II SA/Wa 265/21

II SA/Wa 265/21 - Wyrok WSA w Warszawie
Data orzeczenia
2021-07-22
orzeczenie nieprawomocne
Data wpływu
2021-02-03
Sąd
Wojewódzki Sąd Administracyjny w Warszawie
Sędziowie
Iwona Maciejuk /przewodniczący/
Joanna Kruszewska-Grońska /sprawozdawca/
Joanna Kube
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne
Ochrona danych osobowych
Sygn. powiązane
III OSK 7331/21 - Wyrok NSA z 2025-04-25
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Uchylono zaskarżoną decyzję
Powołane przepisy
Dz.U. 2021 poz 735
art. 7, art. 77 par. 1, art. 80 i art. 107 par. 3
Ustawa z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego - tekst jedn.
Dz.U.UE.L 2016 nr 119 poz 1  art. 6 ust. 1 lit. a i art. 8
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z  przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE
Sentencja
Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Iwona Maciejuk, Sędzia WSA Joanna Kube, Sędzia WSA Joanna Kruszewska-Grońska (spr.), po rozpoznaniu na posiedzeniu niejawnym w dniu 22 lipca 2021 r. sprawy ze skargi J. J. - przedstawiciela ustawowego małoletnich A. J. i J. J. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] grudnia 2020 r. nr [...] w przedmiocie przetwarzania danych osobowych 1) uchyla zaskarżoną decyzję; 2) zasądza od Prezesa Urzędu Ochrony Danych Osobowych na rzecz J. J. - przedstawiciela ustawowego małoletnich A. J. i J. J. kwotę 200 (słownie: dwieście) złotych tytułem zwrotu kosztów postępowania.
Uzasadnienie
Zaskarżoną w niniejszej sprawie decyzją z [...] grudnia 2020 r. nr [...] Prezes Urzędu Ochrony Danych Osobowych (dalej: "Prezes UODO", "organ"), na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (obecnie tekst jednolity: Dz.U. z 2021 r., poz. 735; dalej: "k.p.a.") w związku z art. 7 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r., poz. 1781; dalej: "u.o.d.o."), art. 58 ust. 2, art. 6 ust. 1 lit. c) oraz art. 13 ust. 1 i 2 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) - Dz. Urz. UE L 119 z 4 maja 2016 r., str. 1 ze zm. (dalej: "RODO"), odmówił uwzględnienia wniosku (skargi) J. J. z [...] listopada 2019 r., złożonej w imieniu jego dzieci A. J. i J. J. (dalej: "skarżący") na nieprawidłowości w procesie przetwarzania ich danych osobowych przez Burmistrza C. (dalej: "Burmistrz", "uczestnik postępowania") w ramach głosowania nad projektem budżetu obywatelskiego, polegające na:
• przetwarzaniu danych osobowych skarżących bez zgody ich przedstawiciela ustawowego,
• niedopełnieniu obowiązku informacyjnego określonego w art. 13 RODO w wyniku przedstawienia informacji w tym zakresie dzieciom zamiast ich przedstawicielowi ustawowemu.
W uzasadnieniu ww. rozstrzygnięcia Prezes UODO podał, że w skierowanej do niego skardze z [...] listopada 2019 r. J. J. (dalej: "przedstawiciel ustawowy skarżących") zarzucił, że:
• Burmistrz przetwarzał dane osób małoletnich - w tym dzieci przedstawiciela ustawowego skarżących (w wieku 11 i 10 lat) bez zgody opiekunów prawnych, przez co naruszył przepisy o ochronie danych osobowych;
• dzieci przedstawiciela ustawowego skarżących otrzymały do podpisania następujące oświadczenia:
- "Oświadczenie o wyrażeniu zgody na przetwarzanie danych osobowych",
- "Informacja o przetwarzaniu danych osobowych w ramach projektów do budżetu obywatelskiego na rok 2020",
których nie były w stanie zrozumieć.
Jednocześnie przedstawiciel ustawowy skarżących podkreślił, iż na kartach do głosowania nie znajdują się zgody przedstawiciela ustawowego, co w tym przypadku powinno mieć miejsce. Powołując się na art. 17 ustawy z dnia 23 kwietnia 1964 r. Kodeks cywilny (Dz. U. z 2020 r., poz. 1740 ze zm.; dalej: "k.c."), zaznaczył, że dzieci poniżej 13 roku życia mogą głosować za pośrednictwem rodzica lub opiekuna prawnego, w związku z czym czynność prawna dokonana przez osobę, która nie ma zdolności do czynności prawnych, jest nieważna.
W uzupełnieniu skargi do Prezesa UODO (pismo z [...] lutego 2020 r.) przedstawiciel ustawowy skarżących wskazał, że obowiązek informacyjny co do procedury głosowania w budżecie obywatelskim powinien zostać skierowany do przedstawiciela ustawowego, ponieważ małoletni poniżej 13 roku życia nie jest w stanie zrozumieć informacji w nim zawartych, zwłaszcza, że nie posiada odpowiedniej wiedzy na temat treści, słów i definicji w nim użytych. Przedstawiciel ustawowy skarżących wystąpił do organu o nakazanie dostosowania operacji przetwarzania do przepisów RODO, a w przypadku stwierdzenia naruszenia ochrony danych osobowych - nakazanie administratorowi zawiadomienia osób, których dane dotyczą, o naruszeniu ochrony danych.
W toku przeprowadzonego postępowania, zainicjowanego skargą (wnioskiem) przedstawiciela ustawowego skarżących z [...] listopada 2029 r., uzupełnioną pismem z [...] lutego 2020 r., Prezes UODO poczynił następujące ustalenia w sprawie:
1) uchwałą nr [...] z [...] kwietnia 2019 r, Rada Miejska C. uchwaliła "Regulamin Budżetu Obywatelskiego Gminy Miejskiej C.". Następnie uchwałą nr [...] z [...] maja 2019 r. Rada Miejska C. zmodyfikowała treść "Karty do głosowania budżet obywatelski C. na rok ..." m.in. dodając w niej informację o przetwarzaniu danych osobowych w ramach projektów do budżetu obywatelskiego i oświadczenie o wyrażeniu zgody na przetwarzanie danych osobowych;
2) przedstawiciel ustawowy skarżących jako radny uczestniczył w sesji Rady Miejskiej C. w dniu [...]maja 2019 r.;
3) skarżący: A. J. (urodzona w 2008 r.) i J. J. (urodzony w 2009 r.) w dniu [...] września 2019 r. wzięli udział w głosowaniu dotyczącym budżetu obywatelskiego C. na rok 2020, podając na kartach do głosowania swoje dane osobowe w zakresie imion, nazwisk, adresów zamieszkania, podpisów, dat złożenia podpisów oraz informacji o dokonanym wyborze w głosowaniu. Częścią kart do głosowania była "Informacja o przetwarzaniu danych osobowych w ramach projektów do budżetu obywatelskiego na rok 2020" mająca służyć realizacji obowiązku, o którym mowa w art. 13 RODO. Na potrzeby udziału w głosowaniu na budżet obywatelski skarżący podpisali oświadczenia o wyrażeniu zgody na przetwarzanie danych osobowych o treści: "Na podstawie art. 6 ust. 1 lit. a) rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27.04.2016 r. (ogólne rozporządzenie o ochronie danych - zwane jako RODO) wyrażam zgodę na przetwarzanie moich danych osobowych w zakresie obejmującym: imię i nazwisko, adres zamieszkania i numer telefonu dla potrzeb niezbędnych do weryfikacji poprawności danych w ramach prowadzonych konsultacji wydatków z budżetu Miasta C. Administratorem Państwa danych jest Urząd Miejski w C., reprezentowany przez Burmistrza C. Zgoda jest wyrażona dobrowolnie oraz w każdej chwili może być wycofana. Wycofanie zgody nie wpływa na zgodność z prawem przetwarzania, którego dokonano na podstawie zgody przed jej wycofaniem. Wycofanie zgody skutkuje zakończeniem prac nad wnioskiem, jeżeli nie ma innych podstaw prawnych do przetwarzania danych. Oświadczam, iż wszystkie podane w karcie do głosowania informacje są zgodne z aktualnym stanem prawnym i faktycznym.";
4) uczestnik postępowania w piśmie z [...] czerwca 2020 r. wyjaśnił, że celem zbierania danych osobowych skarżących było przeprowadzenie konsultacji społecznych w sprawie uchwalenia "Budżetu Obywatelskiego". Podniósł, iż bezpośrednie uzyskanie zgody na przetwarzanie danych osobowych od skarżących było uzasadnione treścią art. 5a w związku z art. 1 ust. 1 ustawy z dnia 8 marca 1990 r. o samorządzie gminnym (Dz. U. z 2021 r., poz. 1372; dalej: "u.s.g."). Powołując się na wyrok Wojewódzkiego Sądu Administracyjnego w Bydgoszczy o sygn. akt I SA/Bd 593/19, Burmistrz wskazał, że z ww. orzeczenia wynika również brak podstaw ustalania przez organ prowadzący konsultacje w ramach budżetu obywatelskiego daty urodzenia, a tym samym wieku osób głosujących. Zatem nie można uzależniać udziału w głosowaniu przez osoby małoletnie od zgody rodziców lub opiekunów prawnych. Nie jest także możliwe wymaganie zgody rodziców lub opiekunów prawnych na przetwarzanie danych osobowych małoletnich. Jeżeli rodzice nie wyraziliby zgody na przetwarzanie danych osobowych dziecka, to nie byłby możliwy udział małoletnich w głosowaniu, a tym samym doszłoby do naruszenia art. 5a u.s.g. Natomiast przyczyną przekazania informacji określonych w art. 13 RODO bezpośrednio skarżącym był wymóg art. 13 RODO, zgodnie z którym w przypadku zbierania danych od osoby, której dane dotyczą, administrator podczas pozyskiwania danych podaje jej wszystkie informacje wskazane art. 13 ust. 1 i 2 RODO. Przedstawicielowi ustawowemu skarżących informacje określone w art. 13 ust. 1 i 2 RODO nie zostały przekazane w trybie art. 13 ust. 4 RODO, gdyż jako aktualny radny Rady Miejskiej w C. dysponował już nimi na etapie uchwalania "Regulaminu Budżetu Obywatelskiego".
Po analizie zgromadzonego materiału dowodowego, Prezes UODO nie dopatrzył się nieprawidłowości w przetwarzaniu danych osobowych skarżących bez zgody ich przedstawiciela ustawowego. W tym kontekście wskazał na przepis art. 6 ust. 1 lit. a) RODO stanowiący, iż przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy - i w takim zakresie, w jakim - osoba, której dane dotyczą wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów. Zgoda, o której mowa w powyższym przepisie nie jest jednak jedyną przesłanką legalizującą przetwarzanie danych osobowych. Zdaniem organu, zgoda, jako przesłanka legalizująca przetwarzanie danych osobowych skarżących w celu przeprowadzenia konsultacji społecznych w sprawie uchwalenia budżetu obywatelskiego, była zbędna. Przeprowadzenie konsultacji publicznych w sprawie budżetu obywatelskiego jest bowiem ustawowym zadaniem gminy. Z przepisów art. 5a u.s.g. wynika, że w odniesieniu do budżetu obywatelskiego przeprowadzenie głosowania mieszkańców jest obowiązkiem gminy. Przeprowadzanie takiego głosowania łączy się zaś z przetwarzaniem danych osobowych potrzebnych do stwierdzenia, że w głosowaniu biorą udział osoby do tego uprawnione (mieszkańcy gminy). Tak więc zebranie danych osobowych skarżących w celu przeprowadzenia konsultacji społecznych było dopuszczalne w oparciu o przesłankę określoną w art. 6 ust. 1 lit. c) RODO, w myśl którego przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy - i w takim zakresie, w jakim - przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze. Jednocześnie brak jest podstaw do przyjęcia, iż zaistnienie powyższej przesłanki jest wykluczone z uwagi na wiek skarżących. Z powoływanych przez strony niniejszego postępowania wyroków sądów administracyjnych (tj. wyroków Wojewódzkiego Sądu Administracyjnego w Opolu z 14 czerwca 2018 r., sygn. akt II SA/Op 109/18 i Wojewódzkiego Sądu Administracyjnego w Bydgoszczy z 19 listopada 2019 r., sygn. akt I SA/Bd 593/19) wynika, iż uprawnieni do udziału w konsultacjach społecznych dotyczących budżetu obywatelskiego są mieszkańcy gminy - niezależnie od wieku.
W kwestii niedopełnienia wobec skarżących obowiązku informacyjnego przewidzianego w art. 13 RODO poprzez przedstawienie informacji w tym zakresie małoletnim zamiast ich przedstawicielowi ustawowemu, Prezes UODO zaakcentował, że przepisy art. 13 ust. 1 i 2 RODO nakazują przekazanie ujętych w nich informacji osobie, której dane dotyczą. W przedmiotowej sprawie osobami, których dane dotyczą, są skarżący, którzy w momencie przekazania im "Informacji o przetwarzaniu danych osobowych w ramach projektów do budżetu obywatelskiego na rok 2020" mieli odpowiednio 10 i 11 lat. Treść przepisów art. 13 ust. 1 i 2 RODO, wskazuje, że to właśnie im powinny zostać przekazane informacje wymagane przez te przepisy. Potwierdza to zdanie 4 motywu 58 preambuły RODO, według którego, zważywszy, że dzieci zasługują na szczególną ochronę, wszelkie informacje i komunikaty - gdy przetwarzanie dotyczy dziecka - powinny być sformułowane tak jasnym i prostym językiem, aby dziecko mogło je bez trudu zrozumieć. Zatem przepisy RODO nie uzależniają wprost skuteczności realizacji ww. obowiązku informacyjnego w stosunku do osób małoletnich od przekazania informacji przedstawicielom ustawowym tych osób. Na gruncie rozpoznawanej sprawy istotne są też wskazówki zawarte w opracowanym przez Grupę Roboczą Art. 29, a zatwierdzonym przez Europejską Radę Ochrony Danych, stosownie do art. 70 ust. 1 RODO zapewniającą spójne stosowanie tego aktu prawnego - dokumencie o nazwie "Wytyczne w sprawie przejrzystości na podstawie rozporządzenia 2016/679". Na stronie 11 ww. dokumentu podano: "zdaniem GR29 prawo do przejrzystości jest samodzielnym prawem, które ma zastosowanie w takim samym stopniu do dzieci, jak do dorosłych. (...) Zgodnie z konkretnymi wzmiankami o kierowanych do dzieci środkach zapewnienia przejrzystości, o których mowa w art. 12 ust. 1 (oraz w motywach 38 i 58), administratorzy danych, którzy kierują informacje do dzieci albo wiadomo im, że z ich towarów lub usług korzystają często dzieci w wieku, w którym prawdopodobnie umieją czytać, mają w związku z tym obowiązek zapewnić, by wszelkie informacje i komunikaty były przekazywane w jasnym i prostym języku lub w formie, którą dzieci mogą łatwo zrozumieć. Aby uniknąć wątpliwości, GR29 uznaje jednak, że w przypadku bardzo małych dzieci lub dzieci będących w wieku, w którym prawdopodobnie nie umieją czytać, można również wdrożyć środki zapewnienia przejrzystości skierowane do osób posiadających odpowiedzialność rodzicielską, ponieważ w większości przypadków takie dzieci prawdopodobnie nie będą w stanie zrozumieć nawet najbardziej podstawowych wiadomości dotyczących przejrzystości, czy to pisemnych, czy też w innej formie". Z powyższego wynika, że Europejska Rada Ochrony Danych uznaje, że w przypadku przetwarzania danych osobowych dzieci, informacje wymagane przez przepisy RODO należy przekazywać dzieciom. Jedyny wyjątek przewidziany został w przypadku bardzo małych dzieci lub dzieci będących w wieku, w którym prawdopodobnie nie umieją czytać, gdzie jest mowa o możliwości skierowania takich informacji również do osób posiadających odpowiedzialność rodzicielską. W niniejszej sprawie skarżący nie należą jednak do ww. grup (o posiadaniu przez nich umiejętności czytania świadczy fakt wypełnienia przez nich kart do głosowania). Dlatego - w ocenie Prezesa UODO – brak jest podstaw do stwierdzenia, iż w przypadku, którego dotyczy niniejsze postępowanie, informacje wymagane przez art. 13 RODO powinny zostać przekazane przedstawicielowi ustawowemu skarżących, a nie skarżącym.
Dodatkowo organ odnotował, że przedstawiciel ustawowy skarżących brał udział w głosowaniu nad uchwałą wprowadzającą do karty do głosowania informację o przetwarzaniu danych osobowych w ramach projektów do budżetu obywatelskiego. Zatem można wnioskować, iż jeszcze przed wzięciem udziału przez skarżących w głosowaniu nad budżetem obywatelskim, przedstawiciel ustawowy skarżących otrzymał te same informacje, które później zostały przekazane skarżącym. Nawet przy przyjęciu stanowiska, że realizacja w stosunku do skarżących obowiązku informacyjnego określonego w art. 13 RODO musi się odbywać za pośrednictwem ich przedstawiciela ustawowego, to - wedle art. 13 ust. 4 RODO - ust.: 1, 2 i 3 tego art. nie mają zastosowania, gdy - i w zakresie, w jakim - osoba, której dane dotyczą, dysponuje już tymi informacjami.
W skardze do Wojewódzkiego Sądu Administracyjnego w Warszawie na powołaną na wstępie decyzję Prezesa UODO z [...] grudnia 2020 r. przedstawiciel ustawowy skarżących zarzucił naruszenie:
1) przepisów postępowania, które mogło mieć istotny wpływ na wynik sprawy, a to: art. 57 ust. 1 lit. a) RODO poprzez niezapewnienie skuteczności przepisów RODO względem przepisów krajowych w tym k.c., art. 11, art. 12, art. 17, art. 96 oraz art. 98 ustawy z dnia 25 lutego 1964 r. Kodeks rodzinny i opiekuńczy (Dz. U. z 2020 r., poz. 1359; dalej: "k.r.o."), co doprowadziło do legitymizacji sposobu przetwarzania danych osób małoletnich poniżej 13 roku życia bez zgody ich opiekunów prawnych, bez zgody ich przedstawiciela ustawowego;
2) przepisów prawa materialnego, które miało istotny wpływ na wynik sprawy, a to: art. 8 § 1, art. 11, art. 77 § 1, art. 80, art. 107 § 1, art. 107 § 3 k.p.a. poprzez niedokonanie analizy innych przepisów odrębnych, w tym przepisów k.c. oraz k.r.o. Organ winien ustalić, czy zastosowanie przepisów k.c. oraz k.r.o. w przedmiotowej sprawie winno mieć miejsce, czy też nie i dlaczego. Ponadto Prezes UODO nie wyjaśnił, jakie przepisy pozwalają na branie udziału dzieci poniżej 13 roku życia, bez zdolności do czynności prawnych, bez przedstawiciela ustawowego, w procedurze głosowania nad budżetem obywatelskim na rok 2020, a tym samym organ przyjął, że przepisy te nie odnoszą się do sytuacji, w której znalazł się przedstawiciel ustawowy skarżących;
3) art. 6 ust. 1 lit. a) i lit. c) RODO poprzez jego błędną wykładnię;
4) art. 47 Konstytucji RP, art. 7 Karty Praw Podstawowych Unii Europejskiej (dalej: "KPP") oraz art. 8 ust. 1 Europejskiej Konwencji Praw Człowieka (dalej: "EKPC") poprzez niezapewnienie realizacji prawa do ochrony prawnej życia prywatnego, rodzinnego, czci i dobrego imienia oraz do decydowania o swoim życiu osobistym;
5) art. 51 ust. 2 Konstytucji RP, art. 8 KPP oraz art. 8 ust. 1 EKPC poprzez niezapewnienie realizacji prawa do ochrony danych osobowych, które dotyczą małoletnich dzieci, których praw i obowiązków dotyczyło prowadzone postępowanie;
6) art. 8 § 1, art. 11, art. 77 § 1, art. 80, art. 107 § 1 i art. 107 § 3 k.p.a. poprzez niewyjaśnienie, dlaczego organ analizował wielokrotne postępowanie dotyczące zadań radnego na sesji Rady Miejskiej C. i udział w głosowaniu nad uchwałą nr [...] z [...] maja 2019 r., w tym dokumentów, na mocy których zmodyfikowano treść "Karty do głosowania budżet obywatelski C. na rok ...", wynikających z u.s.g., a nie ograniczył się tylko do przedmiotu skargi, tj. sposobu wyłonienia projektów do Budżetu Obywatelskiego na rok 2020 r. w procedurze głosowania przez małoletnie dzieci, bez zdolności do czynności prawnych, bez pośrednictwa przedstawiciela ustawowego;
7) art. 7, art. 8, art. 9 i art. 11 k.p.a. poprzez przyjęcie, że w niniejszej sprawie nie istniała konieczność dokonywania jakiekolwiek ustaleń o charakterze merytorycznym w zakresie ustalenia przez biegłych lub odpowiednią poradnię, a nie Prezesa UODO, czy dzieci skarżącego w niniejszej sprawie należą do ww. grup o posiadaniu przez nich umiejętności czytania, rozumienia przedstawionej informacji prawnej. Ponadto Prezes UODO nie odnosi się tylko do pobieżnej analizy samego faktu wypełnienia przez nich kart do głosowania wraz z załączonym oświadczeniem woli i klauzulą informacyjną, przez co organ przyjął, iż złożenie samego podpisu jest jednoznaczne z faktem zapoznania się ze zrozumieniem, a potem możliwością dochodzenia swoich praw na podstawie art. 15, art. 16, art. 17, art. 18, art. 20 i art. 21 RODO oraz prawa do wniesienia skargi do Prezesa UODO przez małoletnie dziecko bez zdolności do czynności prawnych. W innym przypadku obowiązek informacyjny jest błędny, ponieważ nie rodzi skutku prawnego wyrażonego przez małoletnie dziecko, bez zdolności do czynności prawnych, bez pośrednictwa opiekuna prawnego, ponieważ zostanie złożony przez osobę (małoletnią) bez zdolności do czynności prawnych.
W uzasadnieniu skargi skarżący rozwinął poszczególne jej zarzuty.
W odpowiedzi na skargę Prezes UODO wniósł o jej oddalenie, podtrzymując stanowisko wyrażone w zaskarżonej decyzji.
Uczestnik postępowania nie złożył odpowiedzi na skargę.
Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje:
Skarga ma uzasadnione podstawy.
Przetwarzanie danych osobowych jest zgodne z prawem, gdy administrator danych legitymuje się co najmniej jedną z materialnych przesłanek określonych w art. 6 ust. 1 RODO. W myśl ww. przepisu przetwarzanie danych osobowych jest zgodne z prawem wyłącznie, gdy zostanie spełniony jeden z wymienionych warunków: a) osoba, której dane dotyczą wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów; b) przetwarzanie jest niezbędne do wykonywania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy; c) przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze; d) przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej; e) przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi; f) przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem.
Z akt administracyjnych i sądowych w niniejszej sprawy wynika, że w dniu [...] września 2019 r. w Szkole Podstawowej Nr [...] w C., podczas lekcji, skarżący – małoletni w wieku 11 i 10 lat oddali głosy na projekt Budżetu Obywatelskiego. Skarżący otrzymali karty do głosowania oraz oświadczenia o wyrażeniu zgody na przetwarzanie danych osobowych (o treści cytowanej powyżej w części historycznej uzasadnienia – vide pkt 3 ustaleń organu), po czym po wypełnieniu kart (imię, nazwisko, adres zamieszkania) oddali głos, składając własnoręczny podpis oraz podając datę. Karty do głosowania, podpisane przez skarżących, zawierały następującej treści oświadczenie: "Oświadczam, iż jestem mieszkańcem/nką Gminy Miejskiej C. i wszystkie informacje podane w kacie do głosowania są zgodne z aktualnym stanem faktycznym. Jestem świadomy/ma odpowiedzialności wynikającej z podawania nieprawdziwych informacji i składania nieprawdziwych danych". Pod tym oświadczeniem każdy ze skarżących złożył własnoręczny podpis i wskazał datę (vide karty nr 22verte – 23verte akt administracyjnych sprawy). Integralną częścią karty do głosowania stanowiła "Informacja o przetwarzaniu danych osobowych w ramach projektów do budżetu obywatelskiego na rok 2020". Ponadto skarżący podpisali oświadczenia o wyrażeniu zgody na przetwarzanie danych osobowych (vide karta nr 30-30verte akt administracyjnych sprawy).
Okoliczności faktyczne rozpoznawanej sprawy są między stronami postępowania bezsporne. Sporna jest ocena prawna stanu faktycznego.
Stosownie do treści art. 5a ust. 3 u.s.g. szczególną formą konsultacji społecznych jest budżet obywatelski. Zgodnie z art. 5a ust. 4 u.s.g. w ramach budżetu obywatelskiego mieszkańcy w bezpośrednim głosowaniu decydują corocznie o części wydatków budżetu gminy. Zadania wybrane w ramach budżetu obywatelskiego zostają uwzględnione w uchwale budżetowej gminy. Rada gminy w toku prac nad projektem uchwały budżetowej nie może usuwać lub zmieniać w stopniu istotnym zadań wybranych w ramach budżetu obywatelskiego. Natomiast art. 5a ust. 7 u.s.g. stanowi, że rada gminy określa w drodze uchwały wymagania, jakie powinien spełniać projekt budżetu obywatelskiego, w szczególności:
1) wymogi formalne, jakim powinny odpowiadać zgłaszane projekty z uwzględnieniem - o ile jest to możliwe - uniwersalnego projektowania, o którym mowa w art. 2 pkt 4 ustawy z dnia 19 lipca 2019 r. o zapewnianiu dostępności osobom ze szczególnymi potrzebami (Dz. U. z 2020 r. poz. 1062);
2) wymaganą liczbę podpisów mieszkańców popierających projekt, przy czym nie może być ona większa niż 0,1% mieszkańców terenu objętego pulą budżetu obywatelskiego, w którym zgłaszany jest projekt;
3) zasady oceny zgłoszonych projektów co do ich zgodności z prawem, wykonalności technicznej, spełniania przez nie wymogów formalnych oraz tryb odwołania od decyzji o niedopuszczeniu projektu do głosowania;
4) zasady przeprowadzania głosowania, ustalania wyników i podawania ich do publicznej wiadomości, biorąc pod uwagę, że zasady przeprowadzania głosowania muszą zapewniać równość i bezpośredniość głosowania.
Celem instytucji budżetu obywatelskiego jest zwiększenie udziału obywateli w procesie wybierania, funkcjonowania i kontrolowania niektórych organów publicznych. Budżet obywatelski służy angażowaniu mieszkańców w proces podejmowania decyzji, które zadania publiczne w określonym roku budżetowym powinny zostać zrealizowane, a co za tym idzie - sfinansowane ze środków publicznych. Decydentami w powyższym zakresie są wyłącznie mieszkańcy gminy. Powyższe kryterium nie uprawnia do uznania, iż w głosowaniu mogą uczestniczyć absolutnie wszyscy mieszkańcy gminy – bez względu na wiek, a więc również małoletni poniżej 13 roku życia.
W wyroku z 7 lipca 2016 r., sygn. akt III SA/Łd 364/16, Wojewódzki Sąd Administracyjny w Łodzi wyraził pogląd, iż mieszkańcem jest także osoba fizyczna nieposiadająca pełnej zdolności do czynności prawnych, nieposiadająca polskiego obywatelstwa, a także pozbawiona praw publicznych. Oznacza to, że zarówno osoby, które: 1) nie ukończyły 18 roku życia; 2) zostały ubezwłasnowolnione całkowicie; 3) są obcokrajowcami (nawet apatrydami); 4) zostały pozbawione praw publicznych w prawomocnym wyroku sądowym - posiadają status mieszkańca oraz mogą uczestniczyć w konsultacjach społecznych. Jednocześnie Sąd ten zwrócił uwagę na charakter opiniodawczy konsultacji, które nie kreują prawa i nie wiążą organów gminy w odróżnieniu od instytucji referendum gminnego. Konsultacje mają jedynie na celu zapoznanie się z opinią społeczną na dany temat - stanowią wyraz woli mieszkańców.
W tym miejscu podnieść należy, że od 25 maja 2018 r. w polskim porządku prawnym obowiązuje RODO, które szczególną ochroną obejmuje dane osobowe dzieci. Motyw 38 preambuły RODO stanowi, iż szczególnej ochrony danych osobowych wymagają dzieci, gdyż mogą one być mniej świadome ryzyka, konsekwencji, zabezpieczeń i praw przysługujących im w związku z przetwarzaniem danych osobowych. Taka szczególna ochrona powinna mieć zastosowanie przede wszystkim do wykorzystywania danych osobowych dzieci do celów marketingowych lub do tworzenia profili osobowych lub profili użytkownika oraz do zbierania danych osobowych dotyczących dzieci, gdy korzystają one z usług skierowanych bezpośrednio do nich. Zgoda osoby sprawującej władzę rodzicielską lub opiekę nie powinna być konieczna w przypadku usług profilaktycznych lub doradczych oferowanych bezpośrednio dziecku. Natomiast w myśl art. 8 ust. 1 RODO, jeżeli zastosowanie ma art. 6 ust. 1 lit. a), w przypadku usług społeczeństwa informacyjnego oferowanych bezpośrednio dziecku, zgodne z prawem jest przetwarzanie danych osobowych dziecka, które ukończyło 16 lat. Jeżeli dziecko nie ukończyło 16 lat, takie przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy zgodę wyraziła lub zaaprobowała ją osoba sprawująca władzę rodzicielską lub opiekę nad dzieckiem oraz wyłącznie w zakresie wyrażonej zgody. Państwa członkowskie mogą przewidzieć w swoim prawie niższą granicę wiekową, która musi wynosić co najmniej 13 lat. Przepis art. 8 ust. 2 RODO przewiduje, że w takich przypadkach administrator, uwzględniając dostępną technologię, podejmuje rozsądne starania, by zweryfikować, czy osoba sprawująca władzę rodzicielską lub opiekę nad dzieckiem wyraziła zgodę lub ją zaaprobowała.
Tutejszy Sąd nie podziela stanowiska organu, zgodnie z którym zebranie danych osobowych skarżących w celu przeprowadzenie konsultacji społecznych było dopuszczalne w oparciu o przesłankę określoną w art. 6 ust. 1 lit. c) RODO. Z akt przedmiotowej sprawy wyraźnie wynika, że podstawą przetwarzania danych skarżących – osób małoletnich poniżej 13 roku życia była ich zgoda wyrażona poprzez złożenie własnoręcznego podpisu pod oświadczeniem o wyrażeniu zgody na przetwarzanie danych osobowych. Wprawdzie Prezes UODO w zaskarżonej decyzji wskazuje na art. 6 ust. 1 lit. a) RODO, jednak dodaje, iż zgoda, o której mowa w ww. przepisie, nie jest jednak jedyną przesłanką legalizującą przetwarzanie danych osobowych. Ostatecznie organ uchyla się od oceny zgody skarżących, przyjmując, iż przetwarzanie danych osobowych skarżących było uprawnione na podstawie art. 6 ust. 1 lit. c) RODO. Powyższe ustalenie jest błędne.
Zdaniem tutejszego Sądu, uzasadnienie zaskarżonej decyzji narusza art. 7, art. 77 § 1, art. 80 i art. 107 § 3 k.p.a. Ponownie rozpoznając sprawę, Prezes UODO przyjmie, że podstawą przetwarzania danych osobowych skarżących była ich wyraźna zgoda i zbada legalności tej zgody. Ponadto organ uwzględni i oceni okoliczność pouczenia skarżących o odpowiedzialności karnej, jakie zostało zawarte w podpisanej przez nich karcie do głosowania.
Mając powyższe na uwadze, Wojewódzki Sąd Administracyjny w Warszawie uznał za zasadne uwzględnienie skargi na mocy art. 145 § 1 pkt 1 lit. c) w związku z art. 132 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2019 r., poz. 2325 ze zm.), o czym orzekł w punkcie pierwszym sentencji wyroku, uchylając zaskarżoną decyzję.
O zwrocie kosztów postępowania sądowego (obejmujących wpis sądowy od skargi w kwocie 200 zł) rozstrzygnięto w punkcie drugim sentencji wyroku w oparciu o art. 200 w związku z art. 205 § 2 i art. 209 ww. ustawy.