I OSK 2926/13

Naczelny Sąd Administracyjny w składzie następującym: Przewodniczący Sędzia NSA Małgorzata Jaśkowska (spr.), Sędzia NSA Zbigniew Ślusarczyk, Sędzia del. NSA Roman Ciąglewicz, Protokolant starszy sekretarz sądowy Magdalena Błaszczyk, po rozpoznaniu w dniu 9 kwietnia 2015 r. na rozprawie w Izbie Ogólnoadministracyjnej skargi kasacyjnej [...] od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 13 sierpnia 2013 r. sygn. akt II SA/Wa 149/13 w sprawie ze skargi [...] na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] listopada 2012 r. nr [...] w przedmiocie ochrony danych osobowych uchyla zaskarżony wyrok i przekazuje sprawę do ponownego rozpoznania Wojewódzkiemu Sądowi Administracyjnemu w Warszawie. Pismem z dnia 12 listopada 2011 r. [...] wystąpił do Generalnego Inspektora Ochrony Danych Osobowych (dalej jako organ lub GIODO) ze skargą na bezprawne przetwarzanie przez [...] S.A. z siedzibą w G. jego danych osobowych na stronie internetowej [...]. Wniósł o nakazanie ich usunięcia. W toku prowadzonego postępowania organ ustalił, że [...] S.A, w prowadzonym serwisie internetowym umożliwia dostęp do dotyczącej [...] notki biograficznej, ale dane osobowe strony, dostępne za pośrednictwem ww. serwisu nie są przechowywane przez ww. spółkę. Oprogramowanie serwisu wyświetla jedynie informacje znajdujące się w polskiej wersji językowej encyklopedii internetowej [...]. Ponadto Spółka nie jest autorem kwestionowanej notki biograficznej ani nie powstała ona na jej zlecenie. Organ wskazał również, że serwis [...] jest serwisem, do którego wszystkie treści dostarcza [...] z siedzibą w [...] - właściciel serwisu [...]. Treści te są w całości przekazywane do serwisu internetowego [...], a [...] S.A. nie posiada uprawnień do ich zamieszczania, edycji ani usuwania. Uprawnienia te przysługują wyłącznie [...]. oraz upoważnionym przez nią osobom. Organ ustalił ponadto, że serwis [...] za pośrednictwem swojej strony internetowej umożliwia jedynie wyszukanie określonych treści zamieszczonych w bazie danych serwisu i ich wyświetlanie na ekranie, natomiast nie posiada własnej bazy danych. Na podstawie powyższych ustaleń Generalny Inspektor Ochrony Danych Osobowych, decyzją z dnia [...] sierpnia 2012 r. nr [...] na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (tekst jednolity Dz. U. z 2000 r., Nr 98, poz. 1071 ze zm., aktualny tekst jednolity Dz. U. z 2013 r., poz. 267 ze zm. - dalej jako k.p.a.) w zw. z art. 12 ust. 2 i art. 22 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (tekst jednolity Dz. U. z 2002 r., Nr 101, poz. 926 ze zm., aktualny tekst jednolity Dz. U. z 2014 r., poz. 1182 ze zm. - dalej jako ustawa) odmówił uwzględnienia wniosku [...]. W uzasadnieniu rozstrzygnięcia stwierdził, iż zgodnie z art. 7 pkt 4 ustawy, [...] S.A. nie posiada statusu administratora danych osobowych wnioskodawcy. Po rozpoznaniu wniosku [...] o ponowne rozpoznanie sprawy, GIODO decyzją z dnia [...] listopada 2012 r. nr [...] , na podstawie art. 138 § 1 pkt 1 k.p.a., a także art. 12 pkt 2, art. 22 ustawy, utrzymał w mocy swoją decyzję z dnia [...] sierpnia 2012 r. W uzasadnieniu rozstrzygnięcia podtrzymał dotychczasowe stanowisko. Skargę na powyższą decyzję wywiódł [...], wnosząc o jej uchylenie (wraz z decyzją poprzedzającą). Zaskarżonemu rozstrzygnięciu zarzucił naruszenie: - art. 8 Europejskiej Konwencji o Ochronie Praw Człowieka i Podstawowych Wolności, art. 47 oraz art. 51 ust. 1 Konstytucji RP, poprzez faktyczną odmowę prawa do prywatności; - art. 31 ust. 3 Konstytucji RP, przez przyjęcie, że ograniczenie konstytucyjnego prawa skarżącego do prywatności mogło zostać dokonane poprzez publikowanie przez administratora polskiej domeny internetowej, treści pobranych automatycznie z domeny zagranicznej pozostającej poza jurysdykcją RP; - art. 1 ust. 1 oraz art. 23 ust. 1 pkt. 1 ustawy o ochronie danych osobowych, poprzez bezprawne odmówienie prawa do ochrony jego danych osobowych; - art. 7 pkt 4 ustawy o ochronie danych osobowych, poprzez przyjęcie, że [...] S.A. jako właściciel domeny [...] oraz oprogramowania upubliczniającego treści z serwisu [...] nie jest administratorem danych i nie decyduje o celach i środkach przetwarzania publikowanych danych; - art. 7 pkt 2 ustawy o ochronie danych osobowych, poprzez przyjęcie, że [...] S.A., jako właściciel domeny [...] oraz oprogramowania upubliczniającego treści z serwisu [...] nie przetwarzała jego danych osobowych oraz nie decydowała o celach i środkach przetwarzania tych danych; - art. 3 ust. 2 pkt. 2 ustawy o ochronie danych osobowych, poprzez odmowę zastosowania przepisów wymienionej ustawy do [...] S.A., pomimo iż ma siedzibę na terytorium Rzeczypospolitej Polskiej oraz przetwarza jego dane osobowe przy użyciu środków technicznych, znajdujących się na terytorium Rzeczypospolitej Polskiej; - art. 18 ust. 1 ustawy o ochronie danych osobowych, poprzez bezprawne uchylenie się GIODO od wydania decyzji przywracającej stan zgodny z prawem oraz wydanie decyzji wadliwej; - art. 7 Konstytucji R.P., art. 6 k.p.a., poprzez wydanie decyzji rażąco sprzecznej z obowiązującymi przepisami prawa; - art. 8 k.p.a., poprzez prowadzenie postępowania w sposób nie budzący zaufania do GIODO. Skarżący zarzucił również błędy w ustaleniach faktycznych, polegające na przyjęciu, iż [...] S.A. nie jest administratorem jego danych osobowych, nie przetwarza ich z naruszeniem ustawy o ochronie danych osobowych, nie ma wpływu na treść publikowanych danych oraz że fakt pobierania z zagranicznego serwera treści naruszających prawo, czyni działania ww. spółki legalnymi w świetle obowiązującego prawa. Ponadto wskazał na błędne ustalenie, że spółka nie ma możliwości zablokowania publikacji nielegalnych treści, np. za pomocą filtra, a oprogramowanie typu wiki jest tożsame z przeglądarkami internetowymi oraz czytnikami RSS, a posługiwanie się jakąkolwiek aplikacją internetową: skryptem, przeglądarką, czytnikiem RSS, legalizuje publikowanie treści niezgodne z ustawą o ochronie danych osobowych oraz zwalnia podmioty przetwarzające te dane od odpowiedzialności. W odpowiedzi na skargę organ wniósł o jej oddalenie i podtrzymał argumenty zawarte w zaskarżonej decyzji. Wyrokiem z dnia 13 sierpnia 2013 r., sygn. akt II SA/Wa 149/13 Wojewódzki Sąd Administracyjny w Warszawie oddalił skargę. W uzasadnieniu podniósł, iż istota sporu w sprawie sprowadzała się do ustalenia, czy [...] S.A., na stronie internetowej [...], przetwarza dane osobowe [...] (w postaci notki biograficznej), czy jest administratorem tych danych. Zdaniem WSA, [...] S.A. nie jest administratorem danych osobowych skarżącego. Definicja administratora znajduje się w art. 7 pkt 4 ustawy i zgodnie z treścią tego przepisu, jest nim organ, jednostka organizacyjna, podmiot lub osoba, decydująca o celach i środkach przetwarzania danych osobowych. Z kolei pojęcie przetwarzania danych osobowych składa się łącznie z dwóch przesłanek: 1. statusu podmiotu ze sfery publicznej lub prywatnej w rozumieniu ustawy; 2. sprawowania władztwa w procesie przetwarzania danych osobowych. Stosownie do art. 7 pkt 2 ustawy, przez przetwarzanie danych osobowych rozumie się jakiekolwiek operacje wykonywane na danych osobowych, takie jak zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie, a zwłaszcza te, które wykonuje się w systemach informatycznych. W ramach przetwarzania danych osobowych występuje także powierzanie danych do przetwarzania, "co wiąże się z procesami zlecania czynności związanych z przetwarzaniem danych osobowych innym podmiotom". Administrator jest wówczas podmiotem, na rzecz którego zbierane są dane osobowe i w pełni kontroluje on sposób zbierania danych osobowych. [...] S.A. nie posiada na swoich serwerach treści notki biograficznej dotyczącej skarżącego, nie ma też uprawnień w zakresie umieszczania, edycji, usuwania tego tekstu, bowiem znajduje się on w zasobach serwisu internetowego [...], należącego do [...] z siedzibą w [...], co oznacza, że Spółka nie ma technicznej możliwości usunięcia kwestionowanych danych. Serwis [...] nie posiada własnej bazy z danymi wyszukiwanymi na portalu [...], a jedynie prezentuje te dane na swojej stronie po ich wyszukaniu. W świetle dokonanych przez organ ustaleń wynika, że spółka ma możliwość zarówno edycji, usunięcia lub zaprzestania upubliczniania danych osobowych zawartych w serwisie [...], ale wyłącznie na zasadach określonych w regulaminie serwisu [...], co oznacza, że czynności te są weryfikowane i akceptowane przez administratorów serwisu [...]. Tym samym [...] S.A. jest podmiotem, który w związku ze swoją działalnością nie pozyskuje i nie przetwarza danych osobowych skarżącego, nie kontroluje sposobu zbierania danych osobowych, nie sprawuje też władztwa w procesie przetwarzania tych danych. Nie może być zatem - zdaniem WSA - uznana za administratora danych osobowych skarżącego w rozumieniu ustawy o ochronie danych osobowych. Skoro więc [...] S.A. nie posiada statusu administratora danych osobowych skarżącego to nie można jej skutecznie postawić zarzutu, iż niezgodnie z przepisami prawa je przetwarza. Skargę kasacyjną od powyższego rozstrzygnięcia wywiódł [...] zaskarżając je w całości. Wyrokowi WSA w Warszawie zarzucił naruszenie: I. przepisów postępowania mające istotny wpływ na wynik sprawy, tj.: 1. art. 145 § 1 pkt 1 lit. c) oraz art. 151 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (tekst jednolity Dz. U. z 2012 r., poz. 270 ze zm. - dalej jako p.p.s.a.), przez nieuwzględnienie i oddalenie skargi, pomimo rażącego naruszenia przez GIODO przepisów postępowania administracyjnego, tj.: a) art. 138 § 1 pkt 1 k.p.a. w zw. z art. 21 ust. 1 ustawy przez utrzymanie w mocy decyzji z dnia 6 sierpnia 2012 r., pomimo wydania jej z naruszeniem art. 7 k.p.a. w zw. z art. 22 ustawy, art. 77 § 1 k.p.a. w zw. z art. 22 ustawy oraz art. 107 § 1 k.p.a. w zw. z art. 22 ustawy polegającym na zaniechaniu dokonania ustaleń w zakresie faktycznego sposobu funkcjonowania serwisu [...] i oparcie decyzji wyłącznie na informacjach uzyskanych od właściciela serwisu i sporządzonej w oparciu o te informacje opinii Departamentu Informatyki, b) art. 7 k.p.a. w zw. z art. 22 ustawy, art. 77 § 1 k.p.a. w zw. z art. 22 ustawy oraz art. 107 § 1 k.p.a. w zw. z art. 22 ustawy przez zaniechanie faktycznego ponownego rozpatrzenia sprawy w następstwie wniesienia przez skarżącego wniosku i poprzestanie na stwierdzeniu, że "po ponownej analizie zebranego w sprawie materiału dowodowego (...) podtrzymuje swoje stanowisko", - co miało istotny wpływ na wynik sprawy, ponieważ uchybienie wskazanym przepisom w toku prowadzonego postępowania administracyjnego było istotne i uzasadniało uwzględnienie skargi i uchylenie zaskarżonej decyzji, 2. art. 134 § 1 p.p.s.a. przez nierozpoznanie w ogóle zarzutów skarżącego dotyczących dokonanego przez organ sposobu ustalenia okoliczności faktycznych sprawy, co w konsekwencji doprowadziło do naruszenia art. 141 § 4 p.p.s.a. przez niewyjaśnienie przyczyn przyjęcia wskazanego w uzasadnieniu zaskarżonego wyroku stanu faktycznego, - co miało istotny wpływ na wynik sprawy, ponieważ podniesione zarzuty uzasadniały uwzględnienie skargi, a ponadto w tym zakresie pozbawiono skarżącego prawa do sądowej kontroli decyzji, naruszając art. 45 ust. 1 Konstytucji RP, i uniemożliwiono instancyjną kontrolę wyroku, naruszając art. 78 Konstytucji RP, II. przepisów prawa materialnego, tj. art. 7 pkt 2 i pkt 4 ustawy przez ich błędną wykładnię i pominięcie, że przetwarzaniem danych osobowych jest również ich udostępnianie, co doprowadziło do błędnego przyjęcia, że [...] S.A. nie przetwarza i nie przetwarzała danych osobowych dostępnych w serwisie [...]. W związku z powyższym skarżący kasacyjnie wniósł o: 1. uchylenie wyroku w całości i przekazanie do ponownego rozpatrzenia, 2. przyznanie wynagrodzenia za pomoc prawną udzieloną skarżącemu z urzędu, albowiem koszty udzielonej pomocy nie zostały opłacone w całości, ani w części. Przywołując w skardze kasacyjnej ustalenia faktyczne sądu wskazano, iż w sprawie Departament Informatyki w Biurze GIODO (opinia z dnia [...] lipca 2012 r.) w istocie bezrefleksyjnie zaakceptował wyjaśnienia [...] S.A. Stosownie do nich, serwis [...] za pośrednictwem swojej strony umożliwia jedynie wyszukanie określonych treści zamieszczonych w bazie danych serwisu [...] i ich wyświetlanie na ekranie. Serwis [...] nie posiada własnej bazy danych z danymi wyszukiwanymi na portalu, a jedynie po wykonaniu wyszukania w serwisie [...] prezentuje te dane na swojej stronie, w określonym przez siebie formacie. Tym samym uznano, że serwis [...] S.A. dostarcza użytkownikom jedynie narzędzia umożliwiającego uzyskanie dostępu do danych upublicznianych przez [...] oraz że [...] S.A. nie decyduje o treści artykułów dostępnych w serwisie [...]. Powyższe ustalenia w żadnym razie nie mogły być uznane za wyczerpujące i stanowić podstawy do wydania zaskarżonej decyzji. Dotyczą jedynie wycinka działalności serwisu [...], przeanalizowanego głównie pod kątem praw i obowiązków [...] S.A. wynikających z umów licencyjnych. Pominięto najistotniejsze dla sprawy kwestie, związane z technicznymi zasadami funkcjonowania serwisu [...]. Całkowicie zmarginalizowano kwestie, podnoszone od początku przez skarżącego, a dotyczące charakteru serwisu [...] i technicznych aspektów jego działalności. Pomimo wskazania tych kwestii wprost w złożonej skardze (pkt II zarzutów), WSA całkowicie je pominął, nie wskazując nawet w uzasadnieniu powodów, dla których odmówił tym argumentom racji. Mają one jednak kluczowe znaczenie dla prawidłowego zastosowania przepisów ustawy, bowiem to właśnie techniczne możliwości decydują o tym, czy [...] S.A. przetwarza dane osobowe w rozumieniu przepisów ustawy. Definicja przetwarzania danych osobowych zawarta w art. 7 pkt 2 ustawy jednoznacznie wskazuje, że jest możliwe przetwarzanie danych osobowych, bez ich trwałego przechowywania czy opracowywania. W toku postępowania administracyjnego w ogóle nie ustalono, jakie techniczne możliwości wpływania na treści serwisu [...] ma [...] S.A., a poprzestano na przyjęciu, że umowa licencyjna uniemożliwia dokonywanie trwałych zmian. Ustalenia te dotyczą w istocie możliwości wpływania przez [...] S.A. na treści publikowane w ramach serwisu [...], a nie konkretnego serwisu [...]. Z adresu domeny wynika bowiem jednoznacznie, że jest to domena należąca do [...] S.A., działająca w ramach serwisu [...]. Okoliczność ta wynika już z dokonanych przez Organ ustaleń, zgodnie z którymi, pod domeną [...] udostępniane są narzędzia umożliwiające dostęp do zasobów [...]. Nawet, jeżeli [...] S.A. nie posiada dostępu do danych [...] i nie ma możliwości ingerowania w te dane, to dzięki umieszczeniu odpowiednich narzędzi udostępniających na własnym serwerze, ma możliwość ingerowania w to, co użytkownikom jest udostępniane. Podmiot będący jednocześnie właścicielem domeny i serwera, ma nieograniczone możliwości ingerowania w treści wyświetlane użytkownikom sieci Internet pod daną domeną. Wskazuje na to m.in. pominięta w toku postępowania administracyjnego okoliczność, że pomimo braku rzekomej możliwości ingerowania w serwis [...], możliwe było umieszczenie znaków handlowych [...] S.A. i odnośników do innych serwisów dostępnych w ramach serwisu [...] (m.in. poczty e-mail, profilu użytkownika, itp.). Bezpodstawne jest zatem przyjęcie, że [...] S.A. nie ma możliwości sprawowania władztwa w procesie przetwarzania danych osobowych w ramach serwisu [...]. Tak jak możliwe jest nieograniczone decydowanie o prezentowanych na wskazanej stronie treściach, tak samo możliwe jest ograniczanie dostępu do niektórych tylko danych udostępnianych przy wykorzystaniu bazy [...]. Przyjęcie odmiennego stanowiska nie znajduje uzasadnienia w świetle istniejących możliwości technologicznych, a przede wszystkim, nie znajduje uzasadnienia w zebranym w toku postępowania administracyjnego materiale. Podnoszone przez skarżącego wątpliwości dotyczące sposobu procedowania przez GIODO, zostały całkowicie pominięte, tak przez ten organ jak i WSA w Warszawie. W związku z tym podkreślono, iż brak związania sądu pierwszej instancji zarzutami i wnioskami skargi nie może być rozumiany jako prawo sądu do pominięcia kwestii podnoszonych przez stronę lub wybiórczego potraktowania zarzutów - przez rozpoznanie tylko niektórych z nich przy jednoczesnym braku odniesienia się do pozostałych. Zarówno w zaskarżonej decyzji jak i wyroku Sądu pierwszej instancji brak jest odniesienia się do zarzutów stawianych przez skarżącego. W odpowiedzi na skargę kasacyjną GIODO wniósł o jej oddalenie. Wskazał, iż w sprawie słusznie przyjęto, że [...] S.A. nie jest administratorem danych osobowych skarżącego Zgadzając się z twierdzeniem skarżącego, iż to techniczne możliwości decydują o przetwarzaniu danych osobowych w rozumieniu ustawy podniesiono, iż serwis [...] za pośrednictwem swojej strony umożliwia jedynie wyszukanie określonych treści zamieszczonych w bazie danych serwisu [...] i ich wyświetlanie na ekranie oraz po wykonaniu wyszukania prezentuje te dane na swojej stronie, w określonym przez siebie formacie. Jednocześnie wskazano, że [...] S.A. nie ma możliwości usunięcia lub zaprzestania upubliczniania danych bez akceptacji tych działań przez administratorów serwisu [...] Departament Informatyki Biura GIODO nie akceptował stanowiska spółki a wskazywał, że serwis [...] nie posiada własnej bazy danych z danymi wyszukiwanymi na portalu [...] Serwis [...] S.A dostarcza użytkownikom jedynie narzędzia umożliwiającego uzyskanie dostępu do danych upublicznionych przez [...] oraz że [...] S.A. nie decyduje o treści artykułów dostępnych w serwisie [...]. Podkreślono także, że nie każdy podmiot, który przetwarza dane osobowe jest automatycznie ich administratorem. W związku z powyższym nie każdy podmiot przetwarzający dane może je usunąć. Jedynie administrator ma pełne uprawnienia do ingerencji w dane osobowe, w szczególności w zakresie usuwania. GIODO zwrócił też uwagę, iż przedmiotem kierowanego do niego wniosku może być wyłącznie żądanie podjęcia czynności przewidzianych w art. 18 ust 1 ustawy. W skardze z dnia 12 listopada 2011 r. skarżący prosił o wszczęcie postępowania administracyjnego i nakazanie [...] S.A. usunięcia danych osobowych ze wskazanej strony internetowej. Skoro więc żądanie dotyczyło "usunięcia danych osobowych" (notki biograficznej), zaś [...] S.A. nie jest ich administratorem, to GIODO nie mógł nakazać ich usunięcia. Na marginesie organ dodał także, że na podstawie art. 3a ust. 1 pkt 2 ustawy, w przypadku gdy administrator danych ma siedzibę lub miejsce zamieszkania w państwie trzecim i jednocześnie wykorzystuje środki techniczne znajdujące się na terytorium RP wyłącznie do przekazywania danych (tak jak jest to w przypadku [...] i [...]) ustawy nie stosuje się. Oznacza to, że na terenie Polski podmiot ten nie będzie mógł przeprowadzić jakichkolwiek operacji na danych osobowych poza ich przesyłaniem. Jeżeli tylko je przesyła, polska ustawa nie będzie mieć zastosowania. W tym przypadku prawem właściwym będzie prawo obowiązujące w państwie, w którym siedzibę ma administrator danych, tj. w [...]. Wynika to z założenia, które przewiduje art. 4 dyrektywy 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych (Dz. Urz. UE. L. Nr 281, s. 31) i które znajduje potwierdzenie w większości regulacji prawnych obowiązujących w państwach należących do Europejskiego Obszaru Gospodarczego, iż zasadniczo decydujące znaczenia dla wskazania prawa właściwego ma faktyczne miejsce prowadzenia działalności, z którą wiąże się przetwarzanie danych osobowych. Uczestnik postępowania - [...] S.A. również wniósł o oddalenie skargi kasacyjnej, podzielając argumenty przedstawione przez GIODO jak i WSA w Warszawie. Wskazał, iż administratorem danych osobowych jest podmiot, na rzecz którego zbierane są dane osobowe i który sprawuje nad tymi danymi pełną kontrolę (w zakresie ich zbierania i przetwarzania sensu largo). Brak przymiotu administratora danych po stronie [...] S.A. jest wynikiem braku technicznych możliwości w tym zakresie (współpraca z [...] zakończyła się we wrześniu 2012 r. w związku z wygaśnięciem umowy licencyjnej). Serwis [...] działał w sposób odmienny niż serwisy należące do [...] S.A., tj. takie, których emitentem jak i dostawcą treści jest wyłącznie [...] S.A. Funkcjonowanie serwisu w domenie wyższej [...] a de facto w subdomenie, w przypadku pojawienia się nazwy witryny internetowej przed domeną główną ([...]) nie oznacza, że dostawcą, operatorem i administratorem treści (w tym danych osobowych) jest zawsze [...] S.A. W przypadku serwisu [...] funkcjonowanie witryny związane było z prezentowaniem treści pochodzących z bazy danych przypisanej do witryny [...].org Przedmiotem współpracy spółki z [...] było umożliwienie użytkownikom portalu [...] bezpośredniego korzystania z informacji gromadzonych i rozpowszechnianych przez [...] z uwzględnieniem jednakże podstawowych elementów charakterystycznych dla serwisów wchodzących w skład portalu [...], identyfikującego serwis z portalem [...] tj. w szczególności: nagłówek, belka i stopka, gdzie zamieszczanie tych elementów przebiegało w sposób zautomatyzowany, bez jakiejkolwiek ingerencji [...] S.A. w samą zawartość treści witryny. Zabieg ten miał na celu jedynie ujednolicenie wyglądu serwisów działających w domenie [...]. W momencie "kliknięcia" przez użytkownika portalu [...] w definicję/hasło (celem wyświetlenia artykułu/treści objaśniającej, rozwijającej znaczenie) następowało za pomocą [...] należącego do [...]., inkorporowanego w kodzie witryny ([...]), odwołanie bezpośrednio do bazy danych [...], skąd wyświetlała się treść objaśniająca, rozwijająca (w tym przypadku treść notki biograficznej [...]). [...] S.A. nie zaciągała, nie gromadziła i nie pozyskiwała żadnych danych Naczelny Sąd Administracyjny zważył, co następuje: Skarga kasacyjna jest zasadna. W myśl art. 183 § 1 p.p.s.a., Naczelny Sąd Administracyjny rozpoznaje konkretną sprawę w granicach zarzutów skargi kasacyjnej, biorąc z urzędu pod rozwagę nieważność postępowania, której przesłanki w sposób enumeratywny zostały wymienione w § 2 powołanego artykułu. W niniejszej sprawie nie występuje jednak żadna z okoliczności stanowiących o nieważności postępowania sądowego prowadzonego przez WSA w Warszawie, która nakazywałaby zakończyć sprawę już na tym etapie postępowania kasacyjnego. Zauważyć także trzeba, iż skarga kasacyjna powołuje obydwie podstawy kasacyjne przewidziane w art. 174 p.p.s.a. W takich przypadkach, co do zasady, w pierwszej kolejności badaniu podlegają zarzuty naruszenia prawa procesowego, co wynika z celowościowej wykładni art. 188 p.p.s.a., zaś zarzuty materialnoprawne mogą być badane o tyle, o ile ich wadliwe zastosowanie bądź wadliwa wykładnia nie są następstwem błędów występujących w postępowaniu prowadzonym przez WSA. Ocenę niniejszej sprawy należy jednak rozpocząć od przybliżenia jej istoty, która sprowadza się do ustalenia podmiotu będącego administratorem danych osobowych skarżącego i dokonującego ich przetwarzania. Ściślej więc rzecz ujmując, spór sprowadza się do odpowiedzi na pytanie, czy "przekierowanie" przez [...] S.A. wprost ze swoich stron na stronę zawierającą dane osobowe skarżącego (prowadzoną przez [...] z [...]), może być uznane jako działanie w ramach administrowania danymi osobowymi i ich przetwarzania, czy też nie podlega ono takiej reglamentacji. Zagadnienie to jest przy tym niezmiernie istotne w dobie powszechnie dostępnych urządzeń mobilnych i informacji krążących w sieci Internet, których fizyczne umiejscowienie (serwer z danymi), może być poza zasięgiem ustawodawstwa danego państwa, jednakże skutek (możliwość zapoznania się z informacjami) następuje na terenie danego państwa. Zastrzec należy, iż we wskazanej sytuacji niezmiernie trudne jest wytyczenie wyraźnej i jednoznacznej linii rozgraniczającej co już jest a co jeszcze nie jest przetwarzaniem danych osobowych i ich administrowaniem. Naczelny Sąd Administracyjny wskazuje, iż za przetwarzanie danych osobowych może być uznane także ich pośrednie udostępnianie (np. poprzez przekierowanie do innej domeny internetowej), nawet jeżeli dany podmiot danymi tymi fizycznie nie dysponuje. Podkreślenia wymaga, iż nie może podlegać ochronie prawnej działanie podmiotów, które w sposób bezrefleksyjny dokonują świadomego odesłania do stron internetowych, które mogą naruszać chronione prawem polskim dane osobowe. Niewątpliwie jeżeli przekierowanie takie nie łączy się z fizycznym posiadaniem danych udostępnionych na innej stronie internetowej, należy to uwzględniać w procesie oceny danego podmiotu jako przetwarzającego dane osobowe i nimi administrującego, jednakże brak posiadania danych nie wyłącza sam przez się możliwości uznania danego podmiotu za ich administratora. Oczywiście nie jest tak, iż każde przekierowanie, czy stworzenie innych warunków do wyszukania danych przez jedną witrynę internetową w zasobach innej, będzie od razu mieścić się w ramach instytucji uregulowanych w ustawie o ochronie danych osobowych. Automatyzm w tym zakresie oznaczałby de facto skrajne podejście do tej kwestii. Okazać by się bowiem mogło, iż np. producenci powszechnie dostępnych narzędzi komunikacji codziennej jakimi są smartfony oraz dostarczanych wraz z nimi programami do przeszukiwania zasobów internetowych, zobowiązani byliby - w skrajnym przypadku - do takiego ich konfigurowania, aby te z założenia zapewniały możliwość odgórnego filtrowania informacji dostępnych w Internecie (i nie chodzi tu tylko o dostępne wyszukiwarki internetowe). Zdaniem Sądu powodowałoby to zbyt daleko idącą ingerencję w "narzędzia" do poruszania się w świecie wirtualnym, odrywając to od kwestii sposobu posługiwania się nimi i ochrony danych osobowych przed rzeczywistymi a nie tylko potencjalnymi naruszeniami. Z drugiej jednak strony, nie ma i nie może być zgody na to, by każde przekierowanie, które nie wiąże się z posiadaniem danych chronionych prawem, z założenia traktować jako nie naruszające przepisów ustawy. Stan taki mógłby stanowić podstawę do omijania polskich przepisów o ochronie danych osobowych poprzez "wyprowadzanie" danych chronionych spod jurysdykcji krajowej np. poprzez zamieszczanie ich na serwerze zagranicznym, przy jednoczesnym tworzeniu odesłań do zasobów udostępnionych przez inny podmiot, dostępnych bez większego problemu na terenie kraju, czy z innego miejsca na świecie. W konsekwencji należy więc stwierdzić, iż w omawianej sytuacji w odniesieniu do konkretnych danych osobowych może istnieć kilku ich administratorów, w zależności od zakresu dokonywanych przez nich względem tych danych czynności. Przetwarzaniem może być więc również odsyłanie do danych zgromadzonych w innym miejscu, jeżeli podmiot taki jest bądź powinien być świadomy, że odsyła do informacji, które podlegają ochronie. Związanie się przez tenże podmiot (dokonujący odesłania) wszelkimi umowami o współpracy z podmiotem fizycznie zarządzającym chronionymi danymi osobowymi (w praktyce zarządzającym serwerem, na którym się one znajdują), podlega ocenie sądu pod kątem tego, czy temu pierwszemu podmiotowi nie można przypisać cechy administratora danych. Powyższe stanowisko uwzględnia europejski kierunek ochrony danych osobowych i znajduje potwierdzenie w orzecznictwie Trybunału Sprawiedliwości Unii Europejskiej. W wyroku z dnia 13 maja 2014 r., wydanym w sprawie o sygn. akt C-131/12 Trybunał stwierdził bowiem, na tle przepisów dyrektywy 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych (Dz. Urz. UE. L. z 1995 r., Nr 281, s. 31), iż przetwarzaniem danych osobowych jest takie skonfigurowanie przeglądarki internetowej, które pozwala na lokalizowanie przez osoby trzecie informacji opublikowanych lub zamieszczonych w Internecie, indeksowanie ich w sposób automatyczny, czasowe przechowywanie i wreszcie udostępnianie ich internautom w sposób uporządkowany zgodnie z określonymi preferencjami, w sytuacji gdy informacje takie zawierają dane osobowe. Podmiot zarządzający taką przeglądarką, jest też w ocenie TSUE, administratorem danych osobowych. Trybunał wskazał także, iż realizacją zasady ochrony danych osobowych polega również na tym, iż podmiot zarządzający wyszukiwarką internetową jest zobowiązany do usunięcia z wyświetlanej listy wyników wyszukiwania, mającego za punkt wyjścia imię i nazwisko danej osoby, linków do publikowanych przez osoby trzecie stron internetowych zawierających dotyczące tej osoby informacje, również w przypadku gdy to imię czy nazwisko czy też te informacje nie zostały uprzednio czy też jednocześnie usunięte z tych stron internetowych, nawet jeśli ich publikacja jest zgodna z prawem. TSUE podkreślił jednocześnie przysługujące osobie, której dane osobowe są zamieszczone w Internecie, prawo żądania niepodawania informacji o niej do wiadomości szerokiego kręgu odbiorców (poprzez zawarcie jej na liście wyników wyszukiwania). Wnioski w tym zakresie Trybunał wywiódł z nadrzędności interesu jednostki nad interesem podmiotów gospodarczych, dokonujących selekcji danych dostępnych w Internecie. W kontekście powyższych uwag generalnych na tle przepisów ustawy o ochronie danych osobowych (art. 7 pkt 2 i 4) oraz ocenionych przez TSUE przepisów dyrektywy 95/46/WE, NSA wskazuje, iż zaskarżony wyrok WSA w Warszawie podlegał uchyleniu, a sprawa przekazaniu do ponownego rozpoznania, bowiem w postępowaniu pierwszoinstancyjnym doszło do naruszenia przepisów proceduralnych. WSA nie wypowiedział się co do całości sprawy, naruszając tym samym art. 134 w zw. z art. 141 § 4 p.p.s.a. Analiza wyroku wskazuje, że osią sporu według Sądu pierwszej instancji jest to, czy [...] S.A., na stronie internetowej [...], przechowywała i przetwarzała dane osobowe [...] (w postaci notki biograficznej) i czy w związku z tym jest ich administratorem. Sąd łączy to przy tym ze sformułowanym żądaniem dotyczącym usunięcia danych osobowych przez [...] S.A. Poczynione dalej ustalenia wskazują, iż [...] S.A. nie posiada danych skarżącego, a jedynie przekierowuje do nich ze swojej strony do strony [...]. Takie rozumienia pojęcia sprawy doprowadziło zatem do zawężenia kontroli sądowoadministracyjnej, a wcześniej administracyjnej. Sąd zbadał bowiem tylko i wyłącznie (i to w sposób niepełny), czy [...] S.A. posiada dane osobowe skarżącego na swojej stronie ([...]) i jak to się przekłada na ich przetwarzanie i administrowanie nimi. Nie zbadał natomiast istoty stworzonego przez [...] S.A. mechanizmu, w tym tego, czy istniała realna szansa na doprowadzenie do "filtrowania" odesłań do strony zawierającej dane osobowe skarżącego, znajdującej się poza polską jurysdykcją. Zarzut nr 2 skargi kasacyjnej jest zatem zasadny. Zasadny jest również zarzut nr 1 skargi kasacyjnej, dotyczący uchybień w ustaleniu stanu faktycznego sprawy. Słusznie wskazuje skarżący kasacyjnie, iż ani sąd, ani organ nie wyjaśniły precyzyjnie mechanizmu działania strony [...] W tym zakresie za podstawę ustaleń przyjęto jedynie wyjaśnienia uczestnika ([...] S.A.) oraz własne rozważania organu. Pominięto jednak możliwość zażądania przedstawienia umowy licencyjnej, na którą powołuje się uczestnik postępowania, a z której miałby wynikać zakaz dokonywania jakichkolwiek modyfikacji, filtrowania bądź zmian danych zamieszczonych na stronie dostarczanej przez [...] i ewentualne sposoby dokonywania zmian informacji. NSA stoi na stanowisku, iż związanie się przez dany podmiot umową, która w istocie powoduje wyłączenie możliwości reagowania na przypadki łamania przepisów o ochronie danych osobowych, nie może zostać uznane jako działanie chronione prawem (wyłączające z kręgu administratorów danych). Na tej podstawie Sąd pierwszej instancji winien również ustalić, czy [...] S.A. rzeczywiście nie przechowywała danych osobowych skarżącego i ich nie przetwarzała, co wskazywałoby jednoznacznie, iż jest ich administratorem. Ponownie badając sprawę Wojewódzki Sąd Administracyjny w Warszawie rozważy zobowiązanie uczestnika postępowania do przedłożenia umowy licencyjnej, na którą ten powołuje się w pismach składanych w sprawie. Sąd pierwszej instancji uwzględni także wyżej sformułowane wyjaśnienia i odniesie się do nich w ramach subsumcji norm prawa wywiedzionych z przepisów ustawy o ochronie danych osobowych. W procesie tym uwzględni przy tym to, iż w sprawie chodzi o udostępnienie danych w Internecie, przez podmiot zagraniczny, w sposób, na który polskie organy nie mają wpływu. Jednocześnie WSA rozważy, czy przetwarzaniem nie jest stworzenie takich warunków technicznych, które de facto umożliwiają zapoznanie się z danymi osobowymi bez ich fizycznej retencji. W tej sytuacji, na podstawie art. 185 § 1 p.p.s.a. Naczelny Sąd Administracyjny uchylił zaskarżone rozstrzygnięcie WSA w Warszawie i przekazał sprawę temu Sądowi do ponownego rozpoznania. Jednocześnie wyjaśnić należy, iż w sprawie nie orzeczono o przyznaniu pełnomocnikowi skarżącego kasacyjnie wynagrodzenia za pomoc prawną udzieloną w ramach prawa pomocy, gdyż wynagrodzenie to jest przyznawane przez wojewódzki sąd administracyjny w postępowaniu określonym w przepisach art. 258-261 p.p.s.a.