II SA/Wa 164/25

II SA/Wa 164/25 - Wyrok WSA w Warszawie
Data orzeczenia
2025-09-24
orzeczenie nieprawomocne
Data wpływu
2025-01-30
Sąd
Wojewódzki Sąd Administracyjny w Warszawie
Sędziowie
Arkadiusz Koziarski.
Iwona Maciejuk
Sławomir Fularski /przewodniczący sprawozdawca/
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Oddalono skargę
Sentencja
Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Sławomir Fularski (spr.), Sędzia WSA Iwona Maciejuk, Asesor WSA Arkadiusz Koziarski, Protokolant starszy referent Edyta Brzezicka po rozpoznaniu na rozprawie w dniu 24 września 2025 r. sprawy ze skargi M. S. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] listopada 2024 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę
Uzasadnienie
Decyzją z [...] listopada 2024 r. nr [...] Prezes Urzędu Ochrony Danych Osobowych (dalej: "Prezes UODO" lub "organ") działając na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (t.j. Dz. U. z 2024 r. poz. 572, ze zm., dalej jako "k.p.a.") w związku
z art. 7 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U.
z 2019 r. poz. 1781, dalej jako "u.o.d.o."), oraz art. 12 ust. 2, art. 13 ust. 1 lit. b-f, art. 13 ust. 2, art. 15 ust. 1 i 3 i art. 58 ust. 2 lit b oraz c rozporządzenia Parlamentu Europejskiego i Rady UE 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie
o ochronie danych) (Dz. Urz. UE L 119 z 4 maja 2016 r., str. 1, Dz. Urz. UE L 127
z 23 maja 2018 r., str. 2 oraz Dz. Urz. UE L 74 z 4 marca 2021 r., str. 35), zwanego dalej "rozporządzeniem 2016/679" lub "RODO", po przeprowadzeniu postępowania administracyjnego w sprawie skargi M.A. oraz M.J. ("uczestnicy postępowania"), na M.S. (dalej jako "skarżący"), polegające na przetwarzaniu bez podstawy prawnej danych osobowych za pomocą systemu monitoringu oraz pozyskanych z monitoringu, niespełnieniu obowiązku informacyjnego wynikającego z art. 13 ust. 1-3 rozporządzenia 2016/679 oraz niespełnieniu żądania wyrażonego w piśmie z 30 stycznia 2023 r. w zakresie udostępnienia kopii danych utrwalonych w zapisie monitoringu od [...] grudnia 2022 r. do [...] stycznia 2023 r. i w zakresie udzielenia informacji, o których mowa w art. 15 ust. 1 rozporządzenia 2016/679
1) nakazał skarżącemu zaprzestanie przetwarzania danych osobowych, w tym wizerunku i głosu uczestników postępowania, za pomocą systemu monitoringu obejmującego ich nieruchomość zlokalizowaną w [...] przy ul. [...], od strony ogrodu, oraz część ulicy i pasa drogowego, a także podjazd do garażu na ich nieruchomości pod ww. adresem od strony ulicy, oraz usunięcie ich danych
z dotychczas utrwalonych nagrań;
2) udzielił skarżącemu upomnienia za niespełnienie obowiązku informacyjnego wobec uczestników postępowania, o którym mowa w art. 13 ust. 1 lit. b-f oraz art. 13 ust. 2 rozporządzenia 2016/679; 3) udzielił skarżącemu upomnienia za naruszenie art. 12 ust. 2 w zw. z art. 15 ust. 1 i 3 rozporządzenia 2016/679, polegające na utrudnianiu uczestnikom postępowania wykonania ich prawa do otrzymania informacji o ich danych przez niego przetwarzanych i kopii tych danych utrwalonych w zapisie monitoringu od [...] grudnia 2022 r. do [...] stycznia 2023 r.;
4) odmówił uwzględnienia wniosku w zakresie nieprawidłowości polegających na niespełnieniu przez skarżącego wobec uczestników postępowania obowiązku informacyjnego o którym mowa w art. 13 ust. 3 rozporządzenia 2016/679.
W uzasadnieniu wskazał, że do organu wpłynęła - wyrażona w pismach z 16 marca, 26 czerwca i 29 września 2023 r. skarga uczestników postępowania reprezentowanych przez pełnomocnika - adwokata na nieprawidłowości w procesie przetwarzania ich danych osobowych przez skarżącego, polegające na przetwarzaniu bez podstawy prawnej danych osobowych za pomocą systemu monitoringu oraz pozyskanych z monitoringu, niespełnieniu obowiązku informacyjnego wynikającego
z art. 13 ust. 1-3 rozporządzenia 2016/679 oraz niespełnieniu żądania wyrażonego
w piśmie z 30 stycznia 2023 r. w zakresie udostępnienia kopii danych uczestników postępowania utrwalonych w zapisie monitoringu od [...] grudnia 2022 r. do [...] stycznia 2023 r. i w zakresie udzielenia informacji, o których mowa w art. 15 ust. 1 rozporządzenia 2016/679.
Organ podniósł, że uczestnicy postępowania wskazali, iż w trakcie remontu segmentu mieszczącego się pod adresem: [...], zostały zainstalowane dwie kamery, które monitorują obszar zarówno od frontu ww. nieruchomości (od strony ulicy), jak i z jej tyłu (od strony ogrodu). Podali też, że na ogrodzeniu tej nieruchomości od strony ulicy zawieszono tablicę informującą, że administratorem danych osobowych jest skarżący z siedzibą pod ww. adresem,
a monitoring obejmuje działkę nr [...] z obrębu [...].
W ocenie uczestników postępowania kamera zainstalowana od strony ulicy obejmuje lub obejmowała swym zasięgiem nie tylko nieruchomość skarżącego, ale także obszar podjazdu do ich garażu położonego przy ul. [...]. Wnioskują
o tym m.in. z faktu, że zainstalowana przez skarżącego silna lampa z czujnikiem zapala się w momencie pojawienia się kogokolwiek na ich podjeździe do garażu. Odnośnie kamery zainstalowanej od strony ogrodu uczestnicy postępowania twierdzą, że obejmuje ona także część ich ogrodu. Wnioskują o tym z faktu, że segment skarżącego jest bardzo wąski (3.90 m), a kamera umieszczona jest ok. 60 cm od granicy segmentów tarasów. Zgodnie z ich relacją "wprawdzie współwłaściciel segmentu powiesił - jako formę oddzielenia - zasłonę z ceraty, jednakże jest to element ruchomy, który w każdej chwili może zniknąć". Ponadto uczestnicy postepowania przypuszczają, że kamera ta nagrywa także dźwięk. Na dowód, że jedna z kamer obejmuje znaczną część nieruchomości uczestników postępowania ich pełnomocnik przedłożył - " "klatkę" z filmu zarejestrowanego przez kamerę należącą do skarżącego (zamontowaną na budynku położonym przy ul. [...]), ujawnionego przez niego samego w maju 2023 r., w toku odrębnego postępowania. Pełnomocnik wskazał przy tym, że widoczny na niej obszar po lewej stronie ogrodzenia stanowi obszar uczestników postępowania.
Organ wskazał, że uczestnicy postępowania podnieśli, iż 30 stycznia 2023 r. zwrócili się - za pośrednictwem poczty tradycyjnej (listem poleconym) - do skarżącego jako administratora ich danych osobowych. Poinformowali też, że pismo to nie zostało odebrane. Na dowód załączyli kopię pisma, kopię potwierdzenia nadania przesyłki poleconej, wydruk ze strony internetowej Poczty Polskiej umożliwiającej śledzenie przesyłek oraz 2 zdjęcia koperty (przód, tył) z ww. przesyłką, zwróconej z adnotacją "ZWROT nie podjęto w terminie". W ww. piśmie podnieśli, że w związku z kamerami zamontowanymi na budynku, zarówno od strony ogrodu jak i ulicy, rejestrujących obraz i dźwięk, mają podstawy sądzić, że dochodzi ze strony skarżącego do przetwarzania danych osobowych uczestników postępowania. Zasięg kamery zainstalowanej od strony ogrodu wydaje się obejmować część prywatną, tj. ich posesję, natomiast kamery zainstalowane od strony ulicy, część ulicy oraz pasa drogowego stanowiących część publiczną oraz podjazd do garażu uczestników postępowania.
Prezes UODO wskazał, że w piśmie z 30 stycznia 2023 r. uczestnicy postępowania zwrócili się do skarżącego z żądaniem udostępnienia na elektronicznym nośniku kopii ich danych osobowych utrwalonych w zapisie monitoringu od [...] grudnia 2022 r. do [...] stycznia 2023 r., a także o wypełnienie wobec nich obowiązku informacyjnego wynikającego z art 15 ust. 1 i 2 rozporządzenia 2016/679 oraz - powołując się na art. 21 ust. 1 ww. rozporządzenia wyrazili sprzeciw wobec przetwarzania ich danych osobowych poprzez monitoring. Uczestnicy postępowania wnoszą o nakazanie zaprzestania przetwarzania ich danych osobowych poprzez monitoring i usunięcie danych już pozyskanych, o interwencję wobec niespełnienia ich żądania wyrażonego w piśmie z 30 stycznia 2023 r. w zakresie udostępnienia im kopii ich danych utrwalonych w zapisie monitoringu od [...] grudnia 2022 r. do [...] stycznia 2023 r. i w zakresie informacji, o których mowa w art. 15 ust. 1 rozporządzenia 2016/679,
a także o interwencję wobec niedopełnienia wobec nich obowiązku informacyjnego wynikającego z art. 13 ust. 1-3 rozporządzenia 2016/679. Uczestnicy postępowania nie wnieśli zaś o interwencję wobec wspomnianego w piśmie z 30 stycznia 2023 r. obowiązku informacyjnego z art. 15 ust. 2 rozporządzenia 2016/679.
Prezes UODO wskazał, że pismami z 23 stycznia 2024 r. oraz z 21 marca 2024 r. zwrócił się do skarżącego o ustosunkowanie się do treści skargi i złożenie stosownych wyjaśnień. Pomimo prawidłowego dwukrotnego awizowania skarżący nie odebrał ww. pism, które zostały zwrócone do organu z powodu niepodjęcia w terminie.
Organ uznał, że materiał dowodowy zebrany w sprawie, w oparciu
o informacje i dowody przedstawione przez uczestników postępowania, jest wystarczający do wydania w niej rozstrzygnięcia. Prezes UODO dwukrotnie wzywał skarżącego do ustosunkowania się do treści skargi i złożenia wyjaśnień w sprawie. Korespondencja - kierowana zgodnie ze wskazaniem uczestników postępowania oraz informacją z tablicy informacyjnej o monitoringu - została przez Pocztę zwrócona
z adnotacją niepodjęciu jej w terminie, a więc bez informacji mogących świadczyć
o błędnym lub nieaktualnym adresie. Korespondencja była kierowana do skarżącego
w styczniu 2024 r., a następnie w marcu ww. roku. Skarżący miał możliwość wypowiedzenia się w sprawie. Do dnia wydania niniejszej decyzji do organu nie wpłynęły wyjaśnienia skarżącego.
Odnosząc się do pierwszego zarzutu uczestników postępowania, czyli przetwarzania bez podstawy prawnej ich danych osobowych za pomocą systemu monitoringu oraz pozyskanych z monitoringu, organ uznał, że przedstawione przez nich dowody i argumenty świadczą, że zasięg przedmiotowego monitoringu wykracza poza obszar działki i segmentu użytkowanych przez skarżącego. Doświadczane przez uczestników postępowania działanie zamontowanego przez skarżącego czujnika, który uruchamia lampę także wówczas, gdy ktokolwiek pojawi się na podjeździe prowadzącym do ich garażu, położonego na ich nieruchomości, pozwala na uznanie, że taki zasięg posiada również zastosowana przez skarżącego kamera zainstalowana od strony ulicy. Ponadto przypuszczenie, że kamera ta obejmuje również część ulicy oraz pasa drogowego uczestnicy postępowania wyrazili w piśmie kierowanym do skarżącego, przesłanym do niego na ponad dwa miesiące przed wniesieniem
w niniejszej sprawie skargi do Prezesa UODO. Obszar zaś monitorowany przez skarżącego od strony ogrodu widoczny jest na wydruku z kamery skarżącego, do którego to dowodu uczestnicy postępowania uzyskali dostęp - jak twierdzą - wskutek działań samego skarżącego w innej sprawie z ich udziałem. Na ujęciu tym widać, że zarówno segment, jak i przynależna do niego działka są faktycznie wąskie (uczestnicy postępowania wskazali na 3,90 m), a obszar objęty kamerą wykracza poza działkę skarżącego zarówno z lewej, jak z prawej strony. Do uczestników postępowania należy teren widoczny po lewej stronie ogrodzenia.
W ocenie Prezesa UODO, poprzez monitorowanie ww. obszaru dochodzi do przetwarzania danych osobowych uczestników postępowania, w tym wizerunku i głosu. Skarżący nie udzielił wyjaśnień, a w związku z tym nie wykazał żadnej przesłanki uprawniającej go do przetwarzania danych osobowych uczestników postępowania. Przetwarzanie przez skarżącego danych osobowych uczestników postępowania, w tym wizerunku i głosu, za pomocą systemu monitoringu obejmującego ich nieruchomość, od strony ogrodu, oraz część ulicy i pasa drogowego, a także podjazd do garażu położonego na ww. nieruchomości od strony ulicy - nie ma oparcia
w przepisach art. 6 rozporządzenia 2016/679.
Prezes UODO zauważył, że postępowanie dotyczy zainstalowania systemu monitoringu w zabudowie segmentowej - a więc obszaru, w którym istnieje także sąsiedztwo. Dodatkowo teren należący lub będący w posiadaniu skarżącego jest niewielki (obszar monitorowany przez skarżącego od strony ogrodu widoczny jest na przedłożonym przez pełnomocnika uczestników postępowania załączniku o nazwie "20230626_klatka.png"). Zarówno segment, jak i przynależna do niego działka są faktycznie wąskie (3.90 m), a obszar objęty kamerą wykracza poza działkę skarżącego zarówno z lewej, jak i z prawej strony - zaś obszar po lewej stronie ogrodzenia, według oświadczenia pełnomocnika uczestników postępowania należy do nich. Skarżący nie zgłosił także występowania konfliktów sąsiedzkich. Dlatego ww. okoliczności przemawiają za doborem innych metod nadzoru nad nieruchomością czy mieniem ruchomym, mniej inwazyjnych dla osób, których dane których dane przetwarzane są za pomocą monitoringu.
Prezes UODO uznał za uzasadnione nakazanie skarżącemu zaprzestania przetwarzania danych osobowych uczestników postępowania, w tym wizerunku i głosu, za pomocą systemu monitoringu obejmującego ich nieruchomość, od strony ogrodu, oraz część ulicy i pasa drogowego, a także podjazd do garażu położonego na ww. nieruchomości od strony ulicy, wobec braku podstaw prawnych dla takiego przetwarzania, oraz usunięcie ich danych z dotychczas utrwalonych nagrań.
Odnosząc się do zarzutu dotyczącego niespełnienia obowiązku informacyjnego wynikającego z art. 13 ust. 1-3 rozporządzenia 2016/679 organ zauważył, że skarżący nie wyjaśnił czy a jeśli tak, to kiedy, w jaki sposób oraz w jakim zakresie wypełnił wobec uczestników postępowania obowiązek informacyjny, o którym mowa w art. 13 ust. 1 - 3 rozporządzenia 2016/679. Skarżący nie przedstawił dowodów świadczących
o wypełnieniu ww. obowiązku, zaś w przypadku jego niewypełnienia - nie wyjaśnił
z jakiego powodu i na jakiej podstawie prawnej od ww. obowiązku się uchylał. Skarżący nie przedstawił również dowodów świadczących o tym, że wyjaśnił uczestnikom postępowania dlaczego ww. obowiązek nie zostanie przez niego wypełniony. Uczestnicy postępowania wskazali, że na ogrodzeniu nieruchomości zlokalizowanej
w [...] przy ul. [...] zawieszono tablicę informującą, że administratorem danych osobowych jest skarżący z siedzibą przy ww. adresie,
a monitoring obejmuje działkę nr [...] z obrębu [...]. Informacja ta ogranicza się wyłącznie do wskazania tożsamości i danych kontaktowych administratora, co jest niewystarczające na gruncie przepisów o ochronie danych osobowych, w szczególności ww. art. 13 ust. 1, 2 rozporządzenia 2016/679. Spełnienie obowiązku informacyjnego ma m.in. funkcję poinformowania o prawach osoby, której dane osobowe są przetwarzane. Skarżący, jako administrator danych osobowych przetwarzanych za pomocą systemu monitoringu, nie wykonując w sposób prawidłowy ww. obowiązku, pozbawił uczestników postępowania tego prawa, naruszył przy tym przepisy o ochronie danych osobowych. Przy czym, zgodnie z art. 13 ust. 4 rozporządzenia 2016/679, ust. 1, 2 i 3 nie mają zastosowania, gdy - i w zakresie, w jakim - osoba, której dane dotyczą, dysponuje już tymi informacjami. Uczestnicy postępowania dysponują informacjami,
o których mowa w art. 13 ust. 1 lit a ww. aktu prawnego, gdyż zarówno skarżący pełniący rolę administratora ich danych osobowych, jak i jego dane kontaktowe - są dla nich znane.
Organ zauważył, że uczestnicy postępowania nie posiadają informacji
o pierwotnym celu przetwarzania ich danych osobowych - więc trudno w takim przypadku uznać, że posiadają informację o przetwarzaniu danych w innym celu niż pierwotny. Uczestnicy postępowania nie podnoszą żadnych okoliczności mogących wskazywać, że taki obowiązek skarżącego wobec nich powstał oraz nie przedłożyli żadnych dowodów o tym świadczących. Informacja o przedłożeniu przez skarżącego wydruku z "klatki" z nagrania kamery należącej do niego w toku innego postępowania - też nie jest dowodem na potwierdzenie ww., bo można także przypuszczać, że ów cel ustał, zaś nie ma dowodów, że kolejny cel przetwarzania danych powstał. W związku
z powyższym, Prezes UODO nie stwierdził zatem, aby skarżący przetwarzał dane osobowe uczestników postępowania z naruszeniem obowiązku informacyjnego z art. 13 ust. 3 rozporządzenia 2016/679 i w tym zakresie odmówił uwzględnienia wniosku.
Prezes UODO wskazał, że materiał dowodowy nie wykazuje jednak, aby skarżący spełnił wobec uczestników postępowania obowiązek informacyjny z art. 13 ust. 1 lit. b-f oraz art. 13 ust. 2 rozporządzenia 2016/679. W ocenie organu skarżący przetwarzał dane osobowe uczestników postepowania z naruszeniem ww. obowiązku informacyjnego.
Organ zauważył, że uczestnicy postępowania wnieśli również o interwencję Prezesa UODO wobec niespełnienia żądania wyrażonego w piśmie z 30 stycznia 2023 r. w zakresie udostępnienia kopii ich danych osobowych utrwalonych w zapisie monitoringu od [...] grudnia 2022 r. do [...] stycznia 2023 r. i w zakresie udzielenia informacji, o których mowa w art. 15 ust. 1 rozporządzenia 2016/679. Uczestnicy postępowania podnieśli, że skarżący nie odebrał korespondencji zawierającej omawiane żądanie - zaś akta sprawy zawierają zdjęcia koperty, które to potwierdzają.
Z ww. art. 12 ust. 1 rozporządzenia 2016/679 wynika m.in., że prowadzenie komunikacji z osobą, której dane dotyczą, w zakresie przysługującego jej na mocy - w tym przypadku - art. 15 ust. 1 i art. 15 ust. 3 rozporządzenia 2016/679 prawa, jest ciążącym na administratorze danych obowiązkiem.
W ocenie Prezesa UODO, uczestnicy postępowania w sposób prawidłowy zwrócili się do skarżącego z żądaniem udostępnienia kopii ich danych osobowych utrwalonych w zapisie monitoringu we wskazanym przez nich przedziale czasowym
i w zakresie udzielenia informacji, o których mowa w art. 15 ust. 1 rozporządzenia 2016/679. Pismo to zostało prawidłowo zaadresowane na adres skarżącego. Skarżący swoim brakiem odbioru korespondencji utrudnił realizację prawa uczestników postępowania, czym naruszył dyspozycję art. 12 ust. 2 rozporządzenia 2016/679. Naruszenie to zmusiło uczestników postępowania do egzekwowania swoich praw poprzez złożenie skargi do organu. Brak odbioru korespondencji oraz brak odpowiedzi na wniesione żądanie takiej niepewności nie usuwał.
Prezes UODO podkreślił, że obowiązki informacyjne mogą zostać zrealizowane przez administratora wobec podmiotu danych w sytuacji, gdy dane takie są przez niego przetwarzane. W niniejszej sprawie dopełnienie obowiązków informacyjnych dotyczących danych osobowych, w tym dostarczenie kopii tych danych, nie może jednak zostać zrealizowane przez skarżącego z uwagi na rozstrzygnięcie. Obowiązki te nie mogą być dopełnione wobec danych osobowych uczestników postępowania objętych nakazem zaprzestania przetwarzania oraz, które mają zostać przez skarżącego usunięte. Wydane rozstrzygnięcie powoduje niemożliwość weryfikacji ewentualnego dopełnienia ww. obowiązków przez organ. Dlatego Prezes UODO uznaje za uzasadnione udzielenie skarżącemu upomnienia za niespełnienie wobec uczestników postępowania obowiązku informacyjnego, o którym mowa w art. 13 ust. 1 lit. b-f, art. 13 ust. 2 rozporządzenia 2016/679, jak i za naruszenie art. 12 ust. 2 w zw.
z art. 15 ust. 1 i 3 ww. rozporządzenia, polegające na utrudnianiu wykonywania ich praw, o których mowa w ww. art. 15 ust. 1 i 3 rozporządzenia 2016/679.
Pismem z 20 grudnia 2024 r. skarżący reprezentowany przez pełnomocnika – radcę prawnego wniósł skargę na decyzję Prezesa UODO z [...] listopada 2024 r. nr [...]. Zaskarżył ww. decyzję w części, tj. w zakresie jej pkt. 1, 2
i 3, wnosząc o jej uchylenie w zaskarżonej części. Zaskarżonej decyzji zarzucił:
I. naruszenie przepisów postępowania mające wpływ na wynik sprawy, tj.:
1. art. 39 § 2 w zw. z art. 42 i art. 44 kpa w zw. z art. 7 ust. 1 u.o.d.o. przez niedoręczenie skarżącemu pism z 23 stycznia 2024 r. oraz z 21 marca 2024 r.
i przyjęcie fikcji ich doręczenia, podczas gdy skarżący nie otrzymał żadnego powiadomienia o przesyłkach. Uchybienie miało wpływ na wynik sprawy, albowiem skarżący został pozbawiony możliwości obrony swoich praw przed organem.
2. art. 9, art. 10 i art. 12 kpa w zw. z art. 7 ust. 1 u.o.d.o. przez brak załatwienia sprawy najprostszymi środkami, niepoinformowanie skarżącego o okolicznościach faktycznych
i prawnych mających wpływ na ustalenie obowiązków, a w konsekwencji niezapewnienie skarżącemu czynnego udziału w sprawie. Po uzyskaniu informacji
o nieskuteczności niedoręczenia korespondencji za pośrednictwem operatora pocztowego organ nie próbował dokonać doręczenia, albo skontaktować się ze skarżącym w inny sposób. Podczas gdy, oprócz adresu zamieszkania, organ dysponował adresem epuap, dwoma numerami telefonu oraz adresem poczty elektronicznej skarżącego. Uchybienie miało wpływ na wynik sprawy, albowiem skarżący został pozbawiony możliwości obrony swoich praw przed organem.
3. art. 7, art. 77 i art. 80 kpa w zw. z art. 7 ust. 1 u.o.d.o., polegające na:
a) błędnym ustaleniu, że monitoring na nieruchomości skarżącego obejmuje swoim zasięgiem nieruchomość uczestników postępowania, jak również teren publiczny,
b) błędnym ustaleniu, że nieruchomość skarżących i nieruchomość uczestników postępowania są odgrodzone od siebie zasłoną z ceraty, która może w każdej chwili zniknąć,
c) błędnym ustaleniu, że monitoring skarżącego rejestruje głos i jest powiązany
z czujnikiem ruchu/światła,
d) niewyczerpującym zebraniu dowodów i błędnym rozpatrzeniu materiału dowodowego, skutkujące nieustaleniem, że klatki z filmu zarejestrowanego przez monitoring skarżącego, które zostały przedstawione organowi przez uczestników postępowania, nie odzwierciedlają obszaru monitorowanego przez skarżącego
w okresie rozpatrywania sprawy przez organ (tj. od dnia złożenia skargi z 16 marca 2023 r. do dnia wydania zaskarżonej decyzji z [...] listopada 2024 r.),
e) błędnym uznaniu, że materiał dowodowy zebrany w sprawie jest wystarczający do wydania rozstrzygnięcia, podczas gdy w świetle zaskarżonej decyzji postępowanie dowodowe zostało przeprowadzone w sposób wybiórczy i jednostronny. Wszystkie ustalenia faktyczne w sprawie opierają się wyłącznie na twierdzeniach i dokumentach uczestników postępowania, które nie zostały przez organ zweryfikowane.
Powyższe uchybienia miały wpływ na wynik sprawy, bowiem błędy
w zgromadzeniu i ocenie dowodów doprowadziły do błędnych ustaleń faktycznych organu. W konsekwencji organ bezpodstawnie uznał, że skarżący przetwarza dane osobowe w postaci wizerunku i głosu uczestników postępowania i dopuszcza się naruszenia przepisów RODO wskazanych niżej.
II. naruszenie prawa materialnego przez niewłaściwe zastosowanie art. 12 ust. 2, art. 13 ust. 1 lit. b-f, art. 13 ust. 2, art. 15 ust. 1 i 3 oraz art. 58 ust. 2 lit b oraz c RODO. Zastosowanie powyższych przepisów było bezpodstawne, bowiem skarżący nie przetwarza danych osobowych uczestników postępowania, a zastosowany przez niego monitoring jest czynnością o czysto osobistym lub domowym charakterze, do którego nie stosuje się przepisów rozporządzenia RODO (art. 2 ust. 2 lit. c RODO).
Skarżący wniósł nadto o zasądzenie od organu na rzecz skarżącego zwrotu kosztów postępowania, w tym kosztów zastępstwa procesowego, według norm przepisanych oraz o przeprowadzenie dowodów uzupełniających z dokumentów załączonych do skargi, tj. wydruku strony internetowej, wydruków zrzutów ekranów
z systemu monitoringu skarżącego (3 szt.) wraz z opisem, wydruków dokumentacji zdjęciowej (8 szt.) wraz z opisem, wydruku korespondencji mailowej skarżącego
z Pocztą Polską S.A. z 25 listopada 2024 r., godz. 21:13 wraz
z odpowiedzią na reklamację z 20 grudnia 2024 r., wydruku zrzutu ekranu korespondencji sms skarżącego z grudnia 2024 r. z [...] Bankiem (2 smsy), zawiadomienia z 31 sierpnia 2022 r. wraz z urzędowym poświadczeniem przedłożenia (UPP).
W uzasadnieniu skargi, jej autor w obszerny sposób rozwinął ww. zarzuty. Wskazał, że skarżący jest w konflikcie sąsiedzkim z uczestnikami postępowania. Konflikt trwa co najmniej od czerwca 2022 r., o czym świadczy, m. in. fakt, że między ww. toczyły się dwa postępowania karne przed Sądem Rejonowym [...] (sygn. [...] oraz [...]). Jednym z dowodów na niszczenie mienia i zaśmiecanie nieruchomości skarżącego przez M.A., było nagranie z kamery z systemu monitoringu nieruchomości skarżącego. Zrzuty ekranu z nagrania złożonego w postępowaniu karnym zostały przedstawione organowi w niniejszej sprawie i wynika z nich, że nagranie z kamery obejmowało nieruchomość uczestników postępowania. Screeny dotyczą nagrania wykonanego w ciągu jednego dnia - [...] grudnia 2022 r. i nie odzwierciedlają jednak aktualnie monitorowanego obszaru przez skarżącego, który przedstawiono na wydrukach zrzutów ekranów, załączonych do skargi.
Skarżący wyjaśnił, że w momencie zainstalowania monitoringu między jego nieruchomością, a nieruchomością uczestników postępowania został zamieszczony brezent, ograniczający nagrywany obszar. Z uwagi na prowadzone prace remontowe nieruchomości w dniu [...] grudnia 2022 r. robotnicy czasowo rozmontowali brezent, znajdujący się między działką skarżącego, a uczestników postępowania.
W konsekwencji, przez czas prowadzenia robót, obszar monitorowany przez skarżącego obejmował fragment nieruchomości uczestników postępowania. Taka sytuacja miała jednak charakter jednorazowy i trwała nie dłużej niż czas robót (ok. 4 h). Po powyższych pracach monitorowany obszar przywrócono do stanu poprzedniego, tj. zamontowano brezent, co zasłoniło zakres monitorowania w części obejmującej nieruchomość uczestników postępowania. Skarżący dowiedział się o zmianie monitorowanego obszaru wskutek działań robotników dopiero po fakcie. Nigdy wcześniej, ani nigdy później taka zmiana nie była dokonana. O konflikcie skarżącego
z uczestnikami postępowania świadczy dodatkowo fakt, że w dniu 31 sierpnia 2022 r. skarżący złożył za pośrednictwem epuapu zawiadomienie do organu. Przedmiotem zawiadomienia było naruszenie ochrony danych osobowych, którego dopuszczali się uczestnicy postępowania wobec skarżącego. Sprawa skarżącego toczy się pod sygn. [...] i do dnia złożenia niniejszej skargi nie została rozstrzygnięta przez organ. W związku z tym skarżący podejrzewa, że działanie uczestników postępowania może być wynikiem złożonego w sierpniu 2022 r. zawiadomienia.
Autor skargi wskazał, że skarżący nie wiedział o toczącym się wobec niego postępowaniu o rzekome przetwarzanie danych osobowych uczestników postępowania. Skarżący nie otrzymywał awiz i nie doręczono mu pism organu wymienionych w treści zaskarżonej decyzji, tj. z 23 stycznia 2024 r. oraz z 21 marca 2024 r. Przyczyny niedoręczenia korespondencji pocztowej były niezawinione przez skarżącego. Skarżącemu zdarzają się problemy z doręczaniem korespondencji pocztowej do jego nieruchomości, w związku z czym podjął środki zaradcze mające na celu wyjaśnienie sytuacji i wyeliminowanie tego problemu. Poczta doręczała skarżącemu awiza wybiórczo, część z nich pomijała. Świadczy o tym przykładowo korespondencja sms skarżącego z [...] Bankiem z grudnia 2024 r., załączona do skargi. W dniu 25 listopada 2024 r., podczas wizyty w placówce pocztowej pracownik poczty poinformował skarżącego o nieodebranej przesyłce od organu. Skarżący dowiedział się o przesyłce przy okazji załatwiania innych spraw i nie został poinformowany wcześniej o tym, że taka korespondencja została do niego skierowana. Skarżący nie otrzymał awiz dotyczących przesyłki organu. Skarżący odebrał przesyłkę, która, jak się okazało, zawierała zaskarżoną decyzję. Dopiero zatem w dniu 25 listopada 2024 r. skarżący dowiedział się o toczącym się wobec niego postępowaniu o przetwarzanie danych osobowych uczestników postępowania. Z treści zaskarżonej decyzji skarżący dowiedział się również o niedoręczeniu mu pism organu z 23 stycznia 2024 r. oraz
z 21 marca 2024 r. Tego samego dnia, tj. 25 listopada 2024 r. skarżący złożył reklamację do operatora pocztowego Poczty Polskiej S.A. Potwierdzenie złożenia reklamacji zostało załączone do skargi. Skarżący nie wie z jakiej przyczyny poczta nie doręcza korespondencji pod adres jego zamieszkania.
Autor skargi wskazał, że w dniu 20 grudnia 2024 r. skarżący otrzymał odpowiedź na reklamację z Poczty Polskiej S.A. Stanowisko Poczty Polskiej S.A. jest jednak bardzo lakoniczne i niejasne. Nie wyjaśniono w niej zarzutów skarżącego. Z jednej strony, zdaniem Poczty Polskiej S.A., próby doręczenia i awizowania są podejmowane. Z drugiej zaś strony, Poczta Polska S.A. przeprasza za niedogodności i "negatywne przejawy" związane z korzystaniem z usług. W związku z tym sprawa na dzień dzisiejszy jest niewyjaśniona. W ocenie autora skargi w okolicznościach sprawy błędne było skorzystanie przez organ z dyspozycji art. 44 § 4 kpa i przyjęcie fikcji doręczenia ww. pism skarżącemu. Skarżący nie otrzymał żadnych awiz dotyczących pism organu z 23 stycznia 2024 r. oraz z 21 marca 2024 r. Nie sposób zatem uznać, że awizowanie było prawidłowe
w świetle zasad z art. 44 § 2 i 3 kpa. Z uwagi na problemy w doręczaniu korespondencji, wybiórcze doręczanie pism i awiz przez operatora pocztowego, niedoręczenie korespondencji organu i awiz było niezawinione przez skarżącego.
W konsekwencji, zastosowanie art. 44 § 4 kpa i przyjęcie fikcji doręczenia również było nieprawidłowe. Powyższe uchybienie mogło mieć wpływ na wynik sprawy, ponieważ skarżący został pozbawiony możliwości obrony swoich praw przed organem.
Skarżący podniósł, że organ po nieudanej próbie doręczenia pism z 23 stycznia 2024 r. oraz z 21 marca 2024 r. nie podjął próby doręczenia przez pracownika/upoważnioną osobę/upoważniony organ (art. 39 § 2 pkt 2 kpa). Co więcej, organ nie podjął żadnego kontaktu ze skarżącym w innej formie, co stanowi naruszenie zasady z art. 12 kpa. Zważywszy, że organ otrzymał informacje od uczestników postępowania o nieskutecznym doręczaniu pism do skarżącego, podjęcie innych prób doręczenia lub nawiązanie kontaktu w inny sposób niż za pośrednictwem poczty było nie tylko uzasadnione, ale wręcz konieczne. Organ miał bowiem możliwość skontaktowania się ze skarżącym w inny, prostszy sposób. Skarżący podał organowi dwa numery telefonu i adres poczty elektronicznej w zawiadomieniu z 31 sierpnia 2022 r. złożonym przez epuap. Przed organem toczy się postępowanie w przedmiocie naruszenia ochrony danych osobowych skarżącego, które zostało zainicjowane przez ww. zawiadomienie. Co więcej, powyższa sprawa dotyczy tych samych zainteresowanych, tj. skarżącego i uczestników postępowania. Z tą tylko różnicą, że zawiadomienie skarżącego dotyczy monitoringu uczestników postępowania, a niniejsza sprawa została wszczęta przez uczestników postępowania i dotyczy monitoringu skarżącego. Powyższe uchybienie mogło mieć wpływ na wynik sprawy, ponieważ skarżący został pozbawiony możliwości obrony swoich praw przed organem.
Autor skargi wskazał, że skarżący zakwestionował zarówno prawidłowość zebrania dowodów, jak również dokonaną przez organ ocenę zgromadzonych dowodów. Konsekwencją powyższych błędów organu było nieprawidłowe ustalenie faktów, a następnie - nieprawidłowa ocena prawna i zastosowanie przepisów rozporządzenia RODO wskazanych w skardze. Organ przeprowadził postępowanie dowodowe w sposób wybiórczy i jednostronny, bazował wyłącznie na informacjach przedstawionych przez uczestników postepowania, z którymi skarżący jest od kilku lat skonfliktowany. Organ wiedział o konflikcie oraz o toczących się postępowaniach sądowych między ww., z urzędu miał również wiedzę o zawiadomieniu skarżącego
z 31 sierpnia 2022 r. złożonym do Prezesa UODO przez epuap na naruszenie ochrony danych osobowych przez uczestników postępowania. Nie uznał jednak stanowiska uczestników postępowania za niewiarygodne, chociaż biorąc pod uwagę całokształt sytuacji, były ku temu podstawy (chociażby z racji tego, że przed organem toczy się analogiczne postępowanie, tylko że z inicjatywy skarżącego). Organ nie wykazał się przy tym żadną aktywnością, aby zebrać materiał dowodowy z innych źródeł niż uczestników postępowania, bądź aby zweryfikować prawdziwość przedstawianych przez nich informacji.
W ocenie autora skargi organ dokonał ustaleń faktów na podstawie twierdzeń uczestników postępowania, co do których oni sami nie mieli pewności. Sformułowania zawarte w zaskarżonej decyzji oznaczają, że uczestnicy postępowania nie byli przekonani co do tego czy przedstawione przez nich twierdzenia są prawdziwe. Tym bardziej organ winien wykazać ostrożność w ocenie przedstawionego materiału dowodowego i wykazać się własną inicjatywą dowodową. Nie miało to jednak miejsca. Organ nie zbierał dowodów z innych źródeł, nie zweryfikował sprawy "na miejscu" przez dokonanie oględzin. Zamiast rzetelnie przeanalizować sprawę organ uznał, że przypuszczenia i subiektywne oceny uczestników postępowania stanowią fakty
w niniejszej sprawie, a w konsekwencji zastosował błędnie przepisy rozporządzenia RODO. Przypuszczenia i oceny przedstawione przez uczestników postępowania są nieprawdziwe, bądź nieaktualne. Błędy w zbieraniu dowodów i ocenie dowodów doprowadziły do błędów organu w dokonaniu ustaleń faktycznych.
Autor skargi zauważył, że w zaskarżonej decyzji organ wskazał, iż na dowód tego, że jedna z kamer obejmuje znaczną część nieruchomości uczestników postępowania przedłożono klatkę z filmu zarejestrowanego przez kamerę skarżącego, ujawnioną przez niego samego w maju 2023 r., podczas odrębnego postępowania. Powyższe ustalenia są prawdziwe, jednak niepełne. W konsekwencji dokonana na ich podstawie ocena jest nieprawidłowa. Prawdą jest, że skarżący przedłożył policji nagranie z [...] grudnia 2022 r. Nagranie zostało wykorzystane w postępowaniu karnym toczącym się wobec M.A. o nękanie, w tym niszczenie mienia przed Sądem Rejonowym [...] pod sygn. [...]. Klatka z filmu przedstawiona przez uczestników postępowania stanowi screen właśnie z tego nagrania. Prawdą jest również, że klatka obejmowała nieruchomość uczestników postępowania. Taka sytuacja, że monitoring skarżącego obejmował ich nieruchomość miała jednak charakter jednorazowy podczas prac robotników w dniu [...] grudnia 2022 r. i skarżący dowiedział się o tym po fakcie. Po robotach przywrócono monitorowany obszar do stanu sprzed robót (tj. bez nieruchomości uczestników postępowania) i w ten sam sposób monitoring działa do dnia dzisiejszego. Nigdy wcześniej, ani nigdy później monitoring nie obejmował nieruchomości uczestników postępowania. To, że organ przyjął powyższe twierdzenia uczestników postępowania za fakt w sprawie, świadczy jednak o tym, że zaniechano zbadania jaki obszar jest monitorowany przez skarżącego. Organ ustalił stan faktyczny w ww. zakresie na podstawie wydruków z nagrań wykonanych w dniu [...] grudnia 2022 r., które są nieaktualne. Wydając decyzję administracyjną organ zobowiązany jest jednak do rozstrzygania w oparciu o stan faktyczny istniejący w chwili wydania tej decyzji.
W konkluzji autor skargi stwierdził, że błędy w zgromadzeniu i ocenie materiału dowodowego miały wpływ na wynik postępowania. Ich konsekwencją jest bowiem dokonanie błędnych ustaleń stanu faktycznego przez organ, w szczególności
w zakresie obszaru monitorowanego przez skarżącego, jak również rzekomego nagrywania głosu. Na podstawie powyższych ustaleń organ dokonał następnie nieprawidłowej oceny prawnej, że skarżący przetwarza dane osobowe uczestników postępowania i to niezgodnie z przepisami rozporządzenia RODO. Zastosowanie przepisów ww. rozporządzenia nie znajduje jednak uzasadnionych podstaw. Po pierwsze, z uwagi na to, że obszar monitoringu nie obejmuje nieruchomości uczestników postępowania i przestrzeni publicznej, skarżący nie przetwarza danych osobowych ww. osób. Po drugie, przetwarzanie danych przez skarżącego na jego nieruchomości ma charakter czynności o czysto osobistym lub domowym charakterze, który zalicza się do wyjątków od stosowania przepisów rozporządzenia RODO (art. 2 ust. 2 lit. c) ww. rozporządzenia). W niniejszej sprawie skarżący zainstalował monitoring wyłącznie dla celów prywatnych, osobistych. Nie prowadzi działalności zawodowej, bądź handlowej na obszarze monitorowanej nieruchomości. Monitoring służy ochronie żywotnych interesów skarżącego i jego rodziny przed nękaniem, zniszczeniami, czy aktami wandalizmu, również ze strony sąsiadów. W konsekwencji, na skarżącym nie ciążą obowiązki przewidziane w rozporządzeniu RODO, a wydanie nakazów i upomnień w pkt 1 i 3 zaskarżonej decyzji było niezasadne.
W odpowiedzi na skargę organ wniósł o oddalenie skargi. Podtrzymując swoje dotychczasowe stanowisko w sprawie w obszerny sposób odniósł się do zarzutów skargi uznając je za niezasadne.
Na rozprawie bezpośrednio poprzedzającej wydanie wyroku Sąd oddalił wnioski dowodowe zawarte w skardze.
Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje:
Zgodnie z art. 1 § 1 i 2 ustawy z dnia 25 lipca 2002 r. - Prawo o ustroju sądów administracyjnych (Dz. U. z 2024 r., poz. 1267 ze zm.), sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej, sprawowaną pod względem zgodności z prawem, jeżeli ustawy nie stanowią inaczej. Na podstawie art. 134 § 1 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2024 r., poz. 935 zwanej dalej "p.p.s.a.") Sąd przy rozstrzyganiu sprawy nie jest związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną. Oceniając zaskarżoną decyzję według powyższych kryteriów, uznać należy, że nie narusza ona prawa.
Istota sprawy w niniejszym postępowaniu sprowadzała się do oceny tego, czy Prezes UODO ustalił w prawidłowy sposób pełny stan faktyczny towarzyszący podjętej decyzji i czy przy jej wydaniu poruszał się w granicach prawa.
W ocenie Sądu w składzie orzekającym w niniejszej sprawie na wyżej postawione pytanie należało udzielić pozytywnej odpowiedzi. Sąd co do zasady podziela argumentację organu zawartą w zaskarżonej decyzji, jak i w odpowiedzi na skargę.
Przedmiotem kontroli Sądu jest decyzja Prezesa UODO z [...] listopada 2024 r.
w części dotyczącej jej pkt 1, 2 i 3, tj. w zakresie:
- nakazania skarżącemu zaprzestanie przetwarzania danych osobowych, w tym wizerunku i głosu uczestników postępowania, za pomocą systemu monitoringu obejmującego ich nieruchomość, od strony ogrodu, oraz część ulicy i pasa drogowego, a także podjazd do garażu na ich nieruchomości od strony ulicy, oraz usunięcie ich danych z dotychczas utrwalonych nagrań;
- udzielenia skarżącemu upomnienia za niespełnienie obowiązku informacyjnego wobec uczestników postępowania, o którym mowa w art. 13 ust. 1 lit. b-f oraz art. 13 ust. 2 rozporządzenia 2016/679; - - udzielenia skarżącemu upomnienia za naruszenie art. 12 ust. 2 w zw. z art. 15 ust. 1
i 3 rozporządzenia 2016/679, polegające na utrudnianiu uczestnikom postępowania wykonania ich prawa do otrzymania informacji o ich danych przez niego przetwarzanych i kopii tych danych utrwalonych w zapisie monitoringu od [...] grudnia 2022 r. do [...] stycznia 2023 r.
Zaskarżona decyzja została wydana w wyniku wniesionej do organu przez uczestników postępowania skargi dotyczącej przetwarzania bez podstawy prawnej ich danych osobowych za pomocą systemu monitoringu oraz pozyskanych z monitoringu, niespełnienia obowiązku informacyjnego wynikającego z art. 13 ust. 1-3 rozporządzenia 2016/679 oraz niespełnienia żądania wyrażonego w piśmie z 30 stycznia 2023 r.
w zakresie udostępnienia kopii ich danych osobowych utrwalonych w zapisie monitoringu od [...] grudnia 2022 r. do [...] stycznia 2023 r. i w zakresie udzielenia informacji, o których mowa w art. 15 ust. 1 rozporządzenia 2016/679.
Na wstępie wskazać należy, że przetwarzanie danych osobowych jest dopuszczalne wtedy, gdy administrator danych osobowych legitymuje się którąkolwiek
z przesłanek, o których mowa w art. 6 ust. 1 rozporządzenia 2016/679. Przepis ten stanowi, że przetwarzanie jest zgodne z prawem, gdy: osoba, której dane dotyczą wyraziła zgodę na ich przetwarzanie w jednym lub większej liczbie określonych celów (lit. a); jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy (lit. b); jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze (lit. c); jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej (lit. d); jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi (lit. e); jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem (lit. f).
Katalog przesłanek legalizujących przetwarzanie danych osobowych przez administratora tych danych ma charakter zamknięty. Tym samym, przetwarzanie danych osobowych jest dopuszczalne jedynie w przypadkach wskazanych w ww. przepisie rozporządzenia RODO. Jednocześnie należy wskazać, że każda z ww. przesłanek ma charakter autonomiczny, co oznacza, że spełnienie co najmniej jednej
z nich stanowi w danym przypadku o zgodnym z prawem przetwarzaniu danych osobowych.
Zgodnie z art. 80 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (t.j. Dz. U. z 2024 r. poz. 572, zwanej dalej kpa), organ administracji publicznej ocenia na podstawie całokształtu materiału dowodowego, czy dana okoliczność została udowodniona. Organ administracji publicznej może uznać stan faktyczny rozpatrywanej sprawy za ustalony jedynie na podstawie niebudzących wątpliwości dowodów i nie może poprzestać w tym zakresie na uprawdopodobnieniu. Przepis ten wyraża równocześnie zasadę prawdy obiektywnej jak też zasadę swobodnej oceny dowodów. Organ prowadzący postępowanie musi dążyć do ustalenia prawdy materialnej i według swej wiedzy, doświadczenia oraz wewnętrznego przekonania ocenić wartość dowodową poszczególnych środków dowodowych, wpływ udowodnienia jednej okoliczności na inne okoliczności. W postępowaniu administracyjnym obowiązuje również zasada, że ciężar dowodu spoczywa na tym, kto z określonego faktu wyprowadza skutki prawne. Zgodnie z art. 81 kpa, okoliczność faktyczna może być uznana za udowodnioną, jeżeli strona miała możność wypowiedzenia się co do przeprowadzonych dowodów.
W ocenie Sądu w składzie orzekającym w niniejszej sprawie, Prezes UODO słusznie uznał, że materiał dowodowy zebrany w sprawie, w oparciu o informacje
i dowody przedstawione przez uczestników postępowania, jest wystarczający do wydania w niej rozstrzygnięcia.
Jak wynika z akt sprawy, Prezes UODO dwukrotnie wzywał skarżącego do ustosunkowania się do treści skargi uczestników postępowania i złożenia wyjaśnień
w sprawie. Korespondencja - kierowana zgodnie ze wskazaniem uczestników postępowania oraz informacją z tablicy informacyjnej o monitoringu - została przez Pocztę zwrócona z adnotacją o jej niepodjęciu w terminie, a więc bez informacji mogących świadczyć o błędnym lub nieaktualnym adresie. Korespondencja była kierowana do skarżącego w styczniu 2024 r. a następnie w marcu 2024 r. Organ prawidłowo więc uznał, że skarżący miał możliwość wypowiedzenia się w sprawie. Do dnia wydania zaskarżonej decyzji do Prezesa UODO nie wpłynęły jednak wyjaśnienia skarżącego.
Odnosząc się do pierwszego zarzutu uczestników postępowania, czyli przetwarzania bez podstawy prawnej ich danych osobowych za pomocą systemu monitoringu oraz pozyskanych z monitoringu, Prezes UODO trafnie uznał, że przedstawione przez uczestników postępowania dowody i argumenty świadczą, że zasięg monitoringu wykracza poza obszar działki i segmentu - użytkowanych przez skarżącego. Doświadczane przez uczestników postępowania działanie zamontowanego przez skarżącego czujnika, który uruchamia lampę także wówczas, gdy ktokolwiek pojawi się na podjeździe prowadzącym do ich garażu, położnego na ich nieruchomości, pozwala na uznanie, że taki zasięg posiada również zastosowana przez skarżącego kamera zainstalowana od strony ulicy. Przypuszczenie, że kamera ta obejmuje również część ulicy oraz pasa drogowego uczestnicy postępowania wyrazili w piśmie kierowanym do skarżącego, przesłanym do niego dwa miesiące przed wniesieniem
przez nich w niniejszej sprawie skargi do Prezesa UODO. Obszar monitorowany przez skarżącego od strony ogrodu widoczny jest na wydruku z kamery skarżącego, do którego to dowodu uczestnicy postępowania uzyskali dostęp wskutek działań samego skarżącego w innej sprawie z ich udziałem. Na ujęciu tym widać, że zarówno segment, jak i przynależna do niego działka są faktycznie wąskie, a obszar objęty kamerą wykracza poza działkę skarżącego zarówno z lewej, jak z prawej strony. Zgodzić się więc należy z organem, że poprzez monitorowanie ww. obszaru dochodzi do przetwarzania danych osobowych uczestników postępowania, w tym co najmniej ich wizerunku. Przetwarzanie danych osobowych jak zaś wyżej wskazano, jest zaś dopuszczalne wtedy, gdy administrator danych osobowych legitymuje się którąkolwiek
z przesłanek, o których mowa w art. 6 ust. 1 rozporządzenia 2016/679.
Prezes UODO słusznie przy tym uwzględnił stanowisko Europejskiej Rady Ochrony Danych (zwanej dalej EROD), wynikające z Wytycznych 3/2019 w sprawie przetwarzania danych osobowych przez urządzenia wideo, przyjętych 29 stycznia 2020 r. (zwanych dalej Wytycznymi) - tj. Wytyczne Rozdział 3.1.1 pkt 18 i 20 i Wytyczne Rozdział 3.1.3. pkt 30 i 34. Skarżący nie udzielił wyjaśnień i w związku z tym Prezes UODO prawidłowo uznał, że nie wykazał on żadnej przesłanki uprawniającej go do przetwarzania danych osobowych uczestników postępowania i nie ma oparcia
w przepisach art. 6 rozporządzenia 2016/679.
W związku z powyższym, w ocenie Sądu organ prawidłowo na mocy art. 58 ust. 2 lit. c rozporządzenia 2016/679 uznał za uzasadnione nakazanie skarżącemu zaprzestania przetwarzania danych osobowych uczestników postępowania, w tym wizerunku i głosu, za pomocą systemu monitoringu obejmującego ich nieruchomość od strony ogrodu, oraz część ulicy i pasa drogowego, a także podjazd do garażu położonego na ww. nieruchomości uczestników postępowania od strony ulicy, wobec braku podstaw prawnych dla takiego przetwarzania, oraz usunięcie ich danych
z dotychczas utrwalonych nagrań.
Materiał dowodowy nie wykazał też, aby skarżący spełnił wobec uczestników postępowania obowiązek informacyjny z art. 13 ust. 1 lit. b-f oraz art. 13 ust. 2 rozporządzenia 2016/679, dlatego też Prezes UODO prawidłowo uznał, że skarżący przetwarzał ich dane osobowe z naruszeniem ww. obowiązku informacyjnego.
Sposób komunikacji oraz tryb wykonywania praw osoby, której dane dotyczą, określone zostały w art. 12 rozporządzenia 2016/679. Zgodnie z ustępem 1 tego artykułu administrator podejmuje odpowiednie środki, aby w zwięzłej, przejrzystej, zrozumiałej i łatwo dostępnej formie, jasnym i prostym językiem - w szczególności gdy informacje są kierowane do dziecka - udzielić osobie, której dane dotyczą, wszelkich informacji, o których mowa w art. 13 i 14, oraz prowadzić z nią wszelką komunikację na mocy art. 15-22 i 34 w sprawie przetwarzania. Informacji udziela się na piśmie lub
w inny sposób, w tym w stosownych przypadkach - elektronicznie. Jeżeli osoba, której dane dotyczą, tego zażąda, informacji można udzielić ustnie, o ile innymi sposobami potwierdzi się tożsamość osoby, której dane dotyczą. W świetle ustępu 2 administrator ułatwia osobie, której dane dotyczą, wykonanie praw przysługujących jej na mocy art. 15-22.
Z ww. art. 12 ust. 1 rozporządzenia 2016/679 wynika m.in., że prowadzenie komunikacji z osobą, której dane dotyczą, w zakresie przysługującego jej na mocy -
w tym przypadku - art. 15 ust. 1 i art. 15 ust. 3 rozporządzenia 2016/679 prawa - jest ciążącym na administratorze danych obowiązkiem.
Za zasadne należy więc uznać udzielenie przez organ skarżącemu upomnienia na mocy art. 58 ust. 2 lit. b rozporządzenia 2016/679 za niespełnienie wobec uczestników postępowania obowiązku informacyjnego, o którym mowa w art. 13 ust. 1 lit. b-f, art. 13 ust. 2, jak i za naruszenie art. 12 ust. 2 w zw. z art. 15 ust. 1
i 3 rozporządzenia 2016/679, polegające na utrudnianiu uczestnikom postępowania wykonywania ich praw, o których mowa w ww. art. 15 ust. 1 i 3 ww. rozporządzenia.
Zgodnie z art. 15 ust. 1 rozporządzenia 2016/679, osoba, której dane dotyczą, jest uprawniona do uzyskania od administratora potwierdzenia, czy przetwarzane są dane osobowe jej dotyczące, a jeżeli ma to miejsce, jest uprawniona do uzyskania dostępu do nich oraz następujących informacji: a) cele przetwarzania; b) kategorie odnośnych danych osobowych; c) informacje o odbiorcach lub kategoriach odbiorców, którym dane osobowe zostały lub zostaną ujawnione, w szczególności o odbiorcach
w państwach trzecich lub organizacjach międzynarodowych; d) w miarę możliwości planowany okres przechowywania danych osobowych, a gdy nie jest to możliwe, kryteria ustalania tego okresu; e) informacje o prawie do żądania od administratora sprostowania, usunięcia lub ograniczenia przetwarzania danych osobowych dotyczącego osoby, której dane dotyczą, oraz do wniesienia sprzeciwu wobec takiego przetwarzania; f) informacje o prawie wniesienia skargi do organu nadzorczego; g) jeżeli dane osobowe nie zostały zebrane od osoby, której dane dotyczą - wszelkie dostępne informacje o ich źródle; h) informacje o zautomatyzowanym podejmowaniu decyzji, w tym o profilowaniu, o którym mowa w art 22 ust. 1 i 4, oraz - przynajmniej
w tych przypadkach - istotne informacje o zasadach ich podejmowania, a także
o znaczeniu i przewidywanych konsekwencjach takiego przetwarzania dla osoby, której dane dotyczą.
Zgodnie natomiast z art. 15 ust. 3 rozporządzenia 2016/679, administrator dostarcza osobie, której dane dotyczą, kopię danych osobowych podlegających przetwarzaniu. Za wszelkie kolejne kopie, o które zwróci się osoba, której dane dotyczą, administrator może pobrać opłatę w rozsądnej wysokości wynikającej z kosztów administracyjnych. Jeżeli osoba, której dane dotyczą, zwraca się o kopię drogą elektroniczną i jeżeli nie zaznaczy inaczej, informacji udziela się w powszechnie stosowanej formie elektronicznej.
Odnosząc się do zarzutów skargi dotyczących naruszenia przez organ przepisów postępowania administracyjnego w zakresie art. 39 § 2 w zw. z art. 42 i art. 44 kpa
w zw. z art. 7 ust. 1 u.o.d.o. przez niedoręczenie skarżącemu pism z 23 stycznia 2024 r. oraz z 21 marca 2024 r. i przyjęcie fikcji ich doręczenia, podczas gdy skarżący nie otrzymał żadnego powiadomienia o przesyłkach oraz art. 9, art. 10 i art. 12 kpa w zw.
z art. 7 ust. 1 u.o.d.o. przez brak załatwienia sprawy najprostszymi środkami, niepoinformowanie skarżącego o okolicznościach faktycznych i prawnych mających wpływ na ustalenie obowiązków, a w konsekwencji niezapewnienie skarżącemu czynnego udziału w sprawie, stwierdzić należy, że nie zasługują one na uwzględnienie.
Przede wszystkim należy zauważyć, że Prezes UODO rozpatruje skargi na działania/zaniechania konkretnych podmiotów, tj. wskazanych z nazwy i adresu siedziby bądź z imienia, nazwiska i adresu poczty tradycyjnej w przypadku, gdy administratorem danych osobowych jest osoba fizyczna. Uczestnicy postępowania
w swojej skardze z 16 marca 2023 r. precyzyjnie określili skarżony podmiot, tj. skarżącego. W toku postępowania prowadzonego przed Prezesem UODO to osoba składająca skargę określa w podaniu skierowanym do organu nadzorczego ds. ochrony danych osobowych: przedmiot swojej skargi, podmiot, którego działanie lub zaniechanie stanowi naruszenie przepisów o ochronie danych osobowych oraz określa żądanie, tj. jakiego działania oczekuje od organu w stosunku do wskazanego podmiotu. Organ nie ma uprawnień do zmiany zakresu tak sformułowanego podania. Wobec powyższego uznać należy, że Prezes UODO korespondencję dla skarżącego prawidłowo kierował za pośrednictwem poczty tradycyjnej zgodnie ze wskazanym przez uczestników postępowania adresem. Dodatkowo podany przez ich adres jest również zgodny
z informacją z tablicy informacyjnej o monitoringu, o której mowa w zaskarżonej decyzji.
Nie doszło tym samym do naruszenia ww. przepisów kpa - korespondencja kierowana przez Prezes UODO do skarżącego była kierowana na poprawnie wskazany adres strony postępowania.
Korespondencja w zakresie wezwania do ustosunkowania się do treści skargi uczestników postępowania i złożenia wyjaśnień w sprawie była kierowana do skarżącego dwukrotnie, tj. 23 stycznia 2024 r. i 21 marca 2024 r. - wobec czego prawidłowo organ uznał, że nie naruszył zasady informowania stron, o której mowa
w art 9 kpa. Prezes UODO zapewnił więc dla skarżącego czynny udział w każdym stadium postępowania. Co również istotne - Prezes UODO przed wydaniem decyzji umożliwił skarżącemu wypowiedzenie się co do zebranych dowodów oraz zgłoszonych żądań - korespondencja w tym zakresie była bowiem do niego kierowana 22 maja 2024 r. Dlatego też nie można uznać, że naruszono zasadę czynnego udziału strony
w postępowaniu, o której mowa w art. 10 § 1 kpa.
Zgodnie z art. 44 § 1 kpa w razie niemożności doręczenia pisma w sposób wskazany w art. 42 i art. 43: 1) operator pocztowy w rozumieniu ustawy z dnia 23 listopada 2012 r. - Prawo pocztowe przechowuje pismo przez okres 14 dni w swojej placówce pocztowej - w przypadku doręczania pisma przez operatora pocztowego.
W myśl art. 44 § 2 kpa zawiadomienie o pozostawieniu pisma wraz z informacją
o możliwości jego odbioru w terminie siedmiu dni, licząc od dnia pozostawienia zawiadomienia w miejscu określonym w § 1, umieszcza się w oddawczej skrzynce pocztowej lub, gdy nie jest to możliwe, na drzwiach mieszkania adresata, jego biura lub innego pomieszczenia, w którym adresat wykonuje swoje czynności zawodowe, bądź
w widocznym miejscu przy wejściu na posesję adresata. W przypadku niepodjęcia przesyłki w terminie, o którym mowa w § 2, pozostawia się powtórne zawiadomienie
o możliwości odbioru przesyłki w terminie nie dłuższym niż czternaście dni od daty pierwszego zawiadomienia (art. 44 § 3 kpa). W myśl art. 44 § 4 kpa doręczenie uważa się za dokonane z upływem ostatniego dnia okresu, o którym mowa w § 1,
a pismo pozostawia się w aktach sprawy.
Odnosząc się więc do zarzutu skarżącego w zakresie niedoręczenia mu pism Prezesa UODO z 23 stycznia 2024 r. i 21 marca 2024 r. oraz przyjęcia fikcji ich doręczenia wskazać należy, że z korespondencji, która wróciła do organu jednoznacznie wynika, że ww. korespondencja była awizowana. Pismo Prezesa UODO z 23 stycznia 2024 r. zostało zwrócone przez Pocztę z adnotacją na kopercie: "ZWROT nie podjęto w terminie", opatrzoną pieczęcią Urzędu Pocztowego [...] i datą 9 lutego 2024 r. Na kopercie znajdują się adnotacje o awizowaniu ww. pisma 25 stycznia 2024 r. i powtórnym awizowaniu 2 lutego 2024 r. W związku z powyższym doręczenie dla skarżącego ww. pisma Prezesa UODO słusznie uznano za dokonane z upływem 8 lutego 2024 r., a zwróconą korespondencję pozostawiono w aktach sprawy. Natomiast pismo Prezesa UODO z 21 marca 2024 r. zostało zwrócone przez Pocztę z adnotacją na kopercie: "ZWROT nie podjęto w terminie", opatrzoną pieczęcią Urzędu Pocztowego [...] datą 9 kwietnia 2024 r. Na kopercie znajdują się adnotacje o awizowaniu ww. pisma 25 marca 2024 r. i powtórnym awizowaniu 3 kwietnia 2024 r. W związku
z powyższym doręczenie dla skarżącego ww. pisma Prezesa UODO prawidłowo uznano za dokonane z upływem 8 kwietnia 2024 r. i zwróconą korespondencję również pozostawiono w aktach sprawy. Prezes UODO nie miał więc jakichkolwiek podstaw do uznania, że nie zostały spełnione przesłanki uprawniające go do przyjęcia fikcji doręczenia.
Zgodzić się należy z organem, że w sytuacji zaistnienia przesłanek pozwalających przyjąć fikcję doręczenia, Prezes UODO nie musiał podejmować kolejnych prób kontaktu ze skarżącym w inny sposób - zwłaszcza w sytuacji gdy dwukrotnie kierowana przez niego korespondencja została zwrócona przez Pocztę
z adnotacją o jej niepodjęciu w terminie, a więc bez informacji mogących świadczyć np. o błędnym lub nieaktualnym adresie. Jak zaś wyjaśnił organ w odpowiedzi na skargę,
w niniejszym postępowaniu dysponował jedynie adresem poczty tradycyjnej skarżącego - adres skrzynki epuap skarżącego nie był zaś częścią akt dostępnych w sprawie zakończonej zaskarżoną decyzją. Tym samym bezzasadny jest podnoszony przez skarżącego zarzut naruszenia art. 39 § 2 kpa.
Odnosząc się z kolei do zarzutu skarżącego dotyczącego naruszenia przez Prezesa UODO przepisów postępowania administracyjnego w zakresie art. 7, art. 77
i art. 80 kpa w zw. z art. 7 ust. 1 u.o.d.o. wskazać należy, że również nie zasługują one na uwzględnienie. Organ prowadząc postępowanie w niniejszej sprawie przedsięwziął wystarczające przewidziane prawem czynności służące wnikliwemu i rzetelnemu ustaleniu okoliczności faktycznych przedmiotowej sprawy i zebraniu materiału dowodowego potrzebnego do rozstrzygnięcia jej decyzją administracyjną. W celu zweryfikowania zarzutów uczestników postępowania względem skarżącego, korzystając z instrumentów prawnych określonych w art. 58 ust. 1 lit. a i e rozporządzenia 2016/679, dwukrotnie zwracał się do skarżącego o złożenie pisemnych wyjaśnień
w sprawie oraz potwierdzających je dowodów. Skarżący nie skorzystał zaś z prawa do czynnego udziału w postępowaniu, nie odpowiadając na wezwania organu do złożenia wyjaśnień w sprawie. W takiej sytuacji, gdy skarżący nie złożył wyjaśnień i nie przedstawił na etapie postępowania administracyjnego dowodów potwierdzających istnienie przesłanki uprawniającej go do przetwarzania spornych danych osobowych, organ był uprawniony do dokonania ustaleń faktycznych w oparciu o materiał dowodowy dostarczony przez uczestników postępowania.
Z art. 7 i art. 77 § 1 kpa wynika wprawdzie, że obowiązek wyczerpującego zbadania i rozpatrzenia całego materiału dowodowego ciąży na organie prowadzącym postępowanie administracyjne. Nie znaczy to jednak, że strona jest zwolniona od współudziału w realizacji tego obowiązku, zwłaszcza że nieudowodnienie określonej okoliczności faktycznej może prowadzić do rezultatów niekorzystnych dla strony. Po wyczerpaniu możliwości dokonania niezbędnych dla podjęcia rozstrzygnięcia ustaleń faktycznych organ prowadzący postępowanie jest uprawniony, a nawet zobowiązany do przyjęcia takiej wersji zdarzeń, która odpowiada logicznie pozostałemu materiałowi dowodowemu.
Podkreślić należy, że na administratorze i podmiocie przetwarzającym spoczywa stosownie do postanowień art. 31 rozporządzenia 2016/679 obowiązek dostarczenia wszelkich informacji potrzebnych organowi nadzorczemu do realizacji swoich zadań. Podmioty te powinny zatem współpracować z organem i udzielać wyczerpujących wyjaśnień na wezwanie organu, realizującego swe zadania zgodnie z art. 58 ust. 1 lit. a i e rozporządzenia 2016/679. Zapewnienie skutecznego stosowania przepisów
o ochronie danych osobowych wymaga wdrożenia i stosowania procedur zapewniających rozliczalność danych osobowych. Rozporządzenie RODO nie przesądza przy tym, jak administrator powinien realizować obowiązki z niego wynikające, niemniej jednak wskazuje na konieczność rozliczania się z przestrzegania przepisów, raportowania ich realizacji oraz przedstawiania dowodów świadczących
o prawidłowym wykonywaniu obowiązków. Zasada rozliczalności zobowiązuje zatem administratorów danych osobowych do przetwarzania danych w taki sposób, aby możliwe było wykazanie zgodności podejmowanych działań z obowiązkami ochrony danych osobowych. W świetle ww. zasady to administrator danych odpowiada za opracowanie, aktualizowanie i utrzymywanie wszystkich procedur i dokumentów związanych z ochroną informacji, a także za stworzenie możliwości dowodowych wykazujących zgodność przetwarzania z przepisami.
Stosownie do uregulowanej w art. 5 ust. 2 rozporządzenia 2016/679, zasady rozliczalności, to na administratorze ciążył obowiązek wykazania, że proces przetwarzania danych osobowych uczestników postępowania, prowadzony był zgodnie z prawem. Podzielić należy przywołany przez organ pogląd, zgodnie z którym stwierdzenie, że administrator powinien być w stanie wykazać przestrzeganie zasad, odczytywać można jako nałożenie na administratora ciężaru dowodowego w zakresie przestrzegania zasad przetwarzania danych. W razie sporu z osobą, której dane dotyczą, albo z organem nadzorczym, administrator powinien być w stanie przedstawić dowody na to, że przestrzega zasad.
W konsekwencji wobec braku współpracy skarżącego z organem w związku
z brakiem odpowiedzi na jego pisma z 23 stycznia 2023 r. i 21 marca 2024 r. oraz wobec skutecznego doręczenia tych pism w trybie fikcji doręczenia - Prezes UODO był uprawniony do dokonania ustaleń faktycznych w oparciu materiał dowodowy i skargę uczestników postępowania. Podkreślenia wymaga, że oświadczenia stron postępowania stanowią dowód równoprawny innym dowodom. Dowód taki podlega zatem swobodnej ocenie organu prowadzącego postępowanie administracyjne. Dodać przy tym należy, że dokonanie odmiennej od prezentowanej przez stronę skarżącą oceny dowodów nie stanowi samo w sobie o wadliwości rozstrzygnięcia organu.
Tym samym, za całkowicie niezasadny należy uznać również zarzut skarżącego dotyczący naruszenia przez Prezesa UODO przepisów prawa materialnego, tj. art. 12 ust. 2, art. 13 ust. 1 lit. b-f, art. 13 ust. 2, art. 15 ust. 1 i 3 oraz art. 58 ust. 2 lit b oraz c RODO. Zebrany przez Prezesa UODO materiał dowodowy wykazał, że zasięg zastosowanego przez skarżącego systemu monitoringu wykracza poza obszar działki
i segmentu przez niego użytkowanych. Materiał dowodowy wykazał również, że przetwarzane są dane osobowe uczestników postępowania, w tym ich wizerunek, za pomocą ww. systemu monitoringu, obejmującego nieruchomość uczestników postępowania, od strony ogrodu, oraz część ulicy i pasa drogowego, a także podjazd do garażu położonego na ww. nieruchomości od strony ulicy. W związku z powyższym podnoszony przez skarżącego wyjątek, że zastosowany przez niego monitoring jest czynnością o czysto osobistym lub domowym charakterze, do którego nie stosuje się przepisów rozporządzenia RODO (art. 2 ust. 2 lit. c ww. rozporządzenia) - nie mógł znaleźć zastosowania. Prezes UODO prawidłowo uznał skarżącego za administratora danych osobowych uczestników postępowania oraz wydał prawidłowe rozstrzygnięcie.
Biorąc powyższe pod uwagę należy stwierdzić, że zaskarżona decyzja administracyjna Prezesa UODO z [...] listopada 2024 r. została wydana w oparciu
o wystarczający materiał dowodowy, pozyskany w wyniku postępowania administracyjnego przeprowadzonego zgodnie z zasadami określonymi w Kodeksie postępowania administracyjnego.
Wypada jeszcze na koniec wyjaśnić, że Sąd oddalił wnioski dowodowe zawarte w skardze na podstawie art. 106 § 3 p.p.s.a. bowiem ich przeprowadzenie nie było niezbędne do wyjaśnienia istotnych wątpliwości w sprawie.
Skoro zaś zatem wszystkie podniesione przez skarżącego zarzuty okazały się chybione oraz brak jest podstaw do uznania, że organ dopuścił się innych naruszeń prawa, które mogłyby stanowić o uchyleniu albo stwierdzeniu nieważności zaskarżonej decyzji, Wojewódzki Sąd Administracyjny w Warszawie, na podstawie art. 151 p.p.s.a., orzekł jak w sentencji.