II SA/Wa 1432/23

II SA/Wa 1432/23 - Wyrok WSA w Warszawie
Data orzeczenia
2024-03-26
orzeczenie prawomocne
Data wpływu
2023-07-19
Sąd
Wojewódzki Sąd Administracyjny w Warszawie
Sędziowie
Izabela Głowacka-Klimas /przewodniczący/
Lucyna Staniszewska
Piotr Borowiecki /sprawozdawca/
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne
Ochrona danych osobowych
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Oddalono skargę
Powołane przepisy
Dz.U. 2024 poz 935
art. 151
Ustawa z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (t. j.)
Dz.U. 2022 poz 2000
art. 104 par. 1 i art. 105 par .1
Ustawa z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego - t.j.
Dz.U. 2019 poz 1781
art.7 ust. 1 i ust. 2
Ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych (t. j.)
Sentencja
Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Izabela Głowacka-Klimas, Sędzia WSA Piotr Borowiecki (spr.), Asesor WSA Lucyna Staniszewska, Protokolant starszy specjalista Ewa Kielak-Niedźwiedzka, po rozpoznaniu na rozprawie w dniu 26 marca 2024 r. sprawy ze skargi Wspólnoty Mieszkaniowej [...] z siedzibą w G. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] kwietnia 2023 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę
Uzasadnienie
Zaskarżoną decyzją z dnia [...] kwietnia 2023 r., nr [...], Prezes Urzędu Ochrony Danych Osobowych (dalej także: "Prezes UODO" lub "organ nadzorczy"), działając na podstawie art. 104 § 1 i art. 105 § 1 ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego (tekst jednolity Dz. U. z 2022 r., poz. 2000 ze zm. - dalej: "k.p.a.") w związku z art. 7 ust. 1 i ust. 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (tekst jednolity Dz. U. z 2019 r., poz. 1781 - dalej także: "u.o.d.o.") oraz art. 6 ust. 1, art. 13 ust. 1 i 2 oraz art. 58 ust. 2 lit. b rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z dnia 4 maja 2016 r., s. 1, Dz. Urz. UE L 127 z dnia 23 maja 2018 r., s. 2 oraz Dz. Urz. UE L 74 z 4 marca 2021, s. 35 - dalej także: "RODO"), po przeprowadzeniu postępowania administracyjnego zainicjowanego skargą D. G. (dalej także: "osoba wnosząca skargę do organu nadzorczego" lub "uczestniczka postępowania"), dotyczącymi nieprawidłowości w procesie przetwarzania jej danych osobowych przez Wspólnotę Mieszkaniową ul. [...] z siedzibą w [...] (dalej także "skarżąca Wspólnota Mieszkaniowa" lub "strona skarżąca"), polegające na niespełnieniu wobec D. G.obowiązku informacyjnego wynikającego z art. 13 ww. rozporządzenia w związku z zainstalowaniem monitoringu wizyjnego na terenie Wspólnoty Mieszkaniowej ul. [...] oraz na udostępnieniu danych osobowych D.G. w zakresie imienia, nazwiska i wizerunku zarejestrowanego za pomocą monitoringu wizyjnego, zainstalowanego na terenie Wspólnoty Mieszkaniowej ul. [...], B. Z.:
1. udzielił upomnienia Wspólnocie Mieszkaniowej ul. [...] z siedzibą w [...] za naruszenie art. 6 ust. 1 RODO polegające na udostępnieniu bez podstawy prawnej danych osobowych D.G. w postaci jej wizerunku utrwalonego na nagraniu z monitoringu wizyjnego, zainstalowanego na terenie Wspólnoty Mieszkaniowej ul. [...], B. Z.;
2. udzielił upomnienia Wspólnocie Mieszkaniowej ul. [...] z siedzibą w [...] za naruszenie art. 13 ust. 1 i ust. 2 RODO, polegające na niespełnieniu wobec D. G. obowiązku informacyjnego wynikającego z art. 13 ust. 1 i 2 RODO podczas pozyskiwania od niej danych osobowych;
3. umorzył postępowanie w pozostałym zakresie.
Zaskarżona decyzja Prezesa UODO została wydana w następującym stanie faktycznym.
W dniu [...] czerwca 2021 r. do Urzędu Ochrony Danych Osobowych wpłynęła skarga D.G. z dnia [...] maja 2021 r. na nieprawidłowości w procesie przetwarzania jej danych osobowych przez Wspólnotę Mieszkaniową ul. [...] z siedzibą w [...], polegające na niespełnieniu wobec niej obowiązku informacyjnego wynikającego z art. 13 RODO w związku z zainstalowaniem monitoringu wizyjnego na terenie Wspólnoty Mieszkaniowej ul. [...] z siedzibą w [...] oraz na udostępnieniu jej danych osobowych w zakresie imienia, nazwiska i wizerunku zarejestrowanego za pomocą monitoringu wizyjnego zainstalowanego na terenie wspomnianej Wspólnoty Mieszkaniowej B. Z.
W uzasadnieniu osoba wnosząca skargę do organu nadzorczego wskazała na wstępie, że jest członkiem Wspólnoty Mieszkaniowej ul. [...]. Wnosząca skargę podniosła, że Przewodnicząca wskazanej wyżej Wspólnoty Mieszkaniowej zezwoliła B. Z. zgrać nagranie zawierające jej wizerunek na prywatny telefon komórkowy. Ponadto, osoba wnosząca skargę do organu nadzorczego zauważyła, że Przewodnicząca Wspólnoty Mieszkaniowej udostępniła B.Z. imię i nazwisko wnoszącej skargę w dniu [...] lub [...] sierpnia 2020 r. Jednocześnie, osoba wnosząca skargę do organu nadzorczego wskazała, że monitoring został założony zgodnie z uchwałą skarżącej Wspólnoty Mieszkaniowej w 2017 r., lecz nie opracowano regulaminu korzystania z tego monitoringu i nie spełniono obowiązku informacyjnego w tym zakresie względem mieszkańców.
W związku z wniesioną skargą, Prezes Urzędu Ochrony Danych Osobowych przeprowadził postępowanie wyjaśniające, w celu zgromadzenia odpowiedniego materiału dowodowego i ustalenia stanu faktycznego koniecznego do wydania stosownego rozstrzygnięcia nadzorczego.
W toku przeprowadzonego postępowania wyjaśniającego do organu nadzorczego wpłynęły pisemne wyjaśnienia skarżącej Wspólnoty Mieszkaniowej z dnia [...] lipca 2022 r., w których wyjaśniła ona, że przetwarza dane osobowe D. G. w zakresie imienia i nazwiska, działając w tym zakresie na podstawie ustawy z dnia 24 czerwca 1994 r. o własności lokali (tekst jednolity Dz. U. z 2021 r., poz. 1048). Strona skarżąca oświadczyła, że przetwarza wspomniane dane w celach wynikających z zarządzania nieruchomością wspólną, a także innych obowiązków Wspólnoty Mieszkaniowej wynikających z przepisów powszechnie obowiązującego prawa (art. 6 ust. 1 lit. c RODO), a także na podstawie prawnie uzasadnionego interesu administratora, jakim jest dochodzenie roszczeń, w tym windykacja należności od właścicieli zalegających z uiszczaniem opłat (art. 6 ust. 1 lit. f RODO) oraz na podstawie dobrowolnie wyrażonej zgody, w zakresie danych kontaktowych umożliwiających sprawniejszą komunikację z właścicielem (art. 6 ust. 1 lit. a RODO).
Z kolei, w piśmie z dnia [...] grudnia 2021 r. skarżąca Wspólnota Mieszkaniowa wyjaśniła, że monitoring wizyjny został zainstalowany na podstawie uchwały Wspólnoty Mieszkaniowej nr [...] z dnia [...] marca 2017 r. Jednocześnie, skarżąca Wspólnota Mieszkaniowa zauważyła, że naklejki informujące o objęciu obiektu monitoringiem zostały umieszczone na szklanych częściach drzwi wejściowych do poszczególnych klatek schodowych przez firmę, która zainstalowała monitoring, bezpośrednio po jego montażu. Ponadto skarżąca Wspólnota Mieszkaniowa zapewniła organ nadzorczy, że "członkowie Wspólnoty Mieszkaniowej (w tym skarżąca) mają wiedzę, iż administratorem danych osobowych jest Zarząd Wspólnoty, jego danych adresowych oraz celu stosowania monitoringu". Skarżąca Wspólnota Mieszkaniowa podniosła również, że nie posiada regulaminu dostępu do monitoringu ani kopii klauzuli informacyjnej. Jednocześnie, skarżąca Wspólnota Mieszkaniowa wyjaśniła, że jest administratorem danych osobowych pozyskanych za pomocą monitoringu wizyjnego i nie zawierała umów powierzenia danych z innymi podmiotami. Strona skarżąca zapewniła organ nadzorczy, że dane osobowe są przechowywane w zamkniętym pomieszczeniu, do którego nie mają dostępu osoby postronne. Skarżąca Wspólnota Mieszkaniowa wskazała, że udostępniła dane osobowe D. G., pozyskane za pomocą monitoringu wizyjnego, B. Z. na jej ustny i pisemny wniosek, na podstawie art. 6 ust. 1 lit. f oraz art. 15 ust. 1 RODO w związku z tym, że na nagraniu została uwidoczniona kłótnia sąsiedzka i nagranie miało następnie zostać wykorzystane w Sądzie w sprawie z oskarżenia prywatnego B. Z. Tym samym, skarżąca Wspólnota Mieszkaniowa uznała, że B. Z. miała prawnie uzasadniony interes w pozyskaniu nagrania z monitoringu.
W toku dalszego postępowania wyjaśniającego, skarżąca Wspólnota Mieszkaniowa w piśmie z dnia [...] lipca 2022 r. poinformowała organ nadzorczy, że aktualnie umieściła na elewacjach budynków należących do Wspólnoty Mieszkaniowej informację o stosowaniu monitoringu wizyjnego, administratorze danych osobowych oraz celu przetwarzania danych osobowych. Jednocześnie, skarżąca Wspólnota Mieszkaniowa zauważyła, że przedstawiła klauzulę informacyjną dotyczącą przetwarzania danych osobowych w związku z pozyskiwaniem danych z monitoringu wizyjnego, umieszczoną na tablicy informacyjnej na klatce schodowej przy ul. [...]. Ponadto, strona skarżąca wyjaśniła, że przetwarza dane osobowe pozyskane za pomocą monitoringu wizyjnego na podstawie art. 6 ust. 1 lit. f RODO do celów wynikających z prawnie uzasadnionego interesu Wspólnoty Mieszkaniowej, tj. zwłaszcza zapewnienia ochrony mienia Wspólnoty Mieszkaniowej i jej członków, zapewnienia bezpieczeństwa mieszkańców budynku, zapobiegania aktom wandalizmu, zapobiegania popełnianiu przestępstw i wykroczeń. Skarżąca Wspólnota Mieszkaniowa zauważyła, że nie udostępniła danych osobowych D. G. w zakresie jej imienia i nazwiska B. Z. Skarżąca Wspólnota Mieszkaniowa wyjaśniła ponadto, że B. Z. nie jest członkiem tej Wspólnoty Mieszkaniowej, a jedynie zamieszkuje w lokalu będącym własnością Gminy - Miasta [...].
W wyniku analizy zgromadzonego materiału dowodowego, Prezes Urzędu Ochrony Danych Osobowych - działając na podstawie art. 104 § 1 k.p.a. i art. 105 § 1 k.p.a. w związku z art. 7 ust. 1 i ust. 2 u.o.d.o., a także art. 6 ust. 1, art. 13 ust. 1 i 2 oraz art. 58 ust. 2 lit. b RODO - decyzją z dnia [...] kwietnia 2023 r.:
1. udzielił upomnienia Wspólnocie Mieszkaniowej ul. [...] z siedzibą w [...] za naruszenie art. 6 ust. 1 RODO polegające na udostępnieniu bez podstawy prawnej danych osobowych D. G. w postaci jej wizerunku utrwalonego na nagraniu z monitoringu wizyjnego, zainstalowanego na terenie Wspólnoty Mieszkaniowej ul. [...], B. Z.;
2. udzielił upomnienia Wspólnocie Mieszkaniowej ul. [...] z siedzibą w [...] za naruszenie art. 13 ust. 1 i ust. 2 RODO, polegające na niespełnieniu wobec D. G. obowiązku informacyjnego wynikającego z art. 13 ust. 1 i 2 RODO podczas pozyskiwania od niej danych osobowych;
3. umorzył postępowanie w pozostałym zakresie.
W uzasadnieniu decyzji Prezes UODO zauważył na wstępie, że dane osobowe muszą być przetwarzane w sposób zgodny z prawem, co oznacza, że administrator - przetwarzając dane osobowe - musi legitymować się przynajmniej jedną z przesłanek określonych w art. 6 ust. 1 RODO.
Organ nadzorczy wskazał, że z ustaleń przeprowadzonych w toku postępowania wynika, iż skarżąca Wspólnota Mieszkaniowa przetwarza dane osobowe D. G. pozyskane za pomocą monitoringu wizyjnego zainstalowanego na terenie Wspólnoty Mieszkaniowej. Ponadto, organ nadzorczy zauważył, że z wyjaśnień strony skarżącej wynika, iż celem stosowania wspomnianego monitoringu jest prawnie uzasadniony interes skarżącej Wspólnoty Mieszkaniowej, tj. zapewnienie ochrony mienia Wspólnoty Mieszkaniowej i jej członków, zapewnienie bezpieczeństwa mieszkańców budynku, zapobieganie aktom wandalizmu oraz zapobieganie popełnianiu przestępstw i wykroczeń.
Prezes UODO stwierdził jednocześnie, że z ustaleń dokonanych w toku postępowania wyjaśniającego wynika również, że w sierpniu 2020 r. skarżąca Wspólnota Mieszkaniowa udostępniła B. Z., która mieszka w lokalu mieszkalnym należącym do Wspólnoty Mieszkaniowej, do wglądu nagranie z kamery monitoringu wizyjnego, na którym został zarejestrowany wizerunek D. G. i nagranie go prywatnym telefonem komórkowym, w związku z tym, że na nagraniu została uwidoczniona kłótnia sąsiedzka i nagranie miało następnie zostać wykorzystane w Sądzie w sprawie z oskarżenia prywatnego B. Z. Organ nadzorczy wskazał, że w tej sytuacji skarżąca Wspólnota Mieszkaniowa uznała, że z uwagi na powyższe B. Z. miała prawnie uzasadniony interes w pozyskaniu nagrania z monitoringu.
Mając na uwadze powyższe, Prezes UODO uznał, że udostępnienie danych osobowych D. G. w zakresie jej wizerunku, poprzez umożliwienie B.Z. wglądu do nagrania z monitoringu wizyjnego skarżącej Wspólnoty Mieszkaniowej, na którym utrwalono wizerunek uczestniczki postępowania, stanowiło przetwarzanie danych osobowych tej osoby, w rozumieniu art. 4 pkt 2 RODO.
Organ nadzorczy stwierdził, że skarżąca Wspólnota Mieszkaniowa nie wykazała jednak podstawy prawnej udostępnienia tych danych na rzecz B.Z., wskazując jedynie, że uznała za zasadne umożliwienie mieszkańcowi Wspólnoty Mieszkaniowej – B. Z. wglądu do nagrania z kamery monitoringu wizyjnego i wykonania kopii nagrania za pomocą prywatnego telefonu komórkowego w związku z zamiarem zgłoszenia do sądu zdarzenia, które było zarejestrowane przez monitoring wizyjny.
W tej sytuacji, Prezesa UODO uznał, że udostępnienie przez skarżącą Wspólnotę Mieszkaniową danych osobowych D. G. w postaci jej wizerunku utrwalonego za pomocą monitoringu na rzecz B. Z. nie miało uzasadnienia w żadnej z przesłanek z art. 6 ust. 1 RODO. Organ nadzorczy stwierdził bowiem, że skarżąca Wspólnota Mieszkaniowa nie wykazała, by dysponowała zgodą D.G.j na powyższe udostępnienie jej danych osobowych.
Organ nadzorczy stwierdził jednocześnie, że nie została również spełniona przesłanka określona w art. 6 ust. 1 lit. f RODO. Organ nadzorczy zauważył bowiem, że aby administrator mógł powołać się na art. 6 ust. 1 lit. f RODO, jako podstawę prawną legalizującą proces przetwarzania danych osobowych, muszą zostać spełnione łącznie przesłanki: uzasadnionego interesu oraz niezbędności przetwarzania danych osobowych. Jednocześnie, organ nadzorczy podniósł, że należy zweryfikować, czy nie jest spełniona przesłanka o charakterze negatywnym w postaci występowania w danym stanie faktycznym interesów lub podstawowych praw i wolności osoby, której dane dotyczą, mających charakter nadrzędny wobec prawnie uzasadnionych interesów administratora lub strony trzeciej. Prezes UODO uznał, że z ustaleń postępowania nie wynika, aby udostępnienie danych osobowych D. G. utrwalonych w nagraniu monitoringu wizyjnego B.Z. było niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią. Organ nadzorczy stwierdził, że nie można przy tym uznać, by zamiar wystąpienia do sądu przez B. Z. stanowił prawnie uzasadniony interes, do którego realizacji niezbędne byłoby udostępnienie jej danych osobowych D. G. utrwalonych na przedmiotowym nagraniu i miał charakter nadrzędny wobec podstawowych praw i wolności uczestniczki postępowania. Organ nadzorczy podkreślił, że nagranie czy też utrwalony w nim wizerunek D. G. nie były konieczne do skierowania powództwa cywilnego przeciwko tej osobie przez osobę trzecią, co mogło nastąpić także bez powyższych informacji. Ponadto, organ nadzorczy wskazał, że w toku postępowania o ww. informacje mógł ponadto wystąpić do Wspólnoty Mieszkaniowej sąd cywilny, gdyby uznał, że mogą się one przyczynić do rozstrzygnięcia sprawy. W tej sytuacji, Prezes UODO stwierdził, że nie można zatem uznać, by zachodziła niezbędność spornego udostępnienia danych dla realizacji prawnie uzasadnionych interesów realizowanych przez stronę trzecią.
W związku z powyższym, organ nadzorczy stwierdził, że nie można uznać, iż art. 6 ust. 1 lit. f RODO stanowił podstawę prawną udostępnienia B.Z. danych osobowych D.G. w zakresie jej wizerunku utrwalonego na nagraniu z monitoringu wizyjnego.
Ponadto, Prezes UODO uznał, że w niniejszej sprawie nie została również spełniona żadna z pozostałych przesłanek określonych w art. 6 ust. 1 RODO.
Organ nadzorczy wskazał bowiem, że nie zachodzi sytuacja określona w art. 6 ust. 1 lit. b RODO, albowiem udostępnienie spornych danych osobowych nie było niezbędne do wykonania umowy, której stroną byłaby D. G., czy też do podjęcia działań na jej żądanie przed zawarciem takiej umowy.
Prezes UODO uznał także, że na skarżącej Wspólnocie Mieszkaniowej nie ciążył obowiązek prawny, dla którego wypełnienia konieczne było udostępnienie danych osobowych D. G. (art. 6 ust. 1 lit. c RODO).
Organ nadzorczy stwierdził jednocześnie, że w niniejszej sprawie nie znajdują zastosowania przesłanki określone art. 6 ust. 1 lit. d oraz lit. e RODO, ponieważ przedmiotowe udostępnienie nie było niezbędne do ochrony żywotnych interesów D. G. lub innej osoby fizycznej ani do wykonania zadania realizowanego w interesie publicznym, a ponadto skarżącej Wspólnocie Mieszkaniowej nie zostało powierzone sprawowanie władzy publicznej.
Jednocześnie, organ nadzorczy wskazał, że z ustaleń postępowania nie wynika, aby B. Z. była osobą upoważnioną przez skarżącą Wspólnotę Mieszkaniową, jako administratora danych, do przetwarzania danych osobowych D. G.
Mając na względzie powyższe, Prezes UODO uznał, że brak było podstaw do udostępnienia danych osobowych D. G. w postaci wizerunku utrwalonego na nagraniu z monitoringu wizyjnego, w sposób wskazany w skardze z dnia [...] maja 2021 r.
W tej sytuacji, Prezes DODO uznał, że z uwagi na stwierdzenie naruszenia przez skarżącą Wspólnotę Mieszkaniową przepisów o ochronie danych osobowych, zachodzą podstawy do skorzystania przez organ nadzorczy z uprawnień naprawczych przyznanych mu na podstawie art. 58 ust. 2 RODO.
Mając na uwadze fakt, że kwestionowane naruszenie przepisów o ochronie danych osobowych ma charakter przeszły i nieodwracalny, albowiem nie sposób cofnąć jego skutków polegających na udostępnieniu przez Wspólnotę osobie trzeciej (B. Z.) danych osobowych D. G., a także uwzględniając wagę i charakter stwierdzonego naruszenia, Prezes UODO uznał za zasadne skorzystanie w niniejszej sprawie z instrumentu o charakterze naprawczym przewidzianego w art. 58 ust. 2 lit. b RODO i udzielił skarżącej Wspólnocie Mieszkaniowej upomnienia za udostępnienie danych osobowych D. G. w zakresie wizerunku zarejestrowanego za pomocą monitoringu wizyjnego zainstalowanego na terenie tej Wspólnoty B. Z.
Odnosząc się z kolei do zarzutu niespełnienia wobec osoby wnoszącej skargę do organu nadzorczego obowiązku informacyjnego wynikającego z art. 13 RODO, Prezes UODO zauważył, że na skarżącej Wspólnocie Mieszkaniowej, jako na administratorze danych osobowych przetwarzanych przy użyciu monitoringu wizyjnego, ciąży obowiązek przejrzystego informowania w zakresie wskazanym w art. 13 RODO, a także obowiązek wykazania, że prawidłowo realizuje ona ten obowiązek.
Organ nadzorczy wskazał, że skarżąca Wspólnota Mieszkaniowa, odnosząc się do zarzutu niespełnienia wobec D. G. obowiązku informacyjnego w związku z nagrywaniem jej wizerunku za pomocą monitoringu wizyjnego, wyjaśniła w piśmie z dnia [...] grudnia 2021 r., że nie posiada kopii klauzuli informacyjnej, zapewniające jednak, że członkowie Wspólnoty Mieszkaniowej posiadają stosowną wiedzę, kto jest administratorem danych osobowych, jakie są jego dane adresowe oraz jaki jest cel stosowania monitoringu wizyjnego, nie przedstawiła jednak na tę okoliczność jakichkolwiek dowodów.
Mając na względzie powyższe, Prezes UODO stwierdził, że nie można tym samym uznać, iż skarżąca Wspólnota Mieszkaniowa spełniła wobec D. G. obowiązek informacyjny, o którym mowa w art. 13 RODO w sposób przejrzysty i podczas pozyskiwania danych osobowych.
Organ nadzorczy zauważył, że dopiero w piśmie z dnia [...] lipca 2022 r. skarżąca Wspólnota Mieszkaniowa poinformowała Prezesa UODO, że umieściła klauzulę informacyjną dotyczącą przetwarzania danych osobowych w związku z pozyskiwaniem danych z monitoringu wizyjnego na tablicy informacyjnej na klatce schodowej w budynku przy ul. [...]. Niemniej, organ nadzorczy wskazał, że skarżąca Wspólnota Mieszkaniowa nie była w stanie wykazać, czy i kiedy spełniła ww. obowiązek informacyjny wobec D. G. przed lipcem 2022 r.
W tej sytuacji, organ nadzorczy uznał, że skoro skarżąca Wspólnota Mieszkaniowa wykazała spełnienie obowiązku informacyjnego dopiero w lipcu 2022 r., uznać należy, iż wcześniej obowiązek ten nie został spełniony, co naruszyło art. 13 ust. 1 i ust. 2 RODO.
Mając na uwadze powyższe, uwzględniając wagę i charakter stwierdzonego naruszenia oraz jego nieodwracalność, Prezes UODO uznał za zasadne skorzystanie w niniejszej sprawie z instrumentu o charakterze naprawczym przewidzianego w art. 58 ust. 2 lit. b RODO i udzielił skarżącej Wspólnocie Mieszkaniowej upomnienia za niespełnienie wobec D. G. obowiązku informacyjnego z art. 13 RODO podczas pozyskiwania danych osobowych tej osoby.
Analizując z kolei zarzut udostępnienia danych osobowych D. G. w zakresie jej imienia i nazwiska przez skarżącą Wspólnotę Mieszkaniową B.Z., Prezes UODO zauważył, że strona skarżąca zaprzeczyła, by doszło do udostępnienia przez nią powyższych danych osobowych B. Z. Jednocześnie, organ nadzorczy podniósł, że z wyjaśnień skarżącej Wspólnoty Mieszkaniowej wynika, że B. Z. jest bezpośrednią sąsiadką D. G. i stąd zna jej dane osobowe w zakresie imienia i nazwiska. Organ nadzorczy stwierdził ponadto, że D. G. poza własnym oświadczeniem nie przedstawiła innych dowodów na to, by do spornego udostępnienia jej imienia i nazwiska istotnie doszło. Prezes UODO zauważył także, że nie dysponuje przy tym dowodami, które jednoznacznie podważałyby informacje przekazane w tym zakresie przez skarżącą Wspólnotę Mieszkaniową.
Wobec powyższego, Prezes UODO uznał, że brak jest podstaw, by uznać, iż doszło do udostępnienia przez skarżącą Wspólnotę Mieszkaniową danych osobowych D. G. w zakresie imienia i nazwiska B. Z. W tej sytuacji, organ nadzorczy stwierdził, że skoro ustalono, iż nie doszło do kwestionowanego udostępnienia danych osobowych, to brak było podstaw do wydania w tym zakresie jakiejkolwiek decyzji merytorycznej. W konsekwencji, organ nadzorczy stwierdził, że niniejsze postępowanie w omawianym zakresie podlega umorzeniu na podstawie art. 105 § 1 k.p.a. jako bezprzedmiotowe.
W piśmie z dnia [...] czerwca 2023 r. skarżąca Wspólnota Mieszkaniowa, reprezentowana przez adwokata, działając za pośrednictwem organu nadzorczego, wniosła do Wojewódzkiego Sądu Administracyjnego w Warszawie skargę na powyższą decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] kwietnia 2023 r., zaskarżając ją w części dotyczącej rozstrzygnięcia organu zawartego w pkt 1 i 2 spornej decyzji.
Wnosząc w petitum skargi o uchylenie zaskarżonej decyzji w spornej części i umorzenie postępowania, a także o zasądzenie od organu nadzorczego na rzecz strony skarżącej zwrotu kosztów postępowania, w tym kosztów zastępstwa procesowego według norm przepisanych, skarżąca Wspólnota Mieszkaniowa zarzuciła organowi nadzorczemu:
1) naruszenie przepisów postępowania w postaci art. 7 k.p.a. w związku z art. 75 § 1 k.p.a. w zw. z art. 77 § 1 k.p.a. w zw. z art. 80 k.p.a. - polegające na niedokładnym wyjaśnieniu stanu faktycznego sprawy oraz braku podjęcia wszelkich czynności niezbędnych do dokładnego wyjaśnienia stanu faktycznego sprawy z uwagi na błędne przyjęcie, iż na spornym nagraniu z monitoringu była uwidoczniona jedynie osoba D. G., podczas gdy była na nim utrwalona również B. Z. (tj. osoba, której udostępniono nagranie), która miała prawo do udostępnienia jej nagrania z uwagi na jego treść (utrwalenie kłótni sąsiedzkiej mającej stanowić dowód w sprawie z oskarżenia prywatnego) jak również wadliwym ustaleniu, iż D.G. nie miała wiedzy kto jest administratorem danych osobowych we Wspólnocie Mieszkaniowej przy ul. [...] w [...] oraz w jakim celu i na jakich zasadach funkcjonuje monitoring;
2) naruszenie przepisu prawa materialnego, tj. art. 6 ust. 1 lit. f RODO - polegające na błędnym przyjęciu, że brak było podstawy prawnej do udostępnienia nagrania z monitoringu B. Z. w sytuacji, gdy ona również znajdowała się na nagraniu, które obrazowało kłótnię sąsiedzką z udziałem D.G., a które to nagranie miało zostać wykorzystane na potrzeby sprawy z oskarżenia prywatnego przeciwko D. G.;
3) naruszenie przepisu prawa materialnego, tj. art. 13 ust. 1 i 2 RODO - polegające na błędnym uznaniu, że nie spełniono wobec D. G. obowiązku informacyjnego, podczas gdy miała ona wiedzę kto jest administratorem danych osobowych we Wspólnocie Mieszkaniowej oraz w jakim celu i na jakich zasadach funkcjonuje monitoring;
4) naruszenie przepisu prawa materialnego, tj. art. 15 RODO - polegające na błędnym uznaniu, że brak było podstawy do udostępnienia nagrania z monitoringu B. Z., w sytuacji, gdy ona również była na nim utrwalona, a udostępnienie nagrania nie wpłynęło niekorzystanie na prawa i wolności innych osób.
W uzasadnieniu skargi strona skarżąca zauważyła na wstępie, że na spornym nagraniu z monitoringu, oprócz wizerunku D. G., jest utrwalony również wizerunek B.Z. Strona skarżąca podniosła, że sporne nagranie obrazuje kłótnię sąsiedzką pomiędzy tymi osobami. W tej sytuacji, strona skarżąca zarzuciła, że organ nadzorczy błędnie ustalił, iż na spornym nagraniu z monitoringu znajduje się jedynie D.G., co w konsekwencji skutkowało wadliwym przyjęciem, że brak było podstaw do udostępnienia tegoż nagrania B. Z. Zdaniem strony skarżącej, skoro na nagraniu obrazującym kłótnię sąsiedzką utrwalona jest również B. Z., co wynika z pisma samej D. G., to tym samym, uznać należy, że B. Z. miała prawo żądania udostępnienia nagrania, na którym był utrwalony jej wizerunek.
Skarżąca Wspólnota Mieszkaniowa stwierdziła zatem, że administrator ochrony danych osobowych, znając zarówno B. Z., jak też D. G. oraz dysponując wiedzą odnośnie szczegółów utrwalonego zajścia, nie miał podstaw, by odmówić B.Z. udostępnienia wspomnianego nagrania.
W ocenie skarżącej Wspólnoty Mieszkaniowej, powyższe działanie było tym bardziej uzasadnione, jeżeli zważy się to, iż w realiach przedmiotowej sprawy mamy do czynienia z równoważnymi dobrami chronionymi prawem.
Ponadto, strona skarżąca zauważyła, że sporne nagranie zostało udostępniono w ściśle określonym celu, tj. miało stanowić dowód w sprawie sądowej z oskarżenia prywatnego, jakie miała skierować B. Z. przeciwko D. G.
Jednocześnie, strona skarżąca stwierdziła, że z uwagi na charakter utrwalonego zajścia (kłótnia sąsiedzka), absolutnie niecelowym było dokonywanie jakiejkolwiek anonimizacji udostępnionego nagrania z monitoringu, gdyż wówczas nagranie to byłoby całkowicie bezwartościowe na potrzeby procesu karnego.
Odnosząc się z kolei do kwestii zarzucanego przez organ nadzorczy niespełnienia obowiązku informacyjnego, strona skarżąca wskazała, że z treści pism D. G. wynika, iż miała ona wiedzę kto jest administratorem danych osobowych we Wspólnocie Mieszkaniowej oraz jaki jest cel i zasady działania monitoringu wizyjnego. W tej sytuacji, strona skarżąca uznała, że zastosowanie winien mieć art. 13 ust. 4 RODO.
Mając na względzie powyższe, strona skarżąca zarzuciła, że organ nadzorczy dopuścił się istotnych naruszeń, które doprowadziły do wydania wadliwej decyzji, co powinno w konsekwencji prowadzić do uchylenia zaskarżonej decyzji.
W odpowiedzi na skargę Prezes Urzędu Ochrony Danych Osobowych wniósł o jej oddalenie, podtrzymując swoje dotychczasowe stanowisko wyrażone w uzasadnieniu zaskarżonej decyzji.
Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje.
Zgodnie z art. 1 § 1 i 2 ustawy z dnia 25 lipca 2002 r. - Prawo o ustroju sądów administracyjnych (tekst jednolity Dz. U. z 2024 r., poz. 1267), sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej, przy czym kontrola ta sprawowana jest pod względem zgodności z prawem, jeżeli ustawy nie stanowią inaczej.
W świetle powołanych przepisów cyt. ustawy, Wojewódzki Sąd Administracyjny w Warszawie, w zakresie swojej właściwości, ocenia zaskarżoną decyzję administracyjną, postanowienie, czy też inny akt lub czynność z zakresu administracji publicznej dotyczącą uprawnień lub obowiązków wynikających z przepisów prawa, z punktu widzenia ich zgodności z prawem materialnym i przepisami postępowania administracyjnego, według stanu faktycznego i prawnego obowiązującego w dacie wydania tego aktu lub podjęcia spornej czynności. Chodzi więc o kontrolę aktów lub czynności z zakresu administracji publicznej dokonywaną wyłącznie pod względem ich zgodności z prawem materialnym i przepisami procesowymi, nie zaś według kryteriów słuszności, czy też zgodności z zasadami współżycia społecznego, co oczywiście nie oznacza, że wspomniana kontrola sądowa ogranicza się wyłącznie do literalnej wykładni przepisów prawa, abstrahując całkowicie od spirit of the law (tzw. "ducha prawa") przy odkodowywaniu znaczenia normy prawnej, bez spojrzenia na cel (ratio legis) przepisu.
Ponadto, co wymaga podkreślenia, Sąd rozstrzyga w granicach danej sprawy, nie będąc jednak związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną (vide: art. 134 § 1 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi - tekst jednolity Dz. U. z 2024 r., poz. 935 - dalej także: "P.p.s.a.").
Należy jednocześnie wyraźnie zaznaczyć, że od dnia wejścia w życie Traktatu Akcesyjnego z dnia 16 kwietnia 2003 r. (Dz. U. z 2004 r. Nr 90, poz. 864), na mocy którego Polska stała się państwem członkowskim Unii Europejskiej, kontrola sądu administracyjnego obejmuje również zgodność rozstrzygnięć organów administracji publicznej z prawem europejskim (prawem Unii Europejskiej), rozumianym, jako całokształt dorobku prawnego Unii Europejskiej (acquis communautaire), w tym zasad ogólnych prawa europejskiego, interpretowanych oraz stosowanych w sposób jednolity na całym obszarze Unii Europejskiej.
Należy zauważyć, że w tej sytuacji, Wojewódzki Sąd Administracyjny w Warszawie, dokonując oceny legalności zaskarżonej decyzji Prezesa Urzędu Ochrony Danych Osobowych, zobowiązany był - co do zasady - zbadać jej zgodność przede wszystkim z przepisami prawa europejskiego, w tym w szczególności z regulacjami zawartymi w rozporządzeniu Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych - zwane także: "RODO").
W ocenie Wojewódzkiego Sądu Administracyjnego w Warszawie, analizowana pod tym kątem skarga Wspólnoty Mieszkaniowej ul. [...] z siedzibą w [...] nie zasługuje na uwzględnienie, albowiem zaskarżona decyzja Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] kwietnia 2023 r. - nie narusza obowiązujących przepisów prawa.
Sąd uznał, że Prezes UODO, wydając sporną decyzję administracyjną z dnia [...] kwietnia 2023 r., nie dopuścił się naruszenia zarówno wiążących Polskę przepisów prawa europejskiego, jak również stosownych regulacji prawa krajowego, w stopniu mającym istotny wpływ na końcowy wynik sprawy zakończonej wydaniem wspomnianej wyżej decyzji.
Przede wszystkim, stwierdzić należy jednak, że - wbrew zarzutom strony skarżącej - Prezes UODO, wydając sporne rozstrzygnięcie, nie dopuścił się - mogącego mieć jakikolwiek istotny wpływ na wynik sprawy - naruszenia przepisów procedury administracyjnej, a w szczególności art. 7 k.p.a., art. 77 § 1 k.p.a., art. 80 k.p.a., a także art. 107 § 3 k.p.a. w związku z art. 7 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych, albowiem wyjaśnił wszystkie okoliczności istotne dla prawidłowego i pełnego rozstrzygnięcia sprawy, a także dokonał właściwej oceny zebranego w sprawie materiału dowodowego, przeprowadzając jednocześnie ową ocenę w kontekście właściwie zastosowanych przepisów prawa materialnego.
Jednocześnie, Sąd uznał, że na podstawie prawidłowo ustalonego stanu faktycznego organ nadzorczy zasadnie przyjął, że skarżąca Wspólnota Mieszkaniowa, dopuszczając się kwestionowanego procesu przetwarzania danych osobowych przy wykorzystaniu urządzeń służących do monitoringu wizyjnego, nie realizowała tego przetwarzana w sposób legalny, tj. na podstawie którejkolwiek z przesłanek określonych w art. 6 ust. 1 RODO, a także z poszanowaniem zasad sformułowanych w art. 5 ust. 1 lit. a i lit. b oraz art. 5 ust. 2 RODO. W ocenie Sądu, Prezes UODO prawidłowo uznał bowiem, że skarżąca Wspólnota Mieszkaniowa nie wykazała w toku postępowania wyjaśniającego przeprowadzonego przed organem nadzorczym, iż dysponuje podstawą prawną do udostępnienia osobie trzeciej (B. Z.) danych osobowych D.G. w postaci jej wizerunku utrwalonego na nagraniu z monitoringu wizyjnego, zainstalowanego na terenie Wspólnoty Mieszkaniowej ul. [...], B.Z. Ponadto, Sąd stwierdził, że organ nadzorczy zasadnie zarzucił stronie skarżącej, że ta nie wykazała w sposób należyty, iż sporny proces przetwarzania danych realizowany był w sposób przejrzysty dla osób, których dane dotyczą, a więc by dopełniony został zarówno obowiązek informacyjny wobec D. G., jak również, by teren objęty monitorowaniem został w dostateczny sposób oznakowany.
W tej sytuacji, Sąd uznał, że w konsekwencji stwierdzonych istotnych naruszeń przepisów RODO, organ nadzorczy słusznie udzielił skarżącej Wspólnocie Mieszkaniowej upomnienia za naruszenie tych regulacji.
Stwierdzić należy, że stosując w analizowanej sprawie powyższe uprawnienie naprawcze, Prezes UODO działał zgodnie z art. 58 ust. 2 lit. b RODO, albowiem słusznie przyjął, iż zastosowanie upomnienia będzie w tej sprawie wystarczające przy uwzględnieniu charakteru, wagi oraz czasu trwania naruszenia, a także innych istotnych okoliczności związanych z zachowaniem administratora danych.
W działaniu Prezesa UODO, jako organu administracji publicznej wydającego sporną decyzję, Sąd nie dopatrzył się jakichkolwiek istotnych nieprawidłowości, zarówno, gdy idzie o ustalenie stanu faktycznego sprawy, jak i o zastosowanie do jego oceny przepisów prawa materialnego.
Jednocześnie, Sąd stwierdził, że w uzasadnieniu zaskarżonej decyzji Prezesa UODO z dnia [...] kwietnia 2023 r. wyjaśnione zostały w sposób dostatecznie jasny i przekonywujący motywy jej podjęcia, zaś przytoczona w tym zakresie argumentacja jest wyczerpująca i w pełni odnosząca się do stanowiska strony skarżącej podniesionego w toku postępowania wyjaśniającego.
W konsekwencji, zdaniem Sądu, stwierdzić należy, że Prezes UODO, wydając zaskarżoną decyzję administracyjną - nie dopuścił się tym samym istotnego naruszenia zasady praworządności wyrażonej w przepisach art. 6 k.p.a. i art. 7 in principio k.p.a. oraz art. 7 Konstytucji RP.
Przechodząc do oceny zarzutów skargi, należy zauważyć na wstępie, że Sąd nie zgodził się przede wszystkim z postawionym przez stronę skarżącą zarzutem zaniechania przez organ nadzorczy dokonania należytego wyjaśnienia stanu faktycznego sprawy i jednocześnie pobieżnego przeprowadzenia postępowania dowodowego w sprawie i tym samym zgromadzenia rzekomo niepełnego materiału dowodowego i przeprowadzenia jego dowolnej i subiektywnej oceny.
Otóż, należy wskazać, że nie ulega wątpliwości, że postępowanie w sprawie naruszenia przepisów o ochronie danych jest jednym z postępowań administracyjnych przed Prezesem Urzędu Ochrony Danych Osobowych. O takim jego charakterze rozstrzyga art. 7 ust. 1 ustawy o ochronie danych osobowych, który postępowanie z rozdziału 7 kwalifikuje jako administracyjne i przewiduje w sprawach w niej nieuregulowanych stosowanie do tego postępowania Kodeksu postępowania administracyjnego. Warto przy tym zauważyć, że ustawodawca w art. 7 ust. 1 cyt. ustawy nie przewiduje stosowania odpowiedniego, oznacza to zatem stosowanie przepisów ogólnej procedury administracyjnej wprost, z modyfikacjami wynikającymi z regulacji ustawy o ochronie danych osobowych.
Użyte w art. 60 u.o.d.o. określenie "naruszenie przepisów o ochronie danych osobowych" ma zakres szeroki i obejmuje naruszenia wszystkich przepisów o ochronie danych, zarówno zawartych w unijnym rozporządzeniu, jak i w przepisach krajowych, które uzupełniają lub modyfikują regulacje unijne.
Zgodnie z art. 7 ust. 1 u.o.d.o., w sprawach nieuregulowanych w ustawie do postępowań administracyjnych przed Prezesem Urzędu Ochrony Danych Osobowych, o których mowa w rozdziale 4-7 i 11 (a więc również w rozdziale 7 dotyczącym postępowania w sprawie naruszenia przepisów o ochronie danych osobowych), stosuje się przepisy Kodeksu postępowania administracyjnego.
Zdaniem Sądu, nie ulega wątpliwości, że związanie rygorami procedury administracyjnej oznacza, iż Prezes UODO jest obowiązany m.in. do przestrzegania zasady pogłębiania zaufania obywateli do organów praworządnego państwa (art. 8 § 1 k.p.a.). W tej sytuacji, organ nadzorczy, uwzględniając powyższą zasadę, zobowiązany jest przede wszystkim dokładnie wyjaśnić okoliczności sprawy, konkretnie ustosunkować się do żądań i twierdzeń strony skarżącej oraz uwzględnić w decyzji zarówno interes społeczny, jak i słuszny interes strony skarżącej. Organ nadzorczy jest ponadto obowiązany w sposób wyczerpujący zebrać i ocenić cały materiał dowodowy (art. 7, art. 77 § 1 i art. 80 k.p.a.) oraz uzasadnić swoje rozstrzygnięcie według wymagań określonych w przepisie art. 107 § 3 k.p.a.
Mając na względzie powyższe, Sąd uznał, że zebrany w sprawie materiał dowodowy jest wyczerpujący i został poddany przez organ nadzorczy wszechstronnemu i wnikliwemu rozpatrzeniu, w wyniku czego doszło do prawidłowego ustalenia stanu faktycznego sprawy.
Prezes Urzędu Ochrony Danych Osobowych, przeprowadzając wspomniane postępowanie wyjaśniające, dokonał wszelkich niezbędnych ocen, przy uwzględnieniu całokształtu zgromadzonego w sprawie materiału dowodowego oraz w kontekście odpowiednio zastosowanych przepisów prawa, w tym przede wszystkim przepisów RODO oraz ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych.
Warto jednocześnie zauważyć, że Prezes UODO, przeprowadzając sporne postępowanie wyjaśniające wykorzystał wszelkie niezbędne instrumenty prawne, jakie dawała mu ustawa o ochronie danych osobowych i uzasadniając swoje stanowisko w decyzji z dnia [...] kwietnia 2023 r., w sposób klarowny przedstawił argumentację dotyczącą zasadności zastosowania wobec skarżącej Wspólnoty Mieszkaniowej, jako administratora danych, uprawnienia naprawczego w postaci upomnienia.
Sąd uznał w tej sytuacji, że całkowicie niezrozumiały jest zarzut strony skarżącej, jakoby organ nadzorczy nie podjął wszelkich możliwych czynności niezbędnych do wyjaśnienia stanu faktycznego, pomimo, że - jak sugeruje skarżąca Wspólnota Mieszkaniowa - organ nadzorczy posiadał wszelkie dane umożliwiające z urzędu podjęcie takich czynności.
Nie ulega wątpliwości, że zasadniczym przedmiotem sporu pomiędzy skarżącą Wspólnotą Mieszkaniową a Prezesem UODO jest przede wszystkim ocena zasadności przyjęcia przez organ nadzorczy, iż skarżąca Wspólnota Mieszkaniowa dopuściła się nielegalnego przetwarzania wskazanych w treści decyzji danych osobowych D. G., która - w skierowanej do organu nadzorczego skardze - podważała prawidłowość owego przetwarzania.
Należy zatem zauważyć, że zgodnie z art. 2 ust. 1 RODO, rozporządzenie to ma zastosowanie do przetwarzania danych osobowych w sposób całkowicie lub częściowo zautomatyzowany oraz do przetwarzania w sposób inny niż zautomatyzowany danych osobowych stanowiących część zbioru danych lub mających stanowić część zbioru danych.
"Przetwarzanie", zgodnie z art. 4 pkt 2 RODO, oznacza operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, taką jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie.
Z kolei "dane osobowe" to - w świetle art. 4 pkt 1 RODO - wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej ("osobie, której dane dotyczą"); możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora takiego jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej.
W tej sytuacji, uznać należy, że obraz osoby zarejestrowany przez kamerę stanowi dane osobowe, w rozumieniu art. 4 pkt 1 RODO, jeżeli pozwala na jej zidentyfikowanie bezpośrednio lub pośrednio. Zautomatyzowany monitoring wizyjny określonego obszaru za pomocą środków optycznych lub audiowizualnych umożliwia zbieranie, utrwalenie i przechowywanie informacji związanych z obrazem, dotyczących wszystkich osób wchodzących na obszar monitorowany, które można zidentyfikować na podstawie ich wyglądu lub innych cech szczególnych. Zbieranie i przechowanie informacji o osobach fizycznych, które można bezpośrednio lub pośrednio zidentyfikować na podstawie czynników określających m.in. ich fizyczną tożsamość, stanowi natomiast przetwarzanie danych osobowych.
Nadzór określonego obszaru za pomocą monitoringu wizyjnego polegający - tak jak w przedmiotowej sprawie - na rejestracji obrazu przechowywanego na twardym dysku, następnie nadpisywanego nowym nagraniem po zapełnieniu dostępnego na dysku miejsca, stanowi zatem zautomatyzowane przetwarzanie danych osobowych, o którym mowa w art. 2 ust. 1 RODO (zob. też pkt 13 oraz pkt 20 - pkt 25 wyroku Trybunału Sprawiedliwości Unii Europejskiej z dnia 11 grudnia 2014 r. w sprawie C-212/13 František Ryneš - dostępny: https://curia.europa.eu).
Mając na względzie powyższe, Sąd stwierdził, że skoro z materiału dowodowego zgromadzonego w toku postępowania wyjaśniającego wynika, iż osoba fizyczna, która wniosła skargę do organu nadzorczego, przebywała regularnie na terenie Wspólnoty Mieszkaniowej ul. [...] z siedzibą w [...], zaś kamery użytkowane przez skarżącą Wspólnotę Mieszkaniową zapisały wizerunek tej osoby, to Prezes UODO zasadnie przyjął, iż strona skarżąca przetwarza sporne dane osobowe.
Ponadto, stwierdzić należy, że mając na względzie fakt, iż w postępowaniu wyjaśniającym prowadzonym przez organ nadzorczy obowiązuje zasada, że ciężar dowodu spoczywa również na tym, kto z określonego faktu wyprowadza skutki prawne, Sąd uznał, iż w ustalonych okolicznościach faktycznych analizowanej sprawy nie ulega wątpliwości, że skarżąca Wspólnota Mieszkaniowa przetwarzała dane osobowe wspomnianej wyżej osoby za pomocą monitoringu wizyjnego.
W tej sytuacji, stwierdzić należy, że organ nadzorczy w pełni trafnie ustalił zatem, że do przetwarzania danych osobowych uczestniczki postępowania przez skarżącą Wspólnotę Mieszkaniową za pomocą przedmiotowego monitoringu wizyjnego znajdują zastosowanie przepisy RODO.
A zatem, zauważyć należy, że RODO wiąże przetwarzanie danych z przestrzeganiem zasad określonych w art. 5 RODO, które mają charakter podstawowy w odniesieniu do całej regulacji.
Zgodnie z art. 5 ust. 1 lit. a RODO, dane osobowe muszą być przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą ("zgodność z prawem, rzetelność i przejrzystość").
Stosownie z kolei do treści art. 5 ust. 1 lit. b RODO, dane osobowe muszą być zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach i nieprzetwarzane dalej w sposób niezgodny z tymi celami; dalsze przetwarzanie do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych nie jest uznawane w myśl art. 89 ust. 1 za niezgodne z pierwotnymi celami ("ograniczenie celu").
W świetle zaś art. 5 ust. 2 RODO, administrator jest odpowiedzialny za przestrzeganie przepisów ust. 1 i musi być w stanie wykazać ich przestrzeganie ("rozliczalność").
Stwierdzenie, że administrator powinien być w stanie wykazać przestrzeganie zasad, odczytywać można jako nałożenie na administratora ciężaru dowodu w zakresie przestrzegania zasad przetwarzania danych. W razie sporu z osobą, której dane dotyczą, albo z organem nadzorczym, administrator powinien być więc w stanie przedstawić dowody na to, że przestrzega zasad (por. P. Fajgielski /w:/ Komentarz do rozporządzenia nr 2016/679 w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) /w:/ Ogólne rozporządzenie o ochronie danych. Ustawa o ochronie danych osobowych. Komentarz, wyd. II, Wolters Kluwer Polska, Warszawa 2022 r., komentarz do art. 5).
Warunki uznania przetwarzania danych osobowych za zgodne z prawem określono przede wszystkim w art. 6 ust. 1 RODO, zgodnie z którym, przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy - i w takim zakresie, w jakim - spełniony jest co najmniej jeden z poniższych warunków:
a) osoba, której dane dotyczą wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów;
b) przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy;
c) przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze;
d) przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej;
e) przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi;
f) przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem.
Warto jednocześnie podkreślić wyraźnie, że w świetle art. 5 ust. 1 lit. a in fine RODO, dane osobowe powinny być przetwarzane "w sposób przejrzysty dla osoby, której dane dotyczą". Oznacza to, że podmiot danych powinien być informowany o przetwarzaniu jego danych, a także powinien mieć świadomość typowych konsekwencji, jakie z przetwarzaniem się wiążą.
Jak wyjaśniono w motywie 39 preambuły RODO, dla osób fizycznych powinno być przejrzyste, że dotyczące ich dane osobowe są zbierane, wykorzystywane, przeglądane lub w inny sposób przetwarzane oraz w jakim stopniu te dane osobowe są lub będą przetwarzane. Zasada przejrzystości wymaga, by wszelkie informacje i wszelkie komunikaty związane z przetwarzaniem tych danych osobowych były łatwo dostępne i zrozumiałe oraz sformułowane jasnym i prostym językiem. Zasada ta dotyczy w szczególności informowania osób, których dane dotyczą, o tożsamości administratora i celach przetwarzania oraz innych informacji mających zapewnić rzetelność i przejrzystość przetwarzania w stosunku do osób, których sprawa dotyczy, a także prawa takich osób do uzyskania potwierdzenia i informacji o przetwarzanych danych osobowych ich dotyczących. Osobom fizycznym należy uświadomić ryzyka, zasady, zabezpieczenia i prawa związane z przetwarzaniem danych osobowych oraz sposoby wykonywania praw przysługujących im w związku z takim przetwarzaniem.
W motywie 39 preambuły RODO wskazano również, że konkretne cele przetwarzania danych osobowych powinny być wyraźne, uzasadnione i określone w momencie ich zbierania. Dane osobowe powinny być adekwatne, stosowne i ograniczone do tego, co niezbędne do celów, dla których są one przetwarzane. Wymaga to w szczególności zapewnienia ograniczenia okresu przechowywania danych do ścisłego minimum. Dane osobowe powinny być przetwarzane tylko w przypadkach, gdy celu przetwarzania nie można w rozsądny sposób osiągnąć innymi sposobami.
W świetle powołanego wyżej art. 6 ust. 1 lit. f RODO, przetwarzanie jest zgodne z prawem, jeżeli jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem.
Skarżąca Wspólnota Mieszkaniowa powołała się na tę przesłankę legalizującą w toku postępowania przed organem nadzorczym, wskazując, że spoczywa na niej obowiązek zapewnienia ochrony mienia Wspólnoty Mieszkaniowej i jej członków, zapewnienia bezpieczeństwa mieszkańców budynku, zapobiegania aktom wandalizmu, zapobiegania popełnianiu przestępstw i wykroczeń.
Sąd uznał jednak, że - wbrew zarzutom skarżącej Wspólnoty Mieszkaniowej - organ nadzorczy trafnie stwierdził w zaskarżonej decyzji, że u podstaw pozyskiwania danych osobowych przez skarżącą Wspólnotę Mieszkaniową nie leży żadna z przesłanek określonych w art. 6 ust. 1 RODO warunkujących legalne przetwarzanie danych pochodzących z monitoringu wizyjnego, a w szczególności prawidłowo przyjął, że za przesłankę tę nie może zostać uznany wskazany art. 6 ust. 1 lit. f RODO w postaci niezbędności przetwarzania danych osobowych do celów wynikających z prawnie uzasadnionego interesu realizowanego przez skarżącą Wspólnotę Mieszkaniową, jako administratora, jakim - w ocenie strony skarżącej - miałaby być konieczność ochrony wskazanych powyżej dóbr.
Trudno uznać również, że sporne przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na skarżącej spółce (art. 6 ust. 1 lit. c RODO), gdyż brak jest takiego obowiązku w obowiązujących przepisach prawa.
Sąd uznał, że zebrany w niniejszej sprawie materiał dowodowy był wystarczający do ustalenia stanu faktycznego, ponieważ wyjaśnienia skarżącej Wspólnoty Mieszkaniowej i przedstawione przez nią dowody, a także wyjaśnienia uczestniczki postępowania D.G. nie budzą istotnych wątpliwości.
W ocenie Sądu, sporna decyzja administracyjna wydana została w oparciu o materiał dowodowy prawidłowo zgromadzony w toku postępowania administracyjnego przeprowadzonego przez organ nadzorczy zgodnie z zasadami określonymi w k.p.a. Sąd stwierdził, że organ nadzorczy uwzględnił wszystkie dowody i ustosunkował się do argumentacji wszystkich stron postępowania.
Mając na względzie powyższe, Sąd uznał, że zarzut skarżącej Wspólnoty Mieszkaniowej jakoby organ nadzorczy w sposób niedokładny wyjaśnił stan faktyczny oraz nie podjął wszelkich czynności niezbędnych do dokładnego wyjaśnienia stanu faktycznego sprawy jest bezpodstawny.
Według Sądu, nie można zgodzić się przede wszystkim z twierdzeniem skarżącej Wspólnoty Mieszkaniowej, jakoby organ nadzorczy przyjął, że na spornym nagraniu z monitoringu była uwidoczniona jedynie uczestniczka postępowania D. G., podczas gdy była na nim utrwalona również B. Z., a więc osoba, której udostępniono sporne nagranie, a która – jak uznała strona skarżąca - miała prawo do udostępnienia jej nagrania z uwagi na jego treść (utrwalenie kłótni sąsiedzkiej mającej stanowić dowód w sprawie z oskarżenia prywatnego).
Otóż, w ocenie Sądu, analizując ten zarzut, warto zauważyć, że Prezes UODO rozpatrując skargę D. G. obowiązany był przede wszystkim zbadać to, czy skarżąca Wspólnota Mieszkaniowa udostępniła jej dane osobowe B.Z., a jeśli tak, to czy jako administrator spornych danych legitymowała się podstawą prawną do udostępnienia tych danych.
Nie ulega jednak wątpliwości, że - wbrew zarzutom strony skarżącej - nie jest prawdą jakoby Prezes UODO przyjął, że na nagraniu widoczna była jedynie uczestniczka postępowania, a więc że nie wziął pod uwagę tego, iż z materiału dowodowego wynika, że na nagraniu była utrwalona kłótnia sąsiedzka z udziałem obu wskazanych wyżej osób - uczestniczki D. G. oraz B. Z.
Istota sprawy polega jednak przede wszystkim na wyjaśnieniu tego, czy skarżąca Wspólnota Mieszkaniowa - udostępniając w sierpniu 2020 r. B.Z., jako osobie mieszkającej w lokalu mieszkalnym należącym do tej Wspólnoty, do wglądu nagranie z kamery monitoringu wizyjnego, na którym został zarejestrowany wizerunek D. G. i zezwolenie na nagranie go prywatnym telefonem komórkowym, w związku z tym, że na nagraniu została uwidoczniona kłótnia sąsiedzka i nagranie miało następnie zostać wykorzystane w Sądzie w sprawie z oskarżenia prywatnego B. Z. - działała zgodnie z prawem.
Mając to na względzie, należy uznać, że organ nadzorczy prawidłowo stwierdził w swojej decyzji, że skarżąca Wspólnota Mieszkaniowa nie wykazała podstawy prawnej udostępnienia tych danych na rzecz B. Z. Zgodzić się należy bowiem z organem nadzorczym, że umożliwienie mieszkańcowi Wspólnoty Mieszkaniowej – B.Z. wglądu do nagrania z kamery monitoringu wizyjnego i wykonania kopii nagrania za pomocą prywatnego telefonu komórkowego w związku z zamiarem zgłoszenia do sądu zdarzenia, które było zarejestrowane przez monitoring wizyjny, nie ma uzasadnienia w żadnej z przesłanek z art. 6 ust. 1 RODO.
Zdaniem Sądu nie ulega bowiem wątpliwości, że zamiar wystąpienia do sądu przez B. Z. nie mógł stanowić prawnie uzasadnionego interes, do którego realizacji niezbędne byłoby udostępnienie tej osobie danych osobowych uczestniczki postępowania, które utrwalone zostały na wspomnianym nagraniu z monitoringu. Potrzeba, o której wspomniała B. Z., nie mogła mieć charakteru nadrzędnego wobec podstawowych praw i wolności uczestniczki postępowania.
Warto zauważyć, że nagranie z monitoringu oraz utrwalony w nim wizerunek uczestniczki postępowania nie były konieczne do skierowania powództwa cywilnego przeciwko D.G.przez osobę trzecią (B. Z.), albowiem mogło ono nastąpić (być zainicjowane) także bez powyższych informacji. Ponadto, jak słusznie podniósł organ nadzorczy, w toku ewentualnego postępowania sądowego o wspomniane wyżej informacje mógł wystąpić do skarżącej Wspólnoty Mieszkaniowej sąd cywilny prowadzący sprawę, gdyby uznał, że materiały te mogą się istotnie przyczynić do prawidłowego rozstrzygnięcia sporu sądowego.
W tej sytuacji, nie można zatem uznać, by zachodziła niezbędność spornego udostępnienia danych osobowych dla realizacji prawnie uzasadnionych interesów realizowanych przez stronę trzecią.
W konsekwencji, stwierdzić należy, że organ nadzorczy zasadnie przyjął, że nagranie zarejestrowane za pomocą monitoringu wizyjnego zainstalowanego na terenie Wspólnoty Mieszkaniowej mogło być udostępnione wyłącznie uprawnionej instytucji.
W tej sytuacji, skoro Prezes UODO uznał, że skarżąca Wspólnota Mieszkaniowa nie posiadała legitymacji prawnej do udostępnienia danych osobowych uczestniczki postępowania we wskazany powyżej sposób, to miał wszelkie podstawy do udzielenia stronie skarżącej upomnienia za udostępnienie B. Z. bez podstawy prawnej danych osobowych D. G.w postaci jej wizerunku utrwalonego na nagraniu z monitoringu wizyjnego, zainstalowanego na terenie tej Wspólnoty Mieszkaniowej.
Należy jednocześnie zauważyć, że skarżąca Wspólnota Mieszkaniowa nie wykazała w toku niniejszego postępowania, by w należyty sposób poinformowała uczestniczkę postępowania o prowadzonym monitoringu. W sprawie brak jest zatem dowodów na to, by obowiązek informacyjny, o którym mowa w art. 13 ust. 1 i 2 RODO został przez nią spełniony. Zdaniem Sądu, skarżąca Wspólnota Mieszkaniowa nie wykazała w niniejszym postępowaniu, aby spełniła wobec uczestniczki postępowania obowiązek informacyjny w związku ze stosowaniem monitoringu wizyjnego w momencie pozyskiwania jej danych osobowych. Należy zauważyć, że strona skarżąca spełniła ten obowiązek, ale z wyraźnym opóźnieniem, gdyż uczyniła to nie w momencie zbierania spornych danych osobowych, lecz dopiero w toku postępowania wyjaśniającego prowadzonego przez organ nadzorczy (w lipcu 2022 r.).
Sąd uznał ponadto, że nie sposób zgodzić się ze stroną skarżącą, jakoby organ nadzorczy dopuścił się naruszenia art. 15 RODO, które to naruszenie polegać miało na rzekomo błędnym uznaniu, iż brak było podstawy do udostępnienia nagrania z monitoringu B.Z., w sytuacji, gdy ona również była na nim utrwalona, a udostępnienie nagrania nie wpłynęło niekorzystnie na prawa i wolności innych osób.
Otóż, warto zauważyć, że art. 15 ust. 1 RODO stanowi, iż osoba, której dane dotyczą, jest uprawniona do uzyskania od administratora potwierdzenia, czy przetwarzane są dane osobowe jej dotyczące, a jeżeli ma to miejsce, jest uprawniona do uzyskania dostępu do nich oraz do informacji o nich.
Z powyższego przepisu jasno wynika zatem, że osoba, której dane dotyczą, może wnioskować jedynie o udostępnienie swoich danych osobowych.
W tej sytuacji, nie można zgodzić się ze stanowiskiem skarżącej Wspólnoty Mieszkaniowej, jakoby osoba wnioskując w trybie art. 15 RODO o dostęp do swoich danych, mogła domagać się także dostępu do danych innych osób. Takie stanowisko strony skarżącej uznać należy nie tylko za niezgodne z treścią wskazanego powyżej przepisu art. 15 ust. 1 RODO, ale także za prowadzące do całkowitego pozbawienia ochrony prawnej innych osób, a w następstwie tego - do pozbawienia tych osób sprawowania jakiejkolwiek kontroli nad ich danymi osobowymi, które to dane bez ich wiedzy udostępniane byłyby innym osobom i mogłyby być następnie użyte w różnych celach, także nieuprawnionych, np. kradzieży tożsamości, bez wiedzy i zgody osoby, której dane dotyczą. Nie można zatem - jak słusznie uznał organ nadzorczy - przyjąć, że powyższa regulacja prawna przyznająca prawo dostępu do danych osobie, której dane te dotyczą, umożliwiała jednocześnie przyznanie prawa dostępu do danych innych osób. W tej sytuacji, Sąd uznał, że - wbrew twierdzeniom skarżącej Wspólnoty Mieszkaniowej - przepis art. 15 ust. 1 RODO nie stanowi podstawy do udostępnienia danych osobowych innych osób, niż osoba wnioskująca w oparciu o ten przepis.
Jednocześnie, warto zauważyć, że art. 15 ust. 4 RODO stanowi, że prawo do uzyskania kopii danych, o której mowa w ust. 3, nie może niekorzystnie wpływać na prawa i wolności innych. Wobec powyższego, należy uznać, że obowiązek administratora wynikający z art. 15 RODO do przekazania wymaganych informacji osobie, której dane dotyczą, nie jest równoznaczny z obowiązkiem czy też uprawnieniem do przekazywania informacji dotyczących danych osobowych innych osób.
Nie sposób również pominąć faktu, iż administrator danych, realizując wspomniane wyżej uprawnienie, zobowiązany jest do zachowania poufności danych innych osób i musi być w stanie powyższe wykazać, zgodnie z zasadami wyrażonymi w art. 5 ust. 1 lit. f i art. 5 ust. 2 RODO.
Mając na uwadze powyższe zasady, a także treść art. 15 ust. 4 RODO oraz konieczność zapewnienia, aby każdy proces przetwarzania danych (w tym ich udostępnienie) odbywał się w oparciu o co najmniej jedną przesłankę określoną w art. 6 ust. 1 RODO, Sąd stwierdził, że realizując uprawnienia osoby, której dane dotyczą, określone w art. 15 RODO, administrator ma obowiązek zadbać o zachowanie poufności danych osobowych innych osób.
Mając na względzie powyższą analizę Sądu, należy stwierdzić, że skarżąca Wspólnota Mieszkaniowa przetwarzała dane osobowe uczestniczki postępowania z naruszeniem art. 5 ust. 1 lit. a i lit. b, art. 5 ust. 2 i art. 6 ust. 1, a także art. 13 ust. 1 i ust. 2 RODO.
W toku postępowania administracyjnego strona skarżąca nie wykazała bowiem, że przetwarzała dane osobowe uczestników w oparciu o przesłankę legalizującą określoną w art. 6 ust. 1 RODO, a zatem, że przetwarzanie jest zgodne z prawem.
Strona skarżąca nie dopełniła także obowiązku informacyjnego określonego w art. 13 ust. 1 i ust. 2 RODO, a przetwarzanie przez nią danych osobowych uczestniczki postępowania - w celu zapewnienia m.in. bezpieczeństwa mieszkańców i ich mienia a także zabezpieczenia mienia Wspólnoty - naruszało również zasadę przejrzystości i ograniczenia celu.
W tych okolicznościach, stwierdzić należy, że Prezes UODO był uprawniony do skorzystania z uprawnienia naprawczego przewidzianych w art. 58 ust. 2 lit. b RODO.
Zasadnie zatem organ nadzorczy udzielił stronie skarżącej upomnienia za naruszenie art. 5 ust. 1 lit. a i lit. b, art. 5 ust. 2, art. 6 ust. 1 oraz za naruszenie art. 13 ust. 1 i ust. 2 RODO.
W tym miejscu warto zauważyć, że uprawnienia naprawcze organu nadzorczego wskazane w art. 58 ust. 2 RODO mają charakter władczy i przybierają postać: ostrzeżeń, upomnień, nakazów, zakazów i kar. Ich realizacja stanowi istotę oddziaływania nadzorczego, które nie ogranicza się jedynie do sprawowania kontroli, ale obejmuje również władcze oddziaływanie organu nadzorczego na podmioty, wobec których sprawuje on nadzór.
Wskazać należy, że środki przysługujące organowi w ramach uprawnień naprawczych określonych w art. 58 ust. 2 RODO są zróżnicowanie w zależności od tego, czy mamy do czynienia z przetwarzaniem danych przez administratora lub podmiot przetwarzający, czy też jest ono dopiero na etapie planowanych operacji przetwarzania. W tym pierwszym przypadku organ nadzorczy może wydać ostrzeżenie dotyczące możliwości naruszenia przepisów rozporządzenia. W sytuacji kiedy mamy do czynienia z operacjami przetwarzania danych organowi przysługuje szereg środków naprawczych, w tym udzielenie upomnienia, wydawanie nakazów, wprowadzenie ograniczenia albo zakazu przetwarzania. Ponadto, w odniesieniu do procedury certyfikacyjnej, organ nadzorczy posiada uprawnienia do cofnięcia certyfikacji, z uwzględnieniem krajowych uregulowań w tym zakresie. Szczególną kompetencją organu nadzorczego jest prawo do nakładania administracyjnych kar pieniężnych, zgodnie z art. 83 RODO, oprócz lub zamiast pozostałych kompetencji naprawczych przyznanych w komentowanym przepisie.
Jednym ze środków naprawczych przewidzianych w przepisie art. 58 ust. 2 jest upomnienie, które udzielane jest w przypadku naruszenia przepisów RODO przez operacje przetwarzania danych.
Zasadnicza wątpliwość, związana z korzystaniem z instytucji upomnienia, wiąże się z tym, kiedy organ nadzorczy powinien udzielić upomnienia, a kiedy skorzystać z możliwości nałożenia administracyjnej kary pieniężnej.
Pewnych wskazówek udziela tutaj motyw 148 preambuły do RODO, zgodnie z którym "jeżeli naruszenie jest niewielkie lub jeżeli grożąca kara pieniężna stanowiłaby dla osoby fizycznej nieproporcjonalne obciążenie, można zamiast tego udzielić upomnienia. Powinno się jednak zwrócić należytą uwagę na charakter, wagę oraz czas trwania naruszenia, na to, czy naruszenie nie było umyślne, na działania podjęte dla zminimalizowania szkody, na stopień odpowiedzialności lub wszelkie mające znaczenie wcześniejsze naruszenia, na sposób, w jaki organ nadzorczy dowiedział się o naruszeniu, na przestrzeganie środków nałożonych na administratora lub podmiot przetwarzający, na stosowanie kodeksów postępowania oraz wszelkie inne czynniki obciążające lub łagodzące".
W tej sytuacji, przyjmuje się więc, że z jednej strony nie powinno budzić wątpliwości, że skorzystanie z możliwości udzielenia upomnienia pozostawione zostało do uznania organu nadzorczego, z drugiej jednak pewną wskazówką, kiedy udzielenie upomnienia jest preferowaną formą załatwienia sprawy, jest wskazanie w przywołanym motywie preambuły dwóch sytuacji: gdy naruszenie zostało uznane za "niewielkie" lub gdy "grożąca kara pieniężna stanowiłaby dla osoby fizycznej nieproporcjonalne obciążenie" (por. Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych). Komentarz /w:/ Ogólne rozporządzenie o ochronie danych osobowych. Ustawa o ochronie danych osobowych. Wybrane przepisy sektorowe. Komentarz, pod red. dr Pawła Litwińskiego, Wydawnictwo C.H. Beck, Warszawa 2021, t. 12 komentarza do art. 58 RODO).
Zdaniem Sądu, stwierdzić należy, że Prezes UODO, wydając sporną decyzję z dnia [...] kwietnia 2023 r., uzasadnił w sposób klarowny, dlaczego przyjął, że wystarczające będzie udzielenie administratorowi danych upomnienia, a nie zastosowanie administracyjnej kary pieniężnej.
Mając powyższe na względzie, Wojewódzki Sąd Administracyjny w Warszawie uznał, że w ustalonych okolicznościach niniejszej sprawy stwierdzić należy, iż organ nadzorczy zastosował wystarczające uprawnienie naprawcze polegające na udzieleniu administratorowi danych upomnienia, o którym mowa w art. 58 ust. 2 lit. b RODO, precyzyjnie wskazując przy tym w uzasadnieniu zaskarżonej decyzji, jakie konkretne okoliczności wpłynęły na rodzaj zastosowanego uprawnienia naprawczego.
Biorąc powyższe pod uwagę, Wojewódzki Sad Administracyjny w Warszawie - działając na podstawie art. 151 P.p.s.a. - orzekł, jak w sentencji wyroku.
[pic][pic]