II SA/Wa 2383/23

II SA/Wa 2383/23 - Wyrok WSA w Warszawie
Data orzeczenia
2024-10-18
orzeczenie prawomocne
Data wpływu
2023-12-21
Sąd
Wojewódzki Sąd Administracyjny w Warszawie
Sędziowie
Danuta Kania /sprawozdawca/
Dorota Kozub-Marciniak
Karolina Kisielewicz-Sierakowska /przewodniczący/
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne
Ochrona danych osobowych
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Uchylono zaskarżoną decyzję
Powołane przepisy
Dz.U. 2019 poz 1781
art. 7 ust. 1
Ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych (t. j.)
Dz.U.UE.L 2016 nr 119 poz 1 art. 17 ust. 1, art. 12 ust. 1 i 4, art. 34
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z  przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE
Sentencja
Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Karolina Kisielewicz-Sierakowska, Sędzia WSA Danuta Kania (spr.), Asesor WSA Dorota Kozub-Marciniak, Protokolant starszy referent Agnieszka Fidor po rozpoznaniu na rozprawie w dniu 18 października 2024 r. sprawy ze skarg [...] Sp. z o.o. z siedzibą w W. oraz [...] z siedzibą w [...] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] października 2023 r. nr [...] w przedmiocie przetwarzania danych osobowych 1. uchyla zaskarżoną decyzję w zakresie punktu 3; 2. oddala skargę [...] z siedzibą w [...] na punkty 1 i 2 zaskarżonej decyzji; 3. zasądza od Prezesa Urzędu Ochrony Danych Osobowych na rzecz [...] z o.o. z siedzibą w W. kwotę 697 (słownie: sześćset dziewięćdziesiąt siedem) złotych tytułem zwrotu kosztów postępowania.
Uzasadnienie
Decyzją z dnia [...] października 2023 r. nr [...] Prezes Urzędu Ochrony Danych Osobowych (dalej: "Prezes UODO", "organ"), na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2023 r., poz. 775 ze zm.), dalej: "k.p.a." w związku z art. 7 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r., poz. 1781), dalej: "u.o.d.o.", art. 12 ust. 1 i 4, art. 17 ust. 1 lit. c oraz art. 58 ust. 2 lit. b rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z dnia 4 maja 2016 r., s. 1, Dz. Urz. UE L 127 z dnia 23 maja 2018 r., s. 2 oraz Dz. Urz. UE L 74 z dnia 4 marca 2021r., s. 35), dalej: "RODO", po przeprowadzeniu postępowania administracyjnego w sprawie skargi P.P. (dalej: "uczestnik postępowania") na nieprawidłowości w procesie przetwarzania jego danych osobowych przez [...] z siedzibą w [...] (dalej: "[...]") oraz [...] z siedzibą w [...] (dalej: "[...]"), polegające na niezrealizowaniu żądania P.P. dotyczącego usunięcia jego danych osobowych w wynikach wyszukiwarki [...] o adresach URL:
1. [...]
2. [...]
3. [...]
4. [...]
5. [...]
6. [...]
1) udzielił [...] upomnienia za naruszenie art. 17 ust. 1 lit. c RODO polegające na niezrealizowaniu żądania P.P. dotyczącego usunięcia jego danych osobowych w wynikach wyszukiwarki [...] o adresach URL wskazanych w punktach 2, 3 i 6;
2) udzielił [...] upomnienia za naruszenie art. 12 ust. 1 i 4 w związku z art. 17 ust. 1 lit. c RODO polegające na prowadzeniu komunikacji dotyczącej żądania usunięcia danych osobowych P.P. w wynikach wyszukiwarki [...] o adresach URL wskazanych w pkt 2, 3 i 6 w sposób nieprzejrzysty i niezrozumiały oraz niepoinformowaniu P.P. o niepodjęciu działań w związku z jego żądaniami usunięcia danych osobowych w wynikach wyszukiwarki [...];
3) udzielił [...] upomnienia za naruszenie art. 12 ust. 4 w związku z art. 17 ust. 1 lit. c RODO polegające na niepoinformowaniu P.P. o niepodjęciu działań w związku z jego żądaniami usunięcia danych osobowych w wynikach wyszukiwarki [...];
4) w pozostałym zakresie odmówił uwzględnienia wniosku.
W uzasadnieniu decyzji organ wskazał, że do UODO wpłynęła skarga P.P. na nieprawidłowości w procesie przetwarzania jego danych osobowych przez [...] oraz [...], polegające na niezrealizowaniu żądania dotyczącego usunięcia jego danych osobowych w wynikach wyszukiwarki [...] o adresach URL wymienionych w sentencji decyzji.
W toku postępowania organ ustalił, że istota funkcjonowania wyszukiwarki [...]opiera się na zbieraniu informacji dostarczanych przez serwery stron osób trzecich, w drodze przeglądania (skanowania) i indeksowania przeszukiwanych części internetu przez [...]. Jeżeli administrator strony (webmaster) chce uniemożliwić [...]lub innemu operatorowi wyszukiwarki przeglądanie i indeksowanie niektórych lub wszystkich informacji na swojej stronie, może zastosować standardowe mechanizmy kontroli. Informacje, w tym dane osobowe uczestnika postępowania, przetwarzane przez [...] w indeksie wyszukiwarki oraz w procesie prezentowania (wyświetlania) wyników wyszukiwania, pochodzą ze stron internetowych podmiotów trzecich wcześniej istniejących i dostępnych w internecie.
W złożonych do organu wyjaśnieniach z dnia 29 marca 2021 r. [...] wskazała, że nie świadczy za pośrednictwem wyszukiwarki [...], jak również strony www.[...].com oraz www.[...].pl, usługi wyszukiwarki internetowej. Prowadzi natomiast działalność reklamową oraz usługi marketingu reklam internetowych i to tylko i wyłącznie na rzecz innych spółek swojej grupy kapitałowej. Tym samym, jak wskazała, nie jest administratorem danych osobowych przetwarzanych w indeksie wyszukiwarki o nazwie "[...]" ani w procesie wyświetlania wyników wyszukiwania. Jedynym podmiotem, który może ustosunkować się do przedmiotowej skargi jest [...], tj. administrator danych przetwarzanych w indeksie wyszukiwarki internetowej oraz w procesie wyświetlania wyników wyszukiwania.
[...] w wyjaśnieniach z dnia 6 kwietnia 2021 r. podała, że przetwarza dane osobowe, które są publicznie udostępniane przez wydawców stron internetowych indeksowanych w wyszukiwarkach. Dane takie są uwzględniane w wynikach wyszukiwania [...]wyświetlanych użytkownikom w odpowiedzi na ich zapytania. Podstawą prawną pozyskiwania i przetwarzania informacji ogólnodostępnych w internecie (w tym danych osobowych uczestnika postępowania) jest prawnie uzasadniony interes, o którym mowa w art. 6 ust. 1 lit. f RODO, zaś celem gromadzenia i przetwarzania informacji dostępnych w internecie (w tym danych uczestnika) jest dostarczanie wyników wyszukiwania przez wyszukiwarkę internetową [...]. Świadczenie usługi wyszukiwarki internetowej zaspokaja interes użytkowników internetu w zakresie przekazywania informacji i posiadania dostępu do informacji za pośrednictwem wyszukiwarek. Jest to również niezbędne w uzasadnionym interesie prawnym [...] polegającym na prezentowaniu wyników wyszukiwania.
Fraza "[...] " stanowiła firmę działalności gospodarczej uczestnika postępowania, którą zakończył w dniu [...] kwietnia 2016 r., a która została wykreślona z Centralnej Ewidencji i Informacji o Działalności Gospodarczej w dniu [...] kwietnia 2016 r.
W dniu 5 czerwca 2018 r. uczestnik postępowania zwrócił się do [...] o usunięcie adresów URL, oznaczonych w sentencji decyzji punktami 2 i 3 z wyników wyszukiwania wyszukiwarki [...], mającego za punkt wyjścia frazę "[...]" (wniosek nr [...]). Swoje żądanie odnośnie punktu 2, uczestnik powtórzył jeszcze w dniach 6 czerwca 2018 r. (wniosek nr [...]), w dniach 18, 20 i 22 czerwca 2018 r. (wnioski o nr [...]) oraz w dniu 26 czerwca 2018 r. (wniosek o nr [...]).
W dniu 27 czerwca [...] poinformowała, że strona internetowa, opublikowana pod adresem URL oznaczonym w sentencji decyzji jako punkt 3, nie jest już wyświetlana w wynikach wyszukiwania lub została usunięta. W dniach 21 i 29 czerwca 2018 r. Spółka poinformowała: "aktualnie przygotowujemy (...) odpowiedź lub już ją wysłaliśmy", zaś w dniach 27 i 29 czerwca 2018 r. wskazała dodatkowo, że: "po przeanalizowaniu odpowiednich praw i uzasadnionych interesów związanych z problematycznymi treściami, z uwzględnieniem takich aspektów jak ich wpływ na Twoją karierę zawodową, firma [...] postanowiła nie blokować dostępu do tych materiałów".
Na zarzut uczestnika, że działalność gospodarczą prowadził do 2016 r. i niezrozumiałe jest dla niego uzasadnienie dotyczące nieusuwania adresu URL oznaczonego w sentencji decyzji jako punkt 2, [...] wyjaśniła w dniu 2 lipca 2018 r., że: "kwestionowana treść wydaje się odnosić do obecnego stanowiska pracy lub zawodu użytkownika. Aby umożliwić dalszą ocenę zgłoszenia, prosimy o odpowiedź z informacją na temat obecnego zawodu użytkownika. Jeśli ta treść odnosi się do dawnej sytuacji zawodowej użytkownika, prosimy o potwierdzenie daty zakończenia pracy w tym zawodzie. Jeśli to możliwe, prosimy o dostarczenie dokumentacji potwierdzającej te informacje".
Jeszcze w tym samym dniu uczestnik przesłał do [...] wyciąg z rejestru działalności gospodarczej, wskazując m.in.: "zapis mnie dotyczący opatrzony jest informacją o dacie wykreślenia z rejestru".
W dniach 9 i 11 lipca 2018 r., w korespondencjach dotyczących wniosków odpowiednio o nr [...] i [...], uczestnik ponownie poinformował [...], że działalność gospodarczą pod firmą "[...]" zakończył w 2016 r.
W dniu 14 sierpnia 2018 r. [...] poinformowała uczestnika postępowania, że strona o adresie URL oznaczonym w sentencji decyzji jako punkt 2: "nie jest już wyświetlana w naszych wynikach wyszukiwania lub została usunięta". Jednak tego samego dnia uczestnik poinformował [...], że strona nadal się wyświetla. W zakresie tego adresu URL [...] wypowiedziała się jeszcze tylko w dniu 21 sierpnia 2018 r. (w korespondencji dotyczącej wniosku o nr [...]), oznajmiając, że aktualnie przygotowuje odpowiedź lub już ją wysłała.
W dniu 6 czerwca 2018 r. (wniosek nr [...]), uczestnik zażądał od [...] usunięcia z listy wyników wyszukiwania adresów URL oznaczonych w sentencji decyzji punktami 4 i 5. W dniu 27 czerwca 2018 r. Spółka poinformowała, że podjęła działania w celu ich usunięcia, a następnie zrealizowała żądanie.
Również w dniu 6 czerwca 2018 r. (wniosek nr [...]), uczestnik zażądał od [...] usunięcia z listy wyników wyszukiwania adresu URL, oznaczonego w sentencji decyzji jako punkt 1. W dniach 18 i 27 czerwca 2018 r. [...] odpowiedziała, że podjęła działania w celu ich usunięcia, a następnie zrealizowała żądanie.
W dniu 14 czerwca 2018 r. (wniosek nr [...]) uczestnik zażądał od [...] usunięcia z listy wyników wyszukiwania adresu URL oznaczonego w sentencji decyzji jako punkt 6. W dniach 26 i 27 czerwca 2018 r. Spółka odpowiedziała, że: "podana strona internetowa nie jest już wyświetlana w naszych wynikach wyszukiwania lub została usunięta", a na zarzut uczestnika, że w dniu 27 czerwca 2018 r. strona ta: "nadal jest", [...] wyjaśniła, że: "jeśli te informacje nie są już dostępne na stronie osoby trzeciej, pamięć podręczna [...]zaktualizuje się z czasem, aby odzwierciedlać zmienioną treść strony".
W wyjaśnieniach przesłanych do Prezesa UODO [...] wskazała, że w odniesieniu do adresów URL, oznaczonych w sentencji decyzji punktami 2, 3 i 6, początkowo odmówiła ich usunięcia z listy wyników wyszukiwania, ponieważ: "informacje zawarte na tych stronach internetowych dotyczyły działalności gospodarczej prowadzonej przez Skarżącego, co mogło być istotne dla jego kontrahentów, klientów lub współpracowników. Z tej przyczyny (...) uznała, że interes
publiczny w posiadaniu dostępu do tych informacji, jak również wolność wypowiedzi i informacji przeważa nad prawem do prywatności i ochrony danych osobowych podmiotu danych". Jednak po otrzymaniu pisma organu, czyli po dniu 15 marca 2021r., Spółka ponownie przeanalizowała wniosek uczestnika i stwierdzając, że powyższe linki prowadziły do stron, które już nie istniały albo nie zawierały danych osobowych uczestnika, usunęła te adresy URL z wyników wyszukiwania.
[...] przeprowadzała ocenę prawnie uzasadnionego interesu w przetwarzaniu danych osobowych uczestnika postępowania po otrzymaniu od uczestnika wniosku o usunięcie adresów URL z wyników wyszukiwania.
Aktualnie w wynikach wyszukiwania wyszukiwarki [...] po wpisaniu frazy "[...]" nie jest wyświetlany żaden adres URL ze wskazanych w
sentencji decyzji.
Organ ustalił również, że w czerwcu, lipcu i sierpniu 2018 r. uczestnik skierował do [...] trzy wnioski dotyczące usunięcia jego danych osobowych z wyników wyszukiwania wyszukiwarki [...]. Spółka ta wyjaśniła natomiast, że: "w związku z faktem, iż [...] sp. z o.o. nie jest administratorem danych osobowych przetwarzanych w indeksie wyszukiwarki internetowej [...], (...) nie mogła podjąć żadnych działań wynikających z przedmiotowego wniosku, w szczególności usunąć wnioskowanych danych".
Uwzględniając powyższe organ powołał art. 2 ust. 1 i art. 6 ust. 1 lit. f RODO, a także art. 7 i art. 8 i 11 Karty Praw Podstawowych Unii Europejskiej (Dz. U. UE. C. z 2007r., Nr 303, poz. 1), dalej: "KPP", oraz art. 10 Konwencji o ochronie praw człowieka i podstawowych wolności (Dz. U. z 1993 r. Nr. 61, poz. 284), dalej: "EKPCz". Organ wskazał również na wyrok Trybunału Sprawiedliwości Unii Europejskiej (dalej: "TSUE") z dnia 13 maja 2014 r. w sprawie C-131/12 [...] i [...]Inc. przeciwko [...] i M.C. (dalej: "wyrok w sprawie C-131/12"), w którym uznano, że operatorzy wyszukiwarek przetwarzają dane osobowe w rozumieniu art. 2 dyrektywy 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych (dalej: dyrektywa 95/46/WE), a podstawę przetwarzania danych stanowi art. 7 lit. f dyrektywy 95/46/WE, który jest treściowo tożsamy z art. 6 ust. 1 lit. f RODO (punkty 33 i 73 wyroku).
Organ stwierdził w związku z tym, że [...] pełni rolę administratora danych osobowych przetwarzanych w indeksie wyszukiwarki [...]. W wyszukiwarce internetowej [...] przetwarzane są dane osobowe, które zostały publicznie udostępnione przez wydawców stron internetowych. Dane te są udostępniane w celu wskazywania linków do stron internetowych zawierających informacje na temat określonych osób (w tym uczestnika postępowania) w odpowiedzi na zapytania dokonane przez użytkownika w wyszukiwarce na podstawie imienia i nazwiska. Świadczenie usługi wyszukiwarki internetowej ma również na celu zapewnienie ogółowi społeczeństwa realizacji prawa dostępu do informacji, które mogą być rozpowszechniane dalej i komentowane (art. 11 KPP i art. 10 EKPCz).
Dalej organ powołał art. 17 ust. 1 i art. 21 ust. 1 RODO. Wskazał, iż podziela stanowisko zawarte w wyroku w sprawie C-131/12, w którym TSUE wskazał, że prawa osoby, której dane dotyczą, chronione na podstawie m.in. art. 7 i art. 8 KPP, są co do zasady nadrzędne wobec interesu internautów, choć równowaga ta może w szczególnych przypadkach zależeć od charakteru rozpatrywanych informacji i od tego, jak istotne są one dla prywatności osoby, której dane dotyczą, oraz dla publicznego interesu w dysponowaniu tą informacją, który to interes może być uzależniony w szczególności od roli odgrywanej przez tę osobę w życiu publicznym (punkty 80, 81 i 87 wyroku).
Organ podzielił również stanowisko wyrażone przez TSUE w wyroku w sprawie C-131/12 (pkt 97) jak i w wyroku z dnia 24 września 2019 r. w sprawie C-136/17 [...] przeciwko [...], (dalej: "wyrok w sprawie C-136/17") (punkty 66 i 67), że co do zasady prawo jednostki do żądania, aby dana informacja nie była już podawana do wiadomości szerokiego kręgu odbiorców poprzez zawarcie jej na takiej liście wyników, należy uznać za nadrzędne nie tylko wobec interesu gospodarczego operatora wyszukiwarki internetowej, lecz również wobec interesu, jaki ten krąg odbiorców może mieć w znalezieniu rzeczonej informacji w ramach wyszukiwania prowadzonego w przedmiocie imienia i nazwiska tej osoby. Taka sytuacja nie ma jednak miejsca, jeśli ze szczególnych powodów, takich jak np. z uwagi na rolę odgrywaną przez tę osobę w życiu publicznym, należałoby uznać, że ingerencja w prawa podstawowe tej osoby jest uzasadniona nadrzędnym interesem tego kręgu odbiorców, polegającym na posiadaniu, dzięki temu zawarciu na liście, dostępu do danej informacji.
Dalej organ powołał się na wytyczne Grupy Roboczej Artykułu 29 ds. Ochrony Danych (dalej: "Grupa Robocza") z dnia 26 listopada 2014 r. dotyczące wykonania wyroku TSUE w sprawie C-131/12 (dalej: "Wytyczne WP 225"), w których opracowano listę kryteriów jakie mają być wykorzystywane przez organy ochrony danych przy ocenie zachowania zgodności z prawem ochrony danych osobowych odmowy uwzględnienia wniosków o usunięcie z listy wyników wyszukiwania przez operatorów wyszukiwarek. Jednym z kryteriów wymagającym oceny jest rola osoby w życiu publicznym (zgodnie z wytycznymi WP 225 jest to pojęcie szersze niż "osoba publiczna"). Tytułem przykładu osoby pełniącej rolę w życiu publicznym wskazano osoby, które odgrywają rolę w gospodarce (biznesmenów), podkreślając, że w przypadku gdy opublikowane informacje nie stanowią prywatnych informacji dotyczących osoby publicznej, będzie to silny argument przeciwko usunięciu z listy wyników wyszukiwania linków do tych informacji.
Uwzględniając powyższe organ wskazał, iż [...] jako powód odmowy realizacji żądania uczestnika (co do usunięcia danych osobowych z adresów URL oznaczonych w sentencji decyzji punktami 2, 3 i 6) wskazała, że treści opublikowane na stronach będących przedmiotem postępowania dotyczyły jego działalności gospodarczej, a wynikający z tego interes publiczny w posiadaniu dostępu do tych informacji przeważa nad prawem do prywatności i ochrony danych osobowych. Strony, do których odnośników uczestnik żądał usunięcia, zawierają dane osobowe dotyczące jego życia zawodowego, a nie prywatnego, a zatem jest to przesłanka przemawiająca za nieusuwaniem ich z wyników wyszukiwania [...].
Organ jednakże podkreślił, iż uczestnik zaprzestał wykonywania działalności gospodarczej pod firmą "[...]" już w dniu [...] kwietnia 2016 r., a jego firma została wykreślona z właściwego rejestru w dniu następnym. Rejestr ten, tj. CEIDG, był i jest jawny. [...] miała zatem możliwość samodzielnego sprawdzenia, czy informacje o sytuacji zawodowej uczestnika są aktualne. Ponadto od dnia [...] czerwca 2018 r. uczestnik informował operatora wyszukiwarki, że nie prowadzi już działalności gospodarczej pod firmą [...].
Zdaniem organu, okoliczność, że stanowiące przedmiot żądania uczestnika adresy URL prowadzą do treści nieaktualnych, stanowi przeważający argument za ich usunięciem z listy wyników wyszukiwania wyszukiwarki [...]. Zgodnie bowiem z Wytycznymi WP 225, "istnieje większe prawdopodobieństwo, że organy ochrony danych będą uznawały usunięcie z listy wyniku wyszukiwania za właściwe w sytuacji, gdy istnieć będzie nieprawidłowość co do stanu faktycznego oraz gdy przedstawiany będzie nieprawidłowy, nieadekwatny lub wprowadzający w błąd obraz osoby. Gdy osoba, której dane dotyczą, sprzeciwia się wyświetlaniu wyniku wyszukiwania na takiej podstawie, że jest on nieprawidłowy, organy ochrony danych mogą rozpatrzyć taki wniosek, jeżeli skarżący przedstawi wszelkie informacje niezbędne do ustalenia, że dane są ewidentnie nieprawidłowe". Ponadto, zgodnie z sugestią Grupy Roboczej, należy rozpatrzyć czy osoba, której dane dotyczą, nadal jest zaangażowana w tę samą działalność zawodową.
Uwzględniając powyższe organ stwierdził, że interesy, prawa i wolności uczestnika mają nadrzędny charakter wobec interesu użytkowników internetu w zakresie przekazywania informacji i posiadania dostępu do informacji za pośrednictwem wyszukiwarek oraz uzasadnionego interesu prawnego [...]. Tym samym odmawiając podjęcia działań w sprawie wniosków uczestnika dotyczących usunięcia jego danych osobowych w wynikach wyszukiwarki [...] o adresach URL wskazanych w sentencji decyzji w punktach 2, 3 i 6 [...] naruszyła art. 17 ust. 1 lit. c RODO.
Dalej organ powołał art. 12 ust. 1 i 4 RODO. Wskazał, że uczestnik składał wiele wniosków w krótkim czasie dotyczących adresu URL wskazanego w punkcie 2 sentencji decyzji. [...] udzielała tym samym wielu odpowiedzi dotyczących faktycznie tego samego żądania. Powołując ustaloną (jak powyżej) treść korespondencji pomiędzy uczestnikiem a Spółką organ zaznaczył, że administrator danych początkowo poinformował o odmowie realizacji żądania, jednak pod dostarczeniu przez uczestnika dodatkowych informacji zakomunikował mu, że strona nie jest już wyświetlana lub została już usunięta. Z zebranego materiału nie wynika, żeby uczestnik był jeszcze później informowany o odmowie usunięcia adresu URL.
W odpowiedzi na żądania uczestnika dotyczące usunięcia z wyników wyszukiwania adresów URL oznaczonych w sentencji decyzji punktami 3 i 6 [...] poinformowała, że strony te nie są już wyświetlane, a w reakcji na informację uczestnika, że nadal widzi stronę oznaczoną punktem 6, Spółka wyjaśniła: "jeśli te informacje nie są już dostępne na stronie osoby trzeciej, pamięć podręczna [...]zaktualizuje się z czasem, aby odzwierciedlać zmienioną treść strony".
Dopiero w odpowiedzi na przesłane przez organ wezwanie do złożenia wyjaśnień, czyli ponad 2 lata od wymiany korespondencji z uczestnikiem, Spółka ponownie przeanalizowała jego wniosek i usunęła wymienione adresy URL z listy wyników wyszukiwania.
Organ stwierdził, że komunikacja administratora danych, budowana w oparciu o alternatywy i komunikaty niekonkretne, wieloznaczne, a nawet wprowadzające w błąd, jest nieprzejrzysta i niezrozumiała, czym [...] naruszyła zasadę przejrzystości określoną w art. 12 ust. 1 RODO. Natomiast niepoinformowanie uczestnika o odmowie realizacji żądania stanowi niewypełnienie przez [...] dyspozycji art. 12 ust. 4 RODO.
Następnie organ, odnosząc się do roli [...] w postępowaniu, powołał wyrok w sprawie C-131/12, zgodnie z którym: "[...]Inc. jest operatorem [...] i podmiotem nią zarządzającym (...) nie zostało wykazane, że [...] prowadzi w Hiszpanii działalność bezpośrednio powiązaną z indeksacją, czy też z przechowywaniem informacji lub danych umieszczanych na stronach internetowych osób trzecich. Jednak prowadzona przez [...] w Hiszpanii działalność polegająca na promocji i sprzedaży przestrzeni reklamowych stanowi zasadniczą część prowadzonej przez grupę [...]działalności komercyjnej i można ją uznać za ściśle związaną z [...] (pkt 46). "(...) artykuł 4 ust. 1 lit. a dyrektywy 95/46/WE należy interpretować w ten sposób, że przetwarzanie danych osobowych ma miejsce w ramach działalności gospodarczej prowadzonej przez zakład administratora danych odpowiedzialnego za to przetwarzanie na terytorium danego państwa członkowskiego w rozumieniu tego przepisu, jeśli operator wyszukiwarki internetowej ustanawia w danym państwie członkowskim oddział lub spółkę zależną, których celem jest promocja i sprzedaż powierzchni reklamowych oferowanych za pośrednictwem tej wyszukiwarki, a działalność tego oddziału lub tej spółki zależnej jest skierowana do osób zamieszkujących to państwo".
Organ powołał również wyrok TSUE z dnia 5 czerwca 2018 r. w sprawie C-210/16 [...] (dalej: "wyrok w sprawie C-210/16), w którym wskazano, że w przypadku, gdy przedsiębiorstwo z siedzibą poza Unią Europejską ma kilka oddziałów w rożnych państwach członkowskich, organ nadzorczy państwa członkowskiego może wykonywać uprawnienia w stosunku do oddziału tego przedsiębiorstwa, znajdującego się na terytorium tego państwa członkowskiego.
Organ stwierdził, że działalność [...] jest związana z działalnością [...]. W związku z tym zarówno [...] jak i [...] należy uznać za podmioty mające interes prawny w tym postępowaniu w rozumieniu art. 28 k.p.a. Zatem oba te podmioty są jego stronami.
Wskazał, iż w czerwcu, lipcu i sierpniu 2018 r. uczestnik postępowania skierował do [...] trzy wnioski dotyczące usunięcia jego danych osobowych z wyników wyszukiwania wyszukiwarki [...]. Spółka ta wyjaśniła: "w związku z faktem, że [...] sp. z o.o. nie jest administratorem danych osobowych przetwarzanych w indeksie wyszukiwarki internetowej [...], (...) nie mogła podjąć żadnych działań wynikających z przedmiotowego wniosku, w szczególności usunąć wnioskowanych danych".
Uwzględniając powyższe organ stwierdził, że w każdej sytuacji, tj. zarówno, gdy dane są lub nie są przetwarzane, powinna nastąpić rzetelna i przejrzysta komunikacja w zakresie wniosku osoby, zgodnie z zasadami określonymi w art. 12 RODO. Niezależnie zatem od faktu nieprzetwarzania danych uczestnika przez [...], z ww. przepisu wynikał obowiązek udzielenia odpowiedzi na pismo uczestnika. Nie reagując na żądanie uczestnika Spółka naruszyła art. 12 ust. 4 RODO.
Konkludując organ stwierdził, że biorąc pod uwagę naruszenie przez [...] art. 17 ust. 1 lit. c RODO oraz art. 12 ust. 1 i ust. 4 w związku z art. 17 ust. 1 lit. c RODO, a także naruszenie przez [...] art. 12 ust. 4 w związku z art. 17 ust. 1 lit. c RODO, udzielił upomnienia ww. podmiotom w zakresie wskazanym w sentencji decyzji.
Jednocześnie organ nie stwierdził aby doszło do naruszenia przepisów RODO w przedmiocie przetwarzania danych osobowych uczestnika przez [...] w zakresie żądania usunięcia adresów URL oznaczonych w sentencji decyzji punktami 1, 4 i 5. W tej części zatem organ odmówił uwzględnienia wniosku.
[...] wniosła do Wojewódzkiego Sądu Administracyjnego w Warszawie skargę na ww. decyzję Prezesa UODO w zakresie punktu 3 zarzucając:
a) zaistnienie przyczyny określonej w art. 156 § 1 pkt 2 w związku z art. 61 § 1 k.p.a., stanowiącej wadę kwalifikowaną decyzji skutkującą jej nieważnością, poprzez wykroczenie przez organ poza przedmiot prowadzonego postępowania i wydanie decyzji w stosunku do Spółki, podczas gdy uczestnik postępowania uzupełniając braki formalne pisma inicjującego postępowanie w sprawie, w odpowiedzi na wezwanie organu do wskazania czy składa skargę na działanie [...] czy [...], wskazał, że składa skargę na nieprawidłowości w procesie przetwarzania danych osobowych przez [...], co miało wpływ na wynik sprawy,
b) naruszenie art. 7, art. 77 § 1, art. 80 oraz art. 107 § 3 k.p.a. poprzez pominięcie ustalenia przez organ roli w jakiej Spółka występuje w procesie przetwarzania danych osobowych uczestnika, braku poczynienia w tym zakresie ustaleń faktycznych i wszechstronnego zebrania oraz rozpatrzenia materiału dowodowego w sprawie, i w konsekwencji brak wyjaśnienia w uzasadnieniu prawnym powiązania stanu faktycznego z normą prawa materialnego (subsumpcji) co do możliwości i prawidłowości zastosowania do Spółki art. 12 ust. 4 w związku z art. 17 ust. 1 lit. c RODO, których adresatem jest administrator, pomimo tego, że to nie Spółka jest administratorem danych osobowych uczestnika, co miało wpływ na wynik sprawy,
c) naruszenie art. 58 ust. 2 lit. b RODO poprzez nałożenie na Spółkę upomnienia w sytuacji, gdy adresatem środków naprawczych i naprawczo-sankcyjnych przewidzianych w RODO może być wyłącznie administrator w rozumieniu art. 4 pkt 7 RODO lub podmiot przetwarzający w rozumieniu art. 4 pkt 8 RODO w zakresie ich obowiązków wynikających z przepisów o ochronie danych osobowych, podczas gdy organ błędnie ustalił rolę Spółki w procesie przetwarzania danych osobowych uczestnika, jak i zidentyfikował, że to nie Spółka, a [...] jest administratorem danych osobowych przetwarzanych w procesie kwestionowanym przez uczestnika,
d) naruszenie art. 4 pkt 7 w związku z art. 12 ust. 4 w związku z art. 17 ust. 1 lit. c RODO poprzez błędne uznanie, że Spółka była zobowiązana do poinformowania uczestnika o załatwieniu jego wniosku dotyczącego żądania usunięcia danych osobowych, podczas gdy Spółka nie jest adresatem ww. norm, ponieważ nie jest administratorem w rozumieniu art. 4 pkt 7 RODO.
W związku z powyższymi zarzutami [...] wniosła o:
1) stwierdzenie nieważności zaskarżonej decyzji w zakresie punktu 3, ewentualnie
2) uchylenie zaskarżonej decyzji w zakresie punktu 3 i przekazanie sprawy do ponownego rozpoznania,
3) zasądzenie od Prezesa UODO na rzecz Spółki zwrotu kosztów postępowania według norm przepisanych, w tym kosztów zastępstwa procesowego.
W motywach skargi Spółka wskazała w szczególności, że w świetle art. 77 ust. 1 RODO w związku z art. 7 u.o.d.o. organ prowadząc postępowanie w sprawie jest związany zakresem wyznaczonym w skardze inicjującej postępowanie w sprawie zarówno przedmiotowo jak i podmiotowo. Oznacza to, że jeżeli do Prezesa UODO skierowano skargę na naruszenie uprawnień przewidzianych w RODO w procesie przetwarzania danych osobowych konkretnego administratora lub podmiotu przetwarzającego, to organ nie może dowolnie zmieniać przedmiotu postępowania w sprawie indywidualnej skargowej jak i oceniać legalności działań innego podmiotu, niż wskazany w piśmie inicjującym postępowanie.
Uczestnik w skardze z dnia 14 czerwca 2018 r. inicjującej postępowanie wskazał, że domaga się usunięcia z wyników wyszukiwarki [...].pl informacji o prowadzeniu przez niego działalności gospodarczej. Natomiast w piśmie z dnia 19 sierpnia 2018 r., stanowiącym odpowiedź na wezwanie organu do uzupełnienia braków formalnych skargi na podstawie art. 64 § 2 k.p.a., uczestnik wskazał [...] jako podmiot świadczący usługę w ramach wyszukiwarki [...].com i jednocześnie podmiot, którego dotyczy skarga. Zatem organ rozstrzygnął w sprawie skargowej (wszczynanej na wniosek) w zakresie nieobjętym żądaniem strony zawartym w skardze. Rozpoznanie żądania strony, które nie zostało wniesione, jest działaniem bez podstawy prawnej, a decyzja wydana po rozpoznaniu nieistniejącego żądania jest dotknięta wadą, o której mowa w art. 156 § 1 pkt 2 k.p.a.
Nadto organ nie ustalił statusu [...] w niniejszej sprawie. Nie wskazał, że Spółka jest administratorem danych, a tym bardziej nie wyjaśnił na jakich ustaleniach oparł odpowiedzialność Spółki jako administratora za zastosowanie art. 12 ust. 4 w związku z art. 17 ust. 1 lit. c RODO. Ma to istotne znaczenie o tyle, że Spółka w toku postępowania jednoznacznie wskazywała, że nie posiada statusu administratora, nie jest dostawcą usługi wyszukiwarki [...], nie posiada żadnych uprawnień w zakresie administrowania wyszukiwarką [...]zarówno w Europie, jak i w żadnym innym miejscu na świecie. Działalność [...], co potwierdza załączona do niniejszego pisma informacja odpowiadająca odpisowi aktualnemu z KRS, polega na świadczeniu usług doradztwa biznesowego dla firm i organizacji, takich jak: a) usługi doradcze w zakresie reklamy i marketingu, mające na celu pomoc firmom w rozwoju ich działalności w internecie; b) szkolenia i warsztaty z zakresu zarządzania, poprzez programy takie jak [...]. Oprócz tego Spółka prowadzi działalność w zakresie marketingu konsumenckiego, która ma na celu promocję w Polsce produktów [...], w tym nowych produktów [...](np. [...]). [...] nie jest jednak dostawcą usług konsumenckich (np. usługi wyszukiwarki [...]).
Odnosząc się do wyroków TSUE w sprawach C-131/12 i C-120/16 - powołanych przez organ jako uzasadnienie dla objęcia [...] zakresem przedmiotowego postępowania - Spółka wskazała, iż w sprawie C-131/12 TSUE stwierdził, że [...] (wcześniej [...]Inc.) - operatora wyszukiwarki - należy traktować jako administratora, tj. podmiot odpowiedzialny za przetwarzanie danych (punkty 33, 41 i 46 wyroku). Odniósł się również do spółki [...] jednak wyłącznie z tego względu, że uważał ją za jednostkę organizacyjną [...] (wcześniej [...]Inc.) w rozumieniu art. 4 ust. 1 lit. a dyrektywy 95/46/WE i na tej podstawie stwierdził, że dyrektywa ta znajduje zastosowanie do [...]Inc. jako operatora wyszukiwarki. Wyrok w sprawie C-131/12 nie doprowadził zatem do ustalenia, że [...] jest administratorem danych. Nadto wyrok ten dotyczył kwestii możliwego zastosowania przepisów ww. dyrektywy do podmiotu mającego siedzibę w państwie trzecim w kontekście art. 4 ust. 1 lit. a dyrektywy. Z wyroku nie wynika natomiast, że podmiot zależny [...], tj. [...], są tym samym administratorem danych osobowych.
Z kolei z wyroku w sprawie C-120/16 wynika, że [...], będąc podmiotem odpowiedzialnym wyłącznie za sprzedaż przestrzeni reklamowej i inne działania marketingowe na terytorium Niemiec, jest jednostką organizacyjną administratora [...]. TSUE nie przypisuje [...] statusu administratora. Podmiotami określającymi cele i sposoby przetwarzania danych (administratorami) są [...] wspólnie z [...]. Orzeczenie to nie ma wpływu na to, że [...] nie jest administratorem danych osobowych uczestnika postępowania w związku z przetwarzaniem jego danych osobowych w ramach wyszukiwarki [...]. Wyrok w sprawie C-120/16 dotyczył interpretacji dyrektywy, tj. ram prawnych obowiązujących przed wejściem w życie RODO, czyli przed 25 maja 2018 r. Rozważania poczynione przez TSUE w wyżej wymienionym wyroku dotyczą ustalenia zakresu zastosowania prawa krajowego (art. 4 dyrektywy). Artykuł 4 dyrektywy został zastąpiony przez art. 3 RODO. Chociaż oba akty prawne zawierają tak zwany test jednostki organizacyjnej (establishment test), to test ten pełni w RODO inną funkcję. Podczas gdy na gruncie dyrektywy służył on określeniu prawa krajowego, które znajdowało zastosowanie w danej sprawie, natomiast w RODO determinuje on zakres stosowania tego rozporządzenia. Istotne fragmenty orzeczenia w sprawie C-120/16, w którym TSUE dokonywał interpretacji dyrektywy, dotyczyły właśnie ustalenia właściwego prawa krajowego. Orzeczenie dotyczyło w szczególności ustalenia kilku przepisów krajowych mających zastosowanie w przypadku istnienia kilku jednostek organizacyjnych administratora danych w kilku państwach członkowskich. Pytania, na które TSUE odpowiedział w tym orzeczeniu, nie powstają już na gruncie RODO.
Spółka podkreśliła, że przepis art. 12 ust 4 RODO (w związku z art. 17 ust. 1 lit. c RODO) wymaga podania przyczyn nieuwzględnienia wniosku o usunięcie danych osobowych. Innymi słowy, wymagane jest wyjaśnienie powodów merytorycznej decyzji o odmowie usunięcia danych osobowych. Natomiast Spółka, jako że nie jest administratorem danych osobowych przetwarzanych w ramach wyszukiwarki internetowej [...], nie mogła w ogóle merytorycznie rozpatrywać wniosków o usunięcie danych osobowych składanych przez Uczestnika. Spółka nie mogła ani podjąć merytorycznej decyzji w sprawie wniosku o usunięcie danych, ani wyjaśnić powodów takiej decyzji. Spółka nie mogłaby też podjąć żadnych działań wynikających z przedmiotowych wniosków, w szczególności usunąć danych osobowych uczestnika z wyszukiwarki [...]. Zatem brak odpowiedzi ze strony Spółki na wnioski uczestnika dotyczące usunięcia jego danych osobowych nie stanowił naruszenia ww. przepisów.
W odpowiedzi na skargę [...] Prezes UODO wniósł o oddalenie skargi podtrzymując stanowisko jak w zaskarżonej decyzji.
Dodatkowo wskazał, że normą prawną nadającą organowi uprawnienia do nałożenia obowiązków na podmioty objęte stosowaniem przepisów o ochronie danych osobowych jest art. 58 RODO wzorowany na art. 28 ust. 3 dyrektywy 95/46/WE. Podniósł, że w wyroku TSUE w sprawie C-210/16 wskazano, iż organ nadzorczy może stosować uprawnienia przyznane mu na mocy art. 28 ust. 3 dyrektywy 95/46/WE w stosunku do znajdującego się na terenie państwa członkowskiego oddziału przedsiębiorstwa z siedzibą poza Unią Europejską nawet jeżeli wyłączną odpowiedzialność za gromadzenie i przetwarzanie danych osobowych ponosi w zakresie całego terytorium Unii Europejskiej oddział położony w innym państwie członkowskim. TSUE dopuścił zatem możliwość stosowania przez organ nadzorczy swoich uprawnień w stosunku do jednostki, która nie jest administratorem danych osobowych. W sprawie tej TSUE uznał, że niemiecki organ nadzorczy był uprawniony do wykonania w stosunku do [...] wszystkich uprawnień, jakimi dysponuje on zgodnie z krajowymi przepisami transponującymi art. 28 ust. 3 dyrektywy 95/46/WE pomimo tego, że strategie decyzyjne w zakresie gromadzenia i przetwarzania danych osobowych dotyczących osób mieszkających na terytorium UE zostają przyjęte przez spółkę dominującą z siedzibą w państwie trzecim, czyli [...]. [...], podobnie do [...], zajmowała się jedynie działalnością marketingową.
Możliwość kierowania przez organ nadzorczy uprawnień, o których mowa w art. 58 RODO, wobec jednostki nieprzetwarzającej danych osobowych, ale której działalność nierozerwalnie związana z przetwarzaniem danych osobowych przez jednostkę główną, TSUE potwierdził w wyroku w sprawie C-645/19 z dnia 15 czerwca 2021 r. [...] przeciwko [...] (pkt [...] wyroku). Trybunał rozstrzygał w tym postępowaniu m.in., czy belgijski organ nadzorczy może skorzystać z uprawnienia, nadanego mu na mocy przepisów krajowych uchwalonych na podstawie art. 58 ust. 5 RODO, wobec [...], mimo że to [...] ponosił wyłączną odpowiedzialność za przetwarzanie danych osobowych na terytorium Unii. W związku z powyższym uprawnione jest stanowisko, że Prezes UODO był kompetentny do kierowania swoich uprawnień z art. 58 RODO wobec [...], która w konsekwencji posiadała interes prawny do uczestniczenia w niniejszym postępowaniu. Stąd [...] należało uznać za stronę postępowania pomimo tego, że nie została ona wymieniona w piśmie uczestnika postepowania z dnia 19 sierpnia 2018 r.
Organ podkreślił, że [...] była zobligowana do udzielenia odpowiedzi, w której powinna poinformować uczestnika, że nie przetwarza jego danych osobowych, a co za tym idzie, że bezprzedmiotowym jest ich usunięcie. Jeżeli podmiot nie przetwarza danych dotyczących osoby, która zwraca się z żądaniem usunięcia danych, to jego działanie winno ograniczyć się do odpowiedzi informującej o ich nieprzetwarzaniu. Podmiot nie będący administratorem danych osobowych w związku z konkretnym procesem przetwarzania danych osobowych, w związku z którym skierowano do niego zapytanie, staje się administratorem danych osobowych osoby pytającej. Jest administratorem danych przetwarzanych w związku ze złożonym zapytaniem nawet, jeśli proces będący przyczyną jego złożenia go nie dotyczy. W świetle powyższego organ uprawniony był do upomnienia [...] za brak reakcji na żądanie uczestnika, tj. naruszenie art. 12 ust 4 w związku z art. ust. 1 lit. c RODO.
Skargę do Wojewódzkiego Sądu Administracyjnego w Warszawie na powyższą decyzję Prezesa UODO w zakresie punktów 1 i 2 wniosła również [...] zarzucając naruszenie:
a) art. 7, art. 77 § 1 oraz art 80 k.p.a. polegające na zaniechaniu poczynienia wyczerpujących ustaleń faktycznych w sprawie w zakresie określenia treści stron internetowych wskazanych w punktach 2, 3 i 6 sentencji decyzji oraz dowolnym ustaleniu, bez oparcia w zgromadzonym materiale dowodowym, że interesy, prawa i wolności uczestnika postępowania mają charakter nadrzędny wobec interesów użytkowników internetu w zakresie przekazywania informacji i posiadania dostępu do informacji za pośrednictwem wyszukiwarek oraz uzasadnionego interesu prawnego [...], podczas gdy w aktach sprawy brak jest wydruków treści ww. stron internetowych lub w inny sposób utrwalonych treści stron, jak również nie są one dostępne w sieci internet; w związku z czym organ nie mógł dokonać ww. oceny ważenia interesów uczestnika postępowania oraz [...] i użytkowników internetu; w dniu wydania decyzji organ nie dysponował bowiem wydrukami ww. stron internetowych, natomiast strony internetowe nie były aktywne w dniu rozstrzygania, organ nie mógł zatem dokonać oceny ich zawartości, a tym samym nie mógł w rzeczywistości wyważyć interesów uczestnika oraz [...] - co miało istotny wpływ na wynik sprawy,
b) art. 6 ust. 1 lit. f w związku z art. 17 ust. 1 lit. c oraz art. 21 ust. 1 RODO poprzez uznanie, że [...] nie miała podstawy prawnej do przetwarzania adresów URL wskazanych w punktach 2, 3 i 6 sentencji decyzji w wynikach wyszukiwania wyszukiwarki [...]po wpisaniu imienia i nazwiska uczestnika, podczas gdy w okresie składania wniosków o usunięcie danych i ich rozpatrywania, przetwarzanie danych osobowych uczestnika było niezbędne z uwagi na wolność otrzymywania i przekazywania informacji oraz interes użytkowników internetu w dostępie do informacji zawartych pod tymi linkami za pośrednictwem wyszukiwarki internetowej, które to interesy przesądzały o legitymowaniu się przez [...] ważnymi, prawnie uzasadnionymi podstawami przetwarzania, które miały nadrzędny charakter nad interesami, prawami i wolnościami uczestnika postępowania, pomimo złożenia przez niego sprzeciwu wobec kwestionowanego przetwarzania,
c) art. 12 ust. 1 i 4 w związku z art. 17 ust. 1 lit. c RODO poprzez uznanie, że [...] prowadziła komunikację z uczestnikiem dotyczącą jego żądań usunięcia danych osobowych z wyników wyszukiwarki [...]w sposób nieprzejrzysty i niezrozumiały oraz że nie poinformowała uczestnika o niepodjęciu działań w związku z jego żądaniami, podczas gdy [...] udzieliła odpowiedzi na każde żądanie usunięcia danych zgłoszone przez uczestnika, a jej odpowiedzi były przejrzyste i napisane prostym i jasnym językiem.
W związku z powyższymi zarzutami [...] wniosła o:
1) uchylenie zaskarżonej decyzji w zakresie punktów 1 i 2 decyzji i przekazanie sprawy do ponownego rozpoznania,
2) zasądzenie od organu na rzecz [...] zwrotu kosztów postępowania, w tym kosztów zastępstwa procesowego, według norm przepisanych.
W motywach skargi Spółka podniosła, że nie kwestionuje możliwości dokonywania przez Prezesa UODO ocen poprzednio istniejących procesów przetwarzania danych osobowych, które w chwili rozstrzygania nie są prowadzone.
Jednakże dla stwierdzenia, czy naruszyła ona art. 17 ust. 1 lit. c RODO organ winien był ustalić: 1) czy żądanie podmiotu danych w przedmiocie usunięcia danych osobowych jest uzasadnione - na co ma wskazywać szczególna sytuacja tej osoby oraz, w przypadku, gdy administrator nie uwzględnił żądania wnioskodawcy, 2) czy wskazywane przez administratora interesy (ważne prawnie uzasadnione podstawy) są nadrzędne wobec interesów, praw i wolności osoby, której dane dotyczą, co uzasadnia brak uczynienia zadość żądaniu. Dla takiej oceny konieczne natomiast było poznanie treści stron internetowych identyfikowanych przez adresy URL wskazane w punktach 2, 3 i 6 sentencji zaskarżonej decyzji.
Zgodnie z Wytycznymi WP 225, oceniając zasadność wniosku o usunięcie danych osobowych oraz możliwość przetwarzania danych osobowych w wynikach wyszukiwarki, administrator, a następnie organ, powinni przeprowadzić ocenę różnych elementów mających wpływ na tę ocenę, w tym wziąć pod uwagę interes publiczny w posiadaniu dostępu do informacji zawartej w stronie źródłowej, do której odsyła wynik wyszukiwania (s. 8 pkt 9). Oznacza to, że jednym z elementów oceny zasadności dalszego przetwarzania danych osobowych po złożeniu sprzeciwu albo uwzględnienia sprzeciwu, jest poznanie i ocena treści strony internetowej, w kontekście której dane osobowe są przetwarzane. Umożliwia to bowiem określenie stopnia ingerencji w prywatność osoby, której dane dotyczą, oszacowanie skutków dalszego prezentowania danych osobowych osoby w wynikach wyszukiwania wyszukiwarki, jak i zestawienie praw i wolności osoby, której dane dotyczą, z interesami administratora oraz osób trzecich (użytkowników wyszukiwarki). Nie jest możliwe wyważenie interesów osoby, której dane dotyczą, z interesami administratora oraz użytkowników wyszukiwarki, jeżeli nie jest znany kontekst, charakter i treść informacji, w związku z którymi dochodzi do przetwarzania danych osobowych. W aktach sprawy brak jest dowodu w postaci wydruków stron internetowych lub innego utrwalenia treści tych stron. Organ nie mógł zatem ustalić, czy ocena zasadności dalszego prezentowania danych osobowych w wynikach wyszukiwania wyszukiwarki [...], dokonana przez Spółkę w czasie, gdy strony internetowe istniały i zawierały dane osobowe uczestnika, była prawidłowa - a to ta okoliczność stała się przedmiotem upomnienia wskazanego w punkcie 1 decyzji. Organ nie mógł ocenić zasadności złożonego przez uczestnika żądania usunięcia danych osobowych oraz wyważenia jego interesów z interesami wskazywanymi przez administratora z uwagi na brak dowodów, które by mu to umożliwiały. W sprawie bezsporne jest, że dane osobowe uczestnika były przetwarzane w wynikach wyszukiwania oraz że dane te dotyczyły działalności gospodarczej uczestnika. Nie wystarczy to jednak do stwierdzenia, że żądanie usunięcia danych osobowych uczestnika jest zasadne i w jego efekcie Spółka była zobowiązana do usunięcia danych osobowych wcześniej, niż ostatecznie miało to miejsce w sprawie. Spółka zaznaczyła przy tym, że nie dysponuje wydrukiem ww. stron internetowych - w czasie trwania postępowania administracyjnego, które organ prowadził przez ponad 5 lat, kwestionowane strony internetowe przestały istnieć albo zawierać dane osobowe uczestnika.
Spółka podkreśliła, że w czasie, gdy rozpatrywała wnioski uczestnika o usunięcie adresów URL wskazanych w punktach 2, 3 i 6 sentencji decyzji, rozstrzygnięcie Spółki w tym zakresie było prawidłowe. Spółka przeprowadziła ocenę uzasadnionego interesu w dalszym wyświetlaniu spornych stron internetowych w wynikach wyszukiwania [...]poprzez imię i nazwisko uczestnika zgodnie z wyrokami TSUE w sprawach C-131/12 i C-136/17. Oznacza to, że Spółka uwzględniła wszystkie okoliczności sprawy, takie jak: charakter rozpatrywanych informacji, ich istotność dla prywatności osoby, której dane dotyczą, publiczny interes w dysponowaniu tą informacją, rolę odgrywaną przez tę osobę w życiu publicznym i jej zachowanie w przeszłości. W związku z tym przy ocenie uzasadnionego interesu Spółka przeanalizowała treść każdej strony internetowej zgłoszonej przez uczestnika i oceniła w jaki sposób ta treść odnosi się do uczestnika i jaki jest interes publiczny związany z utrzymaniem dostępu do każdej z tych stron internetowych za pośrednictwem wyszukiwarki [...]. Na podstawie informacji zawartych wówczas na tych stronach internetowych Spółka doszła do wniosku, że ich treść dotyczy działalności gospodarczej prowadzonej niedawno przez uczestnika. W związku z tym Spółka stwierdziła, że informacje te mogą być istotne dla kontrahentów, klientów lub współpracowników uczestnika. Spółka doszła do wniosku, że w tym przypadku interes użytkowników internetu w dostępie do informacji o uczestniku przeważa nad jego interesami, prawami i wolnościami. W związku z tym wykazała, że miała podstawę prawną do przetwarzania danych osobowych uczestnika - prawnie uzasadniony interes stron trzecich (użytkowników Internetu) oraz administratora (Spółki).
Spółka podkreśliła, iż nawet zakładając, że sporne strony internetowe zawierały informacje dotyczące działalności gospodarczej prowadzonej przez uczestnika, to fakt zaprzestania wykonywania działalności nie czyni tych informacji nieprawidłowymi. Jest bowiem bezsporne, że uczestnik prowadził działalność gospodarczą, a informacje o przeszłej niedawnej działalności gospodarczej uczestnika w związku z tym były prawidłowe.
Prawidłowości oceny Spółki dokonanej w 2018 r. nie zmienia fakt, że po otrzymaniu wezwania z dnia 9 marca 2021 r. od Prezesa UODO Spółka ponownie przeanalizowała wnioski uczestnika o usunięcie adresów URL z wyników wyszukiwania. Ponowna analiza wykazała, że adresy URL wskazane w punktach 2, 3 i 6 sentencji decyzji prowadzą do stron, które nie zawierają już danych osobowych uczestnika lub że strony te przestały istnieć. W związku z tym Spółka postanowiła usunąć te adresy URL z wyników wyszukiwania [...]poprzez imię i nazwisko uczestnika.
W odpowiedzi na skargę [...] Prezes UODO wniósł o oddalenie skargi podtrzymując stanowisko jak w zaskarżonej decyzji. Dodatkowo wskazał, że nie zaniechał ustalenia treści stron internetowych mimo, że była ona niedostępna w czasie prób ich odczytu. Analiza zebranego materiału w postaci twierdzeń stron i przesłanej przez nie dokumentacji wykazała jednoznacznie, czego te strony dotyczyły, tj. jakie informacje były tam zawarte oraz jakie informacje były powodem żądania złożonego do [...]. Uczestnik postępowania zmierzał do usunięcia z wyszukiwarki [...] treści dotyczących jego działalności, którą zakończył przeszło 2 lata wcześniej, a operator wyszukiwarki odmówił, ponieważ treść odnosiła się do jego "obecnego stanowiska pracy lub zawodu". Uczestnik wskazywał w żądaniach kierowanych do administratora, że treść strony jest nieaktualizowana od 2014 r. [...] informowała uczestnika, że jeśli treść strony: "odnosi się do dawnej sytuacji zawodowej, prosimy o potwierdzenie daty zakończenia pracy w tym zawodzie". W odpowiedzi na taki komunikat uczestnik przesłał do operatora wyszukiwarki wyciąg z rejestru działalności gospodarczej. Korespondencja ta wskazuje jednoznacznie, że strony zawierały nieaktualne informacje dotyczące działalności gospodarczej uczestnika. Przy czym nawet [...] nie stwierdziła, ani tym bardziej nie przedstawiła dowodu, że ustalenie to jest błędne. Skoro zaś Prezes UODO podjął prawidłowe ustalenia na podstawie innych dowodów, to ww. zarzut nie może być uznany za uzasadniony.
Organ zaznaczył również, że w złożonych wyjaśnieniach Spółka wskazała, że nie uwzględniła żądania uczestnika, ponieważ przedmiotowe strony dotyczyły: "działalności gospodarczej prowadzonej przez Skarżącego i w związku z tym istniał interes publiczny w dalszym udostępnianiu linków". Z tej przyczyny Spółka uznała, że: "interes publiczny w posiadaniu dostępu do tych informacji, jak również wolność wypowiedzi i informacji przeważa nad prawem do prywatności i ochrony danych osobowych podmiotu danych". Zatem operator wyszukiwarki uznał, że to fakt prowadzenia działalności gospodarczej był decydujący dla ograniczenia prawa uczestnika do ochrony jego danych osobowych na rzecz nadrzędnego interesu Spółki oraz użytkowników internetu. Jednocześnie w korespondencji do uczestnika Spółka poprosiła o dostarczenie dokumentacji potwierdzającej zakończenie działalności, co jest kluczowe w kontekście rozpatrywania istotności i nienadmierności ilościowej przetwarzania, na które wskazuje Grupa Robocza w Wytycznych WP 225. Skoro zatem nawet administrator, który jest podmiotem najbardziej zainteresowanym w przetwarzaniu danych osobowych uczestnika uznał, że fakt zakończenia działalności jest decydujący dla oceny nadrzędności praw i wolności uczestnika wobec interesów administratora i użytkowników internetu, to tym bardziej do takiego ustalenia - w świetle zabranego w sprawie materiału, przytoczonego orzecznictwa i wytycznych - mógł dojść Prezes UODO mimo braku dostępu do przedmiotowych stron internetowych.
Postanowieniem z dnia 11 kwietnia 2024 r. Wojewódzki Sąd Administracyjny w Warszawie na połączył sprawę ze skargi [...] Sp. z o.o. z siedzibą w [...] (sygn. akt II SA/Wa 2383/23) oraz sprawę ze skargi [...] z siedzibą w [...] (sygn. akt II SA/Wa 2384/23) do łącznego rozpoznania i rozstrzygnięcia oraz prowadzenia pod sygn. akt II SA/Wa 2383/23.
W piśmie procesowym z dnia 19 lipca 2024 r. [...] podtrzymała skargę przedstawiając dodatkową argumentację na jej poparcie. Podniosła w szczególności, że powołane przez organ argumenty wynikające z wyroków TSUE w sprawach C-645/19 oraz C-210/16 w żaden sposób nie przemawiają za tym, że Spółka miała interes prawny w udziale w tym postępowaniu administracyjnym oraz że organ jest kompetentny do kierowania swoich uprawnień z art. 58 RODO wobec podmiotu, który nie bierze udziału w przetwarzaniu danych osobowych uczestnika w wyszukiwarce [...]. Oznacza to, że organ wykroczył poza zakres postępowania wydając decyzję, której adresatem jest Spółka.
Spółka podniosła również, że organ nie wyjaśnił swego stanowiska, dlaczego podmiot, który nie przetwarza danych osobowych, ani w żaden inny sposób nie posiada statusu administratora, miałby być zobowiązany do udzielenia odpowiedzi na żądanie osoby, której dane dotyczą. Fakt, że po otrzymaniu żądania osoby, której dane dotyczą, [...] stała się administratorem danych w związku z otrzymaniem tego żądania, nie ma w tym przypadku znaczenia, ponieważ ta czynność przetwarzania danych nie była związana z żądaniem osoby, której dane dotyczą - to nie te dane osobowe były objęte żądaniem usunięcia informacji dotyczących uczestnika znajdujących się w wyszukiwarce [...]. Skoro organ uznał, że Spółka nie jest administratorem danych osobowych z wyszukiwarki [...], czyli nie decyduje o celach o sposobach przetwarzania, to nie powinna zostać również uznana za adresata przepisów, które są wprost skierowane do administratora.
W piśmie procesowym z dnia 19 lipca 2024 r. [...] podtrzymała i wnioski zarzuty skargi. Podniosła w szczególności, iż organ potwierdził, że nie posiada spornych stron internetowych, zaś ustalenia faktyczne jedynie pośrednio wywodzi z wyjaśnień [...]. Tymczasem aby dokonać oceny nadrzędności interesów uczestnika postępowania oraz Spółki i użytkowników internetu konieczna jest analiza pełnej treści stron internetowych. Ogólnikowe stwierdzenia, na których oparł się organ w ustalaniu treści przedmiotowych stron są niewystarczające. Strony te mogły bowiem zawierać rożne elementy i treści dotyczące uczestnika, których analiza doprowadziła Spółkę do odmowy usunięcia linków do tych stron z listy wyników wyszukiwania (przykładowo, mogły to być opinie dotyczące działalności uczestnika, które wciąż mogły być istotne dla użytkowników internetu).
Spółka podniosła również, że w żadnym momencie postępowania administracyjnego nie wskazała, jakoby fakt zakończenia działalności gospodarczej był decydujący dla oceny nadrzędności interesów uczestnika wobec interesów użytkowników Internetu. Spółka wskazała jedynie w odpowiedzi na wezwanie Prezesa UODO, że "informacje zawarte na tych stronach internetowych dotyczyły działalności gospodarczej prowadzonej przez Skarżącego, co mogło być istotne dla jego kontrahentów, klientów lub współpracowników (s. 7 odpowiedzi Spółki z dnia 6 kwietnia 2021 r. do Prezesa UODO). Z kolei w korespondencji z uczestnikiem (w odpowiedzi Spółki z dnia 2 lipca 2018 r. na wniosek nr [...]) Spółka poprosiła uczestnika o dodatkowe informacje w celu dalszej oceny zgłoszenia, w tym co do daty zakończenia pracy, przy czym Spółka nie uzależniła swojej decyzji od treści odpowiedzi uczestnika.
W piśmie procesowym z dnia 2 sierpnia 2024 r. Prezes UODO podtrzymał swoje stanowisko w sprawie i wniósł o oddalenie skarg.
Dodatkowo, w odniesieniu do argumentacji [...] podniósł, że wyjaśnienia i dowody złożone przez strony postępowania nie pozostawiły wątpliwości, że na stronach internetowych stanowiących przedmiot postępowania przetwarzane były nieaktualne dane osobowe uczestnika postępowania w zakresie jego działalności gospodarczej, którą zakończył przeszło 2 lata przed złożeniem pierwszego wniosku do Spółki. Jest to okoliczność decydująca dla zapadłego w sprawie rozstrzygnięcia i znajomość pełnej treści stron internetowych tego by nie zmieniła. Nawet gdyby na stronach tych były, jak zasugerowała to [...], opinie dotyczące działalności uczestnika postępowania, to byłyby to dane osobowe nieaktualne, ponieważ dotyczące działalności nieprowadzonej już od ponad 2 lat.
Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje:
Zgodnie z art. 1 § 1 i § 2 ustawy z dnia 25 lipca 2002 r. - Prawo o ustroju sądów administracyjnych (Dz. U. z 2024 r., poz. 1267 ze zm.), dalej: "p.u.s.a.", oraz art. 3 § 1 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2024r., poz. 935 ze zm.), dalej: "p.p.s.a.", sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej. Kontrola ta polega na ocenie zgodności zaskarżonego aktu z przepisami postępowania administracyjnego, a także prawidłowości zastosowania i wykładni norm prawa materialnego.
W myśl art. 134 § 1 p.p.s.a. sąd rozstrzyga w granicach danej sprawy nie będąc związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną, z zastrzeżeniem art. 57a. Sąd nie może wydać orzeczenia na niekorzyść skarżącego, chyba że stwierdzi naruszenie prawa skutkujące stwierdzeniem nieważności zaskarżonego aktu lub czynności (§ 2).
Uwzględniając powyższe Sąd uznał, że skarga [...] zasługuje na uwzględnienie. Sąd nie znalazł podstaw do stwierdzenia nieważności decyzji Prezesa UODO z dnia [...] października 2023 r. w zakresie punktu 3 na podstawie art. 156 § 1 pkt 2 k.p.a. w związku z art. 145 § 1 pkt 2 p.p.s.a., uznał jednak, że organ dopuścił się naruszenia art. 7, art. 77 § 1 i art. 107 § 3 k.p.a. oraz art. 61 § 1 i art. 63 § 2 k.p.a. w związku z art. 7 u.o.d.o. w stopniu mogącym mieć istotny wpływ na wynik sprawy (art. 145 § 1 pkt 1 lit. c p.p.s.a.).
Zgodnie z art. 7 i art. 77 § 1 k.p.a. Prezes UODO zobowiązany jest w sposób wyczerpujący zebrać i rozpatrzyć cały zgromadzony w sprawie materiał dowodowy. Nadto, obowiązkiem organu jest uzasadnienie faktyczne i prawne rozstrzygnięcia, tj. przedstawienie faktów, które uznał za udowodnione, dowodów, na których się oparł, oraz przyczyn, z powodu których innym dowodom odmówił wiarygodności i mocy dowodowej, a także wyjaśnienie podstawy prawnej decyzji, z przytoczeniem przepisów prawa (art. 107 § 3 k.p.a.). Zaskarżona decyzja (w części dotyczącej punktu 3) Prezesa UODO z dnia [...] października 2023 r. powyższych wymogów nie spełnia.
Postępowanie zakończone wydaniem zaskarżonej decyzji zostało zainicjowane skargą P.P. z dnia 14 czerwca 2018 r. "na brak działania w sprawie usunięcia danych osobowych" obejmujących frazę "[...]" w wynikach wyszukiwarki [...].pl.
Podstawę skargi uczestnika postępowania stanowił zatem art. 77 ust. 1 RODO, zgodnie z którym bez uszczerbku dla innych administracyjnych lub środków ochrony prawnej przed sądem każda osoba, której dane dotyczą, ma prawo wnieść skargę do organu nadzorczego, w szczególności w państwie członkowskim swojego zwykłego pobytu, swojego miejsca pracy lub miejsca popełnienia domniemanego naruszenia, jeżeli sądzi, że przetwarzanie danych osobowych jej dotyczące narusza niniejsze rozporządzenie.
Skarga do organu nadzorczego, jako środek wnioskowy, wymaga określonej aktywności podmiotów uprawnionych do jej złożenia. Rozpatrzenie skargi złożonej przez osobę uprawnioną, należy do kompetencji, a jednocześnie do obowiązków organu nadzorczego, który w myśl art. 57 ust. 1 lit. f RODO rozpatruje skargę, w odpowiednim zakresie prowadzi postępowanie w przedmiocie tej skargi i w rozsądnym terminie informuje skarżącego o postępach i wynikach tych postępowań (...). Zakres prowadzonego postępowania wyznacza treść skargi, do czego nawiązuje motyw 141 preambuły RODO, w którym wskazano, że "postępowanie wyjaśniające na podstawie skargi powinno być prowadzone - z zastrzeżeniem kontroli sądowej - w zakresie odpowiadającym konkretnej sprawie". Tę "konkretną sprawę" wyznacza żądanie skargi skierowanej do organu nadzorczego, tak w zakresie przedmiotowym (przedmiot żądania), jak i podmiotowym (podmiot, którego skarga na nieprawidłowości w procesie przetwarzania danych osobowych dotyczy, tj. administrator, współadministrator, podmiot przetwarzający).
Skarga do organu nadzorczego w trybie art. 77 ust. 1 RODO, jako pismo inicjujące postępowanie administracyjne w indywidualnej sprawie, stanowi "podanie" w rozumieniu art. 63 § 1 k.p.a. w związku z art. 7 u.o.d.o. Złożenie podania jest czynnością dyspozytywną wnioskodawcy. Obligatoryjnym elementem podania jest wskazanie żądania (art. 63 § 2 k.p.a.). Przy czym organ jest związany żądaniem, które wyznacza rodzaj i granice postępowania administracyjnego i nie jest uprawniony do swobodnego kształtowania czy zmiany kwalifikacji prawnej żądania strony. Wnioskodawcy przysługuje natomiast prawo do modyfikacji pierwotnie złożonego wniosku (żądania), która to zmiana wiąże organ prowadzący postępowanie (por. wyroki NSA: z dnia 7 maja 2020 r., sygn. akt I OSK 214/2010; z dnia 30 stycznia 2013r., sygn. akt II OSK 1812/11; z dnia 4 grudnia 2014 r., sygn. akt II OSK 2607/14; z dnia 24 lutego 2020 r., sygn. akt II OSK 3795/18; prawomocny wyrok WSA w Warszawie z dnia 14 października 2020 r., sygn. akt II SA/Wa 2829/19; CBOSA).
Przenosząc powyższe uwagi na stan niniejszej sprawy wskazać należy, że podaniem z dnia 14 czerwca 2018 r. P.P. złożył skargę na "właściciela wyszukiwarki internetowej [...].pl.". Do skargi zaś załączył wydruki wiadomości e-mail, zawierające żądanie usunięcia w wynikach wyszukiwarki frazy "[...]", skierowanych na adres: [...].com, tj. adres przypisany do [...] (wyjaśnienia złożone na rozprawie w dniu 7 sierpnia 2024 r.). Jedna z ww. wiadomości e-mail z dnia 30 czerwca 2018 r. była skierowana do [...] (k. 17 akt admin.). Nadto, za pismem z dnia 17 lipca 2018 r., uczestnik postępowania złożył do organu pismo skierowane do Prezesa [...] z dnia 7 lipca 2018 r. z żądaniem usunięcia ww. frazy z wyników wyszukiwania przeglądarki [...](k. 15 akt admin.).
Biorąc powyższe pod uwagę trafnie organ stwierdził w piśmie z dnia 9 sierpnia 2018 r. (k. 20 akt admin.), że żądanie zawarte w skardze z dnia 14 czerwca 2018 r. budzi wątpliwości i wymaga doprecyzowania w oparciu o art. 64 § 2 k.p.a., poprzez określenie czy przedmiotowa skarga dotyczy nieprawidłowości w procesie przetwarzania danych osobowych uczestnika postępowania przez [...] czy [...]. Organ podkreślił w wezwaniu, że "obowiązujące przepisy nie przewidują kompetencji Prezesa UODO do prowadzenia postępowania na wniosek strony w przedmiocie ustalenia administratora/podmiotu przetwarzającego. Prezes UODO będzie mógł podjąć czynności tylko wobec podmiotów wyraźnie przez Pana wskazanych". Organ zaznaczył, że braki formalne podania powinny zostać usunięte w terminie 7 dni od dnia otrzymania wezwania pod rygorem pozostawienia podania bez rozpoznania.
W odpowiedzi na powyższe wezwanie, pismem z dnia 19 sierpnia 2018 r. P.P. wskazał, że "podmiotem świadczącym usługę w ramach wyszukiwarki [...].com jest firma [...] (...)". Tym samym określił w sposób jednoznaczny, że jego skarga na nieprawidłowości w procesie przetwarzania danych osobowych dotyczy [...], a nie [...].
Wobec tak określonego żądania skargi i związania organu tymże żądaniem niezrozumiałe pozostaje twierdzenie organu zawarte w zaskarżonej decyzji, że do UODO wpłynęła skarga P.P. na nieprawidłowości w procesie przetwarzania jego danych osobowych zarówno przez [...] jak i przez [...], polegające na niezrealizowaniu żądania dotyczącego usunięcia jego danych osobowych w wynikach wyszukiwarki [...]. Twierdzenie organu nie znajduje odzwierciedlenia w materiale dowodowym zgromadzonym w sprawie, co stanowi o naruszeniu art. 7 i art. 77 § 1 k.p.a. w związku z art. 61 § 1 i art. 63 § 2 k.p.a., poprzez nieuzasadnione pominięcie zakresu żądania uczestnika postępowania określonego w piśmie z dnia 19 sierpnia 2018 r.
Z akt sprawy wynika wprawdzie, że w dniu 9 marca 2021 r. organ skierował do [...] wezwanie do udzielenia wyjaśnień "w postępowaniu ze skargi P.P. na nieprawidłowości w procesie przetwarzania jego danych osobowych przez [...] (...) oraz [...] (...) polegające na opublikowaniu danych osobowych Skarżącego w zakresie jego imienia, nazwiska oraz prowadzonej przez niego niegdyś działalności gospodarczej w wynikach wyszukiwarki [...] w związku z adresami URL (...)", jednak - w ocenie Sądu - działaniem tym organ w sposób nieuprawniony rozszerzył zakres skargi uczestnika postępowania ponad żądanie określone w piśmie z dnia 19 sierpnia 2018 r. W ww. wezwaniu organ odwołał się do wyroków TSUE w sprawach C-131/12 oraz C-210/16, jednak nie wyjaśnił z jakich względów uznał, że wnioski płynące z tychże wyroków stwarzają możliwość swobodnego kształtowania przez organ zakresu żądania skargi inicjującej postępowanie, którym - jak już wyżej wskazano - organ jest związany.
Wyjaśnień w tym zakresie organ nie przedstawił również w uzasadnieniu zaskarżonej decyzji. Odwołał się jedynie do wyroków TSUE w sprawie C-131/12 oraz C-210/16 wskazując, że działalność [...] jest związana z działalnością [...], a zatem zarówno [...] jak i [...] należy uznać podmioty mające interes prawny w tym postępowaniu w rozumieniu art. 28 k.p.a. Tak ogólnikowa argumentacja nie uzasadnia jednak przyznania [...] statusu strony w niniejszym postępowaniu - wszczętym w trybie wnioskowym, na podstawie skargi złożonej w oparciu o art. 77 RODO. W konsekwencji nie uzasadnia skorzystania przez organ z uprawnienia określonego w art. 58 ust. 2 lit. b RODO i wymierzenia [...] upomnienia na naruszenie art. 12 ust. 4 w związku z art. 17 ust. 1 lit. c RODO polegające na niepoinformowaniu P.P. o niepodjęciu działań w związku z jego żądaniami usunięcia danych osobowych.
Zgodnie z art. 12 ust. 4 RODO jeżeli administrator nie podejmuje działań w związku z żądaniem osoby, której dane dotyczą, to niezwłocznie - najpóźniej w terminie miesiąca od otrzymania żądania - informuje osobę, której dane dotyczą, o powodach niepodjęcia działań oraz o możliwości wniesienia skargi do organu nadzorczego oraz skorzystania ze środków ochrony prawnej przed sądem. Artykuł 17 ust. 1 lit. c RODO stanowi natomiast, że osoba, której dane dotyczą, ma prawo żądania od administratora niezwłocznego usunięcia dotyczących jej danych osobowych, a administrator ma obowiązek bez zbędnej zwłoki usunąć dane osobowe, jeżeli osoba, której dane dotyczą, wnosi sprzeciw na mocy art. 21 ust. 1 RODO wobec przetwarzania i nie występują nadrzędne prawnie uzasadnione podstawy przetwarzania lub osoba, której dane dotyczą, wnosi sprzeciw na mocy art. 21 ust. 2 RODO wobec przetwarzania.
Co istotne, adresatem obowiązków określonych w ww. przepisach jest administrator. Zgodnie natomiast z art. 4 pkt 7 RODO administrator oznacza osobę fizyczną lub prawną, organ publiczny, jednostkę lub inny podmiot, który samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych osobowych. Istotne jest zatem ustalenie kto w danej sprawie jest administratorem danych osobowych będącym adresatem obowiązków przewidzianych w RODO w zakresie realizacji uprawnień podmiotów danych przewidzianych w art. 12-21 RODO, a jednocześnie adresatem rozstrzygnięcia organu w przypadku naruszenia tych uprawnień. Zaznaczyć przy tym należy, że TSUE w wyroku z dnia 13 maja 2014 r. C-131/12 stwierdził, że za administratora odpowiedzialnego za przetwarzanie danych w rozumieniu art. 2 lit. d dyrektywy 95/46/WE należy uznać operatora wyszukiwarki internetowej (punkt 41 uzasadnienia wyroku).
W niniejszej sprawie nie było kwestionowane, że administratorem danych P.P. przetwarzanych w indeksie wyszukiwarki [...] (tj. danych osobowych zawartych w wynikach wyszukiwania wyświetlanych w odpowiedzi na zapytanie odpowiadające imieniu i nazwisku ww.) jest [...]. Wynika to wprost z wyjaśnień [...] z dnia 6 kwietnia 2021 r. (k. 76 i nast. akt admin., jak i uzasadnienia zaskarżonej decyzji). W decyzji jednak Prezes UODO nie wyjaśnił dlaczego zastosował art. 12 ust. 4 w związku z art. 17 ust. 1 lit. c RODO wobec podmiotu nie będącego administratorem ww. danych, tj. [...]. W swych wyjaśnieniach z dnia 29 marca 2021 r. (k. 59 i nast. akt admin.) Spółka podkreślała, że nie jest administratorem danych osobowych przetwarzanych w indeksie wyszukiwarki o nazwie "[...]", ani w procesie wyświetlania wyników wyszukiwania. Nie jest biurem, oddziałem ani przedstawicielstwem [...]. [...] i [...] to dwa odrębne podmioty prawne. [...] prowadzi działalność reklamową oraz usługi marketingu reklam internetowych wyłącznie na rzecz swojej grupy kapitałowej. Sam organ nie powołał się w uzasadnieniu decyzji na żaden inny dowód, który przemawiałby za uznaniem, że [...] należało potraktować jako adresata obowiązków określonych w art. 12 ust. 4 i art. 17 ust. 1 lit. c RODO, a jednocześnie z akt postępowania administracyjnego nie wynika, aby w sprawie chodziło o przetwarzanie danych osoby, która zawarła umowę w przedmiocie usług świadczonych przez tę Spółkę.
Organ nie wyjaśnił również swego stanowiska przedstawionego w odpowiedzi na skargę, dlaczego podmiot, który nie przetwarza danych osobowych ([...]) i nie posiada w żaden inny sposób statusu administratora, miałby być zobowiązany do udzielenia odpowiedzi na żądanie osoby, której dane dotyczą. Fakt, że po otrzymaniu żądania uczestnika postępowania (pismo z dnia 7 lipca 2017 r.) Spółka ta stała się administratorem danych w związku z otrzymaniem tego żądania, nie ma w tym przypadku znaczenia, ponieważ ta czynność przetwarzania danych nie była związana z żądaniem osoby, której dane dotyczą - to nie te dane osobowe były objęte żądaniem usunięcia informacji dotyczących uczestnika postępowania znajdujących się w wyszukiwarce [...]. W odpowiedzi na skargę organ wskazał, że obowiązek Spółki do udzielenia odpowiedzi wynikał z ogólnej zasady rzetelności i przejrzystości komunikacji określonej w art. 12 RODO. Wynika to, zdaniem organu, z motywu 39 preambuły RODO, który stanowi, że "dla osób fizycznych powinno być przejrzyste, że dotyczące ich dane osobowe są zbierane, wykorzystywane, przeglądane lub w inny sposób przetwarzane oraz w jakim stopniu te dane osobowe są lub będą przetwarzane". Zauważyć jednak należy, że przepis art. 12 RODO adresowany jest do administratora, zaś motyw 39 ma zastosowanie do sytuacji, w których dane osobowe są lub będą przetwarzane. Organ jednak nie ustalił, aby [...] przetwarzała dane osobowe uczestnika postępowania w zakresie objętym żądaniem z dnia 14 czerwca 2018 r.
Przede wszystkim jednak organ nie wyjaśnił z jakich względów uznał, że [...] posiada przymiot strony w niniejszym postępowaniu zainicjowanym skargą uczestnika na nieprawidłowości w procesie przetwarzania danych przez inny podmiot ([...]), a w konsekwencji, że Prezes UODO mógł kierować do [...] środki prawne w ramach swoich uprawnień z art. 58 RODO. Podkreślić należy, że adresatem środków naprawczych i naprawczo-sankcyjnych przewidzianych w RODO może być administrator w rozumieniu art. 4 pkt 7 RODO lub podmiot przetwarzający w rozumieniu art. 4 pkt 8 RODO w zakresie ich obowiązków wynikających z przepisów o ochronie danych osobowych. W uzasadnieniu decyzji organ nie odniósł do pisma uczestnika z dnia 19 sierpnia 2918 r., stąd jako co najmniej przedwczesne należy ocenić rozstrzygnięcie organu o zastosowaniu wobec Spółki upomnienia za naruszenie art. 12 ust. 4 w związku z art. 17 ust. 1 lit. c RODO w zakresie wskazanym w punkcie 3 zaskarżonej decyzji.
Powyższe skutkowało uchyleniem zaskarżonej decyzji w zakresie punktu 3 z powodu naruszenia art. 7, art. 77 § 1 i art. 107 § 3 oraz art. 61 § 1 k.p.a. w związku z art. 7 u.o.d.o. Wobec uchybień o charakterze procesowym zbędnym było na obecnym etapie szczegółowe odnoszenie się do zarzutów naruszenia prawa materialnego.
Ponownie rozpatrując sprawę w ww. zakresie organ uwzględni dokonaną ocenę prawną. Rozpatrzy materiał dowodowy w kontekście możliwości uznania [...] za stronę postępowania w rozumieniu art. 28 k.p.a., a w zależności od wyników dokonanej oceny podejmie czynności zgodnie z obowiązującymi przepisami.
Sąd nie znalazł podstaw do uwzględnienia skargi [...] w części dotyczącej punktów 1 i 2 zaskarżonej decyzji. W punktach tych organ udzielił [...] upomnienia za naruszenie: art. 17 ust. 1 lit. c RODO polegające na niezrealizowaniu żądania P.P. dotyczącego usunięcia jego danych osobowych w wynikach wyszukiwarki [...] o adresach URL wskazanych w punktach 2, 3 i 6; art. 12 ust. 1 i 4 w związku z art. 17 ust. 1 lit. c RODO polegające na prowadzeniu komunikacji dotyczącej żądania usunięcia danych osobowych wymienionego w wynikach wyszukiwarki [...] o adresach URL wskazanych w punktach 2, 3 i 6 w sposób nieprzejrzysty i niezrozumiały oraz niepoinformowaniu o niepodjęciu działań w związku z jego żądaniami usunięcia danych osobowych w wynikach wyszukiwarki [...].
W sprawie nie było kwestionowane, że [...] gromadzi i przetwarza dane osobowe, które są publicznie udostępniane przez wydawców stron internetowych, indeksowanych w wyszukiwarkach.
Jako podstawę prawną pozyskiwania i przetwarzania danych osobowych Spółka wskazywała art. 6 ust. 1 lit. f RODO, zgodnie z którym przetwarzanie jest zgodne z prawem w przypadku, gdy przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem. Akapit pierwszy lit. f nie ma zastosowania do przetwarzania, którego dokonują organy publiczne w ramach realizacji swoich zadań.
W art. 6 ust. 1 lit. f RODO unormowano tzw. klauzulę prawnie uzasadnionych interesów i określono trzy kumulatywne kryteria legalności przetwarzania danych osobowych, a mianowicie: realizację prawnie uzasadnionych interesów przez administratora danych lub osobę trzecią, konieczność przetwarzania danych osobowych dla potrzeb wynikających z tych uzasadnionych interesów oraz przesłankę, aby prawa i wolności osoby objętej ochroną danych nie miały pierwszeństwa (por. wyrok TSUE z dnia 17 czerwca 2021 r. sygn. C-597/19; pytanie prejudycjalne w sprawie [...] przeciwko [...]; Dz.U.UE.C.2021/310/2). Wskazana przesłanka stanowi przejaw uznania przez ustawodawcę unijnego, że mogą wystąpić przypadki, gdy administrator danych (art. 4 pkt 7 RODO) nie może powołać się na zgodę podmiotu danych, obowiązek prawny ciążący na administratorze czy też realizację umowy, a mimo to powinien mieć możliwość przetwarzania danych z uwagi na "prawnie uzasadniony interes". Przyjmuje się, że prawnie uzasadniony interes to interes wynikający (choćby pośrednio) z przepisów prawa, w sytuacji, gdy przepisy te nie regulują dopuszczalności przetwarzania danych, a jedynie wskazują jakiś interes (np. uprawnienie), do realizacji którego przetwarzanie danych jest potrzebne. Prawnie uzasadniony interes stanowi odpowiednik używanego wcześniej przez polskiego prawodawcę określenia prawnie usprawiedliwionego celu i mimo pewnych wątpliwości należy przyjąć, że pojęcia te są równoważne (P. Fajgielski, "Komentarz do rozporządzenia 2016/679 (...) [w:] Ogólne rozporządzenie o ochronie danych. Ustawa o ochronie danych osobowych. Komentarz, wyd. II", WKP 2022).
Trybunał Sprawiedliwości UE w wyroku z dnia 13 maja 2014 r. w sprawie C-131/12 przesądził, że operatorzy wyszukiwarek internetowych przetwarzają dane osobowe w rozumieniu art. 2 dyrektywy 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych. Jednocześnie podkreślił, że przetwarzanie danych osobowych, które ma miejsce w ramach działania wyszukiwarki internetowej, różni się od tego dokonywanego przez wydawców stron internetowych i polegającego na zamieszczaniu tych danych na stronie internetowej oraz ma dodatkowy względem niego charakter. W wyroku tym jako podstawę prawną ww. przetwarzania danych osobowych wskazano art. 7 lit. f dyrektywy 95/46/WE, czyli konieczność przetwarzania dla potrzeb wynikających z uzasadnionego interesu administratora lub stron trzecich, którym dane są ujawniane.
W świetle powyższego podzielić należy stanowisko Prezesa UODO, że ustalenia dokonane przez TSUE w wyroku w sprawie C-131/12 oraz wydane na bazie tego wyroku wytyczne WP 225 zachowują swoją aktualność pomimo uchylenia dyrektywy 95/46/WE. Artykuł 7 lit. f dyrektywy 95/46/WE jest bowiem treściowo tożsamy z art. 6 ust. 1 lit. f RODO.
W wyszukiwarce internetowej [...] przetwarzane są dane osobowe, które zostały publicznie udostępnione przez wydawców stron internetowych. Dane te są udostępniane w celu wskazywania linków do stron internetowych zawierających informacje na temat danej osoby fizycznej w odpowiedzi na zapytania dokonane przez użytkownika w wyszukiwarce na podstawie imienia i nazwiska. Świadczenie usługi wyszukiwarki internetowej ma na celu również zapewnienie ogółowi społeczeństwa realizacji prawa dostępu do informacji, chronionego na mocy art. 11 KPP oraz art. 10 EKPCz.
W świetle wyroku TSUE z dnia 13 maja 2014 r., C-131/12 przetwarzanie danych osobowych dokonywane przez operatora wyszukiwarki internetowej może znacząco oddziaływać na prawa podstawowe do poszanowania prywatności i ochrony danych osobowych w sytuacji, gdy przeszukiwanie zasobów internetowych za pomocą tej wyszukiwarki jest prowadzone z punktu wyjścia będącego imieniem i nazwiskiem osoby fizycznej - jeśli przetwarzanie to umożliwia wszystkim internautom otrzymanie mającego postać listy wyników wyszukiwania ustrukturyzowanego przeglądu dotyczących tej osoby informacji, jakie można znaleźć w internecie, dotyczących potencjalnie całego szeregu aspektów jej życia prywatnego i które to informacje, gdyby nie ta wyszukiwarka, nie mogłyby zostać ze sobą powiązane lub też byłoby to bardzo utrudnione, efektem czego niemożliwe lub bardzo utrudnione byłoby sporządzenie mniej lub bardziej szczegółowego profilu danej osoby. Jest tak tym bardziej, że internet i wyszukiwarki internetowe nadają zawartej na takiej liście informacji wszechobecny charakter. Biorąc pod uwagę potencjalną wagę tej ingerencji, nie może być ona uzasadniona jedynie interesem gospodarczym, jaki ma w tym przetwarzaniu danych operator wyszukiwarki internetowej. Powinna zostać zachowana właściwa równowaga pomiędzy uzasadnionym prawem internautów do informacji, a prawami podstawowymi gwarantowanymi danej osobie na podstawie art. 7 i art. 8 KPP.
Zgodnie z art. 7 KPP każdy ma prawo do poszanowania życia prywatnego i rodzinnego, domu i komunikowania się, natomiast w myśl art. 8 KPP każdy ma prawo do ochrony danych osobowych, które go dotyczą. Dane te muszą być przetwarzane rzetelnie w określonych celach i za zgodą osoby zainteresowanej lub na innej uzasadnionej podstawie przewidzianej ustawą. Każdy ma prawo dostępu do zebranych danych, które go dotyczą, i prawo do dokonania ich sprostowania. Ochrona osób fizycznych w związku z przetwarzaniem danych osobowych (w tym danych uczestnika postępowania) jest zatem jednym z praw podstawowych, których obowiązana jest również przestrzegać Spółka [...] jako administrator danych osobowych przetwarzanych w indeksie wyszukiwarki internetowej [...].
Powołując art. 6 ust. 1 lit. f RODO jako podstawę prawną przetwarzania tych danych Spółka podkreślała, że świadczenie usługi wyszukiwarki internetowej zaspokaja interes użytkowników internetu w zakresie przekazywania informacji i posiadania dostępu do informacji za pośrednictwem wyszukiwarek, który chroniony jest na mocy art. 11 KPP oraz art. 10 EKPCz. Zgodnie z art. 11 KPP każdy ma prawo do wolności wypowiedzi. Z kolei art. 10 EKPCz stanowi, że każdy ma prawo do wolności wyrażania opinii. Prawo to obejmuje wolność posiadania poglądów oraz otrzymywania i przekazywania informacji i idei bez ingerencji władz publicznych i bez względu na granice państwowe.
Wobec tak powstałej kolizji pomiędzy prawami uczestnika postępowania a prawami potencjalnych użytkowników wyszukiwarki [...] rozstrzygnięcia wymagała kwestia, które prawa i wolności mają wartość nadrzędną, tj. prawo do prywatności i ochrony danych osobowych uczestnika postępowania, czy też interes publiczny w posiadaniu dostępu do tych informacji. Przy czym, jak wynika z wyroków TSUE w sprawie C-131/12 oraz w sprawie C-136/17, co do zasady prawo jednostki do żądania, aby dana informacja nie była już podawana do wiadomości szerokiego kręgu odbiorców poprzez zawarcie jej na liście wyników, należy uznać za nadrzędne nie tylko wobec interesu gospodarczego operatora wyszukiwarki internetowej, lecz również wobec interesu użytkowników internetu w znalezieniu tej informacji w wynikach wyszukiwania. Z kolei w Wytycznych WP 225 wskazuje się, że jednym z kryteriów wykorzystywanych przez organy ochrony danych przy ocenie zgodności z prawem odmowy uwzględnienia wniosków o usuniecie z listy z wyników wyszukiwania przez operatorów wyszukiwarek - jest rola osoby w życiu publicznym (w gospodarce). Zgodnie z Wytycznymi przesłanką przemawiającą za nieusuwaniem danych z wyników wyszukiwania jest to, że dane objęte wnioskiem nie stanowią prywatnych informacji dotyczących osoby publicznej. Jednocześnie w Wytycznych podniesiono, że w przypadku nieprawidłowego stanu faktycznego, a także nieprawidłowego, nieadekwatnego lub wprowadzającego w błąd obrazu osoby, której dane dotyczą, "istnieje większe prawdopodobieństwo, że organy ochrony danych będą uznawały usunięcie z listy wyniku wyszukiwania za właściwe". Nadto, "gdy osoba, której dane dotyczą, sprzeciwia się wyświetlaniu wyniku wyszukiwania na takiej podstawie, że jest on nieprawidłowy, organy ochrony danych mogą rozpatrzyć taki wniosek, jeżeli skarżący przedstawi wszelkie informacje niezbędne do ustalenia, że dane są ewidentnie nieprawidłowe".
Uwzględniając powyższe wskazać należy, że uczestnik postępowania żądał usunięcia jego danych osobowych w wynikach wyszukiwarki [...] o wskazanych adresach URL (punkty 2, 3 i 6 sentencji decyzji) obejmujących w istocie firmę przedsiębiorcy, tj. "[...] (k. 14 i 16 akt admin.). Żądanie to dotyczyło zatem jego życia zawodowego, a nie prywatnego, co - w świetle Wytycznych WP 225 - mogłoby przemawiać za nieusuwaniem danych z wyników wyszukiwania [...]. Rzecz jednak w tym, że uczestnik postępowania nie wykonywał działalności gospodarczej pod firmą "[...] P.P." od dnia [...] kwietnia 2016r., a firma została wykreślona z Centralnej Ewidencji i Informacji o Działalności w dniu [...] kwietnia 2016 r. (k. 16 akt admin.). O tym, że nie prowadzi już działalności gospodarczej pod firmą "[...]", uczestnik postępowania informował operatora wyszukiwarki już od dnia 30 czerwca 2018 r. (k. 17 verte akt. admin.). Skarżący zmierzał zatem do usunięcia z wyszukiwarki [...] treści nieaktualnych, nieprawdziwych wskazując, że działalność pod ww. firmą zakończył przeszło 2 lata wcześniej. Jednocześnie uczestnik wskazywał w swych żądaniach, że treść strony "[...]" jest nieaktualizowana od 2014 r., a operator strony nie odpowiada na przesłane informacje (k. 111 i 118 verte akt admin.). Operator wyszukiwarki odmówił jednak uwzględnienia żądania, wskazując, że "kwestionowana treść wydaje się odnosić do obecnego stanowiska pracy lub zawodu". Nadto informował uczestnika, że jeśli treść strony "odnosi się do dawnej sytuacji zawodowej, prosimy o potwierdzenie daty zakończenia pracy w tym zawodzie" (k. 17 akt admin.). W odpowiedzi na taki komunikat uczestnik przesłał do operatora wyszukiwarki wyciąg z rejestru działalności gospodarczej. Pomimo tego, operator wyszukiwarki nie uwzględnił żądania uczestnika, uznając, że przeważały argumenty za kontynuowaniem umieszczania adresów URL (wymienionych w punktach 2, 3 i 6 zaskarżonej decyzji) w wynikach wyszukiwania [...].
Uwzględniając powyższe okoliczności Sąd podziela stanowisko Prezesa UODO, że prawa i wolności uczestnika postępowania mają w niniejszej sprawie nadrzędny charakter wobec interesu użytkowników internetu w zakresie przekazywania informacji i posiadania dostępu do informacji za pośrednictwem wyszukiwarki internetowej oraz wobec interesu gospodarczego [...]. Kluczowa dla tej oceny pozostaje okoliczność, że operator wyszukiwarki przetwarzał nieaktualne dane uczestnika postępowania dotyczące jego działalności gospodarczej, którą zakończył przeszło 2 lata przed złożeniem wniosku do [...].
Warto w tym miejscu odnotować, iż Europejska Rada Ochrony Danych w wytycznych 5/2019 przyjętych w dniu 7 lipca 2020 r. w sprawie kryteriów dotyczących prawa do bycia zapomnianym w sprawach dotyczących wyszukiwarek internetowych zwróciła uwagę, że na podstawie dyrektywy 95/46/WE żądanie osoby, której dane dotyczą, musiało wynikać z ważnych i uzasadnionych przyczyn wynikających z jego konkretnej sytuacji. W przypadku RODO osoba, której dane dotyczą, może sprzeciwić się przetwarzaniu danych z przyczyn związanych z jej szczególną sytuacją. Nie musi już ona zatem wykazywać ważnych i uzasadnionych przyczyn (pkt 29). RODO przenosi zatem ciężar dowodu, zapewniając domniemanie z korzyścią dla osoby, której dane dotyczą, nakładając dla odmiany obowiązek wykazania ważnych prawnie uzasadnionych podstaw do przetwarzania danych na administratora (art. 21 ust. 1). W związku z tym, gdy dostawca wyszukiwarki internetowej otrzymuje żądanie usunięcia danych osobowych z listy wyników wyszukiwania oparte na szczególnej sytuacji osoby, której dane dotyczą, musi w takim przypadku usunąć takie dane zgodnie z art. 17 ust. 1 lit. c RODO, chyba że jest w stanie wykazać nadrzędne prawnie uzasadnione podstawy ujęcia konkretnych wyników wyszukiwania w liście wyników wyszukiwania, które czytane w związku z art. 21 ust. 1 świadczą o istnieniu ważnych prawnie uzasadnionych podstaw (...), nadrzędnych wobec interesów, praw i wolności osoby, której dane dotyczą. Dostawca wyszukiwarki internetowej może ustanowić dowolne nadrzędne prawnie uzasadnione podstawy, w tym jakiekolwiek wyłączenia przewidziane w art. 17 ust. 3 RODO. Jeżeli dostawca wyszukiwarki internetowej nie wykaże jednak istnienia nadrzędnych prawnie uzasadnionych podstaw, osoba, której dane dotyczą, ma prawo uzyskać usunięcie z listy wyników wyszukiwania zgodnie z art. 17 ust. 1 lit. c RODO. W istocie obecnie żądania usunięcia z listy wyników wyszukiwania wiążą się z sugestią osiągnięcia równowagi między powodami związanymi ze szczególną sytuacją osoby, której dane dotyczą, a ważnymi prawnie uzasadnionymi podstawami ze strony dostawcy wyszukiwarki internetowej (pkt 30). W związku z tym dostawcy wyszukiwarek internetowych i organy nadzorcze wciąż mogą do celów oceny żądań usunięcia z listy wyników wyszukiwania na podstawie prawa sprzeciwu (art. 17 ust. 1 lit. c RODO) stosować kryteria dotyczące usunięcia z listy wyników wyszukiwania opracowane przez Grupę Roboczą Art. 29 w Wytycznych dotyczących wykonania wyroku TSUE w sprawie [...] (...) (pkt 31). Niemniej nie będzie konieczności badania tych kryteriów przy braku dowodu świadczącego o ważnych prawnie uzasadnionych podstawach odmowy żądania (pkt 33).
[...] odmowę uwzględnienia żądania P.P. w zakresie usunięcia adresów URL wskazanych w punktach 2, 3 i 6 sentencji decyzji z listy wyników wyszukiwania uzasadniała interesem użytkowników internetu w dostępie do informacji jako nadrzędnym wobec interesów, praw i wolności uczestnika postępowania. Wskazywała, że informacje zawarte na stronach internetowych dotyczyły działalności gospodarczej prowadzonej przez uczestnika, co mogło być istotne dla jego kontrahentów, klientów lub współpracowników. Na potwierdzenie tego argumentu Spółka nie przedstawiła jednak żadnych dowodów, w szczególności nie przedstawiła indywidualnej analizy wniosku uczestnika postępowania oraz oceny interesu publicznego związanego z utrzymaniem dostępu do stron internetowych identyfikowanych przez adresy URL oznaczone w sentencji decyzji punktami 2, 3 i 6, na którą to analizę i ocenę, sporządzoną po otrzymaniu żądania uczestnika postępowania, powoływała się w swych wyjaśnieniach z dnia 6 kwietnia 2021 r. Spółka podjęła decyzję o usunięciu ww. adresów URL z wyników wyszukiwania dopiero po otrzymaniu wezwania Prezesa UODO z dnia 9 marca 2021 r. do złożenia wyjaśnień w niniejszym postępowaniu (k. 27 akt admin.) wskazując, że strony internetowe identyfikowane przez te adresy nie zawierały danych osobowych albo już nie istniały.
W świetle powyższego, w ocenie Sądu, [...] nie wykazała istnienia prawnie uzasadnionych podstaw do przetwarzania danych osobowych uczestnika postępowania w wynikach wyszukiwarki [...] o adresach URL wskazanych w punktach 2, 3 i 6 sentencji decyzji, nadrzędnych wobec jego interesów, praw i wolności. W toku postępowania nie wyjaśniła z jakich względów uznała, że pomimo zakończenia działalności gospodarczej uczestnika pod firmą "[...]" już w 2016 r. i potwierdzenia wykreślenia tejże działalności z właściwego rejestru, nie znalazła przesłanek do usunięcia przedmiotowych linków z wyników wyszukiwania. Natomiast uczestnik postępowania, zdaniem Sądu, wykazał w sposób dostateczny swoją szczególną sytuację uzasadniającą żądanie usunięcia ww. adresów URL z wyników wyszukiwania wyszukiwarki [...].
TSUE w wyroku z dnia 8 grudnia 2022 r. w sprawie C-460/20 (wniosek o wydanie orzeczenia w trybie prejudycjalnym złożony przez [...]) wyjaśnił, że choć w pewnych okolicznościach prawo do wolności wypowiedzi i informacji ma pierwszeństwo przed prawem do ochrony życia prywatnego i prawem do ochrony danych osobowych, w szczególności wówczas, gdy osoba, której dane dotyczą, odgrywa znaczącą rolę w życiu publicznym, stosunek ten w każdym razie ulega odwróceniu, w przypadku gdy okaże się, że przynajmniej część informacji, których dotyczy żądanie usunięcia linków, niemających nikłego znaczenia dla całokształtu tej treści, jest nieprawdziwa (pkt 65). Tak więc w przypadku gdy osoba, która zażądała usunięcia linków, przedstawi istotne i wystarczające dowody, odpowiednie do poparcia sformułowanego przez nią żądania i świadczące o jawnie nieprawdziwym charakterze informacji zawartych w treści, do której odsyłają linki, lub co najmniej tej części tych informacji, która nie ma nikłego znaczenia dla całokształtu tej treści, operator wyszukiwarki jest zobowiązany do uwzględnienia tego żądania usunięcia linków (pkt 72). Niemniej jednak aby uniknąć nałożenia na tę osobę nadmiernego ciężaru mogącego podważyć skuteczność (effet utile) prawa do usunięcia linków, winna ona przedstawić jedynie takie dowody, jakich przeprowadzenia można od niej racjonalnie wymagać w okolicznościach danego przypadku w celu wykazania tej oczywistej nieprawdziwości (pkt 68).
W niniejszej sprawie nieprawdziwość danych osobowych uczestnika postępowania w dacie skierowania żądania ich usunięcia do [...] była wynikiem ich bezspornej nieaktualności (niezgodności z rzeczywistym stanem rzeczy na dzień wniesienia żądania). P.P. o nieaktualności wyświetlanych danych rejestrowych w adresach URL oznaczonych punktami 2, 3 i 6 sentencji decyzji informował Spółkę już w czerwcu 2018 r., a dowód potwierdzający tę okoliczność przedstawił w lipcu 2018 r. Spółka nie usunęła jednak danych osobowych uczestnika z wyników wyszukiwania, a w przedmiotowym postępowaniu nie przedstawiła dowodów na to, że pomimo upływu znaczącego okresu czasu (ponad dwa lata na dzień zgłoszenia żądania) od wykreślenia działalności gospodarczej z właściwego rejestru nadal istniały nadrzędne prawnie uzasadnione podstawy przetwarzania jego danych w wyszukiwarce [...].
Podsumowując stwierdzić należy, iż nieuzasadniony jest zarzut naruszenia art. 6 ust. 1 lit. f w związku z art. 17 ust. 1 lit. c RODO. Organ prawidłowo ocenił, że w okolicznościach faktycznych sprawy prawo do ochrony danych osobowych uczestnika postępowania przeważa nad interesem [...], jakim było udostępnienie w wynikach wyszukiwania wyszukiwarki [...] adresów URL wskazanych w punktach 2, 3 i 6 sentencji decyzji. Prawidłowo zatem organ zastosował przysługujące mu uprawnienia naprawcze i udzielił Spółce upomnienia w oparciu o art. 58 ust 2 lit. b RODO za naruszenie art. 17 ust. 1 lit. c RODO polegające na niezrealizowaniu żądania uczestnika w zakresie usunięcia jego danych osobowych w ww. wynikach wyszukiwarki [...].
Brak jest podstaw do uznania, że rozstrzygając jak w punkcie 1 zaskarżonej decyzji organ dopuścił się naruszenia art. 7, art. 77 § 1 oraz art. 80 k.p.a. w stopniu mającym istotny wpływ na wynik sprawy.
Formułując ww. zarzut [...] zarzuciła, że w aktach sprawy brak jest treści stron internetowych wskazanych w punktach 2, 3 i 6 sentencji decyzji, co oznacza, że organ nie dokonał analizy ich treści, a w konsekwencji nie mógł dokonać oceny ważenia interesów uczestnika postępowania oraz [...] i użytkowników internetu. Ze stanowiskiem tym nie można się zgodzić.
W ocenie Sądu organ zebrał i rozpatrzył materiał dowodowy w sposób wystarczający do podjęcia rozstrzygnięcia w sprawie. Na podstawie całokształtu zebranego materiału dowodowego ustalił kluczowe dla rozstrzygnięcia sprawy okoliczności, a mianowicie, że strony internetowe identyfikowane przez adresy URL wskazane w punktach 2, 3 i 6 sentencji decyzji zawierały nieaktualne (nieprawdziwe) dane osobowe uczestnika postępowania odnoszące się do sfery jego działaności zawodowej (firmy przedsiębiorcy, który zaprzestał prowadzenia działalności gospodarczej w 2016 r.). W istocie, jak wynika z akta sprawy, treść stron internetowych była niedostępna w czasie prób ich odczytu (k. 31, 134, 145 akt admin). Jednakże w wyniku analizy zebranego materiału dowodowego w postaci twierdzeń uczestnika postępowania oraz [...] i przesłanej przez te podmioty dokumentacji organ trafnie przyjął, że na stronach internetowych stanowiących przedmiot postępowania przetwarzane były nieaktualne dane osobowe uczestnika postępowania w zakresie jego działalności gospodarczej, którą zakończył przeszło 2 lata przed złożeniem pierwszego wniosku do [...]. Ta właśnie okoliczność, jak prawidłowo stwierdził organ, miała kluczowe znaczenie dla podjętego w sprawie rozstrzygnięcia. Nawet gdyby przyjąć, że przedmiotowe strony zawierały opinie dotyczące działalności uczestnika postępowania, to byłyby to dane nieaktualne, bowiem odnoszące się do zakończonej w 2016 r. działalności gospodarczej. W tym względzie warto odwołać się do Wytycznych WP 225, gdzie odnośnie 7 kryterium z listy wspólnych kryteriów dotyczących rozpatrywania skarg przez europejskie organy ochrony danych Grupa Robocza wskazała: "co do zasady organy ochrony danych wezmą pod uwagę czynnik w celu zapewnienia, aby informacja która nie jest aktualna na tyle, na ile można tego oczekiwać, i która stała się nieprawidłowa ze względu na brak aktualności, została usunięta z listy wyników wyszukiwania (...)".
Co istotne, [...] nie przedstawiła dowodu na to, że ustalenia organu w powyższym zakresie są błędne. Jak już wyżej wskazano odwołując się do Wytycznych EROD 5/2019, jeżeli dostawca wyszukiwarki internetowej nie wykaże istnienia nadrzędnych prawnie uzasadnionych podstaw przetwarzania, osoba, której dane dotyczą, ma prawo uzyskać usunięcie z listy wyników wyszukiwania zgodnie z art. 17 ust. 1 lit. c RODO. Ciężar dowodu w ww. zakresie został przesunięty na dostawcę wyszukiwarki internetowej. W ocenie Sądu Spółka takich prawnie uzasadnionych podstaw nie wykazała, w szczególności nie przedstawiła żadnych dodatkowych dowodów (w postaci właśnie ww. stron internetowych, czy też analizy tych stron internetowych sporządzonych w wyniku rozpatrzenia wniosku uczestnika postępowania) na poparcie stanowiska, że dane dotyczące działalności gospodarczej nie prowadzonej od 2016 r. - objęte żądaniem usunięcia - mogą być istotne dla jego kontrahentów, klientów lub współpracowników. Nie przedstawiła również argumentacji, z której wynikałoby, że jakkolwiek dane uczestnika pozostają nieaktualne od 2016 r., to jednak pomimo tego ich przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów.
W świetle powyższego brak jest podstaw do uwzględnienia ww. zarzutów skargi.
Nie jest również trafny zarzut naruszenia art. 12 ust. 1 i 4 w związku z art. 17 ust. 1 lit. c RODO. Prawidłowo bowiem organ ocenił, że istnieją podstawy do udzielenia Spółce upomnienia w oparciu o art. 58 ust 2 lit. b RODO za naruszenie art. 12 ust. 1 i 4 RODO w związku z art. 17 ust. 1 lit. c RODO polegające na prowadzeniu z uczestnikiem postępowania komunikacji dotyczącej żądania usunięcia jego danych osobowych w sposób nieprzejrzysty i niezrozumiały oraz niepoinformowaniu go o niepodjęciu działań w związku z jego żądaniami usunięcia danych osobowych w wynikach wyszukiwarki [...].
Zgodnie z art. 12 ust. 1 RODO administrator podejmuje odpowiednie środki, aby w zwięzłej, przejrzystej, zrozumiałej i łatwo dostępnej formie, jasnym i prostym językiem - w szczególności gdy informacje są kierowane do dziecka - udzielić osobie, której dane dotyczą, wszelkich informacji, o których mowa w art. 13 i 14, oraz prowadzić z nią wszelką komunikację na mocy art. 15-22 i 34 w sprawie przetwarzania. Informacji udziela się na piśmie lub w inny sposób, w tym w stosownych przypadkach - elektronicznie. Jeżeli osoba, której dane dotyczą, tego zażąda, informacji można udzielić ustnie, o ile innymi sposobami potwierdzi się tożsamość osoby, której dane dotyczą. Jeżeli administrator nie podejmuje działań w związku z żądaniem osoby, której dane dotyczą, to niezwłocznie - najpóźniej w terminie miesiąca od otrzymania żądania - informuje osobę, której dane dotyczą, o powodach niepodjęcia działań oraz o możliwości wniesienia skargi do organu nadzorczego oraz skorzystania ze środków ochrony prawnej przed sądem (ust. 4).
Jak wskazano w wytycznych Grupy Roboczej Art. 29 w sprawie przejrzystości na podstawie rozporządzenia 2016/679 z dnia 29 listopada 2017 r. (dalej: "Wytyczne WP 260") informacje powinny być konkretne i jednoznaczne, nie należy ich formułować przy pomocy pojęć abstrakcyjnych lub wieloznacznych ani pozostawiać dowolności interpretacji (s. 9). Określone w RODO wymogi dotyczące wykonywania praw wymienionych w art. 15-22 i art. 34 RODO oraz charakter wymaganych informacji mają na celu zapewnienie osobom, których dane dotyczą, realnej możliwości dochodzenia swoich praw i pociągnięcia administratorów danych do odpowiedzialności za przetwarzanie ich danych osobowych.
Sąd podziela stanowisko Prezesa UODO, że treść korespondencji pomiędzy [...] a uczestnikiem postępowania nie spełnia powyższych wymogów. Odpowiedzi na wnioski kierowane przez uczestnika postępowania odnośnie usunięcia danych osobowych z adresów URL wskazanych w pkt 2, 3 i 6 decyzji brzmiały następująco: "aktualnie przygotowujemy na nie odpowiedź lub już ją wysłaliśmy" (odpowiedzi z 21 czerwca 2018 r., 7 i 21 sierpnia 2018 r., k. 93, 113 verte i 118 akt admin.); "podana strona internetowa nie jest już wyświetlana lub została usunięta" (odpowiedzi z 26-27 czerwca 2018 r. oraz 14 sierpnia 2018 r., k. 96 i 116 akt admin.); "po przeanalizowaniu odpowiednich praw i uzasadnionych interesów związanych z problematycznymi treściami, z uwzględnieniem takich aspektów jak ich wpływ na Twoją karierę zawodową, firma [...] postanowiła nie blokować dostępu do tych materiałów" (odpowiedzi z 27 i 29 czerwca 2018 r., k. 88 i 101 verte akt admin.); "jeśli te informacje nie są już dostępne na stronie osoby trzeciej, pamięć podręczna [...]zaktualizuje się z czasem, aby odzwierciedlać zmienioną treść strony" (odpowiedź z 27 czerwca 2018 r., k. 100 akt admin.).
Uczestnik postępowania w korespondencji z operatorem wyszukiwarki, wobec braku konkretnej odpowiedzi na wniosek, prosił o załatwienie sprawy (k. 101 akt admin.), podnosił, że niezrozumiała jest dla niego informacja o wpływie objętych żądaniem usunięcia danych osobowych na karierę zawodową (k. 17 akt admin.), wnosił o obiektywne uzasadnienie decyzji (k. 118 akt admin.), wskazywał, że po otrzymaniu informacji o niewyświetlaniu strony lub jej usunięciu adres nadal był wyświetlany (k. 116 akt admin.). Trafne jest stanowisko organu, że formułując odpowiedzi o treści jak powyżej, tj. niekonkretne, wieloznaczne, a nawet wprowadzające w błąd, administrator danych nie zastosował się do zasad prowadzenia komunikacji w sposób jasny, prosty, przejrzysty, a przede wszystkim zrozumiały. Naruszył tym samym art. 12 ust. 1 RODO. Okoliczność, że Spółka udzieliła uczestnikowi postępowania odpowiedzi na każdą wiadomość e-mail, a odpowiedzi te były napisane "prostym" językiem i niezwłocznie przesyłane, nie ma istotnego wpływu na tę ocenę. Prosty język odpowiedzi nie gwarantuje, że odpowiedzi są konkretne i jednoznaczne, adekwatne do treści wniosku, a w konsekwencji zrozumiałe dla odbiorcy. Ponadto nawet niezwłoczne udzielenie odpowiedzi nie decyduje o jej merytorycznej wartości.
Zgodnie z art. 12 ust. 4 RODO, jeżeli administrator nie podejmuje działań w związku z żądaniem osoby, której dane dotyczą, to niezwłocznie - najpóźniej w terminie miesiąca od otrzymania żądania - informuje osobę, której dane dotyczą, o powodach niepodjęcia działań oraz o możliwości wniesienia skargi do organu nadzorczego oraz skorzystania ze środków ochrony prawnej przed sądem.
W odpowiedzi na żądania Skarżącego dotyczące usunięcia z wyników wyszukiwania adresów URL oznaczonych w sentencji decyzji punktami 3 i 6 [...] poinformowała uczestnika postępowania, że strony te nie są już wyświetlane, a w reakcji na jego informację, że nadal widzi stronę oznaczoną w sentencji decyzji punktem 6, Spółka wyjaśniła, że: "jeśli te informacje nie są już dostępne na stronie osoby trzeciej, pamięć podręczna [...]zaktualizuje się z czasem, aby odzwierciedlać zmienioną treść strony". Na tym komunikacja zakończyła się.
W zakresie żądania dotyczącego adresu wskazanego w punkcie 2 sentencji decyzji [...] rzeczywiście początkowo poinformowała uczestnika o odmowie uwzględnienia jego wniosku. Jednak w odpowiedzi na komunikat sugerujący, że do uwzględnienia wniosku wystarczy udokumentowanie przez uczestnika zakończenia przez niego działalności, P.P. dostarczył wyciąg z właściwego rejestru i zasadnie oczekiwał ponownego przeanalizowania wniosku oraz informacji o sposobie jego rozstrzygnięcia. Administrator poinformował go jedynie, że: "podana strona internetowa nie jest już wyświetlana w naszych wynikach wyszukiwania lub została usunięta" mimo, że jak podnosił uczestnik adres z wyników wyszukiwania wyszukiwarki nie został jeszcze usunięty. W odpowiedzi Spółka poinformowała, że aktualnie przygotowuje odpowiedź lub już ją wysłała.
Uznać zatem należy, że [...] ostatecznie nie poinformowała uczestnika o odmowie uwzględnienia jego wniosku w zakresie ww. adresów URL. Organ miał zatem podstawy do podjęcia rozstrzygnięcia jak w punkcie 2 sentencji zaskarżonej decyzji.
Mając wszystko powyższe na względzie, Wojewódzki Sąd Administracyjny w Warszawie, działając na podstawie art. 145 § 1 pkt 1 lit. c p.p.s.a. uchylił decyzję Prezesa UODO w zakresie rozstrzygnięcia zawartego w punkcie 3 tej decyzji oraz działając na podstawie art. 151 p.p.s.a. oddalił skargę w zakresie rozstrzygnięcia zawartego w punktach 1 i 2 tej decyzji. O zwrocie kosztów postępowania na rzecz [...], obejmujących uiszczony wpis sądowy w wysokości 200 zł, wynagrodzenie pełnomocnika w kwocie 480 złotych oraz opłatę skarbową od pełnomocnictwa w kwocie 17 złotych, Sąd orzekł na podstawie art. 200 i art. 205 § 2 p.p.s.a.