II SA/WA 656/23

II SA/Wa 656/23 - Wyrok WSA w Warszawie
Data orzeczenia
2024-11-20
orzeczenie prawomocne
Data wpływu
2023-04-04
Sąd
Wojewódzki Sąd Administracyjny w Warszawie
Sędziowie
Danuta Kania
Dorota Kozub-Marciniak
Ewa Marcinkowska /przewodniczący sprawozdawca/
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Uchylono zaskarżoną decyzję
Sentencja
Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Ewa Marcinkowska (spr.), Sędzia WSA Danuta Kania, Asesor WSA Dorota Kozub-Marciniak, Protokolant specjalista Joanna Głowala po rozpoznaniu na rozprawie w dniu 20 listopada 2024 r. sprawy ze skargi Burmistrza Miasta i Gminy B. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] stycznia 2023 r. nr [...] w przedmiocie przetwarzania danych osobowych 1. uchyla zaskarżoną decyzję; 2. zasądza od Prezesa Urzędu Ochrony Danych Osobowych na rzecz Burmistrza Miasta i Gminy B. kwotę 200 (słownie: dwieście) złotych tytułem zwrotu kosztów postępowania.
Uzasadnienie
Prezes Urzędu Ochrony Danych Osobowych decyzją z dnia [...] stycznia 2023 r. nr [...] wydaną na podstawie art. 7 ust. 1 i ust. 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. 2019 r., poz. 1781 ze zm.) oraz art. 6 ust. 1 oraz art. 58 ust. 2 lit. d rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 4.05.2016, str. 1, Dz. Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35) nakazał Radzie Miejskiej w [...] usunięcie danych osobowych W.M., zawartych w piśmie W.M. z dnia 11 kwietnia 2021 r. adresowanym do radnych Rady Miejskiej w [...] , ze strony internetowej o adresie [...].
Do wydania powyższej decyzji doszło w następującym stanie faktycznym i prawnym:
W skardze z dnia 16 kwietnia 2021 r. skierowanej do Prezesa UODO W.M. poinformował, iż w dniu 14 kwietnia 2021 r. A.O. umieścił na portalu społecznościowym na swoim profilu Facebook, pismo, które złożyła w kancelarii Urzędu Miasta i Gminy w [...] w dniu 12 kwietnia 2021 r., a pismo to było adresowane indywidualnie do każdego z 19 radnych Rady Miejskiej w [...] , oprócz A.O. - Przewodniczącego Rady Miejskiej w [...] , z prośbą o przyjrzenie się, zapoznanie w związku z prowadzeniem przez ww. działań, trwających od listopada 2020 r., mających na celu zdyskredytowanie jej osoby. W związku z powyższym zwróciła się do Prezesa UODO o sprawdzenie, czy A.O. nie naruszył ustawy o ochronie danych osobowych i RODO.
Do skargi załączyła zrzuty z profilu A.O. , z jego opisem, który umieścił w dniu 14 kwietnia 2021 r. wraz z jej pismem.
W odpowiedzi na wezwanie organu do usunięcia braków formalnych ww. skargi W.M. w piśmie z dnia 1 sierpnia 2021 r. podała link do strony internetowej na której upublicznione zostały jej dane osobowe przez A.O. – Przewodniczącego Rady Miejskiej w [...] . Poinformowała też, że o zaistniałej sytuacji powiadomiła Komisariat Policji w [...] oraz Prokuraturę Rejonową w [...] . Wskazała też, że oczekuje usunięcia jej danych osobowych, które zostały umieszczone na profilu Facebook A.O. , oficjalnych przeprosin A.O. w stosunku do jej osoby i zamieszczenia ich na oficjalnej stronie miasta [...] a oraz zobligowanie A.O. do wpłacenia kwoty 5.000 zł na konto Domu Samotnej Matki w [...] .
Prezes UODO na podstawie zgromadzonego w sprawie materiału dowodowego ustalił, że W.M. złożyła w kancelarii Urzędu Miasta i Gminy w [...] w dniu 12 kwietnia 2021 r. pismo z dnia 11 kwietnia 2021 r. w sprawie naruszenia przez Przewodniczącego Rady jej dóbr osobistych. Pismo było adresowane indywidualnie do poszczególnych radnych Rady, oprócz Przewodniczącego Rady - A.O. .
W dniu 14 kwietnia 2021 r. Przewodniczący Rady A.O. umieścił pismo z dnia 11 kwietnia 2021 r., zawierające jej dane osobowe w zakresie jej imienia, nazwiska, adresu oraz podpisu, na portalu Facebook na profilu A.O. pod adresem [...].
Na wezwanie Prezesa UODO Rada Miejska w [...] wyjaśniła, że przetwarza dane osobowe W.M. w zakresie imienia, nazwiska i adresu zamieszkania w związku ze złożeniem przez nią pisma z dnia 11 kwietnia 2021 r. na podstawie art. 6 ust.1 lit. c RODO oraz ustawy z dnia 8 marca 1990 r. o samorządzie gminnym, w celu wypełniania obowiązków prawnych ciążących na administratorze. Rada Miejska w [...] poinformowała też, że nie zamieściła danych osobowych W.M. na profilu Facebook. Właścicielem tego profilu jest A.O. w obecnym czasie pełniący funkcję Przewodniczącego Rady Miejskiej w [...] . W związku z powyższym Rada Miejska w [...] nie udostępniła danych osobowych W.M. , lecz udostępniła je osoba prywatna. Do Rady Miejskiej w [...] nie wpłynął też wniosek W.M. o usunięcie jej danych osobowych z ww. strony internetowej
Rada Miejska w [...] wyjaśniła ponadto, że A.O. pełniąc w okresie skarżonego incydentu rolę Przewodniczącego Rady miał dostęp do wszystkich dokumentów (całej poczty wpływającej) do Biura Rady Miejskiej. Na podstawie § 21 ust. 2 Uchwały Rady Gminy i Miasta w [...] z dnia [...] lutego 2005 r. w sprawie Statutu Gminy i Miasta [...] przewodniczący przeprowadza kwalifikację wpływających do Rady pism, a w związku z tym dekretuje on wpływającą korespondencję, bądź to na poszczególne Komisje problemowe, bądź na poszczególnych radnych, bądź wydaje polecenia pracownikom Biura Rady Miejskiej ze wskazaniem jakiej udzielić odpowiedzi stronie wnoszącej pismo. Stąd też Przewodniczący Rady miał w dyspozycji także dokumenty W.M. adresowane do radnych, gdyż były one w poczcie przychodzącej do Biura Rady Miejskiej. Obecnie A.O. nie pełni już roli Przewodniczącego Rady, ale pozostał radnym Rady.
Prezes UODO ustalił w toku postępowania, że na wskazanej stronie internetowej nadal ujawnione są dane osobowe W.M. zawarte w jej piśmie z dnia 11 kwietnia 2021 r. złożonym do Urzędu Miasta i Gminy w [...] . Pismo z danymi osobowymi jest dostępne po wejściu w adres strony internetowej bez konieczności logowania na portalu Facebook. Pismo to zawiera imię, nazwisko, adres i podpis W.M. . Pismo to zostało udostępnione na portalu Facebook na profilu A.O. , do którego obecnie dostęp jest nieograniczony po zalogowaniu się do serwisu. Na profilu tym znajdują się treści związane m.in. z publicznym życiem [...]
Prezes UODO w uzasadnieniu decyzji z dnia [...] stycznia 2023 r. podkreślił, że dane osobowe muszą być przetwarzane zgodnie z prawem. Oznacza to, że administrator - przetwarzając dane osobowe - musi legitymować się przynajmniej jedną z przesłanek określonych w art. 6 ust. 1 RODO. Na administratorze danych ciąży też obowiązek zapewnienia przetwarzania danych osobowych w sposób zgodny z prawem oraz zapewnienia, że dane osobowe zbierane są w konkretnych, wyraźnych i prawnie uzasadnionych celach i nieprzetwarzane dalej w sposób niezgodny z tymi celami. Powyższe wynika z określonych w art. 5 ust. 1 lit. a i b RODO zasad zgodności z prawem oraz ograniczenia celu. Ponadto zgodnie z zasadą poufności danych, wynikającą z art. 5 ust. 1 lit. f RODO, dane osobowe muszą być przetwarzane w sposób zapewniający odpowiednie bezpieczeństwo danych osobowych, w tym ochronę przed niedozwolonym lub niezgodnym z prawem przetwarzaniem za pomocą odpowiednich środków technicznych lub organizacyjnych. Natomiast w myśl art. 5 ust. 2 RODO, administrator jest odpowiedzialny za przestrzeganie przepisów ust. 1 i musi być w stanie wykazać ich przestrzeganie ("rozliczalność"). '
Dalej organ wskazał, że zgodnie z art. 22 ust. 1 ustawy o samorządzie gminnym organizację wewnętrzną oraz tryb pracy organów gminy określa statut gminy. W myśl zaś § 21 ust. 2 pkt 1-5 Uchwały Rady Gminy i Miasta w [...] z dnia [...] lutego 2005 r. w sprawie Statutu Gminy i Miasta [...] , przewodniczący przeprowadza kwalifikację wpływających do rady pism wyróżniając z nich skargi i wnioski, ustala właściwości organu do załatwienia sprawy, przekazuje właściwym organom sprawy, które nie leżą bezpośrednio w kompetencji rady, przekazuje właściwej komisji skargę, która podlega rozpatrzeniu przez radę, celem analizy i przygotowania projektu odpowiedzi i czuwa nad terminowością rozpatrzenia skargi, w tym zawiadomienia o każdym przypadku nie załatwienia skargi w trybie określonym w art. 36-38 Kodeksu Postępowania Administracyjnego.
Jak ustalono natomiast w toku postępowania, profil "A.O. " na portalu Facebook, na którym udostępniono dane osobowe W.M. jest administrowany przez A.O. , radnego Rady, który w chwili udostępnienia danych osobowych skarżącej pełnił funkcję Przewodniczącego Rady. Dostęp do profilu "A.O. " jest nieograniczony po zalogowaniu się do serwisu. Na profilu tym znajdują się treści związane m.in. z publicznym życiem [...] . W związku z tym, w ocenie organu, należy uznać, że profil ten jest prowadzony również w związku z pełnioną przez A.O. funkcją publiczną radnego Rady Miejskiej w [...] (uprzednio Przewodniczącego Rady). Ponadto z wyjaśnień Rady wynika, że Przewodniczący Rady pozyskał dane osobowe W.M. zawarte w jej piśmie z dnia 11 kwietnia 2021 r. na podstawie § 21 ust. 2 pkt 1-5 Uchwały Rady Gminy i Miasta w [...] z dnia [...] lutego 2005 r. w sprawie Statutu Gminy i Miasta [...] w celu przeprowadzenia kwalifikacji pism wpływających do Rady. Ponadto sam Przewodniczący Rady publikując pismo W.M. z dnia 11 kwietnia 2021 r., na portalu Facebook na swoim profilu A.O. , wskazał, że przedstawia cyt. "(...) dokument który wpłynął wczoraj do biura rady (...)", zaś opublikowane pismo zostało ostemplowane pieczęciami Kancelarii Urzędu Miasta i Gminy w [...] oraz Biura Rady Miejskiej z potwierdzeniem daty wpływu. Powyższe potwierdza, że dane osobowe W.M. zawarte w przedmiotowym piśmie A.O. pozyskał i opublikował w związku z pełnioną przez niego ówcześnie funkcją publiczną Przewodniczącego Rady. Wobec tego uznać należy, że w przedmiotowej sprawie administratorem danych osobowych W.M. , zawartych w jej piśmie z dnia 11 kwietnia 2021 r., w rozumieniu art. 4 pkt 7 RODO, odpowiedzialnym za zapewnienie przetwarzania ich w sposób zgodny z prawem oraz zasadami określonymi w art. 5 ust. 1 RODO jest Rada.
Mając na uwadze ustalony w sprawie stan faktyczny Prezes UODO podkreślił, że żaden przepis prawa, nie upoważniał Przewodniczącego Rady do podania do publicznej wiadomości danych osobowych W.M. zawartych w jej piśmie z dnia 11 kwietnia 2021 r. w powyższy sposób. Z materiału dowodowego zgromadzonego w sprawie wynika, że Przewodniczący Rady upublicznił pismo W.M. zawierające jej dane osobowe w zakresie jej imienia i nazwiska, adresu oraz podpisu na wskazanej stronie internetowej, co naruszyło przepisy o ochronie danych osobowych. Działanie to nie znajdowało oparcia w żadnej z przesłanek wyrażonych w art. 6 ust. 1 RODO. Przywołując treść art. 5 ust. 2 ustawy o dostępie do informacji publicznej, organ podkreślił jednocześnie, że W.M. składając w kancelarii Urzędu Miasta i Gminy w [...] pismo z dnia 11 kwietnia 2021 r. adresowane do radnych Rady Miejskiej w [...] występowała jako osoba prywatna, wobec czego brak było podstaw do upublicznienia jej danych osobowych zawartych w tym piśmie w powyższy sposób.
Brak było tym samym podstawy prawnej do udostępnienia przez Przewodniczącego Rady Miejskiej w [...] na portalu Facebook danych osobowych W.M. w postaci jej imienia i nazwiska, adresu i podpisu, co naruszyło przepis art. 6 ust. 1 RODO. Powyższe naruszało ponadto art. 5 ust. 1 lit. a, b i f RODO, gdyż przedmiotowe udostępnienie nastąpiło z naruszeniem zasad określonych w ww. przepisach.
Z materiału dowodowego zgromadzonego w sprawie wynika jednocześnie, że przetwarzanie danych osobowych W.M. w zakwestionowany przez nią sposób jest nadal kontynuowane. Mając na uwadze powyższe, uwzględniając wagę i charakter stwierdzonego naruszenia Prezes UODO uznał za zasadne skorzystanie w niniejszej sprawie z instrumentu o charakterze naprawczym przewidzianego w art. 58 ust. 2 lit. d RODO i nakazał Radzie Miejskiej w [...] usunięcie danych osobowych W.M. zawartych w jej piśmie z dnia 11 kwietnia 2021 r. adresowanym do radnych Rady Miejskiej w [...] , ze wskazanej strony internetowej.
W skardze na decyzję Prezesa UODO skierowanej do Wojewódzkiego Sądu Administracyjnego w Warszawie Burmistrz Miasta i Gminy [...] a zarzucił zaskarżonej decyzji:
1. naruszenie przepisów postępowania, które to naruszenie mogło mieć istotny wpływ na wynik sprawy, poprzez:
a) naruszenie art. 7, art. 28, art. 77 § 1 i art. 80 K.p.a. - polegające na niewyczerpującym rozpatrzeniu materiału dowodowego oraz na jego dowolnej ocenie poprzez uznanie, iż to Rada Miejska w [...] jest legitymowana do występowania w zaskarżonym postępowaniu w charakterze strony postępowania, a w konsekwencji Rada dopuściła się naruszenia przepisów o ochronie danych osobowych (art. 6 ust. 1 RODO) i w konsekwencji nakazania Radzie usunięcia danych (opublikowanych w formie dokumentacji fotograficznej) zamieszczonych na stronie portalu "Facebook", która to strona prowadzona jest przez Radnego Rady Miejskiej w [...] A.O., w oparciu o art. 58 ust. 2 lit. d RODO;
b) naruszenie art. 11 w zw. z art. 7 K.p.a. polegające na przyjęciu całkowicie błędnego domniemania, iż to Rada ma wpływ na treści publikowane na prywatnym profilu Radnego Rady Miejskiej w [...] A.O. , co doprowadziło do wydania przez organ administracji publicznej decyzji, która z przyczyn prawnych i faktycznych jest niemożliwa do wykonania;
c) wydanie przez organ decyzji administracyjnej, która w ocenie skarżącego, wobec treści art. 156 §1 pkt 4 i 5 K.p.a. jest nieważna, gdyż została skierowana do osoby niebędącej stroną w sprawie (w ocenie skarżącego podmiotem legitymowanym w niniejszej sprawie winien być Radny Rady Miejskiej w [...] A.O. ), a ponadto skierowanie jej wobec Rady Miejskiej w [...] skutkuje jej niewykonalnością w dniu jej wydania i niewykonalność ta ma charakter trwały - Rada Miejska w [...] nie miała, nie ma i nie otrzyma możliwości logowania i dostępu do prywatnej strony na portalu "Facebook" Radnego Rady Miejskiej w [...] A.O. .
2. naruszenie prawa materialnego, które miało wpływ na wynik sprawy, poprzez;
a) uznanie, iż Rada Miejska w [...] dokonała naruszenia art. 6 ust. 1 w zw. z art. 5 ust. 1 lit. a), b) i f) oraz art. 5 ust. 2 RODO, poprzez błędnie przyjęte założenie, iż to Rada nie wywiązała się z obowiązku zapewnienia ochrony przed niedozwolonym lub niezgodnym z prawem przetwarzaniem danych osobowych, nie przetwarzała danych osobowych zgodnie z prawem, nie ograniczała ich przetwarzania do niezbędnych celów, a w związku z tym dopuściła do udostępnienia tychże danych na portalu "Facebook" w formie dokumentacji fotograficznej skargi na profilu Radnego Rady Miejskiej w [...] A.O. ;
b) naruszenie art. 58 ust. 2 lit. d) RODO poprzez jego błędne zastosowanie, z uwagi na fakt, iż wskazana podstawa prawna dotyczy nakazania "administratorowi lub podmiotowi przetwarzającemu dostosowania operacji przetwarzania do przepisów (...) rozporządzenia, a w stosownych przypadkach wskazanie sposobu i terminu." - organ nakazał w zaskarżonej decyzji usunięcie danych osobowych, umieszczonych w piśmie opublikowanym na portalu "Facebook" przez Radnego Rady Miejskiej w [...] A.O. , niemniej jednak nie wskazał na jakiej prawidłowej podstawie Rada Miejska w [...] może tego dokonać, co więcej, organ nie powołał się w swojej decyzji na choćby art. 58 ust. 2 lit. c) lub g), a także art. 16,17 bądź 18 RODO.
Wobec powyższych zarzutów, Burmistrz Miasta i Gminy [...] a wniósł o uchylenie na podstawie art. 145 § 1 pkt 1 lit. a i c P.p.s.a. zaskarżonej decyzji w całości, ewentualnie - stwierdzenie na podstawie art. 145 § 1 pkt 2 P.p.s.a nieważności zaskarżonej decyzji administracyjnej w całości oraz zasądzenie na podstawie art. 200 P.p.s.a. kosztów postępowania według norm przepisanych.
W uzasadnieniu skargi podkreślono, iż zaskarżona decyzja została wydana w oparciu o całkowicie błędnie przyjęty stan faktyczny przez organ. Ocena stanu faktycznego w niniejszej sprawie opierała się bowiem na założeniu, iż skoro ówczesny Przewodniczący Rady Miejskiej w [...] (A.O. ) udostępnia zdjęcia pisma wraz z danymi osobowymi W.M. na swoim prywatnym profilu na portalu "Facebook", to ten profil uznać należy za profil Rady Miejskiej w [...] . Prezes UODO nie wziął jednak pod uwagę faktu, iż Radny A.O. wszedł w posiadanie tych dokumentów w związku z pełnieniem funkcji Przewodniczącego Rady, lecz posłużył się nimi w sposób nieprawidłowy (gdyż udostępniono na fotografiach dane osobowe W.M. ).
Oznacza to, iż w obrocie prawnym znajduje się decyzja administracyjna, która z punktu widzenia Rady Miejskiej w [...] (w zakresie posiadanych uprawnień i kompetencji) jest niewykonalna. W ustawie z dnia 8 marca 1990 r. o samorządzie gminnym nie zawarto bowiem jakichkolwiek kompetencji Rady, a także samego Przewodniczącego Rady, do wpływania na sposób sprawowania mandatu Radnego, jego dyscyplinowania, wpływania na jego aktywność w Internecie (w szczególności w social mediach), a także w życiu prywatnym. Ponadto, w przedmiotowej ustawie, a ponadto w jakichkolwiek aktach prawa miejscowego, nie można wywodzić prawa do dyscyplinowania Radnego we wskazanym zakresie. Profil na portalu społecznościowym "Facebook" o nazwie "A.O. ", jest bowiem profilem osoby prywatnej, która pełni funkcję publiczną, tj. osoby wykonującej mandat Radnego Rady Miejskiej w [...] ,. Rada Miejska w [...] , jak i sam Przewodniczący Rady Miejskiej w [...] , nie ma jakiegokolwiek wpływu na publikowane treści na rzeczonym profilu, gdyż nie jest to profil prowadzony przez Radę bądź Przewodniczącego Rady. W związku z powyższym, Rada, jak i sam Przewodniczący, nie ma możliwości faktycznych, jak i prawnych, do ingerowania w treść zamieszczanych na rzeczonym profilu informacji, a wobec tego nie może ich po prostu usunąć. Radny Rady Miejskiej w [...] A.O. (pełniący obowiązki Przewodniczącego Rady Miejskiej w [...] w dacie opublikowania zdjęć pisma na portalu "Facebook"), przetwarzał dane osobowe W.M. zgodnie ze swoimi uprawnieniami. Jednak w momencie upublicznienia treści tegoż pisma wraz z danymi osobowymi osoby wnoszącej skargę do Prezesa UODO, działał poza swoimi uprawnieniami, co potwierdza fakt, iż opublikowanie tych zdjęć miało miejsce na prywatnym profilu A.O. .
W ocenie skarżącego (na podstawie art. 156 § 1 pkt 4 i pkt 5 K.p.a.) postępowanie w niniejszej sprawie skutkowało wydaniem decyzji administracyjnej która jest nieważna z mocy prawa, gdyż organ prowadził postępowanie w stosunku do podmiotu, który nie posiada i nie posiadał legitymacji do występowania w sprawie w charakterze strony postępowania (stroną postępowania winna być W.M. oraz A.O. , a nie Rada Miejska w [...] ), a ponadto decyzja w dniu jej wydania jest niewykonalna i jej niewykonalność ma charakter trwały.
Oznacza to, iż błędna ocena stanu faktycznego, jak i nieprawidłowe przyjęcie legitymacji Rady do występowania w charakterze strony spowodowała wprowadzenie do obrotu prawnego decyzji, która jest obarczona wadą nieważności - a więc brakiem możliwości jej wykonania.
Prezes UODO w odpowiedzi na skargę wniósł o jej oddalenie podtrzymując argumentację przedstawioną w uzasadnieniu zaskarżonej decyzji.
Na wstępie organ poinformował, że w dniu 27 lutego 2023 r. do Prezesa UODO wpłynął - podpisany przez Burmistrza Miasta i Gminy [...] a - wniosek o stwierdzenie nieważności decyzji Prezesa UODO dnia [...] stycznia 2021 r.
Następnie, w dniu 1 marca 2023 r., do Urzędu Ochrony Danych Osobowych wpłynęła - złożona w imieniu Rady Miejskiej w [...] przez Burmistrza Miasta i Gminy [...] a - skarga do Wojewódzkiego Sądu Administracyjnego w Warszawie na decyzję Prezesa UODO z dnia [...] stycznia 2023 r.
Odnosząc się do zarzutów skargi Prezes UODO podkreślił, że decyzja administracyjna w niniejszej sprawie została wydana w oparciu o materiał dowodowy zgromadzony w toku postępowania administracyjnego przeprowadzonego zgodnie z zasadami określonymi w K.p.a. Prezes UODO uwzględnił wszystkie dowody, które pozwoliły organowi na przekonanie się o istnieniu lub nieistnieniu oznaczonych faktów. W toku postępowania dokonano m.in. oględzin wskazanej strony internetowej, co potwierdzają notatki służbowe z dnia 29 października 2021 r. i 18 października 2022 r. (w aktach sprawy). Ponadto Prezes UODO wziął pod uwagę wyjaśnienia złożone przez Radę w piśmie, które wpłynęło do UODO 19 listopada 2021 r. oraz w piśmie z dnia 13 grudnia 2021 r. W ocenie Prezesa UODO z okoliczności faktycznych niniejszej sprawy w sposób niebudzący wątpliwości wynikało - co zostało wyrażone w zaskarżonej decyzji - że administratorem danych osobowych W.M. , w zakresie objętym skargą, jest Rada. Jak bezsprzecznie wynikało bowiem z materiału dowodowego zgromadzonego w sprawie, A.O. pozyskał i opublikował na portalu Facebook na profilu A.O. dane osobowe W.M. w związku z pełnioną przez niego ówcześnie funkcją publiczną Przewodniczącego Rady (obecnie radnego Rady Miejskiej w [...] ). Na profilu tym znajdowały się treści związane m.in. z publicznym życiem [...] . W związku z tym należało uznać, że profil ten jest prowadzony również w związku z pełnioną przez A.O. funkcją publiczną radnego Rady Miejskiej w [...] (uprzednio Przewodniczącego Rady). Ponadto to na Radzie jako administratorze danych osobowych W.M. , do którego wpłynęło pismo z dnia 11 kwietnia 2021 r., ciążył obowiązek zapewnienia w myśl zasad określonych w art. 5 ust. 1 RODO przetwarzania danych osobowych zawartych w tym piśmie w sposób zgodny z prawem oraz z zachowaniem zasady poufności. Za działania lub zaniechania radnego, który pozyskał dane osobowe W.M. i opublikował je w związku z pełnioną funkcją odpowiedzialność ponosi administrator danych, którym w niniejszej sprawie jest Rada. To Rada zapewnić powinna była przy użyciu odpowiednich i adekwatnych środków technicznych i organizacyjnych, by dane osobowe W.M. , które do Rady wpłynęły przetwarzane były w oparciu o co najmniej jedną przesłankę legalizującą proces przetwarzania, o której mowa w art. 6 RODO oraz w oparciu o wyraźny i prawnie uzasadniony cel i nieprzetwarzane dalej w sposób niezgodny z tym celem. Powyższego Rada w niniejszym postępowaniu nie wykazała. Dlatego też Prezes UODO uznał za zasadne skorzystanie z instrumentu o charakterze naprawczym przewidzianego w art. 58 ust. 2 lit. d RODO i nakazał Radzie, jako administratorowi danych osobowych, usunięcie danych osobowych W.M. z ww. strony internetowej.
Prezes UODO zaznaczył przy tym, iż wbrew twierdzeniom Rady, że nie ma ona wpływu na treści opublikowane przez radnego Rady A.O. (uprzednio Przewodniczącego Rady) na platformie "Facebook", z załączonych do skargi do Wojewódzkiego Sądu Administracyjnego akt sprawy wynika, że Rada zwróciła się do radnego Rady A.O. o usunięcie danych osobowych W.M. w związku z otrzymaną decyzją Prezesa UODO z dnia [...] stycznia 2023 r. Pismem z dnia 2 lutego 2023 r. radny Rady A.O. odpowiedział zaś Radzie informując, że z dniem 2 lutego 2023 r. wpis zawierający dane osobowe W.M. został usunięty. Na dowód tego do skargi Rady na decyzję Prezesa UODO z dnia [...] stycznia 2023 r. załączono wydruk z historii zmian wpisu radnego Rady A.O. na platformie "Facebook".
Wobec tego zarzutu naruszenia prawa materialnego poprzez uznanie, iż to Rada dokonała naruszenia art. 6 ust. 1 w zw. z art. 5 ust. 1 lit. a, b oraz f oraz art. 5 ust. 2 RODO, Prezes UODO ocenił jako bezpodstawny.
Postanowieniem z dnia 26 stycznia 2024 r. Sąd zawiesił postępowanie sądowoadministracyjne na podstawie art. 124 § 1 pkt 6 w zw. z art. 56 § 1 ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi do czasu zakończenia przez organ postępowania o stwierdzenie nieważności zaskarżonej decyzji.
Decyzją z dnia [...] maja 2024 r. nr [...] Prezes UODO odmówił stwierdzenia nieważności decyzji z dnia [...] stycznia 2023 r. nr [...] Decyzja ta stała się prawomocna z dniem 29 czerwca 2024 r.
Postanowieniem z dnia 30 sierpnia 2024 r. Sąd podjął zawieszone postępowanie sądowoadministracyjne.
Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje:
Zgodnie z art. 1 § 1 ustawy z dnia 25 lipca 2002 r. – Prawo o ustroju sądów administracyjnych (tj. Dz. U. z 2024 r. poz. 1267), sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej, przy czym w świetle paragrafu drugiego powołanego wyżej artykułu kontrola ta sprawowana jest pod względem zgodności z prawem, jeżeli ustawy nie stanowią inaczej. Innymi słowy, wchodzi tutaj w grę kontrola aktów lub czynności z zakresu administracji publicznej dokonywana pod względem ich zgodności z prawem materialnym i przepisami procesowymi, nie zaś według kryteriów odnoszących się do słuszności rozstrzygnięcia.
Ponadto, co wymaga podkreślenia, Sąd rozstrzyga w granicach danej sprawy nie będąc jednak związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną, z zastrzeżeniem art. 57a (art. 134 § 1 ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (tj. Dz. U. z 2024 r., poz. 935), dalej P.p.s.a.
Oceniając zaskarżoną decyzję w świetle powyższych kryteriów Sąd stwierdził, iż skarga wniesiona przez Burmistrza Miasta i Gminy [...] a zasługuje na uwzględnienie, gdyż zaskarżona decyzja Prezesa UODO z dnia [...] stycznia 2023 r. narusza przepisy postępowania administracyjnego w stopniu mogącym mieć istotny wpływ na wynik sprawy (art. 145 § 1 pkt 1 lit. c P.p.s.a.).
Należy przypomnieć, że postępowanie administracyjne w niniejszej sprawie zostało zainicjowane skargą W.M. z dnia 16 kwietnia 2021 r. w której zwróciła się do Prezesa UODO o sprawdzenie, czy A.O. nie naruszył ustawy o ochronie danych osobowych i RODO umieszczając na portalu społecznościowym na swoim profilu Facebook, pismo, które złożyła w kancelarii Urzędu Miasta i Gminy w [...] w dniu 12 kwietnia 2021 r., a pismo to było adresowane indywidualnie do każdego z 19 radnych Rady Miejskiej w [...] , oprócz A.O. - Przewodniczącego Rady Miejskiej w [...] .
Następnie w odpowiedzi na wezwanie organu do usunięcia braków formalnych ww. skargi W.M. w piśmie z dnia 1 sierpnia 2021 r. podała link do strony internetowej na której upublicznione zostały jej dane osobowe przez A.O. – Przewodniczącego Rady Miejskiej w [...] . Poinformowała też, że o zaistniałej sytuacji powiadomiła Komisariat Policji w [...] oraz Prokuraturę Rejonową w [...] . Wskazała też, że oczekuje usunięcia jej danych osobowych, które zostały umieszczone na profilu Facebook A.O. , oficjalnych przeprosin A.O. w stosunku do jej osoby i zamieszczenia ich na oficjalnej stronie miasta [...] a oraz zobligowanie A.O. do wpłacenia kwoty 5.000 zł na konto Domu Samotnej Matki w [...] .
Z treści skargi skierowanej przez W.M. do Prezesa UODO wynikało więc wyraźnie, że zakwestionowała ona przetwarzania jej danych osobowych przez A.O. w mediach społecznościowych na jego profilu na Facebooku.
W toku postępowania zainicjowanego powyższą skargą pracownik UODO w notatce służbowej z dnia 29 października 2021 r. włączonej do akt sprawy ustalił, że dane osobowe W.M. zawarte w piśmie z dnia 11 kwietnia 2021 r. są udostępnione na portalu Facebook na profilu A.O. a. Profil jest profilem publicznym, do którego dostęp jest nieograniczony. Jednakże z dokonanych oględzin wynika, że profil ten nie jest prowadzony w związku z pełnioną przez Pana A.O. funkcją publiczną, tj. Przewodniczącego Rady Miejskiej w [...] , ponieważ znajdują się tam zarówno treści związane z publicznym życiem [...] , jak i treści prywatne.
Rada Miejska w [...] w wyjaśnieniach złożonych w toku postępowania administracyjnego podała, że przetwarza dane osobowe W.M. w zakresie imienia, nazwiska i adresu zamieszkania w związku ze złożeniem przez nią pisma z dnia 11 kwietnia 2021 r. na podstawie art. 6 ust.1 lit. c RODO oraz ustawy z dnia 8 marca 1990 r. o samorządzie gminnym, w celu wypełniania obowiązków prawnych ciążących na administratorze. Rada Miejska w [...] poinformowała jednocześnie, że nie zamieściła danych osobowych W.M. na profilu Facebook. Właścicielem tego profilu jest A.O. w obecnym czasie pełniący funkcję Przewodniczącego Rady Miejskiej w [...] . Rada Miejska w [...] ani Przewodniczący Rady Miejskiej w [...] nie mają profilu na Facebooku. W związku z powyższym Rada Miejska w [...] stwierdziła, że nie udostępniła danych osobowych W.M. , lecz udostępniła je osoba prywatna. Wyjaśniła też, że do Rady Miejskiej w [...] nie wpłynął wniosek W.M. o usunięcie jej danych osobowych z ww. strony internetowej.
W zaskarżonej decyzji z dnia [...] stycznia 2023 r. Prezes UODO, działając na podstawie art. 58 ust. 2 lit. d RODO nakazał natomiast Radzie Miejskiej w [...] usunięcie danych osobowych W.M. , zawartych w piśmie W.M. z dnia 11 kwietnia 2021 r. adresowanym do radnych Rady Miejskiej w [...] , ze wskazanego w decyzji profilu na Facebooku.
Przepis art. 58 ust. 2 lit. d RODO stanowi, że każdemu organowi nadzorczemu przysługują uprawnienia naprawcze poprzez nakazanie administratorowi lub podmiotowi przetwarzającemu dostosowanie operacji przetwarzania do przepisów niniejszego rozporządzenia.
Administratorem danych, w myśl art. 4 pkt 7 RODO, jest osoba fizyczna lub prawna, organ publiczny, jednostka lub inny podmiot, który samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych osobowych; jeżeli cele i sposoby takiego przetwarzania są określone w prawie Unii lub w prawie państwa członkowskiego, to również w prawie Unii lub w prawie państwa członkowskiego może zostać wyznaczony administrator lub mogą zostać określone konkretne kryteria jego wyznaczania.
Definicja pojęcia "administrator danych" zawarta w ww. przepisie wskazuje na dwa konstytutywne elementy składające się na sprawowanie władztwa nad przetwarzanymi danymi osobowymi: ustalenie celów przetwarzania danych oraz ustalenie sposobów przetwarzania danych.
Podstawowym kryterium odróżniającym administratora danych osobowych od innych podmiotów przetwarzających dane jest sprawowanie faktycznej kontroli nad przetwarzaniem danych, a więc decydowanie o celach i sposobach przetwarzania. Na tę kwestię zwrócił uwagę Naczelny Sąd Administracyjny w wyroku z dnia 30 stycznia 2002 r. sygn. akt II SA 1098/01 (publ. Wokanda 2002, Nr 8, s. 7) stwierdzając, że "Administratorem danych nie jest (...) każdy dysponent danych osobowych (...). Jest nim ten, kto decyduje o celach i środkach przetwarzania, przy czym zasadnicze znaczenie ma rodzaj i charakter nadanych przez prawo kompetencji z zakresu spraw publicznych (...)". Władztwo nad danymi może wynikać przy tym albo z właściwych przepisów prawa, a w przypadku ich braku z okoliczności o charakterze faktycznym (v. EROD, Guidelines 07/2020 on the concepts of controller and procesor in the GDPR) [w:] P. Litwiński, Ogólne rozporządzenie o ochronie danych osobowych. Ustawa o ochronie danych osobowych. Komentarz, C.H. Beck 2021, s. 129).
W niniejszej sprawie, w świetle ustaleń poczynionych przez organ w toku postępowania administracyjnego, nie jest zrozumiałe dla Sądu, na jakiej podstawie Prezes UODO uznał w zaskarżonej decyzji, że to Rada Miejska w [...] jest administratorem danych osobowych przetwarzanych na portalu Facebook na profilu A.O. a i w związku z tym na mocy art. 58 ust. 2 lit. d RODO nakazał Radzie Miejskiej w [...] usunięcie danych osobowych W.M. ze wskazanego profilu na Facebooku.
W ocenie Sądu z faktu, iż na portalu Facebook na profilu A.O. a zamieszczane są treści związane m.in. z publicznym życiem [...] nie można w żadnym razie wywodzić, że profil ten jest prowadzony w związku z pełnioną przez A.O. funkcją publiczną radnego Rady Miejskiej w [...] , a administratorem danych osobowych przetwarzanych na tym profilu jest Rada Miejska w [...] . Stwierdzenie to pozostaje w wyraźnej sprzeczności z ustaleniami poczynionymi przez pracownika organu w przywołanej wcześniej notatce służbowej z dnia 29 października 2021 r., w której wyraźnie wskazano, że "profil ten nie jest prowadzony w związku z pełnioną przez Pana A.O. funkcją publiczną, tj. Przewodniczącego Rady Miejskiej w [...] , ponieważ znajdują się tam zarówno treści związane z publicznym życiem [...] , jak i treści prywatne".
Przewodniczący Rady Miejskiej w [...] w wyjaśnieniach skierowanych do organu w piśmie z dnia 13 grudnia 2021 r. oświadczył natomiast, że ani Rada Miejska w [...] , ani jej Przewodniczący nie mają profilu na Facebooku.
Należy ponadto zwrócić uwagę, że z załączonego do akt administracyjnych sprawy pisma Przewodniczącego Rady Miejskiej w [...] z dnia 2 lutego 2023 r. skierowanego do A.O. , po wydaniu zaskarżonej decyzji wynika, że aby wykonać nakaz nałożony przez Prezesa UODO decyzją z dnia [...] stycznia 2023 r. zwrócił się on z prośba do A.O. o usunięcie z jego profilu na portalu społecznościowym Facebook wpisu z dnia 14 kwietnia 2021 r. wskazanego w treści decyzji. Wbrew twierdzeniom organu z faktu, że A.O. , uwzględniając prośbę Przewodniczącego Rady Miejskiej w [...] , usunął wpis na portalu społecznościowym Facebook nie można wywodzić, że Rada Miejska w [...] ma wpływ na treści publikowane na tym portalu na profilu A.O. a i jest administratorem przetwarzanych tam danych osobowych.
Uwzględniając powyższe podzielić należy zarzuty skargi, że organ dopuścił się naruszenia art. 7, art. 77 § 1 oraz art. 107 § 3 K.p.a. w związku z art. 58 ust. 2 lit .d RODO, bowiem z uzasadnienia zaskarżonej decyzji nie wynika, aby organ ustalił w sposób niebudzący wątpliwości, że to Rada Miejska w [...] jest administratorem danych osobowych uczestniczki postępowania przetwarzanych na wskazanym profilu na Facebooku.
W świetle art. 7 K.p.a. organ administracji publicznej ma obowiązek podejmowania wszelkich czynności zmierzających do dokładnego wyjaśnienia stanu faktycznego sprawy oraz do załatwienia sprawy. Rozwinięciem tej zasady jest art. 77 § 1 K.p.a., zgodnie z którym organ administracji jest obowiązany w sposób wyczerpujący zebrać i rozpatrzyć cały materiał dowodowy. Jest przy tym obowiązany ocenić na podstawie całokształtu materiału dowodowego, czy dana czynność została udowodniona (art. 80 K.p.a.). Ustalenia i ocena w powyższym zakresie, tj. uzasadnienie faktyczne oraz prawne, powinny znaleźć odzwierciedlenie w uzasadnieniu decyzji, o czym stanowi art. 107 § 1 pkt 6 oraz § 3 K.p.a. W niniejszej sprawie organ nie dopełnił wymienionych obowiązków, co czyni zaskarżoną decyzję, co najmniej przedwczesną.
Powyższa konstatacja jest tym bardziej uzasadniona, iż z treści skargi skierowanej przez W.M. do Prezesa UODO wyraźnie wynikało, że kwestionuje ona przetwarzania jej danych osobowych przez A.O. na jego profilu Facebook. Mimo to, organ nie zwrócił się w toku postępowania do A.O. o złożenia wyjaśnień na powyższe okoliczności podniesione w skardze.
W tej sytuacji przedwczesna byłaby ocena, czy zaszły podstawy do skorzystania przez Prezesa UODO w stosunku do Rady Miejskiej w [...] z uprawnień naprawczych przyznanych w art. 58 ust. 2 lit. d RODO.
Rozpatrując sprawę ponownie organ uwzględni dokonaną ocenę prawną. Stosownie do obowiązków wynikających z art. 7, art. 77 § 1 i art. 80 K.p.a. w sposób niebudzący wątpliwości ustali i oceni, czy Rada Miejska w [...] jest administratorem danych osobowych uczestniczki postępowania przetwarzanych na wskazanym profilu Facebook - w rozumieniu art. 4 pkt 7 RODO. Następnie, stosownie do przyjętych ustaleń organ podejmie rozstrzygnięcie w sprawie, które w sposób wyczerpujący i spójny uzasadni, czyniąc zadość wymogom określonym w art. 107 § 3 w związku z art. 11 k.p.a.
Mając powyższe na względzie Wojewódzki Sąd Administracyjny w Warszawie, na podstawie art. 145 § 1 pkt 1 lit. c P.p.s.a., orzekł jak w sentencji wyroku. O zwrocie kosztów postępowania obejmujących uiszczony wpis sądowy w wysokości 200 zł, Sąd orzekł na podstawie art. 200 i art. 205 § 1 P.p.s.a.