II SA/Wa 1340/22

II SA/Wa 1340/22 - Wyrok WSA w Warszawie
Data orzeczenia
2023-03-15
orzeczenie prawomocne
Data wpływu
2022-08-02
Sąd
Wojewódzki Sąd Administracyjny w Warszawie
Sędziowie
Agnieszka Góra-Błaszczykowska
Łukasz Krzycki
Waldemar Śledzik /przewodniczący sprawozdawca/
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne
Ochrona danych osobowych
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Oddalono skargę
Powołane przepisy
Dz.U. 2021 poz 735
art. 151
Ustawa z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego - tekst jedn.
Sentencja
Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: , Przewodniczący Sędzia WSA Waldemar Śledzik (spr.), Sędzia WSA Agnieszka Góra-Błaszczykowska, Sędzia WSA Łukasz Krzycki, Protokolant starszy specjalista Aleksandra Weiher po rozpoznaniu na rozprawie w dniu 15 marca 2023 r. w sprawie ze skargi A. S. i M. M. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] maja 2022 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę
Uzasadnienie
Prezes Urzędu Ochrony Danych Osobowych (dalej także: "Prezes UODO") decyzją z dnia [...] maja 2021 r. nr [...] działając na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2021 r. poz. 735 ze zm., dalej: "k.p.a."), w związku z art. 7 ust. 1 ustawy z dnia 10 maja 2018 roku o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781) w związku z art. 6 ust. 1 oraz art. 58 ust. 2 lit. c rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z 4 maja 2016 r., str. 1, Dz. Urz. L 127 z 23 maja 2018 r., str. 2 oraz Dz. Urz. UE L 74 z 4 marca 2021, str. 35), dalej: "rozporządzenie 2016/679", "RODO", po przeprowadzeniu postępowania administracyjnego w sprawie skargi J. D., działającego w imieniu małoletnich dzieci J. i B. D., na nieprawidłowości w procesie przetwarzania ich danych osobowych przez A. S. oraz M. M., reprezentowanych przez adwokata R. M., polegające na nagrywaniu ich danych osobowych w zakresie wizerunku, za pomocą systemu monitoringu wizyjnego oraz niespełnieniu wobec nich obowiązku informacyjnego wynikającego z art. 13 rozporządzenia 2016/679, nakazał A. S. oraz M. M., zaprzestania przetwarzania danych osobowych małoletnich J. i B. D., w imieniu których działa J. D., pochodzących z nagrań monitoringu wizyjnego, który wykracza poza granice należącej do nich nieruchomości tj. karnety nr 1, obejmującej swym zasięgiem część nieruchomości wspólnej (krawężnik, pojemniki na śmieci oraz część drogi dojazdowej), udzielił A. S. oraz M. M. upomnienia za naruszenie w art. 13 ust. 1, 2 i 3 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 4.05.2016, str. 1, Dz. Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35), polegającego na niespełnieniu obowiązku informacyjnego na rzecz małoletnich J. i B. D., w imieniu których działa J. D., w pozostałym zakresie odmówił uwzględnienia wniosku.
Do wydania przedmiotowego rozstrzygnięcia doszło w następującym stanie faktycznym i prawnym.
Do Urzędu Ochrony Danych Osobowych wpłynęła skarga J. D., działającego w imieniu małoletnich dzieci J. i B. D., (dalej: "wnioskodawca"; "uczestnicy postępowania"), na nieprawidłowości w procesie przetwarzania ich danych osobowych przez A. S. oraz M. M. (dalej: "Skarżący") polegające na nagrywaniu ich danych osobowych w zakresie wizerunku, za pomocą systemu monitoringu wizyjnego oraz niespełnieniu wobec nich obowiązku informacyjnego wynikającego z art. 13 rozporządzenia 2016/679.
J. D. wskazał, że w lutym 2019 r. w obrębie nieruchomości prywatnej położonej w [...] przy ul. [...], której właścicielami są skarżący, zainstalowane zostały 3 kamery. Według J. D., w zasięgu kwestionowanego monitoringu znajduje się część południowo-zachodnia tj. front jego nieruchomości, część jego podjazdu, a także fragment drogi osiedlowej, z której korzysta na podstawie służebności przejazdu i przechodu (kamera nr [...]). Dwie pozostałe kamery znajdują się w części północno-zachodniej - od strony ogrodu i tarasu, w szczególności kamera nr [...] jest tak zamontowana, że obejmuje swoim zasięgiem jego nieruchomość, na której przebywają jego małoletnie dzieci. J. D. wniósł o nakazanie skarżącym zaprzestania przetwarzania danych osobowych jego małoletnich dzieci pozyskiwanych za pomocą monitoringu wizyjnego oraz usunięcie tych danych osobowych. Wskazał również, iż skarżący nie spełnili obowiązku informacyjnego, wynikającego z art. 13 rozporządzenia 2016/679, poprzez umieszczenie odpowiedniej tablicy informacyjnej, w związku z czym wniósł również o nakazanie spełnienia ww. obowiązku.
Prezes UODO poinformował skarżących oraz uczestników postępowania o wszczęciu postępowania wyjaśniającego w sprawie oraz zwrócił się do skarżących o ustosunkowanie się do treści skargi oraz złożenie pisemnych wyjaśnień.
W piśmie z dnia [...] lutego 2022 r. skarżący wyjaśnili, że 3 kamery na ich nieruchomości w [...] przy ul. [...] umieszczone zostały w celu bezpieczeństwa. Wskazali, że kamera numer [...] zainstalowana z przodu posesji swoim zasięgiem obejmuje fragment nieruchomości wspólnej, tj. krawężnik, miejsce gdzie znajdują się pojemniki na śmieci, część drogi dojazdowej do posesji uczestników postępowania. Kamera numer [...] jest zainstalowana z tyłu działki skarżących i swym zasięgiem obejmuje właśnie tą nieruchomość oraz działki pozostałych sąsiadów wraz z polami uprawnymi. Skarżący oświadczyli, że monitoring nie obejmuje działki J. D.. Ponadto wskazali, że kamera numer [...] również jest zainstalowana z tyłu działki skarżących i swym zasięgiem obejmuje właśnie tą nieruchomość oraz część płotu i mur należący do J. D., bez ingerencji w jego posesję. Skarżący wskazali, że dane z monitoringu zapisywane są na niepodłączonym do Internetu dysku twardym, a zapis samoczynnie resetuje się po 30 dniach. Skarżący oświadczyli ponadto, że nie gromadzą i nie przetwarzają danych osobowych uczestników postępowania w zakresie wizerunku, a teren ich posesji nie jest objęty monitoringiem. Skarżący oświadczyli, że nagrania z monitoringu nie zostały i nie są przez nich wykorzystywane ani udostępniane.
W piśmie z dnia [...] marca 2022 r. skarżący stwierdzili, że spełnili obowiązek informacyjny wynikający z art. 13 rozporządzenia 2016/679, poprzez wielokrotne informowanie uczestników postępowania (zarówno ustnie jak i pisemnie) o fakcie posiadania monitoringu, o jego zakresie oraz o tym, że nie przetwarzają danych osobowych uczestników postępowania, o czym świadczy wymiana korespondencji przekazana przy ich wyjaśnieniach z dnia [...] lutego 2022 r.
Prezes UODO, po zapoznaniu się z całością zgromadzonego w sprawie materiału dowodowego, wydał powołane na wstępie rozstrzygnięcie.
W uzasadnieniu decyzji wyjaśnił, że przedmiotowa sprawa dotyczy danych z zakresu tzw. "danych zwykłych", których przetwarzanie regulowane jest w art. 6 ust. 1 rozporządzenia 2016/679, zgodnie z którym, przetwarzanie danych osobowych jest dopuszczalne tylko wtedy, gdy spełniona jest jedna z przesłanek wskazanych w tym przepisie. Katalog przesłanek wymienionych w art. 6 ust. 1 rozporządzenia 2016/679 jest zamknięty. Każda z przesłanek legalizujących proces przetwarzania danych osobowych ma charakter autonomiczny i niezależny. Oznacza to, że przesłanki te co do zasady są równoprawne, a wobec tego spełnienie co najmniej jednej z nich stanowi o zgodnym z prawem przetwarzaniu danych osobowych. Zgodnie z art. 6 ust. 1 lit. f rozporządzenia 2016/679 przetwarzanie jest legalne, gdy jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawa prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności, gdy osoba, której dotyczą, jest dzieckiem. Proces przetwarzania danych osobowych musi być zgodny z zasadami ustanowionymi w art. 5 ust. 1 rozporządzenia 2016/679. Do zasad tych zalicza się między innymi zasadę minimalizacji danych (lit. c). Wspomniana zasada wymaga, by proces przetwarzania danych osobowych był m.in. adekwatny, ograniczony do celów, w których są przetwarzane.
W tym zakresie Prezes UODO zgodził się z wyrokiem Trybunału Sprawiedliwości z dnia 11 grudnia 2014 r. wydanym w sprawie C-212/13 FrantiśekRyneś przeciwko Urad pro ochranuosobnichudajuRyneś, w którym wskazano, że "wykorzystywanie systemu kamer przechowującego zapis obrazu osób na sprzęcie nagrywającym w sposób ciągły, takim jak dysk twardy, zainstalowanego przez osobę fizyczną na jej domu rodzinnym w celu ochrony własności, zdrowia i życia właścicieli domu, który to system monitoruje również przestrzeń publiczną, nie stanowi przetwarzania danych w trakcie czynności o czysto osobistym lub domowym charakterze" oraz zwrócił uwagę, że analogiczne stanowisko wynika z "Wytycznych 3/2019 w sprawie przetwarzania danych osobowych przez urządzenia wideo" przyjętych w dniu 29 stycznia 2020 r. przez Europejską Radę Ochrony Danych.
Prezes UODO stwierdził, że zasięg kamer monitoringu wizyjnego należącego do skarżących wykracza poza ich nieruchomość - monitoring wizyjny obejmuje swym zasięgiem działki pozostałych sąsiadów wraz z polami uprawnymi, jak również przestrzeń publiczną, na terenie której uczestnicy postępowania mają prawo przebywać tj. krawężnik, części drogi dojazdowej, pojemniki na śmieci (co wynika z załączonych do wyjaśnień załączników przedstawiających zasięg kamer). Powyższe oznacza, że wizerunek uczestników postępowania może być przetwarzany za pomocą monitoringu wizyjnego zainstalowanego przez skarżących. W takim wypadku przetwarzanie dokonywane za pomocą monitoringu wizyjnego musi być zgodne z przepisami rozporządzenia 2016/679. Organ zwrócił uwagę, że skarżący uzasadnili instalację monitoringu zapewnieniem bezpieczeństwa sobie oraz ich małoletniego dziecka, jednak nie wskazali podstawy prawnej objęcia zakresem tego monitoringu nie tylko swojej nieruchomości, ale także przestrzeni publicznej, co może powodować wejście w posiadanie danych osobowych uczestników postępowania w zakresie ich wizerunku.
Organ zwrócił uwagę, że kwestia przetwarzania danych osobowych pozyskanych przez skarżących za pomocą monitoringu wizyjnego stanowiła przedmiot oceny w postępowaniu toczącym się przed Wojewódzkim Sądem Administracyjnym w Warszawie, w sprawie dotyczącej przetwarzania danych osobowych J. D.. Sąd w wyroku z dnia 22 grudnia 2021 r., sygn. akt II SA/Wa 1542/21, stwierdził, że objęcie monitoringiem nieruchomości wspólnych, na której mogą przebywać uczestnicy postępowania, nie wyklucza, że ich dane osobowe w zakresie wizerunku są przetwarzane przez skarżących, w czasie, dopóki te nagrania nie zostaną automatycznie zresetowane po 30 dniach, a jeżeli jego dane osobowe są przetwarzane, to przetwarzanie musi odbywać się zgodnie z przepisami rozporządzenia 2016/679.
W ocenie Prezesa PUODO skoro zasięgiem monitoringu skarżących (kamera nr [...]), objęta jest nieruchomość wspólna to na jej terenie przebywać mogą wszystkie osoby posiadające tytuł prawny do tej nieruchomości bądź do części wspólnych znajdujących się na niej. Organ zwrócił uwagę, że skarżący nie kwestionują tytułu prawnego J. D. do korzystania z nieruchomości wspólnej objętej ich monitoringiem, a zatem nie tylko jego wizerunek może być zarejestrowany za pomocą monitoringu, ale również zamieszkujących z nim jego małoletnich dzieci. Powyższe oznacza, że skarżący, aby móc w sposób legalny przetwarzać dane osobowe uczestników postępowania w zakresie wizerunku, podczas gdy przebywają oni na nieruchomości wspólnej, muszą wykazać się przynajmniej jedną z przesłanek wymienionych w art. 6 ust. 1 rozporządzenia 2016/679, której w trakcie niniejszego postępowania nie powołali.
W ocenie Prezesa UODO przetwarzanie przez skarżących danych osobowych uczestników postępowania, w zakresie wizerunku pochodzących z monitoringu wizyjnego obejmującego części wspólne nieruchomości tj. kamery nr [...] nie znajduje uzasadnienia w przepisach rozporządzenia 2016/679, w tym nie wypełnia przesłanki powyżej przytoczonej z art. 6 ust. 1 lit. f. tego aktu prawnego, tj. nie może zostać uznane za uzasadnione prawnie usprawiedliwionymi interesami skarżących. Zdaniem organu nie wykazali oni żadnej podstawy prawnej, która uzasadniałaby przetwarzanie takich danych osobowych. Wskazana przez skarżących potrzeba zapewnienia bezpieczeństwa swojego i ich małoletniego dziecka jest uzasadnieniem dla wykonywania monitoringu wizyjnego ograniczonego swoim zasięgiem wyłącznie do terenu nieruchomości będącej ich własnością.
W związku z powyższym Prezes UODO stwierdził, że zaistniała przesłanka do zastosowania przez organ nadzorczy uprawnienia, o którym mowa w art. 58 ust. 2 lit. c rozporządzenia 2016/679, i nakazania skarżącym zaprzestania przetwarzania danych osobowych uczestników postępowania pochodzących z nagrań z monitoringu wizyjnego, obejmującego swym zakresem nieruchomość publiczną tj. kamery nr [...].
Jednocześnie Prezes UODO stwierdził, że pozostałe kamery (nr [...] i [...]) monitoringu zainstalowanego przez skarżących, zainstalowane są w tylnej części ich nieruchomości i nie obejmują swym zasięgiem nieruchomości uczestników postępowania ani nieruchomości wspólnych, na terenie których mogą oni przebywać. Organ zwrócił uwagę, że ze znajdującego się w aktach sprawy rzutu z kamery nr [...] wynika, że obejmuje ona swym zasięgiem część muru odgradzającego ich nieruchomość od działki J. D., nie ingerując przy tym swoim obrazem w teren tej działki. Wobec powyższego, w ocenie organu zasadnym było odmówić uwzględnienia wniosku J. D., działającego w imieniu swoich małoletnich dzieci J. i B. D. w zakresie przetwarzania ich danych osobowych pozyskanych przez skarżących za pomocą kamer numer [...] i [...], wchodzących w skład monitoringu zainstalowanego na ich nieruchomości.
W dalszej kolejności organ wskazał, że obowiązek informacyjny, o którym mowa art. 13 ust. 1 rozporządzenia 2016/679, powinien zostać spełniony przez administratora, w przypadku jeżeli dane osobowe pozyskano od osoby, której dane dotyczą. Administrator zobowiązany jest w takiej sytuacji podać następujące informacje: swoją tożsamość i dane kontaktowe oraz, gdy ma to zastosowanie, tożsamość i dane kontaktowe swojego przedstawiciela (lit. a), gdy ma to zastosowanie - dane kontaktowe inspektora ochrony danych (art. lit. b), cele przetwarzania danych osobowych, oraz podstawę prawną przetwarzania (lit. c), jeżeli przetwarzanie odbywa się na podstawie art. 6 ust. 1 lit. f - prawnie uzasadnione interesy realizowane przez administratora lub przez stronę trzecią (lit. d), informacje o odbiorcach danych osobowych lub o kategoriach odbiorców, jeżeli istnieją (lit. e), gdy ma to zastosowanie - informacje o zamiarze przekazania danych osobowych do państwa trzeciego lub organizacji międzynarodowej oraz o stwierdzeniu lub braku stwierdzenia przez Komisję odpowiedniego stopnia ochrony lub w przypadku przekazania, o którym mowa w art. 46, art. 47 lub art. 49 ust. 1 akapit drugi, wzmiankę o odpowiednich lub właściwych zabezpieczeniach oraz o możliwościach uzyskania kopii danych lub o miejscu udostępnienia danych (lit. f).
Dodatkowo zgodnie z art. 13 ust. 2 rozporządzenia 2016/679, poza informacjami, o których mowa w ust. 1, podczas pozyskiwania danych osobowych administrator podaje osobie, której dane dotyczą, następujące inne informacje niezbędne do zapewnienia rzetelności i przejrzystości przetwarzania: okres, przez który dane osobowe będą przechowywane, a gdy nie jest to możliwe, kryteria ustalania tego okresu (art. 13 ust. 1 lit. a), informacje o prawie do żądania od administratora dostępu do danych osobowych dotyczących osoby, której dane dotyczą, ich sprostowania, usunięcia lub ograniczenia przetwarzania lub o prawie do wniesienia sprzeciwu wobec przetwarzania, a także o prawie do przenoszenia danych (art. 13 ust. 1 lit. b), jeżeli przetwarzanie odbywa się na podstawie art. 6 ust. 1 lit. a lub art. 9 ust. 2 lit. a - informacje o prawie do cofnięcia zgody w dowolnym momencie bez wpływu na zgodność z prawem przetwarzania, którego dokonano na podstawie zgody przed jej cofnięciem (art. 13 ust. 1 lit. c), informacje o prawie wniesienia skargi do organu nadzorczego (art. 13 ust. 1 lit. d), informację, czy podanie danych osobowych jest wymogiem ustawowym łub umownym lub warunkiem zawarcia umowy oraz czy osoba, której dane dotyczą, jest zobowiązana do ich podania i jakie są ewentualne konsekwencje niepodania danych (art. 13 ust. 1 lit. e), informacje o zautomatyzowanym podejmowaniu decyzji, w tym o profilowaniu, o którym mowa w art. 22 ust. 1 i 4, oraz - przynajmniej w tych przypadkach - istotne informacje o zasadach ich podejmowania, a także o znaczeniu i przewidywanych konsekwencjach takiego przetwarzania dla osoby, której dane dotyczą (art. 13 ust. 1 lit. f).
Stosownie zaś do art. 13 ust. 3 rozporządzenia 2016/679, jeżeli administrator planuje dalej przetwarzać dane osobowe w celu innym niż cel, w którym dane osobowe zostały zebrane, przed takim dalszym przetwarzaniem informuje on osobę, której dane dotyczą, o tym innym celu oraz udziela jej wszelkich innych stosownych informacji, o których mowa w ust. 2.
Wobec powyższych ustaleń, iż zasięg kamer monitoringu wizyjnego należącego do skarżących wykracza poza ich nieruchomość - monitoring wizyjny obejmuje swym zasięgiem działki pozostałych sąsiadów wraz z polami uprawnymi, jak również przestrzeń publiczną, na terenie której uczestnicy postępowania mają prawo przebywać tj. krawężnik, części drogi dojazdowej, pojemniki na śmieci skarżący zobowiązani byli do spełnienia obowiązku informacyjnego, wymienionego w ww. art. 13 ust. 1, ust. 2 oraz ust. 3 rozporządzenia 2016/679.
Zdaniem Prezes UODO, z materiału dowodowego zebranego w przedmiotowej sprawie wynika, że względem uczestników postępowania nie spełniono obowiązku informacyjnego wynikającego z art. 13 rozporządzenia 2016/679, poprzez umieszczenie odpowiedniej tablicy informacyjnej.
Skarżący wskazali jedynie, że obowiązek ten został spełniony wielokrotnie pisemnie, powołując się, w wyniku wezwania organu nadzorczego z dnia [...] marca 2022 r. znak: [...], na korespondencję dołączoną do ich wyjaśnień z dnia [...] lutego 2022 r. Do powyższych wyjaśnień skarżący dołączyli wyłącznie jedno pismo kierowane do Państwa D., w którym znajdują się tylko informacje, dotyczące tego jaki teren znajduje się w zasięgu monitoringu oraz argumentacja na temat braku konieczności spełnienia obowiązku informacyjnego względem uczestników postępowania, których dane nie są gromadzone za pomocą tego monitoringu, w treści tego pisma nie zawarto natomiast żadnych informacji wymienionych w ww. z art. 13 ust. 1, ust. 2 oraz ust. 3 rozporządzenia 2016/679.
W związku z powyższym Prezes UODO stwierdził, że skarżący nie spełnili wobec uczestników postępowania obowiązku informacyjnego wynikającego z art. 13 ust. 1, ust. 2 oraz ust. 3 rozporządzenia 2016/679, naruszając przy tym przepisy o ochronie danych osobowych. Jednocześnie organ wyjaśnił, że wobec ww. nakazu zaprzestania przetwarzania danych osobowych uczestników postępowania pochodzących z nagrań z monitoringu wizyjnego, obejmującego swym zakresem nieruchomość publiczną, kwestionowany proces przetwarzania danych osobowych nie będzie kontynuowany. W związku z powyższym Prezes UODO stwierdził, że niecelowe byłoby nakazywanie obowiązku informacyjnego.
Na powyższą decyzję, w części dotyczącej punkt I i II, skargę do Wojewódzkiego Sądu Administracyjnego w Warszawie wnieśli A. S. oraz M. M., reprezentowani przez adwokata R. M..
Zaskarżonej decyzji zarzucili:
I. Naruszenie przepisów postępowania, które miało istotny wpływ na wynik sprawy, tj.:
1. art. 7 K.p.a., art. 77 § 1 K.p.a., art. 80 K.p.a., polegające na niewyczerpującym zebraniu i rozpatrzeniu całego materiału dowodowego oraz ocenienie sprawy na podstawie wybiórczego materiału dowodowego przy pominięciu istotnych jego części, tj. uznanie, iż skarżący w sposób niewyczerpujący poinformowali uczestników postępowania o montażu monitoringu i jego funkcji, podczas gdy skarżący w sposób należyty i zgodny z obowiązującymi przepisami prawa przekazali przedstawicielowi ustawowemu małoletnich uczestników postępowania informację o założonym monitoringu i możliwości pozyskiwania danych osobowych, jak również sposobie i długości ich przechowywania,
2. uznanie, iż skarżący nie wykazali żadnej podstawy prawnej, która uzasadniałaby przetwarzanie danych osobowych, z czym nie zgadzają się skarżący, którzy w toku postępowania wskazali interes w założeniu monitoringu, argumentując to zarówno zakresem prawnym jak i faktycznym,
3. nieustalenie przez organ wszystkich okoliczności związanych z przyczynami stosowania przez skarżących monitoringu, celu montażu monitoringu i sposobu wykorzystywania zgromadzonego materiału.
II. Naruszenie prawa materialnego, które miało wpływ na wynik sprawy, tj.
1. art. 2 ust. 2 pkt c rozporządzenia 2016/679 poprzez jego błędną wykładnię i w rezultacie niezastosowanie, wyrażające się w uznaniu, iż w przedmiotowym stanie faktycznym zastosowanie mają przepisy wskazanego rozporządzenia, podczas gdy rozporządzenie 2016/679 nie ma zastosowania do przetwarzania danych osobowych przez osobę fizyczną w ramach czynności o czysto osobistym lub domowym charakterze, co ma miejsce w niniejszym stanie faktycznym,
2. art. 13 ust. 1, ust. 2 i ust. 3 rozporządzenia 2016/679 poprzez jego błędną wykładnię i w rezultacie niewłaściwe zastosowanie, wyrażające się w uznaniu, że skarżący nie wypełnili wobec uczestników postępowania obowiązku informacyjnego związanego z podawaniem przez administratora podczas pozyskiwania danych osobowych uczestników postępowania wszystkich określonych w wskazanym artykule informacji, podczas gdy skarżący w sposób należyty informowali przedstawiciela ustawowego uczestników postępowania przekazując mu wymienione w ww. przepisie informacje zarówno pisemnie, jak i ustanie,
3. art. 6 ust. 1 pkt d rozporządzenia 2016/679 poprzez jego niezastosowanie, wynikające z braku należycie przeprowadzone postępowania dowodowego, co w rezultacie doprowadziło do uznania, iż skarżący nie wykazali przynajmniej jednej z przesłanek wymienionych w art. 6 ust. 1 rozporządzenia 2016/679, co umożliwiłoby skarżącym w sposób legalny przetwarzać dane osobowe uczestników postępowania w zakresie wizerunku, podczas gdy przebywają oni na nieruchomości wspólnej, natomiast organ nie zważył, iż w odpowiedzi na skargę z dnia [...] lutego 2022 r., skarżący wyraźnie powołali się na art. 6 ust. 1 pkt d rozporządzenia 2016/679, wskazując, iż przetwarzanie przez skarżących danych osobowych z monitoringu jest zgodne z prawem, bowiem jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej (w tym przypadku interesów skarżących),
4. art. 58 ust. 2 lit. b rozporządzenia 2016/679 poprzez jego niewłaściwe zastosowanie i udzielenie Skarżącym upomnienia za naruszenie art. 13 ust. 1, 2 i 3 rozporządzenia 2016/679, podczas gdy nie zachodziły podstawy do zastosowania wskazanego przepisu,
Podnosząc powyższej zarzuty wnieśli o uchylenie zaskarżonej decyzji na podstawie art. 145 1 pkt 1a i 1 c P.p.s.a. oraz na podstawie art. 145 § 3 P.p.s.a. o umorzenie postępowania administracyjnego, a także o zasądzenie zwrotu kosztów postępowania, w tym kosztów zastępstwa procesowego, według norm przepisanych oraz rozpoznanie sprawy w trybie uproszczonym.
W uzasadnieniu skargi skarżący rozwinęli powyższe zarzuty.
W odpowiedzi na skargę organ wniósł o jej oddalenie.
Wojewódzki Sąd Administracyjny w Warszawie, zważył co następuje:
Na wstępie Sąd wyjaśnia, że w związku ze zmianą art. 15 zzs4 ust. 2 ustawy z 2 marca 2020 r. o szczególnych rozwiązaniach związanych z zapobieganiem, przeciwdziałaniem i zwalczaniem COVID-19, innych chorób zakaźnych oraz wywołanych nimi sytuacji kryzysowych (Dz.U. z 2020 r., poz. 1842 – zwanej dalej jako: "ustawa covidowa"), wynikającą z art. 4 pkt 3 ustawy z 28 maja 2021 r. o zmianie ustawy - Kodeks postępowania cywilnego oraz niektórych innych ustaw (Dz.U. z 2021 r., poz. 1090), która weszła w życie 3 lipca 2021 r., w okresie obowiązywania stanu zagrożenia epidemicznego albo stanu epidemii ogłoszonego z powodu COVID-19 oraz w ciągu roku od odwołania ostatniego z nich, wojewódzkie sądy administracyjne oraz Naczelny Sąd Administracyjny przeprowadzają rozprawę przy użyciu urządzeń technicznych umożliwiających przeprowadzenie jej na odległość z jednoczesnym bezpośrednim przekazem obrazu i dźwięku, z tym, że osoby w niej uczestniczące nie muszą przebywać w budynku sądu.
Stosownie do wskazanej wyżej regulacji, nin. sprawa została skierowana do rozpoznania na rozprawie zdalnej na podstawie zarządzenia Przewodniczącego Wydziału II.
Zgodnie z art. 184 Konstytucji RP, w związku z art. 1 § 1 ustawy z dnia 25 lipca 2002r. Prawo o ustroju sądów administracyjnych (t.j. - Dz. U. z 2021 r., poz. 137, zwaną dalej: "P.u.s.a.") sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej. Kontrola ta sprawowana jest pod względem zgodności z prawem, jeżeli ustawy nie stanowią inaczej. Z kolei przepis art. 3 § 2 pkt 1 ustawy z 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (tj.: Dz.U. z 2023r., poz. 259 - zwaną dalej "P.p.s.a.") stanowi, że kontrola działalności administracji publicznej przez sądy administracyjne obejmuje orzekanie w sprawach skarg na decyzje administracyjne (oraz odpowiednio na postanowienia).
Powyższa kontrola dokonywana jest według stanu faktycznego i prawnego na dzień wydania zaskarżonego aktu administracyjnego, na podstawie materiału dowodowego zebranego w toku postępowania administracyjnego.
W wyniku takiej kontroli decyzja (postanowienie) może zostać uchylona w razie stwierdzenia, że naruszono przepisy prawa materialnego w stopniu mającym wpływ na wynik sprawy lub doszło do takiego naruszenia przepisów prawa procesowego, które mogłoby w istotny sposób wpłynąć na wynik sprawy, ewentualnie w razie wystąpienia okoliczności mogących być podstawą wznowienia postępowania (art. 145 § 1 pkt 1 lit. a), b) i c) P.p.s.a.).
Sprawując kontrolę w oparciu o powołane kryterium zgodności z prawem sąd administracyjny orzeka na podstawie akt sprawy administracyjnej, biorąc pod uwagę stan faktyczny i prawny istniejący w dacie wydania ocenianej decyzji, nie uwzględniając okoliczności, które zaistniały w okresie późniejszym. Należy przy tym podkreślić, że sąd administracyjny nie ustala stanu faktycznego, a jedynie wskazuje, które ustalenia organu zostały przez niego przyjęte, a które nie (por. wyrok NSA z dnia 6 lutego 2008r., sygn. akt II FSK 1665/06, opublikowany - podobnie jak pozostałe przywołane w niniejszym uzasadnieniu orzeczenia sądów administracyjnych - w Centralnej Bazie Orzeczeń Sądów Administracyjnych: http://cbois.nsa.gov.pl).
Jednocześnie, zgodnie z art. 134 § 1 P.p.s.a. (w brzmieniu obowiązującym od dnia 15 sierpnia 2015r.), Sąd rozstrzyga w granicach danej sprawy, nie będąc jednak związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną, z zastrzeżeniem art. 57a p.p.s.a. (który w nin. sprawie nie ma zastosowania).
W orzecznictwie sądów administracyjnych podkreśla się, że "niezwiązanie granicami skargi" oznacza, że Sąd ma prawo, a jednocześnie obowiązek dokonania oceny zgodności z prawem zaskarżonego aktu administracyjnego nawet wówczas, gdy dany zarzut nie został podniesiony w skardze (por. wyrok NSA z 28 marca 2018 r., sygn. akt I FSK 1000/16, LEX nr 2486221) z tym, że nie może swoimi ocenami prawnymi wkraczać w sprawę nową w stosunku do tej, która była albo powinna być przedmiotem postępowania administracyjnego i wydawanych w nim decyzji administracyjnych.
Badając legalność zaskarżonej decyzji w świetle wskazanych kryteriów Sąd uznał, że skarga podlega oddaleniu albowiem zarzuty skargi nie mają usprawiedliwionych podstaw.
Na wstępie Sąd zauważa, że zarzuty skargi dotyczą zarówno naruszenia przepisów postępowania, które Skarżący upatrują w niewystarczającym zebraniu i rozpatrzeniu całego materiału dowodowego oraz ocenę zebranego materiału w sposób wybiórczy, przy pominięciu istotnych dla sprawy jego części, jak i naruszeniu prawa materialnego poprzez, w szczególności, błędną wykładnie rozporządzenia 2016/679, które nie ma zastosowania do przetwarzania danych osobowych przez osobę fizyczną w ramach czynności o czysto osobistym lub domowym charakterze, co ma miejsce w stanie faktycznym sprawy.
W takiej sytuacji Sąd obowiązany jest, co do zasady, w pierwszej kolejności rozpoznać zarzuty naruszenia prawa procesowego albowiem prawidłowo ustalony zakres istotnych okoliczności faktycznych determinuje proces subsumpcji przepisów prawa materialnego.
Dokonując takiej oceny Sąd w punkcie wyjścia rozważań stwierdza, że zgodnie z dyspozycją art. 7 ust. 1 u.o.d.o., w sprawach uregulowanych w ustawie ochronie danych osobowych, do postępowań prowadzonych przez PUODO stosuje się przepisy Kodeksu postępowania administracyjnego. Oznacza to m. innymi, że postępowanie dowodowe prowadzone przez organ winno odbywać się z zachowaniem reguł i zasad określonych w k.p.a.
Jednym ze stadiów postępowania administracyjnego jest stadium wyjaśniające - pozwalające ustalić dokładny stan faktyczny w danej sprawie. W wyniku postępowania wyjaśniającego organ administracji publicznej ma dojść do wskazanej w art. 7 k.p.a. prawdy obiektywnej, co realizuje za pomocą środków dowodowych.
Jak wynika z analizy akt administracyjnych sprawy, w związku ze złożoną przez wnioskodawcę (J. D.) skargą do UODO na nieprawidłowości w procesie przetwarzania przez Skarżących danych osobowych małoletnich dzieci wnioskodawcy, polegające na nagrywaniu ich danych osobowych w zakresie wizerunku za pomocą systemu monitoringu wizyjnego, przy jednoczesnym niespełnieniu obowiązku informacyjnego wynikającego z art. 13 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z 4 maja 2016 r., str. 1, Dz. Urz. L 127 z 23 maja 2018 r., str. 2 oraz Dz. Urz. UE L 74 z 4 marca 2021, str. 35 – tj. "rozporządzeniem 2016/679"), organ wystąpił do Skarżących o złożenie pisemnych wyjaśnień oraz potwierdzających je dowodów.
Z wyjaśnień złożonych przez Skarżących dnia [...] lutego 2022 r.) wynikało, że swojej nieruchomości położonej w [...] przy ul. [...] zainstalowali trzy kamery w celu zapewnienia bezpieczeństwa, przy czym kamera numer [...] zainstalowana została z przodu posesji i swoim zasięgiem obejmuje fragment nieruchomości wspólnej, tj. krawężnik, miejsce gdzie znajdują się pojemniki na śmieci, część drogi dojazdowej do posesji wnioskodawcy (uczestnika postępowania).
Z kolei kamera numer [...] jest zainstalowana z tyłu działki i swym zasięgiem obejmuje tą nieruchomość oraz działki pozostałych sąsiadów wraz z polami uprawnymi. Monitoring nie obejmuje jednak działki J. D.. Kamera numer [...] również jest zainstalowana z tyłu działki Skarżących i swym zasięgiem obejmuje właśnie tą nieruchomość oraz część płotu i mur należący do J. D., ale bez ingerencji w jego posesję.
Ponadto z wyjaśnień Skarżących wynikało, że dane z monitoringu powyższych kamer zapisywane są na niepodłączonym do Internetu dysku twardym, a zapis samoczynnie resetuje się po 30 dniach oraz, że spełnili oni obowiązek informacyjny wobec uczestników postępowania wynikający z art. 13 rozporządzenia 2016/679, poprzez ich wielokrotne informowanie (zarówno ustnie jak i pisemnie) o fakcie posiadania monitoringu oraz fakcie, że nie przetwarzają ich danych osobowych Skarżących, potwierdzeniem czego stanowi wymiana korespondencji przekazana przy ich wyjaśnieniach z dnia [...] lutego 2022 r.
Jednocześnie Skarżący oświadczyli, że nie gromadzą i przetwarzają danych osobowych uczestników postępowania w zakresie wizerunku, a teren ich posesji nie jest objęty monitoringiem, a także, że nagrania z monitoringu nie zostały i nie są przez nich wykorzystywane ani dalej udostępniane.
Organ, dokonując w trakcie przeprowadzonego postępowania administracyjnego "weryfikacji" powyższych wyjaśnień ustalił, w szczególności, że zasięg kamer monitoringu wizyjnego należącego do Skarżących wykracza poza ich nieruchomość, gdyż monitoring wizyjny obejmuje swym zasięgiem działki pozostałych sąsiadów wraz z polami uprawnymi, jak również – w przypadku kamery nr [...] - przestrzeń publiczną, na której uczestnicy postępowania mają prawo przebywać, tj. krawężnik, część drogi dojazdowej, pojemniki na śmieci, co wynika wprost z analizy zasięgu tejże kamery.
W takiej sytuacji organ uznał, że pozyskiwanie wizerunku pochodzącego z monitoringu wizyjnego, obejmującego części wspólne nieruchomości z uczestnikami postępowania, tj. kamery nr [...], nie znajduje uzasadnienia w przepisach rozporządzenia 2016/679, w tym nie wypełnia przesłanki o której mowa w art. 6 ust. 1 lit. f tego aktu.
Jednocześnie Organ ustalił, że pozostałe kamery (nr [...] i [...]) monitoringu zainstalowanych przez Skarżących (które zainstalowane są w tylnej części ich nieruchomości) nie obejmują swym zasięgiem nieruchomości czy też części wspólnych, na terenie których mogą przebywać uczestnicy postępowania. Organ w szczególności stwierdził, że ze znajdującego się w aktach sprawy zrzutu kamery nr [...] wynika, że obejmuje ona swym zasięgiem część muru odgradzającego nieruchomość Skarżących od działki J. D., nie ingerując przy tym swym obrazem w teren tej działki.
W konsekwencji, w odniesieniu do powyższych kamer (tj. nr [...] i [...]), Organ nadzorczy odmówił uwzględnienia żądania wnioskodawcy w zakresie nieuprawnionego przetwarzania danych osobowych pozyskanych przez Skarżących.
W ocenie Sądu, powyższy stan faktyczny w świetle ujawnionych i zgromadzonych dowodów nie budzi wątpliwości i odpowiada zasadzie prawdy obiektywnej wyrażonej w art. 7 k.p.a.
W konsekwencji powyższych ustaleń, skoro zasięg kamer monitoringu wizyjnego z kamery nr [...] wykracza poza obszar nieruchomości Skarżących i – co najistotniejsze - monitoring wizyjny z tejże kamery obejmuje swym zasięgiem m.in. przestrzeń publiczną, na terenie której uczestnicy postępowania mają prawo przebywać, tj. krawężnik, części drogi dojazdowej, pojemniki na śmieci, to tym samym Organ – w ocenie Sądu - prawidłowo wywiódł, że Skarżący zobowiązani byli do spełnienia względem uczestników postępowania obowiązku informacyjnego, wymienionego w art. 13 ust. 1, ust. 2 oraz ust. 3 rozporządzenia 2016/679.
Sąd zauważa, że Skarżący zwalczają w tej kwestii stanowisko Organu poprzez podważenie zarówno wskazanych wyżej ustaleń faktycznych, jak i dokonania błędnej wykładni art. 2 ust. 2 ust. 2 pkt c rozporządzenia 2016/679 poprzez jego niezastosowanie do okoliczności faktycznych.
I tak: zarzucając naruszenie prawa procesowego Skarżący, w szczególności, podnoszą, że "kamera nr [...] ma na celu wyłącznie monitorowanie sytuacji panującej przede wszystkim w obrębie podjazdu znajdującego się przed posesją uczestników postępowania, obejmując skalniaki i krawężnik, a obraz posesji nr [...] uwidoczniony na obrazie kamery jest znikomy i nie pozwala na czytelne utrwalanie wizerunku uczestników postępowania" – a zatem kamera nr [...] "monitoruje własność Skarżących, a także w znikomym zakresie granicę nieruchomości Skarżących z innymi działkami niestanowiącymi w żaden sposób części mieszkalnej lub użytkowej).
Ponadto wskazują, że obowiązek informacyjny dopełnili w piśmie z dnia [...] lipca 2020r., informując wnioskodawcę "o działaniu monitoringu", zaś informacja ta była "wyczerpująca i zawierała wszystkie wymagane informacje (...)" a ponadto poprzez oświadczenie, że Skarżący – mimo zainstalowanych kamer (i zasięgu kamery nr [...]) faktycznie "nie gromadzą danych osobowych w postaci wizerunku albowiem materiał jest kasowany automatycznie, nie zachowują go w żaden sposób, nie posługują się nim i nie rozpowszechniają go".
W ocenie Sądu, argumentacja ta nie zasługuje na uwzględnienie.
Jak już wywiedziono wcześniej, z materiału dowodowego zebranego w niniejszej sprawie bezsprzecznie wynika, iż teren objęty zasięgiem kamery nr [...] wykracza poza obszar tejże nieruchomości i obejmuje część obejmuje swym zasięgiem m.in. przestrzeń publiczną, na terenie której uczestnicy postępowania mają prawo przebywać, tj. krawężnik, części drogi dojazdowej, pojemniki na śmieci. Tym samym zasięg tejże kamery, obejmuje powierzchnię terenu wykraczającego poza nieruchomość Skarżących i to w sposób wystarczający do identyfikacji wizerunku osób, które się na niej znajdują tj. uczestników postępowania.
Podkreślenia wymaga, że teren objęty monitoringiem Skarżących z kamery nr [...] (poza jej nieruchomością) stanowi przestrzeń publiczną, na której uczestnicy postępowania mają prawo przebywać (i w praktyce przebywają), a ich dane osobowe w zakresie wizerunku mogą zostać pozyskane przez Skarżących w każdym czasie.
Sąd zauważa ponadto, że z akt sprawy nie wynika, by Skarżący podjęli środki fizyczne i techniczne, takie jak choćby blokowanie wyświetlania nieistotnych obszarów lub ich "zamazywanie", w celu nie pozyskiwania danych osób przebywających na terenie publicznym (o czym także w dalszej części nin. uzasadnienia)
W ocenie Sądu, Skarżący podczas przeprowadzonego postępowania nie wskazali prawidłowej podstawy prawnej, która uzasadniałaby przetwarzanie danych osobowych uczestników postępowania w ustalonym stanie faktycznym i okolicznościach sprawy.
Skarżący, aby moc w sposób legalny przetwarzać dane osobowe uczestników postępowania w zakresie wizerunku osób pochodzących z monitoringu wizyjnego obejmującego części wspólne nieruchomości tj. kamery nr [...], podczas gdy przebywają oni na nieruchomości wspólnej, muszą wykazać się przynajmniej jedną z przesłanek wymienionych w art. 6 ust. 1 rozporządzenia 2016/679.
W tym miejscu wskazać należy, że ponieważ "sporne" w sprawie dane osobowe dotyczą zakresu tzw. "danych zwykłych", zgodnie z art. 6 ust. 1 rozporządzenia 2016/679 przetwarzanie takich danych osobowych jest dopuszczalne tylko wtedy, gdy spełniona jest jedna z przesłanek wskazanych w tym przepisie, przy czym katalog przesłanek wymienionych w tym przepisie jest zamknięty, zaś każda z przesłanek legalizujących proces przetwarzania danych osobowych ma charakter autonomiczny i niezależny.
Oznacza to, że przesłanki te co do zasady są równoprawne, a wobec tego spełnienie co najmniej jednej z nich stanowi o zgodnym z prawem przetwarzaniu danych osobowych.
Zgodnie z art. 6 ust. 1 lit. f rozporządzenia 2016/679 przetwarzanie jest legalne, gdy jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawa prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności, gdy osoba, której dotyczą, jest dzieckiem.
Dodatkowo proces przetwarzania danych osobowych musi być zgodny z zasadami ustanowionymi w art. 5 ust. 1 rozporządzenia 2016/679. Do zasad tych zalicza się między innymi zasadę minimalizacji danych (lit. c). Wspomniana zasada wymaga, by proces przetwarzania danych osobowych był m.in. adekwatny, ograniczony do celów, w których są przetwarzane.
Jak stwierdzono w wyroku Trybunału Sprawiedliwości z dnia 11 grudnia 2014 r. w sprawie C-212/13 FrantiśekRyneś przeciwko Urad pro ochranuosobnichudajuRyneś, (...) "wykorzystywanie systemu kamer przechowującego zapis obrazu osób na sprzęcie nagrywającym w sposób ciągły, takim jak dysk twardy, zainstalowanego przez osobę fizyczną na jej domu rodzinnym w celu ochrony własności, zdrowia i życia właścicieli domu, który to system monitoruje również przestrzeń publiczną, nie stanowi przetwarzania danych w trakcie czynności o czysto osobistym lub domowym charakterze".
W ocenie Sądu, w świetle powyższego wyroku za prawidłową należy uznać argumentację Organu zawartą w zaskarżonym rozstrzygnięciu, iż dane osobowe pozyskane za pomocą zainstalowanego przez Skarżonych monitoringu obejmującego swym zasięgiem nieruchomość wspólną, nie są przetwarzane w celach wyłącznie czysto osobistych.
Takie stanowisko koresponduje z "Wytycznymi nr 3/2019 w sprawie przetwarzania danych osobowych przez urządzenia wideo" (dalej: "Wytyczne") przyjętymi przez Europejską Radę Ochrony Danych w dniu 29 stycznia 2020 r., w których wskazano, że "dane osobowe powinny być adekwatne, stosowne i ograniczone do tego, co niezbędne do celów, w których są przetwarzane ("minimalizacja danych") (...). Przed zainstalowaniem monitoringu wizyjnego administrator powinien zawsze krytycznie ocenić czy środek ten, jest odpowiedni do osiągnięcia pożądanego celu, a po drugie odpowiedni i niezbędny do jego celów. Środki polegające na zastosowaniu monitoringu wizyjnego należy wybierać wyłącznie w przypadku gdy cel przetwarzania nie mógł zostać osiągnięty za pomocą innych środków, które są mniej inwazyjne w stosunku do podstawowych praw i wolności osoby, której dane dotyczą. Administrator musi ocenić w każdym przypadku z osobna, czy takie środki mogą stanowić uzasadnione rozwiązanie" (por. Wytyczne pkt. 3.1.2 ppkt. 24 i 25).
W dalszej części Wytycznych wskazano, że "(...) ogólnie rzecz biorąc konieczność korzystania z monitoringu wizyjnego w celu ochrony nieruchomości administratorów ustaje wzdłuż granic wyznaczających teren ich nieruchomości. Niemniej istnieją przypadki, w których monitorowanie nieruchomości nie jest wystarczającym środkiem zapewniającym skuteczną ochronę. W niektórych indywidualnych przypadkach konieczne może okazać się rozszerzenie zakresu monitoringu wizyjnego, aby objął swoim zasięgiem bezpośrednie sąsiedztwo nieruchomości. W tym kontekście administrator powinien wziąć pod uwagę środki fizyczne i techniczne, na przykład blokowanie wyświetlania nieistotnych obszarów lub ich zamazywanie" (Wytyczne pkt. 3.1.2. ppkt. 27), czego – jak już wspomniano wcześniej – Skarżący nie zrobili.
Wbrew twierdzeniom skargi, sama wiadomość o zainstalowaniu monitoringu i jego zasięgu, powodującego możliwość pozyskiwania danych osobowych za jego pomocą nie stanowi o spełnieniu obowiązku informacyjnego, o którym mowa w art. 13 rozporządzenia 2016/679, jeżeli nie zostały zawarte pozostałe informacje wymienione w treści tego przepisu.
Zgodnie z treścią tego przepisu, administrator zobowiązany jest w takiej sytuacji podać następujące informacje: swoją tożsamość i dane kontaktowe oraz, gdy ma to zastosowanie, tożsamość i dane kontaktowe swojego przedstawiciela (lit. a), gdy ma to zastosowanie – dane kontaktowe inspektora ochrony danych (art. lit. b), cele przetwarzania danych osobowych, oraz podstawę prawną przetwarzania (lit. c), jeżeli przetwarzanie odbywa się na podstawie art. 6 ust. 1 lit. f - prawnie uzasadnione interesy realizowane przez administratora lub przez stronę trzecią (lit. d), informacje o odbiorcach danych osobowych lub o kategoriach odbiorców, jeżeli istnieją (lit. e), gdy ma to zastosowanie - informacje o zamiarze przekazania danych osobowych do państwa trzeciego lub organizacji międzynarodowej oraz o stwierdzeniu lub braku stwierdzenia przez Komisję odpowiedniego stopnia ochrony lub w przypadku przekazania, o ktorym mowa w art. 46, art. 47 lub art. 49 ust. 1 akapit drugi, wzmiankę o odpowiednich lub właściwych zabezpieczeniach oraz o możliwościach uzyskania kopii danych lub o miejscu udostępnienia danych (lit. f).
Dodatkowo zgodnie z art. 13 ust. 2 rozporządzenia 2016/679, poza informacjami, o których mowa w ust.1, podczas pozyskiwania danych osobowych administrator podaje osobie, której dane dotyczą, następujące inne informacje niezbędne do zapewnienia rzetelności i przejrzystości przetwarzania: okres, przez który dane osobowe będą przechowywane, a gdy nie jest to możliwe, kryteria ustalania tego okresu (art. 13 ust. 1 lit. a), informacje o prawie do żądania od administratora dostępu do danych osobowych dotyczących osoby, której dane dotyczą, ich sprostowania, usunięcia lub ograniczenia przetwarzania lub o prawie do wniesienia sprzeciwu wobec przetwarzania, a także o prawie do przenoszenia danych (art. 13 ust. 1 lit. b), jeżeli przetwarzanie odbywa się na podstawie art. 6 ust. 1 lit. a lub art. 9 ust. 2 lit. a - informacje o prawie do cofnięcia zgody w dowolnym momencie bez wpływu na zgodność z prawem przetwarzania, którego dokonano na podstawie zgody przed jej cofnięciem (art. 13 ust. 1 lit. c), informacje o prawie wniesienia skargi do organu nadzorczego (art. 13 ust. 1 lit. d), informację, czy podanie danych osobowych jest wymogiem ustawowym lub umownym lub warunkiem zawarcia umowy oraz czy osoba, której dane dotyczą, jest zobowiązana do ich podania i jakie są ewentualne konsekwencje niepodania danych (art. 13 ust. 1 lit. e), informacje o zautomatyzowanym podejmowaniu decyzji, w tym o profilowaniu, o którym mowa w art. 22 ust. 1 i 4 oraz - przynajmniej w tych przypadkach - istotne informacje o zasadach ich podejmowania, a także o znaczeniu i przewidywanych konsekwencjach takiego przetwarzania dla osoby, której dane dotyczą (art. 13 ust. 1 lit. f).
Stosownie zaś do art. 13 ust. 3 rozporządzenia 2016/679, jeżeli administrator planuje dalej przetwarzać dane osobowe w celu innym niż cel, w którym dane osobowe zostały zebrane, przed takim dalszym przetwarzaniem informuje on osobę, której dane dotyczą, o tym innym celu oraz udziela jej wszelkich innych stosownych informacji, o których mowa w ust. 2.
Tymczasem, jak już stwierdzono wcześniej, ze zgromadzonego materiału dowodowego sprawie wynika, że względem uczestników postępowania nie spełniono obowiązku informacyjnego wynikającego z art. 13 rozporządzenia 2016/679, co mogło być wykonane choćby np. poprzez umieszczenie odpowiedniej treścią tablicy informacyjnej.
Co prawda Skarżący w trakcie postępowania wskazywali, że obowiązek ten został spełniony wielokrotnie, powołując się, w wyniku wezwania organu nadzorczego z dnia marca 2022 r., na korespondencję dołączoną do ich wyjaśnień z dnia [...] lutego 2022 r., jednakże zauważyć należy, że w korespondencji tej znajdują się tylko informacje, dotyczące jaki teren znajduje się w zasięgu monitoringu oraz "polemiczna" argumentacja Skarżących na temat braku konieczności spełnienia powyższego obowiązku informacyjnego względem uczestników postępowania.
W treści tej korespondencji nie zawarto natomiast pozostałych informacji wymienionych w ww. z art. 13 ust. 1, ust. 2 oraz ust. 3 rozporządzenia 2016/679, które przytoczono wyżej.
Chybiony jest także zarzut skargi co braku takiego obowiązku w kontekście stwierdzenia, iż Skarżący nie gromadzą danych osobowych pochodzących z monitoringu wizyjnego, gdyż monitoring ulega automatycznemu resetowi po 30 dniach. Przy takiej argumentacji umknęła bowiem z pola widzenia okoliczność, że także przechowywanie danych jest ich przetwarzaniem. Stosownie bowiem do art. 4 pkt 2 rozporządzenia 2016/679, przetwarzanie oznacza operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, taką jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie.
Reasumując dotychczasowe ustalenia i rozważania, w ocenie Sądu stan faktyczny niniejszej sprawy ustalony został przez PUODO prawidłowo.
W toku prowadzonego postępowania administracyjnego nie doszło do naruszenia powoływanych w skardze art. 7, art. 77 i art. 80 k.p.a., poprzez niewyjaśnienie w sposób niewyczerpujący stanu faktycznego sprawy, w tym w kontekście obowiązku informacyjnego Skarżących.
Ustalenia Organu, zgodnie z regułą wyrażoną w art. 80 k.p.a., mają swoje oparcie nie tylko w zgromadzonych materiałach dowodowych, ale wynikają z wiedzy, doświadczenia oraz wewnętrznego przekonania i nie naruszają zasady swobodnej oceny wartości dowodowej poszczególnych środków dowodowych.
Organ, oceniając wyniki postępowania dowodowego (wiarygodność i moc dowodów), uwzględnił treść wszystkich przeprowadzonych i rozpatrzonych dowodów, wskazując w uzasadnieniu decyzji fakty, które uznał za udowodnione, dowody, na których się oparł oraz przyczyny, z powodu których innym dowodom odmówił wiarygodności i mocy dowodowej.
Prawidłowo, w szczególności, Organ ocenił, że w sprawie w odniesieniu do obszaru wykraczającego poza teren nieruchomości Skarżących, doszło do wskazanego przez wnioskodawcę przetwarzania danych osobowych uczestników postępowania z naruszeniem prawa i bez podstawy legalizującej na gruncie przepisów rozporządzenia 2016/679. Przedmiotowy monitoring obejmuje bowiem (z kamery nr [...]) poza terenem nieruchomości stanowiącym własność Skarżących - także część nieruchomości wspólnej, stanowiącej przestrzeń publiczną (szczegółowo opisaną w uzasadnieniu decyzji) na której uczestnicy postępowania mają prawo przebywać (i w praktyce przebywają), a ich dane osobowe w zakresie wizerunku mogą zostać pozyskane przez Skarżących w każdym czasie.
Jednocześnie, wbrew twierdzeniom skargi, jako zasadne uznać należy ustalenia Organu, że Skarżący nie dopełnili w sposób prawidłowy wobec uczestników postępowania obowiązku informacyjnego, wynikającego z art. 13 rozporządzenia 2016/679.
W świetle bezspornych ustaleń faktycznych Organ prawidłowo wywiódł i skorzystał z uprawnień naprawczych, przyznanych mu na podstawie art. 58 ust. 2 rozporządzenia 2016/679 oraz, że w tym stanie rzeczy, wniosek skargi o umorzenie postępowania na podstawie art. 105 § 1 k.p.a. należało uznać za oczywiście bezpodstawny.
Mając na uwadze powołane okoliczności, Sąd działając na podstawie art. 151 p.p.s.a, orzekł o oddaleniu skargi.