II SA/Wa 1530/12

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Andrzej Góraj Sędziowie WSA Danuta Kania Anna Mierzejewska (spr.) Protokolant starszy referent Marcin Borkowski po rozpoznaniu na rozprawie w dniu 4 lutego 2013 r. sprawy ze skargi [...] Związku [...] na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] czerwca 2012 r. nr [...] w przedmiocie przetwarzania danych osobowych 1. uchyla zaskarżoną decyzję, 2. zaskarżona decyzja nie podlega wykonaniu w całości, 3. zasądza od Generalnego Inspektora Ochrony Danych Osobowych na rzecz [...] Związku [...] kwotę 457 zł (czterysta pięćdziesiąt siedem złotych) tytułem zwrotu kosztów postępowania. Generalny Inspektor Ochrony Danych Osobowych decyzją z dnia [...] czerwca 2012 r., na podstawie art. 138 § 1 pkt 1 ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego (Dz. U. z 2000 r. nr 98, poz. 1071 ze zm.), art. 12 pkt 2, art. 22, art. 23 ust. 1, art. 18 ust. 1 pkt 6 w związku z art. 26 ust. 1 pkt 1 i 2 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. nr 101, poz. 926 ze zm.), po rozpoznaniu wniosku [...] Związku [...] z siedzibą w W. o ponowne rozpatrzenie sprawy dotyczącej wniosku R. S. o nakazanie [...] Związkowi [...] usunięcia jego danych osobowych w zakresie imienia i nazwiska ze strony internetowej [...] Związku [...], rozstrzygniętej decyzją Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] lutego 2012 r. nr [...], nakazującą [...] Związkowi [...] usunięcie z ww. strony internetowej danych osobowych R. S. w zakresie jego imienia i nazwiska, utrzymał w mocy zaskarżoną decyzję. W uzasadnieniu decyzji organ podał, że do jego biura wpłynął wniosek R. S. o nakazanie [...] Związkowi [...] z siedzibą w W. usunięcia jego danych osobowych w zakresie imienia i nazwiska ze strony internetowej Z. [...]. Skarżący podniósł, że w dniu [...] stycznia 2010 r. Z. zamieścił na ww. stronie "(...) nieprawdziwe informacje dotyczące R. S., posługując się do tego celu chronionymi prawnie danymi osobowymi, do czego nigdy nie został upoważniony. Pomimo licznych wezwań, kierowanych przez R. S. drogą elektroniczną i do stowarzyszenia, Z. nie zareagowało na monity i nie zdjęło naruszającego prawo i dobra osobiste komunikatu (...)". R. S. wskazał też, że w dniu [...] lutego 2011 r. zwrócił się do Z. pisemnie, wzywając do usunięcia jego danych osobowych z ww. strony, lecz pismo to pozostało bez odpowiedzi. Generalny Inspektor Ochrony Danych Osobowych przeprowadził w sprawie postępowanie wyjaśniające, w toku którego ustalił, że: 1. Na stronie internetowej Z.: [...] znajduje się komunikat pt. "Kol. R. S. - zawieszenie uprawnień instruktora Z.", zawierający informację o podjęciu przez Zarząd Z. decyzji o zawieszeniu uprawnień instruktora Z. R. S. w związku z prowadzoną przez niego działalnością szkoleniową, pomimo braku uprawnień wymaganych dla prowadzenia takich szkoleń. 2. Pełnomocnik Skarżącego skierowała do Z. pismo z dnia [...] lutego 2011 r., w którym zażądała: "Umieszczony ponad rok temu na stronie internetowej [...] komunikat, w którym znajdują się chronione prawnie dane osobowe mojego Klienta (...) winien być niezwłocznie usunięty". 3. W piśmie z dnia [...] lipca 2011 r., skierowanym do pełnomocnika R. S., Z. wyjaśnił: "(...) informacje podawane na naszej stronie są prawdziwe i sprawdzone, a podawanie ich wynika z odpowiedzialności społecznej naszego Związku". 4. Z. jest zarejestrowanym związkiem stowarzyszeń kultury fizycznej i posiada osobowość prawną (art. [...] statutu Z.). 5. Z. przetwarza dane osobowe Skarżącego jako instruktora z zawieszonymi uprawnieniami instruktora Z. 6. Z. w piśmie z dnia [...] sierpnia 2011 r., skierowanym do Generalnego Inspektora Ochrony Danych Osobowych, wyjaśnił: "Zamieszczony na stronie internetowej Z. komunikat informacyjny o zawieszeniu panu R. S. uprawnień instruktora Z. zawiera informację odpowiadającą prawdzie, bowiem Zarząd Z. (...) rzeczywiście podjął decyzję o zawieszeniu uprawnień instruktora Z. panu R. S. w związku z jego działalnością szkoleniową (...) pomimo braku uprawnień wymaganych dla prowadzenia takich szkoleń. (...). upublicznienie informacji o zawieszeniu uprawnień osoby, która publicznie na takowe uprawnienia się powołuje (w swojej ofercie kierowanej do publiczności), leży w interesie nie tylko Z., ale także w interesie publicznym. Wszystkie osoby chcące skorzystać z usług profesjonalnego instruktora z uprawnieniami Z. (...) powinny mieć możliwość zweryfikowania informacji na temat uprawnień konkretnego instruktora (...). Zamieszczenie na stronie internetowej informacji o zawieszeniu uprawnień instruktora Z. zapobiega również wprowadzaniu w błąd aktualnych lub potencjalnych klientów pana R. S., który w celach marketingowych powoływał się na autoryzację udzieloną mu przez Z. jako instruktorowi". Wskazano, że dane osobowe R. S. zostały udostępnione na stronie internetowej Z. na podstawie art. [...] oraz art. [...] Statutu Z. 7. Zgodnie z art. [...] ww. statutu Z realizuje swoje cele przez: sprawowanie wszechstronnej opieki szkoleniowej i wychowawczej nad członkami organizacji zrzeszonych w Z. oraz kontroli przestrzegania przez nich oraz przez członków Z. statutu, postanowień i regulaminów oraz przepisów i zasad uprawiania [...], prowadzenie działalności szkoleniowej dla członków organizacji zrzeszonych w Z. [...], ustalenie zasad i instrukcji oraz projektów w zakresie szkolenia bezpieczeństwa i działalności sportowej dotyczących [...]. W myśl art. [...] Statutu Z. do kompetencji Zarządu należy nadawanie i pozbawianie uprawnień instruktorskich. 8. Z pkt 3 Regulaminu kadry szkoleniowej Z. (znajdującego się na stronie internetowej tego podmiotu) wynika, że stopnie instruktorskie nadaje, odbiera i zawiesza Zarząd Z. na wniosek odpowiednio: Komisji [...] Z., Komisji [...], Komisji [...]. 9. Z. poinformował też w ww. piśmie z dnia [...] sierpnia 2011 r., że skarżący jest przedsiębiorcą prowadzącym działalność gospodarczą pod firmą "B.". W ocenie Z. "(...) dane osobowe R. S. są przetwarzane przez Z. w nie większym zakresie, w jakim są one ogólnodostępne w Ewidencji Działalności Gospodarczej bądź na stronie internetowej pana R. S.". 10. Ministerstwo Sportu i Turystyki w piśmie z dnia [...] stycznia 2012 r., skierowanym do GIODO, poinformowało, że: "(...)[...] Związek [...] nie posiada aktualnej zgody na prowadzenie kursów specjalistycznych, o której mowa w art. 41 ust. 8 ustawy z dnia 25 czerwca 2010 r. o sporcie (Dz. U. nr 127, poz. 857 ze zm.). [...] Związek [...] posiadał zgodę na prowadzenie kursów instruktora sportu w [...] oraz kursu trenera [...]. Zgoda ta wydana była w oparciu o przepisy ustawy z dnia 18 stycznia 1996 r. o kulturze fizycznej (Dz. U. z 2007 r. nr 226, poz. 1675 ze zm.) oraz rozporządzenia Ministra Edukacji Narodowej z dnia 27 czerwca 2001 r. w sprawie kwalifikacji, stopni i tytułów zawodowych w dziedzinie kultury fizycznej oraz szczegółowych zasad i trybu ich uzyskiwania (Dz. U. nr 71, poz. 738 ze zm.) i straciła swoją ważność [...] października 2011 r. Specjalistyczne kursy, o których mowa w art. 41 ustawy o sporcie, mogą być prowadzone przez podmioty, które spełnią wymogi przepisów prawa i uzyskają zgodę ministra właściwego ds. kultury fizycznej. [...] Związek [...] nie ma więc »monopolu« na prowadzenie działalności w tym obszarze. (...) Szkolenia realizowane przez [...] Związek [...] (bez zgody MSiT) mają charakter wewnętrzny, a uprawnienia nadawane przez Z. mogą wynikać z regulacji obowiązujących w tym stowarzyszeniu". Po przeprowadzeniu w sprawie postępowania wyjaśniającego Generalny Inspektor decyzją administracyjną z dnia [...] lutego 2012 r. nakazał [...] Związkowi [...] usunięcie ze strony internetowej tej organizacji [...] danych osobowych skarżącego w zakresie jego imienia i nazwiska. W dniu [...] marca 2012 r. do Biura GIODO wpłynął wniosek Z. o ponowne rozpatrzenie sprawy rozstrzygniętej ww. decyzją, uchylenie tej decyzji i odmowę uwzględnienia wniosku skarżącego. We wskazanym wniosku podniesiono: "(...) nie istnieją podstawy do nakazania Z. usunięcia danych osobowych zgodnie z sentencją decyzji z dnia [...] lutego 2012 r.(...)". W ocenie Z.: "Decyzja GIODO nakazująca usunięcie danych osobowych może zostać wydana w przypadku naruszenia obowiązków określonych w art. 23 lub 27 Ustawy. W przedmiotowej sprawie do naruszenia takich obowiązków przez Z. nie doszło". Wskazano, że R. S. w ramach prowadzonej działalności gospodarczej "powoływał się publicznie na posiadanie aktualnych uprawnień Z. (także po ich zawieszeniu). Z tego tez względu, aby sprostować nieprawdziwe informacje publikowane przez samego R. S., Z. zamieściła na swojej stronie internetowej informację o zawieszeniu jego uprawnień instruktora Z. (...) Takie działanie Z. mieści się w granicach prawnie usprawiedliwionych celów administratora danych osobowych R. S. (...) nie narusza też praw i wolności R. S., bowiem są to publicznie dostępne dane przedsiębiorcy, na które on sam publicznie powoływał się właśnie w kontekście posiadanych uprawnień instruktorskich. Gdyby więc R. S. nie powoływał się publicznie na posiadane przez siebie uprawnienia Z., o tyle rzeczywiście zrozumiałe byłoby domaganie się przez niego usunięcia informacji o zawieszeniu tych uprawnień. Jeśli jednak R. S. - jako przedsiębiorca prowadzący działalność w zakresie organizowania kursów [...] - zdecydował się na publikowanie swoich danych jako instruktora posiadającego aktualne uprawnienia Z., o tyle żądanie usunięcia informacji prostującej przecież te niezgodne z prawdą oświadczenia, nie można uznać za słuszne i usprawiedliwione prawną ochroną danych osobowych R. S. (...) W ocenie Z. dozwolone jest publikowanie takich informacji, skoro to sam R. S. na uprawnienia Z. powoływał się publicznie". Po powtórnym rozpatrzeniu zgromadzonego w sprawie materiału dowodowego Generalny Inspektor Ochrony Danych Osobowych uznał rozstrzygnięcie zawarte w decyzji z dnia [...] lutego 2012 r. za prawidłowe. Mając na uwadze wielokrotnie akcentowaną przez Z. okoliczność prowadzenia przez skarżącego działalności gospodarczej, w związku z czym według Z. jego dane osobowe stanowią "publicznie dostępne dane przedsiębiorcy", organ podkreślił, że z dniem 31 grudnia 2011 r. utracił moc obowiązującą art. 7a ust. 2 ustawy z dnia 19 listopada 1999 r. - Prawo działalności gospodarczej (Dz. U. nr 101, poz. 1178 ze zm.), który stanowił, że ewidencja działalności gospodarczej jest jawna i dane osobowe w niej zawarte nie podlegają przepisom ustawy o ochronie danych osobowych. W konsekwencji powyższego od dnia 1 stycznia 2012 r. przepisy ustawy o ochronie danych osobowych stosuje się także do informacji identyfikujących przedsiębiorców w obrocie gospodarczym, zatem również do danych osobowych R. S. Wobec tego organ powtórzył, że ustawa o ochronie danych osobowych określa zasady postępowania przy przetwarzaniu danych osobowych oraz prawa osób fizycznych, których dane są lub mogą być przetwarzane w zbiorach danych (art. 2 ust. 1). Administratorem danych osobowych, w myśl art. 7 pkt 4 ustawy, jest organ, jednostka organizacyjna, podmiot lub osoba, o której mowa w art. 3 ustawy, która decyduje o celach i środkach przetwarzania tych danych. Zgodnie z art. 7 pkt 2 ustawy, przetwarzaniem danych osobowych są jakiekolwiek operacje na nich wykonywane, takie jak zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie, a zwłaszcza te, które wykonuje się w systemach informatycznych. Każda z ww. form przetwarzania danych osobowych powinna znaleźć oparcie w jednej z przesłanek warunkujących legalność tego procesu, enumeratywnie wymienionych w art. 23 ust. 1 ustawy. Obok i niezależnie od zgody osoby, której dane dotyczą (pkt 1), przetwarzanie danych osobowych jest dopuszczalne m.in. wtedy, gdy jest to konieczne do realizacji umowy, gdy osoba, której dane dotyczą, jest jej stroną lub gdy jest to niezbędne do podjęcia działań przed zawarciem umowy na żądanie osoby, której dane dotyczą (pkt 3), gdy jest to niezbędne do wykonania określonych prawem zadań realizowanych dla dobra publicznego (pkt 4) oraz gdy jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą (pkt 5). Oprócz wymogu legitymowania się przesłanką legalności przetwarzania danych osobowych, na administratorze danych spoczywa wynikający z art. 26 ust. 1 ustawy obowiązek dołożenia szczególnej staranności w celu ochrony interesów osób, których dane dotyczą, a w szczególności obowiązek zapewnienia, aby dane te były przetwarzane zgodnie z prawem (pkt 1) oraz zbierane dla oznaczonych, zgodnych z prawem celów i nie poddawane dalszemu przetwarzaniu niezgodnemu z tymi celami, z zastrzeżeniem ust. 2 tego przepisu (pkt 2). W niniejszej sprawie Z. jest administratorem danych skarżącego w rozumieniu art. 7 pkt 4 ustawy, gdyż decyduje o celach i środkach przetwarzania danych R. S. jako instruktora Z., w związku z czym ciąży na tej organizacji obowiązek zapewnienia, by ww. dane przetwarzane były zgodnie z przepisami ustawy o ochronie danych osobowych. Organ podkreślił, że z materiału dowodowego sprawy wynika, że [...] Związek [...] jest stowarzyszeniem utworzonym na podstawie przepisów ustawy - Prawo o stowarzyszeniach. W myśl art. 9 tej ustawy, osoby w liczbie co najmniej piętnastu, pragnące założyć stowarzyszenie, uchwalają statut stowarzyszenia i wybierają komitet założycielski. Zgodnie z art. 16 ww. ustawy, sąd rejestrowy wydaje postanowienie o zarejestrowaniu stowarzyszenia po stwierdzeniu, że jego statut jest zgodny z przepisami prawa i założyciele spełniają wymagania określone ustawą. Z powyższego wynika zatem, że skoro Z. jako stowarzyszenie działa na podstawie statutu, to uregulowań dotyczących zarówno podstaw prawnych, jak i sposobu udostępnienia określonych decyzji organów Z., wobec braku takich regulacji w powszechnie obowiązujących przepisach prawa, należy poszukiwać w Statucie Z. Generalny Inspektor Ochrony Danych Osobowych uznał, że w decyzji z dnia [...] lutego 2012 r. prawidłowo stwierdzono brak podstaw prawnych do udostępnienia danych skarżącego na powszechnie dostępnej stronie internetowej Z. w zakresie jego imienia i nazwiska w zestawieniu z informacją o zawieszeniu mu uprawnień instruktorskich Z. w zakresie prowadzonej przez niego działalności szkoleniowej w [...]. Przesłanki legalizującej to udostępnienie nie stanowi bowiem art. 23 ust. 1 pkt 3 i 5 ustawy, na który powoływał się Z. w udzielonych w sprawie wyjaśnieniach, w zestawieniu z ww. przepisami Statutu Z. Skarżącego nie łączy bowiem z Z. żadna umowa, dla realizacji której konieczne byłoby udostępnienie jego danych w podważany przez niego sposób. Kwestionowane działanie nie może być uznane za działanie w prawnie usprawiedliwionym celu Z., wbrew twierdzeniom zawartym w złożonym przez stowarzyszenie wniosku o ponowne rozpatrzenie sprawy. Podkreślić należy, że w czasie udostępnienia na stronie internetowej Z. (w dniu [...] stycznia 2010 r.) informacje w zakresie imienia i nazwiska Skarżącego były rzeczywiście danymi jawnymi jako przedsiębiorcy, wynikającymi z ewidencji działalności gospodarczej. Jednak, jak wyżej wskazano, od dnia 1 stycznia 2012 r. także do danych osobowych przedsiębiorców, zawartych w tej ewidencji, stosuje się przepisy ustawy o ochronie danych osobowych. Niezależnie od powyższego, zaznaczenia wymaga, że informacja o zawieszeniu uprawnień instruktorskich na skutek określonego działania Skarżącego nie jest ani nie była również przez ww. zmianą stanu prawnego daną jawną. Z tego powodu upublicznienie ww. informacji w sposób kwestionowany w skardze może naruszać prawa i wolności Skarżącego, w przeciwieństwie do tego, co twierdzi Z. Podnieść należy, że statut Z. nie przewiduje możliwości upubliczniania decyzji Zarządu Z. o zawieszeniu uprawnień instruktorskich Z. ani jakichkolwiek innych decyzji. Dlatego Generalny Inspektor stwierdził w zaskarżonej decyzji, że działania Z., mające na celu uniemożliwienie powoływania się przez określonego instruktora na fakt posiadania ważnych uprawnień w sytuacji ich zawieszenia, nie można uznać za uprawnione w świetle art. 23 ust. 1 pkt 5 ustawy. Organ wskazał, że gdyby Statut Z. przewidywał sytuacje podawania do publicznej wiadomości poprzez publikację na stronie internetowej takich konkretnych decyzji, osoba, wobec której określona decyzja zostałaby podjęta, jako zrzeszona w Z. i tym samym zobowiązana do przestrzegania regulaminu i statutu tego stowarzyszenia, byłaby wcześniej zaznajomiona z tymi regulacjami, a tym samym miałaby świadomość, że w przypadku naruszenia przez nią zasad obowiązujących w tej organizacji poniesie określone skutki prawne. Jednak w niniejszej sprawie taka sytuacja nie zachodzi, gdyż w Statucie Z. brak przedmiotowej regulacji. Przesłanki do kwestionowanego udostępnienia danych skarżącego na stronie internetowej Z. w postaci komunikatu o zawieszeniu uprawnień instruktorskich Z. nie można upatrywać również w art. 23 ust. 1 pkt 4 ustawy. Wbrew stanowisku Z. działanie stowarzyszenia w tym zakresie nie może być traktowane jako niezbędne do wykonania określonych prawem zadań realizowanych dla dobra publicznego. Nadawanie i zawieszanie przez tę organizację uprawnień instruktorskich wynika bowiem wyłącznie z Regulaminu kadry szkoleniowej Z., obowiązującego w stowarzyszeniu, a uprawnienia te nie mają charakteru uprawnień państwowych. Ponadto prowadzone przez Z. szkolenia w tym zakresie odbywają się aktualnie bez zgody właściwego ministra. Powyższa decyzja stała się przedmiotem skargi, wniesionej do Wojewódzkiego Sądu Administracyjnego, w której skarżący zaskarżonej decyzji zarzucił : I. naruszenie przepisów postępowania, tj. przepisów art. 7, art. 77 § 1 oraz art. 80 K.p.a., w zw. z art. 22 ustawy o ochronie danych osobowych, polegające na braku wszechstronnego rozpatrzenia materiału dowodowego, zgromadzonego w sprawie, co w efekcie doprowadziło do błędnego przyjęcia przez organ, iż podstawą prawną, umożliwiającą skarżącemu zamieszczenie na stronie internetowej informacji o zawieszeniu uprawnień instruktorskich R. S., mógłby być Statut [...] Związku [...] w przypadku gdyby zawierał postanowienia umożliwiające upublicznienie takich informacji, gdzie uprawnienie takie przysługiwało skarżącemu na podstawie ustawy o ochronie danych osobowych, a które to naruszenie prawa procesowego przez GIODO miało istotny wpływ na wynik sprawy; II. naruszenie przepisów postępowania, tj. przepisów art. 7 oraz 77 § 1 K.p.a., w zw. z art. 22 ustawy o ochronie danych osobowych, polegające na braku wszechstronnego rozpatrzenia materiału dowodowego, zgromadzonego w sprawie, co w efekcie doprowadziło do błędnego przyjęcia przez organ administracji, iż w przedmiotowej sprawie nie występują prawnie usprawiedliwione cele, realizowane przez Skarżącego jako administratora danych osobowych, które uprawniały go do zamieszczenia na stronie internetowej informacji o zawieszeniu uprawnień instruktorskich R. S., które to naruszenie prawa procesowego przez Stronę przeciwną miało istotny wpływ na wynik sprawy; III. naruszenie prawa materialnego, tj. art. 23 ust. 5 ustawy o ochronie danych osobowych, poprzez jego błędną wykładnię, polegającą na uznaniu przez GIODO, że zaistniała w niniejszej sprawie sytuacja polegająca na zamieszczeniu na stronie internetowej Z. prawdziwej informacji o fakcie, iż zawieszono R. S. uprawnienia instruktora Z., a w tym samym czasie R. S. poprzez stronę internetową informującą o jego działalności gospodarczej podaje do publicznej wiadomości informację przeciwną (tj. iż R. S. posiada uprawnienia instruktorskie Z.), nie stanowi o spełnieniu przesłanki przetwarzania danych osobowych, gdy jest to niezbędne do wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratora danych (tu: Z.), przy jednoczesnym braku naruszenia praw i wolności osoby, której te dane dotyczą. Biorąc pod uwagę powyższe zarzuty, na podstawie art. 145 § 1 pkt 1 lit. a) i c) i art. 135 ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2012 r., poz. 270 ze zm.), strona skarżąca wniosła o uchylenie w całości zaskarżonej decyzji oraz decyzji ją poprzedzającej, a także o zwrot kosztów postępowania. W odpowiedzi na skarge organ wniósł o jej oddalenie, powołując argumenty jak w uzasadnieniu zaskarżonej decyzji. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: Stosownie do treści art. 1 § 1 i 2 ustawy z dnia 25 lipca 2002 r. - Prawo o ustroju sądów administracyjnych (Dz. U. nr 153, poz. 1269 ze zm.), sąd administracyjny sprawuje wymiar sprawiedliwości poprzez kontrolę pod względem zgodności z prawem zaskarżonej decyzji administracyjnej i to z przepisami obowiązującymi w dacie jej wydania. Innymi słowy, sąd administracyjny kontroluje legalność rozstrzygnięcia zapadłego w postępowaniu z punktu widzenia jego zgodności z prawem materialnym i obowiązującymi przepisami prawa procesowego. Skarga [...] Związku [...] zasługuje na uwzględnienie Podstawę prawną dla wydania zaskarżonej decyzji stanowi art. 23 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. nr 101, poz. 926 ze zm.), który w ust. 1 stanowi, że przetwarzanie danych jest dopuszczalne tylko wtedy, gdy: 1) osoba, której dane dotyczą, wyrazi na to zgodę, chyba że chodzi o usunięcie dotyczących jej danych, 2) jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa, 3) jest to konieczne do realizacji umowy, gdy osoba, której dane dotyczą, jest jej stroną lub gdy jest to niezbędne do podjęcia działań przed zawarciem umowy na żądanie osoby, której dane dotyczą, 4) jest niezbędne do wykonania określonych prawem zadań realizowanych dla dobra publicznego, 5) jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą. W myśl natomiast art. 23 ust. 2 cyt. ustawy, zgoda, o której mowa w ust. 1 pkt 1, może obejmować również przetwarzanie danych w przyszłości, jeżeli nie zmienia się cel przetwarzania. Jeżeli przetwarzanie danych jest niezbędne dla ochrony żywotnych interesów osoby, której dane dotyczą, a spełnienie warunku określonego w ust. 1 pkt 1 jest niemożliwe, można przetwarzać dane bez zgody tej osoby, do czasu, gdy uzyskanie zgody będzie możliwe (ust. 3). Z kolei zgodnie z art. 23 ust. 4 ww. ustawy, za prawnie usprawiedliwiony cel, o którym mowa w ust. 1 pkt 5, uważa się w szczególności: 1) marketing bezpośredni własnych produktów lub usług administratora danych, 2) dochodzenie roszczeń z tytułu prowadzonej działalności gospodarczej. Zdaniem Sądu, ocena zgromadzonego w sprawie materiału dowodowego nie daje podstaw do stwierdzenia, że prawne działanie Z. w przedmiotowej sprawie nie znajdowało oparcia w art. 23 ust. 1 pkt 5 cyt. ustawy. Przyjęcie przez organ, że gdyby statut Z. zawierał postanowienia umożliwiające publikowanie informacji o zawieszeniu wykonywania uprawnień instruktorskich na stronie internetowej Z., to wówczas działania podjęte przez Z. zostałyby dokonane zgodnie z prawem, nie znajduje uzasadnienia w przedmiotowej sprawie. Należy podzielić pogląd GIODO, że w przypadku, gdy regulaminy lub statuty określonych organizacji zawierają postanowienia stanowiące o możliwości publikacji danych osobowych ich członków (w tym na stronie internetowej), to wówczas jest oczywiste, że członkowie poprzez przystąpienie do takiej organizacji, a co za tym idzie wyrażenie zgody na brzmienie statutów i regulaminów, wyrażają również zgodę na publikowanie swoich danych osobowych w przypadkach określonych przez wewnętrzne regulacje obowiązujące w danej organizacji, związku, etc. Takie publikowanie danych osobowych łączy się z normalną działalnością danej organizacji i ma na celu realizowanie jej funkcji. Natomiast w przedmiotowej sprawie stan faktyczny dotyczył zupełnie innego zagadnienia. Powodem opublikowania informacji o zawieszeniu uprawnień instruktorskich R. S. nie był sam fakt podjęcia takiej decyzji przez właściwe organy Z., lecz fakt posługiwania się przez R. S. informacją (jej upublicznienie poprzez stronę internetową dotyczącą prowadzonej przez R. S. działalności gospodarczej) o posiadaniu uprawnień instruktora Z., pomimo podjęcia ww. decyzji. Organ powinien jeszcze raz przeanalizować, czy w celu ochrony własnego dobrego imienia i renomy oraz w celu uprzedzenia potencjalnych klientów o braku autoryzacji działań R. S. przez Z., wbrew opublikowanym na jego stronie informacjom, Z. podjęło w sposób uprawniony decyzję o zamieszczeniu odpowiedniej informacji na stronie internetowej. Powinien również wyjaśnić, czy działania Z. w przedmiotowej sprawie nie znajdowały oparcia w art. 23 ust. 1 pkt 5 ustawy o ochronie danych osobowych jako normie samoistnej, do realizacji której nie ma potrzeby powoływania się dodatkowo na postanowienia statutów czy regulaminów związku. W zaskarżonej decyzji Generalny Inspektor zupełnie nie dokonał analizy, czy w przedmiotowej sprawie istniały prawnie usprawiedliwione cele, których realizacja, zgodnie z art. 23 ust. 1 pkt 5 ww. ustawy, uprawniałaby administratora danych do przetwarzania danych osobowych R. S. Organ wymienił jedynie ww. przepis jako jedną z możliwych podstaw przetwarzania danych osobowych, odniósł się do zmiany przepisów regulujących dostęp do ewidencji podmiotów prowadzących działalność gospodarczą oraz wskazał na brak postanowień statutu Z. regulujących kwestię publikacji określonych informacji na stronie internetowej związku. W przedmiotowej sprawie brak jest wszechstronnego rozpatrzenia materiału dowodowego, zgromadzonego w sprawie, w zakresie analizy, czy w omawianym stanie faktycznym istnieją prawnie usprawiedliwione cele, uprawniające Z. jako administratora danych osobowych do zamieszczenia na stronie internetowej informacji o zawieszeniu uprawnień instruktorskich R. S. Organ powinien jeszcze raz przeanalizować, czy prawnie usprawiedliwionym celem działania Z. jako administratora danych osobowych jest ochrona dobrego imienia i renomy Z. oraz działalność informacyjna w odniesieniu do potencjalnych klientów poprzez uprzedzenie ich o braku autoryzacji działań R. S. przez Z., a tym samym umożliwienie im podjęcia decyzji w oparciu o tę informacji. Jeszcze raz należy przypomnieć, że art 23 ust. 1 pkt 5 ustawy o ochronie danych osobowych wprowadza zasadę, iż przetwarzanie danych osobowych jest dopuszczalne, gdy jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą. W swojej decyzji GIODO uznał, że przetwarzania przez Z. danych osobowych R. S. nie można zakwalifikować jako spełniającego kryteria art. 23 ust. 1 pkt 5 cyt. ustawy. Organ stwierdził, że w jego ocenie informacja o zawieszeniu uprawnień instruktorskich na skutek określonego działania pana S. nie jest daną jawną. Uznał, że dlatego upublicznienie ww. informacji w sposób kwestionowany w skardze może naruszyć prawa i wolności R. S. Sąd w składzie niniejszym nie podziela wyżej przytoczonego poglądu. Generalny Inspektor Ochrony Danych Osobowych powinien jeszcze raz przeanalizować, czy w przedmiotowej sprawie nie zachodzą przesłanki opisane w art. 25 ww. ustawy, legalizujące przetwarzanie danych, a w szczególności z art. 25 ust. 1 pkt 5 ustawy, który stanowi, że aby przetwarzanie danych osobowych uznać za dopuszczalne w świetle art. 25 ust. 1 pkt 5 ustawy, zachowanie administratora danych musi kumulatywnie spełniać następujące przesłanki: (i) przetwarzanie jest niezbędne dla realizacji celu administratora danych lub odbiorców danych, (ii) cel przetwarzania jest prawnie usprawiedliwiony, (iii) przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą. W ocenie Sądu, jeszcze raz należy przeanalizować, czy przetwarzanie przez Z. danych R. S. było konieczne do realizacji prawnie usprawiedliwionego celu, jakim jest ochrona dobrego imienia i renomy Z. R. S. informował bowiem, za pośrednictwem swojej strony internetowej, szeroko pojętą społeczność internetową, że jest w posiadaniu uprawnień instruktorskich Z.. Tym samym reklamował swoją działalność i czynił ją bardziej "godną zaufania" poprzez ukazywanie swoich związków z Z., która jest instytucją powszechnie znaną i z długoletnimi tradycjami. Powoływanie się na posiadanie uprawnień Z. pełniło funkcję marketingową i przyciągało chętnych do skorzystania z usług R. S. Faktyczne posiadanie takich uprawnień przez R. S. usprawiedliwiałoby tego typu praktykę - skoro uzyskał te uprawnienia i był w ich posiadaniu miał prawo informować swoich potencjalnych usługobiorców i pośrednio firmować w ten sposób swoją działalność poprzez ukazywanie swoich związków z Z. Ponadto podkreślić należy, iż Z. przetwarza dane osobowe R. S. wyłącznie w zakresie jego imienia i nazwiska. R. S. sam zamieścił swoje dane osobowe, tj. imię, nazwisko, adres, na stronach internetowych w celu reklamy i informacji o prowadzonej działalności. Zdaniem Sądu powinien się liczyć z tym, że jego działalność będzie podlegać różnym ocenom osób, również negatywną, a równiez z weryfikacją podanych na stronie informacji. Warto również dodać, iż powoływanie się na naruszanie dóbr osobistych w postępowaniu przed GIODO jest nieuprawnione, bowiem roszczenia z tytułu naruszenia dóbr osobistych są dochodzone na drodze postępowania cywilnego. Ponownie rozpoznając sprawę, Generalny Inspektor Ochrony Danych Osobowych powinien jeszcze raz przeanalizować zebrany materiał dowodowy, uwzględniając powyższe zalecenia Sądu. Mając powyższe na uwadze, na zasadzie art 145 § 1 pkt 1 lit. c ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2012 r., poz. 270 ze zm.), Wojewódzki Sąd Administracyjny orzekł jak w sentencji.