II SA/WA 729/24

II SA/Wa 729/24 - Wyrok WSA w Warszawie
Data orzeczenia
2024-11-26
orzeczenie prawomocne
Data wpływu
2024-05-17
Sąd
Wojewódzki Sąd Administracyjny w Warszawie
Sędziowie
Andrzej Góraj /sprawozdawca/
Iwona Maciejuk /przewodniczący/
Sławomir Antoniuk
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne
Ochrona danych osobowych
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Uchylono zaskarżoną decyzję
Powołane przepisy
Dz.U. 2024 poz 935
art. 153,  art. 145  par. 1  pkt 1c
Ustawa z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (t. j.)
Sentencja
Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Iwona Maciejuk, Sędzia WSA Andrzej Góraj (spr.), Sędzia WSA Sławomir Antoniuk, , Protokolant starszy sekretarz sądowy Marcin Rusinowicz-Borkowski, po rozpoznaniu na rozprawie w dniu 26 listopada 2024 r. sprawy ze skargi M. Z. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] marca 2024 r. nr [...] w przedmiocie przetwarzania danych osobowych 1. uchyla zaskarżoną decyzję; 2. zasądza od Prezesa Urzędu Ochrony Danych Osobowych na rzecz M. Z. kwotę 200 (dwieście) złotych, tytułem zwrotu kosztów postępowania.
Uzasadnienie
M. Z. zainicjował postępowanie pismem z [...] lutego 2019 r.(opartym na podstawie art. 21 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady UE z dnia [...] kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz.U.UE.L.2016.119.1), wnosząc sprzeciw wobec przetwarzania przez Fundację [...] (dawniej [...]) jego danych osobowych (imion, nazwiska, wieku, daty urodzenia), przez ich udostępnienie na stronie internetowej Fundacji, oraz na podstawie art. 17 ust. 1 lit c) rozporządzenia, zażądał niezwłocznego usunięcia przez Fundację dotyczących jego danych osobowych.
Wnioskodawca wyjaśnił, że dane zamieszczone na tej stronie (w części: dane historyczne), dotyczące jego powiazań ze spółkami tam wymienionymi, są nieaktualne i wprowadzają użytkownika w błąd. Podał, że w 2016 r. przestał pełnić jakiekolwiek funkcje w tych spółkach, w szczególności przestał pełnić funkcję prezesa zarządu i likwidatora firmy [...] sp. z .o. o. oraz "urwał wszelkie kontakty" z osobami powiązanymi z tą spółką.
Podał, że jedna ze spółek była zamieszana w tzw. aferę [...] . Historyczne powiązania kapitałowe, wskazane na stronie internetowej, powodują trudności w "normalnym funkcjonowaniu w gospodarce", w znalezieniu czy pozyskaniu klientów, nawiązaniu nowych kontaktów biznesowych czy nawet znalezieniu pracy. Wnioskodawca wyjaśnił, że nie chce aby jego obecni kontrahenci zasięgali informacji o nim i jego "byłych powiązaniach osobowych", a konkurencja docierała w ten sposób do osób, z którymi już nie współpracuje i z którymi rozstał się w nie najlepszych relacjach i które mu szkodą.
Fundacja w piśmie z [...] marca 2019 r. odmówiła stronie uwzględnienia żądań zawartych w piśmie z [...] lutego 2019 r.
Wyjaśniła m. in., że, jest organizacją działającą na rzecz rozwoju demokracji, otwartej i przejrzystej władzy publicznej oraz zaangażowania obywatelskiego i na podstawie ustawy z dnia 6 września 2001 r. o dostępie do informacji publicznej (Dz.U. 2020 r., poz. 2176) oraz ustawy z dnia 25 lutego 2016 r. o ponownym wykorzystywaniu informacji sektora publicznego (Dz.U. z 2016 r., poz. 352 ze zm.), gromadzi zbiory danych powszechnie dostępnych i udostępnia je obywatelom na prowadzonym serwisie internetowym [...]
Fundacja wyjaśniła wnioskodawcy, że jego dane osobowe pobrała ze źródeł powszechnie dostępnych (tj. z Krajowego Rejestru Sądowego oraz Monitora Sądowego i Gospodarczego). Ujawnione dane osobowe (imiona, nazwiska, data urodzenia, wiek, numer PESEL, płeć, informacje o pełnionych funkcjach w podmiocie wpisanym do KRS) dotyczą jego działalności w domenie publicznej (a nie życia osobistego) i są tożsame z danymi tam ujawnionymi. Dane są udostępnione użytkownikom serwisu internetowego prowadzonego przez Fundację oraz podmiotom świadczącym usługi IT na jej rzecz, na podstawie art. 6 ust. 1 lit. f rozporządzenia, w związku z uprzednim pełnieniem przez niego funkcji prezesa zarządu i likwidatora wskazanej wcześniej spółki z .o. o. Fundacja ma bowiem interes prawny we wspieraniu pewności i jawności obrotu gospodarczego. Dane te są przetwarzane w ramach ponownego wykorzystania informacji sektora publicznego, a więc w celach "komercyjnych lub niekomercyjnych innych niż pierwotny publiczny cel, dla którego informacja została wytworzona" (art. 2 ust. 2 u.p.w.i.s.p.) W ten sposób Fundacja zapewnia społeczeństwu łatwy dostęp do danych z KRS.
Fundacja podniosła, że osoba, której dane dotyczą, ma prawo wnieść sprzeciw - z przyczyn związanych z jej szczególną sytuacją - wobec przetwarzania dotyczących jej danych osobowych opartego na art. 6 ust. 1 lit. f rozporządzenia. Administratorowi nie wolno już przetwarzać tych danych osobowych, chyba że wykaże on istnienie ważnych prawnie uzasadnionych podstaw do przetwarzania, nadrzędnych wobec interesów, praw i wolności osoby, której dane dotyczą, lub podstaw do ustalenia, dochodzenia lub obrony roszczeń. Zatem potrzeba ochrony prywatności podmiotu danych powinna przeważyć nad potrzebą przetwarzania danych przez administratora.
Fundacja stwierdziła, że nie podziela stanowiska wnioskodawcy, że sporne dane wprowadzają w błąd i podkreśliła, że z informacji zamieszczonych na serwisie wynika, że mają one charakter historyczny, dotyczą określonego okresu czasu i odnoszą się do podmiotu wykreślonego z KRS. O szczególnej sytuacji strony, przemawiającej za uwzględnieniem jej sprzeciwu, nie świadczą również zdaniem Fundacji, okoliczności dotyczące udziałowca Spółki, której był członkiem zarządu, a następnie likwidatorem. Pełnienie takiej roli w podmiocie podlegającym ujawnieniu w KRS jest ściśle związane z decyzją o ograniczeniu w pewnym stopniu swojej prywatności.
W tych okolicznościach faktycznych i prawnych M. Z. w piśmie z [...] lutego 2020 r. złożył do Prezesa Urzędu Ochrony Danych Osobowych skargę na niezgodne z prawem przetwarzanie jego danych osobowych przez Fundację, domagając się nakazania Fundacji usunięcia jego danych osobowych z rejestru. Skarżący podał, że nigdy nie udostępniał Fundacji swoich danych osobowych, ani nie wyrażał zgody na ich przetwarzanie oraz że Fundacja, która zebrała jego dane osobowe z KRS oraz Monitora Sądowego i Gospodarczego, przetwarza je w celach zarobowych (udostępnia je ze strony którą zarządza osobom trzecim, po wykupieniu abonamentu w wysokości 99 zł/miesięcznie).
Stwierdził, że nie jest prawidłowe stanowisko Fundacji wyrażone w piśmie z [...] marca 2019 r., że przetwarza jego dane osobowe na podstawie art. 6 ust. 1 lit f) rozporządzenia.
Z powołanego przepisu wynika, że przetwarzanie danych osobowych musi bezpośrednio (podkreślenie strony) być związane z osiągnięciem (zrealizowaniem) prawnie uzasadnionego celu (realnego i obecnego interesu podmiotu przetwarzającego dane – art. 29 opinii Grupy Roboczej). Takim uzasadnionym interesem może być: zapobieganie nadużyciom, marketing bezpośredni, przekazywanie danych osobowych w grupie przedsiębiorstw dla wewnętrznych celów administracyjnych włączając w to dane osobowe pracowników lub klientów, zapewnienie bezpieczeństwa sieci i informacji, włączając zapobieganie nieautoryzowanemu dostępowi do sieci komunikacji elektronicznej lub dystrybucji niewłaściwego kodu źródłowego, zapobieganie uszkodzeniom systemów komputerowych i elektronicznych. Dodatkowo musi zostać spełniona jeszcze jedna przesłanka, a mianowicie test równowagi pomiędzy prawnie uzasadnionym interesem podmiotu przetwarzającego dane osobowe a interesem oraz prawami podstawowymi i wolnościami jednostek, których dane są przetwarzane. Test ten w pierwszej kolejności powinien uwzględniać z jednej strony naturę i źródło prawnie uzasadnionego interesu oraz jego wpływ na prawa jednostki, której dane osobowe są przetwarzane z drugiej strony. Po dokonaniu takiej analizy należy stwierdzić, czy taka równowaga zachodzi.
Zdaniem strony, w jej przypadku nie można mówić o spełnieniu kryterium niezbędności przetwarzania danych osobowych dla realizacji celu Fundacji jakim jest wspieranie pewności i jawności obrotu gospodarczego, ponieważ dane są powiązane z podmiotem gospodarczym który już nie bierze udziału w obrocie gospodarczym (spółka w 2016 r. została zlikwidowana). Przetwarzanie jego danych osobowych nie przyczynia się zatem w żadnym zakresie do wspierania tej pewności i jawności obrotu gospodarczego. Dodał, że organ nie dokonał w sposób prawidłowy tzw. testu równowagi. Tymczasem profilowanie jego danych osobowych przez Fundację może prowadzić do tego, że osoby, poszukujące o nim informacji na stronie Fundacji mogą odnosić "mylne wrażenie", że był w jakikolwiek sposób powiązany z tzw. aferą [...] . W ocenie strony, opisany interes przeważa nad celem przetwarzania jego danych osobowych przez Fundację.
Zdaniem skarżącego przetwarzanie jego danych odbywa się z naruszeniem zasad wymienionych w art. 5 ust. 1 rozporządzenia. Z powołanego przepisu (pkt b) wynika, że dane osobowe są przechowywane przez okres nie dłuższy, niż jest to niezbędne do celów, w których dane te są przetwarzane i dalej dane osobowe można przechowywać przez okres dłuższy, o ile będą one przetwarzane wyłącznie do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych na mocy art. 89 ust. 1 (z zastrzeżeniem że wdrożone zostaną odpowiednie środki techniczne i organizacyjne w celu ochrony praw i wolności osób, których dane dotyczą).
Stwierdził, że nawet, gdyby hipotetycznie przyjąć, że zostały spełnione łącznie przesłani wskazane w art. 6 ust. 1 lit. f rozporządzenia i prawnie uzasadnionym interesem Fundacji jest udostępnianie danych osobowych w serwisach internetowych prowadzonych przez Fundację dla wspierania pewności i jawności obrotu gospodarczego, to niewątpliwie jego dane osobowe są przechowywane przez okres dłuższy, niż jest to niezbędne do celów, w których dane te są przetwarzane. Okres ten, zdaniem strony skończył się wraz z likwidacją sp. z o.o., w której był prezesem i mniejszościowym udziałowcem. Tylko do tego momentu Fundacja mogła mówić o udostępnianiu danych osobowych dla wspierania pewności i jawności obrotu gospodarczego. Z momentem likwidacji spółki i jej wykreślenia z KRS cel ten przestał uzasadniać przetwarzanie danych osobowych, bowiem spółka przestała już uczestniczyć w obrocie gospodarczym. To zaś prowadzi do wniosku, że dalsze przetwarzanie spornych danych osobowych mogłoby się odbywać, wyłącznie do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych (art. 89 ust. 1). Żaden z tych celów w niniejszej sprawie nie znajduje jednak zastosowania. O ile przetwarzanie historycznych danych osobowych przez państwowy Krajowy Rejestr Sądowy można uzasadnić właśnie ich przetwarzaniem w celach archiwalnych, to w przypadku Fundacji powyższe cele nie znajdują zastosowania. Poza tym KRS dysponuje niewątpliwie odpowiednimi środkami technicznymi i organizacyjnymi wymaganymi na mocy RODO w celu ochrony praw i wolności osób, których dane dotyczą. O spełnieniu tego wymogu nie można powiedzieć w przypadku Fundacji.
W konkluzji stwierdził, że nawet jeśliby hipotetycznie przyjąć, że kryterium legalności przetwarzania zostało spełnione to i tak zgodnie z zastosowaniem zasady ograniczenia przechowywania dane te powinny być usunięte już w 2016 r.
Skarżący w swej skardze do Prezesa UODO na niezgodne z prawem przetwarzanie jego danych osobowych wniósł ponadto o ustalenie przez organ, po przeprowadzeniu kontroli, czy Fundacja jako administrator danych osobowych terminowo wykonuje obowiązek informacyjny wobec osób, których dane pozyskała z innych źródeł niż od tej osoby (art. 14 rozporządzenia).
Skarżący podał, że Fundacja jako administrator danych, najpóźniej przy pierwszym ujawnieniu jego danych osobowych na spornym portalu, nie dopełniła obowiązków wynikających z tzw. klauzuli informacyjnej, o których mowa w art. 14 ust. 1 rozporządzenia. Wojewódzki Sąd Administracyjny w Warszawie w wyroku z 11 grudnia 2019 r. sygn. akt II SA/Wa 1030/19) wywiódł, że dane i informacje udostępniane przez CEIDG są jawne, każdy ma prawo dostępu do tych danych i informacji (może się z nimi zapoznawać) nie jest równoznaczne z tym, że w odniesieniu do podmiotu, który utrwalił te dane we własnych celach i przetwarza (w tym udostępnia) je następnie w ramach prowadzonej działalności gospodarczej w celach komercyjnych, wyłączony jest obowiązek, o którym mowa w art. 14 ust. 1 i 2 rozporządzenia 2016/679.
Dodał, że Fundacja w ramach obowiązku informacyjnego obowiązana była podać mu, jako osobie, której dane dotyczą, informacje o prawie wniesienia skargi do organu nadzorczego (art. 14 ust. 2 lit e rozporządzenia). Niedopełnienie tego obowiązku powoduje w istocie pozbawienie uprawnień do korzystania przez osoby fizyczne ze swoich praw i możliwości decydowania o swoich danych osobowych, kontroli nad własnymi danymi (wyrok Wojewódzkiego Sądu Administracyjnego w Warszawie z 11 grudnia 2019 r. sygn. akt II SA/Wa 1030/19).
Skarżący z skardze do organu zwrócił się ponadto o przeprowadzenie kontroli w Fundacji mającej na celu ustalenie, czy administrowanie danymi w ramach wskazanej domeny nie narusza art. 44 rozporządzenia i przepisów pozwalających na transfer danych osobowych do krajów trzecich (.io- domena internetowa przypisana do Brytyjskiego Terytorium Oceanu Indyjskiego).
Prezes Urzędu Ochrony Danych Osobowych w piśmie z [...] lutego 2020 r. zwrócił się Fundacji o ustosunkowanie się do skargi i złożenie wyjaśnień.
W odpowiedzi na to pismo, udzielonej w piśmie z [...] marca 2020 r., Fundacja podała m. in., że jako organizacja działająca na rzecz rozwoju demokracji, otwartej i przejrzystej władzy publicznej oraz społeczeństwa obywatelskiego, gromadzi (w oparciu o przepisy ustawy o dostępie do informacji publicznej oraz ustawy o ponownym wykorzystaniu informacji z sektora publicznego) zbiory danych powszechnie dostępnych i udostępnia je obywatelom w ramach prowadzonych serwisów internetowych. Fundacja wyjaśniła, że udostępnione dane osobowe (imiona, nazwisko, numer PESEL i informacje wynikające z numeru PESEL takie jak data urodzenia, wiek i płeć), zostały uzyskane z Krajowego Rejestru Sądowego, który jest jawny (art. 8 ust. 1 ustawy z dnia p0 sierpnia 1997 r. o Krajowym Rejestrze Sądowym (Dz.U. z .2021 r., poz.112), za pośrednictwem strony internetowej prowadzonej przez Ministerstwo Sprawiedliwości), w celu ich udostępnienia w serwisach internetowych prowadzonych przez Fundację.
Fundacja wyjaśniła, że aktualnie przetwarza powyższe dane osobowe skarżącego (w ramach serwisu, na podstawie art. 6 ust. 1 lit f) rozporządzenia 2016/679 w zw. z art. 5 ust. 1 ustawy o ponownym wykorzystaniu informacji sektora publicznego, tj. w ramach ponownego wykorzystywania informacji sektora publicznego, w celach komercyjnych lub niekomercyjnych innych niż pierwotny publiczny cel, dla którego informacja została wytworzona (art. 2 ust. 2 u.p.w.i.s.p.) oraz że prawnie uzasadniony jej interes w przetwarzaniu danych wynika z przedmiotu jej działalności (wspomaganie rozwoju demokracji poprzez upowszechnianie praw obywatela w zakresie dostępu do informacji publicznej). Informacje w przedmiocie pełnienia przez stronę funkcji wymienionych w KRS dotyczą działalności skarżącego nie jako osoby prywatnej, ale jako osoby aktywnej w domenie publicznej. Zdaniem Fundacji, w niniejszej sprawie potrzeba ochrony prywatności skarżącego nie przeważa nad potrzebą przetwarzania danych administratora, wyrażającą się w zapewnieniu społeczeństwu łatwego dostępu do tych informacji, dla wspierania jawności i pewności obrotu gospodarczego.
Odnosząc się do pozostałych żądań skarżącego Fundacja podała, że tzw. "prawo do obycia zapomnianym" (art. 17 ust. 1 rozporządzenia), nie ma charakteru bezwzględnego i podlega ograniczeniom w zakresie określonym w art. 17 ust. 3. Zgodnie z tym przepisem prawo do bycia zapomnianym nie znajdzie zastosowania w zakresie, w jakim przetwarzanie jest niezbędne do korzystania z prawa wolności wypowiedzi i informacji.
Ustosunkowując się do zarzutu dotyczącego naruszenia obowiązku informacyjnego Fundacja podniosła, że klauzula informacyjna nie ma do niej zastosowania, na podstawie art. 14 ust. 5 lit. b) rozporządzenia. Udzielenie informacji objętych tą klauzulą wymagałoby niewspółmiernie dużego wysiłku biorąc pod uwagę skalę takiej operacji (dziesiątki milionów rekordów) oraz okoliczność, że dane te w dalszym ciągu są powszechnie dostępne przez internet.
Fundacja wyjaśniła ponadto, że nie przekazała i nie przekazuje danych osobowych skarżącego do państw trzecich w rozumieniu rozporządzenia 2016/679.
W tych okolicznościach faktycznych i prawnych, Prezes Urzędu Ochrony Danych Osobowych decyzją z [...] maja 2021 r. wydaną na podstawie art. 104 § 1 k.p.a. w zw. z art. 7 ust, 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781) oraz art. 6 ust. 1 w zw. art. 14 ust. 1 i 2, art. 14 ust. 5 lit b, art. 21 ust. 1 oraz art. 58 ust. 2 lit c rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia [...] kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy [...] (ogólne rozporządzenie o ochronie danych), odmówił uwzględnienia wniosku (skargi) strony na przetwarzanie przez Fundację danych osobowych bez podstawy prawnej, w tym udostępnienie na stronie internetowej, niespełnienie wobec niego obowiązku informacyjnego o którym mowa w 14 ust. 1 i 2 rozporządzenia.
Powyższa decyzja stała się przedmiotem skarg M. Z. do Wojewódzkiego Sądu Administracyjny w Warszawie, który wyrokiem z dnia [...] marca 2022r. wydanym w sprawie o sygn. akt II SA/WA 2516/21 uchylił zaskarżoną decyzję.
W uzasadnieniu wyroku Sąd zauważył, "że zarówno Fundacja przetwarzająca dane osobowe skarżącego, jak i organ, który wydał zaskarżoną decyzję powoływali się na ogólną dostępność tych danych, przytaczając w związku z tym art. 2 ust. 1 i 2 ustawy z dnia [...] lutego 2016 r. ponownym wykorzystywaniu informacji sektora publicznego. W stanowiskach tych dwóch podmiotów nie ma jednak według Sądu wyjaśnienia, jakie konkretne znaczenie ma dla dopuszczalności przetwarzania danych osobowych skarżącego fakt ich ogólnej dostępności. Organ, poza tym stwierdzeniem i powołaniem się na art. 2 ust. 1 i 2 wyżej wspomnianej ustawy, nie przeprowadził żadnej konfrontacji przepisów tej ustawy z przepisami rozporządzenia RODO, nie wyprowadził żadnych wniosków co do tego, w jaki sposób ogólna dostępność danych osobowych wpływa na ich ochronę na podstawie rozporządzenia RODO. W tej sytuacji samo powołanie się na ogólną dostępność danych osobowych nie może stanowić argumentu na rzecz dopuszczalności ich przetwarzania albo osłabienia ich ochrony. Wynika to pośrednio z uzasadnienia zaskarżonej decyzji, w którym organ rozpatruje kwestię dopuszczalności przetwarzania danych osobowych skarżącego w świetle art. 6 lit. f i innych przepisów rozporządzenia RODO.
Kontynuując ten wątek Sąd zwraca uwagę na treść art. 86 RODO, który dotyczy również przetwarzania danych osobowych, publicznie dostępnych oraz na przepisy art. 6 i 7 ustawy z dnia [...] lutego 2016 r. ponownym wykorzystywaniu informacji sektora publicznego, przewidujące ograniczenia prawa do ponownego wykorzystywania takich informacji. Szczególnie wymaga podkreślenia ust. 2 art. 7 tej ustawy, który stanowi, że przepisy ustawy nie naruszają przepisów o ochronie danych osobowych. Z tego przepisu wynika, że podmiot stosujący tę ustawę, udostępniający lub przekazujący informacje sektora publicznego w celu ich ponownego wykorzystania, jest obowiązany do przestrzegania jednocześnie zasad ochrony danych uregulowanych w ogólnym rozporządzeniu o ochronie danych osobowych bądź w innych przepisach z zakresu ochrony takich danych, w tym przede wszystkim tych przepisów rozporządzenia RODO, które przesądzają o dopuszczalności przetwarzania danych (komentarz do art. 7 ust. 2 w : B. Fischer i in., Ustawa o ponownym wykorzystywaniu informacji sektora publicznego. Komentarz, WKP 2019, dostępny w LEX).
Sąd zauważa, że organ w uzasadnieniu nadrzędności prawnie uzasadnionych interesów realizowanych przez administratora nad interesami lub prawami lub wolnościami skarżącego posługiwał się jedynie ogólnymi stwierdzeniami, nie odnosząc się do okoliczności faktycznych tej konkretnej sprawy. Powołał się jedynie na statutowe cele Fundacji. Nie skonkretyzował tych celów w kontekście przetwarzania danych skarżącego. Nie wykazał w związku z tym, czy istnieje i na czym polega bezpośrednie i realne powiązanie celów administratora z przetwarzaniem danych skarżącego, osoby, której dane przetwarzane obecnie mają, jak podkreśliła to Fundacja charakter historyczny, dotyczą określonego okresu czasu i odnoszą się do podmiotu wykreślonego z KRS. Tym samym organ nie zweryfikował prawidłowo, zdaniem Sądu wystąpienia podstawowej przesłanki przetwarzania danych określonej w art. 6 ust. 1 lit. f. – niezbędności przetwarzania tych danych przez Fundację".
W dalszej części uzasadnienia Sąd administracyjny wytknął też organowi, iż "powierzchownie odniósł do negatywnej przesłanki przetwarzania danych osobowych na podstawie art. 6 ust. 1 lit. f RODO – nadrzędności interesów lub podstawowych praw i wolności osoby, której te dane dotyczą. Trudno uznać za rzetelną ocenę organu, poczynioną w tym zakresie w sytuacji, gdy nawet nie skonkretyzowano tych interesów lub podstawowych praw i wolności skarżącego, które wymagają skonfrontowania z interesami administratora danych. W żaden sposób nie spełnia tego wymagania stwierdzenie Fundacji, że dane osobowe skarżącego, który do 2016 r. był prezesem spółki, a więc działał wówczas w domenie publicznej, obecnie nie potrzebują ochrony w ramach prawa do prywatności.
Trzeba przypomnieć, że Konstytucja zapewnia każdemu prawo do ochrony danych osobowych (art. 51 ust. 1) oraz, poza prawem do ochrony prawnej życia prywatnego i rodzinnego – prawo do ochrony czci i dobrego imienia (art. 47). Niewątpliwie są to prawa podstawowe w rozumieniu art. 6 ust. 1 lit. f RODO.
Skarżący w sprzeciwie wobec przetwarzania jego danych osobowych wniesionym do Fundacji podniósł, że motywem jego żądania zaprzestania przetwarzania tych danych jest odczuwalny, negatywny wpływ tych informacji (zwłaszcza dotyczących związku spółki, którą zarządzał z inną spółką) na jego sytuację zawodową. Należałoby zatem rozważyć – czego organ nie uczynił, czy przetwarzanie tych danych do dzisiaj, kilka lat po zaprzestaniu przez skarżącego tej działalności, nie ma związku, czy nawet nie narusza konstytucyjnych praw skarżącego do ochrony prywatności, czci i dobrego imienia.
Nie są również uzasadnione stwierdzenia organu co do tego, że skarżący nie wykazał istnienia po jego stronie żadnej szczególnej sytuacji uzasadniającej żądanie zaprzestania przetwarzania przez Fundację jego danych osobowych. Sytuacji rozumianej przede wszystkim jako możliwość ujawnienia zbędnych w kontekście realizowanych przez Fundację celów, jego danych osobowych związanych ze sferą ściśle prywatną, rodzinną etc.
Nie mają one oparcia w przepisach RODO, stanowiących podstawę wydania zaskarżonej decyzji. Z rozporządzenia RODO nie wynika, że istnieje jakiekolwiek "domniemanie" prawidłowości przetwarzania danych przez administratora, a więc że to osoba, której dane są przetwarzane musi wykazać, że zachodzi szczególna sytuacja, uzasadniająca żądanie przetwarzania danych przez administratora. Obowiązek wszechstronnego wyjaśnienia okoliczności faktycznych sprawy i ich ocena na podstawie odpowiednich przepisów prawa materialnego i procesowego należy do organu prowadzącego postepowanie administracyjne. W rozpatrywanym przypadku organ nie wywiązał się z tego obowiązku.
Prezes Urzędu Ochrony Danych Osobowych nie wyjaśnił ponadto w zaskarżonej decyzji, dlaczego uznał, że nie można zarzucić Fundacji niedopełnienia obowiązków informacyjnych, o których mowa w art. 14 ust. 1 rozporządzenia. Organ dopiero w odpowiedzi na skargę podniósł, że udzielenie takiej informacji skarżącemu wymagałoby niewspółmiernie dużego wysiłku (art. 14 ust. 5 pkt b rozporządzenia) i stwierdził, że powoływanie się przez stronę skarżącą na wyrok Wojewódzkiego Sądu Administracyjnego z dnia 11 grudnia 2019 r., sygn.. akt II SA/Wa 1030/19 nie jest uzasadnione, ponieważ dotyczył obowiązku informacyjnego wobec osób, których dane zostały pozyskane z Centralnej Ewidencji i Informacji o Działalności Gospodarczej, a nie z Krajowego Rejestru Sądowego. Odpowiedź organu na skargę nie może stanowić uzupełnienia zaskarżonej decyzji, wszelkie istotne dla sprawy okoliczności winny być rozważone i znaleźć odzwierciedlenie w samej decyzji".
Po ponownym rozpoznaniu sprawy Prezes Urzędu Ochrony Danych Osobowych wydał w dniu [...] marca 2024r. decyzję odmawiającą uwzględnienia wniosku.
W uzasadnieniu organ przywołał uczynione już wcześniej ustalenia.
Według organu skoro Fundacja prowadzi statutową działalność polegającą na wspieraniu jawności i pewności obrotu gospodarczego i wspomaganie rozwoju demokracji poprzez upowszechnianie praw obywatela w zakresie dostępu do informacji publicznej i tworzenie w tym celu rozwiązań informatycznych (jak w pkt 4 i 5 stanu faktycznego), to tak określone zadania i cele Fundacji mają legalny, prawnie usprawiedliwiony charakter, co zostało potwierdzone wpisem do Krajowego Rejestru Sądowego.
Organ podkreślił, że Fundacja pozyskała dane osobowe Skarżącego z powszechnie dostępnego rejestru, tj. Krajowego Rejestru Sądowego a zgodnie z art. 8 k.r.s. KRS jest jawny (ust. 1), każdy ma prawo dostępu do danych zawartych w Rejestrze za pośrednictwem Centralnej Informacji (ust. 2) oraz każdy ma prawo otrzymać, również drogą elektroniczną, poświadczone odpisy, wyciągi, zaświadczenia i informacje z Rejestru (ust. 3).
Organ wywiódł z powyższego, że nie ma znaczenia fakt, iż podmiot, w którym Skarżący pełnił funkcję członka zarządu został zlikwidowany bo zgodnie z art. 12 ust. 1 k.r.s., dane zawarte w Rejestrze nie mogą być z niego usunięte, chyba że ustawa stanowi inaczej (jest to konsekwencją jawności Rejestru, a możliwość usunięcia danych stałaby w sprzeczności z tą zasadą).
W ocenie organu przetwarzanie danych osobowych wspiera pewność obrotu gospodarczego zapewniając tak wiedzę, o podmiotach gospodarczych jak i potwierdzając fakt, że określona osoba je reprezentowała.
Dla wzmocnienia powyższej argumentacji organ przywołał wyrok NSA, z 12.12.2023 r. (sygn. III OSK 2581/21) w którym poruszono m.in. kwestię udostępnienia danych osobowych zamieszczonych KRS.
W dalszej części uzasadnienia organ wskazał, że Skarżący decydując się na objęcie funkcji w organach podmiotów podlegających obowiązkowi wpisu do KRS co najmniej akceptował przekazanie swoich danych osobowych w celu ich publikacji w KRS mogąc przewidywać, że jego dane będą przetwarzane nie tylko w ww. rejestrze, lecz także innych bazach danych, w tym zbiorze prowadzonym przez Fundację. Prowadzenie zaś tego zbioru przez Fundację nie tylko odpowiada profilowi działalności Fundacji, lecz jest jej niezbędne, aby ów profil był kompletny i spójny z oczekiwaniami osób, czy podmiotów potrzebujących oferowane przez nią informacje. Przetworzenie więc danych osobowych Skarżącego jest jej niezbędne dla prowadzenia działalności statutowej stanowiąc z tego powodu w ocenie organu o zaistnieniu jej prawnie uzasadnionego interesu.
W ocenie organu przetworzenie danych osobowych Skarżącego jest przy tym legalne na zasadach określonych w przepisach ustawy o otwartych danych. Zgodnie z art. 2 pkt 8 ww. ustawy, przez informację sektora publicznego należy rozumieć każdą treść lub jej część, niezależnie od sposobu utrwalenia, w szczególności w postaci papierowej, elektronicznej, dźwiękowej, wizualnej lub audiowizualnej, będącą w posiadaniu podmiotu zobowiązanego. Wyżej wskazana ustawa definiuje ponowne wykorzystywanie przez użytkowników (osoby fizyczne, osoby prawne, jednostki organizacyjne nieposiadające osobowości prawnej ponownie wykorzystujące informacje sektora publicznego lub wykorzystujące dane prywatne) informacji sektora publicznego w jakimkolwiek celu, z wyjątkiem wymiany informacji sektora publicznego między podmiotami zobowiązanymi wyłącznie w celu realizacji zadań publicznych. Ustawa ta, co należy podkreślić, statuuje powszechne prawo do ponownego wykorzystywania informacji sektora publicznego udostępnionych w Biuletynie Informacji Publicznej podmiotu zobowiązanego lub w portalu danych, lub w innym systemie teleinformatycznym podmiotu zobowiązanego oraz przekazanych na wniosek o ponowne wykorzystanie.
Oceniając, czy nie jest spełniona przesłanka o charakterze negatywnym w postaci występowania w danym stanie faktycznym interesów lub podstawowych praw i wolności podmiotu danych, które mają charakter nadrzędny wobec prawnie uzasadnionych interesów administratora organ znów przypomniał, że przetwarzane przez Fundację dane osobowe Skarżącego, są danymi powszechnie dostępnymi. Okoliczność, że dane Skarżącego mogą być powiązane z - cyt. "aferą [...] ", nie zmienia według organu faktu prawdziwości i jawności tychże danych. Pełnienie funkcji w podmiotach prawnych i wynikające z tego konsekwencje są wpisane w tzw. ryzyko gospodarcze, co Skarżący winien był przewidzieć. Dane podmiotów wykreślonych z KRS wciąż widnieją w tym rejestrze, wobec czego nie sposób uznać, że dane te są nierzetelne bądź wprowadzają w błąd. Natomiast na stronie internetowej Fundacji dane te zostały określone jako historyczne.
W dalszej części uzasadnienia organ wyjaśnił, że dane osobowe Skarżącego wciąż są niezbędne w kontekście celów realizowanych przez Fundację (brak przesłanki z art. 17 ust. 1 lit. a rozporządzenia 2016/679) - podstawą ich przetwarzania jest prawnie usprawiedliwiony interes realizowany przez administratora, a nie zgoda Skarżącego (brak przesłanki z art. 17 ust. 1 lit. b rozporządzenia 2016/679), kwestionowany proces przetwarzania danych osobowych Skarżącego jest realizowany w sposób legalny (brak przesłanki z art. 17 ust. 1 lit. d rozporządzenia 2016/679), nie istnieje przepis, który obligowałby Fundację do usunięcia kwestionowanych danych osobowych Skarżącego (brak przesłanki z art. 17 ust. 1 lit. e rozporządzenia 2016/679), dane osobowe Skarżącego nie zostały zebrane w związku z oferowaniem usług społeczeństwa informacyjnego, o których mowa w art. 8 ust. 1 rozporządzenia 2016/679 (brak przesłanki z art. 17 ust. 1 lit. f rozporządzenia 2016/679). W rozpoznawanej sprawie nie można również przyjąć istnienia przesłanki do skutecznego żądania usunięcia danych określonej w art. 17 ust. 1 lit. c rozporządzenia 2016/679.
Podkreślono też, iż dane osobowe Skarżącego są przetwarzane w celach niezwiązanych z marketingiem.
Wskazano również, iż Skarżący nie wykazał istnienia po jego stronie żadnej szczególnej sytuacji uzasadniającej żądanie zaprzestania przetwarzania przez Fundację jego danych osobowych a według organu nie można przyjąć, że ich przetwarzanie dla potrzeb związanych z prowadzeniem serwisu rejestr.io, w tym publikowanie w tym serwisie, wiąże się - choćby potencjalnie - z ingerencją w sferę jego prywatności, tym bardziej ze względu na zakres przetwarzanych danych, który jest tożsamy z zakresem danych ujawnionych w KRS.
Odnosząc się do materii obowiązku informacyjnego, o którym mowa w art. 14 ust. 1 i 2 rozporządzenia [...] przyjąć według organu należy, że w przedmiotowej sprawie udzielenie indywidualnie Skarżącemu rzeczonych informacji jest- z przyczyn wskazanych powyżej - niemożliwe lub możliwe, ale wymagające niewspółmiernie dużego wysiłku, o którym mowa w art. 14 ust. 5 lit. b zdanie pierwsze rozporządzenia 2016/679.
Jak wyjaśniono, w odróżnieniu do osób fizycznych, odmienna jest sytuacja osób będących udziałowcami lub członkami organów spółek i innych osób prawnych, których dane prezentowane są w rejestrach publicznych (w szczególności w KRS). Przy czym brak jest (ujawnionych) danych teleadresowych tych osób, w związku z czym określony podmiot, w celu dopełnienia obowiązku informacyjnego musiałby poszukiwać tych danych w innych źródłach, co już mogłoby stanowić "niewspółmiernie duży wysiłek". Jednocześnie Prezes UODO stwierdził, że Fundacja udzielając informacji na temat procesu przetwarzania danych osobowych na stronie internetowej pod adresem https://rejestr.io/obowiazek-informacyjny/krs, spełniła warunki określone w art. 14 ust. 5 lit. b zdanie drugie rozporządzenia 2016/679 zgodnie z którym, administrator podejmuje odpowiednie środki, by chronić prawa i wolności oraz prawnie uzasadnione interesy osoby, której dane dotyczą, w tym udostępnia informacje publicznie.
Od powyższej decyzji skargę do tut. Sądu wywiódł M. Z. zarzucając organowi :
1 naruszenie przez Prezesa UODO przepisów rozporządzenia Parlamentu Europejskiego i Rady (UE) [...] z dnia [...] kwietnia 2016 w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy [...] (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 4.05.2016 r., str.l. Dz. Urz. UE L 123.05.2018. str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35, zwanego dalej: "Rozporządzeniem" lub "RODO") w następujący sposób:
- Naruszenie artykułu 6 ustęp 1 Rozporządzenia poprzez jego niewłaściwe zastosowanie;
Naruszenie artykułu 14 Rozporządzenia poprzez jego niewłaściwe zastosowanie;
- Naruszenie artykułu 17 ustęp 1 Rozporządzenia poprzez jego niewłaściwe zastosowanie;
- Naruszenie artykułu 21 ustęp 1 Rozporządzenia poprzez jego niewłaściwe zastosowanie.
W oparciu o powyższe wniósł o jej uchylenie tłumacząc swoje stanowisko w uzasadnieniu skargi.
W odpowiedzi na skargę organ wniósł o jej oddalenie.
Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje:
zgodnie z art. 1 § 1 i § 2 ustawy z dnia 25 lipca 2002 r. - Prawo o ustroju sądów administracyjnych (Dz. U. z 2017 r., poz. 2188), dalej: "p.u.s.a." oraz art. 3 § 1 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2017 r., poz. 1369 ze zm.), dalej: "p.p.s.a.", sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej.
Zgodnie z art. 134 § 1 i 2 p.p.s.a. sąd rozstrzyga w granicach danej sprawy nie będąc związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną, z zastrzeżeniem art. 57a, przy czym sąd nie może wydać orzeczenia na niekorzyść skarżącego, chyba że stwierdzi naruszenie prawa skutkujące stwierdzeniem nieważności zaskarżonego aktu lub czynności.
Skarga oceniana w świetle powyższych kryteriów zasługiwała na uwzględnienie.
Na obecnym etapie postępowania, jego istota sprowadzała się do ustalenia tego, czy organ wydając skarżoną decyzję, wykonał zalecenia i zastosował się do sposobu rozumienia prawa zaprezentowanego przez Wojewódzki Sąd Administracyjny w Warszawie w wyroku wydanym [...] marca 2022r. w sprawie o sygn. akt II SA/Wa 2516/21 uchylającym zapadłe wcześniej w sprawie rozstrzygnięcie, gdyż zgodnie z regulacją zawartą w przepisie art.153 p.p.s.a. organ któremu sprawa została przekazana , związany jest wykładnią prawa dokonaną w tej sprawie przez Wojewódzki Sąd Administracyjny.
W ocenie tut. Sądu organ ponownie rozpoznając sprawę nie podołał w/w obowiązkom.
Mimo tak jasno i klarownie sformułowanych poglądów prawnych i oceny uchylonej decyzji (patrz przywołane we wstępie nin. uzasadnienia cytaty in extenso) ponownie rozpoznając sprawę organ zdawał się nie zauważać motywów wiążącego go wyroku. Organ ponownie jedynie powielił swoją wcześniejszą argumentację wywiedzioną z faktu powszechnej dostępności danych zawartych w KRS mimo, że argumentacja ta została już zdyskredytowana przez Sąd.
Organ ponownie próbował też wyjaśnić niezbędność przetwarzania danych skarżącego faktem wspierania przez Fundację pewności obrotu gospodarczego. Pominął jednakże to, że tego rodzaju ogólnikowe motywy zostały już skutecznie zakwestionowane przez Sąd administracyjny. Organ przy ponownym rozpoznawaniu sprawy nie nawiązał do okoliczności, iż co do zasady materia pewności obrotu gospodarczego odnosi się do obrotu aktualnie istniejącego. Uczestnictwo w obrocie gospodarczym mogą co oczywiste, realizować więc wyłącznie podmioty istniejące. Skoro zaś – co nie jest sporne – firma w której władzach zasiadał skarżący, w chwili wydawani skarżonej decyzji nie istniała już (została zlikwidowana) organ winien przez pryzmat tej okoliczności oceniać występowanie przesłanki niezbędności przetwarzania danych strony. Odwołując się do materii pewności obrotu gospodarczego winien więc wyjaśnić to, jaki wpływ na pewność aktualnie istniejącego obrotu gospodarczego mają dane o charakterze historycznym.
Dodatkowo wytknąć należało też organowi, iż nawiązując do kwestii istnienia po stronie Fundacji obowiązku informacyjnego, sformułował wzajemnie wykluczającą się tezę przyjmując na str.10 uzasadnienia decyzji iż : "w przedmiotowej sprawie udzielenie indywidualnie Skarżącemu rzeczonych informacji jest (...) niemożliwe lub możliwe, ale wymagające niewspółmiernie dużego wysiłku". Sądowi nie są znane przypadki w których pewne działania, które nie są możliwe do wykonania, powodują równocześnie niewspółmiernie duży wysiłek przy ich wykonywaniu. Niezależnie od powyższego organ odnosząc się do omawianej problematyki nie może abstrahować od tego, iż najpóźniej w chwili dotarcia do Fundacji żądania strony dotyczącego usunięcia danych osobowych, Fundacja znalazła się w posiadaniu danych adresowych skarżącego. Przez pryzmat tej okoliczności organ winien więc ocenić to, czy Fundacja mogła w sposób obiektywny wykonać sporny obowiązek informacyjny i czy równocześnie faktycznie musiała obawiać się nadmiernego wysiłku przy tym działaniu.
Reasumując, lektura uzasadnienia skarżonej decyzji prowadzi do wniosków tożsamych z tymi, jakie legły u podstaw wcześniejszego wyroku tut. Sądu, iż postępowanie organu narusza regulacje zawarte w art. 7, art. 77 § 1, art. 80 K.p.a. oraz art. 107 § 3 K.p.a.
W świetle powyższych rozważań, uznając iż skarżona decyzja narusza w/w przepisy prawa, jak też uznając, że wydano ją z naruszeniem przepisu prawa procesowego tj. art. 153 ustawy Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. Nr 153, poz.1270 z późn. zm.), co miało istotny wpływ na wynik sprawy - Wojewódzki Sad Administracyjny w Warszawie orzekł jak w sentencji wyroku na podstawie art.145 par.1 pkt.1c ustawy z dnia 30 sierpnia 2002r. – Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. Nr 153, poz.1270 z późn. zm.)
Ponownie rozpoznając sprawę organ będzie zobligowany do tego, aby wydać decyzję uwzględniającą wszystkie wnioski i wytyczne przedstawione przez tut. Sąd administracyjny w uzasadnieniu niniejszego wyroku jak i wyroku z [...] marca 2022r. – sygn. akt II SA/Wa 2516/21.