II SA/Wa 510/24

II SA/Wa 510/24 - Wyrok WSA w Warszawie
Data orzeczenia
2024-10-15
orzeczenie prawomocne
Data wpływu
2024-04-09
Sąd
Wojewódzki Sąd Administracyjny w Warszawie
Sędziowie
Andrzej Wieczorek
Izabela Głowacka-Klimas /przewodniczący/
Mateusz Rogala /sprawozdawca/
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne
Ochrona danych osobowych
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Uchylono zaskarżoną decyzję
Powołane przepisy
Dz.U. 2024 poz 935
art. 145 § 1 pkt 1 lit. a)
Ustawa z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (t. j.)
Dz.U.UE.L 2016 nr 119 poz 1 art. 4 pkt 7, art. 12 ust. 3-4, art 15 ust. 1, art. 58 ust. 2 lit. b)
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z  przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE
Sentencja
Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Izabela Głowacka-Klimas, Sędzia WSA Andrzej Wieczorek, Asesor WSA Mateusz Rogala (spr.), Protokolant referent Marta Stec po rozpoznaniu na rozprawie w dniu 15 października 2024 r. sprawy ze skargi G. P. Sp. z o.o. z siedzibą w W. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] stycznia 2024 r. nr [...] w przedmiocie przetwarzania danych osobowych 1. uchyla zaskarżoną decyzję; 2. zasądza od Prezesa Urzędu Ochrony Danych Osobowych na rzecz G. P. Sp. z o.o. z siedzibą w W. kwotę 680 (słownie: sześćset osiemdziesiąt) złotych tytułem zwrotu kosztów postępowania.
Uzasadnienie
Zaskarżoną do Wojewódzkiego Sądu Administracyjnego w Warszawie decyzją z dnia [...] stycznia 2024 r. nr [...] Prezes Urzędu Ochrony Danych Osobowych, działając m.in. na podstawie art. 12 ust. 3 i 4, art. 15 ust. 1 oraz art. 58 ust. 2 lit. b) rozporządzenia Parlamentu Europejskiego i Rady (UE) nr [...]z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE ogólne rozporządzenie o ochronie danych (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 4.05.2016, str. 1 ze zm., powoływanego dalej jako rozporządzenie nr [...]) udzielił G.Sp. z o.o. z siedzibą w W. upomnienia za naruszenie art. 12 ust. 3 i 4 w zw. z art. 15 ust. 1 rozporządzenia nr [...], polegające na udzieleniu A. G. (poprzednio A. M.), wnioskowanych przez niego informacji po upływie przewidzianego prawem terminu.
W uzasadnieniu decyzji organ wyjaśnił, że A. G. pismem z dnia [...] listopada 2022 r., wystąpił do G.Sp. z o.o. z wnioskiem w trybie art. 15 ust. 1 rozporządzenia nr [...], żądając udzielenia mu informacji, na temat jego danych osobowych przetwarzanych przez spółkę oraz tego, jakie jego dane zostały usunięte przez ten podmiot. Spółka udzieliła odpowiedzi wnioskodawcy w dniu [...] lutego 2023 r., informując, że nie może spełnić jego żądania, gdyż nie wskazał on, jakiej usługi świadczonej przez spółkę, dotyczy jego żądanie oraz że nie jest ona administratorem jego danych osobowych (tylko G. I.). Wnioskodawca nie zgadzał się z treścią udzielonej mu odpowiedzi, wobec czego wystąpił do organu nadzorczego ze skargą na niespełnienie przez spółkę wobec niego obowiązku informacyjnego w terminie określonym w art. 12 ust. 3 i 4 rozporządzenia nr [...].
W toku postępowania spółka wyjaśniła, że przetwarza dane osobowe skarżącego wyłącznie w związku z jego wnioskiem z dnia 15 listopada 2022 r. i koniecznością udzielenia odpowiedzi na to pismo, a także z uwagi na obowiązek udzielenia odpowiedzi organowi nadzorczemu, w związku z prowadzonym w niniejszej sprawie postępowaniem administracyjnym. Spółka dokonała sprawdzenia swoich zasobów i stwierdziła, że nie jest administratorem danych osobowych skarżącego. Wobec powyższego spółka udzieliła skarżącemu odpowiedzi w dniu [...] lutego 2023 r., wskazując mu, że nie może spełnić jego żądania, ponieważ nie jest administratorem jego danych - administratorem danych osobowych europejskich użytkowników jest bowiem G. I., na potwierdzenie czego wskazała skarżącemu link do polityki prywatności G..
Spółka podkreśliła, że z uwagi na okoliczność, iż nie jest administratorem danych osobowych skarżącego, nie miała obowiązku udzielenia odpowiedzi na jego wniosek złożony w trybie art. 15 ust. 1 rozporządzenia nr [...], w szczególności w terminie określonym w art. 12 ust. 3 tego rozporządzenia, a postępowanie prowadzone przez organ nadzorczy powinno jej zdaniem zostać umorzone.
W dalszej części uzasadnienia swojego rozstrzygnięcia organ przytoczył treść art. 15 ust. 1 oraz art. 12 rozporządzenia nr [...]i stwierdził, że każdy podmiot, do którego wpływa wniosek o dostęp do danych, winien jest na taki wniosek odpowiedzieć. W każdej bowiem sytuacji podmiot taki powinien się kierować zasadami podstawowymi wyrażonymi w art. 5 rozporządzenia nr [...], w tym zasadą rzetelności i przejrzystości przetwarzania danych, przede wszystkim w zakresie udzielania informacji na ten temat we wnioskowanym zakresie. Zdaniem organu, podmiot, do którego wpływa wniosek o dostęp do danych, staje się administratorem danych osobowych osoby wnioskującej w zakresie, w jakim osoba ta swe dane wskazała. Celem przetwarzania danych będzie w takiej sytuacji udzielenie odpowiedzi, bez której osoba wnioskująca pozostaje w niepewności co do rzeczywistych okoliczności przetwarzania jej danych. W szczególności zaś osoba taka, gdy odpowiedź nie jest jej udzielona, nie wie, czy jej wniosek został zignorowany. Każdy więc podmiot jest zobowiązany do udzielenia odpowiedzi, a jeśli przetwarza dane jedynie w celu odpowiedzi na wniosek, to działanie administratora ogranicza się do odpowiedzi przeczącej i nie ma on obowiązku podawać podmiotowi danych innych (nieistniejących przecież) informacji.
W konsekwencji organ uznał, że spełnienie żądania skarżącego złożonego w oparciu o art. 15 ust. 1 rozporządzenia nr [...]nastąpiło z uchybieniem terminu wynikającego z art. 12 ust. 3 i 4 rozporządzenia nr [...]. Ponadto, spółka nie poinformowała skarżącego o powodach uchybienia terminowi (niepodjęcia działań), określonemu w ww. przepisach. Spółka nie poinformowała też o możliwości wniesienia skargi do organu nadzorczego oraz skorzystania ze środków ochrony prawnej przed sądem. Spółka zobowiązana była udzielić informacji bez zbędnej zwłoki - najpóźniej w terminie miesiąca od otrzymania żądania.
W związku z powyższym, zdaniem organu, spółka dopuściła się naruszenia art. 12 ust. 3 i 4 w zw. z art. 15 ust. 1 rozporządzenia nr [...]. Z tego powodu organ uznał za uzasadnione udzielenie spółce, na podstawie art. 58 ust. 2 lit. b) rozporządzenia, upomnienia w zakresie stwierdzonego naruszenia.
G.Sp. z o.o. wniosła na powyższą decyzję skargę do Wojewódzkiego Sądu Administracyjnego w Warszawie, zaskarżając ją w całości i wnosząc o jej uchylenie w całości, przekazanie sprawy organowi do ponownego rozpatrzenia oraz o zasądzenie kosztów postępowania.
Skarżąca zarzuciła organowi naruszenie przepisów prawa procesowego, które miało istotny wpływ na wynik sprawy, tj. art. 7, art. 77 § 1, art. 80 oraz art. 107 § 3 ustawy z dnia 14 czerwca 1960 r. – Kodeks postępowania administracyjnego (Dz. U. z 2023 r., poz. 775 ze zm.), poprzez pominięcie ustalenia przez organ roli, w jakiej spółka występuje w procesie przetwarzania danych osobowych uczestnika, braku poczynienia w tym zakresie ustaleń faktycznych i wszechstronnego zebrania oraz rozpatrzenia materiału dowodowego w sprawie, i w konsekwencji brak wyjaśnienia w uzasadnieniu prawnym powiązania stanu faktycznego z normą prawa materialnego (subsumpcji) co do możliwości i prawidłowości zastosowania do spółki art. 12 ust. 3 i 4 w zw. z art. 15 ust. 1 rozporządzenia nr [...], których adresatem jest administrator, pomimo tego, że to nie spółka jest administratorem danych osobowych uczestnika, co miało wpływ na wynik sprawy.
Spółka postawiła również zarzuty naruszenia przepisów prawa materialnego, które miało wpływ na wynik sprawy, tj.:
a) art. 4 pkt 7 w zw. art. 12 ust. 3 i 4 w zw. z art. 15 ust. 1 rozporządzenia nr [...]poprzez błędne uznanie, że spółka była zobowiązana do udzielenia odpowiedzi na wniosek uczestnika dotyczący dostępu do danych osobowych w terminach wskazanych w art. 12 ust. 3 i 4 rozporządzenia, podczas gdy spółka nie była zobowiązana do jakiejkolwiek reakcji na ww. wniosek, ponieważ nie była administratorem w rozumieniu art. 4 pkt 7 rozporządzenia;
b) art. 58 ust. 2 lit. b) rozporządzenia nr [...], poprzez nałożenie na spółkę upomnienia w sytuacji, gdy adresatem środków naprawczych i naprawczo-sankcyjnych przewidzianych w rozporządzeniu może być wyłącznie administrator w rozumieniu art. 4 pkt 7 rozporządzenia lub podmiot przetwarzający w rozumieniu art. 4 pkt 8 rozporządzenia w zakresie ich obowiązków wynikających z przepisów o ochronie danych osobowych, podczas gdy organ błędnie ustalił rolę spółki w procesie przetwarzania danych osobowych, w sytuacji gdy spółka nie była administratorem danych osobowych uczestnika.
W uzasadnieniu skargi skarżąca podkreśliła, że nie kwestionuje, iż z chwilą przekazania jej wniosku uczestnika z dnia [...] listopada 2022 r. stała się administratorem jego danych osobowych w zakresie danych wskazanych we wniosku. Nie ta okoliczność jest jednak przedmiotem postępowania w niniejszej sprawie i nie tych danych dotyczy próba realizacji przez uczestnika prawa dostępu do danych, o której mowa w art. 15 ust. 1 rozporządzenia nr [...]. Celem tego przepisu jest bowiem pozyskanie przez osobę, której dane dotyczą, informacji o prowadzonym procesie przetwarzania jej danych osobowych wcześniej, tj. w momencie złożenia wniosku realizującego prawo dostępu. Nie ma znaczenia zakres danych osobowych wskazanych we wniosku, jak i proces polegający na ewentualnej korespondencji w sprawie takiego pisma, a jedynie to, jakie procesy przetwarzania z wykorzystaniem danych podmiotu były lub są prowadzone, w chwili złożenia żądania przez wnioskodawcę.
Skarżąca podkreśliła, że adresatem obowiązków wymienionych w art. 12 ust. 3 i 4 oraz art. 15 ust. 1 rozporządzenia nr [...]jest wyłącznie administrator, a nie żaden inny podmiot. Zgodnie natomiast z art. 4 pkt 7 rozporządzenia, administrator to osoba fizyczna lub prawna, organ publiczny, jednostka lub inny podmiot, który samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych osobowych. Z perspektywy niniejszej sprawy oznacza to, że kluczową z okoliczności, którą organ musi ustalić w postępowaniu, jest to kto w sprawie jest administratorem danych osobowych, będącym jedynym adresatem obowiązków przewidzianych w rozporządzeniu nr [...]w zakresie realizacji uprawnień podmiotów danych przewidzianych w art. 12-22 rozporządzenia, a jednocześnie wyłącznym adresatem aktów administracyjnych organu, gdy chodzi o naruszenie tych uprawnień. Konieczne jest zatem ustalenie, czy spółka jest administratorem w celu ustalenia jej ewentualnej odpowiedzialności.
Tymczasem w rozpoznawanej sprawie brak jest w aktach materiału dowodowego, który umożliwiłby ocenę, że to spółka jest administratorem. W żadnym elemencie decyzji nie wskazano, że spółka jest administratorem, a tym bardziej nie wyjaśniono, na jakich ustaleniach organ oparł odpowiedzialność spółki w sprawie.
Skarżąca podkreśliła, że zarówno w art. 12 ust. 3 i 4, jak i w art. 15 ust. 1 rozporządzenia nr [...]prawodawca unijny wskazuje jako podmiot odpowiedzialny za ich stosowanie administratora, a nie każdy podmiot, który otrzymał wniosek osoby fizycznej, jak określa to organ. Tymczasem przyjęcie takiej wykładni oznaczałoby, że również w przypadku, w którym osoba fizyczna, nieprowadząca działalności gospodarczej, zarobkowej i zawodowej, niekorzystająca z jakichkolwiek form przetwarzania danych podlegających rozporządzeniu nr [...], zobowiązana byłaby do udzielenia odpowiedzi na wniosek innej osoby fizycznej, zgodnie z rygorami przewidzianymi w art. 12 ust. 3 i 4 tego rozporządzenia. Co więcej, potencjalnie możliwe byłoby nałożenie na taką osobę sankcji w postaci kary pieniężnej, za nieudzielanie odpowiedzi na wnioski osób, co do których adresat nie posiadał jakichkolwiek informacji.
W odpowiedzi na skargę organ wniósł o jej oddalenie.
W pismach procesowym z dnia [...] i [...] października 2024 r. skarżąca podtrzymała dotychczasowe stanowisko w sprawie i rozwinęła argumentację na jego poparcie.
Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje:
Skarga zasługuje na uwzględnienie.
W ocenie Sądu, jak trafnie zauważyła skarżąca, brak było w niniejszej sprawie podstaw prawnych do nałożenia na nią upomnienia na podstawie art. 58 ust. 2 lit. b) rozporządzenia nr [...].
Jak wynika z uzasadnienia zaskarżonej decyzji, organ nie zakwestionował przedstawionego przez spółkę stanu faktycznego w tej sprawie, w szczególności zaś tego, że G.Sp. z o.o. do dnia złożenia przez A. G. wniosku w trybie art. 15 ust. 1 rozporządzenia nr [...], tj. do dnia [...] listopada 2022 r., nie była administratorem jego danych osobowych. Organ uznał jednak mimo tego, że na spółce ciążył obowiązek informacyjny określony w art. 12 ust. 3 i 4 w zw. z art. 15 ust. 1 rozporządzenia nr [...]. Organ przyjął bowiem, że określone w tych przepisach obowiązki ciążą na każdym podmiocie, do którego wpłynie wniosek w trybie art. 15 ust. 1 rozporządzenia. Z tym stanowiskiem nie sposób się zgodzić, bowiem pozostaje ono w jawnej sprzeczności z treścią omawianych przepisów rozporządzenia nr [...].
Zarówno w art. 12, jak i w art. 15 rozporządzenia, prawodawca europejski wyraźnie wskazał, że statuowane w tych przepisach obowiązki dotyczą jedynie administratora danych osobowych. Rozporządzenie nr [...]w art. 4 pkt 7 zawiera definicję administratora, stanowiąc, że pojęcie to oznacza osobę fizyczną lub prawną, organ publiczny, jednostkę lub inny podmiot, który samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych osobowych. Jeżeli zatem podmiot nie ustala samodzielnie lub wspólnie z innymi celów i sposobów przetwarzania danych osobowych, to nie może zostać uznany za administratora w rozumieniu przepisów rozporządzenia nr [...].
W konsekwencji podmiot taki nie jest zobowiązany do realizowania obowiązków nałożonych na administratora przepisami rozporządzenia: "administrator bez zbędnej zwłoki [...] udziela osobie, której dane dotyczą, informacji" (art. 12 ust. 3), "jeżeli administrator nie podejmuje działań w związku z żądaniem osoby, której dane dotyczą, to niezwłocznie [...] informuje osobę, której dane dotyczą, o powodach niepodjęcia działań (art. 12 ust. 4), osoba, której dane dotyczą, jest uprawniona do uzyskania od administratora potwierdzenia, czy przetwarzane są dane osobowe jej dotyczące (art. 15 ust. 1).
Powyższe regulacje korespondują z treścią art. 58 ust. 2 lit. b) rozporządzenia, który był podstawą nałożenia na skarżącą upomnienia w niniejszej sprawie. W myśl tego przepisu, organowi nadzorczemu przysługuje m.in. uprawnienie naprawcze do udzielania upomnień administratorowi lub podmiotowi przetwarzającemu w przypadku naruszenia przepisów niniejszego rozporządzenia przez operacje przetwarzania. Warunkiem niezbędnym do zastosowania tego przepisu, jest zatem ustalenie przez organ, że podmiot na którego ma być nałożone upomnienie jest administratorem w rozumieniu art. 4 pkt 7 rozporządzenia nr [...]lub podmiotem przetwarzającym.
Tymczasem, jak już stwierdzono, organ w toku postępowania administracyjnego nie zakwestionował skutecznie twierdzeń skarżącej, że nie była ona administratorem danych osobowych uczestnika postępowania. Uznał natomiast, że skarżąca przetwarza dane osobowe wnioskodawcy wyłącznie w związku z jego wnioskiem z dnia [...] listopada 2022 r. i koniecznością udzielenia odpowiedzi na to pismo, a także z uwagi na obowiązek udzielenia odpowiedzi organowi nadzorczemu, w związku z prowadzonym w niniejszej sprawie postępowaniem administracyjnym (s. 2 uzasadnienia decyzji). Ta okoliczność (niekwestionowana zresztą przez skarżącą) nie oznacza jednak, że skarżąca jest administratorem danych osobowych wnioskodawcy w zakresie, którego dotyczył jego wniosek z dnia [...] listopada 2022 r. A tylko wówczas skarżąca byłaby zobowiązana do podjęcia czynności wymienionych w art. 12 ust. 3 i 4 w zw. z art. 15 ust. 1 rozporządzenia nr [...]. Przyjęcie stanowiska zaprezentowanego przez organ oznaczałoby, że każdy podmiot, do którego skierowany został wniosek w trybie przepisów rozporządzenia nr [...]zobowiązany jest do wykonywania wszystkich obowiązków nałożonych w przepisach rozporządzenia na administratora danych, niezależnie od tego, czy podmiot ten na dzień złożenia wniosku był administratorem w rozumieniu art. 4 pkt 7 rozporządzenia. Taka konstatacja nie znajduje potwierdzenia w treści przywołanych przepisów i wywołuje skutki daleko ingerujące w prawa i obowiązki podmiotów nieadministrujących danymi osobowymi. Z tych przyczyn, zdaniem Sądu, przyjęta przez organ wykładnia przepisów rozporządzenia nr [...]jest niedopuszczalna.
W konsekwencji Sąd uznał, że zasadne są postawione w skardze zarzuty dotyczące nieuprawnionego przyjęcia, że możliwe jest udzielenie upomnienia skarżącej, pomimo że nie jest ona administratorem danych osobowych uczestnika, w zakresie, którego dotyczył jego wniosek z dnia [...] listopada 2022 r.
Biorąc pod uwagę powyższe, Wojewódzki Sąd Administracyjny w Warszawie, na podstawie art. 145 § 1 pkt 1 lit. a) ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2023 r., poz. 1634 ze zm.), orzekł jak w pkt 1. sentencji. O kosztach postępowania w punkcie 2. sentencji orzeczono na podstawie art. 200 w związku z art. 205 ww. ustawy. Na zasądzoną od organu na rzecz skarżącej kwotę składa się wynagrodzenie jej pełnomocnika procesowego (480 zł), zgodnie z § 14 ust. 1 pkt 1 lit. c) rozporządzenia Ministra Sprawiedliwości z dnia 22 października 2015 r. w sprawie opłat za czynności adwokackie (Dz. U. z 2023 r., poz. 1964 ze zm.) oraz wpis sądowy od wniesionej skargi w wysokości 200 zł.