III OSK 3446/23

III OSK 3446/23 - Wyrok NSA
Data orzeczenia
2025-03-26
orzeczenie prawomocne
Data wpływu
2023-12-27
Sąd
Naczelny Sąd Administracyjny
Sędziowie
Artur Kuś
Paweł Mierzejewski /sprawozdawca/
Teresa Zyglewska /przewodniczący/
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne
Ochrona danych osobowych
Administracyjne postępowanie
Sygn. powiązane
II SA/Wa 1839/22 - Wyrok WSA w Warszawie z 2023-09-15
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Oddalono skargę kasacyjną
Powołane przepisy
Dz.U. 2019 poz 1781
art. 2 ust. 1
Ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych (t. j.)
Dz.U. 2024 poz 935
art. 184
Ustawa z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (t. j.)
Sentencja
Naczelny Sąd Administracyjny w składzie: Przewodniczący: Sędzia NSA Teresa Zyglewska Sędziowie: Sędzia NSA Artur Kuś Sędzia del. WSA Paweł Mierzejewski (spr.) po rozpoznaniu w dniu 26 marca 2025 r. na posiedzeniu niejawnym w Izbie Ogólnoadministracyjnej skargi kasacyjnej Prezesa Urzędu Ochrony Danych Osobowych od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 15 września 2023 r. sygn. akt II SA/Wa 1839/22 w sprawie ze skargi [...] na postanowienie Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] sierpnia 2022 r. nr [...] w przedmiocie odmowy wszczęcia postępowania oddala skargę kasacyjną.
Uzasadnienie
Wyrokiem z dnia 15 września 2023 r., sygn. akt II SA/Wa 1839/22, Wojewódzki Sąd Administracyjny w Warszawie (dalej: "Sąd pierwszej instancji") po rozpoznaniu sprawy ze skargi J. M. (dalej "wnioskodawca" albo "skarżący") na postanowienie Prezesa Urzędu Ochrony Danych Osobowych (dalej: "Prezes UODO" albo "organ") z dnia [...] sierpnia 2022 r. nr [...] w przedmiocie odmowy wszczęcia postępowania:
1. uchylił zaskarżone postanowienie;
2. zasądził od Prezesa Urzędu Ochrony Danych Osobowych na rzecz skarżącego kwotę 100 złotych tytułem zwrotu kosztów postępowania.
Wyrok zapadł w następującym stanie faktycznym i prawnym.
Pismem z dnia [...] maja 2022 r. wnioskodawca złożył skargę do Prezesa UODO na niezgodne z prawem przetwarzanie danych osobowych przez spółkę [...] S.A. z siedzibą w [...], będącej administratorem serwisu internetowego [...], poprzez utrzymywanie na stronie internetowej artykułu, odnoszącego się do jego osoby, który prezentuje go w negatywnym świetle, co uniemożliwia wnioskodawcy normalne funkcjonowanie. Wnioskodawca podniósł, że spółka [...] S.A. została wezwana w dniu [...] kwietnia 2022 r. do usunięcia wszelkich danych umożliwiających identyfikację jego osoby w jakichkolwiek publikacjach umieszczonych na stronie internetowej [...], a także wszelkich innych stronach internetowych, których źródłem są publikacje na [...]. Pomimo upływu 30-dniowego terminu ww. spółka nie odpowiedziała na wniosek o usunięcie danych osobowych.
W złożonej skardze wnioskodawca powołał się na art. 17 rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z 4 maja 2016 r. ze zm.), dalej: "RODO", wskazując, że wydawca powinien usunąć wszelkie dane umożliwiające jego identyfikację, a z ostrożności podniósł, że utrzymywanie artykułu na portalu wywołuje wobec jego osoby skutki dyskryminacyjne, a nadto, że nie zachodzi interes społeczny związany z prawem do informacji o osobie skarżącego. Ten interes był chroniony w sprawie [...] prowadzonej przeciwko niemu i nie zachodzi zgodna z zasadami określonymi przez RODO potrzeba dodatkowej ochrony tego interesu poprzez dalsze utrzymywanie publikacji zwłaszcza, że publikacja dotyczy zdarzeń z [...] r. Wobec powyższego, zdaniem wnioskodawcy zasadnym jest nakazanie spółce [...] S.A. usunięcie uchybień w procesie przetwarzania jego danych osobowych bez podstawy prawnej, poprzez usunięcie wszelkich informacji odnoszących się do jego osoby.
Pismem z dnia [...] czerwca 2022 r. organ wezwał wnioskodawcę do usunięcia braków formalnych złożonej skargi, poprzez wskazanie linku do każdej strony, na której ujawniono dane wnioskodawcy w sposób objęty skargą. Pismem z dnia [...] czerwca 2022 r. wnioskodawca wskazał adres strony internetowej, pod którym zamieszczony został artykuł, zawierający jego dane osobowe.
Postanowieniem z dnia [...] sierpnia 2022 r. nr [...] wydanym na podstawie art. 61a § 1 ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego (Dz. U. z 2021 r., poz. 735 ze zm.), dalej "k.p.a.", w zw. z art. 85 ust. 1 RODO oraz art. 2 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (tekst jedn. Dz. U. z 2019 r. poz. 1781), dalej "u.o.d.o", Prezes Urzędu Ochrony Danych Osobowych odmówił wszczęcia postępowania administracyjnego w sprawie skargi J. M. na niezgodne z prawem przetwarzanie jego danych osobowych przez [...] S.A. z siedzibą w [...] (ul. [...], [...]), polegające na udostępnieniu jego danych osobowych w artykule zatytułowanym "[...]’’., opublikowane pod linkiem: [...].
W uzasadnieniu wydanego postanowienia organ podniósł, że postępowanie administracyjne prowadzone przez Prezesa UODO służy kontroli zgodności przetwarzania danych z przepisami o ochronie danych osobowych i jest ukierunkowane na wydanie decyzji administracyjnej na podstawie art. 58 ust. 2 RODO. W przedmiotowej sprawie nie można dokonać oceny legalności przetwarzania danych w oparciu o przesłanki określone w art. 6 ust. 1 RODO ze względu na wyłączenie stosowania tego przepisu do działalności dziennikarskiej na mocy art. 2 ust. 1 u.o.d.o.
Organ przywołał art. 7 ust. 2 pkt 1 ustawy z dnia 26 stycznia 1984 r. - Prawo prasowe (tekst jedn. Dz. U. z 2018 r., poz. 1914), w którym wskazano, że pojęcie "prasa" oznacza publikacje periodyczne, które nie tworzą zamkniętej, jednorodnej całości, ukazujące się nie rzadziej niż raz do roku, opatrzone stałym tytułem albo nazwą, numerem bieżącym i datą, a w szczególności: dzienniki i czasopisma, serwisy agencyjne, stałe przekazy teleksowe, biuletyny, programy radiowe i telewizyjne oraz kroniki filmowe; prasą są także wszelkie istniejące i powstające w wyniku postępu technicznego środki masowego przekazywania, w tym także rozgłośnie oraz telewęzły i radiowęzły zakładowe, upowszechniające publikacje periodyczne za pomocą druku, wizji, fonii lub innej techniki rozpowszechniania; prasa obejmuje również zespoły ludzi i poszczególne osoby zajmujące się działalnością dziennikarską. Zdaniem Prezesa UODO w związku z powyższym publikację na stronie internetowej należy uznać za publikację prasową.
W ocenie Prezesa UODO materiały publikowane na stronach internetowych, którymi administruje spółka, odpowiadają ww. definicji prasy i stanowią przejaw dziennikarskiej działalności prasowej. Zgodnie z art. 85 ust. 1 RODO, prawodawca krajowy ma możliwość przyjęcia przepisów, które godzą prawo do ochrony danych osobowych z przetwarzaniem ich, na potrzeby działalności dziennikarskiej. Prezes UODO argumentował, że w niniejszej sprawie zachodzi sytuacja, w której organ nadzorczy nie miał podstaw do rozstrzygnięcia sprawy ze względu na brak możliwości dokonania - w oparciu o obowiązujące przepisy o ochronie danych osobowych - merytorycznej oceny udostępnienia danych osobowych skarżącego w materiałach zawartych na stronie internetowej administrowanej przez Spółkę.
Prezes UODO podkreślił, że w takiej sytuacji niemożliwym jest wykorzystanie uprawnień pozwalających na przywrócenie stanu zgodnego z prawem przez organ nadzorczy. Organ zaznaczył, że stanowisko opiera na wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 12 lutego 2020 r. (sygn. akt II SA/Wa 2073/19). W ocenie organu ustalenie zaistnienia przesłanki z art. 17 ust. 1 lit. d RODO wymagałoby od Prezesa UODO przeprowadzenia w niniejszej sprawie czynności wyjaśniających w zakresie legalności przetwarzania przez spółkę danych osobowych wnioskodawcy w oparciu o art. 5 i art. 6 RODO. Organ zaznaczył, że chociaż Prezes UODO nie posiada kompetencji do rozpoznania sprawy dotyczącej przetwarzania danych osobowych w ramach dziennikarskiej działalności prasowej, to nie zamyka to stronie drogi ochrony jej praw w trybie przepisów Kodeksu cywilnego. Stanowisko to potwierdza wyrok Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 19 marca 2020 r. (sygn. akt II SA/Wa 2190/19).
Pismem z dnia 15 września 2023 r. J. M. złożył skargę do Wojewódzkiego Sądu Administracyjnego w Warszawie na powyższe postanowienie Prezesa Urzędu Ochrony Danych Osobowych, zaskarżając je w całości.
Zaskarżonemu postanowieniu zarzucił naruszenia przepisów postępowania administracyjnego:
a) art. 6 k.p.a., poprzez niedopełnienie przez Prezesa UODO wymogu działania na podstawie prawa;
b) art. 7 k.p.a., poprzez niedopełnienie przez organ obowiązku stania na straży praworządności oraz niepodjęcie z urzędu i na wniosek skarżącego wszelkich czynności niezbędnych do dokładnego wyjaśnienia stanu faktycznego oraz do załatwienia sprawy, a także poprzez naruszenie słusznego interesu skarżącego;
c) art. 8 § 1 k.p.a., poprzez prowadzenie postępowania w sprawie w sposób podważający zaufanie skarżącego do władzy publicznej oraz poprzez naruszenie wymogu bezstronności i równego traktowania stron, w tym kierunkowe prowadzenie postępowania wyłącznie w celu określonym zaskarżonym postanowieniem;
d) art. 12 § 1 k.p.a., poprzez opieszałe działanie w sprawie, niewnikliwie oraz poprzez nieuzasadnione nieposłużenie się możliwie najprostszymi środkami prowadzącymi do jej załatwienia zgodnie z uzasadnionym żądaniem skarżącego;
e) art. 61a § 1 k.p.a., poprzez niewskazanie niebudzącej wątpliwości podstawy prawnej odmowy wszczęcia postępowania administracyjnego oraz poprzez brak wykazania własnego uzasadnienia takiej odmowy;
f) art. 77 § 1 k.p.a., poprzez niedopełnienie obowiązku zebrania w sposób wyczerpujący i rozpatrzenia całego materiału dowodowego;
g) art. 81 k.p.a. w zw. z art. 35 § 1 i art. 36 § 1 k.p.a. w zw. z art. 57 ust. 1 lit. f) RODO w zw. z art. 62 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych, poprzez: (i) nierozpoznanie skargi skarżącego z dnia [...] maja 2022 r., (ii) nieprzeprowadzenie postępowania w przedmiocie tej skargi, (iii) niezawiadomienie skarżącego o niezałatwieniu sprawy w terminie i niepodanie przyczyn zwłoki, podczas gdy organ powinien był informować skarżącego o stanie sprawy i przeprowadzanych w jej toku czynnościach oraz wydać decyzję lub postanowienie bez zbędnej zwłoki, nie później niż w ciągu miesiąca od dnia wszczęcia postępowania.
W skardze podniesione zostały nadto zarzuty naruszenia przepisów prawa materialnego:
a) art. 85 ust. 1 i 2 RODO, poprzez błędne przyjęcie, iż wymieniony przepis wyłącza kontrolę organu w zakresie przetwarzania danych osobowych na potrzeby dziennikarskie, a to poprzez błędne przyjęcie, iż polski ustawodawca przyjął przepisy określające odstępstwa lub wyjątki od rozdziału II, III, IV, V, VI, VII i IX RODO;
b) art. 85 ust. 1 i 2 RODO, poprzez błędne przyjęcie, iż obowiązujące od dnia 1 lipca 1984 r. przepisy ustawy - Prawo prasowe stanowią przejaw przyjęcia przez polskiego ustawodawcę przepisów określających odstępstwa lub wyjątki od rozdziału Il, III, IV, V, VI, VII i IX RODO, które spełniają przesłankę niezbędności, by pogodzić prawo do ochrony danych osobowych z wolnością wypowiedzi i informacji;
c) art. 2 ust. 1 u.o.d.o. poprzez błędne uznanie, iż wyłączenie ze stosowania w polskim porządku prawnym art. 5-9, art. 11, art. 13-16, art. 18-22, art. 27, art. 28 ust. 2-10 oraz art. 30 RODO stanowi przejaw niezbędności, by pogodzić prawo do ochrony danych osobowych z wolnością wypowiedzi i informacji;
d) art. 10 RODO, poprzez niezasadne uchylenie się Prezesa UODO od nadzoru nad przetwarzaniem przez [...] S.A. danych osobowych skarżącego oraz poprzez uchylenie się od sprawdzenia w toku postępowania administracyjnego, czy przetwarzanie przez [...] S.A. danych osobowych skarżącego w taki sposób, iż przetwarzanie to pozwala na niebudzącą wątpliwości identyfikację osoby skarżącego, pomimo posłużenia się w artykule zatytułowanym "[...]", który jest umieszczony na stronach internetowych [...] administrowanych przez [...] S.A., imieniem i pierwszą literą nazwiska skarżącego, co stanowi przejaw odpowiedniego zabezpieczenia praw i wolności skarżącego;
e) art. 17 ust. 1 lit. d RODO, poprzez uznanie, iż [...] S.A. przetwarza dane osobowe skarżącego zgodnie z prawem, w sytuacji, gdy jest oczywistym, iż niezgodność z prawem polega na naruszeniu art. 10 RODO, art. 12 ust. 1 pkt 2, art. 13 ust. 2, art. 14 ust. 1 ustawy - Prawo prasowe;
f) art. 17 ust. 3 RODO, poprzez uznanie, iż skarżącemu nie przysługuje prawo żądania od [...] S.A. niezwłocznego usunięcia jego danych osobowych, a spółka nie ma obowiązku bez zbędnej zwłoki usunąć tych danych osobowych, a także poprzez zaniechanie zbadania przez organ, w jakim zakresie przetwarzanie przez [...] S.A. danych osobowych przez skarżącego jest niezbędne, w tym również w jakim celu.
W oparciu o powyższe zarzuty skarżący wniósł o uchylenie postanowienia Prezesa UODO w całości oraz o zobowiązanie organu do przeprowadzenia postępowania administracyjnego w sprawie, ze wszelkimi jego elementami, a po przeprowadzeniu tego postępowania, do wydania decyzji w terminie określonym w art. 35 § 1 k.p.a., wskazując sposób załatwienia sprawy zgodnie z treścią skargi z dnia [...] maja 2022 r.
W odpowiedzi na skargę organ wniósł o jej oddalenie.
Wskazanym na wstępie wyrokiem z dnia 15 września 2023 r., sygn. akt II SA/Wa 1839/22, Wojewódzki Sąd Administracyjny w Warszawie uwzględnił skargę i uchylił zaskarżone postanowienie na podstawie art. 145 § 1 pkt 1 lit. a i c ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (tekst jedn. Dz. U. z 2023 r., poz. 1634), dalej "P.p.s.a.".
W uzasadnieniu wydanego wyroku Sąd pierwszej instancji stwierdził, że skarga zasługuje na uwzględnienie, lecz nie wszystkie zarzuty okazały się zasadne. Sąd meriti stwierdził, że organ, wydając sporne postanowienie dopuścił się naruszenia przepisu art. 61a § 1 k.p.a. Wskazana regulacja z art. 61a § 1 k.p.a. nadaje kompetencję dla organu administracji publicznej do wydania postanowienia o odmowie wszczęcia postępowania, gdy postępowanie administracyjne nie może być wszczęte, ponieważ żądanie zostało wniesione przez osobę niebędącą stroną lub z "innych uzasadnionych przyczyn". Odmowa wszczęcia następuje zatem ze względów podmiotowych lub przedmiotowych. Względy podmiotowe związane są z oczywistym brakiem przymiotu strony. Względy przedmiotowe mają natomiast zróżnicowany charakter. Zgodnie z ustabilizowanym orzecznictwem "inne uzasadnione przyczyny" to takie przeszkody, które uniemożliwiają wszczęcie postępowania administracyjnego i odnoszą się do sytuacji, które w sposób oczywisty stanowią przeszkodę do wszczęcia postępowania (powołano wyrok Naczelnego Sądu Administracyjnego z dnia 20 listopada 2017 r.; sygn. akt II GSK 1706/17).
Sąd pierwszej instancji zaznaczył, że tak w orzecznictwie sądowoadministracyjnym, jak i doktrynie akceptowana jest teza, że te inne przyczyny to przypadki pierwotnej bezprzedmiotowości postępowania, a więc przypadki, w których, np. sprawa nie ma charakteru administracyjnego albo sprawa administracyjna nie podlega załatwieniu w formie aktu administracyjnego, w tej samej sprawie postępowanie administracyjne już się toczy, gdy w tej sprawie zapadło już rozstrzygnięcie lub gdy w przepisach prawa brak jest podstawy materialnoprawnej do rozpatrzenia żądania w trybie administracyjnym (przywołano publikację B. Adamiak, Komentarz do art. 61a k.p.a. (w:) B. Adamiak, J. Borkowski, Kodeks postępowania administracyjnego. Komentarz, Warszawa 2022, s. 317). Podkreśla się również, że odmowa wszczęcia postępowania na podstawie art. 61a § 1 k.p.a. "z innych uzasadnionych przyczyn" może mieć miejsce w sytuacjach oczywistych, niewymagających analizy sprawy, wtedy gdy "na pierwszy rzut oka" można stwierdzić, że brak jest podstaw do prowadzenia postępowania organ nie może zatem ustalać stanu faktycznego sprawy bez formalnego wszczęcia postępowania, a następnie - po stwierdzeniu, że brak podstaw do prowadzenia postępowania - wydać postanowienia o odmowie jego wszczęcia "z innych uzasadnionych przyczyn" na podstawie art. 61a § 1 k.p.a. Postanowienie o odmowie wszczęcia postępowania ma zatem charakter rozstrzygnięcia formalnego, a nie merytorycznego
Zdaniem Sądu pierwszej instancji niemożność zastosowania przepisów RODO w stanie faktycznym sprawy nie ma charakteru oczywistego. W postanowieniu wydanym w trybie art. 61a § 1 k.p.a. organ nie może zaś formułować wniosków i ocen dotyczących meritum żądania co do jego zasadności. W ocenie Sądu meriti organ wadliwie w niniejszej sprawie zastosował przepis art. 61a § 1 k.p.a. i odmówił wszczęcia postępowania administracyjnego w sprawie skargi wnioskodawcy na niezgodne z prawem przetwarzanie jego danych osobowych przez [...] S.A. z siedzibą w Warszawie, wskazując na brak podstawy materialnoprawnej do wszczęcia i prowadzenia postępowania administracyjnego w żądanym przez skarżącego przedmiocie z powodu "innych uzasadnionych przyczyn’’. Prezes UODO w uzasadnieniu postanowienia wskazał na wyłączenie jego właściwości w badaniu tego rodzaju spraw na podstawie art. 85 ust. 1 RODO w związku z art. 2 ust. 1 u.o.d.o.
W związku z tym Sąd pierwszej instancji odnotował, że Prezes Urzędu Ochrony Danych Osobowych jest organem właściwym w sprawie ochrony danych osobowych (art. 34 u.o.d.o. i jednocześnie organem nadzorczym, w rozumieniu rozporządzenia 2016/679 - art. 34 ust. 2 u.o.d.o.). Jak stanowi przepis art. 57 ust. 1 RODO, bez uszczerbku dla innych zadań określonych na mocy niniejszego rozporządzenia, każdy organ nadzorczy na swoim terytorium monitoruje i egzekwuje stosowanie niniejszego rozporządzenia, m.in. rozpatrując skargi wniesione przez osobę, której dane dotyczą.
W niniejszej sprawie istotna jest odpowiedź na pytania: czy w związku z publikacją danych osobowych skarżącego w artykule z [...] r. na stronie internetowej [...], przy założeniu, iż od pierwszej publikacji materiału prasowego upłynął znaczny czas to Prezes Urzędu Ochrony Danych Osobowych miał podstawę prawną do orzekania w przedmiocie nieprawidłowości w przetwarzaniu danych osobowych skarżącego; czy udostępnianie publikacji z tak odległej przeszłości przechowywanej na stronie internetowej stanowi działalność polegającą na redagowaniu, przygotowywaniu, tworzeniu lub publikowaniu materiałów prasowych w rozumieniu Prawa prasowego a zatem stanowi "działalność prasową", wobec której wyłączona jest - w myśl art. 2 ust. 1 u.o.d.o. - część regulacji RODO oraz czy w sprawach działalności prasowej znajduje faktycznie zastosowanie regulacja art. 17 RODO ("prawo bycia zapomnianym"), czy też regulacja ta jest wyłączona jak twierdzi organ.
Sąd pierwszej instancji podał, że problematyka ta była przedmiotem wyroku Naczelnego Sądu Administracyjnego z dnia 9 lutego 2023 r. w sprawie o sygn. akt II OSK 6781/21 (winno być – III OSK 6781/21 – uwaga Naczelnego Sądu Administracyjnego). Sąd ten wskazał, że pierwszeństwo wolności prasy nad ochroną prawa do prywatności możliwe jest tylko do chwili, gdy są realizowane cele działalności prasowej, a zatem do momentu, gdy materiał prasowy zgodnie z art. 1 ustawy Prawo prasowe służy urzeczywistnianiu prawa obywateli do ich rzetelnego informowania, jawności życia publicznego oraz kontroli i krytyki społecznej, a zatem udostępnianie przez wydawcę publikacji z przed kilkunastu lat, publikacji archiwalnej przechowywanej na stronie internetowej nie stanowi działalność prasowej polegającą na redagowaniu, przygotowywaniu, tworzeniu lub publikowaniu materiałów prasowych w rozumieniu ustawy Prawo prasowe. W konsekwencji do przetwarzania takich danych nie znajduje zastosowania wyłączenie z art. 2 ust. 1 ustawy z 10 maja 2018 r. o ochronie danych osobowych, a w konsekwencji znajduje zastosowanie także przepis art. 17 RODO regulujący tzw. prawo zapomnienia, gdyż udostępnianie archiwalnych materiałów prasowych dostępnych w Internecie nie jest niezbędne do korzystania z prawa do wolności wypowiedzi i informacji, o czym mowa w art. 17 ust. 3 lit. a RODO, bowiem prawo do wolności wypowiedzi i informacji zostało zrealizowane już uprzednio, tj. w chwili opublikowania materiału posiadającego przymiot aktualności, a zatem służącego realizacji zadań prasy, o których mowa w art. 1 ustawy Prawo prasowe.
Sąd meriti podkreślił, że nie przesądza o tym, czy materiał prasowy przechowywany na stronie internetowej portalu [...] posiada cechę aktualności, czy jest to materiał archiwalny. Obowiązkiem organu było rozważenie, czy z perspektywy wolności dostępu do informacji, dalsze przetwarzanie w materiale prasowym z [...] r. danych osobowych skarżącego, jest w istocie niezbędne. Takie rozważania mogą mieć miejsce po wszczęciu postępowania. Sąd pierwszej instancji zwrócił uwagę, że nawet przyjęcie, iż działalność wydawcy spełnia kryteria "działalności prasowej’" zgodnie z art. 2 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych i wyłączone zostały niektóre przepisy RODO, tj. art. 5-9, art. 11, art. 13-16, art. 18-22, art. 27, art. 28 ust. 2-10 oraz art. 30 rozporządzenia 2016/679 to nie oznacza wyłączenia stosowania przepisów RODO w całości. Wyłączeniu nie ulega stosowanie art. 10, art. 12 RODO, art. 17 i art. 23-26 RODO. Biorąc zaś pod uwagę, że ustawa o ochronie danych osobowych nie wyłączyła wszystkich regulacji RODO a jedynie regulacje wprost wskazane w art. 2 ust. 1 ustawy o ochronie danych osobowych, to organ powinien dokonać analizy, czy wyłączenie zastosowania art. 5 i 6 RODO w konkretnej sprawie wyłącza zastosowanie art. 17 ust. 1 lit. d RODO. Mogło bowiem dojść do naruszenia innych zasad przetwarzania danych.
Sąd pierwszej instancji podniósł nadto, że przytoczony przez organ wyrok WSA w Warszawie z dnia 12 lutego 2020 r. (sygn. akt II SA/Wa 2073/19) jest prawomocny, jednakże odnosił się do kontroli umorzenia postępowania przez Prezesa UODO. W przytoczonym judykacie, zdaniem sądu orzekającego, organ nie dopuścił się w toku postępowania jakichkolwiek istotnych uchybień formalnych, które uniemożliwiłyby sądowi dokonanie prawidłowej oceny zarzutów skargi i wypowiedzenie się co do legalności podjętego rozstrzygnięcia. Mając na uwadze uchybienia formalne sąd analizował przestrzeganie zasady pogłębiania zaufania obywateli do organów praworządnego Państwa art. 8 § 1 k.p.a., stosowanie art. 7, art. 77 § 1 i art. 80 k.p.a. oraz uzasadnienie swojego rozstrzygnięcia według wymagań określonych w przepisie art. 107 § 3 k.p.a. Tymczasem w niniejszej sprawie organ odmówił wszczęcia postępowania, a zatem nie zrealizował ww. zasad.
Sąd pierwszej instancji podkreślił, że podziela stanowisko wyrażone w wyroku Naczelnego Sądu Administracyjnego z dnia 7 września 2021 r.; sygn. akt III OSK 2883/21, że istnieje podstawa prawna do działania organu - Prezesa Urzędu Ochrony Danych Osobowych i jest nią art. 17 ust.1-3 RODO, gdyż jego stosowanie (podobnie jak np. art. 10 RODO) nie zostało wyłączone w ramach klauzuli prasowej – art. 2 ust.1 u.o.d.o. Organ powinien zatem odnieść się merytorycznie do skargi J. M. i rozstrzygnąć sprawę co do istoty.
Zdaniem Sądu meriti nieuzasadnione okazały się zarzuty skargi, iż organ przyjął, że spółka [...] przetwarza dane osobowe skarżącego zgodnie z prawem. Z uwagi na odmowę wszczęcia postępowania nie było to przedmiotem oceny organu.
W podsumowaniu Sąd pierwszej instancji stwierdził, że rozpoznając ponownie sprawę organ będzie obowiązany rozważyć, czy udostępniona przez wydawcę publikacja z [...] r., zawierająca dane osobowe skarżącego zamieszczona na portalu internetowym [...] stanowi działalność prasową, polegającą na redagowaniu, przygotowywaniu, tworzeniu lub publikowaniu materiałów prasowych w rozumieniu ustawy Prawo prasowe, do której zgodnie z przepisem art. 2 ust. 1 ustawy z 10 maja 2018 r. o ochronie danych osobowych, nie stosuje się przepisów art. 5-9, art. 11, art. 13-16, art. 18- 22, art. 27, art. 28 ust. 2-10 oraz art. 30 RODO, a także czy w konkretnym stanie faktycznym nawet jeśli publikacja artykułu objęta jest klauzulą prasową wtłaczającą działalność prasową spod stosowania niektórych norm RODO, to skarżący mógł skutecznie żądać zaprzestania przetwarzania przez upublicznienie na stosownej stronie internetowej swoich danych osobowych w materiale prasowym, opublikowanym na portalu [...] biorąc pod uwagę niewyłączone przepisy RODO.
Skargę kasacyjną od powyższego wyroku wywiódł organ, reprezentowany przez radcę prawnego, zaskarżając wyrok w całości. Organ wniósł o uchylenie wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie w całości i rozpoznanie skargi na postanowienie Prezesa UODO z dnia [...] sierpnia 2022 r. i jej oddalenie w całości, ewentualnie uchylenie zaskarżonego wyroku w całości i przekazanie sprawy w całości do ponownego rozpoznania Sądowi pierwszej instancji. Skarżący kasacyjnie organ wniósł nadto o zasądzenie kosztów postępowania według norm przepisanych. Jednocześnie skarżący kasacyjnie organ wniósł o rozpoznanie skargi kasacyjnej na posiedzeniu niejawnym. Zaskarżonemu wyrokowi zarzucono:
I. naruszenie przepisów prawa procesowego:
1. art. 145 § 1 pkt 1 lit. c P.p.s.a. w zw. z art. 61a § 1 k.p.a., poprzez jego zastosowanie w wyniku uznania, że organ wadliwie w niniejszej sprawie zastosował przepis art. 61a § 1 k.p.a., odmawiając wszczęcia postępowania administracyjnego w sprawie skargi strony przeciwnej na niezgodne z prawem przetwarzanie jej danych osobowych przez [...] S.A. z siedzibą w [...], z powodu zaistnienia "innej uzasadnionej przyczyny" dla odmowy wszczęcia postępowania, tj. braku podstawy materiaInoprawnej do wszczęcia i prowadzenia postępowania administracyjnego w żądanym przez stronę przeciwną przedmiocie, co miało istotny wpływ na wynik sprawy;
2. art. 145 § 1 pkt 1 lit. c P.p.s.a. w zw. z art. 7, art. 77 § 1, art. 80, art.107 § 3 w zw. z art. 8 § 1 oraz art. 11 k.p.a., poprzez błędne uznanie, że Prezes Urzędu Ochrony Danych Osobowych uchybił przepisom prawa procesowego w zakresie obowiązku właściwego wyjaśnienia sprawy w jej istotnych aspektach, podczas gdy organ nadzorczy przeprowadził postępowanie respektując wyżej wymienione przepisy k.p.a., a wydane rozstrzygnięcie zawierało wyczerpujące uzasadnienie odnoszące się do wszystkich okoliczności faktycznych i prawnych rozpoznawanej sprawy, co miało istotny wpływ na wynik sprawy i skutkowało uchyleniem zaskarżonego postanowienia organu;
II. naruszenie przepisów prawa materialnego:
1. art. 10, 12,17, 23-26 w zw. z art. 85 ust. 1 RODO i art. 2 ust. 1 u.o.d.o., poprzez ich błędną wykładnię polegającą na przyjęciu, że wyłączenie przez prawodawcę stosowania art. 5-9, 11,13-16, 18-22, 27, 28 ust. 2-10, 30 rozporządzenia RODO do działalności prasowej nie stanowi przeszkody w stosowaniu art. 10, 12, 17, 23-26 RODO do działalności prasowej;
2. art. 17 ust. 3 lit. a RODO, poprzez jego błędną wykładnię i przyjęcie, że Prezes Urzędu Ochrony Danych Osobowych był uprawniony do oceny niezbędności przetwarzania danych osobowych w niniejszej sprawie, i w efekcie zastosowania art. 17 ust. 1 RODO, podczas gdy możliwość dokonania powyższej oceny została wyłączona art. 2 ust. 1 u.o.d.o.
Odpowiedzi na skargę kasacyjną nie wniesiono.
Naczelny Sąd Administracyjny zważył, co następuje:
Skarga kasacyjna nie zawiera usprawiedliwionych podstaw.
W świetle art. 174 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (tekst jedn. Dz. U. z 2024 r. poz. 935 ze zm.), dalej jako "P.p.s.a.", skargę kasacyjną można oprzeć na następujących podstawach:
1) naruszeniu prawa materialnego przez błędną jego wykładnię lub niewłaściwe zastosowanie,
2) naruszeniu przepisów postępowania, jeżeli uchybienie to mogło mieć istotny wpływ na wynik sprawy.
Naczelny Sąd Administracyjny jest związany podstawami skargi kasacyjnej, ponieważ w świetle art 183 § 1 P.p.s.a. rozpoznaje sprawę w granicach skargi kasacyjnej, biorąc z urzędu pod rozwagę jedynie nieważność postępowania. Jeżeli zatem nie wystąpiły przesłanki nieważności postępowania wymienione w art. 183 § 2 P.p.s.a., a w rozpoznawanej sprawie przesłanek tych brak, to Sąd związany jest granicami skargi kasacyjnej. Oznacza to, że Sąd nie jest uprawniony do samodzielnego dokonywania konkretyzacji zarzutów skargi kasacyjnej, a upoważniony jest do oceny zaskarżonego orzeczenia wyłącznie w granicach przedstawionych we wniesionej skardze kasacyjnej.
Wymaga odnotowania, że skarga kasacyjna została oparta na obydwu podstawach określonych w art. 174 P.p.s.a. Jeżeli w skardze kasacyjnej zarzuca się zarówno naruszenie przepisów prawa materialnego, jak i naruszenie przepisów postępowania, to co do zasady w pierwszej kolejności należy rozpoznać zarzuty zrelatywizowane do przepisów postępowania, ponieważ dopiero po przesądzeniu, że stan faktyczny przyjęty przez sąd w zaskarżonym wyroku jest prawidłowy albo nie został dostatecznie podważony, można przejść do skontrolowania procesu subsumcji tego stanu faktycznego pod hipotezę stosowanej normy prawa materialnego. Ta zasada nie ma jednak bezwzględnego charakteru (zob. w tej materii wyrok Naczelnego Sądu Administracyjnego z dnia 8 listopada 2024 r.; sygn. akt III OSK 6009/21).
W niniejszej sprawie zarzuty naruszenia prawa materialnego i zarzuty naruszenia przepisów postępowania są ze sobą ściśle związane i oscylują wokół trzech kwestii:
1) czy Prezes Urzędu Ochrony Danych Osobowych miał podstawę prawną do orzekania w przedmiocie nieprawidłowości w przetwarzaniu danych osobowych skarżącego przez [...] S.A. w związku z publikacją danych osobowych skarżącego w artykule prasowym na stronie internetowej [...] przy założeniu, iż od pierwszej publikacji materiału prasowego upłynął już pewien czas, a aktualnie artykuł prasowy utrzymywany jest w portalu wydawcy w zasobach archiwalnych;
2) czy udostępnianie publikacji archiwalnej przechowywanej na stronie internetowej stanowi działalność polegającą na redagowaniu, przygotowywaniu, tworzeniu lub publikowaniu materiałów prasowych w rozumieniu Prawa prasowego (działalność prasowa), do której zgodnie z przepisem art. 2 ust. 1 u.o.d.o. nie stosuje się przepisów art. 5-9, art. 11, art. 13-16, art. 18-22, art. 27, art. 28 ust. 2-10 oraz art. 30 RODO;
3) czy w sprawach działalności prasowej znajduje zastosowanie przepis art. 17 RODO regulujący tzw. prawo zapomnienia.
W tym zakresie Sąd orzekający w niniejszej sprawie podziela stanowisko Naczelnego Sądu Administracyjnego zaprezentowane w wyroku z dnia 9 lutego 2023 r. (sygn. akt III OSK 6781/21). Co ważne, stanowisko Sądu pierwszej instancji wpisuje się w zapatrywanie Naczelnego Sądu Administracyjnego wyrażone w tym wyroku.
Otóż, Naczelny Sąd Administracyjny w uzasadnieniu wyżej wskazanego wyroku wyjaśnił, że rozporządzenie RODO stanowi kompleksową regulację dotyczącą ochrony danych osobowych, która nie wymaga implementacji ustawą krajową, aby mogła być stosowana w danym państwie. Zgodnie z art. 85 ust. 1 RODO państwa członkowskie przyjmują przepisy, które pozwalają pogodzić prawo do ochrony danych osobowych wynikające z RODO z wolnością wypowiedzi i informacji, w tym do przetwarzania dla potrzeb dziennikarskich oraz do celów wypowiedzi akademickiej, artystycznej lub literackiej. W motywie 153 preambuły RODO wyjaśniono, iż prawo państw członkowskich powinno godzić przepisy regulujące wolność wypowiedzi i informacji, w tym wypowiedzi dziennikarskiej, akademickiej, artystycznej lub literackiej, z prawem do ochrony danych osobowych na mocy rozporządzenia. Przetwarzanie danych osobowych jedynie do celów dziennikarskich lub do celów wypowiedzi akademickiej, artystycznej lub literackiej powinno podlegać wyjątkom lub odstępstwom od niektórych przepisów rozporządzenia, jeżeli jest to niezbędne, by pogodzić prawo do ochrony danych osobowych z prawem do wolności wypowiedzi i informacji, przewidzianymi w art. 11 Karty Praw Podstawowych Unii Europejskiej z dnia 7 grudnia 2000 r. (Dz. Urz. UE z 2016 r., C 202, s. 1). Powinno mieć to zastosowanie w szczególności do przetwarzania danych osobowych w dziedzinie audiowizualnej oraz w archiwach i bibliotekach prasowych. Państwa członkowskie powinny więc przyjąć akty prawne określające odstępstwa i wyjątki niezbędne do zapewnienia równowagi między tymi prawami podstawowymi.
Zatem już w samym rozporządzeniu RODO zauważono, że pomiędzy prawem do ochrony danych osobowych a wolnością wypowiedzi i informacji w ramach działalności dziennikarskiej, akademickiej i artystycznej istnieje nieuchronny konflikt przejawiający się tym, że egzekwowanie wymogów ochrony danych osobowych ogranicza w znacznym stopniu możliwość swobodnego przetwarzania danych, natomiast gromadzenie i rozpowszechnianie informacji może naruszać przepisy dotyczące ochrony danych osobowych. Pociąga to za sobą konieczność godzenia tych dwóch praw i wolności tak, aby umożliwić ich koegzystencję. Dostrzegając ten problem, prawodawca unijny upoważnił w przepisie art. 85 ust. 1 RODO państwa członkowskie do przyjmowania przepisów szczególnych w tym zakresie i wprowadzania ograniczeń dotyczących ochrony danych na rzecz zapewnienia swobody wypowiedzi i wolności informacyjnej (zob. P. Fajgielski, Komentarz do rozporządzenia nr 2016/679 w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (w:) Ogólne rozporządzenie o ochronie danych. Ustawa o ochronie danych osobowych. Komentarz, WKP 2018).
W art. 85 ust. 2 RODO wskazano, że dla przetwarzania do celów dziennikarskich lub do celów wypowiedzi akademickiej, artystycznej lub literackiej państwa członkowskie określają odstępstwa lub wyjątki od rozdziału II (Zasady), rozdziału III (Prawa osoby, której dane dotyczą), rozdziału IV (Administrator i podmiot przetwarzający), rozdziału V (Przekazywanie danych osobowych do państw trzecich lub organizacji międzynarodowych), rozdziału VI (Niezależne organy nadzorcze), rozdziału VII (Współpraca i spójność) oraz rozdziału IX (Szczególne sytuacje związane z przetwarzaniem danych), jeżeli są one niezbędne, by pogodzić prawo do ochrony danych osobowych z wolnością wypowiedzi i informacji. Podkreślić jednak należy, że nie wyłączono całkowicie możliwości stosowania RODO (zagadnienia dotyczące zakresu jego stosowania zawarte zostały w rozdziale I, który nie został wskazany wśród przepisów możliwych do wyłączenia czy ograniczenia), a jedynie możliwość wprowadzenia wyłączeń lub ograniczenia stosowania konkretnych przepisów. Tym samym unijny prawodawca uznał, że dziennikarz przy gromadzeniu i wykorzystywaniu danych osobowych powinien być zwolniony z niektórych wymogów dotyczących ochrony danych, gdyż konieczność spełniania wymogów mogłaby istotnie ograniczać swobodę wykonywania zawodu i realizacji misji z tym związanej, a przez to wolność prasy. Dodać jedynie należy, że pojęcie potrzeb dziennikarskich powinno być odnoszone do prasy w szerokim tego słowa znaczeniu, jako prasy tradycyjnej (czasopism), ale także radia, telewizji i innych mediów elektronicznych, w tym portali internetowych, zgodnie z przepisami prawa prasowego.
Prawodawca krajowy skorzystał z możliwości przewidzianej w art. 85 RODO i wyłączył stosowanie części przepisów tego unijnego rozporządzenia w zakresie działalności dziennikarskiej, literackiej, artystycznej i wypowiedzi akademickiej w art. 2 ust. 1 u.o.d.o. Zgodnie z tym przepisem do działalności polegającej na redagowaniu, przygotowywaniu, tworzeniu lub publikowaniu materiałów prasowych w rozumieniu ustawy - Prawo prasowe, a także do wypowiedzi w ramach działalności literackiej lub artystycznej nie stosuje się przepisów art. 5-9, art. 11, art. 13-16, art. 18-22, art. 27, art. 28 ust. 2-10 oraz art. 30 rozporządzenia 2016/679 (RODO).
W konsekwencji, w świetle art. 2 ust. 1 u.o.d.o. (tzw. klauzula prasowa), wyłączenia dotyczące działalności prasowej oraz wypowiedzi literackiej i artystycznej obejmują następujące przepisy unijnego rozporządzenia: art. 5 - zasady dotyczące przetwarzania danych osobowych; art. 6 - podstawy dopuszczalności przetwarzania danych osobowych; art. 7 - warunki wyrażania zgody przez osobę, której dane dotyczą; art. 8 - warunki wyrażania zgody przez dziecko w przypadku usług społeczeństwa informacyjnego; art. 9 - przetwarzanie szczególnych kategorii danych osobowych; art. 11 - przetwarzanie niewymagające identyfikacji; art. 14 - informacje podawane w przypadku pozyskiwania danych osobowych w sposób inny niż od osoby, której dane dotyczą; art. 15 ust. 1 i 2 - prawo dostępu przysługujące osobie, której dane dotyczą; art. 16 - prawo do sprostowania danych; art. 18 - prawo do ograniczenia przetwarzania; art. 19 - obowiązek powiadomienia odbiorcy danych o sprostowaniu lub usunięciu danych osobowych lub o ograniczeniu przetwarzania; art. 20 - prawo do przenoszenia danych; art. 21 - prawo do sprzeciwu; art. 22 - zautomatyzowane podejmowanie decyzji w indywidualnych sprawach, w tym profilowanie; art. 27 - przedstawiciele administratorów lub podmiotów przetwarzających niemających jednostki organizacyjnej w Unii; art. 28 ust. 2-10 - obowiązki podmiotu przetwarzającego; art. 30 - rejestrowanie czynności przetwarzania.
Polski ustawodawca realizując obowiązek oparty na motywie 153 preambuły oraz art. 85 RODO, wskazał w art. 2 ust. 1 u.o.d.o., że do działalności dziennikarskiej polegającej na redagowaniu, przygotowywaniu, tworzeniu lub publikowaniu materiałów prasowych, w rozumieniu ustawy - Prawo prasowe, nie stosuje się znacznej części obowiązków przewidzianych w RODO. W imię wolności konstytucyjnych i dobra społecznego wyłączone zostały ogólne zasady ochrony danych osobowych, takie jak zasada zgodności z prawem, przejrzystości i rzetelności, zasada ograniczenia celu przetwarzania danych, minimalizacji danych, prawidłowości, ograniczenia przechowywania, integralności i poufności oraz rozliczalności.
Należy przy tym zwrócić uwagę, że wskazane szczegółowo w art. 2 ust. 1 u.o.d.o. przepisy RODO nie obejmują art. 17 RODO, który przewiduje prawo do usunięcia danych (tzw. "prawo do bycia zapomnianym"). Zgodnie z brzmieniem art. 17 ust. 1 RODO osoba, której dane dotyczą, ma prawo żądania od administratora niezwłocznego usunięcia dotyczących jej danych osobowych, a administrator ma obowiązek bez zbędnej zwłoki usunąć dane osobowe, jeżeli wystąpi jedna z okoliczności, o których mowa w tym przepisie (zob.: przypadki szczegółowo wymienione w art. 17 ust. 1 lit. a-f). Dodać należy, że w motywie 65 preambuły RODO wskazano, że każda osoba fizyczna powinna mieć prawo do sprostowania danych osobowych jej dotyczących oraz prawo do "bycia zapomnianym", jeżeli zatrzymywanie takich danych narusza RODO, prawo Unii lub prawo państwa członkowskiego, któremu podlega administrator. Osoba, której dane dotyczą, powinna w szczególności mieć prawo do tego, by jej dane osobowe zostały usunięte i przestały być przetwarzane, jeżeli dane te nie są już niezbędne do celów, w których były zbierane lub w inny sposób przetwarzane, jeżeli osoba, której dane dotyczą, cofnęła zgodę lub jeżeli wniosła sprzeciw wobec przetwarzania danych osobowych jej dotyczących, lub jeżeli przetwarzanie jej danych osobowych nie jest z innego powodu zgodne z niniejszym rozporządzeniem. Prawo to ma znaczenie w przypadkach, gdy osoba, której dane dotyczą, wyraziła zgodę jako dziecko, gdy nie była w pełni świadoma ryzyka związanego z przetwarzaniem, a w późniejszym czasie chce usunąć takie dane osobowe, w szczególności z Internetu. Osoba, której dane dotyczą, powinna móc wykonywać to prawo, mimo że już nie jest dzieckiem. Niemniej dalsze zatrzymywanie danych osobowych powinno być uznane za zgodne z prawem, jeżeli jest niezbędne do korzystania z wolności wypowiedzi i informacji, do wywiązania się z obowiązku prawnego, do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi, z uwagi na względy interesu publicznego w dziedzinie zdrowia publicznego, do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych lub do ustalenia, dochodzenia lub obrony roszczeń.
Zgodnie z art. 17 ust. 1 RODO osoba, której dane dotyczą, ma prawo żądania od administratora niezwłocznego usunięcia dotyczących jej danych osobowych, a administrator ma obowiązek bez zbędnej zwłoki usunąć dane osobowe, jeżeli zachodzi jedna z następujących okoliczności:
a) dane osobowe nie są już niezbędne do celów, w których zostały zebrane lub w inny sposób przetwarzane;
b) osoba, której dane dotyczą, cofnęła zgodę, na której opiera się przetwarzanie zgodnie z art. 6 ust. 1 lit. a) lub art. 9 ust. 2 lit. a), i nie ma innej podstawy prawnej przetwarzania;
c) osoba, której dane dotyczą, wnosi sprzeciw na mocy art. 21 ust. 1 wobec przetwarzania i nie występują nadrzędne prawnie uzasadnione podstawy przetwarzania lub osoba, której dane dotyczą, wnosi sprzeciw na mocy art. 21 ust. 2 wobec przetwarzania;
d) dane osobowe były przetwarzane niezgodnie z prawem;
e) dane osobowe muszą zostać usunięte w celu wywiązania się z obowiązku prawnego przewidzianego w prawie Unii lub prawie państwa członkowskiego, któremu podlega administrator;
f) dane osobowe zostały zebrane w związku z oferowaniem usług społeczeństwa informacyjnego, o których mowa w art. 8 ust. 1, z uwagi na klauzulę prasową oraz brak konieczności legitymowania się przez prasę podstawą przetwarzania danych ewentualne zastosowanie mogą mieć trzy z nich (lit. a, d i e).
Nadto dodać należy, że zgodnie z art. 17 ust. 3 RODO ze wskazanego wyżej uprawnienia do niezwłocznego usunięcia danych osobowych (art. 17 ust. 1) może skorzystać osoba, o ile nie zaistnieje żadna z przesłanek w nim wskazanych, a w szczególności, jeżeli ich przetwarzanie jest niezbędne do korzystania z prawa do wolności wypowiedzi i informacji (art. 17 ust. 3 lit. a). W konsekwencji, przyjmuje się, że wystąpienie choćby jednej z okoliczności wskazanych w art. 17 ust. 3 RODO sprawia, że administrator nie ma obowiązku usunięcia przetwarzanych danych, nawet jeżeli żąda tego osoba, której te dane dotyczą.
Zdaniem Naczelnego Sądu Administracyjnego prawodawca unijny w przepisie art. 17 ust. 3 lit. a RODO wyłączył stosowanie reguł ogólnych prawa do bycia zapomnianym, jedynie gdy jest to "niezbędne" do korzystania z prawa do wolności wypowiedzi i informacji (tak ust. 3 zdanie wstępne), nie zaś ogólnie - w zakresie prawa do wolności wypowiedzi czy informacji. Uzasadniony jest wobec tego wniosek, że prawo do bycia zapomnianym dotyczy np. przypadków, gdy określone dane osobowe są już zbędne w celu, w jakim były zebrane lub w inny sposób przetwarzane - w myśl art. 17 ust. 1 lit. a RODO - a nie są równocześnie konieczne z perspektywy wolności korzystania z prawa do wolności wypowiedzi i informacji, w rozumieniu art. 17 ust. 3 lit. a ww. aktu.
W gruncie rzeczy chodzi w tym przypadku o rozstrzygnięcie, czy udostępnianie publikacji archiwalnej przechowywanej na stronie internetowej stanowi jeszcze działalność prasową (tj. polegającą na redagowaniu, przygotowywaniu, tworzeniu lub publikowaniu materiałów prasowych w rozumieniu ustawy prawo prasowe). Postawienie tego zagadnienia jest konsekwencją postępu cywilizacyjnego. Pierwotnie działalność prasowa i związana z tym wolność prasy realizowana była przez publikację materiałów prasowych w formie papierowej. W takiej sytuacji nie istniały automatyczne instrumenty wyszukiwania i gromadzenia danych osobowych. Materiały prasowe opublikowane na papierze mogą być więc dostępne w niezmienionej formie, tj. m.in. zawierać dane o osobach przez czas nieokreślony, gdyż bez dodatkowej działalności (związanej z ich opracowaniem i stworzeniem nowych baz danych, które co warto podkreślić mogą być stworzone aktualnie prawie wyłącznie przy użyciu urządzeń takich jak komputery i oprogramowanie, a więc przynajmniej częściowo w sposób zautomatyzowany) nie jest możliwe proste i szybkie pozyskanie z nich informacji o poszczególnych osobach. Publikacja danych osobowych w formie papierowej w ramach działalności prasowej jest zatem nieograniczona w czasie, lecz dotarcie do nich po wielu latach od momentu publikacji – bardzo utrudnione.
Zasadniczą zmianę w zakresie dostępności i pozyskiwania danych o osobach fizycznych przyniósł postęp techniczny. Zwrócił na to uwagę prawodawca unijny w motywie 6 RODO, zgodnie z którym szybki postęp techniczny i globalizacja przyniosły nowe wyzwania w dziedzinie ochrony danych osobowych. Skala zbierania i wymiany danych osobowych znacząco wzrosła. Dzięki technologii zarówno przedsiębiorstwa prywatne, jak i organy publiczne mogą na niespotykaną dotąd skalę wykorzystywać dane osobowe w swojej działalności. Osoby fizyczne coraz częściej udostępniają informacje osobowe publicznie i globalnie. Technologia zmieniła gospodarkę i życie społeczne i powinna nadal ułatwiać swobodny przepływ danych osobowych w Unii oraz ich przekazywanie do państw trzecich i organizacji międzynarodowych, równocześnie zaś powinna zapewniać wysoki stopień ochrony danych osobowych. Z kolei z motywu 7 RODO wynika, że przemiany te wymagają stabilnych, spójniejszych ram ochrony danych w Unii oraz zdecydowanego ich egzekwowania, gdyż ważna jest budowa zaufania, które pozwoli na rozwój gospodarki cyfrowej na rynku wewnętrznym. Osoby fizyczne powinny mieć kontrolę nad własnymi danymi osobowymi. Osoby fizyczne, podmioty gospodarcze i organy publiczne powinny zyskać większe poczucie pewności prawa i jego stosowania w praktyce. Na bycie zapomnianym w Internecie zwraca też uwagę motyw 66 RODO rozszerzając to prawo nie tylko na administratora danych, który upublicznił dane osobowe.
W konkluzji powyższych rozważań wskazać należy, iż zgodnie z art. 17 ust. 1 lit. a RODO prawo do bycia zapomnianym obejmuje przypadki, gdy określone dane osobowe są już zbędne w celu, w jakim były zebrane lub w inny sposób przetwarzane, a nie są równocześnie konieczne dla zapewnienia wolności wypowiedzi i informacji, w rozumieniu art. 17 ust. 3 lit. a RODO.
W związku z postępem technologicznym w art. 2 ust. 1 RODO przyjęto, że niniejsze rozporządzenie ma zastosowanie do przetwarzania danych osobowych w sposób całkowicie lub częściowo zautomatyzowany oraz do przetwarzania w sposób inny niż zautomatyzowany danych osobowych stanowiących część zbioru danych lub mających stanowić część zbioru danych. Z przepisu tego wynika, że przetwarzanie danych, które odbywa się w sposób niezautomatyzowany (ręcznie), a przetwarzane dane nie stanowią (lub nie mają stanowić) zbioru, nie jest objęte zakresem przedmiotowym RODO, a zatem w tym przypadku komentowane rozporządzenie nie znajduje zastosowania. To z kolei oznacza, że obowiązek stosowania komentowanego rozporządzenia wiąże się nie tylko z przetwarzaniem danych, ale także z zaistnieniem jednej z dwóch przesłanek wskazanych w komentowanym przepisie: 1) przetwarzanie danych osobowych odbywa się w sposób całkowicie lub częściowo zautomatyzowany albo 2) przetwarzanie odbywa się w sposób inny niż zautomatyzowany, a dane osobowe stanowią lub mają stanowić część zbioru danych.
Dla dokonania oceny, czy przedmiotowe rozporządzenie znajduje zastosowanie, nie wystarczy zatem stwierdzić, czy ma miejsce przetwarzanie danych, ale trzeba jeszcze ocenić, czy przetwarzanie jest zautomatyzowane. Przetwarzanie danych osobowych ma charakter zautomatyzowany w przypadku, gdy operacje na danych osobowych wykonywane są za pomocą urządzeń (najczęściej systemów informatycznych, komputerów, serwerów i towarzyszących im oprogramowań) pozwalających na automatyczne działanie (a więc wykonujących samoczynnie określone czynności bez konieczności wykonywania każdej czynności przez człowieka). Procesy przetwarzania danych osobowych realizowane są najczęściej za pomocą systemów informatycznych pozwalających zautomatyzować czynności, poprawić efektywność przetwarzania przy jednoczesnym zwiększeniu szybkości i obniżeniu kosztów wykonywania tego rodzaju działań.
Prowadzenie współcześnie działalności prasowej w sposób tradycyjny (tj. przez publikacje tekstów papierowych) wraz z publikacją materiałów prasowych w Internecie lub prowadzenie działalności prasowej wyłącznie w sieci, jak również funkcjonowanie możliwości technicznych pozwalających na szybkie pozyskiwanie danych osobowych z publikowanych w Internecie materiałów prasowych, nakazuje ograniczenie czasu przetwarzania danych osobowych w materiałach prasowych dostępnych w Internecie. Dochodzi tu bowiem do przypadku kolizji prawa do prywatności gwarantowanego art. 51 Konstytucji RP z prawem do wolności wypowiedzi i dostępu do informacji gwarantowanego w przepisach art. 14 i art. 54 Konstytucji RP.
Wskazać nadto należy, że zgodnie z art. 14 Konstytucji RP z dnia 2 kwietnia 1997 r. (Dz. U. Nr 78, poz. 483 ze zm.) Rzeczpospolita Polska zapewnia wolność prasy i innych środków społecznego przekazu. W art. 54 Konstytucji uregulowano zaś gwarancje dla wolności wypowiedzi poprzez wskazanie, iż każdemu zapewnia się wolność wyrażania swoich poglądów oraz pozyskiwania i rozpowszechniania informacji (ust. 1) oraz zakaz cenzury prewencyjnej środków społecznego przekazu oraz koncesjonowania prasy z odstępstwem wyłącznie na rzecz dopuszczalności ustawowego wprowadzenia obowiązku uprzedniego uzyskania koncesji na prowadzenie stacji radiowej lub telewizyjnej (ust. 2). Jednocześnie wolność pozyskiwania i rozpowszechniania informacji obejmuje zbieranie i rozpowszechnianie danych (w tym danych osobowych) z dowolnych sfer życia o wszelkich podmiotach wszelkimi prawnie dopuszczalnymi sposobami. Z kolei art. 51 Konstytucji RP zapewnia ochronę informacji dotyczącej osoby. Kolizja tych przepisów jest więc oczywista.
Rozwiązania prawne zawarte w art. 14, art. 51 i art. 54 Konstytucji oraz w art. 85 RODO nakazują przyjąć, że pierwszeństwo wolności prasy nad ochroną prawa do prywatności możliwe jest tylko do chwili, gdy są realizowane cele działalności prasowej, a zatem do momentu, gdy materiał prasowy zgodnie z art. 1 ustawy Prawo prasowe służy urzeczywistnianiu prawa obywateli do ich rzetelnego informowania, jawności życia publicznego oraz kontroli i krytyki społecznej, tj. do chwili gdy konkretna informacja zawarta w materialne prasowym posiada przymiot aktualności. Podnieść należy, że konkretna informacja ma walor aktualności, jeśli opisuje obecne zjawiska, czy ich konkretne oceny bądź stanowi analizę zdarzeń przeszłych (tak publicystyka), a więc wyłącznie przez pewien czas. Opublikowane kiedyś informacje mogą być w istocie interesujące także po upływie znacznego czasu - dla oceny występujących zjawisk, zmian stanowisk, odtwarzania dawnych relacji prasy, co do przebiegu wypadków, czy wprost - zbierania danych o określonych osobach. W tym zakresie udostępnianie materiałów prasowych w sieci Internet – tworzących w istocie, wobec dostępnych instrumentów wyszukiwania, bazę danych osobowych - nie należy do wymienionych wprost ustawowo zadań prasy - wykracza poza bieżące informowanie o wydarzeniach czy prezentowania ich ocen przez konkretne osoby. A contrario, udostępnianie przez wydawcę publikacji archiwalnej przechowywanej na stronie internetowej nie stanowi działalność prasowej polegającą na redagowaniu, przygotowywaniu, tworzeniu lub publikowaniu materiałów prasowych w rozumieniu ustawy Prawo prasowe, do której zgodnie z przepisem art. 2 ust. 1 u.o.d.o. nie stosuje się przepisów art. 5-9, art. 11, art. 13-16, art. 18-22, art. 27, art. 28 ust. 2-10 oraz art. 30 RODO. Oznacza to, iż do tej działalności znajduje zastosowanie także przepis art. 17 RODO regulujący tzw. prawo zapomnienia, gdyż udostępnianie archiwalnych materiałów prasowych dostępnych w Internecie nie jest niezbędne do korzystania z prawa do wolności wypowiedzi i informacji, a czym mowa w art. 17 ust. 3 lit. a RODO, bowiem prawo do wolności wypowiedzi i informacji zostało zrealizowane już uprzednio, tj. w chwili opublikowania materiału posiadającego przymiot aktualności, a zatem służącego realizacji zadań prasy, o których mowa w art. 1 Prawa prasowego. Archiwalny materiał prasowy przechowywany na stronie internetowej legitymuje się cechą aktualności, poza chwilą publikacji, tylko przez pewien czas po publikacji, którego długość uzależniona jest od indywidualnych okoliczności danej sprawy. Nie może być to jednak okres zbyt długi, gdyż zrealizowanie wolności wypowiedzi otwiera czas uaktualniania się konstytucyjnego prawo do ochrony prywatności.
Podsumowując stwierdzić należy, że istnieje podstawa prawna do działania organu - Prezesa UODO i jest nim art. 17 ust.1-3 RODO, gdyż jego stosowanie (podobnie jak np. art.10 RODO) nie zostało wyłączone w ramach klauzuli prasowej – art. 2 ust.1 u.o.d.o.
W związku z powyższymi zapatrywaniami należy zatem podzielić konstatację Sądu pierwszej instancji, że organ powinien odnieść się merytorycznie do skargi J. M. i rozstrzygnąć sprawę co do istoty. Trafnie zatem stwierdził Sąd pierwszej instancji, że wobec konkretnego żądania skarżącego rolą rozpoznającego skargę wyspecjalizowanego organu jest rozważenie, czy - z perspektywy wolności dostępu do informacji - dalsze przetwarzanie w materiale prasowym z [...] r. danych osobowych skarżącego jest w istocie niezbędne.
Naczelny Sąd Administracyjny wskazuje przy tym, że w uzasadnieniu zaskarżonego wyroku Sąd pierwszej instancji stwierdził, że "Sąd nie przesądza o tym, czy materiał prasowy przechowywany na stronie internetowej portalu [...] posiada cechę aktualności, czy jest to materiał archiwalny". Zdaniem Naczelnego Sądu Administracyjnego Sąd meriti niekonsekwentnie powołał się w tym zakresie na stanowisko wyrażone w wyroku Naczelnego Sądu Administracyjnego z dnia 9 lutego 2023 r.; sygn. akt III OSK 6781/21. Niemniej w ocenie Naczelnego Sądu Administracyjnego zasygnalizowany mankament uzasadnienia wyroku Sądu pierwszej instancji pozostaje jednakże bez wpływu na wynik sprawy.
Według Naczelnego Sądu Administracyjnego przeprowadzenie postępowania przez organ i rozstrzygnięcie sprawy w drodze decyzji zapewni stronie właściwy standard w przedmiocie ochrony danych osobowych. Podkreślić należy, że skarżący w skardze do Wojewódzkiego Sądu Administracyjnego w Warszawie domagał się uchylenia zaskarżonego postanowienia w całości oraz zobowiązania organu do przeprowadzenia postępowania administracyjnego w sprawie ze wszelkimi jego elementami, a po przeprowadzeniu tego postępowania do wydania decyzji. Naczelny Sąd Administracyjny nie neguje mechanizmów działania, jakie stanowią fundament działalności prasowej, ale jak już podniesiono, prowadzenie współcześnie działalności prasowej w sposób tradycyjny wraz z publikacją materiałów prasowych w Internecie lub prowadzenie działalności prasowej wyłącznie w sieci nakazuje ograniczenie czasu przetwarzania danych osobowych w materiałach prasowych dostępnych w Internecie. Zatem zasadnie Sąd meriti argumentował, że utrzymywanie publikacji zawierającej wypowiedzi krytyczne wobec określonej osoby - może nie służyć dostarczaniu obiektywnej informacji prasowej (aktualnej czy archiwalnej), lecz może służyć np. kreowaniu wizerunku konkretnych postaci, wedle przyjętych przez administratora kryteriów doboru pozostawianych w Internecie materiałów prasowych. Może to, w ocenie Naczelnego Sądu Administracyjnego, skutkować dożywotnią stygmatyzacją określonej osoby, szczególnie wtedy, gdy krytyczna wypowiedź po latach okaże się bezpodstawna.
Podzielić także należy stanowisko Sądu pierwszej instancji, iż organ, nie czyniąc zadość obowiązkowi rozważenia sprawy we wskazanych wcześniej aspektach wobec treści art. 17 RODO, uchybił przepisom prawa procesowego w zakresie obowiązku właściwego wyjaśnienia sprawy w jej istotnych aspektach, czemu musiałby dać wyraz w uzasadnieniu zaskarżonego aktu (art. 7, art. 77 § 1 art. 80 oraz art. 107 § 3 w związku z art. 8 § 1 i art. 11 k.p.a.). Naruszenie wskazanych przepisów mogło mieć istotny wpływ na wynik sprawy. W jego następstwie nie rozpoznano bowiem sprawy w istotnym zakresie. Przyczyną tego była błędna wykładnia przepisu prawa materialnego, zakreślającego zakres sprawy. W realiach rozpatrywanej sprawy badania wymagało bowiem zastosowanie art. 17 RODO, tj. prawa do bycia zapomnianym do działalności archiwów w konkretnym stanie faktycznym, jako że przepis ten nie został objęty wyłączeniem z art. 2 u.o.d.o. Tym samym prawidłowo Sąd pierwszej instancji uznał, że w sprawie bezzasadnie odmówiono wszczęcia postępowania z odwołaniem się do dyspozycji art. 61a § 1 k.p.a.
Zdaniem Naczelnego Sądu Administracyjnego przeprowadzenie w niniejszej sprawie postępowania nie będzie skutkowało tym, że wyspecjalizowany organ nadzoru stanie się cenzorem działalności prasowej, jak podnosi autor skargi kasacyjnej. Artykuł prasowy w wersji papierowej sprzed lat dotyczący skarżącego nie zniknie bowiem z przestrzeni. Będzie dostępny w zasobach archiwalnych, bibliotekach, czy też wreszcie w domach czytelników danego pisma. Ponadto, jak już wskazano, artykuł prasowy opublikowany w formie tradycyjnej w [...] r. może być przedmiotem badań i analiz dla oceny występujących zjawisk lub co do przebiegu zdarzeń albo wprost służyć do zbierania danych o skarżącym. Zatem prawo do informacji nadal może być realizowane. Nie budzi więc wątpliwości, że prowadzone postępowanie nie będzie służyło ingerencji, w to co zostało opublikowane na temat skarżącego, czyli w wolność wypowiedzi prasy. Jak prawidłowo wskazał Sąd pierwszej instancji, organ ponownie prowadząc sprawę rozważy, czy skarżący może skutecznie żądać zaprzestania przetwarzania danych osobowych w materiale opublikowanym na portalu [...], biorąc pod uwagę niewyłączone przepisy RODO.
W konsekwencji podniesione w petitum skargi kasacyjnej zarzuty naruszenia prawa materialnego i procesowego uznać należało za nieuzasadnione.
Jak wskazano na wstępie, przytoczone w skardze kasacyjnej przyczyny wadliwości prawnej zaskarżonego wyroku determinują zakres kontroli dokonywanej przez sąd drugiej instancji, który w odróżnieniu od sądu pierwszej instancji nie bada całokształtu sprawy, lecz tylko weryfikuje zasadność zarzutów podniesionych we wniesionym środku odwoławczym. W realiach rozpatrywanej sprawy Naczelny Sąd Administracyjny uznał, że skarga kasacyjna nie zawierała usprawiedliwionych podstaw, w związku z czym, na podstawie art. 184 P.p.s.a., orzekł jak sentencji wyroku, o jej oddaleniu.
Niniejsza sprawa zastała rozpoznana na posiedzeniu niejawnym na podstawie art. 182 § 2 i 3 P.p.s.a., bowiem skarżący kasacyjnie organ zrzekł się rozprawy, zaś skarżący nie zażądał jej przeprowadzenia.