II SA/WA 222/23

II SA/Wa 222/23 - Wyrok WSA w Warszawie
Data orzeczenia
2024-01-23
orzeczenie prawomocne
Data wpływu
2023-02-01
Sąd
Wojewódzki Sąd Administracyjny w Warszawie
Sędziowie
Andrzej Kołodziej /przewodniczący/
Ewa Radziszewska-Krupa
Sławomir Fularski /sprawozdawca/
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne
Ochrona danych osobowych
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Oddalono skargę
Powołane przepisy
Dz.U. 2022 poz 2000
art. 105 par. 1
Ustawa z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego - t.j.
Sentencja
Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Andrzej Kołodziej, Sędzia WSA Sławomir Fularski (spr.), Sędzia WSA Ewa Radziszewska-Krupa, , Protokolant starszy specjalista Aleksandra Weiher, , po rozpoznaniu na rozprawie w dniu 23 stycznia 2024 r. sprawy ze skargi M. L. i K. K. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] grudnia 2022 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę
Uzasadnienie
Decyzją z [...] grudnia 2022 r. nr [...] Prezes Urzędu Ochrony Danych Osobowych (dalej jako "Prezes UODO" lub "organ") działając na podstawie art. 105 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego ( t.j. Dz. U. z 2022 r. poz. 2000, dalej jako "Kpa") w zw. art. 7 ust. 1
i 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r., poz. 1781 ze zm., dalej też jako "u.o.d.o. z 2018 r.") oraz art. 2 ust. 2 lit. c rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z 4.05.2016, str.1, Dz. Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74
z 4.03.2021 str. 35), dalej jako "RODO", po przeprowadzeniu postępowania administracyjnego w sprawie skargi M. L. oraz K. K. (dalej też jako "skarżący") na nieprawidłowości w procesie przetwarzania ich danych osobowych przez M. S. (dalej też jako "uczestnik postępowania"), polegające na udostępnieniu bez podstawy prawnej danych w zakresie imion, nazwisk oraz informacji o przynależności związkowej, zawartych w wyroku Sądu Okręgowego, Wydział [...] z [...] sierpnia 2021 r., sygn. akt [...], poprzez ich opublikowanie na:
1. stronie internetowej: [...],
2. tablicy profilu [...] postu z [...] września 2021 r. zawierającego odesłanie do linku: [...],
3. tablicy profilu "[...]" portalu społecznościowego "[...]" postu z [...] września 2021 r. zawierającego odesłanie do linku: [...],
4. tablicy profilu "[...]" portalu społecznościowego "[...]" postu z [...] października 2021 r. zawierającego informację o realizacji ww. wyroku z dopiskiem: "[...]" wraz z bezpośrednim odniesieniem do sygnatury akt prowadzonego postępowania przeciwko skarżącym;
5. stronie internetowej: [...] informacji
o realizacji przez skarżącego M. L. ww. wyroku,
6. tablicy profilu "[...]" portalu społecznościowego "[...]" postu z [...] września 2021 r. zawierającego odesłanie do linku: [...],
7. tablicy profilu "[...]" portalu społecznościowego "[...]" postu z [...] grudnia 2021 r. informacji o realizacji przez skarżącego M. L. ww. wyroku wraz z dopiskiem ":[...]",
8. tablicy ogłoszeń związku zawodowego [...], poprzez wywieszenie ww. wyroku,
umorzył postępowanie.
W uzasadnieniu Prezes UODO w pierwszej kolejności przedstawił stan faktyczny sprawy. Wskazał, że do organu wpłynęła skarga skarżących na nieprawidłowości
w procesie przetwarzania ich danych osobowych przez uczestnika postępowania, polegające na udostępnieniu bez podstawy prawnej danych osobowych skarżących (imion, nazwisk, informacji o przynależności związkowej), zawartych w wyroku Sądu Okręgowego, Wydział [...] z [...] sierpnia 2021 r., sygn. akt [...] poprzez ich opublikowanie na ww. platformach. Wyjaśnił, że pomiędzy skarżącymi a uczestnikiem postępowania zaistniał spór sądowy rozstrzygnięty ww. wyrokiem. Na mocy tego wyroku skarżący zobowiązani zostali do przeproszenia uczestnika postępowania.
W wyroku tym wskazano m.in., że przeprosiny winny mieć formę pisemną w formacie A4, czcionką 12 koloru czarnego i zawierać wskazaną w tym wyroku treść. Przeprosiny te powinny być umieszczone na tablicy ogłoszeń [...]
w [...] przez okres siedmiu dni. Ponadto w wyroku tym zobowiązano skarżącego M. L. do zamieszczenia na jego prywatnym profilu [...] przez cztery kolejne następujące po sobie dni w godzinach od 15:00 do 21:00 przeprosin o treści w tym wyroku wskazanych. Na prywatnym profilu uczestnika postępowania zlokalizowanym na portalu [...], opublikowane zostały posty które nie zawierają danych osobowych K. K., tylko dane osobowe, tj. imię
i nazwisko M. L. Pełnomocnik uczestnika postępowania pismem z 18 marca 2022 r. wyjaśnił, że M. S. nie był i nie jest administratorem strony [...] oraz tablicy ogłoszeń związku zawodowego "[...]" i nie ma on wpływu na treść i formę publikowanych postów czy artykułów, nie ma on też wyłącznego wpływu na to co pojawia się na tablicy ogłoszeń ZZ "[...]".
Prezes UODO wskazał, że przedmiotem niniejszego postępowania było przetwarzanie danych osobowych skarżących przez: 1. uczestnika postępowania na stronie internetowej portalu internetowego Facebook na profilu; "[...]", 2. stronie internetowej: [...], 3. stronie internetowej: [...].
4. tablicy profilu [...]", 5. tablicy ogłoszeń związku zawodowego [...].
Odnosząc się do kwestii przetwarzania danych osobowych skarżących o której mowa w pkt 1, tj. na prywatnym profilu "[...]" zlokalizowanym na portalu [...], organ wskazał, że informacje opublikowane na tym profilu zawierają jedynie dane osobowe M. L. w zakresie imienia i nazwiska, nie zawierają natomiast żadnych danych osobowych K. K. Przechodząc do kwestii przetwarzania imienia i nazwiska M. L., organ wskazał, że przepisy RODO, zawierają w treści art. 2 ust. 2 wyłączenia dotyczące braku zastosowania przepisów RODO do przetwarzania danych osobowych w sytuacjach
w tym przepisie wymienionych. Jak wskazuje art. 2 ust. 2 lit. c RODO, przepisy tego rozporządzenia nie mają zastosowania do przetwarzania danych przez osobę fizyczną w ramach czynności o czysto osobistym lub domowym charakterze. W motywie 18 RODO zdefiniowano, że działalność osobista lub domowa może między innymi polegać na korespondencji i przechowywaniu adresów, podtrzymywaniu więzi społecznych oraz działalności internetowej podejmowanej w ramach takiej działalności. Konkluzja powyższych treści sprowadza się zatem do stwierdzenia, że przetwarzanie danych osobowych z wykorzystaniem portali społecznościowych i platform internetowych przez osobę fizyczną w ramach czynności o czysto osobistym lub domowym charakterze wyłącza spod zakresu RODO użytkowników tych portali wykorzystujących je wyłącznie w celach prywatnych.
Prezes UODO wskazał, że z ustalonego stanu faktycznego sprawy wynika, że ww. wyrokiem M. L. został zobligowany do zamieszczenia na swoim profilu na portalu [...], treści przeprosin skierowanych do uczestnika postępowania, które to następnie w niezmienionej formie zostały udostępnione na jego prywatnym profilu na portalu [...]. Profil internetowy, na którym doszło do ww. udostępnienia danych M. L. nie jest portalem związku zawodowego. Postępowanie sądowe, zakończone wyrokiem Sądu Okręgowego w [...] było prowadzone pomiędzy stronami sporu będącymi osobami fizycznymi i w efekcie tego środek karny zastosowany wobec M. L. skierowany był do osoby fizycznej. Oceniając powyższe, stwierdzić zatem należy, że w części dotyczącej udostępnienia treści przeprosin, zawierających dane osobowe (imię i nazwisko) ww. osoby, brak jest możliwości zastosowania przepisów RODO z uwagi na osobisty i prywatny charakter takiego udostępnienia dokonany przez uczestnika postępowania.
Odnosząc się do zarzutu udostępnienia przez uczestnika postępowania na jego profilu na portalu [...] postu z [...] października 2021 r. zawierającego informację
o realizacji ww. wyroku, organ stwierdził, że z ustalonego w sprawie materiału dowodowego wynika, że post ten zawiera zrzut ekranu, w treści którego widnieje jedynie część sygnatury sprawy sądowej tj. [...], reszta tej sygnatury jest zamazana i nie można jej odczytać. Należy w związku z tym wskazać, że zgodnie z definicją zawartą w art. 4 pkt 1 RODO dane osobowe oznaczają wszelkie informacje
o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej ("osobie, której dane dotyczą"); możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora takiego jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających fizyczną fizjologiczną genetyczną psychiczną ekonomiczną kulturową lub społeczną tożsamość osoby fizycznej.
Mając na względzie powyższą definicję danych osobowych, organ stwierdził, że w jego ocenie udostępniony przez uczestnika postępowania w treści postu z [...] października 2021 r. częściowo zanonimizowany numer sygnatury sprawy, nie stanowi danej osobowej, o której mowa w regulacji art. 4 pkt 1 RODO. W związku z tym zarzut w ww. zakresie jest również bezzasadny.
Odnosząc się zbiorczo do zarzutów przetwarzania danych osobowych o których mowa w punktach 2, 3, 4 i 5 Prezes UODO stwierdził, że są one nieuzasadnione.
Z ustaleń organu wynika, że uczestnik postępowania nie jest administratorem danych osobowych udostępnianych za pośrednictwem wskazanych tam platform w rozumieniu art. 4 pkt 7 RODO. Zgodnie z treścią tego przepisu RODO "administrator" oznacza osobę fizyczną lub prawną organ publiczny, jednostkę lub inny podmiot, który samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych osobowych; jeżeli cele i sposoby takiego przetwarzania są określone w prawie Unii lub w prawie państwa członkowskiego, to również w prawie Unii lub w prawie państwa członkowskiego może zostać wyznaczony administrator lub mogą zostać określone konkretne kryteria jego wyznaczania.
Uwzględniając powyższą definicję organ zgodził się z uczestnikiem postępowania, że nie był on i nie jest administratorem strony [...] oraz tablicy ogłoszeń związku zawodowego "[...]" i nie ma on wpływu na treść i formę publikowanych postów czy artykułów, nie ma on też wyłącznego wpływu na to co pojawia się na tablicy ogłoszeń ZZ "[...]". Wobec tego organ nie może uczynić ze wskazanego przez skarżących podmiotu, administratora ich danych osobowych, wobec którego mógłby podjąć działania naprawcze wynikające z kompetencji Prezesa UODO.
Organ wyjaśnił, że nie czyni ustaleń odnośnie tego, który podmiot naruszył prawo do ochrony danych osobowych osoby wnoszącej skargę, lecz rozpatruje skargi na działania konkretnych podmiotów, przez nią wskazanych z nazwy i adresu siedziby, które to prawo naruszyły. Określenie żądania, a więc również podanie administratora, wobec którego należy podjąć działania, jest wymaganym i istotnym elementem podania, w którym osoba, której dane dotyczą składa skargę na naruszenie jej danych osobowych, bowiem żądanie to wyznacza zakres sprawy. Skarżący w sposób niebudzący wątpliwości określili, w odniesieniu do jakiego podmiotu domagają się przeprowadzenia postępowania i podjęcia działań naprawczych. Prowadząc postępowanie administracyjne, Prezes UODO jest związany treścią skargi i nie ma podstaw do zmiany, w tym rozszerzenia przedmiotu prowadzonego postępowania według własnego uznania. W niniejszej sprawie organ na żadnym etapie postępowania nie miał zaś wątpliwości co do intencji skarżących, w odniesieniu do którego podmiotu domagają się podjęcia działań. W rozpatrywanej sprawie skarżący przedmiotem postępowania uczynili nieuprawnione przetwarzanie ich danych osobowych przez uczestnika postępowania, natomiast zebrane w sprawie dowody nie pozwalają na uznanie, że to ww. podmiot jest administratorem danych osobowych skarżących odpowiedzialnym za ich przetwarzanie, o którym mowa w punktach 2, 3, 4 i 5 uzasadnienia decyzji.
W związku z powyższym, organ stwierdził, że dalsze prowadzenie postępowania ukierunkowane na wydanie decyzji administracyjnej na podstawie art. 58 ust. 2 RODO jest niezasadne. Jak wykazało bowiem przeprowadzone postępowanie administracyjne uczestnik postępowania w zakresie określonym w pkt 1 decyzji przetwarzał dane osobowe M. L. (imię i nazwisko zawarte w treści przeprosin opublikowanych na portalu [...]) w celach osobistych, a ponadto w zakresie kwestii, o których mowa w pkt 2, 3, 4 i 5 uzasadnienia decyzji, uczestnik postępowania nie był administratorem danych osobowych skarżących, a zatem prowadzenie postępowania w tym zakresie stało się bezprzedmiotowe. Zgodnie zaś z art. 105 § 1 Kpa, gdy postępowanie z jakiejkolwiek przyczyny stało się bezprzedmiotowe, organ wydaje decyzję o umorzeniu postępowania.
Pismem z 21 grudnia 2022 r. skarżący reprezentowani przez pełnomocnika – adwokata wnieśli do Wojewódzkiego Sądu Administracyjnego w Warszawie skargę na ww. decyzję Prezesa UODO. Wnosząc o uchylenie w całości zaskarżonej decyzji oraz zasądzenie na ich rzecz kosztów postępowania, w tym kosztów zastępstwa procesowego, zaskarżonemu rozstrzygnięciu zarzucili:
I. naruszenie przepisów prawa materialnego mogących mieć wpływ na wynik postępowania, tj.:
- art. 10 RODO w zw. z art. 7, art. 77, art. 80, art. 107 § 3 Kpa, poprzez ich niezastosowanie i zaniechanie przez organ w ogóle odniesienia się do okoliczności tego, czy uczestnik postępowania w sposób nieuprawniony przetwarzał dane dotyczące wyroków karnych, czynów zabronionych i powiązanych środków bezpieczeństwa dotyczących skarżących, czy ujawnienie tych danych wobec nieograniczonej liczby osób stanowi naruszenie art. 10 RODO, czy organ w ogóle analizował przedmiotowy zarzut wyartykułowany expressis verbis w treści pisma skarżących z 22 grudnia 2021 r.;
- art. 9 ust. 1 RODO poprzez jego niezastosowanie i brak odniesienia się do kwestii, czy uczestnik postępowania w sposób nieuprawniony ujawnił wobec nieograniczonej liczby osób trzecich informacji odnośnie treści wyroku karnego w sprawie prowadzonej przeciwko skarżącym wraz z podaniem informacji w przedmiocie ich przynależności związkowej;
- art. 4 pkt 7 RODO poprzez dokonanie jego błędnej wykładni i uznanie, że uczestnik postępowania nie był i nie jest administratorem danych osobowych skarżących, podczas, gdy M. S. był jedynym dysponentem treści wyroku zapadłego przed Sądem Okręgowym w [...], Wydział [...] z [...] sierpnia 2021 r., sygn. akt [...], osobiście zredagował post na witrynie internetowej [...], albowiem widnieje w niej informacja "[...]", zaś osoba uczestnika postępowania spełnia obie przesłanki posiadania statusu administratora danych osobowych, mianowicie ustalania celów przetwarzania danych osobowych oraz ustalania sposobów przetwarzania danych;
- na wypadek niepodzielenia powyższego zarzutu przez Sąd autor skargi postawił zarzut naruszenia art. 58 w zw. z art. 4 pkt 8 RODO poprzez uznanie, że działania naprawcze mogą być podjęte tylko i wyłącznie wobec administratora danych osobowych, pomimo, że z treści art. 58 RODO bezpośrednio wynikają uprawnienia do zastosowania przedmiotowych działań także przeciwko podmiotowi przetwarzającemu, a takim z pewnością jest uczestnik postępowania (o ile nie może być uznany jako administrator - czemu skarżący przeczą);
- art. 2 ust. 2 lit. c, poprzez jego niewłaściwe zastosowanie, polegające na uznaniu, że umieszczenie przez uczestnika postępowania na swoim własnym profilu na portalu [...]
a) postu z [...] września 2021 r. zawierającego odesłanie do linku: [...] w którym został bezprawnie umieszczony wyrok Sądu Okręgowego w [...], Wydział [...] z [...] sierpnia 2021 r., sygn. akt [...] zawierający imiona i nazwiska skarżących oraz ich dane obejmujące naruszenie prawa w rozumieniu art. 10 RODO;
b) postu z [...] października 2021 r. zawierającego informację o realizacji ww. wyroku
z dopiskiem: "[...]";
c) postu z [...] grudnia 2021 r. zawierającego informację o realizacji przez skarżącego M. L. ww. wyroku wraz z dopiskiem "[...]";
d) postu z [...] grudnia 2021 r. zawierającego tekst przeprosin opublikowanych przez skarżącego M. L. z dopiskiem "[...]"
stanowi przetwarzanie danych osobowych o czysto osobistym lub domowym charakterze, podczas, gdy ww. wyrok zapadł w związku ze zniesławieniem uczestnika postępowania jako kandydata na członka zarządu [...] z ramienia załogi ww. spółki, poza powyższym pełni on funkcję przewodniczącego związku zawodowego Jedność przy [...] i także witryny przedmiotowego związku użył do bezprawnego przetwarzania danych osobowych skarżących, zatem bezspornie przetwarzanie danych osobowych skarżących przez uczestnika postępowania miało bezpośredni związek
z jego życiem zawodowym i nie przedstawiało czysto osobistego lub domowego charakteru; - art. 4 pkt 1 RODO poprzez jego oczywiście błędną wykładnię polegającą na uznaniu, że udostępnienie przez uczestnika postępowania na portalu [...] postu z [...] października 2021 r. zawierającego informację o realizacji ww. wyroku w którym widnieje jedynie część sygnatury sprawy sądowej, tj. [...] (reszta zamazana) stanowi o tym, iż to udostępnienie nie przejawia bezprawnego przetwarzania danych osobowych, bowiem rzekomo "zanonimizowany" numer sygnatury sprawy nie stanowi
w ogóle danej osobowej, podczas, gdy z kontekstu narracji uczestnika postępowania prowadzonej dotychczas, wcześniejszym licznym publikowaniu za pośrednictwem internetu i gabloty [...] treści wyroku, imion, nazwisk skarżących, ich przynależności związkowej bezpośrednio wynika, że realizacja wyroku dotyczy skarżących;
II. naruszenie przepisów postępowania, tj:
- art. 6, art. 7, art. 8, art. 77, art. 80, art. 107 § 3 Kpa polegające na niewyczerpującym zebraniu i rozpatrzeniu materiału dowodowego oraz na jego dowolnej ocenie, wyrażającej się zwłaszcza w odmówieniu mocy dowodowej przedłożonych przez skarżących dowodów, wadliwą ocenę dowodów znajdujących się w aktach sprawy
w szczególności tych przedłożonych przez skarżących, które jednoznacznie wskazały
i uprawdopodobniły w stopniu graniczącym z pewnością, że doszło do nieuprawnionego udostępnienia przez uczestnika postępowania danych skarżących obejmujących imię, nazwisko, informacje nt. karalności, środka karnego w postaci zobowiązania do przeprosin, obciążenia kosztami postępowania, przynależności związkowej, które miały wpływ na treść rozstrzygnięcia
- art. 6, art. 7, art. 8, art. 77, art. 80, art. 105 § 1 i art. 107 § 3 Kpa w związku z art. 7 ust. 1 u.o.d.o. z 2018 r. poprzez wadliwą ocenę dowodów znajdujących się w aktach sprawy przejawiającą się w oczywiście błędnych twierdzeniach użytych w uzasadnieniu zaskarżonej decyzji, że:
a) uczestnik postępowania na profilu "[...]" zlokalizowanym na portalu [...] opublikował tylko informacje dotyczące danych osobowych skarżącego M. L., podczas, gdy na tym profilu zawarł także bezpośrednie odesłanie do linku: [...]
w którym został bezprawnie umieszczony wyrok Sądu Okręgowego w [...], Wydział [...] z [...] sierpnia 2021 r., sygn. akt [...] zawierający imiona i nazwiska skarżących oraz ich dane obejmujące naruszenie prawa
w rozumieniu art. 10 RODO, gdzie znajdują się dane osobowe i wrażliwe obu skarżących;
b) uczestnik postępowania nie był i nie jest administratorem strony [...] oraz tablicy ogłoszeń Związku Zawodowego [...] i nie ma wpływu na treść i formę publikowanych postów czy artykułów oraz na to co pojawia się na tablicy ogłoszeń, pomimo że [...] był jedynym dysponentem ww. wyroku oraz wyroku Sądu Rejonowego w [...] Wydział [...], sygn. akt [...] z [...] marca 2021 r., ponieważ to on był stroną tych postępowań, a nie związek zawodowy, a ponadto autorstwo [...] artykułu umieszczonego na witrynie: [...] wynika bezpośrednio z samego artykułu, gdyż ponad fotografią ukazującą sędziowski młotek aukcyjny i otwartą książkę widnieje informacja "by [...], a ponadto wszystkie artykuły są pisane tym samym językiem nowomowy, tym samym stylem i narracja budowana jest w ten sam, zbieżny sposób.
W uzasadnieniu skarżący wskazali, że organ nie zrozumiał istoty złożonej przez nich skargi i nie odniósł się do prawnie relewantnych okoliczności sprawy. Skarżący przede wszystkim upatrują bowiem naruszenia przez uczestnika postępowania art. 9 ust. 1 i art. 10 RODO stanowiących o bezwzględnej ochronie takich informacji, jak przynależność związkowa oraz dane dotyczące wyroków skazujących oraz czynów zabronionych lub powiązanych środków bezpieczeństwa. Dane dotyczące wyroków karnych, popełnionych czynów zabronionych (czyli informacji o przypadkach popełnienia przestępstwa przez daną osobę fizyczną) oraz powiązanych środków bezpieczeństwa, tj. środków karnych i obowiązków nałożonych przez sąd karny mogą być przetwarzane wyłącznie pod nadzorem władz publicznych lub jeżeli przetwarzanie jest dozwolone prawem Unii lub prawem państwa członkowskiego przewidującymi odpowiednie zabezpieczenia praw i wolności osób, których dane dotyczą. Uczestnik postępowania (który z pewnością nie posiada statusu władzy publicznej) samowolnie udostępnił treść wyroku nie anonimizując go, wraz z imionami i nazwiskami, dopiskami dotyczącymi przynależności związkowej zarówno na swoich prywatnych profilach
w mediach społecznościowych, jak też w gablocie związku zawodowego, gdzie pełni rolę przewodniczącego, jak też na stronie internetowej Związku Zawodowego [...].
W przedmiotowej sprawie nie zachodzi żaden z przypadków umożliwiających zgodnie
z prawem przetwarzanie danych osobowych o których mowa w art. 9 i art. 10 RODO.
W szczególności zaś skarżący nigdy nie wyrazili zgody na upublicznianie tego typu danych, nigdy też sami nie ujawnili ich publicznie.
Autor skargi wskazał, że to nie samo opublikowanie imion i nazwisk skarżących stanowi główną oś naruszenia zasad zgodnego z prawem przetwarzania danych osobowych, a bezprawna publikacja wyroku sądu karnego w którym skarżący byli oskarżonymi wraz z podaniem rozstrzygnięcia sądu oraz imion i nazwisk skarżących, ich przynależności związkowej oraz dalsze podawanie informacji w przedmiocie realizacji wyroku. M. S. był jedynym dysponentem ww. wyroków, ponieważ to on był jego struną, a nie związek zawodowy.
W ocenie skarżących organ dopuścił się także innych naruszeń bowiem
w sposób niepoprawny, wybiórczy i dalece powierzchowny dekodując treść przepisów RODO, co znalazło swoje odzwierciedlenie w treści uzasadnienia decyzji z [...] grudnia 2022 r. Organ błędnie odczytuje oraz implementuje pojęcie "administratora"
w rozumieniu art. 4 pkt 7 RODO. Podstawowym kryterium odróżniającym administratora danych osobowych od innych podmiotów przetwarzających dane jest sprawowanie faktycznej kontroli nad przetwarzaniem danych, a więc decydowanie o celach
i sposobach przetwarzania. Innymi słowy, określanie celów i sposobów przetwarzania danych to decydowanie o tym, dlaczego i jak dane osobowe będą przetwarzane. Te cechy pozwalają na odróżnienie administratora danych osobowych od podmiotu przetwarzającego, który nie decyduje o celach przetwarzania danych osobowych, będąc uprawnionym do przetwarzania danych wyłącznie w celu ustalonym przez administratora danych. Należy przyjąć, że uczestnik postępowania był jedynym dysponentem danych osobowych skarżących w postaci zapadłych względem nich rozstrzygnięć karnych. Jedynie on decydował o tym, w jakim celu będzie przetwarzał te dane osobowe. Celem tym było ugodzenie w dobra osobiste skarżących w reakcji na podjęte przez nich działania związane z wyborami na członka zarządu [...]
z ramienia załogi. Innymi słowy, uczestnik postępowania, w zemście za działania kampanii wyborczej na członka zarządu postanowił opublikować dane wrażliwe skarżących. Trudno więc przyjąć, że to związek zawodowy jest administratorem danych osobowych w rozumieniu RODO w kontekście publikacji z [...] września 2021 r.
w sytuacji, kiedy to sam M. S. jest podpisany jako autor jego treści.
Autor skargi wskazał, że powyższe okoliczności przesądzają o istnieniu dwóch prawnie relewantnych kwestii. Po pierwsze - wbrew twierdzeniom organu uczestnik postępowania jest administratorem danych osobowych skarżących, bowiem tylko on decydował o sposobie ich przetwarzania, zaś po drugie, przetwarzanie to nie było wykonywane przez osobę fizyczną w ramach czynności o czysto osobistym lub domowym charakterze w rozumieniu art. 2 ust. 2 lit. c RODO. Spór powstały pomiędzy skarżącymi i uczestnikiem postępowania powstał na skutek podejmowanych działań
w ramach kampanii wyborczej na członka zarządu [...] z ramienia załogi. Mają one czysto zawodowy charakter. W związku z powyższym należy przyjąć, że przetwarzanie danych osobowych na prywatnych profilach uczestnika postępowania
z pewnością nie stanowi wyłącznie osobistego charakteru. Niezależnie od powyższego, na wypadek nieuwzględnienia przez Sąd argumentacji skarżących zmierzającej do uznania uczestnika postępowania jako administratora danych osobowych należy podnieść, że jeśli nie był on administratorem danych, to z całą pewnością jest podmiotem przetwarzającym dane osobowe. Zgodnie zaś z treścią art. 58 RODO czynności naprawcze mogą być podejmowane także wobec podmiotu przetwarzającego. Nie polegają na prawdzie również twierdzenia organu zmierzające do wykazywania, że rzekomo na swoich prywatnych profilach portalu [...] uczestnik postępowania publikował jedynie dane osobowe M. L. Bezprawnie publikował on tam bowiem dane wrażliwe obu skarżących.
W odpowiedzi na skargę organ wniósł o oddalenie skargi. Podtrzymując argumentację zawartą w zaskarżonej decyzji uznał zarzuty skargi za niezasadne.
W pismach procesowych z 9 sierpnia 2023 r. i 9 października 2023 r. uczestnik postępowania reprezentowany przez adwokata wniósł o oddalenie skargi skarżących. Wskazał, że nigdy nie był i nie jest administratorem danych skarżących. Skarżący określając podmiot, którego tyczyć się ma niniejsze postępowanie, a tym samym wyznaczając zakres postępowania zakreślili, że domagają się przeprowadzenia postępowania co do administratora M. S. W sprawie brak jest zaś dowodów wskazujących, aby był on podmiotem przetwarzającym powyższe dane. Nie miał on wpływu na treść i formę publikowanych postów czy artykułów, nie miał też wpływu na to co pojawia się na tablicy ogłoszeń Związku Zawodowego [...]. Nigdy też nie był i nie jest podmiotem przetwarzających dane osobowe skarżących. Wszelkie jego działania związane ze wskazanym przez skarżących postępowaniem karnym miały wyłącznie charakter domowy, prywatny, osobisty i podejmowane były przez uczestnika postępowania jako osobę fizyczną. Nie były one związane również z jakimkolwiek wykonywaniem przez niego działalności o charakterze handlowym, zarobkowym czy zawodowym.
Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje:
W myśl art. 1 ustawy z dnia 25 lipca 2002 r. Prawo o ustroju sądów administracyjnych (t.j. Dz. U. z 2022 r. poz. 2492) sądy administracyjne kontrolują prawidłowość zaskarżonych aktów administracyjnych, między innymi decyzji ostatecznych, przy uwzględnieniu kryterium ich zgodności z prawem. Decyzja podlega uchyleniu, jeśli sąd stwierdzi naruszenie prawa materialnego w stopniu mającym wpływ na wynik sprawy, naruszenie prawa dające podstawę do wznowienia postępowania lub inne naruszenie przepisów postępowania, jeżeli mogło ono mieć istotny wpływ na wynik sprawy, o czym stanowi art. 145 § 1 pkt 1 lit. a-c p.p.s.a. lub też naruszenie prawa będące podstawą stwierdzenia nieważności decyzji (art. 145 § 1 pkt 2 p.p.s.a.). W razie zaś stwierdzenia, że zaskarżona decyzja odpowiada prawu, sąd oddala skargę
w całości albo w części (art. 151 p.p.s.a.). W myśl natomiast art. 134 § 1 p.p.s.a. sąd rozstrzyga w granicach danej sprawy nie będąc jednak związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną. Sąd stosuje przewidziane ustawą środki w celu usunięcia naruszenia prawa w stosunku do aktów lub czynności wydanych lub podjętych we wszystkich postępowaniach prowadzonych w granicach sprawy, której dotyczy skarga, jeżeli jest to niezbędne dla końcowego jej załatwienia (art. 135 p.p.s.a.). Sąd orzekał w konwencji przepisu art. 153 p.p.s.a. - miał zatem obowiązek dokonać kontroli zgodności z prawem zaskarżonej decyzji w pełnym zakresie.
Skarga wniesiona przez skarżących oceniana w świetle powyższych kryteriów nie zasługuje na uwzględnienie bowiem zaskarżona decyzja Prezesa UODO odpowiada prawu. Przedmiotem kontroli Sądu jest decyzja Prezesa UODO z [...] grudnia 2022 r.
o umorzeniu postępowania w związku z brakiem stwierdzenia przez organ nieprawidłowości w procesie przetwarzania danych osobowych skarżących przez uczestnika postępowania, polegających na udostępnieniu bez podstawy prawnej ich danych w zakresie imion, nazwisk oraz informacji o przynależności związkowej, zawartych w wyroku Sądu Okręgowego, Wydział [...] z [...] sierpnia 2021 r., sygn. akt [...], poprzez ich opublikowanie na wskazanych w sentencji rozstrzygnięcia platformach.
W ocenie Sądu, w działaniu Prezesa UODO, jako organu administracji publicznej wydającego zaskarżoną decyzję, nie można dopatrzyć się jakichkolwiek istotnych nieprawidłowości i to zarówno gdy chodzi o ustalenie stanu faktycznego sprawy, jak
i co do procesu subsumcji przepisów prawa materialnego będących podstawą rozstrzygnięcia w sprawie.
Odnosząc się do w pierwszej kolejności do zarzutów naruszenia przepisów postępowania, tj. art. 6, art. 7, art. 8, art., 77 § 1, art. 80, art. 105 § 1 oraz art. 107 § 3 Kpa, polegających na niewyczerpującym rozpatrzeniu materiału dowodowego, jego dowolnej ocenie oraz braku podjęcia wszelkich niezbędnych czynności wyjaśniających, stwierdzić należy, że brak jest podstaw do ich uwzględnienia. Prezes UODO prowadząc bowiem postępowanie w niniejszej sprawie przedsięwziął wszelkie przewidziane prawem czynności służące wnikliwemu i rzetelnemu ustaleniu okoliczności faktycznych przedmiotowej sprawy i zebraniu materiału dowodowego potrzebnego do rozstrzygnięcia jej decyzją administracyjną Przedmiot postępowania, po dokonaniu kompleksowej analizy całości zebranego w postępowaniu materiału dowodowego stosownie do treści art. 77 Kpa, został rzetelnie oceniony przez organ przez pryzmat przepisów RODO.
Analiza tak treści zaskarżonej decyzji, jak i akt sprawy, prowadzi do wniosku, że organ wyjaśnił wszystkie istotne okoliczności sprawy, zaś w uzasadnieniu zaskarżonej decyzji Prezesa UODO podane zostały w sposób dostatecznie jasny
i przekonywujący motywy jej podjęcia, zaś przytoczona w tym zakresie argumentacja jest wyczerpująca i w pełni odnosząca się do ustaleń faktycznych. To, że skarżący nie przyjmują tych ustaleń i zwalczają je subiektywnymi odczuciami, skutecznie nie może zaś podważyć bezspornych ustaleń organu co do tego, że opisane przez skarżących zdarzenia nie mają potwierdzenia w zgromadzonym przez Prezesa UODO materiale dowodowym.
Przechodząc do meritum sprawy, Sąd wyjaśnia, że zgodnie z art. 58 ust. 1 i 2 RODO, każdemu organowi nadzorczemu przysługują wszystkie następujące uprawnienia w zakresie prowadzonych postępowań:
a) nakazanie administratorowi i podmiotowi przetwarzającemu, a w stosownym przypadku przedstawicielowi administratora lub podmiotu przetwarzającego, dostarczenia wszelkich informacji potrzebnych organowi nadzorczemu do realizacji swoich zadań;
b) prowadzenie postępowań w formie audytów ochrony danych;
c) dokonywanie przeglądu udzielonych certyfikacji na mocy art. 42 ust. 7; d) zawiadamianie administratora lub podmiotu przetwarzającego o podejrzeniu naruszenia niniejszego rozporządzenia; e) uzyskiwanie od administratora i podmiotu przetwarzającego dostępu do wszelkich danych osobowych i wszelkich informacji niezbędnych organowi nadzorczemu do realizacji swoich zadań; f) uzyskiwanie dostępu do wszystkich pomieszczeń administratora i podmiotu przetwarzającego, w tym do sprzętu i środków służących do przetwarzania danych, zgodnie z procedurami określonymi w prawie unijnym lub w prawie państwa członkowskiego. Każdemu organowi nadzorczemu przysługują wszystkie następujące uprawnienia naprawcze: a) wydawanie ostrzeżeń administratorowi lub podmiotowi przetwarzającemu dotyczących możliwości naruszenia przepisów niniejszego rozporządzenia poprzez planowane operacje przetwarzania; b)udzielanie upomnień administratorowi lub podmiotowi przetwarzającemu w przypadku naruszenia przepisów niniejszego rozporządzenia przez operacje przetwarzania; c) nakazanie administratorowi lub podmiotowi przetwarzającemu spełnienia żądania osoby, której dane dotyczą, wynikającego z praw przysługujących jej na mocy niniejszego rozporządzenia; d) nakazanie administratorowi lub podmiotowi przetwarzającemu dostosowania operacji przetwarzania do przepisów niniejszego rozporządzenia, a w stosownych przypadkach wskazanie sposobu i terminu; e) nakazanie administratorowi zawiadomienia osoby, której dane dotyczą, o naruszeniu ochrony danych; f) wprowadzanie czasowego lub całkowitego ograniczenia przetwarzania, w tym zakazu przetwarzania; g) nakazanie na mocy art. 16, 17 i 18 sprostowania lub usunięcia danych osobowych lub ograniczenia ich przetwarzania oraz nakazanie na mocy art. 17 ust. 2 i art. 19 powiadomienia o tych czynnościach odbiorców, którym dane osobowe ujawniono; h) cofnięcie certyfikacji lub nakazanie podmiotowi certyfikującemu cofnięcia certyfikacji udzielonej na mocy art. 42 lub 43, lub nakazanie podmiotowi certyfikującemu nieudzielania certyfikacji, jeżeli jej wymogi nie są spełnione lub przestały być spełniane; i) zastosowanie, oprócz lub zamiast środków, o których mowa w niniejszym ustępie, administracyjnej kary pieniężnej na mocy art. 83, zależnie od okoliczności konkretnej sprawy; j) nakazanie zawieszenia przepływu danych do odbiorcy w państwie trzecim lub do organizacji międzynarodowej. Sąd zwraca przy tym uwagę, że od dnia 25 maja 2018 r., bezpośrednie zastosowanie w polskim porządku prawnym mają przepisy rozporządzenia RODO. Ponadto w dniu 25 maja 2018 r. weszła w życie ustawa o ochronie danych osobowych, którą to ustawę stosuje się do ochrony osób fizycznych w związku z przetwarzaniem danych osobowych w zakresie określonym w art. 2 i art. 3 RODO (art. 1 ust. 1 u.o.d.o.). Katalog uprawnień nadzorczych w zakresie prowadzonych przez Prezesa UODO postępowań określony został w art. 58 ust. 1 RODO, natomiast przysługujące Prezesowi UODO uprawnienia naprawcze zostały wymienione w art. 58 ust. 2 RODO i są one dla organu wiążące. Prezesowi UODO przysługuje uprawnienie naprawcze w postaci prawa do nakazania administratorowi lub podmiotowi przetwarzającemu spełnienia żądania osoby, której dane dotyczą, wynikającego z praw przysługujących jej na mocy przedmiotowego rozporządzenia. Tym żądaniem może być prawo dostępu do danych, prawo do sprostowania danych, prawo do usunięcia danych, prawo do ograniczenia przetwarzania danych, prawo do przenoszenia danych oraz prawo do sprzeciwu i niepodlegania decyzjom opartym na zautomatyzowanym przetwarzaniu. Powyższe przepisy ujmują prawa osób, których dane dotyczą, w sposób wyczerpujący. Ponieważ na gruncie regulacji zawartych w ustawie o ochronie danych osobowych oraz RODO brak jest przepisu, który dawałby podstawę do wydania decyzji administracyjnej w sytuacji, gdy organ nie stwierdzi naruszenia przepisów o ochronie danych osobowych, w tym w szczególności, brak jest takiego przepisu, który dawałby podstawę do oddalenia skargi czy też odmowy uwzględnienia żądania w nim wyrażonego, w sytuacji, gdy nieprawidłowości w ogóle nie wystąpiły - organ był zobowiązany umorzyć postępowanie.
Zgodzić się należy z Prezesem UODO, że jak zostało to już określone
w uzasadnieniu zaskarżonej decyzji - organ nie czyni ustaleń odnośnie tego, który podmiot naruszył prawo do ochrony danych osobowych osoby wnoszącej skargę, lecz rozpatruje skargi na działania konkretnych podmiotów, przez nią wskazanych z nazwy
i adresu siedziby, które to prawo naruszyły. Określenie żądania, a więc również wskazanie skarżonego podmiotu będącego administratorem i wobec którego należy podjąć działania, jest niezbędnym elementem podania, w którym osoba, której dane dotyczą składa skargę na naruszenie jej danych osobowych. To żądanie bowiem wyznacza zakres sprawy.
Jak wynika z okoliczności faktycznych sprawy, organ pismem z 26 stycznia 2022 r. wezwał pełnomocnika skarżących do wskazania konkretnego podmiotu, w stosunku do którego żąda przeprowadzenia postępowania administracyjnego. W odpowiedzi pełnomocnik pismem z 3 lutego 2022 r. sprecyzował, że podmiotem, który dopuścił się nieprawidłowości związanych z przetwarzaniem danych osobowych skarżących jest M. S., zakreślając tym samym ściśle ramy postępowania administracyjnego wszczętego przez organ. Zaznaczyć tym samym należy, że w niebudzący wątpliwości organu sposób strona skarżąca określiła, w odniesieniu do jakiego podmiotu kierowany jest wniosek o przeprowadzenie postępowania i podjęcia działań naprawczych.
Prezes UODO, prowadząc postępowanie administracyjne jest związany treścią skargi i nie ma podstaw do zmiany, w tym rozszerzenia przedmiotu prowadzonego postępowania według własnego uznania. Skoro zaś organ, na żadnym etapie postępowania nie miał wątpliwości co do intencji skarżących, w odniesieniu do którego podmiotu domagają się podjęcia działań, i że podmiotem tym jest M. S., tak w świetle zebranych dowodów prawidłowo uznał, że ww. podmiot nie jest - w świetle definicji określonej w art. 4 pkt 7 RODO - administratorem danych osobowych skarżących przetwarzanych na stronie internetowej: [...], stronie internetowej: [...], tablicy profilu ZZ [...] portalu społecznościowego "[...]" oraz tablicy ogłoszeń związku zawodowego [...] grupy kapitałowej [...]. Powyższe ustalenie
w konsekwencji doprowadziło do umorzenia postępowania administracyjnego w tym zakresie.
Słusznie stwierdził organ, że uczestnika postępowania nie można również uznać za podmiot przetwarzający dane osobowe skarżących na rzecz administratora, gdyż
z jednej strony w materiale dowodowym zgromadzonym w sprawie brak było dowodów świadczących o tym, aby w sprawie spełnione miały zostać przesłanki, o których mowa w art. 28 RODO, z drugiej, jak już zostało wyżej podniesione, to skarżący zakreślili przedmiot postępowania prowadzonego przez organ wskazując na podmiot, wobec którego domagają się oni przeprowadzenia postępowania administracyjnego, będącego podmiotem odpowiedzialnym za przetwarzanie ich danych osobowych, tj. ich administratorem. Mając na względzie powyższe, zgodzić się należy z organem, że zarzuty skarżących określone w tym zakresie są nietrafne.
Odnosząc się do zarzutów naruszenia przepisów prawa materialnego, tj. art. 2 ust. 2 lit c, art. 9 ust. 1 i art. 10 RODO, wskazać należy, że wykładnia semantyczna art. 2 ust 2 lit. c RODO przesądza, że dla zastosowania wyłączenia przewidzianego w tym przepisie spełnione muszą być łącznie obie przesłanki, tj. przetwarzanie ma być podejmowane przez osobę fizyczną oraz przetwarzanie ma następować w ramach czynności o czysto osobistym lub domowym charakterze. Przeprowadzone postępowanie administracyjne wykazało, że wyrokiem Sądu Okręgowego w [...] skarżący M. L. został zobligowany do zamieszczenia na swoim profilu na portalu [...], treści przeprosin skierowanych do M. S., które to następnie w niezmienionej formie zostały udostępnione na jego prywatnym profilu na portalu [...]. Profil internetowy, na którym doszło do ww. udostępnienia danych ww. skarżącego nie jest portalem związku zawodowego. Postępowanie sądowe, zakończone ww. wyrokiem było prowadzone pomiędzy stronami sporu będącymi osobami fizycznymi i w efekcie tego środek karny zastosowany wobec M. L. skierowany był do osoby fizycznej. Stąd mając na uwadze powyższe, trafnie uznał organ, że nie ma podstaw do wydania wobec uczestnika postępowania któregokolwiek z nakazów, o których mowa w art. 58 RODO, z uwagi na osobisty
i prywatny charakter takiego udostępnienia, co do którego, zgodnie z definicją zawartą w art. 2 ust. 2 lit c RODO, nie stosuje się przepisów wymienionego rozporządzenia.
Wyłączenie, ustanowione w ww. przepisie, dotyczy przetwarzania danych osobowych lub przez osobę fizyczną w ramach czynności o czysto osobistym lub domowym charakterze. W motywie 18 preambuły wyjaśniono, że chodzi o aktywność prowadzoną "bez związku z działalnością zawodową lub handlową". Dalej wyjaśniono, że "działalność osobista lub domowa może między innymi polegać na korespondencji
i przechowywaniu adresów, podtrzymywaniu więzi społecznych oraz działalności internetowej podejmowanej w ramach takiej działalności. Niniejsze rozporządzenie ma jednak zastosowanie do administratorów lub podmiotów przetwarzających, którzy udostępniają środki przetwarzania danych osobowych na potrzeby takiej działalności osobistej lub domowej". W oparciu o komentowany przepis uzupełniony wyjaśnieniem zawartym w preambule można przyjąć, że aktywność osób fizycznych na portalach społecznościowych (niemająca związku z działalnością zawodową lub handlową) zasadniczo będzie mieścić się w ramach wyłączenia stosowania rozporządzenia, natomiast dostawcy usług internetowych poddani zostali obowiązkowi stosowania przepisów o ochronie danych osobowych (patrz komentarz do art. 2 ust. 2 lit. c RODO "Ogólne rozporządzenie o ochronie danych osobowych. Ustawa o ochronie danych osobowych. Komentarz." Paweł Fajgielski wydanie 2, Warszawa 2022 r.).
Sąd podziela pogląd organu, że M. S., występując w postępowaniu karnym nie działał jako administrator danych osobowych skarżących. Administratorem tych danych przetwarzanych w toku prowadzonego postępowania był rozpoznający sprawę powołany już wyżej sąd okręgowy. M. S., będąc zatem dysponentem wyroku sądowego wydanego w sprawie go dotyczącej, w której był stroną, podejmował dalsze czynności, w tym te wyżej wymienione, a kwestionowane przez skarżących, działając w celu czysto osobistym i domowym, tj. niezwiązanym z wykonywaniem przez niego w tym zakresie działalności o charakterze zarobkowym, zawodowym lub handlowym, a wyłącznie jako osoba fizyczna, względem której skarżący zobowiązani zostali przez ww. sąd okręgowy do określonego działania.
Wobec tego bezpodstawne było rozpatrywanie przedmiotowej sprawy na podstawie przepisów RODO i w związku z tą bezprzedmiotowością organ w oparciu
o treść art. 105 § 1 Kpa prawidłowo umorzył postępowanie. W konsekwencji bowiem ustalenia przez organ, że nie doszło do przetwarzania danych osobowych skarżących
w kwestionowany przez nich sposób, wystąpił brak możliwości wydania w tym zakresie przez Prezesa UODO jakiejkolwiek decyzji merytorycznej. Zgodnie zaś z art. 105 § 1 Kpa, gdy postępowanie z jakiejkolwiek przyczyny stało się bezprzedmiotowe w całości albo w części, organ administracji publicznej wydaje decyzję o umorzeniu postępowania odpowiednio w całości albo w części. W doktrynie i orzecznictwie jednolicie wskazuje się, że
z bezprzedmiotowością postępowania administracyjnego w rozumieniu art. 105 § 1 Kpa mamy do czynienia wówczas, gdy nie ma materialnoprawnych podstaw do władczej, przyjmującej formę decyzji administracyjnej lub postanowienia, ingerencji organu. Przyczyny, dla których sprawa będąca przedmiotem postępowania administracyjnego utraciła charakter sprawy administracyjnej lub nie miała takiego charakteru jeszcze przed wszczęciem postępowania, mogą być różnorodnej natury. Bezprzedmiotowość może mieć miejsce w szczególności, gdy brak jest przedmiotu faktycznego do rozpatrzenia sprawy, jak również w sytuacji, gdy nie istnieje podstawa prawna do wydania aktu administracyjnego w zakresie żądania wnioskodawcy. Sąd podziela stanowisko Prezesa UODO, że taka właśnie sytuacja zachodzi w stanie faktycznym niniejszej sprawy. W tej sytuacji Sąd uznał, że Prezes UODO, wydając zaskarżoną decyzję nie dopuścił się naruszenia ani wiążących Polskę przepisów prawa europejskiego, jak
i regulacji prawa krajowego, w stopniu mającym istotny wpływ na końcowy wynik sprawy zakończonej wydaniem zaskarżonej decyzji. Dlatego też, Sąd działając na podstawie art. 151 p.p.s.a. skargę oddalił.