II SA/Wa 3831/21

II SA/Wa 3831/21 - Wyrok WSA w Warszawie
Data orzeczenia
2023-02-16
orzeczenie prawomocne
Data wpływu
2021-11-15
Sąd
Wojewódzki Sąd Administracyjny w Warszawie
Sędziowie
Andrzej Góraj
Ewa Kwiecińska /przewodniczący sprawozdawca/
Joanna Kube
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne
Ochrona danych osobowych
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Uchylono zaskarżoną decyzję
Powołane przepisy
Dz.U. 2018 poz 1914
art. 7 ust. 2 pkt 1
Ustawa z dnia 26 stycznia 1984 r. Prawo prasowe (t. j.)
Dz.U.UE.L 2016 nr 119 poz 1 art. 85 ust. 1 i 3, art. 17
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z  przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE
Sentencja
Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Ewa Kwiecińska (spr.), Sędzia WSA Joanna Kube, Sędzia WSA Andrzej Góraj, po rozpoznaniu w trybie uproszczonym w dniu 16 lutego 2023 r. sprawy ze skargi M. C. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] września 2021 r. nr [...] w przedmiocie przetwarzania danych osobowych 1. uchyla zaskarżoną decyzję; 2. zasądza od Prezesa Urzędu Ochrony Danych Osobowych na rzecz M. C. kwotę 200 zł (dwieście złotych) tytułem zwrotu kosztów postępowania sądowego.
Uzasadnienie
Przedmiotem skargi M. C. (dalej: "Skarżący") do Wojewódzkiego Sądu Administracyjnego w Warszawie jest decyzja Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] września 2021 r., znak: [...], którą to organ, działając na podstawie art. 104 § 1 i art. 105 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2021 r. poz. 735) w zw. z art. 7 ust. 1 ustawy o ochronie danych osobowych z dnia 10 maja 2018 roku (Dz. U. z 2019 r. poz. 1781), art. 6 ust. 1, art. 17 ust. 1 i w zw. z art. 58 ust. 2 lit. b rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 4.05.2016, str. 1, Dz. Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35):
- w pkt 1. decyzji udzielił M. C. upomnienia za naruszenie art. 6 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE w związku z przetwarzaniem danych osobowych J. K. w celu przesyłania mu wiadomości SMS i wiadomości email;
- w pkt 2. decyzji umorzył postępowanie w pozostałym zakresie.
Z akt postępowania wynikało, że J. K. (dalej: "Uczestnik postępowania") zainicjował postępowanie w niniejszej sprawie skargą złożoną bezpośrednio do Prezesa UODO na nieprawidłowości w procesie przetwarzania jego danych osobowych przez M. C. - Redaktora Naczelnego miesięcznika "[...]", którego wydawcą jest Stowarzyszenie [...] z siedzibą w [...] przy ul. [...] lok. [...] (zwane dalej: Stowarzyszeniem), w związku z przesyłaniem do Skarżącego wiadomości SMS i wiadomości e-mail.
Organ w zaskarżonej decyzji przedstawił następujący stan faktyczny:
W dniu [...] marca 2017 r. J. K. zwrócił się do M. C. z żądaniem usunięcia danych osobowych w zakresie numeru telefonu z zastrzeżeniem cyt. "poprosiłem o korzystanie z tego numeru jedynie, gdy wyraźnym i jedynym adresatem danej wiadomości będę ja osobiście, lub sprawa wymaga mojego udziału", a w dniu [...] stycznia 2019 r. z żądaniem cyt. "o wykreślenie ze swojej książki adresowej wszystkich moich prywatnych adresów mailowych tj. " [...]" oraz "[...]", gdyż nie wyrażam zgody aby był Pan w ich posiadaniu i je przetwarzał".
M. C. oświadczył, że przetwarzał dane osobowe J. K. w związku z pełnioną przez niego funkcją cyt. "[...]".
Uczestnik postępowania, pomimo zgłoszonego żądania z [...] stycznia 2019 r., otrzymywał wiadomości sms i wiadomości e-mail, których nadawcą był Skarżący do dnia [...] kwietnia 2019 r.
M. C. oświadczył, iż skutecznie usunął dane w zakresie adresów mailowych oraz numeru telefonu z bazy. Prezes UODO ustalił, iż pełni on funkcję redaktora naczelnego miesięcznika "[...]", którego wydawcą jest Stowarzyszenie [...] z siedzibą w [...], które to Stowarzyszenie wskazało, że nigdy nie pozyskało jakichkolwiek danych osobowych Uczestnika postępowania i nigdy nie przetwarzało i nie przetwarza jakichkolwiek danych osobowych Skarżącego.
Wydając zaskarżoną decyzję, Prezes UODO wyjaśnił, że rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679, określa obowiązki administratora danych, do których należy przetwarzanie danych osobowych z zachowaniem przesłanek określonych w tym rozporządzeniu. Przepisem uprawniającym administratorów danych do przetwarzania zwykłych danych osób fizycznych jest art. 6 ust. 1 rozporządzenia 2016/679, zgodnie z którym, przetwarzanie danych jest dopuszczalne tylko wtedy, gdy spełniona jest jedna z przesłanek wskazanych w tym przepisie. Katalog przesłanek wymienionych w art. 6 ust. 1 rozporządzenia 2016/679 jest zamknięty. Każda z przesłanek legalizujących proces przetwarzania danych osobowych ma charakter autonomiczny i niezależny. Oznacza to, że ww. przepis legalizuje przetwarzanie danych, gdy spełniona jest co najmniej jedna z enumeratywnie wskazanych w nim przesłanek, m. in. gdy osoba, której dane dotyczą, wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów (art. 6 ust. 1 lit a rozporządzenia 2016/679).
Prezes UODO wskazał, że jak wynika ze zgromadzonego w sprawie materiału dowodowego, Uczestnik postępowania wyraził zgodę na przetwarzanie jego danych osobowych w związku z pełnioną przez niego funkcją publiczną. W wyjaśnieniach przesłanych do organu M. C. cyt. "w/w adresy mailowe jak i w/w numery telefonu (...) otrzymałem od niego i przez kilka lat - jak wspominałem wyżej używałem ich w kontaktach z kolegą radnym." W ocenie organu żądanie Uczestnika postępowania w zakresie usunięcia jego danych osobowych było tożsame z cofnięciem zgody, tym samym przesłanka wynikająca z art. 6 ust. 1 lit a rozporządzenia 2016/679 utraciła ważność.
Zgodnie art. 17 ust. 1 lit. b rozporządzenia 2016/679 osoba, której dane dotyczą, ma prawo żądania od administratora niezwłocznego usunięcia dotyczących jej danych osobowych, a administrator ma obowiązek bez zbędnej zwłoki usunąć dane osobowe, jeżeli osoba, której dane dotyczą, cofnęła zgodę, na której opiera się przetwarzanie zgodnie z art. 6 ust. 1 lit. a) lub art. 9 ust. 2 lit. a), i nie ma innej podstawy prawnej przetwarzania.
Prezes UODO wyjaśnił, iż M. C. trwale usunął wszystkie dane osobowe Skarżącego dopiero dnia [...] czerwca 2019 r. Uczestnik postępowania zwrócił się z żądaniem usunięcia jego danych osobowych już wcześniej. Postępowanie dowodowe wykazało, iż Skarżący pomimo złożonego żądania usunięcia danych osobowych Uczestnika postępowania nadal przetwarzał jego dane i przesyłał mu wiadomości sms i wiadomości e-mail na przełomie lutego i kwietnia 2019 r. W ocenie Prezesa UODO dalsze przetwarzanie danych osobowych Uczestnika postępowania przez Skarżącego po 6 stycznia 2019 r. do dnia [...] kwietnia 2019 r. nie znajdowało prawnego uzasadnienia w przepisach rozporządzenia 2016/679. Dlatego też Prezes UODO uznał za uzasadnione udzielenie M. C. upomnienia w zakresie stwierdzonego naruszenia.
Prezes UODO wyjaśnił też, że treścią swojej skargi Uczestnik postępowania uczynił przetwarzanie jego danych osobowych również przez Stowarzyszenie [...] z siedzibą w [...]. Z treści złożonych wyjaśnień jednoznacznie wynika, że Stowarzyszenie nie przesyłało wiadomości SMS i wiadomości e-mail do Uczestnika postępowania ani nie udostępniło jego numeru telefonu osobom nieupoważnionym. W związku z powyższym, w ocenie Prezesa UODO nie ma podstaw, aby stwierdzić, że doszło do naruszenia przepisów rozporządzenia 2016/679 przez Stowarzyszenie w przedmiotowym zakresie. Dlatego też Prezes UODO zdecydował o umorzeniu postępowania w tym zakresie, z uwagi na jego bezprzedmiotowość.
Powyższa decyzja stała się przedmiotem skargi do Wojewódzkiego Sądu Administracyjnego w Warszawie. M. C. nie sprecyzował zarzutów dotyczących naruszenia konkretnych przepisów prawa, uznając ją w całości za niezgodną z prawem i wnosząc o jej uchylenie. W uzasadnieniu skargi wskazał, że J. K. nie jest osobą prywatną jako radny Rady Miejskiej w [...] jest funkcjonariuszem publicznym, jako Przewodniczący tej Rady, kieruje jej pracą. Skarżący zaś jako radny tejże Rady, także jest funkcjonariuszem publicznym oraz dziennikarzem, jako redaktor naczelny pisma "[...]".
Skarżący wskazał, że ustawa z 8 marca 1990 r. o samorządzie gminnym oraz ustawa z dnia 26 stycznia 1984 r. Prawo prasowe, jasno określają pozycję, rolę, zadania i obowiązki radnych oraz dziennikarzy. Art. 23 ust. 1 u.s.g. Stwierdza, iż "Radny obowiązany jest kierować się dobrem wspólnoty samorządowej gminy. Radny utrzymuje stałą więź z mieszkańcami oraz ich organizacjami, a w szczególności przyjmuje zgłaszane przez mieszkańców gminy postulaty i przedstawia je organom gminy do rozpatrzenia..." Z kolei art. 10 ust. 1 ustawy Prawo prasowe wskazuje, iż "zadaniem dziennikarza jest służba społeczeństwu i państwu". Wobec powyższego – Skarżący wyjaśnił, że J. K. udostępnił mu - jako koledze radnemu - swoje adresy mailowe i numer telefonu, a on zaś jako właśnie radny przekazywał mu, jako radnemu i Przewodniczącemu Rady, informacje, które uznawał za istotne dla gminy, a także jako dziennikarz przekazywał mu uwagi i zapytania, ważne dla wspólnoty. Dalej Skarżący wywodził, iż Uczestnik postępowania poprosił go o korzystanie z numeru jedynie, gdy będzie wyraźnym i jedynym adresatem danej wiadomości lub sprawa wymaga jego udziału. Według Skarżącego zastosował się do tego życzenia i informacje przekazywane Uczestnikowi - jako radnemu - miały taki charakter. Wskazał, że gdy dotarła do niego informacja, by nie wysyłać informacji na dwa wymienione adresy e-mail, dostosował się do tego życzenia i wysyłał maile na inny adres.
W ocenie Skarżącego, bezpodstawnie zarzuca się mu naruszenie przepisów Rozporządzenia oraz udzielono mu upomnienia. Wskazał, że J. K. nadal posługuje się także innymi adresami mailowymi w korespondencji dotyczącej samorządu. Wskazał, że osoba publiczna, której ustawowym obowiązkiem jest troska o dobro wspólne i stałe utrzymywanie kontaktów z innymi radnymi i mieszkańcami, nie powinna czynić z powodu przesyłania jej informacji na wcześniej udostępnione adresy mailowe, sprawy, która trafia w końcu na drogę sądową.
W odpowiedzi na skargę Prezes UODO wniósł o jej oddalenie, omawiając niezasadność podniesionych zarzutów.
Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje:
Zgodnie z art. 1 § 1 i § 2 ustawy z dnia 25 lipca 2002 r. - Prawo o ustroju sądów administracyjnych (Dz. U. z 2022 r. poz. 2492) oraz art. 3 § 1 p.p.s.a. sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej. Kontrola ta polega na ocenie zgodności zaskarżonego aktu z przepisami postępowania administracyjnego, a także prawidłowości zastosowania i wykładni norm prawa materialnego. Kontrola ta jest dokonywana według stanu faktycznego i prawnego obowiązującego w dacie wydania zaskarżonego aktu.
W myśl art. 134 § 1 i 2 p.p.s.a. sąd rozstrzyga w granicach danej sprawy, nie będąc związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną, z zastrzeżeniem art. 57a, przy czym sąd nie może wydać orzeczenia na niekorzyść skarżącego, chyba że stwierdzi naruszenie prawa skutkujące stwierdzeniem nieważności zaskarżonego aktu lub czynności. Rozpatrując skargę M. C. wedle powyższych kryteriów, Sąd uznał, że zasługuje ona uwzględnienie.
Na wstępie godzi się, przypomnieć biorąc pod uwagę treść skargi wniesionej do WSA w Warszawie, iż wyłączenie ustanowione w art. 2 ust. 2 lit. c rozporządzenia 2016/679 dotyczy przetwarzania danych osobowych przez osobę fizyczną w ramach czynności o czysto osobistym lub domowym charakterze. W motywie 18 preambuły wyjaśniono, że chodzi o aktywność prowadzoną "bez związku z działalnością zawodową lub handlową". Dalej wyjaśniono, że "działalność osobista lub domowa może między innymi polegać na korespondencji i przechowywaniu adresów, podtrzymywaniu więzi społecznych oraz działalności internetowej podejmowanej w ramach takiej działalności".
Wskazane wyłączenie stosowania rozporządzenia stanowi odpowiednik wyłączenia przewidzianego w art. 3a ust. 1 pkt 1 u.o.d.o.1997, na mocy którego przepisy u.o.d.o.1997 nie miały zastosowania do osób fizycznych, które przetwarzały dane wyłącznie w celach osobistych lub domowych. Jako przykłady tego rodzaju przetwarzania wskazuje się zazwyczaj przetwarzanie danych w prywatnych notatnikach teleadresowych, prywatnych komputerach czy innych prywatnych urządzeniach umożliwiających zautomatyzowane przetwarzanie danych (np. smartfonach, tabletach). Coraz częściej jednak dane nie są przechowywane na nośniku pozostającym w dyspozycji podmiotu danych, a są umieszczane na serwerach w sieci (w tzw. chmurze obliczeniowej), co zasadniczo nie wyklucza możliwości uznania tego rodzaju czynności za mające charakter osobisty lub domowy.
Przy zestawieniu brzmienia dotychczasowych krajowych przepisów z brzmieniem komentowanego przepisu rozporządzenia może pojawić się wątpliwość, czy użyte tam określenia są tożsame. W art. 3a ust. 1 pkt 1 u.o.d.o.1997 prawodawca posłużył się określeniem "w celach osobistych lub domowych", natomiast w art. 2 ust. 2 lit. c rozporządzenia użyte zostało sformułowanie "w ramach czynności o czysto osobistym lub domowym charakterze". Wskazana różnica polega na nieco innym ujęciu - w krajowych przepisach akcentowano cele przetwarzania, natomiast w przepisach unijnych akcentuje się charakter czynności przetwarzania.
Zawarte w komentowanym przepisie zastrzeżenie, zgodnie z którym z omawianego wyłączenia mogą skorzystać jedynie osoby fizyczne, podobnie do rozwiązania zawartego w u.o.d.o.1997, wyklucza możliwość skutecznego powoływania się na to wyłączenie przez przedsiębiorców, spółki czy też inne jednostki organizacyjne (stowarzyszenia, fundacje), nawet jeżeli skala przetwarzania danych osobowych przez te podmioty jest niewielka, a charakter przetwarzania niekomercyjny. Określenie czynności o czysto osobistym lub domowym charakterze nie może być odnoszone do podmiotów innych niż osoby fizyczne. (tak: Paweł Fajgielski "Komentarz do rozporządzenia w 2016/679 w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Ogólne rozporządzenie o ochronie danych)", [w:] "Ogólne rozporządzenie o ochronie danych. Ustawa o ochronie danych osobowych. Komentarz", wyd. II, WKP 2022, art.13 do art.2).
Czynności o "czysto osobistym lub domowym charakterze" są przeciwieństwem czynności o charakterze zawodowym lub aktywności gospodarczej (działalność profesjonalna). W literaturze przedmiotu zauważa się jednak, iż charakteru nie wykazują te formy aktywności, które nie mają wymiaru zawodowego, a przybierają wymiar społeczny; nie mają charakteru działalności non profit; podobnie mogą one nie mieć charakteru profesjonalnego, a amatorski (np. aktywność osoby fizycznej w stowarzyszeniu, fundacji itp.). W tym zakresie powoływanie się na omawiane wyłącznie nie jest zasadne. (tak: Paweł Fajgielski "Komentarz do rozporządzenia z 2016/679 (...), teza 15 do art. 2)
Stosownie do art. 85 ust.1 RODO, państwa członkowskie przyjmują przepisy pozwalające pogodzić prawo do ochrony danych osobowych na mocy niniejszego rozporządzenia z wolnością wypowiedzi i informacji, w tym do przetwarzania dla potrzeb dziennikarskich oraz do celów wypowiedzi akademickiej, artystycznej lub literackiej.
Dla przetwarzania do celów dziennikarskich lub do celów wypowiedzi akademickiej, artystycznej lub literackiej państwa członkowskie określają odstępstwa lub wyjątki od rozdziału II (Zasady), rozdziału III (Prawa osoby, której dane dotyczą), rozdziału IV (Administrator i podmiot przetwarzający), rozdział V (Przekazywanie danych osobowych do państw trzecich lub organizacji międzynarodowych), rozdziału VI (Niezależne organy nadzorcze), rozdziału VII (Współpraca i spójność) oraz rozdziału IX (Szczególne sytuacje związane z przetwarzaniem danych), jeżeli są one niezbędne, by pogodzić prawo do ochrony danych osobowych z wolnością wypowiedzi i informacji ( art. 85 ust. 2 RODO).
W myśl z kolei art. 85 ust. 3 rozporządzenia 2016/679 każde państwo członkowskie zawiadamia Komisję o przepisach, które przyjęło zgodnie z ust. 2, a następnie niezwłocznie o wszelkich późniejszych aktach zmieniających lub zmianach ich dotyczących.
Przytoczony przepis dotyczy relacji miedzy ochroną danych osobowych a wolnością wypowiedzi i informacji. W ustępie 1 określono zatem uprawnienie państw członkowskich do przyjęcia krajowych przepisów pozwalających godzić te pozostające ze sobą w konflikcie prawa i wolności, w tym w szczególności regulacje dotyczące przetwarzania danych osobowych dla potrzeb dziennikarskich oraz do celów wypowiedzi akademickiej, artystycznej lub literackiej. Ustęp 2 zawiera natomiast upoważnienie dla państw członkowskich do określenia odstępstw lub wyjątków, wskazując zakres przepisów, których wyjątki te mogą dotyczyć.
W motywie 153 preambuły rozporządzenia 2016/679 wyjaśniono, że prawo państw członkowskich powinno godzić przepisy regulujące wolność wypowiedzi i informacji, w tym wypowiedzi dziennikarskiej, akademickiej, artystycznej lub literackiej, z prawem do ochrony danych osobowych na mocy rozporządzenia. Przetwarzanie danych osobowych jedynie do celów dziennikarskich lub do celów wypowiedzi akademickiej, artystycznej lub literackiej powinno podlegać wyjątkom lub odstępstwom od niektórych przepisów rozporządzenia, jeżeli jest to niezbędne, by pogodzić prawo do ochrony danych osobowych z prawem do wolności wypowiedzi i informacji, przewidzianymi w art. 11 Karty Praw Podstawowych.
W literaturze przedmiotu podkreśla się też, iż pomiędzy prawem do ochrony danych osobowych a wolnością wypowiedzi i informacji istnieje nieuchronny konflikt przejawiający się tym, że egzekwowanie wymogów ochrony danych osobowych ogranicza w znacznym stopniu możliwość swobodnego przetwarzania danych, natomiast gromadzenie i rozpowszechnianie informacji może naruszać przepisy dotyczące ochrony danych osobowych. Pociąga to za sobą konieczność godzenia tych dwóch praw i wolności tak, aby umożliwić ich koegzystencję. Dostrzegając ten problem, prawodawca unijny upoważnił państwa członkowskie do przyjmowania przepisów szczególnych w tym zakresie i wprowadzania ograniczeń dotyczących ochrony danych na rzecz zapewnienia swobody wypowiedzi i wolności informacyjnej. (Paweł Fajgielski "Komentarz do rozporządzenia 2016/679 (...)", teza 4 do art. 85)
Wskazane w art. 85 ust. 1 rozporządzenia 2016/679 potrzeby dziennikarskie są ściśle związane z wolnością prasy. Prawodawca unijny wyszedł z założenia, że dziennikarz przy gromadzeniu i wykorzystywaniu danych osobowych powinien być zwolniony z niektórych wymogów dotyczących ochrony danych, gdyż konieczność spełniania wymogów mogłaby istotnie ograniczać swobodę wykonywania zawodu i realizacji misji z tym związanej. Pojęcie potrzeb dziennikarskich powinno być odnoszone do prasy w szerokim tego słowa znaczeniu, jako prasy tradycyjnej (czasopism), ale także radia, telewizji i innych mediów elektronicznych, zgodnie z przepisami ustawy z 26 stycznia 1984 r. – Prawo prasowe (Dz.U. z 2018 r. poz. 1914). W szerokim ujęciu prasy mieszczą się publikacje periodyczne, które nie tworzą zamkniętej, jednorodnej całości, ukazujące się nie rzadziej niż raz do roku, opatrzone stałym tytułem albo nazwą, numerem bieżącym i datą, a w szczególności: dzienniki i czasopisma, serwisy agencyjne, stałe przekazy teleksowe, biuletyny, programy radiowe i telewizyjne oraz kroniki filmowe; prasą są także wszelkie istniejące i powstające w wyniku postępu technicznego środki masowego przekazywania, w tym także rozgłośnie oraz tele- i radiowęzły zakładowe, upowszechniające publikacje periodyczne za pomocą druku, wizji, fonii lub innej techniki rozpowszechniania; prasa obejmuje również zespoły ludzi i poszczególne osoby zajmujące się działalnością dziennikarską (por. art. 7 ust. 2 pkt 1 pr.pras.). Istniejące na gruncie krajowych przepisów rozległe ujęcie prasy potwierdza prawodawca unijny w preambule komentowanego rozporządzenia, wskazując, że pojęcie dziennikarstwa powinno być interpretowane szeroko.
Podobna konstrukcja do przewidzianej w analizowanym przepisie możliwości wyłączenia stosowania niektórych mechanizmów ochrony danych wobec dziennikarzy rożnego rodzaju mediów (w tym prasy w potocznym tego słowa znaczeniu, ale także radia i telewizji) na gruncie u.o.d.o.1997 określana była jako przywilej dziennikarski. Wyłączenie to obejmowało swoim zakresem m.in. gromadzenie, opracowywanie i przygotowywanie, a także publikację materiałów w prasie w ramach działalności dziennikarskiej, natomiast nie obejmowało innych rodzajów działalności mediów (m.in. działalności wydawniczej, marketingowej itp.) szerzej na ten temat por. J. Barta, P. Fajgielski, R. Markiewicz, Ochrona danych osobowych..., s. 291 i n). Istota wyłączenia zachowuje swoją aktualność również na gruncie komentowanego rozporządzenia. (tak: Paweł Fajgielski "Komentarz do rozporządzenia 2016/679 (...)", teza 5 do art. 85).
W świetle powyższych uwag koniecznym stało się wyjaśnienie, czy M. C. przetwarzał wskazane w zaskarżonej decyzji dane osobowe w postaci adresów e-mail poczty elektronicznej J. K. w ramach działalności dziennikarskiej – jako Redaktor Naczelny miesięcznika "[...]", na co wydaje się wskazywać treść decyzji, czy też jedynie jako osoba fizyczna realizująca aktywność o charakterze społecznym. Wypada też zauważyć, iż zarówno J. K., jak i M. C. sprawowali w 2019 r. mandat radnego Miasta [...] i obydwoje są radnymi Miasta [...] w kadencji [...], co z kolei może wskazywać, że sporne dane osobowe były przetwarzane w ramach działalności o charakterze społecznym, ta zaś – jak wynika z wcześniejszych uwag – nie jest objęta wyłączeniem z art. 2 ust. 2 lit. c RODO.
Jednoznacznych ustaleń we wskazanym zakresie jednakże brak w zaskarżonej decyzji, co uniemożliwia Sądowi jej pełną merytoryczną kontrolę, jako że okoliczności te mogą mieć wpływ na ocenę prawną sprawy. Jeśli bowiem M. C. przetwarzał dane osobowe J. K. w postaci adresów jego poczty e-mail w ramach prowadzonej przez niego działalności dziennikarskiej, na co się powołuje to wówczas w sprawie będzie miał zastosowanie art. 2 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych, (t.j. Dz. U. z 2019 r. poz. 1781) wyłączający stosowanie niektórych mechanizmów ochrony danych osobowych wobec dziennikarzy.
Kwesta ta, pomimo wyraźnego wskazania przez Prezesa UODO, że określa jako podmiot, wobec którego złożona została skarga M. C. – Redaktora Naczelnego miesięcznika "[...]", nie była w ogóle przedmiotem rozważań organu.
Na zakończenie wypada zauważyć, że chociaż w zakresie wyłączeń określonych w ww. artykule 2 ust. 1 nie znalazło się wyłączenie stosowania przepisu art. 17 rozporządzenia 2016/679, nie oznacza to jednak, że określone tym przepisem prawo do usunięcia danych "prawo do bycia zapomnianym" ma zastosowanie w przypadku działalności prasowej, gdyż w przepisie art. 17 ust. 3 ogólnego rozporządzenia przewidziane zostało kilka wyjątków. Wśród tych wyjątków znajduje się przepis mówiący o tym, że uprawnienie do usunięcia danych nie ma zastosowania w zakresie, w jakim przetwarzanie jest niezbędne do korzystania z prawa do wolności wypowiedzi i informacji (art. 17 ust. 3 lit. a) - co odnosi się do działalności prasowej.
Przy ponownym rozpatrzeniu sprawy organ winien uzupełnić materiał dowodowy w kierunku wskazanym w niniejszym uzasadnieniu, a następnie ponownie dokonać jego oceny prawnej z uwzględnieniem wskazówek i wytycznych Sądu.
Odnosząc się do punktu 2. zaskarżonej decyzji, Sąd stanął na stanowisku, że należało również orzec o jego uchyleniu, albowiem ze skargi J. K. z [...] kwietnia 2019 r. nie wynika, by konieczne było prowadzenie postępowania w stosunku do Stowarzyszenia [...]. Stowarzyszenie to zostało wyłącznie wskazane jako wydawca miesięcznika "[...]", którego redaktorem naczelnym jest M. C., nie zaś jako podmiot przetwarzający dane osobowe J. K. Wobec uchylenia decyzji w zakresie punktu 1. jej uchylenie w całości, ma charakter procesowy, bowiem organ nie powinien w ogóle prowadzić postępowania w tym zakresie.
Mając na względzie powyższe, Wojewódzki Sąd Administracyjny w Warszawie na podstawie art. 145 § 1 pkt 1 lit a i lit c P.p.s.a. orzekł jak w sentencji. O kosztach postępowania orzeczono na podstawie art. 200 i art. 205 § 1 P.p.s.a.