II SA/Wa 1997/17

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Adam Lipiński, Sędziowie WSA Maria Werpachowska (spr.), Iwona Dąbrowska, Protokolant specjalista Monika Gieroń, po rozpoznaniu na rozprawie w dniu 2 sierpnia 2018 r. sprawy ze skargi E. Z. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] października 2017 r. nr [...] w przedmiocie przetwarzania danych osobowych 1. uchyla zaskarżoną decyzję, 2. zasądza od Prezesa Urzędu Ochrony Danych Osobowych na rzecz E. Z. kwotę 200 (słownie: dwieście) złotych tytułem zwrotu kosztów postępowania. E.Z. (dalej "skarżąca") pismem z dnia [...] lutego 2017 r. wniosła skargę do Generalnego Inspektora Ochrony Danych Osobowych (dalej "GIODO" lub "organ"), na podstawie art. 12 pkt 2 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2014 r., poz. 1182 ze zm. – dalej "u.o.d.o.") na niezgodne z prawem przetwarzanie danych osobowych przez [...] Sp. z o.o. siedzibą w W., polegające na przetwarzaniu danych skarżącej z naruszeniem art. 23 ust. 1 u.o.d.o. oraz naruszeniu obowiązków informacyjnych określonych w art. 25 ust. 1 u.o.d.o. Wniosła o spowodowanie zaprzestania przetwarzania danych osobowych i usunięcia wszelkich danych dotyczących skarżącej ze zbiorów danych osobowych Spółki oraz o usunięcie uchybień w przetwarzaniu danych osobowych poprzez spowodowanie zrealizowania przez [...] Sp. z o.o. z siedzibą w W. obowiązku określonego w art. 25 ust. 1 u.o.d.o, w szczególności poprzez wskazanie źródła pozyskania danych osobowych. Wskazała, że nie udzieliła Spółce zgody na przetwarzanie danych osobowych, co wyklucza stosowanie art. 23 u.o.d.o. Nadto, zdaniem skarżącej, nie istnieje przepis uprawniający lub zobowiązujący Spółkę do przetwarzania jej danych osobowych bez uzyskania uprzedniej zgody, przy czym w szczególności do działań takich nie uprawniają przepisu ustawy o świadczeniu usług drogą elektroniczną, o wyklucza stosowanie art. 23 ust. 1 pkt u.o.d.o. Nadto w ocenie skarżącej, nie zostały spełnione przesłanki zastosowania art. 23 ust. 1 pkt 5 u.o.d.o., tj. prawnie usprawiedliwiony cel, realizowanie tego celu przez administratora, niezbędność przetwarzania danych osobowych, nienaruszanie praw i wolności na skutek przetwarzania danych osobowych. W związku z tym przetwarzanie danych osobowych naeży uznać za bezprawne. W odpowiedzi na wezwanie GIODO dotyczące skargi, Spółka [...] Sp. z o.o. w piśmie z dnia [...] kwietnia 2017 r. poinformowała, że dane skarżącej są przetwarzane na podstawie art. 23 ust. 1 pkt 5 u.o.d.o. Celem przetwarzania jest informowanie użytkowników Internetu o praktyce skarżącej i wymiana opinii o tej praktyce. Zakres danych osobowych przetwarzanych przez spółkę to imię i nazwisko, wykonywany zawód oraz adres, gdzie ten zawód jest wykonywany. Dane są przetwarzane w systemie informatycznym w zbiorze "[...]". Dane są przetwarzane jedynie w sposób polegający na publikacji na portalu [...].pl. Dane osobowe skarżącej zostały dodane przez anonimowego użytkownika w dniu [...] stycznia 2009 r. Spółka spełniła wobec skarżącej obowiązek informacyjny z art. 25 u.o.d.o. poprzez wysłanie informacji wymaganej przez przepisy prawa w formie pisemnej. Wskazano, że Spółka otrzymała żądanie usunięcia danych skarżącej, w odpowiedzi na które wskazała podstawy prawne odmowy (podane jak w piśmie do GIODO) i wyjaśniła, że zawód skarżącej jest ważny z punktu widzenia interesu publicznego, a dane, które spółka przetwarza nie dotyczą prywatnej sfery życia skarżącej. GIODO decyzją z dnia [...] października 2017 r. nr [...], na podstawie art. 104 § 1 ustawy z dnia 14 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2017 r., poz. 1257 – dalej jako "k.p.a."), art. 12 pkt 2 i art. 22 oraz art. 23 ust. 1 pkt 5 u.o.d.o., odmówił E.Z. uwzględnienia wniosku. W uzasadnieniu GIODO podał, iż strona www.[...].pl jest serwisem internetowym, który umożliwia użytkownikom zamieszczanie informacji, komentarzy i opinii na temat [...]. Organ ustalił, że z regulaminu świadczenia usług drogą elektroniczną przez [...].pl wynika, iż opinie i informacje o Profesjonalistach (tj. m. in. o skarżącej) mogą dotyczyć wyłącznie działalności zawodowej Profesjonalisty (§ 4 pkt 2). Opinie i informacje o Profesjonalistach mogą opierać się jedynie na osobistych doświadczeniach Użytkownika. Opinie i informacje nie mogą opierać się na relacjach osób trzecich (§ 4 pkt 3). Niedozwolone jest wielokrotne zamieszczanie przez jednego Użytkownika opinii dotyczących tego samego zdarzenia [...]([...]itp. - § 4 pkt 4). Niedozwolone jest umieszczanie opinii i komentarzy, które nie są zgodne z prawdą (§ 4 pkt 7). Informacje, opinie i komentarze nie mogą naruszać prawa, dóbr osobistych, ani zasad współżycia społecznego. W szczególności niedozwolone jest używanie wyrażeń wulgarnych, niecenzuralnych i obraźliwych, stosowanie przezwisk, odnoszenie się do sfery prywatnej i rodzinnej, oskarżanie o popełnienie przestępstwa, wzywanie do stosowania przemocy lub do nienawiści rasowej, wyznaniowej, etnicznej itp. (§ 4 pkt 6). Spółka ma prawo odmówić opublikowania opinii i informacji, a opublikowane usunąć, jeżeli są sprzeczne z regulaminem lub przepisami prawa (§ 4 pkt 8). Powołując się na regulamin korzystania z serwisu www.[...].pl GIODO stwierdził, że Spółka [...] Sp. z o.o. jest administratorem danych osobowych skarżącej, bowiem decyduje o celach i środkach przetwarzania tych danych (art. 7 pkt 5 u.o.d.o.). Z postanowień regulaminu wynika, iż ww. podmiot decyduje o zamieszczeniu na ww. stronie internetowej bądź też usunięciu z niej informacji, komentarzy lub opinii użytkowników. Organ powołał treść art. 23 ust. 1 pkt 1-5 u.d.i.p., wskazując, że zgoda osoby (pkt 1), której dane dotyczą nie jest jedyną podstawą przetwarzania danych osobowych, bowiem proces przetwarzania danych będzie zgodny z ustawą również wówczas, gdy administrator danych wykaże spełnienie innej z wyżej wymienionych przesłanek. W dalszej części organ przywołał poglądy prezentowane w doktrynie wskazując, że "(...) termin usprawiedliwione cele, o którym mowa w przytoczonym wyżej przepisie art. 23 ust. 1 pkt 5 ustawy, jest zwrotem niedookreślonym i stanowi klauzulę generalną w znaczeniu funkcjonalnym. Daje w szczególności pewnego rodzaju luz decyzyjny, dzięki któremu organ stosujący prawo (GIODO), może przy podejmowaniu decyzji, kierować się ocenami indywidualnymi konkretnej sytuacji, a także pewnymi zasadami postępowania niesformułowanymi w przepisach prawa (...)" (P. Barta, P. Litwiński. Ustawa o ochronie danych osobowych. Komentarz. Warszawa 2009, str. 228). Jak wskazuje się w doktrynie cyt.: "(...) z jednej strony cel przetwarzania danych musi być usprawiedliwiony prowadzoną działalnością administratora lub odbiorcy danych, a z drugiej strony działalność ta nie może być w jakiejkolwiek mierze niezgodna z prawem, zasadami współżycia społecznego czy dobrymi obyczajami (np. zbieranie danych dla szantażu). Nie można wszakże podawać w wątpliwość istnienia usprawiedliwionego celu tylko z tego powodu, iż ma on - w całości lub części - charakter zarobkowy (...)" (J. Barta, P. Fajgielski, R. Markiewicz. Ochrona Danych Osobowych. Komentarz. LEX 2011, Wydanie V). GIODO wskazał, że przedmiotem zarejestrowanej przez Spółkę działalności gospodarczej jest między innymi działalność portali internetowych, przetwarzanie danych, zarządzanie stronami internetowymi (hosting). Wobec tego, w ocenie GIODO, opublikowanie przez Spółkę danych osobowych skarżącej - jako zgodne z przedmiotem działalności gospodarczej Spółki - znajduje swe oparcie w art. 23 ust. 1 pkt 5 u.o.d.o. Ponadto, zdaniem organu zakres danych osobowych skarżącej przetwarzanych przez Spółkę na stronie internetowej www.[...].pl jest uzasadniony dla rodzaju prowadzonej przez spółkę działalności komercyjnej związanej z przetwarzaniem danych i działalnością portali internetowych i adekwatny do rodzaju prowadzonej działalności w rozumieniu art. 26 ust. 1 pkt 3 ustawy. Organ powołał treść tego przepisu. GIODO stwierdził, skarżąca nie wykazała w jaki konkretnie sposób wpisy użytkowników Serwisu na jej nieweryfikowanym profilu na stronie www.[...].pl naruszały jej prawa, a w szczególności jej dobre imię i cześć. Skarżąca nie powzięła też żadnych działań mających na celu usunięcie przedmiotowych wpisów. W szczególności jako tzw. niezarejestrowany Profesjonalista (osoba nie posiadająca konta w Serwisie) nie zwracała się do Spółki o usunięcie kwestionowanych wpisów drogą elektroniczną, listowną lub za pomocą formularza zamieszczonego na stronie www.[...].pl. Skarżąca nie zwracała się również do Spółki o dane użytkowników, którzy dokonali wpisów mogących naruszać jej dobra osobiste, co mogłoby otworzyć jej możliwość dochodzenia stosownych roszczeń na drodze cywilnej przed sądem powszechnym. W świetle ustalonego przez organ stanu faktycznego niniejszej sprawy nie sposób jest również uznać, że Skarżąca była zmuszona zawrzeć odpłatną umowę o świadczenie usług ze Spółką, aby móc odnieść się do treści zamieszczonych na stronie www.[...].pl negatywnych komentarzy dotyczących jej praktyki [...]. Analiza ww. strony internetowej Spółki wykazała bowiem, iż istniała możliwość zawarcia przez Skarżącą umowy o świadczenie usług ze Spółką, mającej charakter nieodpłatny. W ramach tej umowy Skarżąca mogłaby otrzymywać powiadomienia o zamieszczonych w Serwisie Spółki opiniach [...] na temat swojej praktyki [...] oraz miałaby możliwość odpowiadania na pytania [...]. Do zawarcia ww. umowy niezbędnym byłoby w przypadku Skarżącej podanie numeru prawa wykonywania zawodu, dostępnego w Centralnym Rejestrze [...] prowadzonym przez [...], oraz numeru PESEL. Numer PESEL zarejestrowanych Profesjonalistów na rzecz których Spółka świadczy usługi drogą elektroniczną (także nieodpłatnie) Spółka może przetwarzać na podstawie art. 18 ust. 1 pkt 2 ustawy z dnia 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną (Dz. U. z 2017, poz. 1219 t.j.). Wskazał, że świadczona przez [...] praca, w szczególności sposób jej wykonywania i uzyskane efekty, podlegają społecznej kontroli. Natomiast serwis internetowy umożliwiający użytkownikom zamieszczanie opinii i komentarzy dotyczących [...] jest jednym z narzędzi za pomocą, którego [...] mogą wykonywać ww. społeczną kontrolę. Decyzja GIODO z dnia [...] października 2017 r. stała się przedmiotem skargi E.Z. do Wojewódzkiego Sądu Administracyjnego w Warszawie. Zaskarżonej decyzji zarzuciła: 1. naruszenie art. 23 ust. 1 pkt 5 u.o.d.o. poprzez błędne przyjęcie, że przetwarzanie danych osobowych skarżącego przez [...] Sp. z o.o. jest niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratora danych i nie narusza jego praw i wolności, podczas gdy działalność Spółki wiąże się ze stricte komercyjnym charakterem, 2. naruszenie art. 32 ust. 1 pkt 6 u.o.d.o. poprzez nieuwzględnienie uzasadnionego żądania skarżącej dotyczącego stałego usunięcia jej danych osobowych zebranych z naruszeniem ustawy, 3. naruszenie art. 8 ust. 1 ustawy z dnia 5 grudnia 1996 r. o zawodach [...] poprzez pominięcie istotnego faktu, że jedynym regulowanym przez prawo rejestrem [...], którzy uzyskali prawo wykonywania zawodu, jest rejestr prowadzony przez właściwą okręgową [...] i tylko ten rejestr pełni zarówno funkcję informacyjną, jak i ochronną, 4. naruszenie art. 25 ust. 1 ustawy o ochronie danych osobowych poprzez uznanie, że spółka [...] Sp. z o.o. wypełniła obowiązek informacyjny wobec skarżącej, 5. naruszenie art. 7 k.p.a. w zw. z art. 77 § 1 k.p.a. w zw. z art. 80 k.p.a. polegające na zaniechaniu przez organ przeprowadzenia postępowania dowodowego w sposób wyczerpujący, a nadto na niekompletnym rozpatrzeniu zebranego materiału dowodowego i dokonaniu oceny zebranego materiału dowodowego w sposób nielogiczny i sprzeczny z doświadczeniem życiowym, 6. naruszenie art. 18 ust. 1 pkt 6 ustawy o ochronie danych osobowych poprzez nieprzywrócenie stanu zgodnego z prawem, w szczególności nakazania usunięcia danych osobowych, pomimo naruszenia przez [...] Sp. z o.o. przepisów o ochronie danych osobowych, 7. naruszenie art. 107 § 3 k.p.a. polegające na pominięciu wskazania w uzasadnieniu decyzji, którym dowodom organ dał wiarę i na których oparł swoje rozstrzygnięcie, a którym odmówił mocy dowodowej wraz ze wskazaniem przyczyn takiego postępowania oraz polegające na pominięciu wyjaśnienia podstawy prawnej decyzji. Mając na uwadze powyższe zarzuty, wniosła o uwzględnienie skargi i uchylenie zaskarżonej decyzji z dnia [...] października 2017 r. w całości oraz o zasądzenie, na podstawie art. 200 P.p.s.a. od Generalnego Inspektora Ochrony Danych Osobowych na rzecz skarżącej kosztów postępowania. GIODO w odpowiedzi na skargę wniósł o jej oddalenie, podtrzymując argumentację zawartą w zaskarżonej decyzji. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje. Zgodnie art. 1 § 1 i 2 ustawy z dnia 25 lipca 2002 r. – Prawo o ustroju sądów administracyjnych (Dz. U. z 2016 r., poz.1066), sąd administracyjny sprawuje wymiar sprawiedliwości poprzez kontrolę pod względem zgodności z prawem zaskarżonego aktu administracyjnego i to z przepisami obowiązującymi w dacie jego wydania. W świetle powyżej określonych kryteriów skarga zasługuje na uwzględnienie. W ocenie Sądu, w sprawie niniejszej, dotyczącej przetwarzania danych osobowych E.Z., naruszone zostały przepisy postępowania, tj. przepis art. 7, art. 77 § 1, art. 80 i art. 107 § 3 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (t.j. Dz. U. z 2016 r. poz. 23), zwanej dalej k.p.a., w stopniu, który mógł mieć istotny wpływ na wynik sprawy. Nadto, wobec naruszenia powołanych przepisów, naruszony został także przepis art. 23 ust. 1 pkt 5 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (t.j. Dz. U. z 2016 r. poz. 922), zwanej dalej u.o.d.o., albowiem wobec nieprawidłowo przeprowadzonego postępowania nie zostało wykazane przez organ spełnienie przesłanki określonej w tym przepisie, jako podstawy przetwarzania danych osobowych skarżącej. Zarzuty skargi Sąd uznał zatem za zasadne. Zgodnie z powołanym przez organ w podstawie prawnej decyzji przepisem art. 12 pkt 2 u.o.d.o., do zadań Generalnego Inspektora należy w szczególności wydawanie decyzji administracyjnych i rozpatrywanie skarg w sprawach wykonania przepisów o ochronie danych osobowych. Wykonując to zadanie GIODO – w świetle przepisów powołanej ustawy – obowiązany jest dokonać oceny zgodności z prawem przetwarzania danych osobowych wnoszącego skargę. Rolą organu powołanego do spraw ochrony danych osobowych jest zatem – w każdej indywidualnej sprawie – przede wszystkim ustalenie, czy dane osobowe konkretnego skarżącego przetwarzane są zgodnie z prawem. Ocena w tym zakresie determinuje bowiem rodzaj rozstrzygnięcia organu. Pamiętać przy tym należy, że przez przetwarzanie danych rozumie się m.in. ich zbieranie, utrwalanie, opracowywanie, udostępnianie (art. 7 pkt 2 u.o.d.o.). Badanie, czy dane przetwarzane są zgodnie z prawem, powinno opierać się w pierwszej kolejności na dokonaniu przez GIODO – w ustalonym wcześniej i niebudzącym wątpliwości stanie faktycznym – stwierdzenia, czy spełniona została jedna z przesłanek określonych w art. 23 ust. 1 pkt 1-5 u.o.d.o. W rozpoznawanej sprawie GIODO za podstawę przetwarzania przez Spółkę [...] Sp. z o.o. z siedzibą w W. danych osobowych E.Z. w zakresie jej imienia, nazwiska, miejsca pracy i informacji dotyczących życia zawodowego (wykonywania zawodu [...]) uznał przepis art. 23 ust. 1 pkt 5 u.o.d.o., zgodnie z którym przetwarzanie danych osobowych jest dopuszczalne tylko wtedy, gdy jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą. Stosownie do art. 23 ust. 4 u.o.d.o. za prawnie usprawiedliwiony cel, o którym mowa w ust. 1 pkt 5, uważa się w szczególności: 1) marketing bezpośredni własnych produktów lub usług administratora danych; 2) dochodzenie roszczeń z tytułu prowadzonej działalności gospodarczej. Zaznaczyć przy tym należy, że za dane osobowe w rozumieniu ustawy, zgodnie z jej art. 6 ust. 1, uważa się wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej. Osobą możliwą do zidentyfikowania jest osoba, której tożsamość można określić bezpośrednio lub pośrednio, w szczególności przez powołanie się na numer identyfikacyjny albo jeden lub kilka specyficznych czynników określających jej cechy fizyczne, fizjologiczne, umysłowe, ekonomiczne, kulturowe lub społeczne (art. 6 ust. 2). W doktrynie prezentowany jest pogląd, że użycie zwrotu "wszelkie informacje" służy podkreśleniu, że w grę wchodzą informacje odnoszące się do każdego aspektu osoby, jej stosunków osobistych i rzeczowych, jej życia zawodowego, prywatnego, wykształcenia, wiedzy czy cech charakteru. Nie ma znaczenia, w jakiej roli występuje w danym przypadku osoba (np. członka rodziny, członka grupy zawodowej czy przedsiębiorcy). Danymi osobowymi są zarówno informacje już rozpowszechnione lub opublikowane (zamieszczone w publikowanych materiałach), jak i w ogóle jeszcze nieujawnione. Charakter danych osobowych mają informacje "z różnych dziedzin życia", o ile tylko istnieje możliwość powiązania ich z oznaczoną osobą; mogą to być informacje o charakterze obiektywnym lub subiektywnym, wymiernym lub ocennym, o okolicznościach dawnych, obecnych lub przyszłych, trwałych lub przemijających. (v. Barta Janusz, "Ochrona danych osobowych. Komentarz", wyd. VI opublikowano: LEX 2015). Charakter danych osobowych mają informacje dotyczące przygotowania zawodowego i przebiegu pracy danej osoby, a także opinie na temat danej osoby. Wszelkie przetwarzane przez Spółkę informacje dotyczące E.Z., w tym dotyczące jej życia zawodowego, stanowią zatem dane osobowe. Pamiętać należy przy tym, że zgodnie z art. 1 ust. 1 u.o.d.o., każdy ma prawo do ochrony dotyczących go danych osobowych. Stosownie zaś do art. 1 ust. 2 u.o.d.o., przetwarzanie danych osobowych może mieć miejsce ze względu na dobro publiczne, dobro osoby, której dane dotyczą, lub dobro osób trzecich w zakresie i trybie określonym ustawą. GIODO uzasadniając zgodność z prawem przetwarzania przez Spółkę danych osobowych skarżącej na podstawie art. 23 ust. 1 pkt 5 u.o.d.o. powołał się na przedmiot działalności gospodarczej Spółki (wskazano, że jest to m.in. działalność portali internetowych, przetwarzanie danych, zarządzanie stronami internetowymi i podobna działalność) i stwierdził, że cel przetwarzania danych – publikowanie danych osobowych skarżącej w Internecie – jest usprawiedliwiony tą działalnością Spółki. GIODO uznał jednocześnie, że przetwarzanie danych skarżącej nie narusza jej praw i wolności, bo dotyczy życia zawodowego. Nadto organ stwierdził, że świadczona przez [...] praca, w szczególności sposób jej wykonywania i uzyskane efekty (GIODO nie sprecyzował jak rozumieć sformułowanie "uzyskane efekty"), podlegają społecznej kontroli. Wyrażając to stanowisko i uznając jednocześnie, że nie ma podstaw do uwzględnienia wniosku E.Z., organ decyzję oparł na piśmie spółki [...]Sp. z o.o. stanowiącym odpowiedź na wezwanie GIODO, w którym Spółka podała m.in., że dane osobowe skarżącej zostały dodane przez anonimowego użytkownika (pismo z dnia [...] kwietnia 2017 r.), co nie zostało przez organ zweryfikowane. Organ stwierdził, że zbiór, w którym przetwarzane są dane osobowe skarżącej (w tym dane dotyczące jej życia zawodowego) nie jest wykorzystywany w celu komercyjnym, a tym samym w tym celu nie są wykorzystywane jej dane osobowe. Ustalenia te organ poczynił na podstawie oświadczenia Spółki i w wynikach przeprowadzonej w Spółce kontroli przez GIODO, również opartej głównie na oświadczeniach pracowników Spółki. Skarżąca jak wynika z akt postępowania administracyjnego twierdzi natomiast, iż nigdy nie zawierała ze spółką [...] Sp. z o.o. żadnych umów o świadczenie na jej rzecz usług, nie logowała się w serwisie internetowym, nie akceptowała regulaminu tego portalu i nie wyrażała zgody na przetwarzanie jej danych osobowych przez Spółkę. GIODO rozpoznając sprawę, nie wziął powyższego pod uwagę, przede wszystkim nie dokonał żadnych ustaleń stanu faktycznego w tym zakresie, czym naruszono art. 7 k.p.a. Zgodnie z tym przepisem w toku postępowania organy administracji publicznej stoją na straży praworządności, z urzędu lub na wniosek stron podejmują wszelkie czynności niezbędne do dokładnego wyjaśnienia stanu faktycznego oraz do załatwienia sprawy, mając na względzie interes społeczny i słuszny interes obywateli. Organ nie rozważył tych podnoszonych przez skarżącą okoliczności na gruncie całokształtu zapisów Regulaminu świadczenia usług drogą elektroniczną przez [...].pl., czym naruszono przepis art. 77 § 1 k.p.a. Zgodnie z tym przepisem, organ administracji publicznej jest obowiązany w sposób wyczerpujący zebrać i rozpatrzyć cały materiał dowodowy. W znajdującym się w aktach postępowania administracyjnego Regulaminie świadczenia usług drogą elektroniczną przez [...].pl. wynika, że poprzez rejestrację w serwisie bezpośrednio lub za pomocą serwisu Facebooka następuje zawarcie umowy (§ 7 ust. 1). Rejestracja profesjonalisty ([...]), oprócz danych wymaganych od użytkownika, wymaga podania m.in. numeru PESEL (§ 7 ust. 10 regulaminu). Stosownie do § 7 ust. 13 regulaminu przetwarzanie danych osobowych użytkownika i profesjonalisty zawartych w formularzu rejestracyjnym oraz danych udostępnionych w utworzonym przez niego profilu odbywa się za jego zgodą wyrażoną przy rejestracji w Serwisie. Profesjonalista, czyli [...], aby utworzyć swój profil (zweryfikowany) musi dokonać rejestracji (§ 5 ust. 5 regulaminu). Na profilu zweryfikowanym profesjonalista ([...]) otrzymuje dodatkowe uprawnienia, w szczególności może odpowiadać na opinie wystawione przez użytkowników. Umowa zostaje zawarta na czas nieokreślony (§ 7 ust. 4). Z przedstawionych wyżej zapisów regulaminu wynika, że dane osobowe przetwarzane są na podstawie art. 23 ust. 1 pkt 3 i art. 23 ust. 1 pkt 1 u.o.d.o. (na podstawie umowy i za zgodą m.in. [...]), oczywiście po zarejestrowaniu w serwisie Spółki. Skoro skarżąca wskazywała przed GIODO, że nie zawierała umowy ze spółką [...] Sp. z o.o. i nie chce świadczyć usług medycznych za pośrednictwem tej Spółki, wskazywała nadto, że dotychczas nie była stroną umowy ze Spółką, rozważenia przez GIODO wymagało, jaki – w tych okolicznościach – prawnie usprawiedliwiony cel uzasadnia przetwarzanie jej danych osobowych przez Spółkę. Fakt, że podmiot gospodarczy w przedmiocie działalności ujął "działalność portali internetowych", czy "przetwarzanie danych osobowych" nie może być traktowane jako automatyczna przesłanka legalizująca przetwarzanie danych osobowych skarżącej. Przedmiot działalności określa tylko dopuszczalny rodzaj prowadzonej działalności gospodarczej. Nie stanowi zaś sam w sobie na gruncie u.o.d.o. podstawy do przetwarzania (zbierania), posługiwania się danymi osobowymi skarżącej (udostępniania ich, w tym publikowania w Internecie) i nie wypełnia sam przez się przesłanki z art. 23 ust. 1 pkt 5 u.o.d.o. Pogląd zaprezentowany przez GIODO w tym zakresie w decyzji przeczy idei ochrony danych osobowych. Zasadnie w tych okolicznościach skarżąca zarzuciła, iż organ nie podjął wszelkich czynności niezbędnych do dokładnego wyjaśnienia stanu faktycznego sprawy. Na konieczność wyważenia przeciwstawnych interesów, gdy mowa o przesłance prawnie usprawiedliwionego celu administratora danych, wielokrotnie w swoim orzecznictwie wskazywał Trybunał Sprawiedliwości (v. wyrok Trybunału Sprawiedliwości z dnia 13 maja 2014 r. C-131/12 pkt 74). Kwestia wyważenia interesów (skarżącej i spółki [...] Spółka z o.o.) nie może być dokonana bez uwzględnienia zapisów Regulaminu. Zgodnie z § 8 ust. 2 znajdującego się w aktach postępowania administracyjnego Regulaminu, Usługodawca (spółka [...] Sp. z o.o.) nie ponosi odpowiedzialności za treść i formę materiałów i informacji zamieszczonych w serwisie przez użytkownika lub profesjonalistę. Użytkownik lub profesjonalista ponosi pełną odpowiedzialność za szkodę wywołaną jego działaniami w serwisie, w szczególności podaniem nieprawdziwych danych (§ 8 ust. 3 regulaminu). W § 8 ust. 4 Regulaminu, usługodawca zastrzegł zaś, że korzystanie z serwisu i udostępnianych przez niego usług odbywa się na wyłączne ryzyko użytkownika lub profesjonalisty ([...]), a wszelkie zamieszczone w nim informacje nie są objęte gwarancją co do ich wartości, przydatności, zupełności, kompletności czy użyteczności. GIODO nie dokonał w tej sprawie żadnych rozważań w świetle zapisów regulaminu dotyczących sposobu przetwarzania danych osobowych skarżącej w zakresie istnienia prawnie usprawiedliwionego celu, czym naruszono przepis art. 7, 77 § 1 i art. 80 k.p.a., a także art. 107 § 3 k.p.a., albowiem uzasadnienie decyzji nie zawiera wskazania faktów, które organ uznał za udowodnione i dowodów na których się oparł. Organ nie dokonał wnikliwej i wszechstronnej oceny, czy przetwarzanie przez Spółkę danych osobowych skarżącej nie narusza jej praw i wolności. Stwierdzenie organu zawarte w decyzji w tym zakresie nie zostało poparte żadną analizą, a tym samym jest dowolne i narusza art. 80 k.p.a. oraz art. 107 § 3 k.p.a. Odnosząc się do stwierdzenia GIODO, że dane udostępniane na stronie internetowej dotyczą wyłącznie życia zawodowego E.Z., wskazania wymaga, że powyższe nie oznacza, że skarżąca pozbawiona jest ochrony. Przepis art. 30 Konstytucji Rzeczypospolitej Polskiej stanowi, że przyrodzona i niezbywalna godność człowieka stanowi źródło wolności i praw człowieka i obywatela. Jest ona nienaruszalna, a jej poszanowanie i ochrona jest obowiązkiem władz publicznych. Przepis art. 47 Konstytucji RP zapewnia każdemu prawo do ochrony prawnej życia prywatnego, rodzinnego, czci, a także dobrego imienia. Zgodnie z art. 1 ust. 1 u.o.d.o., jak wskazano to już wyżej, każdy ma prawo do ochrony dotyczących go danych osobowych. Należy także zwrócić uwagę, iż GIODO w postępowaniu administracyjnym nie dokonał żadnych ustaleń – w świetle treści regulaminu – czy skarżąca bez dokonania rejestracji (a zatem formalnego zawarcia umowy ze Spółką) ma w istocie możliwość samodzielnego zgłoszenia nadużycia. Uchybieniem tym organ naruszył art. 7, art. 77 § 1 i art. 80 k.p.a. Organ nie zbadał też, czy skarżąca ma możliwość (nie będąc użytkownikiem serwisu) doprowadzenia do poprawienia swoich danych w sytuacji, gdy w jej ocenie są one nieprawdziwe. Oparł się w tym nakazie na wynikach przeprowadzonej kontroli opartej głównie na oświadczeniu Spółki i nie zweryfikował tej okoliczności z zapisami regulaminu. Pamiętać należy, że zgodnie z art. 51 ust. 4 Konstytucji Rzeczypospolitej Polskiej, każdy ma prawo do żądania sprostowania oraz usunięcia informacji nieprawdziwych, niepełnych lub zebranych w sposób sprzeczny z ustawą. Samo poinformowanie przez administratora danych o uprawnieniach korekcyjnych względem zebranych danych – bez ustalenia, czy korekta ta jest faktycznie możliwa – nie stanowi o zgodności z prawem przetwarzania danych. Stanowi jedynie o wypełnieniu obowiązku informacyjnego wobec osoby, której dane są przetwarzane (art. 25 u.o.d.o.). Nadto, organ winien rozważyć, czy wobec spoczywającego na skarżącej jako [...] obowiązku zachowania w tajemnicy informacji związanych z [...], a uzyskanych w związku z wykonywaniem zawodu (art. 40 ust. 1 ustawy z dnia 5 grudnia 1996 r. – t.j. Dz. U. z 2015 r., poz. 464 ze zm.), skarżąca ma istotnie rzeczywistą możliwość wykazania (Spółce, z którą nie wiąże jej – jak wskazywała – umowa) merytorycznej niepoprawności swoich danych osobowych (w tym informacji na swój temat jako [...] przedstawionych w opinii na stronie internetowej Serwisu). Warto wskazać, iż w orzecznictwie sądowoadministracyjnym wyrażony został pogląd, że tylko rejestr prowadzony przez właściwą okręgową [...] pełni zarówno funkcję informacyjną, jak też ochronną (v. wyrok WSA w Warszawie z dnia 29 stycznia 2014 r., sygn. akt II SA/Wa 1819/13, orzeczenia.nsa.gov.pl). Ponownie rozpatrując sprawę, GIODO dokona pełnych i niebudzących wątpliwości ustaleń stanu faktycznego w zakresie przetwarzania danych osobowych skarżącej przez spółkę [...] Sp. z o.o. Rozpatrując zebrany materiał dowodowy, organ dokona ponownej oceny zgodności z prawem przetwarzania danych osobowych skarżącej przez Spółkę, z uwzględnieniem rozważań poczynionych przez Sąd wyżej oraz przy uwzględnieniu Regulaminu świadczenia usług drogą elektroniczną przez Spółkę w brzmieniu obowiązującym w dniu rozstrzygania tej sprawy przez organ. Oceniając wszechstronnie zgromadzony materiał dowodowy, GIODO powoła w uzasadnieniu decyzji fakty, które uznał za udowodnione i dowody, na których się oparł, wskaże przyczyny, z powodu których innym dowodom odmówił wiarygodności i mocy dowodowej. Decyzja nie może pozostawiać wątpliwości, co do zasadności przesłanek, którymi organ kierował się, załatwiając sprawę w określony sposób (art. 11 k.p.a.). Z tych też powodów Sąd uchylił zaskarżoną decyzję. Mając na względzie powyższe, Wojewódzki Sąd Administracyjny w Warszawie na podstawie art. 145 § 1 pkt 1 lit. a i c ustawy z dnia 30 sierpnia 2016 r. – Prawo o postępowaniu przed sądami administracyjnymi ( tekst jedn. Dz. U. z 2017 r, poz. 1369 ze zm.) orzekł, jak w pkt 1 sentencji. O kosztach postępowania orzeczono na podstawie art. 200 powołanej ustawy.