II SA/Wa 2412/19

II SA/Wa 2412/19 - Wyrok WSA w Warszawie
Data orzeczenia
2020-09-30
orzeczenie prawomocne
Data wpływu
2019-10-25
Sąd
Wojewódzki Sąd Administracyjny w Warszawie
Sędziowie
Ewa Kwiecińska /przewodniczący/
Joanna Kube
Karolina Kisielewicz /sprawozdawca/
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne
Ochrona danych osobowych
Sygn. powiązane
III OSK 4150/21 - Wyrok NSA z 2024-04-16
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Oddalono skargę w części
Powołane przepisy
Dz.U. 2019 poz 2325
art. 145 par. 1 pkt 1 lit a) i c), art. 151, art. 200
Ustawa z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi - t.j.
Dz.U. 2020 poz 256
art. 107 par. 3
Ustawa z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego - t.j.
Sentencja
Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Ewa Kwiecińska, Sędzia WSA Joanna Kube, Asesor WSA Karolina Kisielewicz (spr.), , Aneta Kardas, Protokolant referent stażysta, po rozpoznaniu na rozprawie w dniu 30 września 2020 r. sprawy ze skargi [...] Spółdzielni Mieszkaniowej "[...]" z siedzibą w [...] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] sierpnia 2019 r. nr [...] w przedmiocie dostosowania operacji przetwarzania danych osobowych do przepisów ogólnego rozporządzenia o ochronie danych 1. oddala skargę w zakresie punktu pierwszego zaskarżonej decyzji; 2. uchyla zaskarżoną decyzję w zakresie punktu drugiego; 3. zasądza od Prezesa Urzędu Ochrony Danych Osobowych na rzecz [...] Spółdzielni Mieszkaniowej "[...]" z siedzibą w [...] kwotę 697 (sześćset dziewięćdziesiąt siedem) złotych tytułem zwrotu kosztów postępowania.
Uzasadnienie
Przedmiotem skargi [...] Spółdzielni Mieszkaniowej [...] z siedzibą w [...], jest decyzja Prezesa Urzędu Ochrony Danych Osobowych z [...] sierpnia 2019 r. (nr [...]), którą organ działając na podstawie art. 104 § 1 k.p.a. w związku z art. 7 ust. 1 i art. 60 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz.U. z 2018 r. poz. 1000 ze zm.) oraz art. 6 ust. 1 pkt f, art. 37 ust. 1 lit. b oraz art. 58 ust. 2 lit d rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych), nakazał skarżącej dostosowanie operacji przetwarzania danych osobowych do przepisów tego rozporządzenia, poprzez :
1) zaprzestanie przetwarzania danych osobowych (wizerunku) za pomocą kamery umieszczonej na półpiętrze klatki schodowej bloku mieszkalnego położonego w [...] przy ul. [...], w terminie od dnia, w którym niniejsza decyzja stanie się ostateczna,
2) wyznaczenie inspektora ochrony danych, o którym mowa w art. 37 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679, w terminie od dnia, w którym niniejsza decyzja stanie się ostateczna.
W uzasadnieniu decyzji organ podał, że zamontowanie przez Spółdzielnię, na półpiętrze klatki schodowej w budynku mieszkalnym, kamery systemu monitoringu wizyjnego (w związku z licznymi, wzajemnymi skargami mieszkańców lokali nr [...] i nr [...]), która zasięgiem obejmuje drzwi wejściowe do tych mieszkań, "niewątpliwie narusza podstawowe prawa i wolności osoby (...) gdyż stałe monitorowanie drzwi wejściowych do lokalu mieszkalnego narusza prawa i wolności osób wchodzących do tego lokalu". Istotne znaczenie ma fakt, że właścicielka lokalu nr [...] zarzuca Spółdzielni, że przez stałe monitorowanie drzwi wejściowych do jej mieszkania, naruszona jest jej prywatność, prawo do ochrony jej wizerunku oraz wizerunku osób, które ją odwiedzają. W jej odczuciu stosowanie monitoringu narusza sferę jej życia prywatnego i rodzinnego. Świadomość ciągłej obserwacji powoduje dyskomfort, ogranicza jej swobodę i wzbudza niepokój. Prezes UODO dodał, że kamera została zamontowana wbrew zasadom funkcjonowania monitoringu wizyjnego, określonymi w uchwale Rady Nadzorczej Spółdzielni nr [...] z [...] października 2015 r. Z § 3 pkt 2 uchwały wynika, że "rejestrowanie przez kamery systemu monitoringu danych nie może naruszać zasad wolności osobistej i prawa do prywatności".
Zdaniem Prezesa Urzędu Ochrony Danych Osobowych, nie jest uzasadnione powoływanie się przez Spółdzielnię, jako administratora danych osobowych, na art. 6 ust. 1 lit. f) rozporządzenia 2016/79, według którego przetwarzanie danych osobowych jest zgodne z prawem m. in. gdy jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem. W ocenie organu, w rozpatrywanym przypadku nie zostały spełnione przesłanki wymienione w tym przepisie, uzasadniające zgodne z prawem przetwarzanie danych osobowych. Przetwarzanie danych osobowych (wizerunku) poprzez stałe monitorowanie drzwi wejściowych do lokali mieszkalnych narusza prawa i wolności osób, o których mowa w tym przepisie.
Prezes Urzędu Ochrony Danych Osobowych stwierdził ponadto, że Spółdzielnia w związku ze stosowaniem monitoringu wykonuje regularne operacje na danych, które polegają m. in. na zapisywaniu, przeglądaniu, udostępnianiu i usuwaniu zarejestrowanych nagrań. W związku z tym powinna, stosownie do art. 37 ust. 1 lit b) rozporządzenia 2016/79, wyznaczyć inspektora ochrony danych, czego dotychczas nie uczyniła. Organ dodał, że nie można podzielić argumentu Spółdzielni, że ze względu na małą liczbę lokatorów (638 osoby), nie przetwarza danych osobowych na tzw. dużą skalę. Spółdzielnia stosując monitoring przetwarza dane osobowe (wizerunek) nie tylko samych lokatorów, ale także innych osób (odwiedzających mieszkańców, korzystających z punktów handlowo-usługowych znajdujących się na terenie Spółdzielni). Zdaniem Prezesa UODO nie można pominąć, że Spółdzielnia przetwarza również dane osobowe zawarte w orzeczeniach sądowych (np. wydawanych w związku z dochodzeniem roszczeń), i dlatego jest obowiązana wyznaczyć inspektora ochrony danych również z uwagi na przepis art. 37 ust. 1 lit c) powołanego rozporządzenia.
[...] Spółdzielnia Mieszkaniowa [...] z siedzibą w [...] w skardze na decyzję Prezesa UODO z [...] sierpnia 2019 r. zarzuciła, że została wydana z naruszeniem art. 6 ust. 1 pkt f) oraz art. 37 ust.1 lit. b) i c) rozporządzenia 2016/79 (przez jego niezastosowanie) i wniosła o jej uchylenie oraz o zasądzenie kosztów postępowania.
W uzasadnieniu skargi Spółdzielnia podniosła m. in., że decyzję o zamontowaniu monitoringu podjęła, by poprawić bezpieczeństwo na należącym do niej terenie. O usytuowaniu jednej z kamer na klatce schodowej w budynku nr [...], obejmującej półpiętro i piętro, na którym znajduje się lokal nr [...], zadecydowała Rada Nadzorcza Spółdzielni w związku z nagminnym zaśmiecaniem klatki schodowej oraz skargami na lokatora zamieszkującego w lokalu nr [...] (dzwonienie do drzwi innego lokatora, ubliżanie, zaczepianie, zaśmiecanie, uporczywe nękanie). Spółdzielnia podkreśliła, że nagrania z monitoringu wizyjnego przekazane policji umożliwiły udowodnienie zgłaszanych zdarzeń i stanowiły podstawę do złożenia przez policję wniosków do Sądu Rejonowego [...] w [...] o ukaranie sprawy (Sąd wydał dwa wyroki nakazowe o sygn. akt [...] oraz [...]).
Skarżąca nie zgodziła się z zapatrywaniem organu, wyrażonym w zaskarżonej decyzji, że "dyskomfort" i "niepokój" lokatorów, których drzwi do mieszkania w obrębie powierzchni wspólnej, obejmuje swym zasięgiem kamera, są nadrzędne w stosunku do interesów i praw osób, których poczucie bezpieczeństwa i spokój były zakłócane aktami chuligaństwa i agresji. Zdaniem Spółdzielni, prawa do ochrony wizerunku czy szeroko rozumianej prywatności nie można stawiać ponad prawem do poczucia bezpieczeństwa i ochrony zdrowia. Dobra te niewątpliwie są nadrzędne w stosunku do prawa do wizerunku. Celem monitoringu, co znalazło wyraz z przyjętych Zasadach, było podniesienie poczucia bezpieczeństwa jej mieszkańców. Nie bez znaczenia jest fakt, że niemożliwe jest takie usytuowanie kamery, by swoim zasięgiem obejmowała ciąg komunikacyjny, "nie rejestrując miejsca lokalizacji drzwi wejściowych do poszczególnych lokali". Niemniej kamera "nie pozwala na rejestrację otwieranych drzwi lokali".
Spółdzielnia powołała się na wyrok Europejskiego Trybunału Sprawiedliwości z 11 grudnia 2014 r. C – 212/13 Rynes, w którym Trybunał stwierdził, że ochrona osób i mienia może być uznana za uzasadniony interes administratora w rozumieniu nieobowiązującego art. 7 lit. f) dyrektywy 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych (przepis art. 6 ust. 1 lit f rozporządzenia RODO jest analogiczny).
Skarżąca stwierdziła, że niezależnie od powyższego, okoliczności faktyczne sprawy nie dają podstaw do przyjęcia, że dochodzi do jakiegokolwiek naruszenia praw do wizerunku czy niezgodnego z prawem jego przetwarzania. Obraz z kamer systemu monitoringu jest zapisywany na nośniku (dysku twardym) "pracującym w systemie siedmiodniowym". Tylko w przypadku wystąpienia zdarzeń mogących zagrażać bezpieczeństwu osób lub mienia, dane zawarte na nośnikach mogą być zabezpieczone do pięciu dni od daty zdarzenia, pod warunkiem złożenia do Spółdzielni stosownego wniosku, a wydawane mogą być wyłącznie na żądanie powołanych do tego organów (np. Policji). Po tym okresie dane są automatycznie usuwane.
Spółdzielnia [...] dodała, że decyzją z [...] marca 2019 r. Prezes Urzędu Ochrony Danych Osobowych, po rozpoznaniu skargi Z.K. (lokatorki mieszkania nr [...] przy ul. [...] w [...] ) na niezgodne z prawem przetwarzanie przez Spółdzielnię danych osobowych jej oraz jej syna, umorzyła to postępowanie jako bezprzedmiotowe (art. 105 § 1 k.p.a.), podając w uzasadnieniu, że "Spółdzielnia obecnie nie przetwarza danych osobowych Skarżących pochodzących z monitoringu wizyjnego (...), bowiem jako oświadczyła, dane te przekazała policji w związku z prowadzonym postępowaniem., Tym samym kwestionowany w skardze proces przetwarzania wizerunku Skarżących przez Spółdzielnię nie zachodzi".
W uzasadnieniu drugiego zarzutu skargi, dotyczącego naruszenia przez organ art. 37 ust.1 lit. b) i c) rozporządzenia 2016/79, skarżąca podniosła, że wbrew zapatrywaniu organu nie jest zobowiązana do wyznaczenia inspektora danych osobowych. Celem działalności spółdzielni mieszkaniowej jest zaspokajanie potrzeb mieszkaniowych i innych potrzeb członków spółdzielni oraz ich rodzin. Przy realizacji tego celu, główna działalność żądnej spółdzielni, nawet kilkukrotnie liczniejszej niż skarżąca, nie polega na przetwarzaniu danych na dużą skalę. Przetwarzanie danych ma charakter uboczny i w pewnym, ograniczonym zakresie jest niezbędne do jej funkcjonowania, ale błędem jest przyjmowanie, że przetwarzanie danych jest głównym przedmiotem działalności Spółdzielni i następuje na dużą skalę. Z zaskarżonej decyzji wynika, że w istocie o obowiązku wyznaczenia inspektora danych osobowych przesądza istnienie monitoringu na terenie osiedla i mimo wskazywania przez Spółdzielnię na incydentalność operacji wykonywanych na automatycznie zapisywanych i automatycznie usuwanych danych, organ przyjmuje, że spełniona została przesłanka "przetwarzania, które ze względu na swój charakter, zakres lub cele wymaga monitorowania osób, których dane dotyczą na dużą skalę".
Na zakończenie skarżąca podniosła, że pomocny w definiowaniu charakteru, zakresu i celu monitoringu, a co za tym idzie pojęcia przetwarzania danych zwłaszcza w znaczeniu ":na dużą skalę", może być wyrok Sądu Apelacyjnego w [...] z [...] lipca 2012 r. sygn. akt [...]. W jego uzasadnieniu Sąd stwierdził m. in., że "Przede wszystkim wskazać należy, że to nie osoba powoda, lecz określone miejsca należące do pozwanej wspólnoty są przedmiotem monitoringu, a celem owego monitoringu jest umożliwienie wykrycia niepożądanych zdarzeń na terenie wspólnoty i podjęcia odpowiednich działań prewencyjnych lub interwencyjnych. Wskazanego odcinka czasu nagrania nie można w związku z tym przypisać do określonej osoby. Jeśli powód zostanie sfilmowany w danym miejscu, to tylko dlatego, że tam się znalazł a nie dlatego, że to właśnie on miał zostać sfilmowany. Identyfikacja osoby sfilmowanej jest celem wtórnym i to tylko wtedy, gdy jest to niezbędne do podjęcia działań dochodzeniowo-śledczych. (...). Nagrania z monitoringu na terenie pozwanej wspólnoty nie można uznać za zbiór danych osobowych z uwagi na brak w strukturze nagrania informacji o charakterze osobowym, które byłyby dostępne według określonych kryteriów".
Prezes Urzędu Ochrony Danych Osobowych w odpowiedzi na skargę wniósł o jej oddalenie. Organ podniósł m. in., że w toku postępowania zakończonego zaskarżoną decyzją ustalił, że od kilku lat między Z.K. (właścicielką mieszkania nr [...], położonego na drugim piętrze) i jej system a A. i A. J. (właścicielami lokalu nr [...] na trzecim piętrze) trwa spór sąsiedzki. Lokatorzy mieszkania nr [...] skarżą się na zakłócanie spokoju i ciszy nocnej przez mieszkańców lokalu nr [...] , natomiast A. i A.J. skarżą się na dewastacje przez lokatorów mieszkania nr [...] mienia znajdującego się na klatce schodowej. (A.J. jest Prezesem Zarządu Spółdzielni). Zdaniem organu przedstawione okoliczności faktyczne nie uzasadniają potrzeby istnienia kamery w dotychczasowym miejscu, zwłaszcza że Z.K. zarzuca, że stałe monitorowanie drzwi wejściowych do jej mieszkania narusza jej prywatność, prawo ochrony jej wizerunku oraz osób, które ją odwiedzają i że świadomość ciągłej obserwacji powoduje u niej dyskomfort, ogranicza jej swobodę i wzbudza niepokój. Na piętrze trzecim, poza lokalem nr [...] nie ma innych lokali mieszkalnych. Zmiana miejsca zamieszczenia kamery spowodowałaby więc zaprzestanie monitorowania lokalu nr [...]. Organ podał, że porównał interes realizowany przez administratora danych z prawami i wolnościami osoby, której dane dotyczą i stwierdził, że sposób zamontowania kamery narusza podstawowe prawa i wolności lokatorów mieszkania nr [...] (ich interes jest przeważający).
Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje:
W zaskarżonej przez [...] Spółdzielnię Mieszkaniowa [...] z siedzibą w [...] decyzji (z [...] sierpnia 2019 r.) Prezes Urzędu Ochrony Danych Osobowych nakazał skarżącej dostosowanie operacji przetwarzania danych osobowych do przepisów rozporządzenia 216/679, poprzez zaprzestanie przetwarzania danych osobowych (wizerunku) za pomocą kamery umieszczonej na półpiętrze jednej z klatek schodowych budynku mieszkalnego znajdującego się na zarządzanym przez nią osiedlu oraz wyznaczenie inspektora ochrony danych.
Skarżąca Spółdzielnia zarzucała, że zobowiązanie jej do dostosowania operacji przetwarzania danych osobowych do przepisów rozporządzenia nie znajduje oparcia w prawie dotyczącym przetwarzania danych. Zdaniem strony skarżącej, w rozpatrywanej sprawie zachodzi, określona w art. 6 ust. 1 lit. f) rozporządzenia RODO, przesłanka uchylająca zakaz przetwarzania danych osobowych.
Sąd uznaje to zapatrywanie skarżącej za nieprawidłowe, ponieważ nie znajduje ono uzasadnienia w okolicznościach faktycznych sprawy oraz w powołanym przepisie prawa.
Zgodnie z art. 6 ust. 1 lit. f rozporządzenia ogólnego przetwarzanie jest zgodne z prawem, jeżeli jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem.
Skorzystanie z omawianej przesłanki wymaga pogłębionej analizy danego stanu faktycznego. W pierwszej kolejności należy ocenić czy po stronie administratora lub strony trzeciej występuje prawnie uzasadniony interes. Może to być interes faktyczny, gospodarczy lub prawny, taki, który jest chroniony prawem. Prawodawca unijny jako przykłady tego typu interesów wskazał: marketing bezpośredni, zapobieganie oszustwom, czy zapewnienie bezpieczeństwa usług oferowanych lub udostępnianych poprzez sieci i systemy. Należy dodać, że dla realizacji celu wynikającego z tak rozumianego interesu administratora przetwarzanie musi być niezbędne. Oznacza to istnienie rozsądnej potrzeby dla realizacji tego celu. Oceniać ją należy zarówno w odniesieniu do przetwarzania w ogóle, jak i do przetwarzania poszczególnych kategorii danych osobowych. Tak, by uwzględniać w procesie subsumpcji zasadę minimalizacji danych, wynikającą z art. 5 ust. 1 lit. c rozporządzenia 679/2016.
Z powołanego przepisu prawa wynika, że aby mogło dojść do przetwarzania danych osobowych, prowadzącego do ingerencji w interesy, podstawowe prawa i wolności podmiotu danych, które wymagają ochrony (takim prawem jest w szczególności prawo do prywatności), to konieczne jest uznanie, że te interesy, podstawowe prawa i wolności, przeważają nad prawnie uzasadnionymi interesami administratora lub strony trzeciej. Oceniając "wagę" tych interesów, należy uwzględnić takie kryteria jak w szczególności: charakter interesu administratora, rodzaj interesu podmiotu danych, rodzaj prawa lub wolności, rodzaj przetwarzanych danych osobowych, sposób przetwarzania. Przetwarzanie danych na podstawie art. 6 ust. 1 lit. f rozporządzenia nie będzie dopuszczalne, jeżeli po dokonaniu tej oceny okaże się, że interesy, podstawowe prawa i wolności podmiotu danych, które wymagają ochrony są nadrzędne nad prawnie uzasadnionymi interesami administratora lub strony trzeciej (por. Witold Chomiczewski, Komentarz praktyczny do art. 6 ust. 1 rozporządzenia, LEX/el. 2018).
Sąd, przenosząc te ogólne rozważania na grunt rozpatrywanej sprawy, stwierdza, że skarżąca Spółdzielnia nie wykazała w tym postępowaniu, jaki to "prawnie uzasadniony interes" przemawiał za zamontowaniem monitoringu (kamery) między drugim a trzecim piętrem klatki schodowej w jedynym z wielorodzinnych budynków mieszkalnych. Z akt sprawy wynika, co zresztą przyznaje skarżąca w skardze do Sądu, że sporna kamera monitoringu została zamontowana w związku z konfliktem sąsiedzkim między lokatorami dwóch mieszkań ([...] i [...]). Argumentowała, że zapis z tej kamery umożliwił złożenie przez policję wniosków do sądu o ukaranie sprawcy.
Zdaniem Sądu przedstawione okoliczności faktyczne nie uzasadniają dostatecznie stwierdzenia, że przetwarzanie danych przez skarżącą Spółdzielnię jest niezbędne do celów wynikających z prawnie uzasadnionych jej interesów. Do zadań Spółdzielni nie należy przecież rozstrzyganie sporów sąsiedzkich ani gromadzenie materiału dowodowego dla postępowań prowadzonych przez Policję. Z tych względów Sąd nie dopatrzył się w niniejszej sprawie "prawnie uzasadnionego interesu", usprawiedliwiającego przetwarzanie danych przez Spółdzielnię
Można dodać, że gdyby nawet taki "prawnie uzasadniony interes" w tej sprawie występował, to należy mieć na uwadze, że w świetle art. 6 ust. 1 lit. f rozporządzenia przetwarzanie musi być "niezbędne" do celów wynikających z prawnie uzasadnionych interesów (...)". Jeżeli zatem uzasadnieniem przetwarzania danych miałoby być zapewnienia bezpieczeństwa mieszkańców budynku, to należałoby wykazać, identyfikując konkretne zagrożenia bezpieczeństwa, że przyjęty przez Spółdzielnię sposób działania jest niezbędny dla osiągnięcia tego celu. A zatem, że tego bezpieczeństwa nie można zapewnić innymi metodami. Skoro jednak Spółdzielnie nie wyjaśniła dostatecznie, w czym się wyraża jej uzasadniony interes w przetwarzaniu danych, to tym samym niemożliwe jest uznanie, że przetwarzanie danych było niezbędne dla ochrony tego niejasnego, niesprecyzowanego interesu. Przepis art. art. 5 ust. 1 lit c RODO wymaga "minimalizacji przetwarzanych danych". Stanowi, że przetwarzane dane osobowe muszą być adekwatne, stosowne oraz ograniczone do tego, co jest niezbędne do celów, w których są przetwarzane.
Z ustaleń poczynionych przez organ i niepodważonych przez skarżącą wynika, że kamera umieszczona na półpiętrze obejmuje swoim zasięgiem drzwi wejściowe do prywatnych mieszkań. Nie można zatem przyjąć, że monitorowana jest wyłącznie ogólnodostępna (publiczna) przestrzeń klatki schodowej. Stałe kontrolowanie w ten sposób wejścia do prywatnego mieszkania stanowi w istocie kontrolę tego mieszkania, życia prywatnego konkretnych osób tam zamieszkujących (przebywających). Tym samym narusza ich prawo do prywatności. To dobro chronione konstytucyjne wymaga poszanowania w ramach przetwarzania danych, szczególnie w sytuacji, gdy przeciwstawia mu się niedookreślone i niedostatecznie uzasadnione interesy administratora danych.
Z tych wszystkich powodów Sąd stwierdził, że zaskarżona decyzja Prezesa Urzędu Ochrony Danych Osobowych w części, w której nakazuje skarżącej Spółdzielni dostosowanie operacji przetwarzania danych osobowych do przepisów rozporządzenia Parlamentu Europejskiego i Rady UE 2016/679, odpowiada prawu a zarzuty zawarte w skardze nie są uzasadnione.
W ocenie Sądu nie jest natomiast prawidłowe stanowisko organu, co do istnienia przesłanek zobowiązania skarżącej do wyznaczenia inspektora ochrony danych, o którym mowa w art. 37 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679. Organ powołał się m. in. na lit. b) i c) tego przepisu.
Należy przypomnieć, że w uzasadnieniu tej części decyzji organ stwierdził, że Spółdzielnia w związku ze stosowaniem monitoringu wykonuje regularne operacje na danych, które polegają m. in. na zapisywaniu, przeglądaniu, udostępnianiu i usuwaniu zarejestrowanych nagrań i ze względu na liczbę lokatorów (638 osoby), jest to przetwarzanie na tzw. dużą skalę. Organ dodał, że nie można tracić z pola widzenia, że Spółdzielnia stosując monitoring przetwarza dane osobowe (wizerunek) nie tylko samych lokatorów, ale także innych osób (odwiedzających mieszkańców, korzystających z punktów handlowo-usługowych znajdujących się na terenie Spółdzielni). W odniesieniu do przesłanki wyznaczenia inspektora danych osobowych o której mowa w pkt c) ust. 1 art. 37 rozporządzenia, Prezesa Urzędu Ochrony Danych Osobowych podał, że Spółdzielnia przetwarza dane osobowe zawarte w orzeczeniach sądowych (np. wydawanych w związku z dochodzeniem roszczeń).
Zdaniem Sądu, organ nie wykazał dostatecznie potrzeby ustanowienia administratora danych skarżącą Spółdzielnię Mieszkaniową.
W myśl art. 37 ust. 1 lit. b) rozporządzenia, obowiązek ustanowienia inspektora danych dotyczy podmiotów, których główna działalność polega na operacjach przetwarzania danych, które ze względu na swój charakter, zakres lub cele wymagają regularnego i systematycznego monitorowania osób, których dane dotyczą, na dużą skalę.
Rozporządzenie 2016/679 nie definiuje pojęć "główna działalność" , nie wyjaśnia jak rozumieć "regularne i systematyczne" przetwarzanie danych oraz "przetwarzanie na dużą skalę". W literaturze przedmiotu przyjmuje się, że przetwarzanie danych osobowych jest główną działalnością administratora, jeżeli jest jego podstawową czy zasadniczą, a nie poboczną działalnością. Tak więc główną działalnością będzie działalność kluczowa z punktu widzenia zadań i celów administratora albo podmiotu przetwarzającego dane. Operacje przetwarzania danych powinny być zatem niezbędne i kluczowe w podstawowej działalności administratora. Przykładem głównej działalności, której prowadzenie zobowiązuje do wyznaczenia inspektora jest szpital. Jego działalnością główną jest zapewnianie opieki medycznej, czyli celem działania jest ochrona zdrowia, udzielanie porad, realizacja świadczeń medycznych pacjentów, a nie przetwarzanie ich danych osobowych. Jednak nie jest możliwe prowadzenie efektywnej opieki medycznej bez przetwarzania danych medycznych, jak np. historii choroby pacjenta. W związku z tym działalność polegająca na przetwarzaniu danych medycznych również powinna zostać zaklasyfikowana jako działalność główna (por. por. Witold Chomiczewski, Komentarz praktyczny do art. 37 rozporządzenia, LEX/el. 2018).
W zaskarżonej decyzji organ nie wyjaśnił, jakimi przesłankami się kierował dochodząc do przekonania, że przetwarzanie danych przez skarżącą (administratora) wiąże się ściśle i bezpośrednio z jej główną działalnością. Nie wyjaśnił również dostatecznie dlaczego uznał, że Spółdzielnia przetwarza dane na "dużą skalę": Jak już powiedziano, przepisy rozporządzenia nie definiują tego pojęcia. Posiłkując się stanowiskiem Grupy Roboczej art. 29 należy przyjąć, że dokonując oceny tej przesłanki należy uwzględnić liczbę osób, których dane są przetwarzane, zakres przetwarzanych danych osobowych, obszar na którym dane są przetwarzane czy też czas przez jaki są przetwarzane. Trzeba dodać, że z motywu 91 rozporządzenia wynika, że przetwarzanie danych osobowych nie powinno być uznawane za przetwarzanie na dużą skalę, jeżeli dotyczy danych osobowych pacjentów lub klientów i jest dokonywane przez pojedynczego lekarza (pracownika służby zdrowia).
Zdaniem Sądu uzasadnienie zaskarżonej decyzji w tym zakresie jest niedostateczne.
W przekonaniu Sądu organ nie wykazał również dostatecznie dlaczego uznał, że Spółdzielnia jest administratorem danych o których mowa w art. 37 ust. 1 lit. c) rozporządzenia, a więc administratorem, którego główna działalność podlega na przetwarzaniu na dużą skalę szczególnych kategorii danych osobowych, o których mowa w art. 9 (m. in. ujawniających pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne itp.) lub danych osobowych dotyczących wyroków skazujących oraz czynów zabronionych (art. 10 rozporządzenia).
Prezes Urzędu Ochrony Danych Osobowych orzekając ponownie w tej sprawie (w zakresie w którym Sąd uchylił zaskarżoną decyzję) jest obowiązany uwzględnić przedstawione wskazania Sądu. Oceny zaistnienia przesłanek do zobowiązania skarżącej do ustanowienia inspektora danych (art. 37 ust. 1 rozporządzenia) należy dokonać mając na uwadze zadania wyznaczone inspektorowi (art. 39 rozporządzenia). Uzasadnienie decyzji powinno być wyczerpujące, bowiem ocena kryteriów (przesłanek) nałożenia na administratora danych obowiązku ustanowienia inspektora danych musi być dokonana każdorazowo w kontekście konkretnego stanu faktycznego.
Biorąc powyższe pod uwagę, Wojewódzki Sąd Administracyjny w Warszawie stwierdził, że zaskarżona decyzja w zakresie pkt drugiego została wydana z naruszeniem art. 37 ust. 1 lit. a) i b) rozporządzenia i art. 107 § 3 k.p.a., natomiast w pozostałym zakresie (pkt 1 rozstrzygnięcia) odpowiada prawu.
Orzeczenie o którym mowa w pkt 1 wyroku zostało wydane na podstawie art. 151 p.p.s.a., natomiast o uchyleniu zaskarżonej decyzji we wskazanym zakresie Sąd orzekł na podstawie art. 145 § 1 pkt 1 lit. a i c tej ustawy. O zwrocie skarżącej wpisu od skargi (200 zł.), kosztów zastępstwa radcowskiego (480 zł), opłaty skarbowej od pełnomocnictwa (17 zł.), Sąd orzekł w oparciu o art. 200 i art. 205 § 2 w związku z § 14 ust. 1 pkt 1 lit. c rozporządzenia Ministra Sprawiedliwości z 22 października 2015 r. w sprawie opłat za czynności radców prawnych (Dz. U. z 2018 r. poz. 265).