II SA/Wa 87/24

II SA/Wa 87/24 - Wyrok WSA w Warszawie
Data orzeczenia
2024-10-09
orzeczenie prawomocne
Data wpływu
2024-01-22
Sąd
Wojewódzki Sąd Administracyjny w Warszawie
Sędziowie
Andrzej Góraj
Ewa Radziszewska-Krupa /przewodniczący sprawozdawca/
Mateusz Rogala
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne
Ochrona danych osobowych
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Uchylono zaskarżoną decyzję
Powołane przepisy
Dz.U. 2024 poz 935
art. 151,  art. 200, art. 205 par. 2
Ustawa z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (t. j.)
Sentencja
Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Ewa Radziszewska-Krupa (spr.), Sędzia WSA Andrzej Góraj, Asesor WSA Mateusz Rogala, Protokolant Referent Joanna Mazur po rozpoznaniu na rozprawie w dniu 9 października 2024 r. sprawy ze skarg [...] sp. z o.o. z siedzibą w [...] oraz [...] z siedzibą w [...] na punkt 1,2,3 decyzji Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] listopada 2023 r. nr [...] w przedmiocie przetwarzania danych osobowych 1) uchyla punkt 3 zaskarżonej decyzji; 2) oddala skargę [...] z siedzibą w [...]; 3) zasądza od Prezesa Urzędu Ochrony Danych Osobowych na rzecz skarżącego [...] sp. z o.o. z siedzibą w [...] kwotę 697 (sześćset dziewięćdziesiąt siedem) złotych, tytułem zwrotu kosztów postępowania.
Uzasadnienie
I. Stan sprawy przedstawia się następująco:
1. Prezes Urzędu Ochrony Danych Osobowych (zwany dalej "Prezesem UODO") decyzją z [...] listopada 2023r. nr [...], po przeprowadzeniu postępowania administracyjnego w sprawie skargi F. M. (zwany dalej "Uczestnikiem") na nieprawidłowości w procesie przetwarzania Jego danych osobowych przez [...] z siedzibą w [...] (zwana dalej "Spółką I") i [...] Sp. z o.o. z siedzibą w [...] (zwana dalej "Spółką II"), polegające na niezrealizowaniu żądania Uczestnika dotyczącego usunięcia Jego danych osobowych w wynikach wyszukiwarki Google Search o adresach URL: - [...],
udzielił upomnienia:
1) Spółce I za naruszenie art. 12 ust. 2 w zw. z art. 17 ust. 1 lit c rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz.Urz.UE L 119 z 4.05.2016, str. 1, Dz.Urz.UE L 127 z 23.05.2018, str. 2 oraz Dz.Urz.UE L 74 z 4.03.2021, str. 35, zwane dalej "RODO"), polegające na utrudnianiu Uczestnikowi wykonywanie jego prawa żądania usunięcia danych osobowych;
2) Spółce I za naruszenie art. 12 ust. 4 w zw. z art. 17 ust. 1 lit. c RODO, polegające na niepoinformowaniu Uczestnika o możliwości wniesienia skargi do organu nadzorczego oraz skorzystania ze środków ochrony prawnej przed sądem;
3) Spółce II za naruszenie art. 12 ust. 4 w zw. z art. 17 ust. 1 lit. c RODO, polegające na niepoinformowaniu Uczestnika o powodach niepodjęcia działań oraz o możliwości wniesienia skargi do organu nadzorczego oraz skorzystania ze środków ochrony prawnej przed sądem;
4) w pozostałym zakresie umorzył postępowanie.
W podstawie prawnej decyzji powołano m.in. art. 104 § 1 i art. 105 § 1 ustawy z 14 czerwca 1960r. Kodeks postępowania administracyjnego (Dz.U. 2023r., poz. 775 ze zm., zwana dalej "k.p.a.") w związku z art. 7 ust. 1 ustawy z 10 maja 2018r. o ochronie danych osobowych (Dz.U. z 2019r., poz. 1781, zwana dalej "u.o.d.o.") i art. 12 ust. 2 i 4, art. 17 ust. 1 lit. c, art. 58 ust. 2 lit. b RODO.
Prezes UODO w uzasadnieniu decyzji wskazał, że Uczestnik w skardze na nieprawidłowości w procesie przetwarzania Jego danych osobowych przez ww. Spółki, podniósł, że nie zrealizowano Jego żądania dotyczącego usunięcia jego danych osobowych w wynikach wyszukiwarki Google Search o ww. adresach URL.
W postępowaniu wyjaśniającym Prezes UODO ustalił, że:
istota funkcjonowania wyszukiwarki Google opiera się na zbieraniu informacji dostarczanych przez serwery stron osób trzecich, w drodze przeglądania (skanowania) i indeksowania przeszukiwanych części internetu przez Spółkę I. Jeżeli administrator (webmaster) chce uniemożliwić Google lub innemu operatorowi wyszukiwarki przeglądanie i indeksowanie niektórych lub wszystkich informacji na swojej stronie, może zastosować standardowe mechanizmy kontroli. Informacje, w tym dane osobowe Uczestnika, przetwarzane w indeksie wyszukiwarki Google i w procesie prezentowania (wyświetlania) wyników wyszukiwania pochodzą ze stron internetowych podmiotów trzecich wcześniej istniejących i dostępnych w internecie.
Spółka II podniosła, że nie świadczy za pośrednictwem wyszukiwarki Google, jak również strony www.google.com oraz www.google.pl usługi wyszukiwarki internetowej. Prowadzi działalność reklamową i usługi marketingu reklam internetowych i to wyłącznie na rzecz innych spółek swojej grupy kapitałowej. Nie jest więc administratorem danych osobowych przetwarzanych w indeksie wyszukiwarki o nazwie "Google" ani w procesie wyświetlania wyników wyszukiwania. Jedynym podmiotem, który może ustosunkować się do skargi Uczestnika jest administrator danych przetwarzanych w indeksie wyszukiwarki internetowej, czyli Spółka I.
Spółka I przetwarza dane osobowe, które są publicznie udostępniane przez wydawców stron internetowych, indeksowanych w wyszukiwarkach. Dane takie są uwzględniane w wynikach wyszukiwania Google wyświetlanych użytkownikom w odpowiedzi na ich zapytania. Podstawą prawną pozyskiwania i przetwarzania informacji ogólnodostępnych w internecie (w tym danych osobowych Uczestnika) jest prawnie uzasadniony interes, o którym mowa w art. 6 ust. 1 lit. f) RODO. Celem gromadzenia i przetwarzania przez Spółkę I informacji dostępnych w interncie (w tym danych Uczestnika) jest dostarczanie wyników wyszukiwania przez wyszukiwarkę internetową Google. Świadczenie usługi wyszukiwarki internetowej zaspokaja interes użytkowników internetu w zakresie przekazywania informacji i posiadania dostępu do informacji za pośrednictwem wyszukiwarek, który chroniony jest na mocy art. 11 Karty Praw Podstawowych Unii Europejskiej (Dz.U.UE.C. z 2007 nr. 303 poz. 1, zwana alej "KPP") i art. 10 Konwencji o ochronie praw człowieka i podstawowych wolności (Dz.U. z 1993r. Nr 61, poz. 284, zwana dalej "Konwencją"). Takie stanowisko potwierdziła Grupa Robocza Art. 29 ds. Ochrony Danych w wytycznych z 26 listopada 2014r., dotyczących wykonania wyroku TSUE w sprawie [...] (WP225). Jest to również niezbędne w uzasadnionym interesie prawnym Spółki I, polegającym na prezentowaniu wyników wyszukiwania.
Pełnomocnik Uczestnika zwrócił się do Spółki II w piśmie z [...] lipca 2019r. o usunięcie ww. decyzji adresów URL z wyników wyszukiwania wyszukiwarki Google Search, mającego za punkt wyjścia imię i nazwisko Uczestnika, gdyż treść tych artykułów w sposób zniekształcający rzeczywistość przedstawia Uczestnika w niekorzystnym świetle, artykuły są stronnicze i naruszają dobre imię Uczestnika. Pełnomocnik Uczestnika zażądał odpowiedzi na ww. pismo, zaś w piśmie z [...] sierpnia 2019r. ponownie zwrócił się do Spółki II o usunięcie ww. adresów URL z wyników wyszukiwania wyszukiwarki Google Search.
Spółka II wyjaśniła, że skoro nie jest administratorem danych osobowych przetwarzanych w indeksie ww. wyszukiwarki internetowej, ani w żaden inny sposób nie jest zaangażowana w przetwarzanie danych w ramach tej usługi, to nie udzieliła odpowiedzi na ww. pisma.
Pełnomocnik Uczestnika [...] i [...] września 2019r. otrzymał datowane na [...] sierpnia i [...] września 2019r. pisma, w których Spółka I poinformowała, że otrzymała Jego zgłoszenia od Spółki II i pouczyła Uczestnika, że Spółka II nie zarządza wyszukiwarką Google i wskazała link do formularza, przez który Uczestnik musi zgłosić ww. żądanie. Uczestnik nie zwrócił się do Spółki I o usunięcie danych osobowych z wyników wyszukiwania wyszukiwarki Google Search w odniesieniu do adresów URL będących przedmiotem postępowania. Spółka I poinformowała też, że zarówno w dniu składania przez Spółkę I wyjaśnień, jak i aktualnie, adresy te nie są wyświetlane w wynikach wyszukiwania Google.
Prezes UODO, odnosząc się do roli Spółki II w postępowaniu wskazał na wyrok TSUE C-131/12 w sprawie [...] i [...] przeciwko [...] ([...]) i M. C. G. (zwany dalej "wyrokiem w sprawie [...]"), zgodnie z którym "[...]. jest operatorem Google Search i podmiotem nią zarządzającym (...) nie zostało wykazane, że [...] prowadzi w Hiszpanii działalność bezpośrednio powiązaną z indeksacją, czy też z przechowywaniem informacji lub danych umieszczanych na stronach internetowych osób trzecich. Jednak prowadzona przez [...] w [...] działalności polegająca na promocji i sprzedaży przestrzeni reklamowych stanowi zasadniczą część prowadzonej przez grupę [...] działalności komercyjnej i można ją uznać za ściśle związaną z Google Search (pkt 46). "(...) artykuł 4 ust. 1 lit. a dyrektywy 95/46 należy interpretować w ten sposób, że przetwarzanie danych osobowych ma miejsce w ramach działalności gospodarczej prowadzonej przez zakład administratora danych odpowiedzialnego za to przetwarzanie na terytorium danego państwa członkowskiego w rozumieniu tego przepisu, jeśli operator wyszukiwarki internetowej ustanawia w danym państwie członkowskim oddział lub spółkę zależną, których celem jest promocja i sprzedaż powierzchni raklowych oferowanych za pośrednictwem tej wyszukiwarki, a działalność tego oddziału lub tej spółki zależnej jest skierowana do osób zamieszkujących to państwo". TSUE w wyroku z 5 czerwca 2018r. w sprawie C-210/16 [...], dokonał rozważań mających istotne znaczenie dla oceny statusu Spółki II w postępowaniu, gdyż stwierdził, że w przypadku, gdy przedsiębiorstwo z siedzibą poza Unią Europejską ma kilka oddziałów w różnych państwach członkowskich, organ nadzorczy państwa członkowskiego może wykonywać uprawnienia w stosunku do oddziału tego przedsiębiorstwa, znajdującego się na terytorium tego państwa członkowskiego. Działalność Spółki II jest związana z działalnością Spółki I, więc obie spółki należy uznać za podmioty mające interes prawny w tym postępowaniu w rozumieniu art. 28 k.p.a. Oba te podmioty są jego stronami.
TSUE w wyroku w sprawie [...] uznał, że operatorzy wyszukiwarek przetwarzają dane osobowe w rozumieniu art. 2 dyrektywy 95/46/WE Parlamentu Europejskiego i Rady z 24 października 1995r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych, (zwana dalej "dyrektywą 95/46/WE") (pkt 27 i 28). Operator wyszukiwarki internetowej określa bowiem cele i sposoby prowadzenia tej działalności, a więc przetwarzania w tych ramach danych osobowych i w związku z tym na podstawie art. 2 lit. d dyrektywy 95/46/WE powinni oni zostać uznani za "administratora" przetwarzanych w ten sposób danych (pkt 33). Istotne jest to, że przetwarzanie danych osobowych, które ma miejsce w ramach działania wyszukiwarki, różni się od tego dokonywanego przez wydawców stron internetowych i polegającego na zamieszczaniu tych danych na stronie internetowej oraz ma dodatkowy względem niego charakter (pkt 35). TSUE w ww. wyroku, jako podstawę prawną ww. przetwarzania danych osobowych, wskazał art. 7 lit. f dyrektywy 95/46/WE, czyli konieczność przetwarzania dla potrzeb wynikających z uzasadnionego interesu administratora lub stron trzecich, którym dane są ujawniane (pkt 73).
Zdaniem Prezesa UODO ustalenia dokonane przez TSUE w ww. orzeczeniu zachowują aktualność, mimo uchylenia dyrektywy 95/46/WE. Artykuł 7 lit. f dyrektywy 95/46/WE jest bowiem treściowo tożsamy z art. 6 ust. 1 lit. f RODO. Stosownie do art. 17 ust. 1 RODO, osoba, której dane dotyczą, ma prawo żądania od administratora niezwłocznego usunięcia dotyczących jej danych osobowych, a administrator ma obowiązek bez zbędnej zwłoki usunąć dane osobowe, m.in. jeżeli osoba, której dane dotyczą, wnosi sprzeciw, na mocy art. 21 ust. 1 RODO wobec przetwarzania i nie występują nadrzędne prawnie uzasadnione podstawy przetwarzania lub osoba, której dane dotyczą, wnosi sprzeciw na mocy art. 21 ust. 2 RODO wobec przetwarzania (lit. c). Artykuł 21 ust. 1 RODO przyznaje natomiast osobie, której dane dotyczą, prawo do tego, by w dowolnym momencie wnieść sprzeciw - z przyczyn związanych z jej szczególną sytuacją - wobec przetwarzania dotyczących jej danych osobowych opartego na art. 6 ust. 1 lit. e lub f, w tym profilowania na podstawie tych przepisów, wskazując zarazem, że administratorowi nie wolno już przetwarzać tych danych osobowych, chyba że wykaże on istnienie ważnych prawnie uzasadnionych podstaw do przetwarzania, nadrzędnych wobec interesów, praw i wolności osoby, której dane dotyczą, lub podstaw do ustalenia, dochodzenia lub obrony roszczeń. W sytuacji, gdy żądanie przewidziane w art. 21 ust. 1 rozporządzenia 2016/679 jest zasadne, osoba, której dane dotyczą, ma prawo skutecznie domagać się realizacji prawa do bycia zapomnianym (art. 17 ust. 1 lit. c RODO). Uczestnik dwukrotnie skierował do adresów będących przedmiotem postępowania takie żądania na piśmie, do Spółki II.
Sposób komunikacji oraz tryb wykonywania praw osoby, której dane dotyczą, określono w art. 12 RODO. Zgodnie z art. 12 ust. 1 RODO administrator podejmuje odpowiednie środki, aby w zwięzłej, przejrzystej, zrozumiałej i łatwo dostępnej formie, jasnym i prostym językiem - w szczególności gdy informacje są kierowane do dziecka - udzielić osobie, której dane dotyczą, wszelkich informacji, o których mowa w art. 13 i 14 i prowadzić z nią wszelką komunikację na mocy art. 15-22 i 34 w sprawie przetwarzania. Informacji udziela się na piśmie lub w inny sposób, w tym w stosownych przypadkach - elektronicznie. Jeżeli osoba, której dane dotyczą, tego zażąda, informacji można udzielić ustnie, o ile innymi sposobami potwierdzi się tożsamość osoby, której dane dotyczą. W świetle ustępu 2 administrator ułatwia osobie, której dane dotyczą, wykonanie praw przysługujących jej na mocy art. 15- 22. Jeśli administrator nie podejmuje działań w związku z żądaniem, to, zgodnie z art. 12 ust. 4 RODO, niezwłocznie - najpóźniej w terminie miesiąca od otrzymania żądania - informuje osobę, której dane dotyczą, o powodach niepodjęcia działań oraz o możliwości wniesienia skargi do organu nadzorczego oraz skorzystania ze środków ochrony prawnej przed sądem.
Prezes UODO podniósł, że z wyjaśnień Spółki I wynika, że nie otrzymała żądań Uczestnika dotyczących ww. adresów URL, wskazanych w sentencji decyzji. Jednocześnie w pismach i wyjaśnieniach skierowanych do organu przyznała, że Spółka II przekazała Jej żądania Uczestnika. Spółka I w odpowiedzi poinformowała Uczestnika, że w celu zablokowania dostępu do adresów URL w wynikach wyszukiwania Google powinien on użyć przeznaczonego do tego formularza. Uczestnik uznał to za utrudnianie realizacji praw i nie skorzystał z tego rozwiązania.
W ocenie Prezesa UODO Uczestnik skutecznie złożył do Spółki I wniosek o realizację prawa do usunięcia Jego danych osobowych z wyników wyszukiwania wyszukiwarki Google Search. Wprawdzie żądanie skierował do Spółki II, ale spółka ta przekazała je Spółce I. Grupa Robocza Artykułu 29 ds. Ochrony Danych 26 listopada 2014r. przyjęła wytyczne (WP225) dotyczące wykonania wyroku TSUE w sprawie [...] (zwane dalej "wytycznymi WP225"), w których wskazała, że "skuteczne stosowanie wyroku oraz prawa o ochronie danych wymaga, aby osoby, których dane dotyczą, mogły realizować swoje prawa w odniesieniu do krajowych filii [spółek zależnych] operatorów wyszukiwarek w ich właściwych państwach członkowskich, których są rezydentami" (pkt 16). W punkcie 13 ww. wytycznych wskazano, że "mimo że wykorzystanie określonych mechanizmów, które mogą być opracowane przez operatorów wyszukiwarek, mianowicie procedur online i formularzy elektronicznych, może mieć dobre strony i byłoby wskazane ze względu na wygodę, nie powinien być to wyłączny sposób realizacji praw przez osoby, których dane dotyczą."
Administrator nie powinien zatem w tym przypadku uzależniać realizacji wniosku Uczestnika od złożenia go za pośrednictwem dedykowanego formularza, zwłaszcza, że żądanie już dwukrotnie zgłoszono na piśmie. Spółka I utrudniła takim działaniem realizację jego prawa, czym naruszyła dyspozycję art. 12 ust. 2 RODO. Spółka I ostatecznie nie rozpatrzyła wniosku Uczestnika, przekazanego jej przez Spółkę II. Zgodnie z art. 12 ust. 4 RODO poinformowała go o powodach niepodjęcia działań, jednak w pismach nie zakomunikowała możliwości wniesienia skargi do organu nadzorczego i skorzystania ze środków ochrony prawnej przed sądem. Nie wypełniła zatem obowiązku określonego w tym przepisie.
Adresatem wniosku Uczestnika była Spółka II, która ta przekazała żądanie Spółce I, ale nie udzieliła odpowiedzi, bo nie jest administratorem danych osobowych przetwarzanych w indeksie wyszukiwarki internetowej Google (...), ani w żaden inny sposób nie jest zaangażowana w przetwarzanie danych w ramach tej usługi (k. 32). Zdaniem Prezesa UODO w każdej sytuacji - zarówno, gdy dane są lub nie są przetwarzane, powinna nastąpić rzetelna i przejrzysta komunikacja w zakresie wniosku osoby, zgodnie z zasadami określonymi w art. 12 RODO. Niezależnie zatem od faktu nieprzetwarzania danych Uczestnika przez Spółkę II, z ust. 4 wskazanego powyżej przepisu wynikał obowiązek udzielenia odpowiedzi na jego pismo. Spółka II nie reagując na żądanie Uczestnika naruszyła art. 12 ust. 4 RODO.
Zdaniem Prezesa UODO decydujące znaczenie dla rozstrzygnięcia kwestii żądania Uczestnika dotyczącego usunięcia z wyników wyszukiwania wyszukiwarki Google Search adresów wskazanych w sentencji decyzji ma okoliczność, że w trakcie postępowania wyjaśniającego ww. adresy nie były wyświetlane w wynikach wyszukiwania wyszukiwarki Google Search, a w konsekwencji Spółka I nie przetwarza danych osobowych Uczestnika w tym zakresie. Wobec takiej sytuacji, tj. braku kwestionowanego procesu przetwarzania danych osobowych, niniejsze postępowanie w tym zakresie podlega umorzeniu na podstawie art. 105 § 1 k.p.a., tj. z powodu jego bezprzedmiotowości. Zgodnie z ww. przepisem, gdy postępowanie z jakiejkolwiek przyczyny stało się bezprzedmiotowe w całości lub w części, organ administracji publicznej wydaje decyzję o umorzeniu postępowania odpowiednio w całości lub w części. Brzmienie powołanej regulacji nie pozostawia wątpliwości, iż w razie stwierdzenia bezprzedmiotowości postępowania organ prowadzący to postępowanie obligatoryjnie je umarza. Jednocześnie w literaturze przedmiotu wskazuje się, że bezprzedmiotowość postępowania administracyjnego, o której stanowi art. 105 § 1 K.p.a. oznacza, że brak jest któregoś z elementów materialnego stosunku prawnego, a wobec tego nie można wydać decyzji załatwiającej sprawę przez rozstrzygnięcie jej co do istoty (B. Adamiak, J. Borkowski "Kodeks postępowania administracyjnego. Komentarz", Wydawnictwo C.H. Beck, Warszawa 2005 r., str. 485).
Postępowanie administracyjne prowadzone przez Prezesa UODO służy kontroli zgodności przetwarzania danych z przepisami o ochronie danych osobowych i jest ukierunkowane na wydanie decyzji administracyjnej. Decyzje Prezesa UODO służą zastosowaniu uprawnień naprawczych organu na podstawie art. 58 ust. 2 RODO.
Prezes UODO, reasumując podniósł, że zebrany materiał dowodowy wykazał, że Spółka I z naruszeniem art. 12 ust. 2 w zw. z art. 17 ust. 1 lit. c RODO utrudniała Uczestnikowi wykonywanie Jego prawa żądania usunięcia danych osobowych, a także wbrew dyspozycji art. 12 ust. 4 w zw. z art. 17 ust. 1 lit. c RODO nie poinformowała go o możliwości wniesienia skargi do organu nadzorczego oraz skorzystania ze środków ochrony prawnej przed sądem. Wobec tego, na mocy art. 58 ust. 2 lit. b RODO należało Spółce I udzielić upomnienia we wskazanych zakresach.
Postępowanie wykazało także naruszenie przez Spółkę II art. 12 ust. 4 w związku z art. 17 ust. 1 lit. c RODO przez niepoinformowanie Uczestnika o powodach niepodjęcia działań i o możliwości wniesienia skargi do organu nadzorczego oraz skorzystania ze środków ochrony prawnej przed sądem. W konsekwencji Prezes UODO udzielił Spółce II, na podstawie art. 58 ust. 2 lit. b RODO, upomnienia w powyższym zakresie.
Ustalenie przez organ istnienia przesłanki, o której mowa w art. 105 § 1 k.p.a., powodowało umorzenie postępowania w zakresie żądania usunięcia z wyników wyszukiwania wyszukiwarki Google adresów URL wskazanych w sentencji decyzji, nie ma bowiem obecnie podstaw do rozstrzygnięcia sprawy co do istoty, a dalsze prowadzenie postępowania w takim przypadku stanowiłoby o jego wadliwości, mającej istotny wpływ na wynik sprawy.
2. Spółka I w skardze do Wojewódzkiego Sądu Administracyjnego w Warszawie zaskarżyła pkt 1 i 2 ww. decyzji Prezesa UODO, zarzucając naruszenie:
- art. 80 i art. 107 § 3 k.p.a. - przez dowolne uznanie, bez oparcia w materialne dowodowym zgromadzonym w aktach sprawy i bez wskazania podstawy prawnej i w konsekwencji nieprzedstawienie prawnego uzasadnienia w powiązaniu z normą prawa materialnego (subsumpcji) co do możliwości uznania, że doręczenie żądania usunięcia danych osobowych na podstawie art. 17 ust. 1 lit. c RODO innemu od Spółki I podmiotowi jest skuteczne i wywołuje skutki prawne w postaci obowiązku udzielenia odpowiedzi na pismo, gdy to nie Spółka I była adresatem tego pisma, w związku z czym brak było podstaw do przyjęcia, że była zobowiązana do reakcji na pismo Uczestnika skierowane i zaadresowane do Spółki II, co miało istotny wpływ na wynik sprawy;
- art. 7, art. 77 § 1, art. 80 k.p.a. - przez brak poczynienia wyczerpujących ustaleń faktycznych, co doprowadziło do dowolnego i błędnego przyjęcia, że Spółka I utrudniła Uczestnikowi złożenie żądania o usunięcie adresów URL z wyników wyszukiwania wyszukiwarki Google przez uzależnienie rozpatrzenia żądania od przekazania go za pomocą formularza internetowego, podczas gdy Spółka I umożliwiała Uczestnikowi złożenie ww. żądania również w sposób inny niż przez formularz internetowy, co doprowadziło organ do błędnego wniosku, że Spóła I utrudniła Uczestnikowi wykonywanie prawa żądania usunięcia danych osobowych i naruszyła w związku z tym art. 12 ust. 2 w zw. z art. 17 ust. 1 lit. c RODO, co miało istotny wpływ na wynik sprawy;
- art. 58 ust. 2 lit. b w zw. z art. 12 ust. 4 i art. 17 ust. 1 lit. c RODO - przez udzielenie Spółce I upomnienia za niepoinformowanie Uczestnika o możliwości wniesienia skargi do organu nadzorczego oraz skorzystania ze środków ochrony prawnej przed sądem, gdy wniosek Uczestnika nie został skutecznie złożony do Spółki I, i nie miała ona obowiązku poinformowania Uczestnika o możliwości wniesienia skargi do organu nadzorczego i skorzystania ze środków ochrony prawnej przed sądem.
Spółka I w związku z tym wniosła o: - uchylenie zaskarżonej decyzji w części pkt 1 i 2 i przekazanie sprawy do ponownego rozpoznania; - zasądzenie na rzecz Spółki I od Prezesa UODO zwrotu kosztów postępowania według norm przepisanych, w tym kosztów zastępstwa procesowego. W uzasadnieniu skargi przedstawiono obszerną argumentację na poparcie ww. zarzutów.
3. Prezes UODO w odpowiedzi na skargę wniósł o jej oddalenie, podtrzymując w całości stanowisko wyrażone w uzasadnieniu zaskarżonej decyzji. Wskazał, że podjął wszelkie czynności niezbędne do dokładnego wyjaśnienia stanu faktycznego oraz załatwienia sprawy. W sposób wyczerpujący zebrał i rozpatrzył materiał dowodowy, a na podstawie całokształtu tak zebranego materiału dowodowego prawidłowo uznał, że mimo skutecznego wniesienia żądania Spółka I utrudniła Uczestnikowi realizację jego praw przez wymóg ponownego wniesienia żądania w wybrany przez nią sposób. Możliwe było wskazanie, że w przyszłości, dla ułatwienia realizacji praw można kontaktować się za pomocą dedykowanego formularza, ale Spółka I, choć otrzymała żądanie nie zareagowała na nie. Nieuzasadnione było też twierdzenie Spółki I, że umożliwiła Uczestnikowi złożenie żądania także innymi kanałami, tj. listownie na adres podany w nagłówku pisma. W treści pisma wskazano bowiem wprost, że administrator otrzymał żądanie, ale Uczestnik, aby poprosić o zablokowanie dostępu do adresów URL w wynikach wyszukiwania Google powinien skorzystać z formularza. Nie zamieszczono informacji o innych kanałach komunikacji, w szczególności nie wskazano na możliwość wybrania drogi pocztowej. Spółka w postępowaniu potwierdziła, że nie zapewnia alternatywnego przesyłania wniosków, a jeśli otrzymywał wnioski faksem, listem lub pocztą elektroniczną, przekazywał je do formularza. Prezes UODO, odnosząc się do wypełnienia obowiązków dotyczących przejrzystego informowania i komunikacji oraz trybu wykonywania praw przez osobę, której dane dotyczą, wskazał, że nie mają znaczenia w sprawie kanały komunikacji, które zapewnił administrator, a te, z których skorzystał Uczestnik. Spółce I skutecznie doręczono Uczestnika i miała ona świadomość intencji Uczestnika i tego, że tylko ona może zrealizować wniosek. Mimo to, wbrew obowiązkowi określonemu w art. 12 ust. 2 RODO, utrudniła realizację Jego prawa przez uzależnienie spełnienia żądania od ponownego złożenia wniosku we wskazany przez Nią sposób. Podobnie odebrał to Uczestnik, który w skardze wskazał, że żądanie kierował do Spółki II, a odesłanie go do Spółki I wymóg tego podmiotu zgłoszenia żądania tylko przez elektroniczny formularz odbiera jako "unik mający na celu utrudnienie realizacji praw".
4. Spółka II w skardze do Wojewódzkiego Sądu Administracyjnego w Warszawie na pkt 3 ww. decyzji Prezesa UODO zarzuciła naruszenie:
- art. 7, art. 77 § 1, art. 80 oraz art. 107 § 3 k.p.a. - przez pominięcie ustalenia przez organ roli, w jakiej Spółka II występuje w procesie przetwarzania danych osobowych Uczestnika, braku poczynienia w tym zakresie ustaleń faktycznych i wszechstronnego zebrania i rozpatrzenia materiału dowodowego, i w konsekwencji brak wyjaśnienia w uzasadnieniu prawnym powiązania stanu faktycznego z normą prawa materialnego (subsumpcji) co do możliwości i prawidłowości zastosowania do Spółki II art. 12 ust. 4 w zw. z art. 17 ust. 1 lit, c RODO, których adresatem jest wyłącznie administrator, choć Spółka II nie jest administratorem danych osobowych Uczestnika, co miało istotny wpływ na wynik sprawy,
- art. 58 ust. 2 lit. b RODO - przez nałożenie na Spółkę II upomnienia, gdy adresatem środków naprawczych i naprawczo-sankcyjnych przewidzianych w RODO może być wyłącznie administrator w rozumieniu art. 4 pkt 7 RODO lub podmiot przetwarzający w rozumieniu art. 4 pkt 8 RODO w zakresie ich obowiązków wynikających z przepisów o ochronie danych osobowych, podczas gdy Organ błędnie ustalił rolę Spółki II w procesie przetwarzania danych osobowych Uczestnika, jak i zidentyfikował, że to nie Spółka II, a Spółka I jest administratorem danych osobowych przetwarzanych w procesie kwestionowanym przez Uczestnika;
- art. 4 pkt 7 w zw. art. 12 ust. 4 w zw. z art. 17 ust. 1 lit. c RODO - przez błędne uznanie, że Spółka II była zobowiązana do poinformowania Uczestnika o powodach niepodjęcia działań w związku ze złożonymi wnioskami dot. przetwarzania danych osobowych w wynikach wyszukiwania wyszukiwarki Google oraz o możliwości wniesienia skargi do organu nadzorczego oraz skorzystania ze środków ochrony prawnej przed sądem w związku z jego żądaniami usunięcia danych osobowych w wynikach wyszukiwarki Google, podczas gdy Spółka II nie jest adresatem ww. norm, ponieważ nie jest administratorem w rozumieniu art. 4 pkt 7 RODO.
Spółka II w związku z tym wniosła o: - uchylenie pkt 3 zaskarżonej decyzji i przekazanie sprawy do ponownego rozpoznania; - zasądzenie na rzecz Spółki II od Prezesa UODO zwrotu kosztów postępowania według norm przepisanych, w tym kosztów zastępstwa procesowego. W uzasadnieniu skargi przedstawiła obszerną argumentację na poparcie ww. zarzutów.
5. Prezes UODO w odpowiedzi na skargę wniósł o jej oddalenie, podtrzymując w całości stanowisko wyrażone w uzasadnieniu zaskarżonej decyzji. Odniósł się do zawartych w niej zarzutów i podkreślił, że m.in. na s. 8 zaskarżonej decyzji uznał, że Spółka I nie przetwarzała danych osobowych Uczestnika, więc nie pełniła roli w procesie przetwarzania. W świetle Jej wyjaśnień z 29 marca 2021r. "nie jest administratorem danych osobowych przetwarzanych w indeksie wyszukiwarki internetowej Google (...) ani w żaden inny sposób nie jest zaangażowana w przetwarzanie danych w ramach tej usługi" i "nie jest administratorem, podmiotem przetwarzającym ani przedstawicielem administratora lub podmiotu przetwarzającego, danych osobowych przetwarzanych w indeksie wyszukiwarki Google". Organ nie miał więc podstaw do ustalenia, że Spółka II nie przetwarzała danych osobowych Uczestnika. Z ww. decyzji nie wynika, żeby organ uznał Spółkę II za administratora danych osobowych Uczestnika, więc nie doszło do naruszenia art. 107 § 3 k.p.a. Prezes UODO wyjaśnił na s. 8 decyzji, że rzetelna i przejrzysta komunikacja w zakresie wniosku osoby, zgodnie z zasadami określonymi w art. 12 RODO, powinna nastąpić w każdej sytuacji - zarówno, gdy dane są lub nie są przetwarzane. Spółka II była zobligowana do udzielenia odpowiedzi, w której powinna poinformować Uczestnika, że nie przetwarza Jego danych osobowych, a co za tym idzie, że bezprzedmiotowym jest ich usunięcie. Jeżeli podmiot nie przetwarza danych dotyczących osoby, która zwraca się z żądaniem usunięcia danych, to jego działanie winno ograniczyć się do odpowiedzi informującej o ich nieprzetwarzaniu. Brak odpowiedzi doprowadził do naruszenia ww. przepisów RODO. Podmiot nie będący administratorem danych osobowych w związku z konkretnym procesem przetwarzania danych osobowych, w związku z którym skierowano do niego zapytanie, staje się administratorem danych osobowych osoby pytającej. Jest administratorem danych przetwarzanych w związku ze złożonym zapytaniem nawet, jeśli proces będący przyczyną jego złożenia go nie dotyczy.
6. Spółka I pismem z [...] lipca 2024r. przedstawiła stanowisko w odniesieniu do argumentów podniesionych przez Prezesa UODO w odpowiedzi na skargę i uzupełniła argumentację, podtrzymując stanowisko w zakresie nieprawidłowości w działaniach Prezesa UODO.
7. Spółka II pismem z [...] lipca 2024r. przedstawiła stanowisko w odniesieniu do argumentów podniesionych przez Prezesa UODO w odpowiedzi na skargę oraz uzupełniła argumentację przedstawioną w skardze, podtrzymując stanowisko w zakresie nieprawidłowości w działaniach Prezesa UODO.
8. Wojewódzki Sąd Administracyjny w Warszawie postanowieniem wydanym na rozprawie 9 października 2024r., działając na podstawie art. 111 § 2 ustawy z 30 sierpnia 2002r. – Prawo o postępowaniu przed sądami administracyjnymi (Dz.U. z 2024r., poz. 935, zwana dalej "P.p.s.a.), postanowił połączyć do wspólnego i rozstrzygnięcia sprawy z ww. skarg Spółki I o sygn. akt II SA/Wa 87/24 oraz ze skargi Spółki II o sygn. akt II SA/Wa 88/24 i prowadzić je pod sygn. akt II SA/Wa 87/24.
II. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje:
1. Sąd na wstępie wskazuje, że zgodnie z art. 1 § 1 i 2 ustawy z 25 lipca 2002r. - Prawo o ustroju sądów administracyjnych (Dz.U. z 2023r., poz. 2492 ze zm.) i art. 3 § 1 ustawy z 30 sierpnia 2002r. Prawo o postępowaniu przed sądami administracyjnymi (Dz.U. z 2024r., poz. 935, ze zm., zwana dalej "P.p.s.a.") Sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej.
Sąd w świetle ww. przepisów, w zakresie swojej właściwości ocenia zaskarżoną decyzję administracyjną, postanowienie, czy też inny akt lub czynność z zakresu administracji publicznej dotyczącą uprawnień lub obowiązków wynikających z przepisów prawa, z punktu widzenia ich zgodności z prawem materialnym i przepisami postępowania administracyjnego, według stanu faktycznego i prawnego obowiązującego w dacie wydania tego aktu lub podjęcia spornej czynności. Chodzi więc o kontrolę aktów lub czynności z zakresu administracji publicznej dokonywaną pod względem ich zgodności z prawem materialnym i przepisami procesowymi, nie zaś według kryteriów słuszności.
Z art. 145 § 1 pkt 1 P.p.s.a., wynika, że Sąd uchyla decyzję lub postanowienie w całości albo w części, jeżeli stwierdzi: a) naruszenie prawa materialnego, które miało wpływ na wynik sprawy, b) naruszenie prawa dające podstawę do wznowienia postępowania administracyjnego, c) inne naruszenie przepisów postępowania, jeżeli mogło ono mieć istotny wpływ na wynik sprawy. Tym samym zaskarżone akty mogą ulec uchyleniu tylko wtedy, gdy organom administracji publicznej można postawić uzasadniony zarzut naruszenia prawa, czy to materialnego, czy to procesowego, jeżeli naruszenie to miało, bądź mogło mieć wpływ na wynik sprawy.
Sąd w razie nieuwzględnienia skargi w całości albo w części, na mocy art. 151 P.p.s.a., oddala skargę odpowiednio w całości albo w części.
2. Sąd, oceniając zaskarżoną decyzję w zakresie rozstrzygnięcia zawartego w pkt 3 stwierdził, że skarga Spółki II powinna zostać uwzględniona z następujących powodów.
Po pierwsze należy zauważyć, że Prezes UODO w sposób dostateczny nie rozważył w okolicznościach faktycznych sprawy, czy rzeczywiście wobec Spółki II możliwe było zastosowanie przewidzianej w art. 58 ust. 2 lit. b RODO sankcji upomnienia, czym naruszył art. 77 § 1 i art. 80 k.p.a. w związku z art. 107 § 1 i 3 k.p.a.
Po drugie należy wskazać, że Prezes UODO naruszył ww. przepisy k.p.a., gdyż w sposób dostateczny nie rozważył, czy jeśli Uczestnik skierował żądanie do podmiotu, który nie przetwarza i nie przetwarzał Jego danych osobowych, to czy rzeczywiście podmiot ten - Spółka II - może ponosić konsekwencje wynikające z przepisów RODO (art. 12 ust. 4 RODO w związku z art. 17 ust. 1 lit. c) i art. 58 ust. 2 lit. b) RODO), w sytuacji, gdy Spółka II zgodnie z właściwością i niezwłocznie przekazała administratorowi w rozumieniu art. 4 pkt 7 RODO (Spółce I) żądanie Uczestnika dotyczące przetwarzania jego danych osobowych, o czym Uczestnik został poinformowany, więc mógł podjąć stosowne działania odnoszące się do administratora przetwarzającego jego dane osobowe(Spółki I).
O poinformowaniu Uczestnika, kto jest administratorem jego danych osobowych, świadczą znajdujące się w aktach sprawy dwa pisma skierowane do Uczestnika przez Spółkę I: z [...] sierpnia 2019r. oraz z [...] września 2019r.
Z pisma noszącego datę [...] sierpnia 2019r. wynika, że Uczestnik został poinformowany przez Spółkę I, że Spółka II, do której wniósł żądanie, nie zarządza wyszukiwarką Google ani innymi usługami dostępnymi dla użytkowników Google i nie ma możliwości kontrolowania udostępnianych przez nie treści. Uczestnikowi wskazano również, że w przyszłości może kontaktować się z odpowiednim zespołem, który jest odpowiedzialny za usuwanie danych z usług Google, ze względów prawnych, korzystając z podanej strony internetowej. Uczestnikowi wskazano ponadto, że aby prosić o zablokowanie dostępu do adresów URL w wynikach wyszukiwarki Google, na podstawie przepisów prawa europejskiego "użyj tego formularza: [...]". Uczestnika poinformowano również, że jeśli chce przesłać dodatkowe informacje do Spółki I, związane z Jego prośbą, to powinien odpowiedzieć na e-mail z potwierdzeniem, które otrzyma po przesłaniu formularza. Spółka I wyjaśniła też, że jeśli otrzymała już od Uczestnika wypełniony formularz, to wkrótce zajmie się Jego prośbą (k. 18 akt administracyjnych).
Z pisma noszącego datę [...] września 2019r. wynikają analogiczne informacje, że Uczestnik został poinformowany przez Spółkę I, że Spółka II, do której wniósł żądanie, nie zarządza wyszukiwarką Google ani innymi usługami dostępnymi dla użytkowników Google i nie ma możliwości kontrolowania udostępnianych przez nie treści. Uczestnikowi wskazano również, że w przyszłości może kontaktować się z odpowiednim zespołem, który jest odpowiedzialny za usuwanie danych z usług Google, ze względów prawnych, korzystając z podanej strony internetowej. Uczestnikowi wskazano ponadto, że aby prosić o zablokowanie dostępu do adresów URL w wynikach wyszukiwarki Google, na podstawie przepisów prawa europejskiego "użyj tego formularza: [...]" (k. 19 akt administracyjnych).
Powyższe znajdujące się w aktach administracyjnych dowody wskazują w sposób wyraźny, że Uczestnik został poinformowany przez administratora Jego danych osobowych (przez Spółkę I) o powodach niepodjęcia działań przez Spółkę II oraz dlaczego Spółka II nie może być uznana za administratora danych osobowych Uczestnika. Wprawdzie Uczestnik informacje z zakresu, kto jest administratorem jego danych osobowych i dlaczego Spółka II nie może podejmować działań w związku z żądaniem Uczestnika, otrzymał nie od podmiotu, do którego skierował żądanie (nie od Spółki II), tym niemniej w okolicznościach sprawy należało przyjąć, że na Spółce II od momentu poinformowania Uczestnika o ww. okolicznością nie spoczywały obowiązki wynikające z przepisów RODO, w tym z art. 12 ust. 4 RODO i art. 17 ust. 1 lit c.) RODO (powołanych w pkt 3 zaskarżonej decyzji). Tym samym Prezes UODO powinien, jako bezprzedmiotowe, umorzyć postępowanie z tego zakresu, czego nie uczynił, wbrew art. 105 § 1 k.p.a.
Skoro bowiem już w 2019r. Uczestnik dowiedział się, że Spółka II, do której skierował żądanie usunięcia danych osobowych, nie była administratorem Jego danych osobowych, bo nie zarządza wyszukiwarką Google ani innymi usługami dostępnymi dla użytkowników Google i nie ma możliwości kontrolowania udostępnianych przez nie treści, to należało uznać, że obowiązki informacyjne, o których mowa w art. 12 RODO w związku z art. 17 ust. 1 lit. c) RODO ciążyły nie na Spółce II, lecz na Spółce I, która powinna przekazać Uczestnikowi wszelkie niezbędne w sprawie informacje, istotne w świetle przepisów RODO.
Przepis art. 17 ust. 1 lit. c) RODO stanowi, że osoba, której dane dotyczą, ma prawo żądania od administratora niezwłocznego usunięcia dotyczących jej danych osobowych, a administrator ma obowiązek bez zbędnej zwłoki usunąć dane osobowe, jeżeli zachodzi jedna z następujących okoliczności osoba, której dane dotyczą, wnosi sprzeciw na mocy art. 21 ust. 1 wobec przetwarzania i nie występują nadrzędne prawnie uzasadnione podstawy przetwarzania lub osoba, której dane dotyczą, wnosi sprzeciw na mocy art. 21 ust. 2 wobec przetwarzania.
Z art. 17 ust. 2 RODO wynika, że jeżeli administrator upublicznił dane osobowe, a na mocy ust. 1 ma obowiązek usunąć te dane osobowe, to - biorąc pod uwagę dostępną technologię i koszt realizacji - podejmuje rozsądne działania, w tym środki techniczne, by poinformować administratorów przetwarzających te dane osobowe, że osoba, której dane dotyczą, żąda, by administratorzy ci usunęli wszelkie łącza do tych danych, kopie tych danych osobowych lub ich replikacje.
W art. 17 ust. 3 RODO wskazano, że ust. 1 i 2 nie mają zastosowania, w zakresie w jakim przetwarzanie jest niezbędne: a) do korzystania z prawa do wolności wypowiedzi i informacji; b) do wywiązania się z prawnego obowiązku wymagającego przetwarzania na mocy prawa Unii lub prawa państwa członkowskiego, któremu podlega administrator, lub do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi; c) z uwagi na względy interesu publicznego w dziedzinie zdrowia publicznego zgodnie z art. 9 ust. 2 lit. h) oraz i) i art. 9 ust. 3; d) do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych zgodnie z art. 89 ust. 1, o ile prawdopodobne jest, że prawo, o którym mowa w ust. 1, uniemożliwi lub poważnie utrudni realizację celów takiego przetwarzania; lub e) do ustalenia, dochodzenia lub obrony roszczeń.
Ww. przepis normuje problematykę prawa osoby, której dane dotyczą (w rozpoznawanej sprawie Uczestnika) do żądania usunięcia danych jej dotyczących i odpowiadającego mu obowiązku administratora. W świetle art. 17 ust. 1 RODO jedynie administrator danych osobowych Uczestnika ma obowiązki wobec zgłoszonego przez Uczestnika żądania niezwłocznego usunięcia Jego danych. Stosownie do art. 17 ust. 2 RODO to administrator, a nie kto inny, ma obowiązek poinformowania o usunięciu danych w przypadku ich upublicznienia. W art. 17 ust. 3 RODO unormowano wyłączenia dotyczące przypadków, w których podmiotowi danych nie przysługują uprawnienia do żądania usunięcia danych i informowania o usunięciu danych.
W sprawie zatem Prezes UODO powinien ustalić ponad wszelką wątpliwość, na kim spoczywały obowiązki wynikające z art. 17 RODO, jak również z art. 12 RODO. Oba ww. przepisy wskazują wyraźnie, że to administrator ma obowiązki wobec osoby, która zgłosiła stosowne żądanie dotyczące przetwarzania jej danych osobowych.
Przepis art. 12 ust. 2 RODO stanowi, że administrator ułatwia osobie, której dane dotyczą, wykonanie praw przysługujących jej na mocy art. 15-22. W przypadkach, o których mowa w art. 11 ust. 2, administrator nie odmawia podjęcia działań na żądanie osoby której dane dotyczą pragnącej wykonać prawa przysługujące jej na mocy art. 15-22, chyba że wykaże, iż nie jest w stanie zidentyfikować osoby, której dane dotyczą.
Z art. 12 ust. 4 RODO wynika, że jeżeli administrator nie podejmuje działań w związku z żądaniem osoby, której dane dotyczą, to niezwłocznie - najpóźniej w terminie miesiąca od otrzymania żądania - informuje osobę, której dane dotyczą, o powodach niepodjęcia działań oraz o możliwości wniesienia skargi do organu nadzorczego oraz skorzystania ze środków ochrony prawnej przed sądem.
Tym samym podmiot, który nie przetwarzała danych osobowych, a do którego, mimo to skierowano żądanie usunięcia przetwarzanych przez inny podmiot danych osobowych, nie może być obciążony obowiązkami wynikającymi z ww. przepisów (art. 17 ust. 1 lit. c, art. 12 ust. 4 RODO), szczególnie, gdy osoba, której dane były przetwarzane przez administratora została poinformowana, kto jest administratorem jeszcze przed złożeniem do Prezesa UODO skargi na naruszenie przepisów RODO.
W tym kontekście stanowisko Prezesa UODO o ciążących na Spółce II obowiązkach wynikających z art. 12 ust. 4 w zw. z art. 17 ust. 1 lit. c RODO, było nieprawidłowe. Skoro bowiem Spółka II nie działała w charakterze administratora, o czym Uczestnik został poinformowany, jeszcze przed złożeniem do Prezesa UODO skargi na naruszenie przepisów RODO (27 września 2019r.), a ponadto Spółka II, do której Uczestnik skierował żądanie usunięcia Jego danych osobowych, przekazała Spółce I – według właściwości i niezwłocznie - żądanie Uczestnika, to niemożliwe było czynienie przez Prezesa UODO Spółce II zarzutu naruszenia ww. przepisów RODO, przez niepoinformowanie Uczestnika o powodach niepodjęcia działań oraz o możliwości wniesienia skargi do organu nadzorczego oraz skorzystania ze środków ochrony prawnej przed sądem. Były to bowiem obowiązki ciążące na administratorze, czyli Spółce I.
Zgodnie z art. 4 pkt 7 RODO "administrator" oznacza osobę fizyczną lub prawną, organ publiczny, jednostkę lub inny podmiot, który samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych osobowych; jeżeli cele i sposoby takiego przetwarzania są określone w prawie Unii lub w prawie państwa członkowskiego, to również w prawie Unii lub w prawie państwa członkowskiego może zostać wyznaczony administrator lub mogą zostać określone konkretne kryteria jego wyznaczania.
Sąd stwierdza, że jakkolwiek w ww. przepisie, jak podkreśla się w doktrynie dopuszcza różne możliwości, gdy chodzi o rodzaj podmiotu, któremu przysługuje status administratora (por. P. Fajgielski, Komentarz do rozporządzenia nr 2016/679 w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych), [w:] Ogólne rozporządzenie o ochronie danych. Ustawa o ochronie danych osobowych, wyd. II, WKP 2022), tym niemniej Prezes UODO w zaskarżonej decyzji, odwołując się do ww. wyroku w sprawie [...] nie uznał wprost Spółki II za administratora w rozumieniu ww. przepisu art. 4 pkt 7 RODO, lecz przyjął jedynie, że Spółka II i Spółka I są podmiotami mającymi interes prawny w postępowaniu prowadzonym przed Prezesem UODO w rozumieniu art. 28 k.p.a. Nie stanowiło to jednak wyjaśnienia dlaczego organ nałożył na Spółkę w punkcie 3 zaskarżonej decyzji sankcję w postaci upomnienia, w sytuacji, gdy z akt administracyjnych wynikało, że przed złożeniem skargi do Prezesa UODO uczestnik wiedział, kto jest administratorem Jego danych osobowych i że nie jest nim Spółka II, do której skierował żądanie usunięcia danych osobowych.
Sąd nie kwestionuje zawartych w uzasadnieniu zaskarżonej decyzji rozważań Prezesa UODO, co do przetwarzania w wyszukiwarce internetowej Google Search danych osobowych, które upublicznili wydawcy stron internetowych, ani celu w jakim je upubliczniono, ani tego, że to upublicznienie danych może oddziaływać na prawa podstawowe do poszanowania prywatności i ochrony danych osobowych w sytuacji, gdy przeszukiwanie zasobów internetowych za pomocą tej wyszukiwarki jest prowadzone ze względu na imię i nazwisko konkretnej osoby fizycznej - jeśli przetwarzanie to umożliwia wszystkim internautom otrzymanie mającego postać listy wyników wyszukiwania ustrukturyzowanego przeglądu dotyczących tej osoby informacji, jakie można znaleźć w internecie, dotyczących potencjalnie całego szeregu aspektów jej życia prywatnego i które to informacje, gdyby nie ta wyszukiwarka, nie mogłyby zostać ze sobą powiązane lub też byłoby to bardzo utrudnione.
Sąd stwierdza jednak, że w stanie faktycznym sprawy to tylko operator wyszukiwarki internetowej - Spółka I - posiadała status administratora danych osobowych, który obowiązany był przestrzegać regulacji RODO oraz praw Uczestnika, który przed wniesieniem skargi do Prezesa UODO otrzymał od administratora informacje, dlaczego Spółka II, do której skierowano żądanie usunięcia danych osobowych Uczestnika, nie posiada uprawnienia do zajęcia stanowiska w sprawie.
Sąd, mając powyższe na względzie uznał, że zaszły podstawy do uchylenia punktu 3 zaskarżonej decyzji, na podstawie art. 145 § 1 pkt 1 lit. c i a P.p.s.a. (punkt pierwszy sentencji wyroku).
3. Sąd, oceniając natomiast zaskarżoną decyzję Prezesa UODO w zakresie rozstrzygnięć zawartych w punkcie 1 i 2, stwierdził, że skarga Spółki I nie zasługuje na uwzględnienie, gdyż Prezes UODO nie naruszył powołanych w skardze przepisów o charakterze procesowym i materialnoprawnym.
Po pierwsze przed wydaniem zaskarżonej decyzji doszło do należytego ustalenia stanu faktycznego sprawy, który warunkował możliwość wydania punktu 1 i 2 zaskarżonej decyzji. Prezes UODO w celu ustalenia stanu faktycznego i realizacji zasady prawdy obiektywnej, wynikającej z art. 7, art. 77 § 1 k.p.a. w związku z art. 7 ust. 1 u.o.d.o., podjął z udziałem Spółki I wszelkie niezbędne czynności konieczne do dokładnego wyjaśnienia stanu faktycznego sprawy, a w konsekwencji do załatwienia sprawy (art. 7 k.p.a.). W sprawie zgromadzono też niezbędny materiał dowodowy, który wszechstronnie rozpatrzono i oceniono, czyniąc zadość art. 77 § 1, art. 80 k.p.a.
Po drugie wyniki ocen Prezesa UODO znalazły odzwierciedlenie w uzasadnieniu zaskarżonej decyzji. Prezes UODO przedstawił bowiem istotne w sprawie fakty, które uznał za udowodnione, dowody, na których się oparł, oraz przyczyny, z powodu których innym dowodom odmówił wiarygodności i mocy dowodowej. Wyjaśniono też w sposób należyty podstawę prawną decyzji, z przytoczeniem przepisów prawa (art. 107 § 3 k.p.a.).
Po trzecie w świetle dowodów zgromadzonych w aktach sprawy uzasadnione było stanowisko Prezesa UODO, że Uczestnik skutecznie złożył do Spółki I wniosek o realizację prawa do usunięcia Jego danych osobowych z wyników wyszukiwania wyszukiwarki Google Search. Wprawdzie Uczestnik skierował swoje żądanie do Spółki II, ale spółka ta przekazała je Spółce I, która miała obowiązek zająć się w sposób zgodny z przepisami RODO żądaniem Uczestnika. Świadczą o tym pisma Spółki I z [...] sierpnia i [...] września 2019r. (k. 18 i 19 akt administracyjnych).
Zdaniem Sądu trafne było ponadto powołanie się przez Prezesa UODO w uzasadnieniu zaskarżonej decyzji, że administrator danych osobowych Uczestnika – Spółka I - nie powinna uzależniać realizacji wniosku Uczestnika - o usunięcie Jego danych osobowych z wyników wyszukiwania wyszukiwarki Google Search - od złożenia wniosku za pośrednictwem dedykowanego formularza interntowego. Warto bowiem zauważyć, że z akt sprawy wynika w sposób niebudzący wątpliwości, że Spółka I wiedziała, że Uczestnik już dwukrotnie złożył swoje żądanie na piśmie (k. 18 i 19 akt administracyjnych). Skoro zatem nie może budzić wątpliwości w sprawie, że oświadczenie woli Uczestnika dotarło do Spółki I oraz miało to miejsce w sposób skuteczny i wyraźny, gdyż Spółka II przesłała je Spółce I, to nieuprawnione było powoływanie się przez Spółkę w pismach z [...] sierpnia i [...] września 2019r. (skierowanych do Uczestnika) na konieczność użycia formularza. Stanowiło to ponadto – jak trafnie przyjął Prezes UODO w uzasadnieniu zaskarżonej decyzji - utrudnianie realizacji prawa Uczestnika oraz stanowiło naruszenie art. 12 ust. 2 RODO w związku z art. 17 ust. 1 lit. c) RODO.
Zdaniem Sądu prawidłowo, w świetle akt administracyjnych, przyjął też Prezes UODO, że Spółka I nie rozpatrzyła wniosku Uczestnika, przekazanego jej przez Spółkę II w sposób wypełniający należycie obowiązek informacyjny wynikający z art. 12 ust. 4 RODO w związku z art. 17 ust. 1 lit. c) RODO. Wprawdzie Spółka I, zgodnie z art. 12 ust. 4 RODO poinformowała Uczestnika o powodach niepodjęcia działań przez Spółkę II, ale w ww. pismach z [...] sierpnia i [...] września 2019r. nie zakomunikowała Uczestnikowi możliwości wniesienia skargi do organu nadzorczego i nie poinformowała Uczestnika o możliwości skorzystania ze środków ochrony prawnej przed Sądem.
Powyższe rozważania wskazują, że Spółka I, kierując do Uczestnika ww. pisma nie wypełniła obowiązków określonych zarówno w art. 12 ust. 2, jak i w art. 12 ust. 4 RODO w związku z art. 17 ust. 1 lit. c RODO. Tym samym wystąpiła przesłanka do upomnienia Spółki I w związku z wskazanym w zaskarżonej decyzji naruszeniami ww. przepisów RODO. Prawidłowo zatem Prezes UODO zastosował w pkt 2 i 3 zaskarżonej decyzji przysługujące Mu uprawnienia z art. 58 ust. 2 lit. b RODO.
Sąd, mając powyższe na względzie, działając na podstawie art. 151 P.p.s.a. oddalił skargę w zakresie rozstrzygnięcia zawartego w pkt 1 i 2 zaskarżonej decyzji, dotyczącego Spółki I (punkt drugi sentencji wyroku).
4. Sąd o zwrocie kosztów postępowania na rzecz Spółki II (punkt trzeci sentencji wyroku), obejmujących uiszczony wpis sądowy od skargi (200 zł), wynagrodzenie adwokata (480 zł) i opłatę skarbową od pełnomocnictwa (17 zł), postanowił na mocy art. 200 i art. 205 § 2 P.p.s.a. w związku z § 14 ust. 1 pkt 1 lit. c) rozporządzenia Ministra Sprawiedliwości z 22 października 2015r. w sprawie opłat za czynności adwokackie (Dz.U. z 2023r., poz. 1964 ze zm.).