II SA/Wa 1545/24

II SA/Wa 1545/24 - Wyrok WSA w Warszawie
Data orzeczenia
2025-05-30
orzeczenie nieprawomocne
Data wpływu
2024-09-23
Sąd
Wojewódzki Sąd Administracyjny w Warszawie
Sędziowie
Anna Pośpiech-Kłak /sprawozdawca/
Danuta Kania
Sławomir Antoniuk /przewodniczący/
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne
Ochrona danych osobowych
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Oddalono skargę
Powołane przepisy
Dz.U. 2024 poz 935
art. 151
Ustawa z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (t. j.)
Sentencja
Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Sławomir Antoniuk, Sędzia WSA Danuta Kania, Asesor WSA Anna Pośpiech-Kłak (spr.), , Protokolant referent Beata Kowalska po rozpoznaniu na rozprawie w dniu 30 maja 2025 r. sprawy ze skargi A. C. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] lipca 2024 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę
Uzasadnienie
Prezes Urzędu Danych Osobowych decyzją z dnia [...] lipca 2024 r. nr [...] na podstawie art. 104 § 1 oraz art. 105 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz.U. z 2024 r., poz. 572) w zw. z art. 7 ust. 1 ustawy z dnia 10 maja 2018 roku o ochronie danych osobowych (Dz.U. z 2019 r. poz. 1781), art. 2 ust. 2 lit. c, art. 6 ust. 1 oraz art. 58 ust. 2 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 4.05.2016, str. 1, Dz. Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35), zw. dalej "RODO", po przeprowadzeniu postępowania administracyjnego w sprawie z wniosku A. C., zw. dalej "wnioskodawcą" lub "skarżącym", na nieprawidłowości w procesie przetwarzania jego danych osobowych:
- przez J. G. polegające na udostępnieniu danych osobowych wnioskodawcy osobom trzecim, tj. r.pr. P. K. oraz G. C., bez podstawy prawnej, a także
- przez r.pr. P. K. prowadzącego Kancelarię Radcy Prawnego P. K. w Warszawie oraz G. C. polegające na przetwarzaniu danych osobowych wnioskodawcy bez podstawy prawnej,
odmówił uwzględnienia wniosku A. C. w zakresie przetwarzania jego danych osobowych przez r.pr. P. K. z Kancelarii Radcy Prawnego P. K. bez podstawy prawnej i umorzył postępowanie w pozostałym zakresie.
W uzasadnieniu PUODO wskazał, że wniosek A. C. obejmował nieprawidłowości w procesie przetwarzania jego danych osobowych przez J. G., zw. dalej "skarżona" lub "doradca podatkowy", polegające na udostępnieniu danych osobowych wnioskodawcy osobom trzecim, tj. r.pr. P. K. z Kancelarii Radcy Prawnego P. K. z siedzibą w Warszawie, zw. dalej "radcą prawnym" oraz G. C., zw. dalej "skarżonym", bez podstawy prawnej.
Wnioskodawca w piśmie z dnia [...] czerwca 2022 r. nadmienił, że "składam skargę na administratora tzn. doradcę podatkowego Panią J. G., która bezprawnie przekazała moją wiadomość - maila z dnia [...] maja 2021 r. osobie P. K. i G. C. (...)". Ponadto w piśmie z [...] września 2022 r. nadmienił, że "(...) domagam się (...) o interwencję do Prezesa UODO w sprawie przekazania moich danych osobowych przez doradcę podatkowego Panią J. G.. (...) Nie było zgodności z prawem (...), aby moje dane osobowe były przekazywane bez mojej zgody (...)".
W toku przeprowadzonego postępowania wyjaśniającego Prezes Urzędu Ochrony Danych Osobowych, zw. dalej "PUODO", ustalił następujący stan faktyczny:
- Skarżący wskazał, że skarżona udostępniła wiadomość e-mail z [...] maja 2021 r. wraz z jego danymi osobowymi skarżonemu oraz radcy prawnemu, co spowodowało "cofnięcia mi pełnomocnika z urzędu w procesie cywilnym prowadzonym o zachowek pod sygn. akt II C 2756/19 w Sądzie Rejonowym dla W.." Wiadomość ta dotyczyła oferty wykonania przez wnioskodawcę pokazu iluzjonistycznego;
- Skarżona wyjaśniła, że dane osobowe wnioskodawcy wskazane w treści wiadomości z dnia [...] maja 2021 r. są udostępniane na jego stronie internetowej pod adresem www.iluzjonistawarszawa.pl. Skarżona nadmieniła, że zna wnioskodawcę prywatnie od 2004 r. Treść wiadomości (mail z dnia [...] maja 2021 r.) skarżona przekazała swojej przyjaciółce W. C., która jest bratanicą wnioskodawcy. Przekazała dane osobowe wnioskodawcy jedynie w celach o charakterze czysto osobistym a ponadto nigdy nie współpracowała ze skarżonym, ani z radcą prawnym.
- Skarżony wyjaśnił, że dane osobowe wnioskodawcy (zawarte w treści maila z dnia [...] maja 2021 r.) otrzymał od swojej córki W. C. w dniu [...] maja 2021 r. Skarżony wskazał, że wnioskodawca jest jego bratem. Skarżony przekazał tego maila radcy prawnemu, który jest jego pełnomocnikiem procesowym w sprawach, w których stroną przeciwną jest wnioskodawca.
- Radca prawny wskazał, że od kilku lat jest pełnomocnikiem skarżonego, wobec czego na podstawie art. 3 ust. 3 i n. ustawy o radcach prawnych jest obowiązany zachować w tajemnicy informacje pozyskane w ramach udzielanej pomocy prawnej. Niezależnie od tego wskazał, że przetwarzał dane osobowe wnioskodawcy jedynie w zakresie wymaganym jego obowiązkami, a podstawę prawną przetwarzania tych danych upatruje w art. 6 ust. 1 lit. f RODO
Mając powyższe na względzie PUODO przywołał treść art. 6 ust. 1 RODO z którego wynikają obowiązki administratora danych, do których należy przetwarzanie "zwykłych" danych osobowych z zachowaniem przesłanek legalności. W świetle tego przepisu przetwarzanie danych jest dopuszczalne tylko wtedy, gdy spełniona jest jedna z przesłanek z art. 6 ust. 1 RODO, których katalog jest zamknięty. Każda z przesłanek legalizujących proces przetwarzania danych osobowych ma charakter autonomiczny i niezależny. Oznacza to, że ww. przepis legalizuje przetwarzanie danych, gdy spełniona jest co najmniej jedna z enumeratywnie wskazanych w nim przesłanek, tj. gdy: osoba, której dane dotyczą, wyrazi na ich przetwarzanie zgodę w jednym lub większej liczbie określonych celów (art. 6 ust. 1 lit. a RODO), jest to niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy (art. 6 ust. 1 lit. b RODO), jest to niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze (art. 6 ust. 1 lit. c RODO), przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej (art. 6 ust. 1 lit. d RODO), przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi (art. 6 ust. 1 lit. e RODO) lub przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem (art. 6 ust. 1 lit. f RODO).
PUODO wskazał, że ustawa o radcach prawnych nie określa wprost roli, jaką pełnią osoby wykonujące zawód radcy prawnego w procesie przetwarzania danych osobowych w ramach wykonywania działalności zawodowej. Jednak jak stanowi art. 4 ust. 1 ww. ustawy o radcach prawnych, zawód ten polega na świadczeniu pomocy prawnej. Pomoc prawna zgodnie z art. 6 ust. 1 ustawy o radcach polega w szczególności na udzielaniu porad i konsultacji prawnych, sporządzaniu opinii prawnych, opracowywaniu projektów aktów prawnych oraz występowaniu przed urzędami i sądami w charakterze pełnomocnika lub obrońcy. Zatem radca prawny, działając w imieniu mocodawcy, pozyskuje informacje w tym również dane osobowe osób trzecich, tak jak w przypadku danych wnioskodawcy. Radca prawny świadcząc pomoc prawną na rzecz mocodawcy, jest zatem uprawniony do przetwarzania danych osobowych wnioskodawcy, które przetwarza na jego zlecenie i na jego rzecz. Istotą wykonywania ww. zawodu jest świadczenie pomocy prawnej, które z uwagi na charakter powinno następować w sposób samodzielny i niezależny.
Zgodnie ze stanowiskiem wyrażonym przez Grupę Roboczą ds. Ochrony Danych Osobowych powołaną na mocy art. 29 Dyrektywy 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych (Dz. U. UE L 95.281.31 ze zm.), w opinii [...] w sprawie pojęć "administrator danych" i "przetwarzający", w przypadku, gdy przepisy prawa nie określają wprost administratora danych lub nie określają kryteriów jego wyznaczania, wziąć należy pod uwagę zadania lub obowiązek gromadzenia i przetwarzania niektórych danych nakładany na dany podmiot przez te przepisy. Zadanie lub obowiązek ten nie muszą wprost polegać na czynności przetwarzania danych, jednak wypełnienie ich jest niemożliwe bez zgromadzenia danych osobowych. Grupa Robocza wskazała ponadto, że w przypadku dostawcy usług, o uznaniu danego podmiotu za administratora w związku ze świadczeniem przez niego usług na rzecz klienta, przesądzić może jego ekspercka wiedza i tradycyjna rola. Zgodnie ze wskazanym przez Grupę Roboczą Przykładem nr [...] "Adwokat reprezentuje swojego klienta w sądzie i w związku z tym zadaniem przetwarza dane osobowe związane ze sprawą klienta. Podstawą prawną do wykorzystywania koniecznych informacji jest upoważnienie klienta. Jednak dane upoważnienie nie dotyczy głównie przetwarzania danych, ale reprezentowania w sądzie, do czego zawody te mają tradycyjnie swoją własną podstawę prawną. Zawody takie należy zatem uważać za niezależnych "administratorów danych" w przypadku przetwarzania danych podczas prawomocnego reprezentowania klientów". Stanowisko to, zdaniem PUODO, należy wprost stosować do zawodu radcy prawnego. Tym samym przesłanką legalizującą przetwarzanie danych osobowych wnioskodawcy przez radcę prawnego jest art. 6 ust. 1 lit. f RODO. Radca prawny pozyskał bowiem dane osobowe wnioskodawcy w związku z prowadzonym w imieniu swego mocodawcy (skarżonego) postępowaniem sądowym toczącym się przed Sądem Rejonowym dla W. (sygn. akt II C 2756/19), w którym wnioskodawca jest przeciwnikiem procesowym skarżonego, tj. mocodawcy radcy prawnego. Nadmienił, że wykonywanie zawodu radcy prawnego nieodłącznie wiąże się z przetwarzaniem danych osobowych nie tylko pozyskanych bezpośrednio od osób go mocujących. Przetwarzanie to jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora (radcę prawnego) lub przez stronę trzecią, i - zdaniem PUODO - interesy lub podstawowe prawa i wolności osób, których dane dotyczą - przeciwników procesowych, nie są nadrzędne wobec nich. Przyjęcie bowiem takiego stanowiska byłoby sprzeczne z prawem do profesjonalnej pomocy prawnej unormowanej wolą ustawodawcy m.in. przepisami ustawy o radcach prawnych.
Ponadto, stosownie do art. 3 ust. 3 ustawy o radcach prawnych, radca prawny obowiązany jest zachować w tajemnicy wszystko, o czym dowiedział się w związku z udzielaniem pomocy prawnej. Co więcej nie może być zwolniony z obowiązku zachowania tajemnicy zawodowej co do faktów, o których dowiedział się udzielając pomocy prawnej lub prowadząc sprawę (art. 3 ust. 5 ustawy o radcach prawnych). Stosownie do art. 5b ustawy o radcach prawnych obowiązek zachowania tajemnicy zawodowej, nie ustaje w przypadku gdy z żądaniem ujawnienia informacji uzyskanych przez radcę prawnego w związku z udzielaniem pomocy prawnej występuje PUODO.
Mając na względzie przepisy o zachowaniu tajemnicy zawodowej, radca prawny złożył wyjaśnienia, które w ocenie PUODO, stanowią wystarczający materiał dowodowy w przedmiotowej sprawie. Wskazał on, że pozyskał dane osobowe wnioskodawcy w związku ze świadczeniem pomocy prawnej dla skarżonego.
PUODO wskazał, że jego ocena w każdym przypadku służy zbadaniu zasadności skierowania pod adresem określonego podmiotu rozstrzygnięcia odpowiadającego dyspozycji art. 58 ust. 2 RODO regulującego zastosowanie określonych w tym przepisie uprawnień naprawczych, o ile do nieprawidłowości w procesie przetwarzania danych osobowych doszło. Zdaniem PUODO przetwarzanie danych osobowych wnioskodawcy przez radcę prawnego miało umocowanie prawne dlatego odmówił uwzględnienia wniosku w tym zakresie.
Odnosząc się do kwestionowanego procesu przetwarzania danych osobowych wnioskodawcy przez skarżonego, PUODO wskazał, że może podejmować tylko te czynności, które znajdują się w zakresie jego uprawnień oraz tylko w tych sprawach, które należą do jego właściwości. Uprawnienia te i właściwość wynikają między innymi z RODO, jak również z szeregu regulacji szczegółowych, które przewidują ograniczenia kompetencji PUODO w odniesieniu do czynności o czysto osobistym lub domowym charakterze (art. 2 ust. 2 lit. c RODO). RODO nie ma zastosowania do przetwarzania danych osobowych przez osobę fizyczną w ramach działalności czysto osobistej lub domowej, czyli bez związku z działalnością zawodową lub handlową. Działalność osobista lub domowa może między innymi polegać na korespondencji i przechowywaniu adresów, podtrzymywaniu więzi społecznych oraz działalności internetowej podejmowanej w ramach takiej działalności (motywem 18 RODO).
PUODO wykazał, że wnioskodawca i skarżony są rodzeństwem i toczą spór przed Sądem Rejonowym dla W. (sygn. akt II C 2756/19). Skarżony pozyskał dane osobowe wnioskodawcy zawarte w treści maila z [...] maja 2021 r. od swojej córki (W. C.), a następnie przekazał je radcy prawnemu celem przedłożenia jako dowód w sprawie.
W ocenie PUODO przetwarzanie danych osobowych wnioskodawcy w związku z toczącym się procesem pomiędzy rodzeństwem, odbywa się wyłącznie w celach o czysto osobistym charakterze. Powyższe przetwarzanie stanowi bowiem wyłącznie działanie wchodzące w zakres życia prywatnego skarżonego związanego ze sporem rodzinnym, a tym samym ma charakter jedynie osobisty, domowy i pozostający bez związku z działalnością zawodową lub handlową.
Ponadto, odnosząc się do kwestionowanego udostępnienia danych osobowych wnioskodawcy przez skarżoną na rzecz skarżonego, a następnie przez skarżonego na rzecz radcy prawnego, PUODO wskazał, że zebrany materiał dowodowy obrazuje, że skarżona udostępniła dane osobowe wnioskodawcy (zawarte w treści maila z dnia [...] maja 2021 r.) jego bratanicy, tj. W. C.. Wprawdzie jej działania spowodowały dalsze udostępnienie na rzecz skarżonego, a następnie przez skarżonego na rzecz radcy prawnego, jednak skarżona nie miała wpływu na udostępnianie między nimi. Nadto, udostępnienie danych osobowych przez skarżoną na rzecz W. C. nie miało związku z jej działalnością zawodową lub handlową. Skarżona wskazała, że zna wnioskodawcę i skarżonego od wielu lat, a z córką skarżonego, tj. W. C., przyjaźni się od wielu lat. Wobec tego, działanie którego dopuściła się skarżona należy do kategorii działalności o charakterze czysto osobistym (art. 2 ust. 2 lit. c RODO).
Z uwagi na to, że PUODO nie jest uprawniony do wydawania decyzji merytorycznych w sprawach, które objęte są wyłączeniem z art. 2 ust. 2 lit. c RODO, na podstawie art. 105 § 1 k.p.a. umorzył postępowanie w tym zakresie jako bezprzedmiotowe.
Bezprzedmiotowość postępowania administracyjnego (art. 105 § 1 k.p.a.) oznacza, że brak jest któregoś z elementów materialnego stosunku prawnego, a wobec tego nie można wydać decyzji załatwiającej sprawę przez rozstrzygnięcie jej co do istoty. Tym samym ustalenie przez PUODO istnienia przesłanki, o której mowa w art. 105 § 1 k.p.a. obligowało umorzenie postępowania bowiem nie było podstaw do rozstrzygnięcia sprawy co do istoty.
Skargę na decyzję PUODO z dnia [...] lipca 2024 r. wniósł A. C.. Zdaniem skarżącego PUODO nie zachował należytej staranności w ocenie stanu faktycznego co przełożyło się na wadliwe rozpoznanie jego wniosku. Wymienione w tym wniosku osoby stworzyły precedens który zaszkodził mu w postępowaniach sądowych. Skarżona pod pretekstem chęci zapoznania się z ofertą usług iluzjonistycznych (świadczonych przez skarżącego) poprosiła o przesłanie oferty. W otrzymanym od skarżącego mailu otrzymała jego dane, a następnie przekazała je skarżonemu, który następnie przekazał radcy prawnemu reprezentującemu go w sprawie o zachowek. W sprawie tej skarżący jest przeciwnikiem procesowym skarżonego. Na skutek udostępnienia Sądowi tego maila został pozbawiony obrońcy z urzędu i przegrał sprawę o zachowek. Tym sposobem skarżona jako doradca podatkowy, naruszyła tajemnicę zawodową.
Skarżący zarzuca, że skarżona fałszywie oświadczyła, iż "prywatnie zna skarżącego od 2004 roku". Ponadto, w postępowaniu o zachowek brał udział radca prawny, który uczestniczył w ujawnieniu danych osobowych i ich wyłudzeniu od skarżonej. Skarżona, na zlecenie córki skarżonego, podstępnie sprowokowała mail i przekazała poufne informacje skarżonemu. Natomiast skarżony przekazał je dalej, tj. radcy prawnemu.
Skarżący podniósł, że nie doszło do zawarcia żadnej umowy ani uzyskania zgody na przetwarzanie danych osobowych. Dodatkowo, jest inwalidą o stopniu umiarkowanym i nie wykonuje zawodu, a udostępnionym mailem wprowadzono Sąd Rejonowy dla W. [...] w błąd. Dlatego działania skarżonej (będącej doradcą podatkowym), jak i radcy prawnego ocenia jako niezgodne z prawem, jak również z zasadami etyki zawodowej.
Zdaniem skarżącego umorzenie postępowania jest krzywdzące i sprzyja osobom naruszającym prawo oraz niedochowującym tajemnicy zawodowej. Przekazanie danych osobowych bez uprzedniego podpisania umowy ze skarżącym świadczy o bezprawnym działaniu PUODO, które nie uwzględnia szkody wyrządzonej osobie, której dane zostały udostępnione.
W tym przypadku nie została zapewniona skuteczna ochrona danych osobowych zgodnie z przepisami RODO, szczególnie w kontekście ich wyłudzenia, kradzieży lub niewłaściwego użycia.
Powołując się na powyższe naruszenia skarżący domaga się "zmiany orzeczenia lub przekazania jej do Wojewódzkiego Sądu Administracyjnego celem właściwego rozpoznania."
W odpowiedzi na skargę PUODO, podtrzymując dotychczasową argumentację, wniósł o oddalenie skargi.
Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje:
Zgodnie z art. 1 § 1 i 2 ustawy z dnia 25 lipca 2002 r. Prawo o ustroju sądów administracyjnych (Dz.U. z 2022 r., poz. 2492), sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej, przy czym kontrola ta sprawowana jest pod względem zgodności z prawem, jeżeli ustawy nie stanowią inaczej.
W świetle powołanych przepisów cyt. ustawy, Wojewódzki Sąd Administracyjny w Warszawie, w zakresie swojej właściwości, ocenia zaskarżoną decyzję administracyjną, postanowienie, czy też inny akt lub czynność z zakresu administracji publicznej dotyczącą uprawnień lub obowiązków wynikających z przepisów prawa, z punktu widzenia ich zgodności z prawem materialnym i przepisami postępowania administracyjnego, według stanu faktycznego i prawnego obowiązującego w dacie wydania tego aktu lub podjęcia spornej czynności. Chodzi więc o kontrolę aktów lub czynności z zakresu administracji publicznej dokonywaną wyłącznie pod względem ich zgodności z prawem materialnym i przepisami procesowymi, nie zaś według kryteriów słuszności, czy też zgodności z zasadami współżycia społecznego.
Ponadto, co wymaga podkreślenia, Sąd rozstrzyga w granicach danej sprawy, nie będąc jednak związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną - art. 134 § 1 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz.U. z 2024 r., poz. 926 ze zm.), zw. dalej "p.p.s.a.".
W ocenie Sądu analizowana pod tym kątem skarga nie zasługuje na uwzględnienie.
Przechodząc do oceny legalności zaskarżonej decyzji w odniesieniu do umorzenia postępowania co do skarżonej, należy zauważyć, że przedmiotem sporu była zarówno kwestia prawidłowości ustaleń organu nadzorczego w zakresie samego zakwalifikowania przetwarzanych przez skarżoną danych osobowych skarżącego, jako czynności o charakterze czysto osobistym i niepodlegających tym samym regulacjom zawartym w RODO, jak również kwestia prawidłowości zastosowania w niniejszej sprawie art. 105 § 1 k.p.a. i umorzenia postępowania z uwagi na brak podstaw do podjęcia wobec skarżonej prawnie wiążącego środka naprawczego, o którym mowa w art. 58 RODO, czy też nałożenia na nią kary pieniężnej, o której mowa w art. 83 RODO.
W niniejszej sprawie PUODO, wydając zaskarżoną decyzję przyjął, iż przetwarzane przez skarżoną dane osobowe skarżącego poprzez udostępnienie przez nią treści maila wraz załączoną przez skarżącego ofertą miało charakter czynności o czysto osobistym charakterze, w rozumieniu przepisu art. 2 ust. 2 lit. c RODO. Organ nadzorczy uznał w konsekwencji, że skoro do przetwarzania danych osobowych przez osobę fizyczną w ramach działalności czysto osobistej lub domowej - tak jak ma to miejsce w niniejszej sprawie - nie stosuje się przepisów RODO, rozpatrywanie przedmiotowej sprawy na podstawie przepisów RODO jest bezpodstawne. Tym samym, organ nadzorczy uznał, że w przedmiotowej sprawie nie ma podstaw prawnych do spełnienia żądania skarżącego w zakresie wydania wobec skarżonej któregokolwiek z nakazów, o których mowa w art. 58 RODO, czy też do nałożenia na nią kary pieniężnej, o której mowa w art. 83 RODO. To z kolei doprowadziło do tego, iż organ nadzorczy prawidłowo stwierdził, że postępowanie powinno być umorzone, na podstawie art. 105 § 1 k.p.a., z uwagi na jego bezprzedmiotowość.
Przepis art. 2 ust. 1 RODO wyznacza zakres przedmiotowy rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r., zaś art. 2 ust. 2 tego aktu określa wyłączenia obowiązku jego stosowania.
Zgodnie z treścią art. 2 ust. 2 lit. c RODO nie ma zastosowania do przetwarzania danych osobowych przez osobę fizyczną w ramach czynności o czysto osobistym lub domowym charakterze.
Jednocześnie, zauważyć należy, że motyw 18 Preambuły RODO stanowi, że "Niniejsze rozporządzenie nie ma zastosowania do przetwarzania danych osobowych przez osobę fizyczną w ramach działalności czysto osobistej lub domowej, czyli bez związku z działalnością zawodową lub handlową. Działalność osobista lub domowa może między innymi polegać na korespondencji i przechowywaniu adresów, podtrzymywaniu więzi społecznych oraz działalności internetowej podejmowanej w ramach takiej działalności. Niniejsze rozporządzenie ma jednak zastosowanie do administratorów lub podmiotów przetwarzających, którzy udostępniają środki przetwarzania danych osobowych na potrzeby takiej działalności osobistej lub domowej".
Przepis art. 2 ust. 2 lit. c RODO statuuje wyłączenie z zakresu reżimu rozporządzenia przetwarzania danych przez osobę fizyczną w ramach czynności o czysto osobistym lub domowym charakterze. W motywie 18 wyjaśniono dodatkowo, że działalność czysto osobista lub domowa to taka, która pozostaje bez związku z działalnością zawodową lub handlową. Polegać ona może na korespondencji i przechowywaniu adresów, podtrzymywaniu więzi społecznych oraz działalności internetowej podejmowanej w ramach takiej działalności. Jak wskazano, rozporządzenie znajdzie jednak zastosowanie do administratorów lub podmiotów przetwarzających, którzy udostępnią środki przetwarzania danych osobowych na potrzeby takiej działalności osobistej lub domowej.
Sąd zauważa, że analogiczne wyłączenie sformułowane było w art. 3 ust. 2 tiret drugie dyrektywy 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych (Dz. Urz. UE L 1995 Nr 281, s. 31).
Wyłączenie to było poddane wykładni w wyroku z dnia 11 grudnia 2014 r., C-212/13, wydanego w sprawie František Ryneš vs. Úřad pro ochranu osobních údajů, Trybunał Sprawiedliwości UE podkreślił, że istotny jest związek ze sferą o czysto osobistym lub domowym charakterze należącą do osoby, która dokonuje tego przetwarzania (pkt 31). W konsekwencji, Trybunał Sprawiedliwości uznał, że w przypadku, gdy przetwarzanie rozciąga się choćby częściowo na przestrzeń publiczną i tym samym jest skierowane poza sferę prywatną osoby dokonującej w ten sposób przetwarzania danych, nie powinno ono być rozumiane, jako czynność o czysto "osobistym lub domowym charakterze" w rozumieniu art. 3 ust. 2 tiret drugie dyrektywy 95/46/WE (pkt 33). Sąd zauważa, że w opinii rzecznika generalnego wydanej w tej sprawie podkreślono ponadto, że "czynności o charakterze osobistym" na podstawie art. 3 ust. 2 tiret drugie dyrektywy 95/46/WE stanowią czynności ściśle i obiektywnie związane z życiem prywatnym osoby, które jednocześnie nie naruszają w sposób dotkliwy sfery osobistej innych. Jak podkreślał rzecznik, czynności te mogą jednak mieć miejsce poza domem, chodzi bowiem bardziej o związek osobowy, a nie miejscowy. Z kolei odnosząc się do "czynności o charakterze domowym", rzecznik generalny uznał, że są one związane z życiem rodzinnym i normalnie mają miejsce w ramach gospodarstwa domowego lub w innych miejscach dzielonych z członkami rodziny, takich jak drugie miejsce zamieszkania, pokój hotelowy lub samochód prywatny. W opinii swej rzecznik generalny wyraźnie wskazał także, że nie wystarczy, aby zamierzone czynności przedstawiały związek z czynnościami o charakterze osobistym lub domowym, lecz wymagane jest ponadto, aby związek ten miał charakter wyłączny (pkt 53).
Mając na względzie powyższe, Sąd w składzie orzekającym w niniejszej sprawie uznał, że dla zastosowania wyłączenia, o którym mowa w art. 2 ust. 2 lit. c RODO niezbędne jest, by przetwarzanie o charakterze osobistym lub domowym miało wyłącznie taki charakter, a zatem powinno być interpretowane, jako obejmujące wyłącznie działania wchodzące w zakres życia prywatnego lub rodzinnego jednostki. Innymi słowy, poza wspomnianym wyłączeniem będą znajdowały się zaś te sytuacje, w których - jak w niniejszej sprawie - przetwarzanie polegało na udostępnieniu owego maila zawierającego dane osobowe skarżącego na potrzeby postępowania sądowego, a więc w przypadku ich dalszego udostępniania nawet przez tych samych członków którzy dotychczas podejmowali działania na tych danych wchodzące w zakres życia prywatnego, czy rodzinnego.
Czynności o osobistym czy domowym charakterze dotyczą generalnie aspektów aktywności związanych z prowadzeniem gospodarstwa domowego, spędzaniem wolnego czasu, w tym konsumpcji, czy też korzystaniem z innych atrakcji.
Z tych względów, Sąd uznał, że PUODO w sposób uzasadniony przyjął w niniejszej sprawie, iż skarżona udostępniając - ofertę wykonania przez skarżącego pokazu iluzjonistycznego, która została do niej przesłana mailem w dniu [...] maja 2021 r. - przyjaciółce (córce skarżonego) przetwarzała te dane w ramach czynności o czysto osobistym lub domowym charakterze.
Mając na uwadze charakter czynności przetwarzania danych osobowych skarżącego przez skarżoną uznać trzeba, że nie budzi wątpliwości zakres udostępnienia danych zawartych w ofercie wykonania przez skarżącego pokazu iluzjonistycznego, jak i zakres kręgu odbiorców tych danych, tj. przyjaciółka skarżonej która jest córką skarżonego, jak i sam skarżony który jest ojcem przyjaciółki skarżonej.
PUODO właściwie interpretując art. 2 ust. 2 lit. c RODO w sposób uprawniony dostrzegł istotny aspekt charakteru przetwarzania danych osobowych skarżącego jako na potrzeby działalności osobistej lub domowej, wyłączający zastosowanie RODO. Dlatego też w tym zakresie PUODO zasadnie zastosował art. 105 § 1 k.p.a., przyjmując bezprzedmiotowość tego postępowania.
W odniesieniu do odmowy uwzględnienia wniosku skarżącego o "bezprawne" przetwarzania jego danych osobowych przez radcę prawnego, jak i samego skarżonego, należy stwierdzić, że było ono prawidłowe. Pozyskanie danych osobowych skarżącego, zawartych w mailu z dnia [...] maja 2021 r., przez radcę prawnego reprezentującego skarżonego, nastąpiło od skarżonego w związku z toczącym się postępowaniem sądowym przed sądem powszechnym i miało podstawę w obowiązujących przepisach prawa. W szczególności odnosi się to do art. 232 k.p.c. który stanowi, że "strony są obowiązane wskazywać dowody dla stwierdzenia faktów, z których wywodzą skutki prawne", oraz art. 233 § 1 k.p.c., według którego "sąd ocenia wiarygodność i moc dowodów na podstawie własnego przekonania, na podstawie wszechstronnego rozważenia zebranego materiału".
Przetwarzanie danych osobowych jest zgodne z prawem, gdy administrator danych legitymuje się co najmniej jedną z określonych w art. 6 ust. 1 RODO materialnych przesłanek przetwarzania. W tej sytuacji przetwarzanie było niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem (art. 6 ust. lit. f RODO).
Analiza akt sprawy wskazuje, że radca prawny pozyskał dane osobowe skarżącego od klienta, tj. skarżonego, na rzecz którego świadczona była pomoc prawna. Wskazane dane osobowe skarżącego zostały użyte w toku postępowania sądowego z uwagi na potrzebę wykazania faktów z których wywodził skutki prawne (art. 232 k.p.c.). Uznać zatem należy, że organ nadzoru trafnie stwierdził, że przesłanką legalizującą przetwarzanie danych skarżącego przez radcę prawnego jest przytoczony powyżej art. 6 ust. 1 lit. f RODO. Wskazane udostępnienie danych osobowych nastąpiło bowiem w ramach profesjonalnej pomocy prawnej w związku z toczącym się postępowaniem sądowym. Dane osobowe skarżącego zostały udostępnione wyłącznie sądowi właściwemu w sprawie, jako podmiotowi, który na podstawie art. 233 § 1 k.p.c. był uprawniony do swobodnej ich oceny. Tym samym, za niezasadny należy uznać zarzut nieuprawnionego wykorzystania danych osobowych skarżącego przez radcę prawnego w postępowaniu sądowym. Tak skarżony, jak i jego pełnomocnik (radca prawny), przetwarzał dane osobowe skarżącego w związku z toczącym się postępowaniem sądowym, w którym stroną przeciwną był skarżący. Zatem przetwarzanie było niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora.
W związku z tym nie sposób odnieść się do zarzutu, że ze skarżącym "nie zawarto żadnej umowy ani nie wyrażono zgody na przekazanie danych osobowych", w sytuacji kiedy legalność tego przetwarzania została oparta na prawnie uzasadnionym interesie (art. 6 ust. 1 lit. f RODO), a w pozostałym zakresie przetwarzania danych osobowych skarżącego przepisów RODO nie stosujemy (art. 2 ust. 2 lit. c RODO).
Za bezpodstawne należy również uznać zarzuty, jakoby zaskarżoną decyzję PUODO wydał z naruszeniem przepisów prawa procesowego – tj. art. 7, art. 8 § 1, art. 77 § 1 oraz art. 80 k.p.a., które mogło mieć istotny wpływ na wynik sprawy.
W niniejszym postępowaniu skarżona wskazała, iż zna skarżącego osobiście. Jej wyjaśnienia nie budziły wątpliwości PUODO, bowiem były spójne i racjonalnie uzasadniały przedstawione przez nią twierdzenia. W związku z tym PUODO słusznie uznał je za wiarygodne. Ponadto skarżony potwierdził, iż "J. G. od wielu lat jest przyjaciółką rodziny (...). Zna zarówno mnie, jak i A. C. od co najmniej 20 lat" (wyjaśnienia z dnia [...] marca 2023 r.). Na podstawie przytoczonych wyjaśnień PUODO ustalił okoliczność kwestionowaną przez skarżącego.
Niemniej jednak, pismem z dnia [...] maja 2024 r. (doręczonym [...] maja 2024 r.), skarżący został poinformowany o możliwości wypowiedzenia się co do zebranych dowodów. Nie skorzystał on jednak z przysługującego mu na mocy art. 10 § 1 k.p.a. uprawnienia do zapoznania się z aktami sprawy. W efekcie, nie kwestionował on ustaleń poczynionych przez PUODO, mimo świadomości, że skarżona powołuje się na znajomość ze skarżącym. Zasadnie zatem PUODO odmówił dopuszczenia dowodu z przesłuchania skarżącego – m.in. na okoliczność znajomości skarżonej tak ze skarżącym, jak i skarżonym. Przyjmując jednocześnie, że PUODO podjął wszelkie czynności niezbędne do dokładnego wyjaśnienia stanu faktycznego oraz załatwienia sprawy, mając na względzie interes społeczny i słuszny interes obywateli.
W konsekwencji powyższego Wojewódzki Sąd Administracyjny w Warszawie, na podstawie art. 151 p.p.s.a., orzekł jak w sentencji.