III OSK 1052/21

Naczelny Sąd Administracyjny w składzie: Przewodniczący Sędzia NSA Przemysław Szustakiewicz, Sędziowie Sędzia NSA Olga Żurawska - Matusiak, Sędzia del. NSA Grzegorz Jankowski (spr.), po rozpoznaniu w dniu 26 stycznia 2022 r. na posiedzeniu niejawnym w Izbie Ogólnoadministracyjnej skargi kasacyjnej G. O.-S. od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 10 lipca 2018 r., sygn. akt II SA/Wa 2013/17 w sprawie ze skargi G. O.-S. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] września 2017 r., nr [...] w przedmiocie przetwarzania danych osobowych 1/ uchyla zaskarżony wyrok w całości i przekazuje sprawę do ponownego rozpoznania Wojewódzkiemu Sądowi Administracyjnemu w Warszawie, 2/ zasądza od Generalnego Inspektora Ochrony Danych Osobowych na rzecz G. O. – S. kwotę 460 (czterysta sześćdziesiąt) zł tytułem zwrotu kosztów postępowania kasacyjnego Wyrokiem z dnia 10 lipca 2018 r., sygn. akt II SA/Wa 2013/17 Wojewódzki Sąd Administracyjny w Warszawie oddalił skargę G. O. – S. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z [...] września 2017 r., nr [...], którą utrzymano w mocy decyzję tego samego organu z [...] kwietnia 2017 r. odmawiającą uwzględnienia wniosku skarżącej o nakazanie [...] usunięcia jej danych osobowych z bazy danych Spółki oraz portalu internetowego znanylekarz.pl. Podzielając stanowisko organu, Sąd I instancji uznał, że opublikowanie przez Spółkę danych osobowych skarżącej jest zgodne z przedmiotem działalności gospodarczej Spółki i znajduje oparcie w art. 23 ust. 1 pkt 5 ustawy z 29 sierpnia 1997 r. o ochronie danych osobowych (Dz.U. z 2016 r., poz. 922 ze zm.) dalej u.o.d.o. zaznaczając, że podmiot ten nie dopuścił się naruszenia powszechnie obowiązujących przepisów o ochronie danych osobowych. Mający zastosowanie w niniejszej sprawie art. 23 ust. 1 pkt 5 u.o.d.o. określany jest w doktrynie przedmiotu mianem tzw. klauzuli usprawiedliwionego celu, tj. przesłanki, która oznacza, że "przetwarzanie danych osobowych jest dopuszczalne tylko wtedy, gdy jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby której dotyczą". Innymi słowy jej spełnienie stanowi dostateczną legitymację do legalnego w świetle u.o.d.o. przetwarzania danych osobowych. Przedmiotem zarejestrowanej przez Spółkę działalności gospodarczej jest m.in. działalność portali internetowych, przetwarzanie danych, zarządzanie stronami internetowymi, co oznacza, że opublikowanie danych osobowych skarżącej było zgodne z przedmiotem jej działalności. Odnośnie zarzutów skarżącej dotyczących braku uzasadnienia dla przetwarzania jej danych osobowych na stronie internetowej [...] Sąd I instancji wyjaśnił, że w myśl art. 26 ust. 1 pkt 3 u.o.d.o. pozyskiwanie danych osobowych musi odbywać się zgodnie z zasadą adekwatności. Administrator powinien przetwarzać tylko takiego rodzaju dane i tylko o takiej treści, które są niezbędne ze względu na cel ich zbierania. Powyższe oznacza, że Spółka jako administrator danych przetwarzając dane dołożyła szczególnej staranności w celu ochrony interesów osób, których dane dotyczą, a w szczególności ich zakres był merytorycznie poprawny i adekwatny w stosunku do celów, w jakich są przetwarzane. Cel przetwarzania przez portal [...] danych osobowych skarżącej jest usprawiedliwiony działalnością Spółki. Odnosząc się do przetwarzania danych osobowych skarżącej w celach komercyjnych Sąd I instancji stwierdził, że skarżąca nie zarejestrowała się w ww. serwisie internetowym nie zawierając tym samym umowy o świadczenie usług ze Spółką, która przez rzeczony portal jedynie informowała o jej działalności zawodowej, wykorzystując do tego celu ogólnodostępne rejestry. Sąd I instancji nie dopatrzył się również naruszenia praw i wolności skarżącej, wywodząc, iż dane osobowe skarżącej udostępniane na stronie internetowej dotyczą wyłącznie jej życia zawodowego i nie sposób uznać, że doszło do naruszenia jej prawa do ochrony życia prywatnego, rodzinnego, czy też prawa decydowania o swoim życiu osobistym. Skargę kasacyjną od powyższego wyroku wywiodła G. O. – S. reprezentowana przez profesjonalnego pełnomocnika zarzucając mu naruszenie prawa materialnego, tj. art. 23 ust. 1 pkt 5 u.o.d.o. polegające na błędnym jego zastosowaniu wyrażającym się w przyjęciu, że zachowane zostały określone w nim przesłanki pozwalające na przetwarzanie przez [...] jej danych osobowych. W ocenie skarżącej WSA w Warszawie dokonując oceny, czy zachowane zostały przesłanki z art. 23 ust. 1 pkt 5 u.o.d.o. nie dokonał wyczerpującej, uwzględniającej specyfikę wykonywania zawodu lekarza, analizy, czy przetwarzanie jej danych osobowych nie prowadzi do naruszenia jej praw i wolności, pominął również fakt, że portal [...] nie zapewnia lekarzom żadnego mechanizmu obronnego przed komentarzami lub opiniami niezgodnymi ze stanem rzeczywistym. W oparciu o powyższe skarżąca wniosła o uchylenie zaskarżonego wyroku w całości i przekazanie sprawy do ponownego rozpoznania WSA w Warszawie, zasądzenie kosztów postępowania wg norm przepisanych oraz rozpoznanie sprawy na rozprawie. W odpowiedzi na skargę kasacyjną, organ podzielając w pełni stanowisko wyrażone przez Sąd I instancji, wniósł o jej oddalenie. Naczelny Sąd Administracyjny zważył, co następuje: W pierwszej kolejności należy wskazać, że w myśl art. 15zzs4 ust. 1 ustawy COVID-19 w brzmieniu od dnia 3 lipca 2021 r. (Dz.U. z 2021 poz. 1090), w okresie obowiązywania stanu zagrożenia epidemicznego albo stanu epidemii ogłoszonego z powodu COVID-19 oraz w ciągu roku od odwołania ostatniego z nich Naczelny Sąd Administracyjny nie jest związany żądaniem strony o przeprowadzenie rozprawy. Zgodnie z ust. 3 powołanego przepisu, przewodniczący może zarządzić przeprowadzenie posiedzenia niejawnego, jeżeli uzna rozpoznanie sprawy za konieczne, a nie można przeprowadzić jej na odległość z jednoczesnym bezpośrednim przekazem obrazu i dźwięku. Na posiedzeniu niejawnym w tych sprawach sąd orzeka w składzie trzech sędziów. W niniejszej sprawie Sąd uznał rozpoznanie sprawy za konieczne, zaś wobec braku zgody wszystkich stron postępowania na przeprowadzenie rozprawy w trybie zdalnym, sprawę rozpoznano na posiedzeniu niejawnym na podstawie art. 15 zzs4 ust. 1 i 3 ustawy COVID-19. Stosownie do art. 183 § 1 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2019 r. poz. 2325 z późn. zm.) zwanej dalej p.p.s.a., Naczelny Sąd Administracyjny rozpoznaje sprawę w granicach skargi kasacyjnej, biorąc pod rozwagę z urzędu jedynie nieważność postępowania. W rozpoznawanej sprawie nie zachodzi żadna z okoliczności skutkujących nieważnością postępowania, o jakich mowa w art. 183 § 2 p.p.s.a. i nie zachodzi żadna z przesłanek, o których mowa w art. 189 p.p.s.a., które Naczelny Sąd Administracyjny rozważa z urzędu dokonując kontroli zaskarżonego skargą kasacyjną wyroku. W tych okolicznościach w sprawie badaniu podlegały wyłącznie zarzuty podniesione w skardze kasacyjnej na uzasadnienie przytoczonych podstaw kasacyjnych. Za zasadny, w ocenie Naczelnego Sądu Administracyjnego, uznać należało zarzut naruszenia prawa materialnego, tj. art. 23 ust. 5 pkt 1 u.o.d.o. poprzez przyjęcie, że zachowane zostały określone w nim przesłanki pozwalające na przetwarzanie przez [...] danych osobowych skarżącej. WSA w Warszawie uznając zgodność z prawem przetwarzania przez Spółkę danych osobowych skarżącej w oparciu o przepis art. 23 ust. 1 pkt 5 u.o.d.o. powołał się na przedmiot działalności gospodarczej Spółki (działalność portali internetowych, zarządzanie stronami internetowymi, przetwarzanie danych itp.) stwierdzając, że cel przetwarzania danych skarżącej jest usprawiedliwiony działalnością Spółki oraz nie narusza praw i wolności skarżącej, bowiem dotyczy jej życia zawodowego. Stanowiska Sądu I instancji Naczelny Sąd Administracyjny nie podziela. W pierwszej kolejności podkreślić należy, że przetwarzanie danych osobowych na podstawie art. 23 ust. 1 pkt 5 u.o.d.o. dopuszczalne jest wtedy, gdy jest ono niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą. Zatem w postępowaniu, w którym osoba, której dane są przetwarzane domaga się realizacji swojego prawa, wyrażonego w art. 1 u.o.d.o., konieczne jest wykazanie, czy podmiot przetwarzając dane spełnia ww. wymogi, czy też nie. W niniejszym postępowaniu skarżąca kasacyjnie podnosiła, że nie zawierała umowy ze Spółką [...] i nie chce świadczyć usług za pośrednictwem portalu internetowego. W tej sytuacji rozważenia przez Sąd I instancji wymagało jaki prawnie usprawiedliwiony cel uzasadnia przetwarzanie jej danych osobowych przez Spółkę. O powyższym, wbrew stanowisku WSA w Warszawie, nie może przesądzać sam fakt ujęcia przez Spółkę w przedmiocie działalności – prowadzenia stron internetowych, przetwarzanie danych osobowych, działalność portali internetowych - stanowiąc automatyczną przesłankę legalizującą przetwarzanie danych osobowych skarżącej. Podkreślić należy, że przedmiot działalności sam w sobie na gruncie u.o.d.o. nie stanowi podstawy do przetwarzania oraz posługiwania się danymi osobowymi. Powyższe Sąd I instancji pominął skupiając się jedynie na fakcie, że przetwarzanie danych osobowych skarżącej jest zgodne z przedmiotem działalności gospodarczej Spółki, pomijając fakt, że powyższe nie jest tożsame z niezbędnością przetwarzania danych osobowych w rozumieniu przepisu art. 23 ust. 1 pkt 5 u.o.d.o. Sąd I instancji powoływał się na kwestie wyważenia interesów – skarżącej i Spółki, lecz powyższego nie dokonał. Nie skonfrontował bowiem swoich rozważań w tym zakresie z zapisami dostępnego na stronie internetowej Spółki Regulaminu, w świetle jego zapisów dotyczących sposobu przetwarzania danych osobowych skarżącej w zakresie istnienia prawnie usprawiedliwionego celu (np. § 8 ust. 2 – 4). Sąd I instancji nie wziął również pod uwagę faktu, że jakakolwiek ingerencja skarżącej w kwestii przetwarzania jej danych osobowych możliwa jest wyłącznie po zarejestrowaniu się na portalu [...], tj. po spełnieniu dodatkowych pozaustawowych przesłanek w postaci zawarcia z administratorem umowy cywilnoprawnej. Niewystarczające jest również stwierdzenie przez Sąd I instancji, że udostępniane dane osobowe dotyczą wyłącznie życia zawodowego strony. Stwierdzenie WSA w tym zakresie nie zostało poparte żadną analizą nosząc tym samym cechy dowolności. Ponadto powyższe nie oznacza, że skarżąca nie jest pozbawiona ochrony. W myśl art. 30 Konstytucji RP przyrodzona i niezbywalna godność człowieka stanowi źródło wolności i praw człowieka i obywatela. Jest ona nienaruszalna a jej poszanowanie i ochrona jest obowiązkiem władz publicznych. Sąd I instancji nie rozważył również, czy skarżąca będąc związana tajemnicą lekarską, ma rzeczywistą możliwość merytorycznego ustosunkowania się do informacji przedstawianych na jej temat. Rozpatrując ponownie sprawę WSA w Warszawie dokona ponownej oceny zgodności z prawem przetwarzania danych osobowych skarżącej z uwzględnieniem poczynionych rozważań oraz Regulaminu świadczenia usług drogą elektroniczną przez [...] w brzmieniu obowiązującym w dniu rozstrzygania przez organ. Nadto oceni również i wyważy z jednej strony racje i interesy skarżącej kasacyjnie (właściciela danych) objętej ochroną prawną, a z drugiej administratora danych, również chronionego przez prawo w zakresie w jakim może realizować prawnie usprawiedliwione cele i uprawnienia. Przy istniejącym konflikcie interesów stosownie do art. 23 ust. 1 pkt 5 u.o.d.o. uwzględnienia wymaga ranga tych interesów w okolicznościach konkretnej sprawy. Należy zatem ustalić i rozważyć wszystkie okoliczności konieczne do wyważenia niezbędnej ochrony interesów osoby, której dane dotyczą oraz interesów administratora danych. Mając powyższe na uwadze Naczelny Sąd Administracyjny na podstawie art. 185 § 1 p.p.s.a. uchylił zaskarżony wyrok i przekazał sprawę do ponownego rozpoznania. O kosztach postępowania kasacyjnego na rzecz skarżącej kasacyjnie od organu orzeczono na podstawie art. 203 pkt 1 p.p.s.a.