II SA/Wa 573/23

II SA/Wa 573/23 - Wyrok WSA w Warszawie
Data orzeczenia
2023-10-11
orzeczenie prawomocne
Data wpływu
2023-03-22
Sąd
Wojewódzki Sąd Administracyjny w Warszawie
Sędziowie
Dorota Kozub-Marciniak
Karolina Kisielewicz /przewodniczący/
Tomasz Szmydt /sprawozdawca/
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne
Ochrona danych osobowych
Sygn. powiązane
III OSK 889/24 - Wyrok NSA z 2025-05-06
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Oddalono skargę
Powołane przepisy
Dz.U. 2023 poz 1634
art.151
Ustawa z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi - t.j.
Dz.U.UE.L 2016 nr 119 poz 1 art. 13 ust. 1 i 2
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z  przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE
Sentencja
Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Karolina Kisielewicz, Sędzia WSA Tomasz Szmydt (spr.), Asesor WSA Dorota Kozub-Marciniak, Protokolant starszy specjalista Aleksandra Weiher po rozpoznaniu na rozprawie w dniu 11 października 2023 r. sprawy ze skargi D. W. na pkt 3 decyzji Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] grudnia 2022 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę
Uzasadnienie
D. W. złożył skargę na pkt 3 decyzji Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] grudnia 2022r., w przedmiocie przetwarzania danych osobowych.
Do Urzędu Ochrony Danych Osobowych, zwanego dalej UODO, wpłynęła skarga D. W. (zwanego dalej "Skarżącym"), na nieprawidłowości w procesie przetwarzania jego danych osobowych w zakresie wizerunku przez [...] Sp. z o.o. z siedzibą w [...] (zwaną dalej "Spółką"), poprzez stosowanie monitoringu wizyjnego bez podstawy prawnej oraz nieuwzględnieniu przez Spółkę wniosku Skarżącego złożonego na podstawie art. 15 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 4.05.2016, str. 1, Dz. Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35), zwanego dalej RODO, oraz niepoinformowaniu Skarżącego o działaniach podjętych w związku z żądaniem złożonym na podstawie art. 15 RODO, zgodnie z treścią art. 12 ust. 3 RODO lub art. 12 ust. 4 RODO. W treści ww. skargi Skarżący podniósł cyt.: "(...) Spółka prowadzi w kamienicy przy ul. [...] w [...] hotel i zainstalowała w tej kamienicy system monitoringu wizyjnego. Mieszkam w mieszkaniu nr [...] owej kamienicy i praktycznie codziennie ja bądź moi goście są nagrywani przez ten system monitoringu. Kamery są zainstalowane w wielu miejscach na klatce schodowej (części wspólne Wspólnoty Mieszkaniowej) oraz na podwórko przed budynkiem (miejsce publiczne). Wspólnota mieszkaniowa nigdy nie wyraziła zgody na instalację. Dowiedziałem się ustnie od prezesa [...] (J. M.i), że system monitoringu działa, więc system nagrywa mój wizerunek. Napisałem pismo do spółki [...] aby wyjaśniła mi w jaki sposób moje dane osobowe są przetwarzane, udostępnienie do moich danych oraz zastrzegłem sobie dalsze przetwarzanie moich danych osobowych, jednak do dnia dzisiejszego nie otrzymałem żadnej odpowiedzi od spółki [...] w tej sprawie. W mojej ocenie spółka [...] rażąco łamie przepisy RODO i nie przestrzega mojego prawa do ochrony danych osobowych. W związku z tym proszę Urząd Ochrony Danych Osobowych o interwencje w tej sprawie".
Wskazując na powyższe Skarżący wniósł o cyt.: "(...) wydanie nakazu zaprzestania nagrywania mojego wizerunku przez spółkę [...] w częściach wspólnych (klatka schodowa, korytarze, podwórko) przedmiotowej nieruchomości oraz o nałożenie kary na [...] za nie stosowanie się do przepisów RODO w związku z systemem monitoringu wizyjnego".
W toku przeprowadzonego postępowania administracyjnego Prezes Urzędu Ochrony Danych Osobowych, zwany dalej Prezesem UODO, ustalił następujący stan faktyczny:
1. Jak oświadczyła Spółka w toku niniejszego postępowania, zarządza Wspólnotą Mieszkaniową na mocy aktu notarialnego z dnia [...] sierpnia 2008 r. dotyczącego sprzedaży pierwszego lokalu w budynku przy ul. [...] w [...]. Ponadto jako członek Wspólnoty, Spółka prowadzi na terenie budynku działalność gospodarczą polegającą na wynajmie krótkoterminowym pokoi i apartamentów - pismo Spółki z dnia [...] sierpnia 2020 r. do UODO - w aktach sprawy.
2. Jak oświadczyła Spółka w toku niniejszego postępowania, na podstawie uchwały nr [...] z dnia [...] marca 2009 r. wyrażającej zgodę właścicieli na zainstalowanie monitoringu wizyjnego obejmującego swoim zasięgiem części wspólne budynku, wejścia do budynku, teren przyległy (parking), będący obecnie przedmiotem dzierżawy od Gminy [...], administruje monitoringiem wizyjnym - pismo Spółki z dnia [...] sierpnia 2020 r. do UODO - w aktach sprawy.
3. Uchwałą [...] z dnia [...] marca 2009 r. właściciele lokali wyodrębnionych i niewyodrębnionych w nieruchomości położonej przy ulicy [...] w [...], zwani dalej Wspólnotą Mieszkaniową, wyrazili zgodę na zainstalowanie monitoringu wizyjnego przez spółkę [...] Sp. z o.o. (Spółkę) i na jej koszt obejmującego swoim zasięgiem części wspólne budynku, wejścia do budynku i teren przyległy, w celu zapobieżenia aktom dewastacji oraz poprawy bezpieczeństwa. Właścicielem systemu monitoringu pozostanie [...] Sp. z o.o. (Spółka) - uchwała [...] z dnia [...] marca 2009 r. - w aktach sprawy.
4. Jak oświadczyła Spółka w toku niniejszego postępowania, monitoring wizyjny zainstalowany w części hotelowej oraz części wspólnej budynku służy poprawie bezpieczeństwa osób i mienia, zarówno gości hotelowych, jak i wszystkich współwłaścicieli budynku. Monitoring jest prowadzony w czasie rzeczywistym. Monitoring wizyjny przechowywany jest około 20 dni na dysku rejestratora, który znajduje się w pomieszczeniu zamkniętym, do którego dostęp ma ograniczona ilość osób, a rejestrator jest zabezpieczony hasłem. Dane po upływie około 20 dni automatycznie są kasowane z dysku poprzez nadpisywanie kolejnych zapisów. W przypadku incydentów naruszających prawo i zgłoszonych przez poszkodowanych dane są zabezpieczone na dysku komputera, który jest zabezpieczony hasłem i wydawane są tylko na wnioski organów państwowych. Monitoring swoim zasięgiem obejmuje wewnętrzne pomieszczenia należące do Spółki, części wspólne budynku, tj. korytarze, klatka schodowa, wejścia do budynku, teren przyległy (parking), będący przedmiotem dzierżawy przez wspólnotę mieszkaniową od Gminy [...] - pismo Spółki z dnia [...] sierpnia 2020 r. do UODO - w aktach sprawy.
5. Jak oświadczyła Spółka w toku niniejszego postępowania, Skarżący był informowany ustnie jakie obszary obejmuje monitoring, kto jest administratorem danych, w jaki sposób są przechowywane dane oraz kto ma do nich dostęp, w jaki sposób jest zabezpieczony i jak są kasowane dane oraz informacyjnie, jeżeli kiedykolwiek miałoby miejsce naruszenie prawa, że może się zwrócić do administratora celem zabezpieczenia danych wizyjnych w celu przekazania ich organom ścigania - pismo Spółki z dnia [...] sierpnia 2020 r. do UODO - w aktach sprawy.
6. Jak oświadczył Skarżący w toku niniejszego postępowania, cyt.: "(...) Zaprzeczam twierdzeniu, że otrzymałem od Spółki [...] lub jej reprezentanta informacje dotyczące monitoringu. Nie otrzymałem jakichkolwiek informacji ani ustnie, ani pisemnie. Pan M. wprost zapytany o to kto jest administratorem danych monitoringu oraz kto jest właścicielem systemu odmówił mi odpowiedzi. Również nie udzielił mi odpowiedzi na pismo z dnia [...] listopada 2019 r. (...)" - pismo Skarżącego z dnia [...] lipca 2021 r. do UODO - w aktach sprawy.
7. Jak oświadczył Skarżący w toku niniejszego postępowania, cyt.: "(...) Niezgodne z prawdą jest twierdzenie, że spółka [...] jest zarządcą Wspólnoty Mieszkaniowej przy ul. [...] (dalej WM). Spółka została zwolniona z tej funkcji w dniu [...] lipca 2019 r. poprzez uchwałę WM [...] z dnia [...] lipca 2019 r. W tym samym dniu WM wybrała moją osobę oraz Panią M. J. jako nowy zarząd wspólnoty poprzez uchwałę [...] (...)" - pismo Skarżącego z dnia [...] lipca 2021 r. do UODO - w aktach sprawy.
8. Uchwałą nr [...] z dnia [...] lipca 2019 r. Wspólnoty Mieszkaniowej w sprawie wyboru członków zarządu i kompetencji zarządu powołany został zarząd składający się z osób fizycznych wybranych spośród właścicieli lokali lub spoza ich grona w składzie: Pan D. W. i Pani M. J. - uchwała nr [...] z dnia [...] lipca 2019 r. - w aktach sprawy.
9. Uchwałą nr [...] z dnia [...] lipca 2019 r. Wspólnoty Mieszkaniowej w sprawie zmiany zarządu nieruchomością wspólną odwołany został dotychczasowy zarząd powierzony [...] sp. z o.o. (dawniej działającej pod firmą: [...] Sp. z o.o.) (Spółce) - uchwała nr [...] z dnia [...] lipca 2019 r. - w aktach sprawy.
10. Jak oświadczył Skarżący w toku niniejszego postępowania, cyt.: "(...) w dniu [...] października 2021 r. Sąd Rejonowy dla [...] ustanowił zarządcę przymusowego dla Wspólnoty Mieszkaniowej przy ul. [...] w [...] w osobie Pana S. C. (...)"- pismo Skarżącego z dnia [...] listopada 2021 r. do UODO, postanowienie Sądu Rejonowego dla [...] w [...] z dnia [...] października 2021 r. (sygn. akt [...]) - w aktach sprawy.
11. Skarżący pismem z dnia [...] listopada 2019 r. skierowanym do Spółki zwrócił się z wnioskiem o poinformowanie cyt.: "(...) czy system monitoringu zbiera moje dane osobowe? Jeżeli system jest aktywny i zbiera dane: W jakim celu dane są zbierane? Jak długo są moje dane przechowywane? W jaki sposób mogę uzyskać dostęp do moich danych? Kto ma wgląd do moich danych i kto jest ich administratorem? Ponadto wyrażam sprzeciw przetwarzania moich danych osobowych przez spółkę [...]" - pismo Skarżącego z dnia [...] listopada 2019 r. do Spółki wraz z potwierdzeniem nadania i odbioru- w aktach sprawy.
Prezes UODO wskazał, iż przetwarzanie zgodnie z prawem to przetwarzanie, które znajduje swoje oparcie w jednej z przesłanek określonych w art. 6 ust. 1 RODO. Niezależnie od zgody osoby, której dane dotyczą (art. 6 ust. 1 lit. a RODO), przetwarzanie danych osobowych jest dopuszczalne między innymi wtedy, gdy przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem (art. 6 ust. 1 lit. f RODO). Europejska Rada Ochrony Danych Europejska Rada Ochrony Danych (EROD) w Wytycznych 3/2019 w sprawie przetwarzania danych osobowych przez urządzenia wideo wskazała, iż art. 13 RODO ma zastosowanie, w przypadku gdy dane osobowe pozyskiwane są "(...) od osoby, której one dotyczą, poprzez obserwację np. wykorzystując urządzenia zautomatyzowanego przechwytywania danych lub oprogramowania do przechwytywania danych, takich jak kamery (...)". W kwestii monitoringu wizyjnego najważniejsze informacje powinny zostać umieszczone na samym znaku ostrzegawczym (pierwsza warstwa), a dalsze obligatoryjne szczegóły mogą być udostępnione za pośrednictwem innych środków (druga warstwa). W przypadku zatem przetwarzania danych osobowych za pomocą monitoringu istotne jest przede wszystkich poinformowanie o nazwie, adresie i danych kontaktowych administratora danych, celu stosowanego monitoringu, obszarze, w którym monitoring jest stosowany, sposobie nagrywania (o ile dane są zapisywane), w zależności od powyższego - okresie przechowywania danych oraz sposobie wykorzystania danych zgromadzonych za pomocą monitoringu, a także podanie informacji o prawie do żądania od administratora dostępu do danych osobowych dotyczących osoby, której dane dotyczą, ich sprostowania, usunięcia lub ograniczenia przetwarzania lub o prawie do wniesienia sprzeciwu wobec przetwarzania.
Prezes UODO wskazał, iż z zebranego w sprawie materiału dowodowego wynika, że system monitoringu wizyjnego Spółki został wyposażony w dysk twardy umożliwiający ciągłe nagrywanie i przechowywanie danych osobowych przez około 20 dni. Jednocześnie przeprowadzone postępowanie wykazało, że kamery składające się na ww. system monitoringu wizyjnego obejmują przestrzeń publiczną w postaci części wspólnych budynku przy ul. [...] w [...], tj. korytarze, klatkę schodową, wejścia do budynku, teren przyległy (parking) będący przedmiotem dzierżawy przez Wspólnotę Mieszkaniową od Gminy [...]. Biorąc zatem pod uwagę opisany wyżej zasięg systemu monitoringu oraz niekwestionowaną okoliczność, że Skarżący porusza się po ww. terenie objętym monitoringiem wchodząc/wychodząc do/z budynku należy uznać, że funkcjonowanie systemu wiąże się z przetwarzaniem jego danych osobowych. Z ustalonego stanu faktycznego wynika jednocześnie, że Spółka będąc administratorem danych osobowych przetwarzanych w związku ze stosowanym monitoringiem wizyjnym, nie wypełniła obowiązku informacyjnego, o którym mowa w art. 13 ust. 1 i 2 RODO w sposób wskazany w ww. Wytycznych 3/2019 EROD. W toku postępowania nie wykazała bowiem, by poinformowała osoby zainteresowane o prowadzonym w ww. przestrzeni monitoringu wizyjnym poprzez oznakowanie terenu za pomocą tablic, w szczególności zawierających informacje o administratorze danych. Spółka oświadczyła wyłącznie cyt.: "(...) Skarżący nabył lokal mieszkalny w grudniu 2017 roku od właściciela, który wiedział o istnieniu monitoringu wizyjnego i kto jest jego administratorem. Skarżący był informowany ustnie jakie obszary obejmuje monitoring, kto jest administratorem danych, w jaki sposób jest zabezpieczony i jak są kasowane dane oraz informacyjnie, jeżeli kiedykolwiek miało by miejsce naruszenie prawa, że może się zwrócić do administratora celem zabezpieczenia danych wizyjnych w celu przekazania ich organom ścigania (...)". Natomiast Skarżący powyższym twierdzeniom kategorycznie zaprzeczył.
Organ wskazał, iż W związku z powyższym, konieczne stało się w tym zakresie skorzystanie przez Prezesa UODO z uprawnień naprawczych, o których mowa w art. 58 ust. 2 lit. d) i nakazanie Spółce dostosowanie operacji przetwarzania do przepisów RODO, poprzez nakazanie jej spełnienia wobec Skarżącego, obowiązku informacyjnego, o którym mowa w art. 13 ust. 1 i 2 RODO i udzielenie mu, wobec przetwarzania jego danych osobowych w związku ze stosowanym monitoringiem wizyjnym, informacji o: nazwie i adresie siedziby oraz danych kontaktowych, a także - gdy ma to zastosowanie - danych kontaktowych inspektora ochrony danych, celach przetwarzania jego danych osobowych oraz podstawie prawnej ich przetwarzania, prawnie uzasadnionym interesie realizowanym przez administratora, o odbiorcach danych osobowych lub o kategoriach odbiorców, okresie, przez który dane osobowe będą przechowywane, a gdy nie jest to możliwe, kryteriach ustalania tego okresu, a ponadto informacji o prawie do żądania od administratora dostępu do jego danych osobowych, ich sprostowania, usunięcia lub ograniczenia przetwarzania lub o prawie do wniesienia sprzeciwu wobec przetwarzania, a także o prawie do przenoszenia danych oraz informacji o prawie wniesienia skargi do organu nadzorczego.
Z poczynionych w toku postępowania ustaleń wynika, że u podstaw pozyskiwania i przetwarzania danych osobowych Skarżącego przez Spółkę znajdują się przesłanki określone w art. 6 ust. 1 lit. a) RODO i art. 6 ust. 1 lit. f) RODO warunkujące legalne przetwarzanie danych pochodzących z monitoringu wizyjnego. Spółka dysponuje bowiem zgodą większości mieszkańców budynku przy ul. [...] w [...] na przetwarzanie ich danych osobowych za pomocą monitoringu wizyjnego (art. 6 ust. 1 lit a RODO), wyrażoną w ww. uchwale nr [...] z dnia [...] marca 2009 r. Wskazania w tym miejscu wymaga, iż zgodnie z art. 4 pkt 11 RODO, "zgoda" osoby, której dane dotyczą oznacza dobrowolne, konkretne, świadome i jednoznaczne okazanie woli, którym osoba, której dane dotyczą, w formie oświadczenia lub wyraźnego działania potwierdzającego, przyzwala na przetwarzanie dotyczących jej danych osobowych. W kontekście zatem powyższej definicji, niewątpliwie oświadczenia właścicieli lokali zawarte w treści ww. uchwały cyt.: "(...) właściciele lokali postanawiają wyrazić zgodę na zainstalowanie monitoringu wizyjnego przez spółkę [...] Sp. z o.o. (Spółkę) (...)", stanowi wyraźne działanie potwierdzające ww. osób, przyzwalające na przetwarzanie dotyczących ich danych osobowych za pomocą ww. monitoringu, o którym mowa w art. 4 pkt 11 RODO. Prezes UODO wskazał, iż jako organ do spraw ochrony danych osobowych nie posiada kompetencji do zakwestionowania ważności ww. uchwały, natomiast Skarżący poza licznymi zarzutami w tym przedmiocie, nie przedstawił żadnych dowodów na to, by toczyło się jakiekolwiek postępowanie sądowe o uchylenie tej konkretnej uchwały, czy też o ustalenie jej nieistnienia, skutkujące jej wyeliminowaniem z obrotu prawnego. Uchwała ta zatem obowiązuje. Dlatego też w świetle materiału dowodowego niniejszej sprawy stwierdzić należy, iż Spółka dysponuje zgodą większości członków Wspólnoty Mieszkaniowej nieruchomości budynku przy ul. [...] w [...] na stosowanie monitoringu wizyjnego wyrażoną w ww. uchwale [...], a zatem podstawą prawną do przetwarzania ich danych osobowych za pomocą ww. monitoringu, o której mowa w art. 6 ust. 1 lit. a) RODO.
W ocenie Organu, bez znaczenia dla powyższego pozostaje fakt, iż Spółka nie pełni już funkcji zarządcy Wspólnoty Mieszkaniowej, bowiem jak wskazał Skarżący, uchwałą nr [...] z dnia [...] lipca2019 r. Wspólnoty Mieszkaniowej w sprawie zmiany zarządu nieruchomością wspólną, odwołany został dotychczasowy zarząd powierzony Spółce. Jakkolwiek bowiem Spółka nie pełni funkcji zarządcy Wspólnoty Mieszkaniowej, nadal pozostaje administratorem systemu monitoringu wizyjnego i administratorem danych osobowych przetwarzanych za jego pomocą, co wynika z ww. uchwały [...]. Ponadto, jak wskazała Spółka i wynika z treści ww. uchwały [...], celem monitoringu jest cyt.: "(...) poprawa bezpieczeństwa dla osób i mienia przebywających zarówno gości hotelowych jak i wszystkich współwłaścicieli budynku (...)". Powyższe oznacza tym samym, iż przetwarzanie danych osobowych przez Spółkę za pomocą monitoringu wypełnia ponadto przesłankę z art. 6 ust. 1 lit. f) RODO w postaci niezbędności przetwarzania danych osobowych do celów wynikających z prawnie uzasadnionego interesu realizowanego przez Spółkę jako administratora danych, działającą tutaj również, na mocy wskazanej uchwały, w imieniu i na rzecz większości właścicieli mieszkań w budynku przy [...] w [...]. W sprawie brak jest bowiem innych uchwał Wspólnoty Mieszkaniowej w tym przedmiocie.
W oparciu o powyższe ustalenia Prezes UODO decyzją z dnia [...] grudnia 2022r.:
1) nakazał [...] Sp. z o.o. z siedzibą w [...] przy ul. [...], spełnienie wobec Pana D. W. zam. w [...] przy ul. [...], obowiązku informacyjnego, o którym mowa w art. 13 ust. 1 i 2 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46AVE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 4.05.2016, str. 1, Dz. Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35), poprzez udzielenie mu, wobec przetwarzania jego danych osobowych w związku ze stosowanym monitoringiem wizyjnym, informacji o: nazwie i adresie siedziby oraz danych kontaktowych, a także - gdy ma to zastosowanie - danych kontaktowych inspektora ochrony danych, celach przetwarzania jego danych osobowych oraz podstawie prawnej ich przetwarzania, prawnie uzasadnionym interesie realizowanym przez administratora, o odbiorcach danych osobowych lub o kategoriach odbiorców, okresie, przez który dane osobowe będą przechowywane, a gdy nie jest to możliwe, kryteriach ustalania tego okresu, a ponadto informacji o prawie do żądania od administratora dostępu do jego danych osobowych, ich sprostowania, usunięcia lub ograniczenia przetwarzania lub o prawie do wniesienia sprzeciwu wobec przetwarzania, a także o prawie do przenoszenia danych oraz informacji o prawie wniesienia skargi do organu nadzorczego,
2) nakazał [...] Sp. z o.o. z siedzibą w [...] przy ul. [...], spełnienie wobec Pana D. W. zam. w [...] przy ul. [...], obowiązku informacyjnego, o którym mowa w art. 15 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 4.05.2016, str. 1, Dz. Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35), zgodnie z jego wnioskiem z dnia [...] listopada 2019 r., poprzez potwierdzenie, czy w związku ze stosowanym monitoringiem wizyjnym przetwarzane są dane osobowe go dotyczące, a jeśli tak, to wskazanie w jaki sposób może zrealizować prawo dostępu do swoich danych osobowych i poinformowanie go o celu przetwarzania jego danych osobowych, utrwalonych za pomocą stosowanego monitoringu wizyjnego, o odbiorcach lub kategoriach odbiorców, którym jego dane osobowe zostały lub zostaną ujawnione oraz jaki jest planowany okres przechowywania tych danych,
3) w pozostałym zakresie odmówił uwzględnienia wniosku.
D. W. złożył skargę na pkt 3 decyzji Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] grudnia 2022r., w przedmiocie przetwarzania danych osobowych.
Wskazanej decyzji zarzucił:
1) naruszenie przepisu postępowania, tj. art. 107 § 1 pkt 3 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2022 r., poz. 2000 z późn. zm.), zwanej dalej "k.p.a." poprzez brak oznaczenia w treści decyzji stron postępowania, na skutek czego zaskarżona decyzja nie może być uznana za decyzję administracyjną,
2) naruszenie przepisu postępowania tj. art. 80 k.p.a. poprzez dokonanie dowolnej, a nie swobodnej oceny dowodów, co objawiało się w przyjęciu, że [...] sp. z o.o. dysponuje zgodą większości mieszkańców budynku przy ul. [...] w [...] na przetwarzanie ich danych osobowych za pomocą monitoringu wizyjnego, pomimo że zgodę taką w formie uchwały nr [...] z dnia [...] marca 2009r. wyraziła jedynie [...] sp. z o.o. (dawniej [...] sp. z o.o.), a sama uchwała zezwalała jedynie na zainstalowanie monitoringu wizyjnego, a nie na jego używanie i przetwarzanie danych osobowych członków, Wspólnoty Mieszkaniowej w tym strony skarżącej,
3) naruszenie przepisu postępowania tj. art. 80 k.p.a. poprzez dokonanie dowolnej, a nie swobodnej oceny dowodów co objawiało się w przyjęciu, iż podstawę do przetwarzania danych osobowych strony skarżącej przez stronę przeciwną stanowi art. 6 ust. 1 lit. f rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzone o ochronie danych), zwanego dalej "RODO" poprzez przyjęcie, iż monitoring bezpieczeństwa członków Wspólnoty Mieszkaniowej, pomimo ze żaden z członków Wspólnoty Mieszkaniowej poza stroną przeciwną ad 2. nie ma dostępu do nagrań z monitoringu a strona przeciwna ad 2. nie ma interesu w udostępnianiu tych nagrań członkom Wspólnoty Mieszkaniowej i postawa strony przeciwnej ad 2. wskazuje, że członkom Wspólnoty Mieszkaniowej nagrania takie nie będą udostępniane.
Skarżący wnosił o uchylenie zaskarżonej decyzji.
W pierwszej kolejności Skarżący podnosił, iż ww. decyzja nie jest decyzją w rozumieniu prawa administracyjnego. W zaskarżonej decyzji nie wskazano wprost do kogo jest adresowana. Brak oznaczenia strony postępowania skutkuje tym, że decyzja nie jest decyzją administracyjną powinna być uznana za decyzję nieistniejącą. "Brak oznaczenia strony pociąga za sobą brak decyzji" (M. Jaśkowska, M Wilbrandt-Gotowicz, A. Wrobel, Komentarz aktualizowany do Kodeksu postępowania administracyjnego, LEX).
Kolejno Skarżąc wskazuje, iż Organ błędnie utożsamia oddanie głosu za uchwałą przez członka wspólnoty posiadającego większość udziałów w nieruchomości wspólnej z wyrażeniem zgody na przetwarzanie danych osobowych przez członków wspólnoty mieszkaniowej. Organ w sposób nieuprawniony utożsamia wyrażenie zgody na przetwarzanie danych osobowych, z zasadami podejmowania uchwał wspólnot mieszkaniowych określonymi w art. 23 ust. 2 ustawy z dnia 24 czerwca 1994 r. o własności lokali (Dz. U. z 2021 r., poz. 1048), zwanej dalej "u.w.l.". Fakt oddania głosów przez członków wspólnoty dysponujących większością udziałów w nieruchomości wspólnej nie może być utożsamiany z wyrażeniem zgody na wejście w życie uchwały przez większość członków wspólnoty. Może się bowiem zdarzyć, że wspólnota składać się będzie z wielu członków, a jeden z nich dysponować będzie ponad 50% udziałów. Jak ma to miejsce we Wspólnocie Mieszkaniowej, do której należą strony niniejszego postępowania. W takim wypadku uchwala może wejść w życie, pomimo że za jej przyjęciem głosowała mniejszość członków wspólnoty. Przyjęcie uchwały przez wspólnotę mieszkaniową nie może być utożsamiane z wyrażeniem zgody na przetwarzanie danych osobowych członków wspólnoty, której dotyczyć ma ta uchwała. Z tego względu fakt przyjęcia uchwały nr [...] z dnia [...] marca 2009 r. nie może być utożsamiany z wyrażeniem przez członków Wspólnoty Mieszkaniowej zgody na przetwarzanie ich danych przez stronę przeciwną.
Ponadto, Skarżący podnosi, iż uchwała nr [...] z dnia [...] marca 2009r., dotyczyła jedynie zgody na zainstalowanie monitoringu wizyjnego, a nie dotyczyła kwestii przetwarzania danych osobowych. Nie dotyczyła obsługi tego monitoringu, a tym bardziej administrowania danymi osobowymi.
Skarżący wskazuje, iż fakt zaprzestania pełnienia funkcji zarządcy Wspólnoty Mieszkaniowej ma kluczowe znaczenie dla sprawy Zgodnie z art. 21 ust. 1 u.w.l. zarząd kieruje sprawami wspólnoty mieszkaniowej i reprezentuje ją na zewnątrz oraz w stosunkach między wspólnotą a poszczególnymi właścicielami lokalu Art 22 ust 1 powołanej ustawy stanowi natomiast, że czynności zwykłego zarządu podejmuje zarząd samodzielnie. Wskazane przepisy stanowią podstawę do administrowania monitoringiem wizyjnym przez zarząd wspólnoty mieszkaniowej. Faktem jest, że monitoring służy poprawie bezpieczeństwa członków wspólnoty. Jest tak jednak tylko wtedy, gdy to zarząd wspólnoty obsługuje monitoring lub gdy czynności takie powierza podmiotowi trzeciemu, jednak ma pełny wpływ na zasady obsługi monitoringu. W takim przypadku wszyscy członkowie wspólnoty mają zapewniony dostęp do nagrań z monitoringu na jednakowych zasadach. W niniejszej sprawie sytuacja przedstawiała się odmiennie. W chwili zmiany sposobu zarządu Wspólnotą Mieszkaniową i odwołania z funkcji zarządcy strony przeciwnej ad 2., strona przeciwna ad 2 przestała realizować interesy wszystkich członków Wspólnoty Mieszkaniowej i działała jedynie we własnym imieniu. Strona przeciwna ad 2. nie miała uprawnienia do dokonywania czynności zwykłego zarządu, jakimi bez wątpienia jest obsługa monitoringu wizyjnego w częściach wspólnych nieruchomości. Jednocześnie członkowie Wspólnoty Mieszkaniowej utracili wpływ na działania, jakie strona przeciwna ad 2. dokonywała w stosunku do części wspólnych nieruchomości. Od chwili zmiany sposobu zarządzania nieruchomością wspólną strona przeciwna ad 2. przestała realizować interes całej Wspólnoty Mieszkaniowej, a zaczęła działać wyłącznie we własnym interesie. Odwołanie strony przeciwnej ad 2. z funkcji zarządcy skutkowało tym, że monitoring nie zapewniał już bezpieczeństwa wszystkim członkom Wspólnoty Mieszkaniowej, a jedynie stronie przeciwnej ad 2. i gościom hotelowym. Podobnie służył on ochronie jedynie mienia strony przeciwnej ad 2. i jej klientów. Od chwili odwołania strony przeciwnej ad 2. z funkcji zarządcy członkowie Wspólnoty Mieszkaniowej utracili prawo dostępu do zapisów monitoringu. Nagrania te przestały stanowić mienie Wspólnoty Mieszkaniowej, a stały się własnością wyłącznie strony przeciwnej ad 2. Skarżący zaznacza, że w uchwale nr [...] nie wskazano, by strona przeciwna ad 2. zobowiązana była do udostępniania nagrań z monitoringu pozostałym członkom Wspólnoty Mieszkaniowej. Monitoring zabezpieczać miał jedynie prywatne interesy strony przeciwnej ad 2., a od czasu zmiany sposobu zarządu Wspólnotą Mieszkaniową pozostali jej członkowie przestali mieć jakikolwiek wpływ na sposób jego wykorzystania.
Prezes Urzędu Ochrony Danych Osobowych wnosił o oddalenie skargi w całości.
Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje:
Zgodnie z art. 1 § 1 i 2 ustawy z dnia 25 lipca 2002 r. - Prawo o ustroju sądów administracyjnych (Dz. U. Nr 153, poz. 1269 ze zm.), sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej, sprawowaną pod względem zgodności z prawem, jeżeli ustawy nie stanowią inaczej. Na podstawie art. 134 § 1 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. 2019.2325, zwanej dalej p.p.s.a.) Sąd przy rozstrzyganiu sprawy nie jest związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną.
Oceniając zaskarżoną decyzję według powyższych kryteriów, uznać należy, iż była ona zgodna z prawem.
W pierwszej kolejności, odnosząc się do zarzutów, iż w zaskarżonej decyzji nie zostały określone strony postępowania ani kto jest adresatem nakazów w niej zawartych wskazać należy, iż są one bezpodstawne. Jak wyjaśnił Prezes UODO i jak wynika z samej decyzji, zostały w niej prawidłowo określone strony postępowania. Decyzja zawiera, cyt.: "(...) po przeprowadzeniu postępowania administracyjnego w sprawie skargi Pana D. W. zam. w [...] przy ul. [...], na nieprawidłowości w procesie przetwarzania jego danych osobowych w zakresie wizerunku przez [...] Sp. z o.o. z siedzibą w [...] przy ul. [...] (...)", zaś sformułowane nakazy w pkt 1 i 2 ww. decyzji również nie budzą wątpliwości co do ich adresata cyt.: "(...) nakazuje [...] Sp. z o.o. z siedzibą w [...] przy ul. [...], spełnienie wobec Pana D. W. zam. w [...] przy ul. [...] (...)". Decyzja spełnia zatem wymogi z art. art. 107 § 1 pkt 3 k.p.a., co czyni zarzut naruszenia tego przepisu bezzasadnym.
Pozostałe zarzuty skargi również należy uznać za bezzasadne. Na wstępie należy zaznaczyć, iż Prezes UODO przytoczył prawidłowe przepisy wskazując, iż przetwarzanie zgodnie z prawem to przetwarzanie, które znajduje swoje oparcie w jednej z przesłanek określonych w art. 6 ust. 1 RODO. Niezależnie od zgody osoby, której dane dotyczą (art. 6 ust. 1 lit. a RODO), przetwarzanie danych osobowych jest dopuszczalne między innymi wtedy, gdy przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem (art. 6 ust. 1 lit. f RODO). Europejska Rada Ochrony Danych Europejska Rada Ochrony Danych (EROD) w Wytycznych 3/2019 w sprawie przetwarzania danych osobowych przez urządzenia wideo wskazała, iż art. 13 RODO ma zastosowanie, w przypadku gdy dane osobowe pozyskiwane są "(...) od osoby, której one dotyczą, poprzez obserwację np. wykorzystując urządzenia zautomatyzowanego przechwytywania danych lub oprogramowania do przechwytywania danych, takich jak kamery (...)". W kwestii monitoringu wizyjnego najważniejsze informacje powinny zostać umieszczone na samym znaku ostrzegawczym (pierwsza warstwa), a dalsze obligatoryjne szczegóły mogą być udostępnione za pośrednictwem innych środków (druga warstwa). W przypadku zatem przetwarzania danych osobowych za pomocą monitoringu istotne jest przede wszystkich poinformowanie o nazwie, adresie i danych kontaktowych administratora danych, celu stosowanego monitoringu, obszarze, w którym monitoring jest stosowany, sposobie nagrywania (o ile dane są zapisywane), w zależności od powyższego - okresie przechowywania danych oraz sposobie wykorzystania danych zgromadzonych za pomocą monitoringu, a także podanie informacji o prawie do żądania od administratora dostępu do danych osobowych dotyczących osoby, której dane dotyczą, ich sprostowania, usunięcia lub ograniczenia przetwarzania lub o prawie do wniesienia sprzeciwu wobec przetwarzania.
Prezes UODO prawidłowo ustalił w sprawie stan faktyczny wskazując, iż z materiału dowodowego wynika, że system monitoringu wizyjnego Spółki został wyposażony w dysk twardy umożliwiający ciągłe nagrywanie i przechowywanie danych osobowych przez około 20 dni. Jednocześnie przeprowadzone postępowanie wykazało, że kamery składające się na ww. system monitoringu wizyjnego obejmują przestrzeń publiczną w postaci części wspólnych budynku przy ul. [...] w [...], tj. korytarze, klatkę schodową, wejścia do budynku, teren przyległy (parking) będący przedmiotem dzierżawy przez Wspólnotę Mieszkaniową od Gminy [...]. Biorąc zatem pod uwagę opisany wyżej zasięg systemu monitoringu oraz niekwestionowaną okoliczność, że Skarżący porusza się po ww. terenie objętym monitoringiem wchodząc/wychodząc do/z budynku należy uznać, że funkcjonowanie systemu wiąże się z przetwarzaniem jego danych osobowych. Z ustalonego stanu faktycznego wynika jednocześnie, że Spółka będąc administratorem danych osobowych przetwarzanych w związku ze stosowanym monitoringiem wizyjnym, nie wypełniła obowiązku informacyjnego, o którym mowa w art. 13 ust. 1 i 2 RODO w sposób wskazany w ww. Wytycznych 3/2019 EROD.
Z ustalonego w sprawie stanu faktycznego wynikało, że u podstaw pozyskiwania i przetwarzania danych osobowych Skarżącego przez Spółkę znajdują się przesłanki określone w art. 6 ust. 1 lit. a) RODO i art. 6 ust. 1 lit. f) RODO warunkujące legalne przetwarzanie danych pochodzących z monitoringu wizyjnego. Spółka dysponuje bowiem zgodą większości mieszkańców budynku przy ul. [...] w [...] na przetwarzanie ich danych osobowych za pomocą monitoringu wizyjnego (art. 6 ust. 1 lit a RODO), wyrażoną w ww. uchwale nr [...]z dnia [...] marca 2009 r. Zgodnie z art. 4 pkt 11 RODO, "zgoda" osoby, której dane dotyczą oznacza dobrowolne, konkretne, świadome i jednoznaczne okazanie woli, którym osoba, której dane dotyczą, w formie oświadczenia lub wyraźnego działania potwierdzającego, przyzwala na przetwarzanie dotyczących jej danych osobowych. W kontekście zatem powyższej definicji, niewątpliwie oświadczenia właścicieli lokali zawarte w treści ww. uchwały cyt.: "(...) właściciele lokali postanawiają wyrazić zgodę na zainstalowanie monitoringu wizyjnego przez spółkę [...] Sp. z o.o. (Spółkę) (...)", stanowi wyraźne działanie potwierdzające ww. osób, przyzwalające na przetwarzanie dotyczących ich danych osobowych za pomocą ww. monitoringu, o którym mowa w art. 4 pkt 11 RODO.
Ustalenia te należy uznać, za prawidłowe. Zgodnie bowiem z uchwałą nr [...] z dnia [...].03.2009r. w § 1 ustalono, iż " W drodze indywidulanego zbierania głosów właściciele lokali postanawiają: Wyrazić zgodę na zainstalowania monitoringu wizyjnego przez spółkę [...] Sp. z o.o. i na jej koszt obejmującym swoim zasięgiem części wspólne budynku, wejścia do budynku i teren przyległy, w celu zapobieżenia aktom dewastacji oraz poprawy bezpieczeństwa. Właścicielem systemu monitoringu pozostanie [...] Sp. z o.o.". Istotnie na datę podjęcia uchwały ww. Spółka posiadała 94,73% udziałów, tym nie mniej w dacie wydania decyzji przez Prezesa UODO, uchwała nr [...] pozostawała w obrocie prawnym. Wspólnota nie podjęła uchwały zmieniającej wskazane wyżej ustalenia, nie stwierdzono również w sposób prawomocny nieważności uchwały z dnia [...].03.2009r. Prezes UODO prawidłowo wskazał, iż jako organ do spraw ochrony danych osobowych nie posiada kompetencji do zakwestionowania ważności ww. uchwały, natomiast Skarżący poza licznymi zarzutami w tym przedmiocie, nie przedstawił żadnych dowodów na to, by toczyło się jakiekolwiek postępowanie sądowe o uchylenie tej konkretnej uchwały, czy też o ustalenie jej nieistnienia, skutkujące jej wyeliminowaniem z obrotu prawnego. Uchwała ta zatem obowiązuje. Dlatego też w świetle materiału dowodowego niniejszej sprawy stwierdzić należy, iż Spółka dysponuje zgodą większości członków Wspólnoty Mieszkaniowej nieruchomości budynku przy ul. [...] w [...] na stosowanie monitoringu wizyjnego wyrażoną w ww. uchwale [...], a zatem podstawą prawną do przetwarzania ich danych osobowych za pomocą ww. monitoringu, o której mowa w art. 6 ust. 1 lit. a) RODO.
Natomiast sama wykładnia literalna postanowień zawartych w uchwale [...], jest klarowna i czytelna. Zapis obejmuje zgodę na zainstalowanie monitoringu wizyjnego oraz zakres jego zasięgu. W sposób jasny i czytelny określono zatem, to iż monitoring ma realizować swoje zadania. Trudno przy tym przyjąć, iż zapis taki zostałby ustanowiony w przypadku zainstalowania tzw. atrapy monitoringu wizyjnego. Logiczna sekwencja zapisu § 1 uchwały wyklucza taką interpretację. Spółka poniosła koszt związany z instalacją monitoringu i jako jego właściciel (w braku odmienny postanowień w uchwale) uprawniona jest do jego obsługiwania.
Rozpoznając skargę wniesioną w niniejszej sprawie w ramach przysługującej kognicji, Sąd uznał zatem, że skarga nie jest zasadna, gdyż zaskarżona decyzja nie narusza norm prawa materialnego czy procesowego, postępowanie administracyjne zostało bowiem przeprowadzone zgodnie z zasadami ogólnymi k.p.a., a w szczególności art. 7, art. 8, art. 11 k.p.a., a także innymi normami, zwłaszcza art. 77 i art. 80 k.p.a., a zaskarżone rozstrzygnięcie zostało oparte na prawidłowej interpretacji norm prawa materialnego.
Mając powyższe na względzie Sąd na podstawie art. 151 p.p.s.a. oddalił skargę.