II SA/WA 1842/21

II SA/Wa 1842/21 - Wyrok WSA w Warszawie
Data orzeczenia
2021-11-24
orzeczenie nieprawomocne
Data wpływu
2021-05-12
Sąd
Wojewódzki Sąd Administracyjny w Warszawie
Sędziowie
Agnieszka Góra-Błaszczykowska /przewodniczący sprawozdawca/
Piotr Borowiecki
Sławomir Fularski
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Sygn. powiązane
III OSK 1531/22 - Wyrok NSA z 2025-09-03
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Oddalono skargę
Sentencja
Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Agnieszka Góra-Błaszczykowska (spr.), Sędzia WSA Sławomir Fularski, Sędzia WSA Piotr Borowiecki, Protokolant referent stażysta Radosław Fijałkowski po rozpoznaniu na rozprawie w dniu 24 listopada 2021 r. sprawy ze skargi [...] Spółka jawna z siedzibą w [...] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] marca 2021 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę
Uzasadnienie
Przedmiotem rozpoznania w niniejszej sprawie była skarga B. Spółka jawna z siedzibą w B. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] marca 2021 r. znak [...] w przedmiocie przetwarzania danych osobowych.
Skarga została złożona w następującym stanie faktycznym sprawy:
W dniu [...] września 2019 r. (data wpływu do organu) H. J. (zwana dalej: wnioskodawczyni), wniosła do Prezesa Urzędu Ochrony Danych Osobowych (zwany dalej: PUODO, organ), skargę na nieprawidłowości w procesie przetwarzania jej danych osobowych przez B. Spółka jawna z siedzibą w B. (zwana dalej: skarżąca, spółka), polegające na ich utrwaleniu za pomocą monitoringu wizyjnego oraz na niespełnienie obowiązku informacyjnego.
W treści złożonej skargi wnioskodawczyni podniosła, że spółka stosuje monitoring na należącej do wnioskodawczyni, a sąsiadującej z terenem spółki działce. Wskazała, że nie wyrażała zgody na powyższe, ani nie została o tym poinformowana. Wniosła również o udzielenie jej informacji, jaki obszar jej działki jest objęty monitoringiem, kto jest administratorem danych i przez jaki okres "bezprawnie" utrwalono zapisy monitoringu.
Decyzją znak [...] z dnia [...] marca 2021 r. organ, działając na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2020 r., poz. 256, zwana dalej: k.p.a.), art. 7 ust 1 ustawy o ochronie danych osobowych z dnia 10 maja 2018 r. (Dz. U. z 2019 r. poz. 1781, zwana dalej: u.o.d.o.) oraz art. 6 ust. 1 lit. f, art. 13 oraz art. 58 ust. 2 lit. c rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z 04.05.2016, str. 1, ze zm., zwane dalej: rozporządzeniem 2016/679): w pkt 1) nakazał spółce spełnienie obowiązku informacyjnego na rzecz wnioskodawczyni, o którym mowa w art. 13 b, c, d, f oraz ust. 2 rozporządzenia 2016/679 w zakresie dotyczącym prowadzonego przez spółkę monitoringu wizyjnego, w pkt 2) odmówił uwzględnienia wniosku w pozostałym zakresie.
W uzasadnieniu podjętej decyzji organ wskazał na następujące ustalenia stanu faktycznego sprawy:
Spółka zapewniła, że nie przetwarza danych osobowych wnioskodawczyni za pomocą monitoringu wizyjnego. Wyjaśniła, że z tyłu posesji spółki tuż za płotem, monitorowany jest obszar gruntu we wskazanych na wydruku z kamery granicach, stanowiący nieuprawiane ani nie wykorzystywane pole, stanowiące własność wnioskodawczyni, na którym ustanowiona jest służebność gruntowa na rzecz spółki,
w postaci kolektora ściekowego odprowadzającego wody opadowe (deszczówkę) z terenu przedsiębiorstwa spółki. Na monitorowanym obszarze znajdują się dwie studzienki połączone z kolektorem ściekowym. Spółka monitoruje obszar położenia jej służebności gruntowej — kolektora ściekowego należącego do spółki i dwóch studzienek łączących się bezpośrednio z kolektorem odprowadzającym wody opadowe z terenu spółki w celu ochrony przed korzystaniem ze służebności gruntowej spółki przez inne osoby, w celu sygnalizowania konieczności ewentualnych napraw urządzeń służebności oraz w celu ochrony przed ewentualnym nieuprawnionym odprowadzeniem do systemu ściekowego przez kogokolwiek płynnych odpadów przemysłowych zagrażających środowisku.
Stosowanie w tym zakresie monitoringu wizyjnego przez spółkę jest uzasadnione i niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez spółkę (art. 6 ust. litera f rozporządzenia 2016/675) oraz jest uzasadnione i niezbędne do celów wynikających z ustawy o ochronie środowiska, tj. do wykonania zadania realizowanego w interesie publicznym (art. 6 ust. litera e rozporządzenia 2016/675). Spółka przedstawiła też kopię aktu notarialnego ustanawiającego ww. służebność gruntową.
Wyjaśniła również, że wnioskodawczyni nie zwracała się do spółki o usunięcie jej danych osobowych ani o zaprzestanie przetwarzania jej danych osobowych pozyskanych za pomocą stosowanego monitoringu wizyjnego. Nie zwracała się też do spółki o wypełnienie wobec niej obowiązku informacyjnego
realizowanego na wniosek, o którym mowa w art. 15 rozporządzenia 2016/679. Podała dalej, że stosuje monitoring wizyjny terenu swojego przedsiębiorstwa — hurtowni materiałów budowlanych, za pomocą systemu kamer telewizji przemysłowej — 22 kamer, w celu ochrony i zabezpieczenia terenu przedsiębiorstwa i zgromadzonego na terenie majątku obrotowego o wartości kilku milionów złotych, przed kradzieżą i innymi zdarzeniami, mającymi bezpośredni wpływ na prawnie chronione interesy spółki. Wyjaśniła, że informacja o tym, że teren jej przedsiębiorstwa jest monitorowany za pomocą systemu kamer, jest umieszczona na bramie wjazdowej na teren przedsiębiorstwa, a szczegółowa informacja w zakresie przewidzianym rozporządzeniem 2016/679 umieszczona jest na stronie internetowej spółki. Spółka nie załączyła dowodów na spełnienie obowiązku informacyjnego. Wnioskodawczyni wyjaśniła, że na drzwiach wejściowych budynku należącego do spółki znajduje się mała naklejka informująca o tym, że teren jest monitorowany. Monitoring zainstalowany przez spółkę obejmuje swoim zasięgiem nieruchomość należącą do spółki (składy magazynowe, parking, płac), przestrzeń publiczną (kamery oznaczone jako "Ulica L", "Ulica P", CAM 1") oraz teren należący do wnioskodawczyni, na którym spółka ma ustanowioną służebność (kamera oznaczona jako "IPC").
Organ uznał, że analiza materiału dowodowego zebranego w postępowaniu nie potwierdziła w sposób jednoznaczny i bezsporny, aby doszło do kwestionowanego przez wnioskodawczynię przetwarzania jej danych osobowych przez spółkę. Spółka wyjaśniła, że nie przetwarza jej danych osobowych; z dokumentów sprawy nie wynika również, aby monitorowana była nieruchomość wnioskodawczyni poza fragmentem objętym służebnością na rzecz spółki. Nie ma też wątpliwości, że spółka monitoruje również teren publiczny (ulicę znajdującą się przy jej nieruchomości oraz chodnik), a spółka i wnioskodawczyni są w bliskim sąsiedztwie. Wnioskodawczyni nie przedstawiła dowodów, które wskazywałyby, że jest inaczej. W związku z tym, że zasięg kamer monitoringu wizyjnego obejmuje teren przedsiębiorstwa o swobodnym lub ograniczonym dostępie w celach związanych z jego prowadzeniem (w tym handlowych), zasady przetwarzania danych osobowych pozyskiwanych za pomocą monitoringu wizyjnego muszą być zgodne z przepisami o ochronie danych osobowych rozporządzenia 2016/679. Tym samym spółka jest zobowiązana do m. in. do realizowania obowiązku informacyjnego, rozpatrywania żądań osób obserwowanych i właściwego zabezpieczania nagrań.
Organ wyjaśnił, że każdej osobie przysługuje prawo do kontroli przetwarzania danych osobowych, które jej dotyczą. W razie wykazania, przysługuje prawo do kontroli przetwarzania danych, które jej dotyczą w drodze podjętych działań kontrolnych, przez osobę, której dane osobowe dotyczą, że są one niekompletne, nieaktualne, nieprawdziwe lub zostały zebrane z naruszeniem ustawy albo są zbędne do realizacji celu, dla którego zostały zebrane, administrator zobowiązany jest do dostosowania operacji przetwarzania. Niedopełnienie przez administratora ciążącego na nim obowiązku, uprawnia osobę, której dane dotyczą, do wystąpienia do organu nadzorczego o nakazanie dopełnienia uchybionym obowiązkom. Wstępna kontrola procesu przetwarzania danych osobowych, następować może z inicjatywy osoby, której dane osobowe dotyczą.
Przepisy ustawy o ochronie danych osobowych gwarantują bowiem osobie której dane dotyczą, prawo do informacji, pozwalające jej kontrolować przetwarzanie zgromadzonych danych osobowych. Spółka w swoich wyjaśnieniach podnosi, że nie przetwarza danych osobowych wnioskodawczyni. Jednak z uwagi na to, że zasięgiem wykonywanego przez spółkę monitoringu wizyjnego objęta jest również przestrzeń publiczna, m.in. sąsiadująca jezdnia i chodnik przed nieruchomością spółki, teren ogólnie dostępnego placu przed spółką, a także teren nieużytków, na którym istnieje służebność Spółki na terenie należącym do wnioskodawczyni, w ocenie PUODO dochodzi lub może dojść również do przetwarzania przez spółkę danych osobowych osób trzecich, w tym wnioskodawczyni, której posesja znajduje się tuż obok posesji spółki. Organ ocenił także, że obowiązek informacyjny realizowany wobec osoby, której dane dotyczą być spełniony najpóźniej w momencie ich pozyskiwania.
Zdaniem PUODO, monitorowanie przez spółkę fragmentu nieruchomości wnioskodawczyni, który jest objęty służebnością na rzecz spółki, nie narusza praw i wolności ww. i prowadzone jest na podstawie art. 6 ust. 1 lit. f rozporządzenia 2016/679, tj. z uwagi na prawnie uzasadniony interes realizowany przez administratora. W związku z tym, że spółka monitoruje ograniczony teren nieruchomości należącej do wnioskodawczyni (tj. urządzenia znajdujące się na fragmencie objętym służebnością), powinna spełnić wobec ww. obowiązek informacyjny, o którym mowa w art. 13 rozporządzenia 2016/679.
W związku ze stwierdzonym naruszeniem w sposobie realizacji obowiązku informacyjnego spełnianego wobec osoby, której dane dotyczą, o którym
mowa w art. 13 rozporządzenia 2016/679, uzasadnione jest na podstawie art. 58 ust. 2 lit. c rozporządzenia 2016/679 nakazanie spółce spełnienie obowiązku informacyjnego wobec wnioskodawczyni w zakresie wskazanym w art. 13 ust. 1 lit. b, c, d, f oraz ust. 2 rozporządzenia 2016/679. Uznał przy tym, że wnioskodawczyni posiada informacje, o których mowa w art. 13 ust. 1 lit. a rozporządzenia
2016/679 - informacje o tożsamości administratora danych, gdyż zna dane podmiotu, który przetwarza jej dane osobowe, zatem nie jest konieczne nakazanie jego spełnienia w tym zakresie (art. 13 ust. 4 rozporządzenia 2016/679). Natomiast w zakresie art. 13 ust. 1 lit. e rozporządzenia 2016/679, tj. informacji o odbiorcach danych osobowych lub o kategoriach odbiorców, wskazał, że obowiązek ten należy spełnić, o ile zachodzi wskazana w tym przepisie sytuacja. W przedmiotowej zaś sprawie spółka przetwarza dane osobowe pozyskane za pomocą monitoringu samodzielnie (ewentualnie za pomocą osób przez nią upoważnionych) i za pomocą sprzętu należącego do spółki. Niezależnie od powyższego spółka powinna rozważyć przeprowadzenie ponownej analizy w zakresie spełniania wyżej ww. obowiązku, w związku z monitorowaniem terenu spółki (wskazane, parkingi, place i wjazdy). Piktogramu informującego o monitoringu nie można uznać za jego pełną realizację, a jedynie za pierwszą warstwę informacji, dalsze informacje na temat przetwarzania
danych osobowych osób, których dane osobowe są pozyskiwane, powinny być dostępne albo w biurze spółki znajdującym się na terenie omawianej nieruchomości lub w innym wskazanym, widocznym i łatwo dostępnym miejscu.
Podkreślił, że wnioskodawczyni nie może żądać nałożenia administracyjnej kary pieniężnej w postępowaniu zainicjowanym skargą. Decyzja taka należy bowiem wyłącznie do organu i nie jest realizowana na wniosek. Wyjaśnił także, że PUODO samodzielnie i niezależnie ustala sposób zbierania materiału dowodowego w sprawie. Przeprowadzenie kontroli na miejscu u przedsiębiorcy w niniejszej sprawie nie było konieczne, aby ustalić spójny stan faktyczny, którego ustalenie może
przybrać również formę wyjaśnień i oświadczeń przedstawionych przez strony postępowania.
W skardze złożonej na powołane rozstrzygnięcie do sądu administracyjnego skarżący, reprezentowany przez profesjonalnego pełnomocnika, wniósł o uchylenie zaskarżonej decyzji w części nakazującej spółce spełnienie obowiązku informacyjnego na rzecz wnioskodawczyni w zakresie dotyczącym prowadzonego przez spółkę monitoringu wizyjnego i zmianę decyzji w tym zakresie przez odmowę uwzględnienia wniosku wnioskodawczyni oraz zasądzenie zwrotu kosztów postępowania. Zaskarżonej decyzji skarżąca zarzuciła naruszenie prawa materialnego i przepisów postępowania, które mogło mieć istotny wpływ na wynik sprawy tj.:
1. art. 13 ust. 1b, c, d, f oraz ust. 2 w związku z przepisem art. 4 pkt 1 i 2 rozporządzenia 2016/679 poprzez jego błędną wykładnię i stwierdzenie, że w okolicznościach faktycznych niniejszej sprawy spółka przy prowadzonym monitoringu wizyjnym, naruszyła obowiązek informacyjny spełniany wobec osoby, której dane dotyczą, o którym mowa w art. 13 rozporządzenia
2016/679;
2. art. 58 ust. 2 rozporządzenia 2016/679 poprzez jego niewłaściwe zastosowanie w okolicznościach faktycznych niniejszej sprawy przepisu i nakazanie
spółce spełnienie obowiązku informacyjnego na rzecz wnioskodawczyni, o
którym mowa w art. 13 b, c, d, f oraz ust. 2 rozporządzenia 2016/679;
3. art. 7 i art. 7a, art. 8, art. 9, art. 11, art. 77, art. 80 i art. 107 § 3 k.p.a., przez: •błąd w ustaleniach faktycznych niniejszej sprawy i uznanie, że spółka przy prowadzonym monitoringu wizyjnym przetwarza dane osobowe wnioskodawczyni, •brak rozpoznania sprawy w oparciu o całość zgromadzonego w sprawie materiału dowodowego i brak rozważenia wszystkich jej okoliczności faktycznych, przez co organ nadużył zaufanie stron postępowania odnośnie prawidłowego i całościowego rozpoznania niniejszej sprawy przez organy Państwa, •brak dokonania dokładnego wyjaśnienia stanu faktycznego sprawy, dopuszczenie się błędu w ustaleniach faktycznych sprawy przez uznanie, że skarżąca przy prowadzonym monitoringu wizyjnym przetwarza dane osobowe wnioskodawczyni oraz nieuwzględnienie przy rozpoznaniu i załatwieniu sprawy, interesu społecznego i słusznego interesu skarżącej, •brak prawidłowego uzasadnienia faktycznego i prawnego zaskarżonej decyzji poprzez nie wskazanie w uzasadnieniu faktów, na których organ się oparł, zaniechanie prawidłowej oceny, na podstawie całości zebranego w sprawie materiału dowodowego, czy dane okoliczności, które były podstawą wydania zaskarżonej decyzji, w istocie zostały udowodnione oraz niewyjaśnienie w sposób wystarczający podstawy prawnej zaskarżonej decyzji.
Uzasadniając złożoną skargę skarżąca wskazała, iż uznając błędnie, że spółka przetwarza dane osobowe wnioskodawczyni i nakazując spółce spełnienie obowiązku informacyjnego na jej rzecz, organ naruszył słuszny interes skarżącej, która ma prawo do monitorowania obszaru położenia jej służebności gruntowej (kolektora ściekowego należącego do spółki i dwóch studzienek łączących się bezpośrednio z kolektorem odprowadzającym wody opadowe z terenu spółki w celu ochrony przed korzystaniem ze służebności gruntowej spółki przez inne osoby, w celu sygnalizowania konieczności ewentualnych napraw urządzeń służebności oraz w celu ochrony przed ewentualnym nieuprawnionym odprowadzeniem do systemu ściekowego przez kogokolwiek płynnych odpadów przemysłowych zagrażających środowisku). Stosowanie w tym zakresie monitoringu wizyjnego przez spółkę jest uzasadnione i niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez spółkę. Monitorowanie obszaru położenia służebności gruntowej jest uzasadnione i niezbędne także do celów wynikających z ustawy o ochronie środowiska, tj. do wykonania zadania realizowanego w interesie publicznym. Przepis art. 58 ust. 2 rozporządzenia 2016/679 w okolicznościach faktycznych i prawnych niniejszej sprawy w ogóle nie znajdzie zastosowania.
Organ niewłaściwie uznał, iż samo monitorowanie wizyjne nieuprawianego i niewykorzystywanego pola stanowi przetwarzanie danych osobowych właściciela pola. Samo monitorowanie wizyjne ww. obszaru nie jest przetwarzaniem danych osobowych właściciela pola, gdyż sam wizerunek tego terenu nie może doprowadzić do zidentyfikowania lub możliwości zidentyfikowania osoby fizycznej - właściciela pola. Tymczasem przepis art. 13. ust. 1 i 2 rozporządzenia 2016/679 stanowi o obowiązku informacyjnym zrealizowanym dopiero podczas pozyskiwania danych osobowych. W niniejszej sprawie postępowanie wywołane skargą wnioskodawczyni nie wykazało aby spółka w procesie monitorowania nieuprawianego i niewykorzystywanego fragmentu poła ww. pozyskała jej jakiekolwiek dane osobowe, takie jak np. imię, nazwisko czy wizerunek. Skarżąca kategorycznie zaprzeczyła, że takie dane osobowe ww. pozyskała i je przetwarza. Natomiast wnioskodawczyni nawet nie uprawdopodobniła nie mówiąc o wykazaniu jakimikolwiek dowodami przeciwnej okoliczności w tym zakresie. Z uwagi na powyższe nie zachodzi konieczność realizacji obowiązku informacyjnego wskazanego w art. 13. ust. 1 i 2 rozporządzenia 2016/679.
Organ wniósł o oddalenie skargi, podnosząc argumentację tożsamą z zaprezentowaną w zaskarżonej decyzji.
Wojewódzki Sąd Administracyjny w Warszawie, zważył co następuje:
Skarga podlegała oddaleniu.
Stosownie do treści art. 3 § 1 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2019 r., poz. 2325 ze zm., zwana dalej: p.p.s.a), sądy administracyjne sprawują kontrolę działalności administracji publicznej i stosują środki określone w ustawie. Oznacza to, iż sąd rozpoznając skargę ocenia, czy zaskarżona decyzja nie narusza przepisów prawa materialnego bądź przepisów postępowania administracyjnego. Zgodnie z art. 134 p.p.s.a. Sąd rozstrzyga w granicach danej sprawy, nie będąc jednak związany zarzutami i wnioskami skargi oraz powołaną w niej podstawą prawną. Uwzględnienie skargi następuje w przypadku stwierdzenia naruszenia przez Sąd przepisów prawa, wskazanego w art. 145 § 1 pkt 1 p.p.s.a. Zgodnie z art. 135 p.p.s.a. orzekanie następuje w granicach sprawy, w której wydano zaskarżoną decyzję i odbywa się z uwzględnieniem wówczas obowiązujących przepisów prawa.
Wobec zakresu skargi - istota sprawy sprowadzała się do oceny, czy skarżąca naruszyła wobec wnioskodawczyni obowiązek informacyjny, o którym mowa w art. 13 b, c, d, f oraz ust. 2 rozporządzenia, w zakresie dotyczącym prowadzonego przez spółkę monitoringu wizyjnego.
Stosownie do treści art. 7 ust. 1 u.o.d.o., w sprawach uregulowanych w ustawie ochronie danych osobowych, do postępowań prowadzonych przez PUODO stosuje się przepisy Kodeksu postępowania administracyjnego. Według zasad określonych w Kodeksie postępowania administracyjnego, prowadzone jest też postępowanie dowodowe. Jednym ze stadiów postępowania administracyjnego jest stadium wyjaśniające, pozwalające ustalić dokładny stan faktyczny w danej sprawie. W wyniku postępowania wyjaśniającego organ administracji publicznej ma dojść do wskazanej w art. 7 k.p.a. prawdy obiektywnej, co czyni za pomocą środków dowodowych.
Jak wynika z przedstawionych przy skardze akt sprawy administracyjnej, w celu ustalenia stanu faktycznego sprawy, w związku ze złożoną przez wnioskodawczynię skargą organ wystąpił do ww. i skarżącej o złożenie pisemnych wyjaśnień oraz potwierdzających je dowodów. Z wyjaśnień złożonych przez spółkę wynikało, że nie przetwarza ona danych osobowych wnioskodawczyni. Spółka monitoruje część gruntu będącego w jej służebności, stanowiącego własność wnioskodawczyni, na którym znajduje się kolektor ściekowy odprowadzający wody opadowe (deszczówkę) z terenu przedsiębiorstwa spółki oraz dwie studzienki połączone z kolektorem ściekowym. Spółka monitoruje obszar położenia jej służebności gruntowej w celu ochrony przed korzystaniem z ww. służebności przez inne osoby, w celu sygnalizowania konieczności ewentualnych napraw urządzeń służebności oraz w celu ochrony przed ewentualnym nieuprawnionym odprowadzeniem do systemu ściekowego przez kogokolwiek płynnych odpadów przemysłowych zagrażających środowisku. Wnioskodawczyni nie występowała do spółki o wypełnienie obowiązku informacyjnego z art. 15 rozporządzenia 2016/679. Ponadto informacja o monitorowaniu terenu przedsiębiorstwa za pomocą kamer znajduje się na bramie wjazdowej na teren przedsiębiorstwa oraz zawarta jest na stronie internetowej spółki.
W ocenie Sądu stan faktyczny niniejszej sprawy ustalony został przez PUODO prawidłowo. W toku prowadzonego postępowania administracyjnego nie doszło do naruszenia powoływanych w skardze art. 7, art. 77 i art. 80 k.p.a., poprzez niewyjaśnienie w sposób dokładny stanu faktycznego sprawy oraz wskazanie nieprawidłowych podstaw prawnych przetwarzania danych osobowych. Organ przeprowadził wymagane prawem postępowanie wyjaśniające wystarczające dla ustalenia okoliczności mających podstawowe znaczenie dla rozstrzygnięcia sprawy i dokonania oceny, czy zaszły prawem przewidziane warunki do wydania decyzji.
Zgodnie z zasadą, wyrażoną w art. 80 k.p.a., organ prowadzący postępowanie według swojej wiedzy, doświadczenia oraz wewnętrznego przekonania ocenia wartość dowodową poszczególnych środków dowodowych, wpływ udowodnienia jednej okoliczności na inne okoliczności. Oceniając wyniki postępowania dowodowego (wiarygodność i moc dowodów), organ powinien uwzględnić treść wszystkich przeprowadzonych i rozpatrzonych dowodów, wskazując w uzasadnieniu decyzji fakty, które uznał za udowodnione, dowody, na których się oparł oraz przyczyny, z powodu których innym dowodom odmówił wiarygodności i mocy dowodowej.
Organ ocenił, że w sprawie nie doszło do wskazanego przez wnioskodawczynię przetwarzania jej danych osobowych przez skarżącą. Ponadto objęty monitoringiem spółki, poza obszarem stanowiącym jej własność, jest teren publiczny (ulica) oraz wyłącznie teren będący w jej służebności. Organ stwierdził natomiast, że organ naruszył wobec wnioskodawczyni obowiązek informacyjny, o którym mowa w art. 13 b, c, d, f oraz ust. 2 rozporządzenia, w zakresie dotyczącym prowadzonego przez spółkę monitoringu wizyjnego. Analiza uzasadnienia zaskarżonej decyzji prowadzi do przyjęcia, że Prezes UODO dochował powyższych obowiązków i nie naruszył zasady swobodnej oceny dowodów.
Odnosząc się do meritum sprawy wskazać trzeba, że w przypadku naruszenia przepisów o ochronie danych osobowych, w tym przepisów rozporządzenia 2016/679, PUODO może skorzystać z uprawnień naprawczych, przyznanych mu na podstawie art. 58 ust. 2 rozporządzenia 2016/679.
Zgodnie z art. 6 ust. 1 lit. f rozporządzenia 2016/679 przetwarzanie jest zgodne z prawem, jeżeli jest niezbędne do celów wynikających z prawnie uzasadnionych interesów, realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem.
Skorzystanie z omawianej przesłanki wymaga pogłębionej analizy danego stanu faktycznego. W pierwszej kolejności należy ocenić czy po stronie administratora lub strony trzeciej występuje prawnie uzasadniony interes. Może to być interes faktyczny, gospodarczy lub prawny, taki, który jest chroniony prawem. Prawodawca unijny jako przykłady tego typu interesów wskazał: marketing bezpośredni, zapobieganie oszustwom, czy zapewnienie bezpieczeństwa usług oferowanych lub udostępnianych poprzez sieci i systemy. Należy dodać, że dla realizacji celu wynikającego z tak rozumianego interesu administratora przetwarzanie musi być niezbędne. Oznacza to istnienie rozsądnej potrzeby dla realizacji tego celu. Oceniać ją należy zarówno w odniesieniu do przetwarzania w ogóle, jak i do przetwarzania poszczególnych kategorii danych osobowych. Z powołanego przepisu prawa wynika, że aby mogło dojść do przetwarzania danych osobowych, prowadzącego do ingerencji w interesy, podstawowe prawa i wolności podmiotu danych, które wymagają ochrony (takim prawem jest w szczególności prawo do prywatności), to konieczne jest uznanie, że te interesy, podstawowe prawa i wolności, przeważają nad prawnie uzasadnionymi interesami administratora lub strony trzeciej. Oceniając "wagę" tych interesów, należy uwzględnić takie kryteria jak w szczególności: charakter interesu administratora, rodzaj interesu podmiotu danych, rodzaj prawa lub wolności, rodzaj przetwarzanych danych osobowych, sposób przetwarzania.
Przetwarzanie danych na podstawie art. 6 ust. 1 lit. f rozporządzenia 2016/679 nie będzie dopuszczalne, jeżeli po dokonaniu tej oceny okaże się, że interesy, podstawowe prawa i wolności podmiotu danych, które wymagają ochrony są nadrzędne nad prawnie uzasadnionymi interesami administratora lub strony trzeciej (por. Witold Chomiczewski, Komentarz praktyczny do art. 6 ust. 1 rozporządzenia, LEX/el. 2018). Ponadto omawiana przesłanka może być stosowana jedynie przez podmioty prywatne (np. przedsiębiorców), natomiast nie mogą się na nią powoływać podmioty publiczne. Wynika to z końcowej części przepisu ust. 1 komentowanego artykułu, w której stwierdzono, że podstawa określona w "lit. f nie ma zastosowania do przetwarzania, którego dokonują organy publiczne w ramach realizacji swoich zadań".
Zgodnie z regulacją art. 13 ust. 1 rozporządzenia 2016/679, jeżeli dane osobowe osoby, której dane dotyczą, zbierane są od tej osoby, administrator podczas pozyskiwania danych osobowych podaje jej wszystkie następujące informacje: a) swoją tożsamość i dane kontaktowe oraz, gdy ma to zastosowanie, tożsamość i dane kontaktowe swojego przedstawiciela; b) gdy ma to zastosowanie - dane kontaktowe
inspektora ochrony danych; c) cele przetwarzania danych osobowych, oraz podstawę prawną przetwarzania; d) jeżeli przetwarzanie odbywa się na podstawie art. 6 ust. 1 lit. f) – prawnie uzasadnione interesy realizowane przez administratora lub przez stronę trzecią; e) informacje o odbiorcach danych osobowych lub o kategoriach odbiorców, jeżeli istnieją; f) gdy ma to zastosowanie - informacje o zamiarze przekazania danych osobowych do państwa trzeciego lub organizacji międzynarodowej oraz o stwierdzeniu lub braku stwierdzenia przez Komisję odpowiedniego stopnia ochrony lub w przypadku przekazania, o którym mowa w art. 46, art. 47 lub art. 49 ust. 1 akapit drugi, wzmiankę o odpowiednich lub właściwych zabezpieczeniach oraz o możliwościach uzyskania kopii
danych lub o miejscu udostępnienia danych.
Zgodnie natomiast z art. 13 ust. 2 rozporządzenia 2016/679, poza informacjami, o których mowa w ust. 1, podczas pozyskiwania danych osobowych administrator podaje osobie, której dane dotyczą, następujące inne informacje niezbędne do zapewnienia rzetelności i przejrzystości przetwarzania: a) okres, przez który dane osobowe będą przechowywane, a gdy nie jest to możliwe, kryteria ustalania tego okresu; b) informacje o prawie do żądania od administratora dostępu do danych osobowych dotyczących osoby, której dane dotyczą, ich sprostowania, usunięcia lub ograniczenia przetwarzania lub o prawie do wniesienia sprzeciwu wobec przetwarzania, a także o prawie do przenoszenia danych; c) jeżeli przetwarzanie odbywa się na podstawie art. 6 ust. 1 lit. a) lub art. 9 ust. 2 lit. a) - informacje o prawie do cofnięcia zgody w dowolnym momencie bez wpływu na zgodność z prawem przetwarzania, którego dokonano na podstawie zgody przed jej cofnięciem; d) informacje o prawie wniesienia skargi do organu nadzorczego; e) informację, czy podanie danych osobowych jest wymogiem ustawowym lub umownym lub warunkiem zawarcia umowy oraz czy osoba, której dane dotyczą, jest zobowiązana do ich podania i jakie są ewentualne konsekwencje niepodania danych; f) informacje o zautomatyzowanym podejmowaniu decyzji, w tym o profilowaniu, o którym mowa w art. 22 ust. 1 i 4, oraz - przynajmniej w tych przypadkach – istotne informacje o zasadach ich podejmowania, a także o znaczeniu i przewidywanych konsekwencjach takiego przetwarzania dla osoby, której dane dotyczą. Powołane przepisy – art. 13 ust. 1 i 2 nie mają zastosowania, gdy - i w zakresie, w jakim - osoba, której dane dotyczą, dysponuje już tymi informacjami (art. 13 ust. 4 rozporządzenia 2016/679).
Wynikający z ww. regulacji obowiązek informacyjny aktualizuje się wobec administratora w przypadku pozyskiwania przez niego danych od podmiotu danych. Dla należytej realizacji obowiązku informacyjnego, określonego w art. 13 rozporządzenia 2016/679 istotny jest moment przekazania osobie uprawnionej wszystkich niezbędnych informacji. Ma to nastąpić "podczas", tzn. w chwili pozyskiwania danych, zaś przekazywane informacje powinny być aktualne w chwili ich udostępniania. Należy zauważyć, że realizacja obowiązku informacyjnego w przypadku gromadzenia danych w sposób bezpośredni, powinna mieć charakter uprzedni w stosunku do ich pozyskania i utrwalenia. Zachowanie takiej sekwencji zdarzeń jest szczególnie ważne z punktu widzenia zachowania zasady autonomii informacyjnej jednostki. Dysponowanie przez podmiot informacjami dotyczącymi w szczególności celu przetwarzania, odbiorcy danych, ewentualnego przekazania danych do państwa trzeciego czy profilowania przed ich ostatecznym przekazaniem administratorowi stanowi warunek wyrażenia świadomej zgody na przetwarzanie dotyczących jej danych. Potwierdza to motyw 42, którego fragment stanowi, że "Aby wyrażenie zgody było świadome, osoba, której dane dotyczą, powinna znać przynajmniej tożsamość administratora oraz zamierzone cele przetwarzania danych osobowych". Właściwa realizacja obowiązku informacyjnego otwiera osobie fizycznej drogę do realizacji przysługujących jej praw i pozwala, w dobie społeczeństwa informacyjnego, na sprawowanie faktycznej kontroli nad procesem przetwarzania jej danych.
W świetle powołanych wyżej przepisów i ustaleń stanu faktycznego sprawy, Sąd stwierdza, iż prawidłowa jest ocena organu, iż monitorowanie przez spółkę części nieruchomości wnioskodawczyni, pozostającego w jej służebności nie narusza praw i wolności wnioskodawczyni i prowadzone jest z uwagi na prawnie uzasadniony interes realizowany przez administratora, spełniona jest zatem przesłanka powyższego opisana w art. 6 ust. 1 lit. f rozporządzenia 2016/679 rozporządzenia.
Właściwa jest także ocena PUODO, że w związku z monitoringiem części nieruchomości wnioskodawczyni, pozostającego w służebności spółki, może dojść do przetwarzania jej danych osobowych, zatem od momentu rozpoczęcia monitoringu, w celu zgodnego z przepisami 2016/679 przetwarzania danych pozyskanych z monitoringu, skarżąca zobowiązana była m. in. do realizowania wobec wnioskodawczyni obowiązku informacyjnego. Stwierdzenie naruszenia w tym zakresie, skutkowało koniecznością nakazania skarżącej, w trybie art. 58 ust. 2 rozporządzenia 2016/679 spełnienie powyższego obowiązku. Obowiązek informacyjny będzie w pełni realizowany, gdy kompletne dane w zakresie przetwarzania danych osobowych osób, których dane osobowe są pozyskiwane, będą dostępne w biurze spółki lub w innym wskazanym, widocznym i łatwo dostępnym miejscu.
W kontekście przedstawionych wyżej rozważań Sąd stwierdza, iż zaskarżona decyzja Prezesa UODO jest prawidłowa. Wbrew zarzutom skargi, organ zgromadził pełny materiał dowodowy sprawy, dokonał prawidłowej jego oceny oraz dokonał właściwej wykładni mających zastosowanie w sprawie przepisów prawa unijnego i krajowego.
Mając na uwadze powołane okoliczności, Sąd działając na podstawie art. 151 p.p.s.a, orzekł o oddaleniu skargi.