I OSK 813/12

Naczelny Sąd Administracyjny w składzie następującym: Przewodniczący Sędzia NSA Joanna Banasiewicz, Sędzia NSA Małgorzata Pocztarek, Sędzia del. WSA Mirosław Gdesz (spr.), Protokolant starszy inspektor sądowy Kamil Wertyński, po rozpoznaniu w dniu 22 marca 2013 r. na rozprawie w Izbie Ogólnoadministracyjnej skargi kasacyjnej T. W. od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 19 grudnia 2011 r. sygn. akt II SA/Wa 2209/11 w sprawie ze skargi T. W. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] czerwca 2010 r. nr [...] w przedmiocie ochrony danych osobowych oddala skargę kasacyjną Wojewódzki Sąd Administracyjny w Warszawie wyrokiem z dnia 19 grudnia 2011 r. sygn. akt II SA/Wa 2209/11 oddalił skargę T. W. (dalej powoływany jako skarżący) na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] czerwca 2010 r. nr [...] w przedmiocie ochrony danych osobowych. Wyrok ten zapadł w następujących okolicznościach faktycznych i prawnych: Skarżący 15 stycznia 2008 r. złożył skargę na przetwarzanie jego danych osobowych przez N. Sp. z o.o. z siedzibą we Wrocławiu (dalej: Spółka), w treści której wskazał, że jego dane osobowe, w zakresie obejmującym jego wizerunek, imię, nazwisko, zostały, bez jego zgody, opublikowane na stronie internetowej [...]. Skarżący kilkakrotnie - bezskutecznie, zwracał się do Spółki z żądaniem zaprzestania przetwarzania jego danych osobowych w zakresie imienia i nazwiska, poprzez usunięcie podpisu zamieszczonego pod zdjęciem klasowym, na którym figuruje. W związku z powyższym zwrócił się do organu z żądaniem spowodowania "usunięcia podpisu pod zdjęciem" oraz "ukarania portalu za niedopełnienie obowiązku". Decyzją z dnia [...] maja 2008 r. nr [...] Generalny Inspektor Ochrony Danych Osobowych (dalej GIODO) odmówił uwzględnienia powyższego wniosku skarżącego. Po ponownym rozpatrzeniu sprawy, organ ten decyzją z dnia [...] września 2008 r. nr [...] uchylił zaskarżoną decyzję z dnia [...] maja 2008 r. i umorzył postępowanie. W uzasadnieniu przedmiotowego rozstrzygnięcia GIODO podniósł, że kwestionowane przez skarżącego informacje nie stanowią jego danych osobowych w rozumieniu art. 6 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz.U. z 2002 r. Nr 101, poz. 926 ze zm.). Wojewódzki Sąd Administracyjny w Warszawie, wyrokiem z dnia 3 marca 2009 r. sygn. akt II SA/Wa 1495/08, uwzględnił skargę T. W. i uchylił zaskarżoną decyzję. Sąd uznał, że na portalu internetowym N. ujawniono wizerunek oraz imię i nazwisko skarżącego – dane osobowe, które podlegają ochronie, bowiem na ich podstawie można zidentyfikować osobę. Naczelny Sąd Administracyjny wyrokiem z dnia 18 listopada 2009 r. sygn. akt I OSK 667/09 oddalił skargę kasacyjną Spółki wniesioną od ww. wyroku WSA w Warszawie z dnia 3 marca 2009 r. Zdaniem NSA, gdy zdjęcie jest umieszczone wraz z imieniem i nazwiskiem osoby na nim występującej, należy uznać, iż stanowi ono dane osobowe podlegające ochronie na podstawie ustawy o ochronie danych osobowych, wobec czego skarżący musi otrzymać ochronę określoną w art. 1 w/w ustawy. Przeprowadzając ponownie postępowanie, GIODO decyzją z dnia [...] czerwca 2010 r. nr [...] dot. [...], uchylił decyzję organu I instancji z dnia [...] maja 2008 r. i odmówił uwzględnienia wniosku skarżącego. Organ ocenił, że informacje na temat skarżącego, publikowane na dzień wydania decyzji na stronie [...], w zakresie obejmującym jego imię i nazwisko, w połączeniu z informacją o nazwie i adresie szkoły podstawowej oraz oznaczeniem klasy, do której uczęszczał, wraz z jego wizerunkiem z 1978/1979 roku, umożliwiają identyfikację skarżącego, a tym samym stanowią jego dane osobowe. Organ zaznaczył, że mimo iż powyższe dane nie są aktualnie podawane przez Spółkę do publicznej wiadomości, bowiem ww. zdjęcie wraz z komentarzem zostało usunięte z podanego adresu i nie podlega obecnie upublicznieniu, to Spółka nadal je przetwarza. Zachowała ona bowiem wskazane informacje "na serwerze" oraz w "pamięci systemu", uzasadniając powyższe celami dowodowymi. W ocenie GIODO, Spółka jest administratorem przedmiotowych danych, w rozumieniu art. 7 pkt 4 ustawy o ochronie danych osobowych, potwierdzeniem czego jest fakt, że zdecydowała o kontynuowaniu procesu przetwarzania kwestionowanych danych osobowych skarżącego (polegającym na ich dalszym przechowywaniu na serwerze Spółki, w pamięci systemu) oraz o celu takiego przetwarzania danych (cele dowodowe). Zdaniem organu, proces przetwarzania przez Spółkę kwestionowanych danych osobowych skarżącego jest obecnie realizowany na warunkach określonych w art. 23 ust. 1 pkt 5 ustawy o ochronie danych osobowych, zgodnie z którym ustawa dopuszcza przetwarzanie danych osobowych w szczególności wówczas, gdy jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą. Zachowanie przedmiotowych danych dla celów dowodowych stanowi prawnie usprawiedliwiony cel Spółki. Jednocześnie, zdaniem GIODO, brak jest podstaw by uznać, że przetwarzanie danych osobowych skarżącego w opisany sposób narusza jakiekolwiek jego prawa czy wolności Przeciwnie, stanowi działanie podjęte w równym stopniu w interesie Spółki – jako podmiotu, wobec którego mogą być kierowane ewentualne roszczenia skarżącego, jak i jego samego – stanowiąc dowód na potwierdzenie kwestionowanych przez niego okoliczności. GIODO podkreślił, że skarżący jednoznacznie wskazał, że domaga się doprowadzenia do usunięcia przez Spółkę przetwarzanych w ramach portalu [...] (obecnie: [...]) informacji o jego imieniu i nazwisku. Zdaniem GIODO, wobec stwierdzenia, że kwestionowane informacje o skarżącym są w chwili obecnej przetwarzane (przechowywane w celach dowodowych, bez ich publikowania), na warunkach określonych w art. 23 ust. 1 pkt 5 ustawy, wniosek skarżącego nie zasługuje na uwzględnienie. W chwili obecnej dane osobowe skarżącego są przetwarzane przez Spółkę wyłącznie w celach archiwalnych i dowodowych – z jednej strony w celu możności dochodzenia przez skarżącego jego roszczeń wobec Spółki związanych z formułowanymi pod jej adresem zarzutami, z drugiej strony możliwości obrony Spółki przed tymi zarzutami. Skarżący na decyzję z dnia [...] czerwca 2010 r. nr [...] dot. [...], wniósł skargę do Wojewódzkiego Sądu Administracyjnego w Warszawie, domagając się jej uchylenia, jako decyzji wydanej z rażącym naruszeniem prawa. W uzasadnieniu skargi skarżący podniósł, że zaskarżona decyzja nie jest zgodna z przesłankami i rozstrzygnięciami zawartymi w uzasadnieniach wyroków WSA w Warszawie z dnia 3 marca 2009 r. i NSA z dnia 18 listopada 2009 r. W odpowiedzi na skargę organ wniósł o jej oddalenie. Wojewódzki Sąd Administracyjny w Warszawie, wyrokiem z dnia 1 grudnia 2010 r. sygn. akt II SA/Wa 1212/10, uchylił zaskarżoną decyzję oraz poprzedzającą ją decyzję z dnia [...] maja 2008 r. Naczelny Sąd Administracyjny, po rozpoznaniu skargi kasacyjnej GIODO, wyrokiem z dnia 15 lipca 2011 r. sygn. akt I OSK 238/11 uchylił powyższy wyrok WSA w Warszawie z dnia 1 grudnia 2010 r. i przekazał sprawę WSA w Warszawie do ponownego rozpoznania. W uzasadnieniu przedmiotowego orzeczenia NSA podniósł, iż błędnie Wojewódzki Sąd Administracyjny w Warszawie uznał, że GIODO przy rozpatrywaniu sprawy nie dopełnił obowiązku jej dokładnego zbadania i wyjaśnienia z uwzględnieniem całokształtu jej okoliczności. NSA wskazał, że w przypadku wszczęcia postępowania z wniosku strony, wynikające z niego żądanie wyznacza zakres sprawy podlegającej rozpoznaniu przez organ. Pierwotna skarga T. W., na podstawie której GIODO wszczął postępowanie, dotyczyła umieszczenia jednego zdjęcia z jego wizerunkiem i podpisem pod tym zdjęciem. Także w toku postępowania administracyjnego nie sformułował on zarzutu nieuprawnionego przetwarzania jego danych osobowych w zakresie innym, niż utrwalony na tej fotografii oraz w podpisie do niej, a także nie kierował pod adresem organu innych żądań. A zatem GIODO prawidłowo objął zakresem prowadzonego postępowania zagadnienie przetwarzania przez Spółkę jego danych osobowych w zakresie utrwalonym na ściśle określonej fotografii klasowej oraz podpisie do niej. Poza tym w uzasadnieniach wyroków wydanych w tej sprawie przez Wojewódzki Sąd Administracyjny w Warszawie (wyrok z dnia 3 marca 2009 r. sygn. akt II SA/Wa 1495/08) i przez Naczelny Sąd Administracyjny (wyrok z dnia 18 listopada 2009 r. sygn. akt I OSK 667/09) zawarta została ocena dokładnie określonych informacji na temat skarżącego publikowanych na portalu [...], a nie wszystkich ewentualnych informacji na jego temat ujawnionych na ww. portalu. NSA zauważył, że organ ochrony danych osobowych nie posiada instrumentów prawnych, które umożliwiłyby mu wyręczanie strony w kwestii ustalenia okoliczności faktycznych, które ewentualnie mogą stać się przedmiotem zaskarżenia. Ponadto Sąd pierwszej instancji nie wskazał, w jaki sposób organ ochrony danych osobowych miałby ustalać, czy na portalu [...] przetwarzane są jakiekolwiek informacje na temat skarżącego oraz weryfikować, które z nich jego dotyczą. Przede wszystkim jednak skarżący w toku postępowania nie ustalił zakresu żądania. Tym samym, w ocenie NSA, Sąd pierwszej instancji nakazał GIODO rozstrzygnięcie z urzędu o materii nieobjętej wnioskiem skarżącego. Wojewódzki Sąd Administracyjny w Warszawie, po ponownym rozpatrzeniu sprawy, wyrokiem z dnia 19 grudnia 2011 r. sygn. akt II SA/Wa 2209/11, oddalił skargę T. W. Sąd I instancji wskazał, że Naczelny Sąd Administracyjny przesądził, że organ prawidłowo określił zakres postępowania administracyjnego stwierdzając, iż dotyczy ono jedynie zagadnienia przetwarzania przez Spółkę danych osobowych strony w zakresie utrwalonym na ściśle określonej fotografii klasowej. Wobec powyższego, istota sprawy w niniejszym postępowaniu sprowadzała się do wykładni przepisu art. 23 ust. 1 pkt 5 ustawy o ochronie danych osobowych. Zgodnie z tym przepisem przetwarzanie danych osobowych jest dopuszczalne jedynie wtedy, gdy jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów, realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie to nie narusza praw i wolności osoby, której dane dotyczą. Odnosząc się do drugiej z ww. przesłanek, tj. naruszeń praw i wolności osoby której dane dotyczą, zdaniem Sądu I instancji obecne przetwarzanie tych danych przez Spółkę, nie narusza praw i wolności strony. Okolicznością niesporną jest bowiem to, że dane osobowe skarżącego, w zakresie utrwalonym na spornej fotografii klasowej i zamieszczone tam podpisy, nie są aktualnie podawane do publicznej wiadomości. Do danych osobowych strony nie mają więc dostępu osoby odwiedzające sporny portal internetowy. W ocenie tutejszego Sądu spełniona jest też pierwsza przesłanka opisana w omawianym przepisie. Wobec zapowiedzi strony, iż wystąpi wobec Spółki na drogę sądową z roszczeniami związanymi z legalnością przetwarzania jego danych osobowych, Spółka była uprawniona do utrwalenia danych osobowych skarżącego i zachowania ich dla celów dowodowych, na wypadek ewentualnego postępowania sądowego. Zapowiedź wystąpienia z roszczeniami uprawdopodabnia bowiem potrzebę gromadzenia przez Spółkę dowodów, którymi będzie mogła się posłużyć, jeśli strona zrealizuje swoje zapowiedzi wytoczenia powództwa. Za koniecznością omawianego przetwarzania danych osobowych strony przemawiała też okoliczność podniesiona przez uczestnika postępowania w piśmie procesowym z dnia 20 kwietnia 2011 r., iż przedmiotowe zdjęcie jest dowodem w postępowaniu przygotowawczym prowadzonym przez Policję. Poprawność skarżonego rozstrzygnięcia znajduje również potwierdzenie w fakcie podniesionym przez uczestnika na rozprawie przed Wojewódzkim Sądem Administracyjnym w Warszawie, iż w chwili obecnej skarżący wytoczył powództwo przeciwko Spółce, w związku z przetwarzaniem danych osobowych strony w postaci spornego zdjęcia. Ta okoliczność dodatkowo potwierdza, iż Spółka miała podstawy ku temu, aby przetwarzać dane osobowe strony. Od powyższego wyroku skarżący, zastępowany przez pełnomocnika z urzędu, wniósł skargę kasacyjna, zarzucając: 1) naruszenie przepisów postępowania, mogące mieć istotny wpływ na wynik sprawy, tj. art. 3 § 1 P.p.s.a. w zw. z art. 134 § 1 i art. 141 § 4 P.p.s.a. i art. 153 P.p.s.a. oraz art. 8 i art. 107 § 3 Kpa poprzez nieuwzględnienie faktu wadliwości uzasadnienia zaskarżonej decyzji, polegające na tym, że nie wskazuje ona faktów, które organ uznał za udowodnione w zakresie dokonanych przez Spółkę naruszeń dotyczących przetwarzania danych osobowych skarżącego, 2) naruszenie prawa materialnego przez niewłaściwe zastosowanie, tj.: a) art. 145 § 1 pkt 1 lit. a) P.p.s.a. w zw. z art. 25 ust. 1 ustawy o ochronie danych osobowych poprzez nieuwzględnienie skargi mimo trwającego w dniu wydania zaskarżonej decyzji stanu niewypełnienia określonego w art. 25 ust. 1 ustawy obowiązku poinformowania osoby, której dane osobowe są przetwarzane, w szczególności, o celu i zakresie zbierania danych, w tym o odbiorcach danych, które to naruszenie prawa spowodowało, że skarżący nie miał wystarczającej wiedzy na temat sposobu przetwarzania jego danych przez Spółkę, co uniemożliwiło mu skuteczne sprecyzowanie lub rozszerzenie skargi o dalsze naruszenia, w sytuacji zmiany sposobu przetwarzania danych skarżącego przez Spółkę, co z kolei skutkowało nieuwzględnieniem skargi i wydaniem zaskarżonej decyzji; b) art. 145 § 1 pkt 1 lit. a) P.p.s.a. w zw. z art. 26 ust. 1 pkt 1 i 3 ustawy o ochronie danych osobowych poprzez nieuwzględnienie skargi mimo trwającego w dniu wydania zaskarżonej decyzji stanu przetwarzania przez Spółkę danych osobowych skarżącego w sposób niezgodny z prawem oraz nieadekwatny do celu, w jakim były (w dalszym ciągu są) przetwarzane, tj. poprzez kontynuowanie przetwarzania danych osobowych skarżącego bez realizacji prawnie usprawiedliwionego celu określonego w art. 23 ust. 1 pkt 5 usatwy; 3) naruszenie prawa materialnego przez błędną wykładnię, tj. art. 145 § 1 pkt 1 lit. a) P.p.s.a. w zw. z art. 23 ust. 1 pkt 5 ustawy o ochronie danych osobowych poprzez przyjęcie, że Spółka była uprawniona do utrwalenia danych osobowych skarżącego i zachowania ich dla celów dowodowych, na wypadek ewentualnego postępowania sądowego z powództwa skarżącego. W uzasadnieniu skargi kasacyjnej skarżący sformułował argumentację dotyczącą podniesionych zarzutów, a która - w zasadzie – zawarta została już w samych wymienionych zarzutach. Mając na uwadze powyższe, skarżący wniósł o uchylenie zaskarżonego wyroku w całości i przekazanie sprawy Wojewódzkiemu Sądowi Administracyjnemu w Warszawie do ponownego rozpoznania. W odpowiedzi na skargę kasacyjną organ wniósł o jej oddalenie twierdząc, że zarzuty sformułowane w skardze kasacyjnej są bezzasadne. Zdaniem GIODO, dokonał on oceny działań Spółki (mających za przedmiot dane osobowe skarżącego), która skutkowała nieuzględnieniem wniosku z uwagi na przetwarzanie, w dacie orzekania, danych osobowych skarżącego w sposób zgodny z ustawą o ochronie danych osobowych. Naczelny Sąd Administracyjny zważył, co następuje: Stosownie do art. 183 § 1 ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (Dz.U. z 2012 r. poz. 270 ze zm. – zwanej dalej "P.p.s.a."), Sąd rozpoznaje sprawę w granicach skargi kasacyjnej, biorąc z urzędu pod uwagę tylko okoliczności uzasadniające nieważność postępowania, a które to okoliczności w tym przypadku nie zachodziły. Tak więc postępowanie kasacyjne w niniejszej sprawie sprowadzało się wyłącznie do badania zasadności podstaw kasacyjnych, przytoczonych w wyżej przytoczonej skardze kasacyjnej. Zarzuty podniesione w niej obejmowały obie podstawy kasacyjne, wymienione w art. 174 pkt 1 i 2 P.p.s.a., ale – choć z punktu widzenia formalnego zostały one poprawnie sformułowane – w istocie rzeczy okazały się nieusprawiedliwione. Odnosząc się w pierwszej kolejności do zarzutu naruszenia przepisów postępowania, które to naruszenie mogło mieć istotny wpływ na wynik sprawy, należy stwierdzić, że zarzut ten nie był zasadny bowiem organ administracji publicznej wyczerpująco ustalił wszystkie okoliczności faktyczne w sprawie, a zaskarżona decyzja – wbrew twierdzeniom skarżącego kasacyjnie – miała oparcie w przepisach prawa. Ponadto, orzekając w sprawie Sąd I instancji był związany jednoznaczną oceną prawną wyrażoną w wyroku Naczelnego Sądu Administracyjnego z dnia 15 lipca 2011 r., który jednoznacznie zakreślił zakres postępowania, jako dotyczący wyłącznie umieszczenia jednego zdjęcia z wizerunkiem skarżącego i podpisem pod tym zdjęciem. Okoliczność zaś, że wyrok Sądu Wojewódzkiego nie był dla skarżącego satysfakcjonujący, nie oznacza jeszcze, iż nie została w nim dokonana kontrola zaskarżonej decyzji. Z tej przyczyny nie można było skutecznie zarzucić Sądowi pierwszej instancji naruszenia art. 3 § 1, art. 134 § 1 P.p.s.a. oraz art. 153 i art. 141 § 4 P.p.s.a. w zw. z art. 8 i art. 107 § 3 Kpa. Ustosunkowując się do zgłoszonych zarzutów naruszenia art. 25 ust. 1, art. 26 ust. 1 pkt 1 i 3 oraz art. 23 ust. 1 pkt 5 ustawy o ochronie danych osobowych należy stwierdzić, iż są one również nieuzasadnione. Jak trafnie bowiem wskazał Sąd I instancji, w świetle art. 23 ust. 1 pkt 5 ustawy, przetwarzanie danych osobowych dopuszczalne jest także wtedy, gdy jest to niezbędne do wypełnienia prawnie usprawiedliwionych celów administratora danych lub osób trzecich, którym są one przekazywane, a przetwarzanie danych nie narusza praw i wolności osoby, której dotyczą. W myśl powyższego przepisu Spółka była uprawniona do utrwalenia danych osobowych skarżącego i zachowania ich dla celów dowodowych, na wypadek ewentualnego postępowania sądowego. Już sama zapowiedź wystąpienia z roszczeniami uprawdopodabnia bowiem potrzebę gromadzenia przez Spółkę dowodów, którymi będzie mogła się posłużyć, jeśli strona zrealizuje swoje zapowiedzi wytoczenia powództwa. Nie ma zatem podstaw do przyjęcia, że aktualnie realizowany proces przetwarzania kwestionowanych danych osobowych skarżącego (w celach dowodowych) narusza jakiekolwiek prawa czy wolności skarżącego. Przeciwnie – chroni w równym stopniu interesy Spółki (jako podmiotu, wobec którego skierowane zostały roszczenia skarżącego), jak i samego skarżącego, na potwierdzenie kwestionowanych przez niego okoliczności. Ponadto nadmienić należy, że Spółka poinformowała skarżącego, że "fakt zamieszczenia zdjęcia został zarchiwizowany celem wykorzystania go jako materiału dowodowego w ewentualnych postępowaniach", co nie spotkało się ze sprzeciwem. Tym samym skarżący – wbrew zarzutowi skargi kasacyjnej – posiadał wystarczającą wiedzę na temat sposobu, celu i zakresu gromadzenia jego danych przez Spółkę. Zmiana zaś sposobu ich przetwarzania nie uniemożliwiła mu rozszerzenia skargi o dalsze naruszenia, bowiem organ te okoliczności wziął pod uwagę przy formowaniu treści decyzji. Organ orzekając w sprawie zobowiązany jest bowiem uwzględniać okoliczności faktyczne istniejące w dacie wydawania rozstrzygnięcia. Skoro zatem przedmiotem skargi było przetwarzanie przez Spółkę określonych danych osobowych (utrwalonych na konkretnej fotografii i podpisie pod nią), to w sytuacji, gdy Spółka zaprzestała przetwarzania w/w danych osobowych poprzez publikację na portalu [...] wizerunku z imieniem i nazwiskiem skarżącego, lecz kontynuowała proces przetwarzania polegający na przechowywaniu danych jedynie w celach dowodowych (bez podawania do publicznej wiadomości spornej fotografii klasowej), obowiązkiem GIODO było dokonanie merytorycznej oceny tego przechowania (bez potrzeby precyzowania skargi), co organ uczynił. Oznacza to, że bezspornym jest, iż zaprzestano przetwarzania danych osobowych skarżącego w sposób pierwotny. Z uwagi jednak na nowe okoliczności, tj. archiwizowanie w/w danych w celach dowodowych, organ odmówił uwzględnienia wniosku, prawidłowo opierając rozstrzygnięcie na art. 23 ust. 1 pkt 5 ustawy o ochronie danych osobowych. Z tej przyczyny nie można było zasadnie twierdzić, że naruszone zostało prawo materialne, tj. powołane w skardze kasacyjnej przepisy ustawy z dnia 29 sierpnia 1997 r. Mając powyższe na uwadze Naczelny Sąd Administracyjny, wobec braku usprawiedliwionych podstaw skargi kasacyjnej, na podstawie art. 184 P.p.s.a., orzekł jak w sentencji.