II SA/Wa 444/10

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Przemysław Szustakiewicz (spr.), Sędziowie Janusz Walawski, Eugeniusz Wasilewski, Protokolant Elwira Sipak, po rozpoznaniu na rozprawie w dniu 13 lipca 2010 r. sprawy ze skargi B. S. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] stycznia 2010 r. nr [...] w przedmiocie umorzenia postępowania w sprawie przetwarzania danych osobowych - oddala skargę - Generalny Inspektor Ochrony Danych Osobowych, działając na podstawie art. 138 § 1 pkt 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2000 r. Nr 98, poz. 1071 z późn. zm.) oraz art. 12 pkt 2 i art. 22 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 z późn. zm.), decyzją z dnia [...] stycznia 2010 r. nr [...], po rozpatrzeniu wniosku B. S. o ponowne rozpatrzenie sprawy, utrzymał w mocy własną decyzję z dnia [...] września 2009 r. nr [...] w przedmiocie umorzenia postępowania w sprawie ochrony danych osobowych. W uzasadnieniu organ wskazał na następujący stan faktyczny. Otóż, do Generalnego Inspektora Ochrony Danych Osobowych wpłynęła skarga B. S. z dnia [...] lutego 2009 r. na przetwarzanie jej danych osobowych przez M. M. prowadzącą działalność gospodarczą pod firmą K. z siedzibą w W. W piśmie tym skarżąca wskazała, że w grudniu 2008 r. posługując się wyszukiwarką Google ustaliła, iż po wpisaniu jej imienia i nazwiska jako wynik wyszukiwania pojawia się strona internetowa K., na której widnieje jej imię i nazwisko oraz adres e-mail, a także informacje o tym, kiedy po raz pierwszy zalogowała się na wskazanej stronie internetowej oraz dokonała pierwszego zakupu. Na stronie tej oprócz jej danych znajdowały się również dane osobowe innych klientów. Wobec powyższego wniosła o przeprowadzenie kontroli zgodności przetwarzania danych osobowych z przepisami ustawy o ochronie danych osobowych, w szczególności ich bezprawnego, publicznego udostępniania przez okres ponad 300 dni, ich bezprawnego wykorzystania do celu, do którego nie były przeznaczone oraz ich dalszego bezprawnego wykorzystywania pomimo wyraźnego żądania ich usunięcia. W toku przeprowadzonego postępowania Generalny Inspektor Ochrony Danych Osobowych ustalił, iż w marcu oraz listopadzie 2008 r. B. S. dokonała zakupu w sklepie internetowym K. Natomiast pismem z dnia [...] stycznia 2009 r., w związku z uzyskaniem informacji, że po wpisaniu jej imienia i nazwiska jako wynik wyszukiwania pojawia się strona internetowa K., na której widnieją jej dane osobowe, zwróciła się do K. o m.in. usunięcie jej danych osobowych ze zbiorów sklepu. Z kolei, odpowiadając na wezwanie organu, prowadząca sklep internetowy K. M. M. oświadczyła, że strona internetowa sklepu została w dniu [...] lutego 2009 r. zastąpiona stroną w nowej formie technicznej, zaś istniejące dotychczas forum dyskusyjne, na którym znajdowały się ograniczone informacje o zarejestrowanych użytkownikach, zostało zlikwidowane. Podkreśliła, że obecnie sklep K. oraz jego strona internetowa nie posiadają żadnych danych osobowych B. S., a zatem dane te nie są również przetwarzane przez wskazane podmioty. Wobec zebranego materiału dowodowego Generalny Inspektor Ochrony Danych Osobowych, uznając, że nie istnieje już stan naruszenia przepisów o ochronie danych osobowych, decyzją z dnia [...] września 2009 r. nr [...], działając na podstawie art. 105 § 1 kpa oraz art. 12 pkt 2 i art. 22 ustawy o ochronie danych osobowych, umorzył postępowanie w sprawie. W dniu [...] września 2009 r. skarżąca wniosła o ponowne rozpatrzenie sprawy, zarzucając organowi rażące naruszenie art. 105 § 1 kpa, poprzez jego niesłuszne zastosowanie i umorzenie postępowania jako bezprzedmiotowego, podczas gdy prawidłowa ocena zgromadzonego w sprawie materiału dowodowego prowadzi do wniosku, że M. M. w dalszym ciągu narusza art. 24 ust. 1 pkt 1 ustawy o ochronie danych osobowych, co oznacza, że organ winien zastosować w niniejszej sprawie art. 18 ust. 1 pkt 1 tej ustawy i nakazać w drodze decyzji usunięcie tego uchybienia. Ponadto zarzuciła organowi naruszenie art. 7, 77 i 107 § 3 kpa oraz art. 12 ustawy o ochronie danych osobowych, poprzez zaniechanie rzetelnej kontroli oraz zebrania z urzędu i rozpatrzenia materiału dowodowego, a także niewskazanie w uzasadnieniu decyzji, jakie fakty organ uznał za udowodnione lub nieudowodnione, na jakich dowodach się oparł, wydając swoje rozstrzygnięcie, a także czy w sprawie doszło do naruszenia przepisów o ochronie danych osobowych, jakiego było ono rodzaju, w jakich okolicznościach nastąpiło, czy i kiedy uchybienia zostały usunięte. W uzasadnieniu natomiast wskazała, iż Generalny Inspektor Ochrony Danych Osobowych niesłusznie ograniczył postępowanie dowodowe wyłącznie do wyjaśnień pisemnych M. M. oraz uznał je za wiarygodne, przekonujące i wyczerpujące, zaś pominął dowody przedstawiane przez skarżącą. W swoim piśmie skarżąca zawarła również liczne wnioski dowodowe na potwierdzenie wskazywanych przez siebie okoliczności. W uzasadnieniu decyzji z dnia [...] stycznia 2010 r. organ podtrzymał argumentację wyrażoną w decyzji I instancji. Ponadto wskazał, że w związku z okolicznościami podniesionymi przez skarżącą ustalono, iż aktualnie po wpisaniu imienia i nazwiska skarżącej do wyszukiwarki Google, jako wynik wyszukiwania nie widnieją jej dane osobowe na stronie internetowej sklepu K. Organ ocenił, że materiał dowodowy w sprawie został zebrany i rozpatrzony w sposób wyczerpujący z uwzględnieniem wszelkich dokumentów i wyjaśnień złożonych przez skarżącą. Odnosząc się do żądania skarżącej, dotyczącego naruszenia art. 24 ust. 1 pkt 1 ustawy o ochronie danych osobowych polegającego na nieinformowaniu przez M. M., tych osób, których dane osobowe zbiera, o swoim miejscu zamieszkania oraz imieniu i nazwisku, organ wskazał, iż przedmiotem postępowania ze skargi osoby fizycznej mogą być wyłącznie kwestie przetwarzania jej danych osobowych, a nie osób trzecich. W ocenie Generalnego Inspektora Ochrony Danych Osobowych, ponieważ na dzień wydania zaskarżonej decyzji M. M. nie przetwarzała danych osobowych skarżącej, brak było podstaw do merytorycznego rozstrzygnięcia sprawy bowiem stan naruszenia nie istniał. Powyższa decyzja stała się przedmiotem skargi B. S. do Wojewódzkiego Sądu Administracyjnego w Warszawie, w której wniosła o jej uchylenie oraz zasądzenie kosztów postępowania. Decyzji zarzuciła naruszenie art. 7, 77 § 1 i 3 kpa, poprzez zaniechanie rzetelnej kontroli wykonywania przez M. M. przepisów ustawy o ochronie danych osobowych, zaniechanie wyczerpującego rozpatrzenia materiału dowodowego w celu ustalenia prawdy obiektywnej oraz wyjaśnienia rodzajów i okoliczności naruszeń cyt. ustawy, naruszenie art. 12 i art. 18 ust. 1 ustawy o ochronie danych osobowych, poprzez niesłuszne uznanie, że przedmiotem postępowania ze skargi osoby fizycznej mogą być wyłącznie kwestie przetwarzania jej danych osobowych oraz naruszenie art. 107 § 3 kpa, poprzez sporządzenie uzasadnienia niespełniającego wymogów zawartych w tym przepisie. W uzasadnieniu skarżąca powtórzyła argumenty przedstawione we wniosku o ponowne rozpatrzenie sprawy. W odpowiedzi na skargę organ wniósł o jej oddalenie, podtrzymując stanowisko wyrażone w zaskarżonej decyzji. W piśmie z dnia 8 lipca 2010 r. uczestnik postępowania – M. M. wniosła o oddalenie skargi, wskazując, że nie można uznać, iż zaskarżona decyzja wydana została z naruszeniem wskazywanych przez skarżącą przepisów postępowania oraz przepisów ustawy o ochronie danych osobowych. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: Na podstawie art. 13 § 2 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. Nr 153, poz. 1270 z późn. zm.), do rozpoznania sprawy właściwy jest wojewódzki sąd administracyjny, na którego obszarze właściwości ma siedzibę organ administracji publicznej, którego działalność została zaskarżona. Natomiast zgodnie z treścią art. 1 § 1 i 2 ustawy z dnia 25 lipca 2002 r. – Prawo o ustroju sądów administracyjnych (Dz. U. Nr 153, poz. 1269 z późn. zm.), sąd administracyjny sprawuje wymiar sprawiedliwości poprzez kontrolę pod względem zgodności z prawem zaskarżonej decyzji administracyjnej i to z przepisami obowiązującymi w dacie jej wydania. Rozpatrywana pod tym względem skarga nie zasługuje na uwzględnienie. Na wstępie należy wskazać, że podstawę prawną zaskarżonych decyzji stanowi przepis art. 105 § 1 Kpa. Przepis ten stanowi, że organ administracji wydaje decyzję o umorzeniu, gdy postępowanie z jakiejkolwiek przyczyny stało się bezprzedmiotowe. Bezprzedmiotowość postępowania oznacza, że brak jest któregoś z elementów materialnego stosunku prawnego, a wobec tego nie można wydać decyzji załatwiającej sprawę przez rozstrzygniecie jej co do istoty. Zgodnie natomiast z treścią art. 18 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. Nr 101, poz. 926 z późn. zm.), w przypadku naruszenia przepisów o ochronie danych osobowych Generalny Inspektor z urzędu lub na wniosek osoby zainteresowanej, w drodze decyzji administracyjnej, nakazuje przywrócenie stanu zgodnego z prawem, a w szczególności: 1) usunięcie uchybień, 2) uzupełnienie, uaktualnienie, sprostowanie, udostępnienie lub nieudostępnienie danych osobowych, 3) zastosowanie dodatkowych środków zabezpieczających zgromadzone dane osobowe, 4) wstrzymanie przekazywania danych osobowych do państwa trzeciego, 5) zabezpieczenie danych lub przekazanie ich innym podmiotom, 6) usunięcie danych osobowych. Powyższe oznacza, że aby mogło dojść do wydania decyzji merytorycznej na podstawie wskazanego przepisu, dane osobowe osoby zainteresowanej – która złożyła do organu wniosek dotyczący przetwarzania jej danych osobowych – muszą znajdować się w posiadaniu podmiotu, którego wniosek ten dotyczy. Decyzja nakazująca przywrócenie stanu zgodnego z prawem nie może bowiem zostać wydana w sytuacji, gdy organ stwierdzi dokonanie w przeszłości naruszeń ustawy o ochronie danych osobowych, jeśli dane te zostały następnie usunięte. Jak wynika z wyjaśnień M. M. prowadzącej działalność gospodarczą pod firmą K. z siedzibą w W., dane osobowe B. S. w dniu wydania zaskarżonej decyzji nie znajdowały się w posiadaniu sklepu K., nie były również umieszczone na stronie internetowej tego sklepu. Analiza zgromadzonego przez organ materiału dowodowego, w tym argumentów i zarzutów podnoszonych przez skarżącą, nie pozwala natomiast zakwestionować udzielonych w tym zakresie wyjaśnień. A zatem w sytuacji, gdy w niniejszej sprawie dane osobowe skarżącej zostały usunięte, Sąd uznał, że zasadne było stanowisko Generalnego Inspektora Ochrony Danych Osobowych o bezprzedmiotowości postępowania, a co za tym idzie decyzja o umorzeniu postępowania podjęta została zgodnie z prawem. Nietrafny jest zarzut skarżącej, że Generalny Inspektor Ochrony Danych Osobowych niesłusznie zawęził przedmiot postępowania wyłącznie do jej danych osobowych. Wskazać bowiem należy, że przedmiot postępowania wszczętego nie z urzędu, lecz na wniosek osoby zainteresowanej, jest ograniczony wyłącznie do przetwarzania jej danych osobowych i to w zakresie wskazanym we wniosku. Organ nie jest zaś uprawniony do wykraczania poza zakreślone w ten sposób ramy postępowania administracyjnego. W kwestii pozostałych zarzutów Sąd uznał, iż również nie zasługują one na uwzględnienie. W przeprowadzonym postępowaniu administracyjnym organ nie naruszył art. 7 oraz art. 77 kpa i stosownie do dyspozycji tego przepisu podjął wszelkie kroki niezbędne do dokładnego wyjaśnienia stanu faktycznego oraz załatwienia sprawy, mając na względzie interes społeczny i słuszny interes obywateli. Uzasadnienie zaskarżonej decyzji spełnia wymogi, o których mowa w art. 107 § 3 kpa. Organ odniósł się także do wniosków i zarzutów skarżącej oraz dokonał właściwej analizy całości sprawy i wydał prawidłowe rozstrzygnięcie. Mając powyższe ustalenia na uwadze, na podstawie art. 151 ustawy – Prawo o postępowaniu przed sądami administracyjnymi, Sąd orzekł jak w sentencji.