II SA/WA 162/22

II SA/Wa 162/22 - Wyrok WSA w Warszawie
Data orzeczenia
2022-11-03
orzeczenie prawomocne
Data wpływu
2022-01-26
Sąd
Wojewódzki Sąd Administracyjny w Warszawie
Sędziowie
Andrzej Wieczorek
Arkadiusz Koziarski /sprawozdawca/
Izabela Głowacka-Klimas /przewodniczący/
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne
Ochrona danych osobowych
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Uchylono zaskarżoną decyzję w części
Powołane przepisy
Dz.U. 2022 poz 329
art. 145 par. 1 pkt 1 lit. c
Ustawa z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi  - t.j.
Dz.U.UE.L 2016 nr 119 poz 1  art. 2 ust. 2 lit. c art. 6 ust. 1 lit. f
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z  przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE
Sentencja
Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Izabela Głowacka - Klimas, Sędzia WSA Andrzej Wieczorek, Asesor WSA Arkadiusz Koziarski (spr.), Protokolant ref.staż. Maria Rutkowska po rozpoznaniu na rozprawie w dniu 3 listopada 2022 r. sprawy ze skargi K. S. na pkt. 2 decyzji Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] listopada 2021 r., nr [...] w przedmiocie przetwarzania danych osobowych 1. uchyla zaskarżoną decyzję w zakresie punktu 2; 2. zasądza od Prezesa Urzędu Ochrony Danych Osobowych na rzecz K. S. kwotę 697 zł ( słownie: sześćset dziewięćdziesiąt siedem złotych) tytułem zwrotu kosztów postępowania.
Uzasadnienie
Prezes Urzędu Ochrony Danych Osobowych, dalej "PUODO", decyzją z dnia [...] listopada 2021 r. nr [...], wydaną na podstawie 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz.U. z 2021 r. poz. 735 ze zm.), dalej "k.p.a.", art. 7 ust 1 ustawy o ochronie danych osobowych z dnia 10 maja 2018 roku (Dz. U. z 2019 r. poz. 1781) oraz art. 6 ust. 1 lit. f, art. 13 ust. 1, 2 i 4 oraz art. 58 ust. 2 lit. d rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 4.05.2016, str. 1, Dz. Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35), dalej "RODO", po przeprowadzeniu postępowania administracyjnego w sprawie skargi K. S. na nieprawidłowości w procesie przetwarzania jego danych osobowych przez B. W., polegające na przetwarzaniu jego danych osobowych bez podstawy prawnej za pomocą monitoringu wizyjnego oraz niewypełnieniu wobec niego obowiązku informacyjnego, o którym mowa w art. 13 ust. 1 i 2 RODO,
1) nakazał B. W. spełnienie obowiązku informacyjnego na rzecz K. S., o którym mowa w art. 13 ust. 1 lit. c, d, e oraz ust. 2 lit. a, b, d RODO,
2) w pozostałym zakresie odmówił uwzględnienia wniosku.
W uzasadnieniu organ wyjaśnił, że do Urzędu wpłynęła skarga K. S., na nieprawidłowości w procesie przetwarzania jego danych osobowych przez B. W., polegające na przetwarzaniu danych osobowych skarżącego bez podstawy prawnej za pomocą monitoringu wizyjnego oraz niewypełnieniu wobec niego obowiązku informacyjnego, o którym mowa w art. 13 ust. 1 i 2 RODO.
Dalej organ wskazał, że ustalił następujący stan faktyczny:
1. nieruchomość zamieszkiwana przez skarżącego (K. S.) oraz skarżoną (B. W.) stanowi ich współwłasność (po 1/2 udziału, części niewydzielone);
2. skarżona wskazała, że zasięgiem kamer zainstalowanych na nieruchomości objęty jest wyłącznie teren wspólny tj. podwórze i ogród. Ponadto wyjaśniła, że żadna z kamer nie obejmuje zasięgiem lokalu (pomieszczeń) zamieszkiwanego wyłącznie przez skarżącego;
3. do wyjaśnień z dnia [...] marca 2021 r. skarżona załączyła materiał dowodowy w postaci wydruków obrazu z czterech kamer zainstalowanych na ww. nieruchomości. Kamera nr 1 nagrywa teren znajdujący się przed posesją (podwórze/parking), kamera nr 2 nagrywa wjazd na posesję wraz z bramą, kamera nr 3 nie rejestruje obrazu (kamera uszkodzona), kamera nr 4 obejmuje przylegający do nieruchomości ogród;
4. skarżona wskazuje, że obraz z kamer od momentu ich instalacji nie był i nie jest rejestrowany na żadnym nośniku wobec czego nie przetwarza danych osobowych skarżącego. Nagrania nie zostały nikomu udostępnione;
5. skarżona oświadczyła, że kamery monitoringu zainstalowane zostały w celu zapewnienia ochrony mienia oraz bezpieczeństwa skarżonej. Na potwierdzenie ww. okoliczności skarżona załączyła do akt sprawy kopię postanowienia Sądu Rejonowego z dnia [...] listopada 2020 r. dotyczącego dochodzenia w sprawie uszkodzenia w dniu [...] czerwca 2020 r. dziewiętnastu drzewek owocowych na szkodę B. W.;
6. skarżący nie zwracał się do skarżonej z wnioskiem dotyczącym realizacji prawa dostępu do danych osobowych oraz usunięcia jego danych osobowych pozyskanych za pomocą stosowanego monitoringu wizyjnego. Skarżący w dniu [...] czerwca 2020 r. (oraz ponownie w dniu [...] sierpnia 2020 r.) skierował natomiast żądanie w przedmiocie bezzwłocznego usunięcia czterech kamer monitoringu zainstalowanych na ww. nieruchomości. Pismem z dnia [...] lipca 2020 r. pełnomocnik skarżonej odpowiedział na ww. pismo wskazując, że monitoring został zainstalowany z uwagi na wystąpienie aktów wandalizmu, w tym niszczenia mienia (m.in. na terenie nieruchomości miało miejsce usychanie drzew, zniszczenie nasadzeń oraz wyrzucanie na podjazd ostrych śrub co groziło przebiciem opon samochodowych).
Organ podał, że z materiału dowodowego zgromadzonego w niniejszej sprawie wynika, iż zainstalowany przez skarżącą monitoring wizyjny wykonywany jest w czasie rzeczywistym. Skarżona w swoich wyjaśnieniach podnosi, że nie przetwarza danych osobowych skarżącego, bowiem nie utrwala nagrywanego obrazu na żadnym nośniku. PUODO stwierdził, że zgodnie z art. 4 pkt 2 RODO pod pojęciem "przetwarzania" należy rozumieć "operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, taką jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie".
W ocenie organu monitoring wizyjny w czasie rzeczywistym stanowi przetwarzanie danych osobowych. Potwierdzenie takiego stanowiska znaleźć można w Wytycznych 3/2019 w sprawie przetwarzania danych osobowych za pomocą urządzeń wideo, w których EROD, odnosząc się do prawa dostępu do danych wskazuje, że osoba, której dane dotyczą, ma prawo do uzyskania od administratora potwierdzenia, czy przetwarzane są jej dane osobowe. W przypadku nadzoru wideo oznacza to, że jeżeli żadne dane nie są przechowywane lub przekazywane w jakikolwiek sposób, wówczas po zakończeniu monitorowania w czasie rzeczywistym administrator może jedynie udzielić informacji, że dane osobowe nie są już przetwarzane (oprócz ogólnych obowiązków w zakresie informowania na mocy art. 13).
Ponadto organ wskazał, że w wyroku Trybunału Sprawiedliwości z dnia [...] grudnia 2014 r. w sprawie [...] F. R. przeciwko [...] pro ochranu osobnich udaju [...], wskazano, że "(...) przetwarzanie danych osobowych jest objęte odstępstwem przewidzianym w art. 3 ust. 2 tiret drugie dyrektywy 95/46 jedynie w wypadku, gdy jest ono wykonywane w ramach sfery o czysto osobistym lub domowym charakterze, należącej do osoby, która dokonuje tego przetwarzania. Jeśli nadzór kamer wideo wykracza choćby częściowo na przestrzeń publiczną i tym samym jest skierowany poza sferę prywatną osoby dokonującej w ten sposób przetwarzania danych, nie powinien on być rozumiany jako czynność o czysto "osobistym lub domowym charakterze" w rozumieniu art. 3 ust. 2 tiret drugie."
Następnie organ podniósł, że zgodnie z RODO, aby przetwarzanie danych osobowych było zgodne z prawem, administrator jest zobowiązany przetwarzać dane osobowe na podstawie co najmniej jednej z przesłanek określonych w art. 6 ww. aktu prawnego. Powyższy przepis stanowi, że przetwarzanie jest zgodne z prawem m.in. gdy, jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem (art. 6 ust. 1 lit. f).
PUODO podał, że w niniejszej sprawie postępowanie wyjaśniające wykazało, iż zasięgiem wykonywanego przez skarżoną monitoringu wizyjnego objęta jest przestrzeń wspólna nieruchomości, tj. ogród, podwórze oraz wjazd na posesję. Wobec powyższego, w ocenie organu, dochodzi lub może dojść również do przetwarzania przez skarżoną danych osobowych osób trzecich, w tym danych osobowych skarżącego, który jest współwłaścicielem monitorowanej nieruchomości. Jednocześnie zgromadzony materiał dowodowy wykazał, że pomiędzy stronami postępowania zaistniał konflikt. Monitoring został zainstalowany przez skarżącą w związku z ochroną życia, zdrowia i mienia (w tym w związku z wystąpieniem aktów wandalizmu). Zdaniem organu zagrożenie jest rzeczywiste i w przeszłości zdarzały się już incydenty, które w opinii skarżącej można oceniać w kategoriach wandalizmu. Na ww. okoliczność skarżąca do akt sprawy przedłożyła postanowienie Sądu Rejonowego z dnia [...] listopada 2020 r. dotyczące uszkodzenia dziewiętnastu drzewek owocowych na szkodę B. W. Ponadto, na terenie nieruchomości dochodziło również do usychania drzew, zniszczenia nasadzeń, a także wyrzucania na podjazd ostrych śrub co groziło przebiciem opon samochodowych. Wobec powyższego, do przetwarzania danych osobowych za pomocą monitoringu wizyjnego doszło w celu uzasadnionego interesu polegającego na zapewnieniu bezpieczeństwa i ochrony mienia skarżonej. Podstawą prawną przetwarzania danych osobowych w zakresie wizerunku jest art. 6 ust. 1 lit. f RODO. PUODO uznał, że zapewnienie bezpieczeństwa osób i mienia w obszarze objętym monitoringiem jest prawnie usprawiedliwionym celem skarżonej - administratora danych osobowych. Uzasadniony interes administratora danych musi zostać wykazany oraz nie może mieć on charakteru hipotetycznego. W ocenie organu w przedmiotowej sprawie ww. przesłanki zostały spełnione. Organ podkreślił, że podstawa prawna przetwarzania danych osobowych zawarta w art. 6 ust. 1 lit. f RODO zezwala na przetwarzanie danych osobowych bez konieczności ubiegania się o zgodę osoby, której dane dotyczą.
PUODO wskazał również, że w wyjaśnieniach złożonych w toku postępowania skarżona ograniczyła się jedynie do stwierdzenia, iż o fakcie montażu monitoringu poinformowała skarżącego ustnie. Skarżona nie wykazała jednak przekazania skarżącemu informacji wynikających z treści art. 13 ust 1 i 2 RODO. Organ wyjaśnił, że spełnienie obowiązku informacyjnego ma m.in. funkcję poinformowania o prawach osoby, której dane osobowe są przetwarzane. Skarżona, jako administrator danych osobowych przetwarzanych za pomocą prywatnego monitoringu wizyjnego, nie wykonując ww. obowiązku, pozbawiła skarżącego tego prawa. PUODO stwierdził, że skarżona nie spełniła obowiązku informacyjnego wobec skarżącego wynikającego z art. 13 ust. 1 i 2 RODO, naruszając przy tym przepisy o ochronie danych osobowych. PUODO przy tym zauważył, że zgodnie z art. 13 ust. 4 RODO ust. 1, 2 i 3 nie mają zastosowania, gdy - i w zakresie, w jakim - osoba, której dane dotyczą, dysponuje już tymi informacjami. Skarżący dysponuje zaś informacjami, o których mowa w art. 13 ust. 1 lit a RODO, zaś materiał dowodowy zgromadzony w tej sprawie wykazał, że skarżonej nie dotyczy obowiązek określony w art. 13 ust. 1 lit. b i f oraz w art. 13 ust. 2 lit. c, e oraz f RODO.
Następnie organ stwierdził, że poczynione w sprawie ustalenia faktyczne oraz prawne, wykazały również że przetwarzanie danych osobowych skarżącego odbywa się w oparciu o stosowną podstawę prawną, tj. art. 6 ust. 1 lit. f RODO, w związku z czym, w ocenie organu nie ma podstaw, aby stwierdzić, że doszło do naruszenia przepisów RODO zakresie przetwarzania jego danych osobowych bez podstawy prawnej, a tym samym do nakazania skarżonej zaprzestania przetwarzania, a w tym usunięcia danych osobowych skarżącego. Uzasadnione jest zatem wydanie przez organ decyzji odmawiającej uwzględnienia wniosku skarżącego w ww. zakresie.
Na powyższą decyzję K. S. wniósł skargę do Wojewódzkiego Sądu Administracyjnego w Warszawie. Skarżący wskazał, że zaskarża tą decyzję w części, tj. w zakresie pkt 2, dotyczącego odmowy uwzględnienia wniosku.
Zaskarżonej decyzji zarzucił naruszenie:
1) przepisów prawa materialnego, które miało wpływ na wynik sprawy, tj. art. 6 ust. 1 lit. f RODO poprzez uznanie, iż monitoring zamontowany przez B. W. w obszarze wspólnym nieruchomości stanowi adekwatne i przydatne zapewnienie bezpieczeństwa osób i mienia w obszarze objętym monitoringiem - w sytuacji, kiedy na podstawie zeznań administratora danych organ ustalił, iż obraz z kamer nie był i nie jest rejestrowany na żadnym nośniku, a nagrania nie są udostępniane, a tym samym - ustalenie, iż gromadzenie danych osobowych skarżącego i jego rodziny (wizerunku) stanowi prawnie usprawiedliwiony cel administratora danych osobowych w rozumieniu powołanego przepisu;
2) przepisów postępowania mających istotny wpływ na wynik sprawy, tj.
- art 7, art. 77 § 1 oraz art. 80 k.p.a., tj. na zebraniu, rozpatrzeniu oraz dokonaniu przez organ oceny materiału dowodowego wbrew regułom wynikającymi ze wskazanych przepisów, poprzez nie niewyjaśnienie stanu faktycznego sprawy oraz braku przeprowadzenia adekwatnego postępowania dowodowego, co skutkowało błędnym i krzywdzącym dla strony przyjęciem, iż na obszarze wspólnym dochodzi do aktów wandalizmu, a zamontowanie monitoringu związane jest z ochroną mienia B. W., a także, iż obraz z kamer nie był i nie jest rejestrowany na żadnym nośniku, a nagrania nie są udostępniane;
- art. 107 § 3 k.p.a. poprzez niedostateczne przedstawienie motywów rozstrzygnięcia w pisemnym uzasadnieniu zaskarżonej decyzji.
W oparciu o powyższe zarzuty skarżący wniósł o uchylenie zaskarżonej decyzji w punkcie drugim oraz o zasądzenie od organu na jego rzecz kosztów postępowania, w tym kosztów zastępstwa procesowego, według norm przepisanych.
W uzasadnieniu skargi skarżący wskazał, że w świetle art. 6 ust. 1 lit f RODO należy ustalić, czym jest prawnie usprawiedliwiony cel. Pod tym pojęciem rozumieć należy cel usprawiedliwiony prowadzoną działalnością administratora danych (np. przedsiębiorcy) albo odbiorcy danych, przy czym cel ten nie musi wynikać bezpośrednio z żadnego aktu prawnego, ale też nie może być sprzeczny z jakimkolwiek aktem, zasadami współżycia społecznego czy dobrymi obyczajami (np. nie można przetwarzać danych osobowych w celu szantażu, ale można w celach naukowych). Stąd, prawnie usprawiedliwionym celem może być np. marketing bezpośredni własnych produktów, czy dochodzenie roszczeń z tytułu prowadzonej działalności gospodarczej.
Skarżący podniósł również, że przetwarzanie danych musi być ponadto niezbędne. Oznacza to, że można korzystać tylko z takich danych, które są konieczne dla osiągnięcia oznaczonego celu. Cel ten musi być jasny i precyzyjny. Nie jest legalne zbieranie (przetwarzanie) danych na zapas, wykraczając poza przyjęty cel. Skarżący podkreślił, że cel ten musi być usprawiedliwiony, co oznacza, że przetwarzanie danych dla realizacji tego celu jest potrzebne i w żaden inny sposób celu tego nie można zrealizować, jedynie dzięki przetwarzaniu tych danych. To na administratorze danych spoczywa obowiązek udowodnienia, że cel przetwarzania danych jest prawnie usprawiedliwiony i że przetwarzanie danych do tego celu jest niezbędne. Osobie, której dane są przetwarzane, przysługuje bowiem prawo uzyskania informacji o celu, zakresie i sposobie przetwarzania danych (art. 32 ust. 1 ustawy).
Ponadto skarżący zwrócił uwagę, że ustalenie, na podstawie wyjaśnień skarżonej, iż zamontowanie monitoringu w celu zapewnienia bezpieczeństwa i ochrony mienia skarżonej, jest z istoty swojej niewłaściwe i sprzeczne z istotą ww. przepisu. Skoro bowiem, jak wskazuje skarżona, zainstalowany monitoring wizyjny wykonywany jest w czasie rzeczywistym, skarżona nie utrwala nagrywanego obrazu na żadnym nośniku, to w jaki sposób takie nagrywanie, m. in. skarżącego i jego rodziny w miejscu ich zamieszkania, ma służyć zabezpieczeniu osób i mienia skarżonej? Na czym polega przydatność monitoringu w takim przypadku? W jaki sposób korzystanie z wizerunku skarżącego i jego rodziny zwiększa bezpieczeństwo mienia skarżącej?
Skarżący zwrócił uwagę, że posesja wspólna skarżonej i skarżącego jest ogrodzona, ale brama i furtka nie są zabezpieczone przed wejściem nieuprawnionym dostępem osób trzecich (na teren posesji może wejść każdy, brama i furtka są w złym stanie technicznym nigdy nie są zamykane). Zdaniem skarżącego pierwszym i podstawowym sposobem zabezpieczania mienia skarżonej w postaci posadzonych drzew powinno być zabezpieczenie posesji, a nie montowanie kamer, które niczemu nie służą, skoro obraz nie jest nagrywany, ani przekazywany jakimkolwiek służbom ochrony w celu ewentualnej reakcji na jakiekolwiek zagrożenie.
Dodatkowo skarżący podniósł, że wyważenie dwóch interesów: skarżącego do ochrony swoich danych w postaci wizerunku i to wizerunku gromadzonego w miejscu jego zamieszkania i codziennego przebywania oraz interesu skarżonej do zapewnienia i ochrony jej mienia w postaci drzew poprzez montaż monitoringu (bez nagrywania i przekazywania nagrań) winno być podstawą ustaleń organu.
W odpowiedzi na skargę organ wniósł o jej oddalenie podtrzymują stanowisko wyrażone w zaskarżonej decyzji.
Dodatkowo organ wskazał, że zgodnie z stanowiskiem Europejskiej Rady Ochrony Danych Osobowych zawartym w Wytycznych 3/2019 w sprawie przetwarzania danych osobowych za pomocą urządzeń wideo "monitoring wizyjny jest zgodny z prawem, o ile jest konieczny do osiągnięcia celu prawnie uzasadnionego interesu administratora danych lub strony trzeciej, chyba że interesy te są podrzędne w stosunku do interesów osób, których dane dotyczą, lub podstawowych praw i wolności (art. 6 ust. 1 lit. f). Administrator danych powinien jednak wziąć pod uwagę, że jeżeli osoba, której dane dotyczą, wnosi sprzeciw wobec monitorowania zgodnie z art. 21, administrator może prowadzić monitoring wizyjny wobec osoby, której dane dotyczą, wyłącznie jeżeli stanowi on ważny prawnie uzasadniony interes, który jest nadrzędny w stosunku do interesów, praw i wolności osoby, której dane dotyczą, lub w celu ustanowienia, wykonania i ochrony roszczeń prawnych. Prawnie uzasadniony interes musi mieć wymiar realny i stanowić kwestię bieżącą (tj. nie może być fikcyjny lub spekulacyjny). Przed rozpoczęciem monitoringu musi zaistnieć sytuacja rzeczywistego zagrożenia - np. szkody lub poważne incydenty, które miały miejsce w przeszłości. Zgodnie z zasadą rozliczalności, administratorzy powinni dokumentować istotne incydenty (datę, rodzaj, straty finansowe) oraz związane z nimi zarzuty" (Wytyczne pkt 3.1.1 ppkt 18 i 20). EROD w ww. wytycznych podkreśliła również, że cyt.: "zakładając, że monitoring wizyjny jest niezbędny do zapewnienia ochrony prawnie uzasadnionych interesów administratora, system monitoringu wizyjnego może zostać wprowadzony do użytku wyłącznie w przypadku gdy prawnie uzasadnione interesy administratora lub strony trzeciej (np. ochrona mienia lub integralności cielesnej) nie są nadrzędne w stosunku do interesów lub podstawowych praw i wolności osób, których dane dotyczą. Administrator musi uwzględnić 1) w jakim stopniu monitoring wpływa na interesy, podstawowe prawa i wolności osób fizycznych i 2) czy powoduje on naruszenia lub wywołuje negatywne skutki dla praw osób, których dane dotyczą. W rzeczywistości wyważanie interesów ma charakter obowiązkowy. Z jednej strony należy ocenić i z rozwagą wyważyć podstawowe prawa i wolności, a z drugiej strony prawnie uzasadnione interesy administratora. Istotnymi czynnikami równoważącymi mogą być wielkość obszaru objętego monitoringiem oraz liczba osób, których dane dotyczą, objętych monitoringiem. Korzystanie z monitoringu wizyjnego w odludnym miejscu (...) należy oceniać w inny sposób niż monitoring wizyjny wykorzystywany w strefie pieszej lub centrum handlowym" (Wytyczne pkt 3.1.3. ppkt 30 i 34).
W piśmie procesowym z dnia [...] października 2022 r. pełnomocnika skarżącego podtrzymał zarzuty skargi. Do pisma dołączył skargę złożoną do PUODO przez jego żonę A. G. dotyczącą przetwarzania jej danych osobowych przez B. W. wraz z załącznikami oraz korespondencją z postępowania prowadzonego przez organ w sprawie tej skargi.
Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje:
Zgodnie z art. 1 § 1 i § 2 ustawy z dnia 25 lipca 2002 r. – Prawo o ustroju sądów administracyjnych (Dz. U. z 2021 r. poz. 137), sądy administracyjne sprawują wymiar sprawiedliwości m. in. przez kontrolę działalności administracji publicznej, a kontrola ta sprawowana jest pod względem zgodności z prawem, jeżeli ustawy nie stanowią inaczej.
Skarga oceniana w świetle powyższych kryteriów zasługuje na uwzględnienie, albowiem organ wydając zaskarżoną decyzję naruszył przepisy postępowania w stopniu mogącym mieć istotny wpływ na wynik sprawy.
Decyzja w zaskarżonej części dotyczy odmowy uwzględnienia wniosku skarżącego w zakresie nakazania B. W. zaprzestania przetwarzania jego danych osobowych.
Na wstępie należy wyjaśnić, że organ prawidłowo uznał, że w niniejszej sprawie są podstawy do rozstrzygnięcia sprawy w oparciu o przepisy RODO, mimo wyłączenia określonego w art. 2 ust. 2 lit c RODO. Przepis ten stanowi, że rozporządzenie nie ma zastosowania do przetwarzania danych osobowych przez osobę fizyczną w ramach czynności o czysto osobistym lub domowym charakterze.
Organ powołał się w tym zakresie na wyroku Trybunału Sprawiedliwości z dnia [...] grudnia 2014 r. w sprawie [...] F. R. przeciwko [...] pro ochranu osobnich udaju [...], w którym wskazano, że "(...) przetwarzanie danych osobowych jest objęte odstępstwem przewidzianym w art. 3 ust. 2 tiret drugie dyrektywy 95/46 jedynie w wypadku, gdy jest ono wykonywane w ramach sfery o czysto osobistym lub domowym charakterze, należącej do osoby, która dokonuje tego przetwarzania. Jeśli nadzór kamer wideo wykracza choćby częściowo na przestrzeń publiczną i tym samym jest skierowany poza sferę prywatną osoby dokonującej w ten sposób przetwarzania danych, nie powinien on być rozumiany jako czynność o czysto "osobistym lub domowym charakterze" w rozumieniu art. 3 ust. 2 tiret drugie."
Treść art. 3 ust. 2 tiret drugie dyrektywy jest tożsama z treścią art. 2 ust. 2 lit c RODO stąd też stanowisko wyrażone w powyższym wyroku pozostaje aktualne także w obecnym stanie prawnym.
Instalacja monitoringu stosowania przez B. W. obejmowała teren nieruchomości wspólnej jej i skarżącego, stąd też nie można było uznać, że przetwarzanie danych osobowych następowało w tym wypadku "w ramach czynności o czysto osobistym lub domowym charakterze".
W zaskarżonej decyzji organ stwierdził, że B. W. uprawniona była do przetwarzania danych osobowych skarżącego za pomocą przedmiotowego monitoringu wizyjnego w oparciu o art. 6 ust. 1 lit. f RODO.
Zgodnie z tym przepisem przetwarzanie danych osobowych uważa się za legalne, jeśli jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem.
Odnośnie tej przesłanki przetwarzania danych osobowych w motywie 47 preambuły RODO wskazano, że: "Podstawą prawną przetwarzania mogą być prawnie uzasadnione interesy administratora, w tym administratora, któremu mogą zostać ujawnione dane osobowe, lub strony trzeciej, o ile w świetle rozsądnych oczekiwań osób, których dane dotyczą, opartych na ich powiązaniach z administratorem nadrzędne nie są interesy lub podstawowe prawa i wolności osoby, której dane dotyczą. Taki prawnie uzasadniony interes może istnieć na przykład w przypadkach, gdy zachodzi istotny i odpowiedni rodzaj powiązania między osobą, której dane dotyczą, a administratorem, na przykład gdy osoba, której dane dotyczą, jest klientem administratora lub działa na jego rzecz. Aby stwierdzić istnienie prawnie uzasadnionego interesu, należałoby w każdym przypadku przeprowadzić dokładną ocenę, w tym ocenę tego, czy w czasie i w kontekście, w którym zbierane są dane osobowe, osoba, której dane dotyczą, ma rozsądne przesłanki by spodziewać się, że może nastąpić przetwarzanie danych w tym celu. Interesy i prawa podstawowe osoby, której dane dotyczą, mogą być nadrzędne wobec interesu administratora danych w szczególności w przypadkach, gdy dane osobowe są przetwarzane w sytuacji, w której osoby, których dane dotyczą, nie mają rozsądnych przesłanek, by spodziewać się dalszego przetwarzania. (...)".
Oparcie zatem przetwarzania danych osobowych na przepisie art. 6 ust. 1 lit. f RODO wymaga kumulatywnego spełnienia dwóch przesłanek pozytywnych. Po pierwsze, musi występować prawnie uzasadniony interes, który jest realizowany przez administratora lub przez stronę trzecią. Po drugie, konieczna jest weryfikacja, czy przetwarzanie danych osobowych jest niezbędne dla realizacji celu wynikającego z prawnie uzasadnionych interesów. Nie wystarczy zatem samo występowanie takich interesów, lecz dodatkowo ich realizacja musi wymagać przetwarzania danych osobowych. Oceny wymaga również spełnienie przesłanki o charakterze negatywnym w postaci występowania w danym stanie faktycznym interesów lub podstawowych praw i wolności podmiotu danych, które mają charakter nadrzędny wobec prawnie uzasadnionych interesów administratora lub strony trzeciej. Stosowanie tej negatywnej przesłanki polega w istocie na wyważeniu dwóch dóbr chronionych prawem, tj. prawnie uzasadnionego interesu administratora lub strony trzeciej z jednej strony i interesów, podstawowych praw oraz wolności podmiotu danych - z drugiej. Oceniając "wagę" tych interesów, należy uwzględnić takie kryteria jak w szczególności: charakter interesu administratora, rodzaj interesu podmiotu danych, rodzaj prawa lub wolności, rodzaj przetwarzanych danych osobowych, sposób przetwarzania.
Przetwarzanie danych na podstawie art. 6 ust. 1 lit. f RODO nie będzie dopuszczalne, jeżeli po dokonaniu tej oceny okaże się, że interesy, podstawowe prawa i wolności podmiotu danych, które wymagają ochrony są nadrzędne nad prawnie uzasadnionymi interesami administratora lub strony trzeciej (por. Witold Chomiczewski, Komentarz praktyczny do art. 6 ust. 1 rozporządzenia, LEX/el. 2018)
Zdaniem Sądu organ prawidłowo uznał, że w związku z występującymi w przeszłości aktami wandalizmu na posesji, której współwłaścicielem jest B. W., zastosowanie monitoringu wizyjnego, a przez to przetwarzanie danych osobowych skarżącego, miało zapewnić ochronę jej zdrowia i mienia. Niesporne bowiem jest, że na posesji doszło do uszkodzenia drzewek owocowych. Zagrożenie nie było zatem jedynie hipotetyczne. Ponadto B. W. podnosiła również, że dochodziło także do usychania drzew, zniszczenia nasadzeń, a także wyrzucania na podjazd ostrych śrub grożących przepiciem opon samochodowych. Nawet jeżeli stosowany przez nią monitoring działa w czasie rzeczywistym i pozyskiwane za jego pomocą dane nie są utrwalane, to niewątpliwe przyczynia się on do zwiększenia ochrony wskazanych powyżej dóbr.
Zachodziły zatem przesłanki aby uznać, że przetwarzanie przez B. W. danych osobowych skarżącego było niezbędne do celów wynikających
z prawnie uzasadnionych interesów realizowanych przez administratora.
Z uzasadnienia zaskarżonej decyzji nie wynika jednak, aby organ dokonał oceny czy nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa
i wolności osoby, której dane dotyczą. Organ nie dokonał wyważenia dwóch dóbr chronionych prawem, tj. prawnie uzasadnionego interesu administratora oraz podstawowych praw oraz wolności podmiotu danych. Organ stwierdził jedynie, że w niniejszej sprawie dochodzi lub może dojść do przetwarzania danych osobowych skarżącego.
Należy zauważyć, że skarżący jest współwłaścicielem nieruchomości objętej moniotoringiem zainstalowanym przez B. W.. Nie doszło w tym przypadku do podziału nieruchomości, czy też wyodrębnienia lokali. Ponadto mieszka on na terenie tej nieruchomości. Jego dane osobowe mogą zatem być przetwarzane
w codziennych, zwykłych sytuacjach wynikających z korzystania przez niego z jego współwłasności. Dane osobowe skarżącego będą więc przetwarzane nie w sytuacji naruszenia miru domowego B. W., ale w związku normalnym korzystaniem z nieruchomości wspólnej.
Warto również zwrócić uwagę na treść cytowanych przez organ w odpowiedzi na skargę wytycznych Europejskiej Rady Ochrony Danych 3/2019 w sprawie przetwarzania danych osobowych przez urządzenia wideo. W pkt 3.1.3 ppkt 30 wskazano: "Zakładając, że monitoring wizyjny jest niezbędny do zapewnienia ochrony prawnie uzasadnionych interesów administratora, system monitoringu wizyjnego może zostać wprowadzony do użytku wyłącznie w przypadku, gdy wobec prawnie uzasadnionych interesów administratora lub strony trzeciej (np. ochrona mienia lub integralności cielesnej) nadrzędny charakter mają interesy lub podstawowe prawa i wolności osób, których dane dotyczą. Administrator musi uwzględnić 1) w jakim stopniu monitoring wpływa na interesy, podstawowe prawa i wolności osób fizycznych i 2) czy powoduje on naruszenia lub wywołuje negatywne skutki dla praw osób, których dane dotyczą. Wyważanie interesów ma faktycznie charakter obowiązkowy. Z jednej strony należy ocenić i z rozwagą wyważyć podstawowe prawa i wolności, a z drugiej strony prawnie uzasadnione interesy administratora".
Konieczne w tej sytuacji jest dokonanie pogłębionej analizy wszystkich okoliczności sprawy i dokonanie oceny czy w tym przypadku nadrzędny charakter wobec prawnie uzasadnionych interesów administratora mają interesy lub podstawowe prawa i wolności skarżącego.
Konkludując Sąd stwierdza, że zaskarżona decyzja została wydana
z naruszeniem art. 7, art. 77 § 1 i art. 80 k.p.a., a jej uzasadnienie nie odpowiada wymogom określonym w art. 107 § 3 k.p.a.
Zgodnie z art. 7 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781), w sprawach nieuregulowanych w ustawie do postępowań administracyjnych przed Prezesem Urzędu Ochrony Danych Osobowych, o których mowa w rozdziałach 4-7 i 11, stosuje się ustawę z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego. Postępowaniami, o których mowa w rozdziale 7 ustawy są postępowania w sprawie naruszenia przepisów o ochronie danych osobowych, do których zalicza się postępowania prowadzone w ramach realizacji przez PUODO zadań i uprawnień organu nadzorczego określonych w art. 57 i art. 58 RODO.
Obowiązek stosowania przepisów k.p.a. oznacza, że organ nadzorczy
w postępowaniu poprzedzającym wydanie decyzji administracyjnej zobowiązany jest kierować się, określonymi w k.p.a., ogólnymi zasadami postępowania oraz przepisami określającymi jego obowiązki w postępowaniu dowodowym. Stosownie do treści art. 7 k.p.a. w toku postępowania organy administracji publicznej stoją na straży praworządności, z urzędu lub na wniosek stron podejmują wszelkie czynności niezbędne do dokładnego wyjaśnienia stanu faktycznego oraz do załatwienia sprawy, mając na względzie interes społeczny i słuszny interes obywateli. Przepis art. 77 § 1 k.p.a. obliguje zaś do wyczerpującego zebrania i rozpatrzenia całego materiału dowodowego. Na podstawie art. 80 k.p.a. organ administracji publicznej ocenia na podstawie całokształtu materiału dowodowego, czy dana okoliczność została udowodniona. Z kolei art. 11 oraz art. 107 § 1 pkt 6 i § 3 k.p.a. nakazują należycie umotywować podjęte rozstrzygnięcie.
Wyjaśnić należy, że uzasadnienie faktyczne decyzji powinno w szczególności zawierać wskazanie faktów, które organ uznał za udowodnione, dowodów, na których się oparł, oraz przyczyn, z powodu których innym dowodom odmówił wiarygodności i mocy dowodowej, zaś uzasadnienie prawne - wyjaśnienie podstawy prawnej decyzji, z przytoczeniem przepisów prawa. Wynikającą z art. 107 § 3 k.p.a. rolą uzasadnienia jest objaśnienie toku myślenia, który doprowadził organ administracji do zastosowania lub niezastosowania przepisu prawa w konkretnej sprawie (zob. J. Borkowski [w:] Kodeks postępowania administracyjnego, Komentarz, B. Adamiak, J. Borkowski, Warszawa 2012 r., str. 441). W sferze faktów (uzasadnienia faktycznego) chodzi tu o wyjaśnienie okoliczności wskazujących na potrzebę lub konieczność wydania decyzji w danej sprawie i wobec określonych podmiotów oraz wpływu tych okoliczności na treść rozstrzygnięcia. W sferze prawa (uzasadnienia prawnego) chodzi zaś o wskazanie obowiązującej normy i jej znaczenia ustalonego w drodze wykładni (zob. J. Zimmermann, Motywy decyzji administracyjnej i jej uzasadnienie, Warszawa 1981 r., str. 118 – 122). Jak przyjmuje się w orzecznictwie Naczelnego Sądu Administracyjnego (zob. np. wyroki z 6 października 2020 r. sygn. akt I OSK 3235/18, z 24 kwietnia 2018 r. sygn. akt I OSK 1351/16 – niepublikowane; dostępne: https://orzeczenia.nsa.gov.pl), do naruszenia art. 107 § 3 k.p.a. dochodzi wtedy, gdy uzasadnienie decyzji nie zawiera wszystkich elementów wymienionych w tym przepisie, albo gdy mimo formalnej poprawności jego treść nie pozwala na skontrolowanie poprawności rozstrzygnięcia sprawy, a tym samym czyni w stopniu istotnym wątpliwym poprawność przeprowadzenia postępowania wyjaśniającego w sprawie.
Naruszenie ww. przepisów mogło mieć istotny wpływ na wynik sprawy. Nie wszystkie okoliczności istotne dla rozstrzygnięcia niniejszej sprawy zostały bowiem przez organ prawidłowo ustalone i ocenione. W konsekwencji PUODO co najmniej przedwcześnie uznał, że brak jest podstaw do uwzględnienia wniosku skarżącego
w zakresie nakazania B. W. zaprzestania przetwarzania jego danych osobowych. Z tych przyczyn zaskarżona decyzja podlegała uchyleniu.
Ponowne rozpoznanie sprawy winno nastąpić z uwzględnieniem powyższych uwag.
Wyjaśnić również należy, że stosownie do treści art. 106 § 3 ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2022 r. poz. 329, z późn. zm.), dalej "p.p.s.a.", sąd może z urzędu lub na wniosek stron przeprowadzić dowody uzupełniające z dokumentów, jeżeli jest to niezbędne do wyjaśnienia istotnych wątpliwości i nie spowoduje nadmiernego przedłużenia postępowania w sprawie. W niniejszej sprawie nie było żadnych istotnych wątpliwości, które mogłyby być wyjaśnione poprzez przeprowadzenie dowodów z dokumentów załączonych do pisma procesowego skarżącego z dnia [...] października 2022 r.
Mając powyższe na uwadze Sąd, na podstawie art. 145 § 1 pkt 1 lit. c p.p.s.a. uchylił zaskarżoną decyzję. O zwrocie kosztów postępowania (obejmujących: wpis od skargi – 200 zł, opłatę za czynności adwokata – 480 zł oraz opłatę od pełnomocnictwa – 17 zł) postanowiono stosownie do treści art. 200 w zw. z art. 205 § 2 p.p.s.a. oraz § 14 ust. 1 pkt 1 lit. c rozporządzenia Ministra Sprawiedliwości z dnia 22 października 2015 r. w sprawie opłat za czynności adwokackie (Dz.U. z 2015 r. poz. 1800, z późn. zm.).