. 7, art. 77 § 1 k.p.a. poprzez nieprawidłowe uwzględnienie dowodów dostarczonych przez skarżącą oraz danie wiary jedynie wyjaśnieniom złożonym przez stronę przeciwną.
2. przepisów prawa materialnego, które mogło mieć istotny wpływ na wynik sprawy, w szczególności art. 4 pkt. 1 i 2 RODO poprzez błędną interpretację definicji danych osobowych oraz udostępnienia tych danych.
W oparciu o powyższe zarzuty skarżąca wniosła o uchylenie zaskarżonej decyzji.
W uzasadnieniu skargi skarżąca podniosła, że wizerunek jest elementem pozwalającym na zidentyfikowanie danej osoby, a zatem kwalifikowany jest również jako dana osobowa. Ponadto wizerunek łączy się ze wszystkimi dostrzegalnymi cechami, które składają się na wygląd człowieka. Chodzi tu nie tylko o cechy fizyczne jego ciała takie jak: rysy twarzy, postura, kolor włosów, linia profilu, ale także charakterystyczny cień, ubiór, sposób poruszania się, okulary, fryzura, elementy związane z wykonywanym zawodem, rekwizyty - o ile tylko, wraz z innymi cechami, są one dla danej osoby charakterystyczne. W wyroku Sądu Najwyższego z dnia 20 maja 2005 r. sygn. akt II CK 330/03 przyjęto, że wizerunek, poza dostrzegalnymi dla otoczenia cechami fizycznymi, tworzącymi wygląd danej jednostki i pozwalającymi - jak się określa - na jej identyfikację wśród innych ludzi, może obejmować dodatkowe utrwalone elementy związane z wykonywanym zawodem, jak charakteryzacja, ubiór, sposób poruszania się i kontaktowania z otoczeniem. Wizerunek wcale nie musi przedstawiać twarzy osoby, może to być także zdjęcie pleców, sylwetki, jeśli kontekst sytuacyjny wskazuje, kto to jest. Nie ma znaczenia okoliczność, czy rozpowszechnia się wizerunek w całości, czy też w części (tylko niektóre charakterystyczne cechy osoby fizycznej). Aby podobizna osoby fizycznej mogła być uznana za wizerunek podlegający ochronie prawnej, musi ona pozwalać na rozpoznanie tej osoby szerokiemu gronu odbiorców, a zatem wykraczającemu poza najbliższe grono rodzinne czy towarzyskie tej osoby.
Skarżąca podniosła, że od dnia 13 lipca 2023 r. na stronie internetowej Związku wciąż widnieje informacja zatytułowana "[...]" wraz ze zdjęciem, na którym, zdaniem skarżącej, jest ona widoczna. Z treści informacji tam zawartej wynika, że jest ona pracownikiem WORD w R. W WORD w R. Pracuje niespełna 60 osób, są to pracownicy biurowo-administracyjni, egzaminatorzy i [...] kobiety – [...]. Ze zdjęcia wynika jasno, że nie jest to ani pracownik biurowo-administracyjny, ani egzaminator (wyposażeni są w odzież służbową - garnitury/koszule z napisem egzaminator), a WORD nie zatrudnia 100 osób sprzątających ani firmy zewnętrznej do tych celów.
Dalej skarżąca wyjaśniła, że każda z osób zatrudnionych na stanowisku [...] różni się posturą, charakterystyką sylwetki, kolorem włosów. Wszystkie mieszkają w tej samej gminie, obracają się w podobnym kręgu znajomych. Skarżąca zwrócił uwagę, że w uzasadnieniu zaskarżonej decyzji wskazano, że zdjęcie zawiera ujęcie osoby w pozycji kucającej odwróconej tyłem do obiektywu aparatu, ujęcie nie zawiera ani koloru włosów, brak jest widocznej głowy, a ubranie nie zawiera napisów ani śladów szczególnych indywidualizujących taką osobę. Skarżąca przyznaje, że [...]. Zdaniem skarżącej biorąc pod uwagę fakt różnic w posturze w stosunku do pozostałych osób sprzątających, zarówno w pozycji kucającej jak i stojącej bocznej oraz fakt posiadania charakterystycznego fartuszka zidentyfikowanie jej jako osoby znajdującej się na tych zdjęciach nie jest trudne. Takiej trudności nie miały osoby zamieszkujące w jej miejscowości, osoby w środowisku pracy jej męża, czy w końcu instruktorzy szkół nauki jazdy, czy osoby zapisujące się na egzaminy, kursy i szkolenia prowadzone przez WORD.
Ponadto skarżąca podała, że w mieście R. i powiecie jest tylko jeden Wojewódzki Ośrodek Ruchu Drogowego, do którego dziennie w godzinach pracy przychodzi od 250 do 300 osób. Są to osoby egzaminowane, szkolone oraz osoby towarzyszące. Praca osób sprzątających odbywa się na dwie zmiany, tak więc nie tylko po godzinach pracy pracowników WORD, ale także w trakcie obsługi wszystkich Interesantów. Skarżąca nadmieniła, że do zakresu obowiązków osób [...], należy m.in.: utrzymywanie czystości i porządku w pomieszczeniach WORD, na korytarzach, klatce schodowej i sanitariatach poprzez: czyszczenie posadzek, sprzętu i urządzeń sanitarnych, estetyczne ustawianie krzeseł i stolików w holu i w salach egzaminacyjnych. Czynności te są wykonywane stale i wciąż przez te same 3 osoby, nie są one anonimowe. Interesanci nie znają wprawdzie ich imion i nazwisk, ale rozpoznają kto jest na zdjęciu, gdyż z 3 osobowego składu bardzo łatwo rozpoznać, która to z nich. Skarżąca wskazała, że każdego dnia do WORD przychodzą dziesiątki osób i niejednokrotnie odczuwa na swojej osobie wzrok osób ją rozpoznających, szydercze uśmiechy i komentarze.
Skarżąca zauważyła również, że z wyjaśnień złożonych przez Związek, którym organ dał wiarę, wynika, że Związek nie wie kto wykonał przesłane zdjęcia oraz że nie udostępnił zdjęcia podmiotom trzecim. Zdaniem skarżącej trudno się z tym zgodzić.
Z treści zamieszczonej na stronie internetowej https: [...] informacji jasno wynika od kogo otrzymali zdjęcia i komu zostały one przekazane.
W odpowiedzi na skargę organ wniósł o oddalenie skargi, podtrzymując argumentację zawartą w zaskarżonej decyzji. Organ wniósł o rozpoznanie sprawy
w trybie uproszczonym.
Ponadto organ wskazał, że skarżąca w treści swojej skargi próbuje przedstawić subiektywną ocenę dotyczącą swojej rzekomo szerokiej rozpoznawalności, dokonywanej na podstawie znajdujących się w aktach sprawy zdjęć jej postury, podkreślając, że jest rozpoznawana niemal przez każdą osobę z okręgu WORD, odwiedzjącą ten ośrodek.
W ocenie organu, takie subiektywne przeświadczenie skarżącej nie może zostać uwzględnione, a tym bardziej nie jest ono potwierdzone jakimkolwiek dowodem znajdującym się w aktach postępowania administracyjnego. Uwzględnienie przeświadczenia skarżącej wyrażonego w skardze, zdaniem PUODO, prowadziłoby do irracjonalnej sytuacji, w której skarżąca (jako osoba kucająca, odwrócona tyłem do obiektywu aparatu), jest szeroko znana z takiego właśnie ułożenia ciała dla każdej osoby, nawet takiej, która jeszcze ośrodka WORD nie odwiedziła. Skarżąca ponadto z góry zakłada, że każda osoba odwiedzająca WORD jest czytelnikiem artykułów, na które ona powołuje się i wskutek tego jest w stanie ową skarżącą rozpoznać jako osobę funkcyjną, reprezentującą ww. ośrodek, co według oceny organu jest szeroko pojętą nadinterpretacją danych osobowych i wynikającej z definicji art. 4 pkt 1 RODO indywidualizacji osobowej.
Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje:
Na wstępie należy wyjaśnić, że złożona w niniejszej sprawie skarga została rozpoznana na posiedzeniu niejawnym w trybie uproszczonym, stosownie do art. 119 pkt 2 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2024 r. poz. 935, z późn. zm.), dalej "p.p.s.a." Zgodnie z powołaną regulacją, sprawa może być rozpoznana w trybie uproszczonym, jeżeli strona zgłosi wniosek o skierowanie sprawy do rozpoznania w trybie uproszczonym, a żadna z pozostałych stron w terminie czternastu dni od zawiadomienia o złożeniu wniosku nie zażąda przeprowadzenia rozprawy.
W odpowiedzi na skargę organ wniósł o rozpoznanie sprawy w trybie uproszczonym, zaś żadna z pozostałych stron nie zażądała przeprowadzenia rozprawy.
Zgodnie z art. 1 § 1 i § 2 ustawy z dnia 25 lipca 2002 r. - Prawo o ustroju sądów administracyjnych (Dz. U. z 2024 r., poz. 1267) oraz art. 3 § 1 p.p.s.a., sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej. Kontrola ta polega na ocenie zgodności zaskarżonego aktu z przepisami postępowania administracyjnego, a także prawidłowości zastosowania i wykładni norm prawa materialnego. Kontrola ta jest dokonywana według stanu faktycznego i prawnego obowiązującego w dacie wydania zaskarżonego aktu.
W myśl art. 134 § 1 i 2 p.p.s.a. sąd rozstrzyga w granicach danej sprawy nie będąc związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną,
z zastrzeżeniem art. 57a, przy czym sąd nie może wydać orzeczenia na niekorzyść skarżącego, chyba że stwierdzi naruszenie prawa skutkujące stwierdzeniem nieważności zaskarżonego aktu lub czynności.
Rozpatrując skargę wedle powyższych kryteriów Sąd uznał, że nie zasługuje ona na uwzględnienie.
Zaskarżoną w niniejszej sprawie decyzją PUODO umorzył postępowanie ze skargi skarżącej na nieprawidłowości w procesie przetwarzania jej danych osobowych przez Związek. W skardze skierowanej do PUODO skarżąca podnosiła, że Związek przetwarza w tym upublicznia bez podstawy prawnej jej dane osobowe w zakresie jej wizerunku na stronie pod adresem URL : [...] oraz na portalu społecznościowych Facebook pod adresem URL [...], na którym został udostępniony link do strony https[...]. Proces przetwarzania danych osobowych skarżącej miałby polegać w tym przypadku na opublikowaniu fotografii przedstawiającej skarżącą w trakcie mycia okien w budynku WORD oraz dalsze ich udostępnienie innym podmiotom. Organ umarzając postępowanie w sprawie uznał, że Związek nie naruszył danych osobowych skarżącej, albowiem nie można uznać, że Związek przetwarza dane w zakresie wizerunku zidentyfikowanej skarżącej.
Sąd tę ocenę organu podziela.
Podstawowym problemem, jaki należało w niniejszej sprawie ocenić było to, czy w mamy w tym przypadku do czynienia z procesem przetwarzania przez Związek danych osobowych skarżącej. Nie jest bowiem kwestionowane, że Związek jest w posiadaniu spornych fotografii, ani też to, że jedna z tych fotografii została opublikowane na jego stronie internetowej i na profilu na portalu Facebook wraz tekstem opisującym treść tej fotografii. Tylko przy uznaniu, że fotografie te stanowią dane osobowe skarżącej oceniać można by było, czy proces ten następuje z zgodzie z przepisami RODO. Konieczne by wówczas również było ustalenie, czy oprócz gromadzenia i opublikowania tych danych przez Związek proces przetwarzania objął także ich udostępnienie na rzecz innych podmiotów.
Należy zauważyć, że zgodnie z art. 4 pkt 1 RODO, dane osobowe oznaczają wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej ("osobie, której dane dotyczą"); możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora takiego jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej.
Z motywu 26 RODO wynika natomiast, że zasady ochrony danych powinny mieć zastosowanie do wszelkich informacji o zidentyfikowanych lub możliwych do zidentyfikowania osobach fizycznych. Spseudonimizowane dane osobowe, które przy użyciu dodatkowych informacji można przypisać osobie fizycznej, należy uznać za informacje o możliwej do zidentyfikowania osobie fizycznej. Aby stwierdzić, czy dana osoba fizyczna jest możliwa do zidentyfikowania, należy wziąć pod uwagę wszelkie rozsądnie prawdopodobne sposoby (w tym wyodrębnienie wpisów dotyczących tej samej osoby), w stosunku do których istnieje uzasadnione prawdopodobieństwo, iż zostaną wykorzystane przez administratora lub inną osobę w celu bezpośredniego lub pośredniego zidentyfikowania osoby fizycznej. Aby stwierdzić, czy dany sposób może być z uzasadnionym prawdopodobieństwem wykorzystany do zidentyfikowania danej osoby, należy wziąć pod uwagę wszelkie obiektywne czynniki, takie jak koszt i czas potrzebne do jej zidentyfikowania oraz uwzględnić technologię dostępną w momencie przetwarzania danych, jak i postęp technologiczny. Zasady ochrony danych nie powinny więc mieć zastosowania do informacji anonimowych, czyli informacji, które nie wiążą się ze zidentyfikowaną lub możliwą do zidentyfikowania osobą fizyczną, ani do danych osobowych zanonimizowanych w taki sposób, że osób, których dane dotyczą, w ogóle nie można zidentyfikować lub już nie można zidentyfikować. RODO nie dotyczy więc przetwarzania anonimowych informacji, w tym przetwarzania do celów statystycznych lub naukowych.
W doktrynie wskazuje, że za typowe czynniki umożliwiające identyfikację osób prawodawca unijny w art. 4 pkt 1 RODO uznał czynniki określające fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej. Czynnikami takimi mogą być cechy fizyczne (np. wizerunek twarzy, wzrost, kolor oczu czy cechy szczególne, takie jak blizny bądź znamiona); cechy fizjologiczne (np. grupa krwi); cechy genetyczne (np. dane uzyskane z materiału genetycznego); cechy ekonomiczne (np. status majątkowy czy wysokość wynagrodzenia); cechy psychiczne, kulturowe lub społeczne. Prawodawca wskazuje, że czynników umożliwiających identyfikację jest wiele i mogą one występować w zestawieniu, pozwalając na ustalenie tożsamości, a więc identyfikację konkretnej osoby (P. Fajgielski, Komentarz do rozporządzenia nr 2016/679 w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych), [w:] Ogólne rozporządzenie o ochronie danych. Ustawa o ochronie danych osobowych. Komentarz, wyd. II, komentarz do art. 4 pkt 1 RODO, Lex).
Określony w art. 4 pkt 1 RODO katalog ma charakter otwarty i przykładowy, o czym świadczy określenie "w szczególności", co oznacza, iż mogą istnieć także inne czynniki umożliwiające identyfikację osoby fizycznej. Osoba, której informacje dotyczą, powinna być zidentyfikowana lub powinna istnieć możliwość jej identyfikacji. Osoba zidentyfikowana to osoba, której tożsamość jest określona na podstawie informacji, jakie posiada administrator. Najbardziej typowym przykładem osoby zidentyfikowanej jest sytuacja, gdy administrator zna imię, nazwisko i adres osoby, której dane dotyczą. Jednak identyfikacja może opierać się na różnego rodzaju informacjach, które rozpatrywane jednostkowo nie pozwolą na ustalenie tożsamości, a zestawione ze sobą mogą pozwolić na zidentyfikowanie konkretnej osoby. Oznacza to, że o możliwości identyfikacji przesądza nie tylko charakter posiadanych informacji, ale także kontekst, w jakim informacje te występują(P. Fajgielski, Komentarz ... ).
W orzecznictwie Trybunału Sprawiedliwości UE wskazuje się, że użycie wyrażenia "wszelkie informacje" w definicji "danych osobowych" zawartej w art. 4 pkt 1 RODO odzwierciedla przyświecający prawodawcy Unii zamiar przypisania temu pojęciu szerokiego zakresu, rozszerzając go potencjalnie o informacje wszelkiego rodzaju, zarówno obiektywne, jak i subiektywne, w postaci opinii czy oceny, a jedynym warunkiem, jaki muszą one spełniać, jest to, aby "dotyczyły" danej osoby. Informacja dotyczy zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej, jeżeli ze względu na treść, cel lub skutek taka informacja jest powiązana z możliwą do zidentyfikowania osobą (wyrok z dnia 4 maja 2023 r., Österreichische Datenschutzbehörde i CRIF , C-487/21, EU:C:2023:369 , pkt 23, 24).
Z kolei na tle definicji pojęcia "dane osobowe" określonej w art. 3 pkt 1 rozporządzenie Parlamentu Europejskiego I Rady (UE) 2018/1725 z dnia 23 października 2018 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych przez instytucje, organy i jednostki organizacyjne Unii i swobodnego przepływu takich danych oraz uchylenia rozporządzenia (WE) nr 45/2001 i decyzji nr 1247/2002/WE (Dz.U.UE.L.2018.295.39), tożsamej z definicją "danych osobowych" zawartą w art. 4 pkt 1 RODO, Trybunał Sprawiedliwości w wyroku C-479/22 wskazał, że użycie przez prawodawcę Unii terminu "pośrednio" służy wskazaniu, że aby móc uznać informację za dane osobowe, nie jest konieczne, by informacja ta umożliwiała sama w sobie zidentyfikowanie osoby, której dane dotyczą. W motywie 16 rozporządzenia 2018/1725 doprecyzowano w tym względzie, że aby stwierdzić, czy dana osoba fizyczna jest możliwa do zidentyfikowania, należy wziąć pod uwagę "wszelkie sposoby [...], w stosunku do których istnieje uzasadnione prawdopodobieństwo", iż zostaną wykorzystane przez administratora lub "[dowolną] inną osobę" w celu "bezpośredniego lub pośredniego" zidentyfikowania osoby fizycznej. A zatem, aby dane mogły zostać zakwalifikowane jako "dane osobowe", nie jest wymagane, by wszystkie informacje umożliwiające identyfikację danej osoby musiały znajdować się w rękach tylko jednej osoby.
W szczególności okoliczność, że w celu zidentyfikowania osoby, której dane dotyczą, niezbędne są dodatkowe informacje, nie wyklucza możliwości uznania rozpatrywanych danych za dane osobowe. Konieczne jest jeszcze, aby możliwość połączenia rozpatrywanych danych z dodatkowymi informacjami stanowiła sposób, który może być z uzasadnionym prawdopodobieństwem zastosowany w celu zidentyfikowania osoby, której dane dotyczą. Aby stwierdzić, czy dany sposób może być z uzasadnionym prawdopodobieństwem wykorzystany do zidentyfikowania danej osoby fizycznej, zgodnie z motywem 16 rozporządzenia 2018/1725 należy wziąć pod uwagę wszelkie obiektywne czynniki, takie jak koszt i czas potrzebne do jej zidentyfikowania, oraz uwzględnić technologię dostępną w momencie przetwarzania danych, jak i postęp technologiczny.
Dany sposób nie może być z uzasadnionym prawdopodobieństwem zastosowany do zidentyfikowania osoby, której dane dotyczą, gdy identyfikacja tej osoby jest zakazana prawem lub niewykonalna w praktyce, przykładowo z powodu okoliczności, że wiąże się ona z nadmiernym nakładem czasu, kosztów i pracy ludzkiej, tak że ryzyko identyfikacji wydaje się w rzeczywistości znikome (zob. też wyrok z dnia 19 października 2016 r., Breyer, C-582/14, EU:C:2016:779, pkt 46).
Biorąc pod uwagę powyższe rozważania, zdaniem Sądu, PUODO prawidłowo stwierdził, że nie można uznać aby Związek przetwarzał dane umożliwiające zidentyfikowanie skarżącej.
Dane osobowe skarżącej miały być przetwarzane poprzez opublikowanie zdjęcia na stronie [...] oraz na profilu Facebook Związku. Zdjęcie to przedstawia osobę w pozycji kucającej odwróconej tyłem do obiektywu aparatu. Jak słusznie zauważa organ w ujęciu tym nie jest widoczny kolor włosów tej osoby, brak jest widocznej głowy, a ubranie nie zawiera cech charakterystycznych
w postaci napisów ani też śladów szczególnych indywidualizujących taką osobę. Na zdjęciu tym nie są widoczne żadne cechy charakterystyczne umożliwiające identyfikację sfotografowanej osoby. Również treść wpisu zawarta nad i pod tym zdjęciem, która przybliża w pewien sposób kontekst tej fotografii, nie pozwala na ustalenie tożsamości uwidocznionej na zdjęciu osoby. Z tekstu tego można jedynie wysnuć wniosek, że przedstawia on pracownika WORD. W tekście tym nie wspomniano, że dotyczy ono osoby zatrudnionej w WORD na stanowisku [...]. Ponadto skoro, jak wskazuje skarżąca, w WORD zatrudnione są [...] osoby na stanowisku [...], to samo to zdjęcie i towarzysząca mu treść wpisu nie pozwala na ustalenie, której osoby to dotyczy. Również kolejne zdjęcie, w posiadaniu którego jest Związek, przedstawiające obraz stojącej osoby w pozycji bocznej nie pozwala na ustalenie rysów twarzy, koloru włosów bądź uczesania, albowiem treść ta jest zamazana. Również w tym przypadku zdjęcie nie przedstawia żadnych cech charakterystycznych uwidocznionej na nim osoby.
Ze zdjęć tych oraz treści wpisu można jedynie wywieźć, że dotyczy ono pracownika WORD, noszącego ubrania pozbawione jakichkolwiek cech charakterystycznych. Cech takich nie posiada również, postura tej osoby. Brak jest zatem identyfikatorów, w oparciu o które można by zidentyfikować skarżącą. Biorąc pod uwagę wszelkie prawdopodobne sposoby identyfikacji zidentyfikowanie konkretnej osoby na podstawie samego tego zdjęcia oraz informacji zwartych w towarzyszącym mu wpisie wiązałoby się z nadmiernym nakładem czasu, kosztów i pracy ludzkiej. Przeciętny odbiorca opublikowanych informacji w celu zidentyfikowania uwidocznionej na fotografii osoby musiałby posiadać wiedzę na temat osób zatrudnionych w WORD i ich wizerunku. Następnie musiałby ten wizerunek zestawić z wizerunkiem osoby sfotografowanej.
W sytuacji gdy, jak zaznaczono już wyżej, wizerunek ten jest pozbawiony cech charakterystycznych, ryzyko identyfikacji skarżącej jest znikome.
Słusznie organ zwraca uwagę, że twierdzenia skarżącej o jej możliwej identyfikacji w oparciu o opisane wyżej fotografie i towarzyszący im tekst są przejawem jej subiektywnej oceny sytuacji związanej z publikacją spornych zdjęć.
Konkluzja organu wskazująca, że w przedmiotowej sprawie nie zaistniał proces przetwarzania danych, którego prawidłowość kwestionuje skarżąca, jest zatem prawidłowa. Słusznie zatem PUODO uznał, że postępowanie w tym zakresie jest bezprzedmiotowe i podlega umorzeniu.
Zgodnie art. 105 § 1 k.p.a. gdy postępowanie z jakiejkolwiek przyczyny stało się bezprzedmiotowe w całości albo w części, organ administracji publicznej wydaje decyzję o umorzeniu postępowania odpowiednio w całości albo w części.
Posłużenie się przez ustawodawcę w cytowanym przepisie sformułowaniem "organ (...) wydaje decyzję" oznacza, że wydanie decyzji o umorzeniu postępowania jest obligatoryjne w razie stwierdzenia jego bezprzedmiotowości.
Bezprzedmiotowość postępowania administracyjnego, w rozumieniu art. 105 § 1 k.p.a., oznacza, że brak jest któregoś z elementów materialnego stosunku prawnego, a wobec tego nie można wydać decyzji załatwiającej sprawę przez rozstrzygnięcie jej co do istoty (zob. B. Adamiak, J. Borkowski, Kodeks postępowania administracyjnego. Komentarz, Wydawnictwo C.H. Beck, Warszawa 2016 r., str. 491). Przesłanka bezprzedmiotowości występuje, gdy brak jest podstaw prawnych do merytorycznego rozstrzygnięcia danej sprawy w ogóle, bądź nie było podstaw do jej rozpoznania w drodze postępowania administracyjnego. Rozstrzygnięcie o umorzeniu postępowania jest orzeczeniem formalnym, kończącym postępowanie bez jego merytorycznego rozstrzygnięcia (por. wyroki NSA: z dnia 21 lutego 2006 r., sygn. akt I OSK 967/05, z dnia 14 października 2014 r., sygn. akt I OSK 530/14; orzeczenia.nsa.gov.pl).
Bezprzedmiotowość postępowania może wynikać z istnienia przesłanki podmiotowej bądź przedmiotowej. Przesłankę podmiotową stanowi brak legitymacji strony postępowania administracyjnego. Natomiast przesłanką przedmiotową jest brak - w znaczeniu prawnym - przedmiotu postępowania. Tym przedmiotem jest zaś konkretna sprawa, w której organ administracji jest władny i jednocześnie zobowiązany rozstrzygnąć, na podstawie przepisów prawa materialnego, o uprawnieniach lub obowiązkach indywidualnego podmiotu.
Taka właśnie sytuacja zaistniała w niniejszej sprawie. Prowadzone przez PUODO postępowanie nie doprowadziło do ustalenia, że wskazywany w skardze z dnia 31 lipca 2023 r. proces przetwarzania danych osobowych skarżącej przez Związek miał miejsce. Brak przedmiotu postępowania, który miałby podlegać ocenie organu w oparciu
o przepisy RODO, musiał zatem skutkować umorzeniem postępowania w oparciu o art. 105 § 1 k.p.a.
Konkludując stwierdzić należy, że skarga nie jest zasadna, gdyż zaskarżona decyzja nie narusza norm prawa materialnego czy procesowego. Organ prawidło ustalił stan faktyczny sprawy, w wystarczający sposób zebrał i ocenił materiał dowodowy,
a następnie w przekonywujący sposób uzasadnił swoje rozstrzygnięcie. Uzasadnienie zaskarżonej decyzji spełnia wymogi przewidziane w art. 107 § 3 k.p.a., gdyż w jej treści organ wyraźnie wskazał z jakich względów - pomimo podniesionych przez skarżącego argumentów –umorzył postępowanie administracyjne. Postępowanie administracyjne zostało przeprowadzone zgodnie z zasadami ogólnymi k.p.a., a w szczególności art. 7, art. 8, art. 11 k.p.a., a także innymi normami, zwłaszcza art. 77 i art. 80 k.p.a., a zaskarżone rozstrzygnięcie zostało oparte na prawidłowej interpretacji norm prawa materialnego.
Mając powyższe na względzie Wojewódzki Sąd Administracyjny w Warszawie, działając na podstawie art. 151 p.p.s.a. orzekł jak w sentencji wyroku.