II SA/WA 176/24

Wojewódzki Sąd Administracyjny w WarszawieWarszawa2024-08-21

NSAAdministracyjnewsa

ochrona danych osobowychRODOmonitoring wizyjnyprzetwarzanie danychteren publicznysłużebność drogiinteres prawnyminimalizacja danychsąd administracyjny

Podsumowanie

Przejdź do pełnego tekstu

WSA w Warszawie oddalił skargę na decyzję GIODO nakazującą zaprzestanie monitorowania terenu publicznego, uznając, że monitoring obejmujący drogę dojazdową poza posesją narusza RODO.

Skarżący kwestionowali decyzję Prezesa UODO nakazującą zaprzestanie przetwarzania danych osobowych M.M. pochodzących z monitoringu wizyjnego, który obejmował część drogi publicznej przed ich posesją. Skarżący argumentowali, że monitoring służy celom domowym i osobistym oraz ochronie mienia, a droga ta jest prywatna. Sąd administracyjny uznał, że monitoring obejmujący przestrzeń publiczną, nawet jeśli jest to droga dojazdowa, nie stanowi czynności o czysto osobistym lub domowym charakterze i narusza zasadę minimalizacji danych oraz inne przepisy RODO, dlatego skargę oddalono.

Wojewódzki Sąd Administracyjny w Warszawie rozpatrzył skargę D.R.-Ł. i M.Ł. na decyzję Prezesa Urzędu Ochrony Danych Osobowych, która nakazała im zaprzestanie przetwarzania danych osobowych M.M. pochodzących z monitoringu wizyjnego obejmującego część drogi usytuowanej przed ich posesją i wjazdem na posesję. Skarżący twierdzili, że monitoring służy wyłącznie celom domowym i osobistym, ochronie ich mienia oraz bezpieczeństwa, a rejestrowany fragment drogi jest prywatny i stanowi dojazd do ich nieruchomości. Prezes UODO uznał jednak, że rejestrowanie terenu publicznego, jakim jest droga dojazdowa, stanowi przetwarzanie danych osobowych bez podstawy prawnej i narusza zasadę minimalizacji danych (art. 5 ust. 1 lit. c RODO). Sąd administracyjny, opierając się na orzecznictwie TSUE (m.in. sprawa C-212/13), potwierdził, że monitoring obejmujący przestrzeń publiczną nie może być traktowany jako czynność o czysto osobistym lub domowym charakterze, nawet jeśli służy ochronie mienia. Sąd podkreślił, że prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO) musi być realny i bieżący, a skarżący nie wykazali takich okoliczności. Ponadto, monitoring wizyjny jest środkiem inwazyjnym, który powinien być stosowany tylko wtedy, gdy inne, mniej inwazyjne środki zawiodą. W związku z tym, sąd uznał decyzję Prezesa UODO za prawidłową i oddalił skargę.

Asystent AI do analizy prawnej

Przeanalizuj tę sprawę w kontekście orzecznictwa, przepisów i doktryny. Uzyskaj pogłębioną analizę, projekt pisma lub odpowiedź na pytanie prawne.

Analiza orzecznictwa Badanie przepisów Odpowiedzi na pytania Drafting pism

Wypróbuj Asystenta AI

Zagadnienia prawne (3)

Odpowiedź sądu

Nie, monitoring obejmujący przestrzeń publiczną, nawet jeśli jest to droga dojazdowa do prywatnej posesji, nie stanowi czynności o czysto osobistym lub domowym charakterze i podlega przepisom RODO.

Uzasadnienie

Sąd powołał się na orzecznictwo TSUE, zgodnie z którym monitoring rozciągający się na przestrzeń publiczną nie jest czynnością osobistą lub domową. Podkreślono, że droga dojazdowa, nawet prywatna, jeśli jest ogólnodostępna, stanowi przestrzeń publiczną, a jej monitorowanie narusza zasadę minimalizacji danych i inne przepisy RODO.

Przepisy (477)

Główne

p.p.s.a. art. 151

Ustawa z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi

Pomocnicze

k.p.a. art. 104 § 1

Ustawa z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego

u.o.d.o. art. 7 § 1

Ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych

RODO art. 6 § 1

Rozporządzenie Parlamentu Europejskiego i Rady UE 2016/679 z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych)

RODO art. 58 § 2

RODO art. 4 § 2

RODO art. 2 § 2

RODO art. 5 § 1

RODO art. 58 § 2

RODO art. 2 § 2

RODO art. 5 § 1

RODO art. 6 § 1

RODO art. 5 § 1

RODO art. 5 § 2

RODO art. 6 § 1

RODO art. 5 § 1

RODO art. 6 § 1

RODO art. 58 § 2

RODO art. 2 § 2

RODO art. 5 § 1

RODO art. 6 § 1

RODO art. 5 § 1

RODO art. 6 § 1

RODO art. 5 § 1

RODO art. 6 § 1

RODO art. 5 § 1

RODO art. 6 § 1

RODO art. 5 § 1

RODO art. 6 § 1

RODO art. 5 § 1

RODO art. 6 § 1

RODO art. 5 § 1

RODO art. 6 § 1

RODO art. 5 § 1

RODO art. 6 § 1

RODO art. 5 § 1

RODO art. 6 § 1

RODO art. 5 § 1

RODO art. 6 § 1

RODO art. 5 § 1

RODO art. 6 § 1

RODO art. 5 § 1

RODO art. 6 § 1

RODO art. 5 § 1

RODO art. 6 § 1

RODO art. 5 § 1

RODO art. 6 § 1

RODO art. 5 § 1

RODO art. 6 § 1

RODO art. 5 § 1

RODO art. 6 § 1

RODO art. 5 § 1

RODO art. 6 § 1

RODO art. 5 § 1

RODO art. 6 § 1

RODO art. 5 § 1

RODO art. 6 § 1

RODO art. 5 § 1

RODO art. 6 § 1

RODO art. 5 § 1

RODO art. 6 § 1

RODO art. 5 § 1

RODO art. 6 § 1

RODO art. 5 § 1

RODO art. 6 § 1

RODO art. 5 § 1

RODO art. 6 § 1

RODO art. 5 § 1

RODO art. 6 § 1

RODO art. 5 § 1

RODO art. 6 § 1

RODO art. 5 § 1

RODO art. 6 § 1

RODO art. 5 § 1

RODO art. 6 § 1

RODO art. 5 § 1

RODO art. 6 § 1

RODO art. 5 § 1

RODO art. 6 § 1

RODO art. 5 § 1

RODO art. 6 § 1

RODO art. 5 § 1

RODO art. 6 § 1

RODO art. 5 § 1

RODO art. 6 § 1

RODO art. 5 § 1

RODO art. 6 § 1

RODO art. 5 § 1

RODO art. 6 § 1

RODO art. 5 § 1

RODO art. 6 § 1

RODO art. 5 § 1

RODO art. 6 § 1

RODO art. 5 § 1

RODO art. 6 § 1

RODO art. 5 § 1

RODO art. 6 § 1

RODO art. 5 § 1

RODO art. 6 § 1

RODO art. 5 § 1

RODO art. 6 § 1

RODO art. 5 § 1

RODO art. 6 § 1

RODO art. 5 § 1

RODO art. 6 § 1

RODO art. 5 § 1

RODO art. 6 § 1

RODO art. 5 § 1

RODO art. 6 § 1

RODO art. 5 § 1

RODO art. 6 § 1

RODO art. 5 § 1

RODO art. 6 § 1

RODO art. 5 § 1

RODO art. 6 § 1

RODO art. 5 § 1

RODO art. 6 § 1

RODO art. 5 § 1

RODO art. 6 § 1

RODO art. 5 § 1

RODO art. 6 § 1

RODO art. 5 § 1

RODO art. 6 § 1

RODO art. 5 § 1

RODO art. 6 § 1

RODO art. 5 § 1

RODO art. 6 § 1

RODO art. 5 § 1

RODO art. 6 § 1

RODO art. 5 § 1

RODO art. 6 § 1

RODO art. 5 § 1

RODO art. 6 § 1

RODO art. 5 § 1

RODO art. 6 § 1

RODO art. 5 § 1

RODO art. 6 § 1

RODO art. 5 § 1

RODO art. 6 § 1

RODO art. 5 § 1

RODO art. 6 § 1

RODO art. 5 § 1

RODO art. 6 § 1

RODO art. 5 § 1

RODO art. 6 § 1

RODO art. 5 § 1

RODO art. 6 § 1

RODO art. 5 § 1

RODO art. 6 § 1

RODO art. 5 § 1

RODO art. 6 § 1

RODO art. 5 § 1

RODO art. 6 § 1

RODO art. 5 § 1

RODO art. 6 § 1

RODO art. 5 § 1

RODO art. 6 § 1

RODO art. 5 § 1

RODO art. 6 § 1

RODO art. 5 § 1

RODO art. 6 § 1

RODO art. 5 § 1

RODO art. 6 § 1

RODO art. 5 § 1

RODO art. 6 § 1

RODO art. 5 § 1

RODO art. 6 § 1

RODO art. 5 § 1

RODO art. 6 § 1

RODO art. 5 § 1

RODO art. 6 § 1

RODO art. 5 § 1

RODO art. 6 § 1

RODO art. 5 § 1

RODO art. 6 § 1

RODO art. 5 § 1

RODO art. 6 § 1

RODO art. 5 § 1

RODO art. 6 § 1

RODO art. 5 § 1

RODO art. 6 § 1

RODO art. 5 § 1

RODO art. 6 § 1

RODO art. 5 § 1

RODO art. 6 § 1

RODO art. 5 § 1

RODO art. 6 § 1

RODO art. 5 § 1

RODO art. 6 § 1

RODO art. 5 § 1

RODO art. 6 § 1

RODO art. 5 § 1

RODO art. 6 § 1

RODO art. 5 § 1

RODO art. 6 § 1

RODO art. 5 § 1

RODO art. 6 § 1

RODO art. 5 § 1

RODO art. 6 § 1

RODO art. 5 § 1

RODO art. 6 § 1

RODO art. 5 § 1

RODO art. 6 § 1

RODO art. 5 § 1

RODO art. 6 § 1

RODO art. 5 § 1

RODO art. 6 § 1

RODO art. 5 § 1

RODO art. 6 § 1

RODO art. 5 § 1

RODO art. 6 § 1

RODO art. 5 § 1

RODO art. 6 § 1

RODO art. 5 § 1

RODO art. 6 § 1

RODO art. 5 § 1

RODO art. 6 § 1

RODO art. 5 § 1

RODO art. 6 § 1

RODO art. 5 § 1

RODO art. 6 § 1

RODO art. 5 § 1

RODO art. 6 § 1

RODO art. 5 § 1

RODO art. 6 § 1

RODO art. 5 § 1

RODO art. 6 § 1

RODO art. 5 § 1

RODO art. 6 § 1

RODO art. 5 § 1

RODO art. 6 § 1

RODO art. 5 § 1

RODO art. 6 § 1

RODO art. 5 § 1

RODO art. 6 § 1

RODO art. 5 § 1

RODO art. 6 § 1

RODO art. 5 § 1

RODO art. 6 § 1

RODO art. 5 § 1

RODO art. 6 § 1

RODO art. 5 § 1

RODO art. 6 § 1

RODO art. 5 § 1

RODO art. 6 § 1

RODO art. 5 § 1

RODO art. 6 § 1

RODO art. 5 § 1

Rozporządzenie Parlamentu Europejskiego i Rady UE 2016/679 z 27 kwietnia 201

Skład orzekający

Anna Pośpiech-Kłak

sprawozdawca

Ewa Radziszewska-Krupa

członek

Karolina Kisielewicz-Sierakowska

przewodniczący

Asystent AI dla prawników

Twój asystent do analizy prawnej

Zadaj pytanie prawne, zleć analizę orzecznictwa i przepisów, lub poproś o projekt pisma — AI przeszuka ponad 1,4 mln orzeczeń i aktualne akty prawne.

Analiza orzecznictwa i przepisów

Drafting pism i dokumentów

Odpowiedzi na pytania prawne

Pogłębiona analiza z doktryny

Wypróbuj Asystenta AI za darmo

Powiązane tematy

ochrona danych osobowych RODO monitoring wizyjny przetwarzanie danych teren publiczny służebność drogi interes prawny minimalizacja danych sąd administracyjny

Pełny tekst orzeczenia

Oryginał, niezmieniony

II SA/Wa 176/24 - Wyrok WSA w Warszawie
Data orzeczenia
2024-08-21
orzeczenie prawomocne
Data wpływu
2024-02-05
Sąd
Wojewódzki Sąd Administracyjny w Warszawie
Sędziowie
Anna Pośpiech-Kłak /sprawozdawca/
Ewa Radziszewska-Krupa
Karolina Kisielewicz-Sierakowska /przewodniczący/
Symbol z opisem
647 Sprawy związane z ochroną danych osobowych
Hasła tematyczne
Ochrona danych osobowych
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Oddalono skargę
Powołane przepisy
Dz.U. 2024 poz 935
art. 151
Ustawa z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (t. j.)
Sentencja
Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Karolina Kisielewicz-Sierakowska, Sędzia WSA Ewa Radziszewska-Krupa, Asesor WSA Anna Pośpiech-Kłak (spr.), Protokolant starszy referent Agnieszka Fidor po rozpoznaniu na rozprawie w dniu 21 sierpnia 2024 r. sprawy ze skargi D.R.-Ł. i M. Ł. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] listopada 2023 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę
Uzasadnienie
Prezes Urzędu Ochrony Danych Osobowych decyzją z dnia [...] listopada 2023 r. nr [...] na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz.U. z 2023 r. poz. 775 ze zm.), zw. dalej "k.p.a.", w zw. z art. 7 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz.U. z 2019 r. poz. 1781), art. 6 ust. 1 oraz art. 58 ust. 2 lit. c rozporządzenia Parlamentu Europejskiego i Rady UE 2016/679 z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 4.05.2016, str. 1, Dz. Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35), zw. dalej "RODO", nakazał M. L. oraz D. L. zaprzestanie przetwarzania danych osobowych M. M. pochodzących z nagrań z monitoringu wizyjnego wykraczającego poza granice należącej do nich nieruchomości, tj. części drogi usytuowanej przed ich posesją i wjazdem na posesję, wobec ich przetwarzania bez podstawy prawnej, w tym usunięcie już zgromadzonych nagrań.
Rozstrzygnięcie to zostało podjęte w następującym stanie faktycznym i prawnym sprawy:
W dniu 17 listopada 2020 r. do Urzędu Ochrony Danych Osobowych wpłynęła skarga M. M., zw. dalej "uczestniczką", na nieprawidłowości w procesie przetwarzania jej danych osobowych przez M. L. oraz D. L., zw. dalej "skarżącymi", polegające na przetwarzaniu danych osobowych uczestniczki za pomocą monitoringu wizyjnego bez podstawy prawnej.
W odpowiedzi na tę skargę skarżący wskazali, że monitoring wizyjny nie był i nie jest związany z przetwarzaniem danych osobowych. Nie doszło do utrwalania wizerunków osób, poza osobami zamieszkującymi na terenie posesji. Uzasadnionym interesem stosowania monitoringu domu poprzez sześć kamer jest ochrona osób i mienia. Dom położony jest w lesie, w nieoświetlonej okolicy na obrzeżach miasta. Fragmentarycznie obraz dwóch kamer obejmuje część drogi i lasu bezpośrednio przylegających do nieruchomości. Kamery nie rejestrują nieruchomości, w której mieszka uczestniczka. System monitoringu działa w ten sposób, że obraz kamer "nadpisuje się" na dysku, a jego ograniczona pojemność sprawia, że można cofnąć się tylko kilka dni wstecz i obraz jest automatycznie trwale usuwany. Nie rejestruje dźwięku oraz nie posiada funkcji kamer PTZ (obrotowych). Oznacza to, że nie można w sposób automatyczny zmienić obszaru kamerowania ani kąta widzenia, a także nie można przybliżyć obrazu. By zmienić pozycję kamery należy w sposób ręczny odkręcić śruby i przestawić uchwyt. Rejestracja obrazu odbywa się w czasie rzeczywistym. Nadmienili, że pomiędzy nimi a uczestniczką istnieje spór w zakresie obszaru rejestracji kamery nr 4. Obraz tej kamery wcześniej rejestrował tuje posadzone w granicy między sąsiadami, natomiast obecnie rejestruje płot znajdujący się na granicy nieruchomości.
Skarżący podkreślili, że w trosce o bezpieczeństwo swoje, swojego małoletniego syna oraz swojego mienia przetwarzają dane osobowe w postaci obrazu z kamer obejmujących ich własną nieruchomość oraz w niewielkim zakresie otoczenie tej nieruchomości, co czynią w celach czysto domowych i osobistych, względnie na podstawie art. 6 ust. 1 lit. f RODO, gdzie prawnie uzasadnionym interesem jest bezpieczeństwo osób i mienia. Uzasadnieniem dla objęcia monitoringiem fragmentów otoczenia jest położenie nieruchomości na skraju lasu, jako ostatniego w ciągu nieruchomości, a także wynika z technicznego uwarunkowania sprzętu, które obejmują swoim zasięgiem określony kadr. Droga nie jest zlokalizowana w centrum miasta, a stanowi dojazd drogą nieutwardzoną do 4 domów (w tym uczestniczki) położonych na skraju lasu. Niewielki odcinek drogi widoczny w obrazie monitoringu obejmuje tylko jej fragment położony bezpośrednio przy nieruchomości skarżących. Na ich nieruchomości usytuowana jest tablica informacyjna, wraz z klauzulą informacyjną z treści której wynika, że teren jest monitorowany. Podkreślono, że między stronami niniejszego postępowania zawisł spór przed sądem cywilnym. Na potrzeby tego postępowania sporządzona została opinia biegłego sądowego z której wynika "To, że z różnych pozycji osoby stojącej na posesji powodów widać soczewkę obiektywu a dokładnie tylko jej przednią wierzchnią część nie oznacza, że kamera widzi też tą osobę, ponieważ strumień rejestracji obrazu jest na środku i w osi tej soczewki a nie dookoła. Mając na uwadze parametry rejestracji obrazu oraz wielkość obszaru okna w stosunku do całego kadru należy podkreślić, że jest ona na tyle nieznaczna, że nie można by w pełni widzieć i rozpoznać osoby lub przedmioty znajdujące się za oknem na posesji powodów. Rozdzielczość tego małego obszaru powodowałaby tylko zarysy postaci i to też tylko i wyłącznie przy sprzyjających warunkach oświetleniowych. W ciągu dnia, gdy natężenie światła na zewnątrz jest dużo większe od tego wewnątrz budynku całkowicie uniemożliwia to podgląd czegokolwiek w domu widać jedynie obrys okna".
W toku postępowania administracyjnego, Prezes UODO ustalił, że monitoring skarżących rejestruje także obraz obejmujący teren publiczny (część drogi usytuowanej bezpośrednio przed ich posesją i wjazdem na tę posesję). W związku z tym, w ocenie Prezesa UODO, dochodzi do przetwarzania przez skarżących danych osobowych osób trzecich, w tym danych osobowych uczestniczki, której posesja sąsiaduje z posesją skarżących.
Mając zatem na względzie treść art. 4 pkt 2 RODO, który reguluje pojęcie "przetwarzania", tj. operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, taką jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie - Prezes UODO stwierdził, że monitoring wizyjny stanowi formę przetwarzania danych osobowych. Jednak aby przetwarzanie danych osobowych było zgodne z prawem, administrator zobowiązany jest przetwarzać dane osobowe na podstawie co najmniej jednej z przesłanek określonych w art. 6 ust. 1 RODO m.in. gdy jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą jest dzieckiem (art. 6 ust. 1 lit. f RODO).
Zdaniem Prezesa UODO skarżący nie umotywowali wystarczająco, aby przetwarzanie danych uzyskanych za pomocą prowadzonego monitoringu przestrzeni innej, niż należąca do nich nieruchomość było uzasadnione. W złożonych przed Prezesem UODO wyjaśnieniach skarżący wskazali, że kamery zamieszczone zostały w celu zapewnienia poczucia bezpieczeństwa, ochrony osób i mienia. Jednak nie wykazali, aby na terenie ich nieruchomości, bądź tuż przed tą nieruchomością (ich posesją) miały miejsce sytuacje niebezpieczne - zagrażające ich bezpieczeństwu, czy mieniu, a prowadzony przez nich monitoring miał lub ma zapewnić ochronę przed kolejnymi takimi zdarzeniami.
W ocenie Prezesa UODO, rejestrowanie za pomocą monitoringu terenu publicznego, tj. części drogi usytułowanej bezpośrednio przed posesją skarżących i wjazdem na posesję, nie można uznać za umocowane w żadnej z przesłanek określonych w art. 6 ust. 1 RODO, w tym nie nie może zostać uznane za uzasadnione prawnie usprawiedliwionymi interesami skarżących art. 6 ust. 1 lit. f RODO. Ponadto proces przetwarzania danych osobowych musi być zgodny z zasadami ustanowionymi w art. 5 ust. 1 RODO m.in. zasadą minimalizacji danych (lit. c) w świetle której proces przetwarzania danych osobowych winien być adekwatny oraz ograniczony do celów, w których są przetwarzane. Przed zainstalowaniem monitoringu wizyjnego administrator powinien zawsze krytycznie ocenić czy środek ten jest odpowiedni do osiągnięcia pożądanego celu, a po drugie odpowiedni i niezbędny do jego celów. Środki polegające na zastosowaniu monitoringu wizyjnego należy wybierać wyłącznie w przypadku gdy cel przetwarzania nie mógł zostać osiągnięty za pomocą innych środków, które są mniej inwazyjne w stosunku do podstawowych praw i wolności osoby, której dane dotyczą.
W świetle powyższego Prezes UODO stwierdził, że przetwarzanie przez skarżących danych pochodzących z monitoringu wizyjnego, wykraczającego poza granice należącej do nich nieruchomości, naruszają art. 5 ust. 1 lit. c RODO.
Wykonywany przez skarżących monitoring wizyjny tej części przestrzeni, która nie stanowi ich własności, jak też nie posiadają do niego innego tytułu prawnego (np. prawa do wyłącznego użytkowania), nie jest odpowiedni i niezbędny do osiągnięcia wskazanego przez nich celu zapewnienia bezpieczeństwa i ochrony. Konieczność korzystania z monitoringu wizyjnego w celu ochrony nieruchomości ustaje wzdłuż granic wyznaczających teren ich nieruchomości. Tym samym dla zapewnienia bezpieczeństwa, ochrony mienia skarżący nadal mogą monitorować należący do nich teren, jednak zasięg ich kamer obejmować może jedynie granice należącej do nich nieruchomości. Dopiero tak dostosowany zasięg monitoringu, z pominięciem monitorowania terenu publicznego, tj. części drogi usytułowanej bezpośrednio przed posesją skarżących jak i wjazdem na tę posesję, będzie korzystać ze zwolnienia ujętego w art. 2 ust. 2 lit. c RODO.
Mając powyższe na względzie, Prezes UODO stwierdził zaistnienie przesłanki z art. 58 ust. 2 lit. c RODO przez co nakazał skarżącym zaprzestanie przetwarzania danych osobowych uczestniczki pochodzących z nagrań z monitoringu wizyjnego wykraczającego poza granice ich nieruchomości poprzez demontaż kamer, względnie skierowanie ich (w sposób trwały) poza sporny obszar monitorowania.
Skargę na powyższą decyzję wnieśli M. L. i D. L.. Zaskarżając decyzję w całości, zarzucili:
1) naruszenie przepisów postępowania:
- art. 7, art. 77 § 1 i art. 80 k.p.a. polegające na niepoczynieniu przez organ żadnych ustaleń w zakresie statusu drogi objętej monitoringiem przez skarżących i poczynieniu w tym zakresie błędnych ustaleń, że fragment drogi objęty monitoringiem jest drogą publiczną, podczas gdy droga ta jest własnością osób trzecich, niebędących stronami niniejszego postępowania, zaś skarżący uważają, że w zakresie fragmentu drogi objętej monitoringiem nabyli służebność drogi koniecznej poprzez zasiedzenie (w tym przedmiocie toczy się postępowanie sądowe przez Sądem Rejonowym w [...]), które to ustalenia doprowadziły do błędnych wniosków o objęciu monitoringiem terenu publicznego i niezastosowania art. 2 ust. 2 lit. c RODO; organ nie czynił w tym zakresie żadnych ustaleń, zaś skarga uczestniczki dotyczyła innej kamery, co do której nie dopatrzono się naruszenia;
- art. 7, art. 77 § 1 i art. 80 k.p.a. polegające na niewyczerpującym rozpatrzeniu materiału dowodowego oraz na jego dowolnej ocenie przejawiające się uznaniem, że skarżący nie udowodnili, że przetwarzanie danych osobowych za pomocą monitoringu, wykraczające poza przestrzeń ich nieruchomości było uzasadnione albowiem ich nieruchomość położona jest na skraju lasu, a monitoring służy do ochrony życia, mienia i miru domowego, co doprowadziło do uznania przez organ, że skarżący dopuścili się naruszenia przepisów RODO;
2) naruszenie przepisów prawa materialnego:
- art. 2 ust. 2 lit. c RODO poprzez jego niewłaściwą wykładnię i uznanie, że objęcie monitoringiem wizyjnym jedynie nieznacznej części nieruchomości sąsiedniej stanowiącej niezabudowaną własność prywatną wykorzystywaną przez skarżących jako droga dojazdowa do nieruchomości (a nie jako droga publiczna, jak błędnie ustalił organ) nie stanowi przetwarzania danych osobowych w ramach czynności o czysto osobistym lub domowym charakterze;
- art. 6 ust. 1 lit. f RODO poprzez niewłaściwą wykładnię i uznanie, że rejestrowanie za pomocą kamer fragmentu drogi prywatnej w okolicznościach niniejszej sprawy i położenia nieruchomości nie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora, podczas gdy w okolicznościach niniejszej sprawy m.in. z uwagi na położenie nieruchomości na skraju lasu należałoby uznać, że skarżący mają prawo do objęcia monitoringiem fragmentu drogi prywatnej przyległej do ich nieruchomości; organ w ogóle nie przeprowadził wnikliwej analizy przepisów i nie wyjaśnił - czy skarżący nie posiadają w ogóle prawnie uzasadnionego interesu, czy też, czy w niniejszej sprawie podstawowe prawa i wolności podmiotu danych mają charakter nadrzędny wobec prawnie uzasadnionych interesów administratora lub strony trzeciej;
- art. 5 ust. 1 RODO poprzez stwierdzenie, że proces przetwarzania danych osobowych przez skarżących jest niezgodny z zasadami RODO, m.in. zasadą minimalizacji danych.
Wobec powyższych zarzutów wniesiono o uchylenie zaskarżonej decyzji w całości i nakazanie wydania decyzji umarzającej postępowanie wobec tego, że przetwarzanie danych odbywało się wyłącznie w ramach czynności czysto domowym i osobistym charakterze oraz zasądzenie kosztów postępowania według norm przepisanych.
W odpowiedzi na skargę Prezes PUODO, podtrzymując dotychczasową argumentację, wniósł o oddalenie skargi.
Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje.
Skarga nie podlegała uwzględnieniu.
Zaskarżoną decyzją Prezes UODO skorzystał z uprawnień naprawczych przewidzianych w art. 58 ust. 2 lit. d RODO, które stanowią dla organu nadzorczego podstawę do nakazania administratorowi lub podmiotowi przetwarzającemu dostosowania operacji przetwarzania do przepisów rozporządzenia, a w stosownych przypadkach wskazania sposobu i terminu (art. 58 ust. 2 lit. d).
Zgodnie z art. 2 ust. 1 RODO ma ono zastosowanie do przetwarzania danych osobowych w sposób całkowicie lub częściowo zautomatyzowany oraz do przetwarzania w sposób inny niż zautomatyzowany danych osobowych stanowiących część zbioru danych lub mających stanowić część zbioru danych.
"Przetwarzanie", zgodnie z art. 4 pkt 2 RODO oznacza operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, taką jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie. Dane osobowe to w świetle art. 4 pkt 1 RODO wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej ("osobie, której dane dotyczą"); możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora takiego jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej.
Obraz osoby zarejestrowany przez kamerę stanowi dane osobowe w rozumieniu art. 4 pkt 1 RODO jeżeli pozwala na jej zidentyfikowanie bezpośrednio lub pośrednio. Zautomatyzowany monitoring wizyjny określonego obszaru za pomocą środków optycznych lub audiowizualnych umożliwia zbieranie, utrwalenie i przechowywanie informacji związanych z obrazem, dotyczących wszystkich osób wchodzących na obszar monitorowany, które można zidentyfikować na podstawie ich wyglądu lub innych cech szczególnych. Zbieranie i przechowanie informacji o osobach fizycznych, które można bezpośrednio lub pośrednio zidentyfikować na podstawie czynników określających m.in. ich fizyczną tożsamość, stanowi natomiast przetwarzanie danych osobowych.
Nadzór określonego obszaru za pomocą monitoringu wizyjnego polegający - tak jak w przedmiotowej sprawie - na rejestracji obrazu przechowywanego na dysku, następnie nadpisywanego nowym nagraniem po zapełnieniu dostępnego na dysku miejsca, stanowi zautomatyzowane przetwarzanie danych osobowych, o którym mowa w art. 2 ust. 1 RODO (zob. pkt 13 oraz pkt 20 – pkt 25 wyroku Trybunału Sprawiedliwości Unii Europejskiej z 11 grudnia 2014 r. w sprawie C-212/13 František Ryneš – dostępny: https://curia.europa.eu).
Zgodnie jednak z art. 2 ust. 2 lit. c RODO rozporządzenie nie ma zastosowania do przetwarzania danych osobowych przez osobę fizyczną w ramach czynności o czysto osobistym lub domowym charakterze.
Podstawową, sporną w sprawie kwestią było zatem wyjaśnienie, czy przepisy RODO miały zastosowanie do przetwarzania danych osobowych przez skarżących za pomocą monitoringu wizyjnego służącego - jak wywodzą - do ochrony osób i mienia znajdujących się na należącej do nich nieruchomości. Kwestii tej Prezes UODO poświęcił obszerną część uzasadnienia zaskarżonej decyzji, trafnie odwołując się m.in. do wyroku TSUE z 11 grudnia 2014 r. w sprawie C-212/13. Jakkolwiek wyrok ten odnosi się do art. 3 ust. 2 tiret drugie dyrektywy 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych (Dz. U. UE. L. z 1995 r. Nr 281, str. 31 ze zm.), to zachowuje aktualność w obecnym stanie prawnym. Wskazany przepis powołanej dyrektywy zawierał bowiem normę odpowiadającą obecnie obowiązującemu art. 2 ust. 2 lit. c RODO stanowiąc, że niniejsza dyrektywa nie ma zastosowania do przetwarzania danych osobowych przez osobę fizyczną w trakcie czynności o czysto osobistym lub domowym charakterze. W wyroku tym TSUE stwierdził (pkt 35 wyroku, zob. też pkt 13 wyroku), że "(...) art. 3 ust. 2 tiret drugie dyrektywy 95/46 należy interpretować w ten sposób, że wykorzystywanie systemu kamer przechowującego zapis obrazu osób na sprzęcie nagrywającym w sposób ciągły, takim jak dysk twardy, zainstalowanego przez osobę fizyczną na jej domu rodzinnym w celu ochrony własności, zdrowia i życia właścicieli domu, który to system monitoruje również przestrzeń publiczną, nie stanowi przetwarzania danych w trakcie czynności o czysto osobistym lub domowym charakterze w rozumieniu tego przepisu (...)". W ocenie TSUE, w opisanej sytuacji nie zachodzi zatem tzw. wyjątek domowy lub osobisty. Co więcej, TSUE stwierdził (pkt 33 wyroku), że "(...) o ile nadzór kamer wideo (...) rozciąga się choćby częściowo na przestrzeń publiczną i tym samym jest skierowany poza sferę prywatną osoby dokonującej w ten sposób przetwarzania danych, o tyle nie powinien on być rozumiany jako czynność o czysto osobistym lub domowym charakterze w rozumieniu art. 3 ust. 2 tiret drugie dyrektywy 95/46 (...)".
Ze znajdujących się w aktach sprawy zdjęć z monitoringu wizyjnego wynika, że system kamer, którego używają skarżący monitoruje przestrzeń poza należącą do nich nieruchomością. Na zdjęciach tych widoczna jest droga. Słusznie Prezes UODO stwierdził, że droga ta stanowi przestrzeń publiczną w sytuacji gdy stanowi drogę dojazdową do przylegających do niej posesji, na której może znaleźć się każdy, w tym osoby niezwiązane w żaden sposób ze skarżącymi. Nie ma przy tym znaczenia, że droga ta nie została zaliczona do żadnej z kategorii dróg publicznych w rozumieniu ustawy z dnia 21 marca 1985 r. o drogach publicznych zwłaszcza, że stan prawny tej nieruchomości na której znajduje się droga nie został (na dzień orzekania przez Prezesa UODO) prawomocnie przesądzony. Kluczowe jest, że jest to teren publiczny w rozumieniu ogólnej dostępności, na którym mogą przebywać osoby zupełnie postronne. W tej sytuacji dochodzi do przetwarzania przez skarżących danych osobowych osób trzecich, w tym danych osobowych uczestniczki, bowiem droga dojazdowa do nieruchomości skarżących jest jednocześnie drogą dojazdową do nieruchomości uczestniczki. Wobec tego wizerunek uczestniczki jest przetwarzany za pomocą monitoringu wizyjnego zainstalowanego przez skarżących w zakresie w jakim monitoruje teren/przestrzeń poza granicami nieruchomości skarżących. W tej sytuacji za teren publiczny, czy też przestrzeń publiczną, należy uznać każdą część nieruchomości, która użytkowana jest przez inne osoby, nietworzące jednego gospodarstwa domowego, w tym przypadku osoby wspólnie korzystające ze współwłasności nieruchomości lub ich części wydzielonej do indywidualnego korzystania. W wyroku Trybunału Sprawiedliwości Unii Europejskiej z dnia 6 listopada 2003 r., C-101/01, wydanego w sprawie Lindqvist, pkt 47 wskazano, że przyjąć należy wąską interpretację art. 2 ust. 2 lit. c RODO, tzw. wyjątku dla gospodarstw domowych. W kontekście monitoringu wizyjnego tzw. "wyjątek dla gospodarstw domowych" powinien być "interpretowany jako obejmujący wyłącznie działania wchodzące w zakres życia prywatnego lub rodzinnego jednostki". Tym samym nie można też uznać, że zachodzi przesłanka z art. 2 ust. 2 pkt. c RODO uzasadniająca wyłączenie ze stosowania tego rozporządzenia w stosunku do osób fizycznych, które przetwarzają dane w ramach czynności o czysto osobistym lub domowym charakterze, gdyż przetwarzanie danych osobowych uczestniczki nie ma takiego charakteru. Zasięg monitoringu zainstalowanego przez skarżących obejmuje powierzchnię terenu wykraczającego poza ich nieruchomość, wystarczającą do identyfikacji wizerunku osób, które się na niej znajdują, w tym stanowi przestrzeń, na której uczestniczka ma prawo przebywać, a jej dane osobowe w zakresie wizerunku mogą zostać pozyskane przez skarżących w każdym czasie.
Trafnie dostrzeżono w uzasadnieniu zaskarżonej decyzji, że przetwarzanie danych wiąże się z przestrzeganiem zasad określonych w art. 5 RODO, które mają charakter podstawowy w odniesieniu do całej regulacji. Zgodnie z art. 5 ust. 1 lit. a RODO, dane osobowe muszą być przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą ("zgodność z prawem, rzetelność i przejrzystość"). Stosownie z kolei do treści art. 5 ust. 1 lit. b RODO, dane osobowe muszą być zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach i nieprzetwarzane dalej w sposób niezgodny z tymi celami; dalsze przetwarzanie do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych nie jest uznawane w myśl art. 89 ust. 1 za niezgodne z pierwotnymi celami ("ograniczenie celu").
W świetle zaś art. 5 ust. 2 RODO, administrator jest odpowiedzialny za przestrzeganie przepisów ust. 1 i musi być w stanie wykazać ich przestrzeganie ("rozliczalność"). Stwierdzenie to odczytywać należy jako nałożenie na administratora ciężaru dowodu w zakresie przestrzegania zasad przetwarzania danych. W razie sporu z osobą, której dane dotyczą, albo z organem nadzorczym, administrator powinien być więc w stanie przedstawić dowody na to, że przestrzega zasad (por. P. Fajgielski (w:) Komentarz do rozporządzenia nr 2016/679 w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (w:) Ogólne rozporządzenie o ochronie danych. Ustawa o ochronie danych osobowych. Komentarz, wyd. II, Warszawa 2022 r., art. 5).
Warunki uznania przetwarzania danych osobowych za zgodne z prawem określono przede wszystkim w art. 6 ust. 1 RODO, zgodnie z którym, przetwarzanie jest zgodne z prawem wyłącznie gdy spełniony jest co najmniej jeden z poniższych przypadków: a) osoba, której dane dotyczą wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów; b) przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy; c) przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze; d) przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej; e) przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi; f) przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem. Akapit pierwszy lit. f) nie ma zastosowania do przetwarzania, którego dokonują organy publiczne w ramach realizacji swoich zadań.
Stosownie zaś do treści art. 5 ust. 1 lit. a in fine, dane osobowe powinny być przetwarzane "w sposób przejrzysty dla osoby, której dane dotyczą". Oznacza to, że podmiot danych powinien być informowany o przetwarzaniu jego danych, powinien mieć także świadomość typowych konsekwencji, jakie z przetwarzaniem się wiążą. Jak wyjaśniono w motywie 39 rozporządzenia 2016/679 (zd. 2 – zd. 5), dla osób fizycznych powinno być przejrzyste, że dotyczące ich dane osobowe są zbierane, wykorzystywane, przeglądane lub w inny sposób przetwarzane oraz w jakim stopniu te dane osobowe są lub będą przetwarzane. Zasada przejrzystości wymaga, by wszelkie informacje i wszelkie komunikaty związane z przetwarzaniem tych danych osobowych były łatwo dostępne i zrozumiałe oraz sformułowane jasnym i prostym językiem. Zasada ta dotyczy w szczególności informowania osób, których dane dotyczą, o tożsamości administratora i celach przetwarzania oraz innych informacji mających zapewnić rzetelność i przejrzystość przetwarzania w stosunku do osób, których sprawa dotyczy, a także prawa takich osób do uzyskania potwierdzenia i informacji o przetwarzanych danych osobowych ich dotyczących. Osobom fizycznym należy uświadomić ryzyka, zasady, zabezpieczenia i prawa związane z przetwarzaniem danych osobowych oraz sposoby wykonywania praw przysługujących im w związku z takim przetwarzaniem.
W motywie 39 RODO (zd. 6-zd. 9) wskazano również, że konkretne cele przetwarzania danych osobowych powinny być wyraźne, uzasadnione i określone w momencie ich zbierania. Dane osobowe powinny być adekwatne, stosowne i ograniczone do tego, co niezbędne do celów, dla których są one przetwarzane. Wymaga to w szczególności zapewnienia ograniczenia okresu przechowywania danych do ścisłego minimum. Dane osobowe powinny być przetwarzane tylko w przypadkach, gdy celu przetwarzania nie można w rozsądny sposób osiągnąć innymi sposobami.
W świetle art. 6 ust. 1 lit. f RODO przetwarzanie jest zgodne z prawem, jeżeli jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem. Skarżący powołali się na tę przesłankę legalizującą w toku postępowania przed organem nadzorczym. W ocenie skarżących, przetwarzanie danych osobowych jest uzasadnione koniecznością zapewnienia bezpieczeństwa jego i członków jego rodziny oraz posiadanego mienia.
Odnosząc się do tego stanowiska i uwzględniając powołane wyżej brzmienie motywu 39 rozporządzenia 2016/679, należy podzielić stanowisko Europejskiej Rady Ochrony Danych Osobowych wyrażone w wytycznych 3/2019, wedle którego, monitoring wizyjny oparty wyłącznie na podstawie, jaką jest cel "bezpieczeństwa" lub "własnego bezpieczeństwa" nie jest pojęciem wystarczająco konkretnym (art. 5 ust. 1 lit. b RODO), a ponadto jest on sprzeczny z zasadą stanowiącą, że dane osobowe są przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą (art. 5 ust. 1 lit. a RODO).
Prawnie uzasadniony interes musi mieć wymiar realny i stanowić kwestię bieżącą. Zgodnie natomiast z zasadą rozliczalności, administratorzy powinni dokumentować istotne incydenty (datę, sposób, straty finansowe) oraz związane z nimi zarzuty. Takie udokumentowane incydenty mogą stanowić mocne dowody na istnienie prawnie uzasadnionego interesu (tak Europejska Rada Ochrony Danych w wytycznych 3/2019 – str. 10). Same zatem twierdzenia skarżących, że droga nie jest oświetlona, a w okolicy zdarzają się incydenty wandalizmu, czy też włamań, nie są wystarczające dla stwierdzenia w postępowaniu przed organem nadzorczym istnienia prawnie uzasadnionego interesu w przetwarzaniu danych osobowych. Jak również nie pozwalają na stwierdzenie, że w sprawie występuje realny i bieżący, prawnie uzasadniony interes. Stwierdzenia te wymagają potwierdzonych np. przez organy ścigania danych statystycznych wskazujących na duże prawdopodobieństwo wystąpienia w okolicy ataków wandalizmu, czy włamań do posesji. W toku postępowania zakończonego zaskarżoną decyzją, skarżący nie wykazali zatem ani, że prawnie uzasadniony interes, na który się powołali ma wymiar realny, ani że stanowi on kwestię bieżącą.
Należy ponadto zauważyć, że w świetle motywu 47 RODO, aby stwierdzić istnienie prawnie uzasadnionego interesu, należy w każdym przypadku przeprowadzić dokładną ocenę tego, czy w czasie i w kontekście, w którym zbierane są dane osobowe, osoba, której dane dotyczą, ma podstawy do tego by spodziewać się, że może nastąpić przetwarzanie jej danych w tym celu. W tej sytuacji interesy i prawa podstawowe osoby, której dane dotyczą, mogą być nadrzędne wobec interesu administratora danych w szczególności gdy dane osobowe są przetwarzane w sytuacji, w której osoby, których dane dotyczą, nie mają podstaw by spodziewać się dalszego przetwarzania ich danych osobowych.
Tym samym, w okolicznościach przedmiotowej sprawy nie ma podstaw do uznania, że osoby - poruszające się drogą wewnętrzną (dojazdową), stanowiącą przestrzeń publiczną, położoną z dala od centrum miasta - zakładają, że skarżący będą przetwarzali ich dane osobowe w postaci wizerunku za pomocą monitoringu wizyjnego. Wniosek ten dotyczy wszystkich potencjalnych osób, które mogą znaleźć się na tej drodze, w tym uczestniczki postępowania.
Na potwierdzenie powyższego wskazać należy na stanowisko Europejskiej Rady Ochrony Danych wyrażone w wytycznych 3/2019, zgodnie z którym (str. 6), "(...) monitoring wizyjny nie jest domyślnie niezbędny, gdy istnieją inne środki umożliwiające osiągnięcie założonego celu. W przeciwnym razie ryzykujemy zmianę w zakresie norm kulturowych, prowadzącą do zaakceptowania braku prywatności jako warunku startowego (...)". Uwzględniając zatem treść art. 5 ust. 1 lit. c RODO według którego dane osobowe muszą być adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane ("minimalizacja danych"), jak również brzmienie motywu 39 RODO ("(...) Dane osobowe powinny być adekwatne, stosowne i ograniczone do tego, co niezbędne do celów, dla których są one przetwarzane (...). Dane osobowe powinny być przetwarzane tylko w przypadkach, gdy celu przetwarzania nie można w rozsądny sposób osiągnąć innymi sposobami (...)"), należy stwierdzić, że przed zainstalowaniem systemu monitoringu wizyjnego administrator powinien zawsze krytycznie ocenić, czy środek ten, po pierwsze jest odpowiedni do osiągnięcia pożądanego celu, a po drugie odpowiedni i niezbędny do jego celów. Środki polegające na zastosowaniu monitoringu wizyjnego należy wybierać wyłącznie w przypadku, gdy cel przetwarzania nie mógł zostać osiągnięty za pomocą innych środków, które są mniej inwazyjne w stosunku do podstawowych praw i wolności osoby, której dane dotyczą (tak EROD na str. 10 powoływanych wytycznych 3/2019).
Z uwagi zatem na to, że monitoring wizyjny jest jedną w najbardziej inwazyjnych form ingerencji w podstawowe prawa i wolności osoby, której dane dotyczą i powinien być wybierany wyłącznie, gdy zawiodły inne alternatywne środki bezpieczeństwa, jak ogrodzenie nieruchomości, systemy antywłamaniowe, zainstalowanie zabezpieczenia w oknach i drzwiach, a zatem środki, które w mniejszym stopniu ingerują w podstawowe prawa lub wolności innych osób (zob. też wytyczne EROD 3/2019, str. 10 – str. 11).
Ponieważ skarżący powołali się na przesłankę legalizującą przetwarzanie danych osobowych określoną w art. 6 ust. 1 lit. d RODO ("przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej"), należy wywieść, że skoro monitoring wizyjny użytkowany przez skarżących obejmuje przestrzeń publiczną, nie może być mowy o spełnieniu przywołanej przesłanki. Objęcie monitoringiem przestrzeni publicznej powoduje, że krąg osób, których dane są przetwarzane nie jest możliwy do określenia, zatem nie można stwierdzić, że jest to przetwarzanie niezbędne dla ochrony żywotnych interesów osoby, której dane dotyczą lub innej osoby fizycznej. Skarżący nie są przy tym podmiotem uprawnionym do ochrony przestrzeni publicznej obejmującej teren drogi wewnętrznej (dojazdowej).
W tych okolicznościach Prezes UODO był uprawniony do skorzystania z uprawnień naprawczych przewidzianych w art. 58 ust. 2 lit. d RODO. Zasadnie zatem nakazał skarżącym zaprzestanie przetwarzania za pomocą monitoringu wizyjnego danych osobowych uczestniczki przy użyciu kamer, które swoim zasięgiem wykraczają poza teren należący do skarżących.
Reasumując, kontrola zaskarżonej decyzji w granicach sprawy nie dała podstaw do stwierdzenia, że została ona wydana z naruszeniem przepisów postępowania lub przepisów prawa materialnego. Brak jest podstaw do uznania, że w postępowaniu zakończonym wydaniem zaskarżonej decyzji nie wyjaśniono wszystkich kwestii mających wpływ na rozstrzygnięcie sprawy wszczętej skargą osoby, których dane osobowe przetwarzano niezgodnie z prawem. Uzasadnienie zaskarżonej decyzji odpowiada prawu. Zawiera wskazanie istotnych dla rozstrzygnięcia sprawy faktów, które organ uznał za udowodnione, dowodów, na których się oparł oraz wyjaśnienie podstawy prawnej decyzji.
W tym stanie rzeczy, na podstawie art. 151 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz.U. z 2024 r. poz. 935 ze zm.), Wojewódzki Sąd Administracyjny w Warszawie skargę oddalił.

Potrzebujesz pomocy prawnej?

Asystent AI przeanalizuje Twoje pytanie w oparciu o orzecznictwo, przepisy i doktrynę — jak rozmowa z ekspertem.

Zadaj pytanie Asystentowi AI