II SA/Wa 725/24

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Andrzej Góraj, Sędzia WSA Danuta Kania (spr.), Sędzia WSA Sławomir Antoniuk, po rozpoznaniu w trybie uproszczonym w dniu 11 grudnia 2024 r. sprawy ze skargi [...] Sp. z o.o. z siedzibą w [...] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] marca 2024 r. nr [...] w przedmiocie przetwarzania danych osobowych 1. uchyla zaskarżoną decyzję; 2. zasądza od Prezesa Urzędu Ochrony Danych Osobowych na rzecz [...] Spółka z o.o. z siedzibą w [...] kwotę 680 (słownie: sześćset osiemdziesiąt) złotych tytułem zwrotu kosztów. Przedmiotem skargi [...] Spółka z o.o. z siedzibą w [...] (dalej: "Spółka", "Administrator") jest decyzja Prezesa Urzędu Ochrony Danych Osobowych (dalej: "Prezes UODO", organ") z dnia [...] marca 2024 r. nr [...], mocą której organ na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2023 r. poz. 775 ze zm.), dalej: "k.p.a.", w związku z art. 7 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781), dalej: "u.o.d.o.", art. 5 ust. 1 lit. c, art. 6 ust. 1 lit. f, art. 58 ust. 2 lit. c rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z dnia 4 maja 2016 r., s.1, Dz. Urz. UE L 127 z dnia 23 maja 2018 r., s. 2 oraz Dz. Urz. UE L 74 z dnia 4 marca 2021 r., s. 35) dalej: "RODO", nakazał Spółce usunięcie danych osobowych A.F. (dalej: "uczestniczka postępowania") w zakresie: imienia, nazwiska, numeru PWZ, numeru NIP oraz informacji o placówkach udzielanych świadczeń zdrowotnych z portalu internetowego pod adresem URL https:// [...]. W uzasadnieniu decyzji organ wskazał, że do UODO wpłynęła skarga A.F. na nieprawidłowości w procesie przetwarzania jej danych osobowych przez [...] sp. z o.o. z siedzibą w [...], polegające na przetwarzaniu jej danych osobowych na stronie internetowej https[...]. Organ ustalił, że w dniu 1 października 2022 r. Spółka pozyskała dane osobowe uczestniczki postępowania z ogólnodostępnego Rejestru Praktyk Zawodowych, prowadzonego przez Centrum [...], CEiDG (Centralna Ewidencja i Informacja o Działalności Gospodarczej) oraz z NFZ w zakresie danych obejmujących: imię i nazwisko, numer PWZ, NIP, zdobyte specjalizacje, adres e-mail oraz informacje o placówkach, w których w ramach systemu publicznej opieki zdrowotnej lekarz udziela lub udzielał świadczeń. W piśmie z dnia 25 stycznia 2024 r. Spółka wyjaśniła, iż przetwarza, na podstawie art. 6 ust. 1 lit. f RODO, dane osobowe uczestniczki postępowania w zakresie: imię i nazwisko, numer PWZ, NIP, zdobyte specjalizacje oraz informacje o placówkach, w których w ramach systemu publicznej opieki zdrowotnej lekarz udziela lub udzielał świadczeń w celu realizacji swojego prawnego interesu jakim była ich publikacja na ogólnodostępnym portalu internetowym [...].pl. Publikacja danych ma na celu informowanie jak najszerszego kręgu potencjalnych świadczeniobiorców o usługach świadczonych w ramach publicznej opieki zdrowotnej. Przed złożeniem skargi do Prezesa UODO, uczestniczka postępowania zwróciła się do Spółki w dniach 9 grudnia 2023 r. i 13 grudnia 2023 r. za pośrednictwem formularza kontaktowego, a także w dniu 23 grudnia 2023 r. w formie wiadomości e-mail, wnosząc sprzeciw wobec dalszego przetwarzania jej danych osobowych na portalu internetowym [...].pl. Jednocześnie zażądała usunięcia jej danych z ww. portalu. Spółka udzieliła odpowiedzi w dniu 15 grudnia 2023 r. wskazując uczestniczce postępowania opis skutecznej procedury zgłaszania sprzeciwu wobec przetwarzania danych (tj. wymagającego przedstawienia szczególnej sytuacji) dostępnej na stronie internetowej portalu. W dniu 29 grudnia 2023 r., wobec nieprzedstawienia szczególnej sytuacji przez uczestniczkę postępowania Spółka poinformowała ją, że nie zmienił się wynik testu równowagi, tj. Spółka stoi na stanowisku, że prawa administratora danych oraz użytkowników serwisów do wolności wypowiedzi i informacji są nadrzędne wobec prawa do żądania usunięcia informacji o prowadzonej działalności. W związku z tym Spółka podjęła decyzję o nieusuwaniu przetwarzanych danych. Dane osobowe uczestniczki postępowania są nadal przetwarzane przez Spółkę na stronie internetowej https: [...] w zakresie imienia, nazwiska, numeru PWZ, numeru NIP oraz informacji o placówkach udzielanych świadczeń zdrowotnych. Uwzględniając powyższe Prezes UODO wskazał, że Spółka bez wiedzy oraz zgody uczestniczki postępowania udostępniła na portalu internetowym [...].pl. dane, które pozwalają na bezpośrednią jej identyfikację jako przedsiębiorcy prowadzącego działalność gospodarczą przez osoby trzecie, będące zalogowanymi użytkownikami wskazanego powyżej portalu internetowego. Dane osób fizycznych będących przedsiębiorcami, w tym informacje, które odnoszą się do prowadzonych przez nie działalności gospodarczych, stanowią dane osobowe w rozumieniu RODO i są objęte zakresem stosowania jego przepisów. Dalej Prezes UODO wskazał, że przesłanki legalizujące proces przetwarzania danych osób fizycznych przez administratorów określa art. 6 ust. 1 RODO. Każda z tych przesłanek ma charakter autonomiczny i niezależny. Oznacza to, że przesłanki te co do zasady są równoprawne, zatem spełnienie co najmniej jednej z nich stanowi o zgodnym z prawem przetwarzaniu danych osobowych. Przepis art. 6 ust. 1 lit. f RODO uzasadnia przetwarzanie danych osobowych w sytuacji łącznego spełnienia następujących przesłanek: 1) po stronie administratora istnieją cele, dla osiągnięcia których przetwarzanie danych osobowych jest niezbędne; 2) cele te wynikają z "prawnie uzasadnionych interesów" realizowanych przez administratora; 3) "prawnie uzasadnione interesy" realizowane przez administratora mają charakter nadrzędny wobec interesów lub podstawowych praw i wolności osoby, której dotyczą przetwarzane dane. Organ podkreślił, że "prawnie uzasadniony interes" nie powinien być rozumiany wąsko, jedynie jako interes wprost wynikający z przepisu prawa (przyznającego podmiotowi określone uprawnienie), ale jako interes (faktyczny, gospodarczy lub prawny) zgodny z prawem, np. marketing bezpośredni, zapobieganie oszustwom, czy zapewnienie bezpieczeństwa usług oferowanych lub udostępnianych poprzez sieci i systemy. Przy czym na administratorze spoczywa obowiązek wykazania przez administratora, iż przetwarzanie jest niezbędne dla realizacji prawnie uzasadnionych interesów. Nie wystarczy zatem samo występowanie tych interesów, lecz dodatkowo ich urzeczywistnienie musi wymagać przetwarzania danych osobowych. Musi występować bezpośredni związek pomiędzy realizacją prawnie uzasadnionego interesu a potrzebą przetwarzania danych osobowych. Uwzględniając powyższe organ wskazał, iż w złożonych wyjaśnieniach Spółka oświadczyła, że przetwarza dane osobowe uczestniczki postępowania w zakresie wymienionym w sentencji niniejszej decyzji administracyjnej w celu realizacji przez nią prawnie uzasadnionego interesu jakim jest ich publikacja na ogólnodostępnym portalu internetowym [...].pl. Spółka nie wykazała jednak niezbędności (potrzeby) przetwarzania danych osobowych uczestniczki zawartych na ww. portalu internetowym. Wskazany cel przetwarzania danych osobowych przez Spółkę ma charakter jednostronny oraz stanowi realne zagrożenie jej podstawowych praw i wolności. Organ wskazał, że Spółka publikując dane uczestniczki postępowania na portalu internetowym [...].pl. zapewnia zalogowanym użytkownikom tego portalu swobodny dostęp do publikowania własnych komentarzy oraz dodawania ocen, odnoszących się do jakości usług medycznych, świadczonych przez uczestniczkę postępowania. Jednakże Spółka nie zapewniła uczestniczce postępowania możliwości ustosunkowania się (na tej samej zasadzie co osoba dodająca komentarz) do zamieszczonych komentarzy dotyczących jej osoby oraz ocen dotyczących jakości świadczonych przez nią usług medycznych użytkownikom wskazanego powyżej portalu internetowego. Powyższa dysproporcja sił stanowi wysokie ryzyko naruszenia interesów oraz podstawowych praw i wolności uczestniczki postępowania. Interes uczestniczki postępowania jakim jest zapewnienie ochrony jej danych osobowych przez administratora (Spółki), znacznie przewyższa interes Spółki jakim była publikacja danych osobowych uczestniczki na portalu internetowym [...].pl. Podsumowując organ stwierdził, że w niniejszej sprawie Spółka nie legitymowała się żadną z przesłanek wymienionych w art. 5 ust. 1 oraz w art. 6 ust. 1 RODO w zakresie pozyskania, a następnie udostępnienia bez podstawy prawnej danych osobowych uczestniczki postępowania osobom nieuprawnionym, będącym użytkownikami ww. portalu internetowego. Skutkowało to skorzystaniem przez organ z uprawnienia określonego w art. 58 ust. 2 lit. c RODO polegającego na nakazaniu usunięcia danych osobowych uczestniczki postępowania w zakresie określonym w sentencji decyzji. W skardze na powyższą decyzję [...] Spółka z o.o., reprezentowana przez pełnomocnika, zarzuciła naruszenie przepisów postępowania, tj.: 1) art. 7, art. 77 § 1 k.p.a. oraz art. 8 i art. 9 k.p.a. w związku z art. 7 ust. 1 u.o.d.o. poprzez jednostronne, nieobiektywne i niewyczerpujące zebranie materiału dowodowego, tj. a) pominięcie przedłożonych przez Administratora wyjaśnień; b) zaniechanie wezwania do przedłożenia testu równowagi i dalszych wyjaśnień przez Administratora; c) niedokonanie oględzin strony www Spółki, a w konsekwencji błędne ustalenie, że możliwość publikowania opinii na stronie Administratora dostępna jest wyłącznie dla zalogowanych użytkowników, podczas gdy każdy ma możliwość publikacji komentarzy na stronie bez konieczności logowania się, w tym również osoby opiniowane, 2) art. 80 k.p.a. oraz art. 8 i art. 9 k.p.a. w związku z art. 7 u.o.d.o. poprzez przekroczenie granic swobodnej oceny dowodów i nieuprawnione przyjęcie, że: a) "Administrator nie wykazał niezbędności (potrzeby) przetwarzania danych osobowych Skarżącej" , mimo że Spółka wskazywała w wyjaśnieniach wyczerpująco i szczegółowo, jakie względy przemawiają za słusznością przetwarzania danych osobowych w portalu w sposób kompleksowy, bez usuwania wszystkich wpisów np. z powodu publikacji negatywnej opinii, b) "cel przetwarzania danych osobowych Skarżącej przez Spółkę jest jednostronny i stanowi realne zagrożenie jej podstawowych praw i wolności", bez jakiegokolwiek uzasadnienia takiego stanowiska przez organ, czy choćby sprecyzowania, jakie prawa i wolności uczestniczki postępowania, w jaki sposób, w ocenie organu w stanie faktycznym tej konkretnej sprawy są zagrożone, c) Administrator nie zapewnia możliwości ustosunkowania się (na tej samej zasadzie co osoba dodająca komentarz) do zamieszczonych komentarzy dotyczących osób, których dane są przetwarzane, co świadczyć ma o dysproporcji sił pomiędzy Administratorem a osobami, których dane dotyczą, podczas gdy ta dysproporcja nie występuje, bowiem każdy użytkownik strony, w tym również osoby, które są przedmiotem opiniowania, na równych prawach mogą publikować komentarze, zatem nic nie stoi na przeszkodzie, aby ustosunkować się do zamieszczonych komentarzy, d) "interes Administratora był jednostronny i realnie zagraża prawom i wolnościom jednostki", podczas gdy interes ekonomiczny z zasady jest jednostronny, lecz nie zagraża automatycznie prawom i wolnościom jednostek, zaś interes społeczny jest, 3) art. 107 § 3 k.p.a. w związku z art. 8 k.p.a. oraz z art. 7 ust. 1 u.o.d.o. poprzez sporządzenie nieprawidłowego, lakonicznego uzasadnienia (decyzja ma 4,5 strony, podczas gdy same wyjaśnienia Administratora mają 3,5 strony), powielonego z innych postępowań bez odniesienia do stanu faktycznego konkretnej sprawy, w którym postawione wnioski nie wynikają z wywodów uzasadnienia, tj.: - organ nie wskazał, jakie konkretnie interesy, prawa i wolności osoby, której dane dotyczą, przeważają nad wskazanymi przez Administratora uzasadnionymi interesami w przetwarzaniu danych w portalu i nieuzasadnieniu decyzji w tym zakresie, - organ nie uzasadnił, z jakich względów uznał, że "cel Spółki w przetwarzaniu jest jednostronny i stanowi realne zagrożenie dla podstawowych praw i wolności Skarżącej", - organ nie wyjaśnił, z czego wynika - nieprawidłowy - wniosek o tym, że w portalu internetowym www. [...].pl zapewnia się możliwość publikacji opinii jedynie zalogowanym użytkownikom, nie zapewniając uczestniczce postępowania możliwości ustosunkowania się na tej samej zasadzie do zamieszczanych komentarzy, pomimo że wniosek taki jest oczywiście sprzeczny z rzeczywistymi funkcjonalnościami ww. Serwisu. Spółka podkreśliła, że powyższe naruszenia skutkowały przyjęciem, że przetwarzanie danych przez Administratora nie znajduje oparcia w żadnej z podstaw wskazanych w art. 6 ust. 1 RODO, a w konsekwencji błędnym zastosowaniem art. 58 ust. 2 lit c RODO. Ponadto Spółka zarzuciła naruszenie przepisów prawa materialnego, tj.: 1) art. 47 Konstytucji Rzeczypospolitej Polskiej, art. 86 RODO oraz art. 6 ust. 2 ustawy z dnia 11 sierpnia 2021 r. o otwartych danych i ponownym wykorzystaniu informacji sektora publicznego (Dz. U. z 2023 r., poz. 1524) poprzez błędną wykładnię i przyjęcie, że prawo do prywatności osoby fizycznej obejmuje również powszechnie dostępne informacje o fakcie wykonywania działalności gospodarczej przez określoną osobę,  2) art. 54 ust. 1 i 2 w związku z art. 31 ust. 3 Konstytucji RP w związku z art. 17 ust. 3 lit. a RODO poprzez ich niezastosowanie, pomimo powoływania się przez Administratora w złożonych wyjaśnieniach na fakt, że portal realizuje prawo do wolności słowa i zapewnia swobodny przepływ istotnych dla ogółu społeczeństwa informacji, podczas gdy wolność słowa i prawa dostępu do nieocenzurowanej informacji jest podstawowym prawem, gwarantowanym konstytucyjnie na takich samych zasadach jak prawo do prywatności, zaś podejście organu przejawiającego automatyzm w nakazywaniu usuwania danych bez względu na okoliczności i reprezentowane interesy osób trzecich prowadzi w konsekwencji do prewencyjnej cenzury środków społecznego przekazu jaką jest internet, 3) art. 6 ust. 1 lit. f RODO poprzez błędną wykładnię pojęcia uzasadnionego interesu, prowadzącą do przyjęcia, że własny interes ekonomiczny Administratora oraz interes osób trzecich, poszukujących informacji i chcących się takimi informacjami podzielić, nie stanowią prawnie uzasadnionych interesów w przetwarzaniu danych o wykonywaniu działalności gospodarczej przez określoną osobę, 4) art. 17 ust. 1 lit. d RODO poprzez jego błędne zastosowanie podczas gdy organ bardzo ogólnikowo i wybiórczo analizował okoliczności przetwarzania, nie gromadząc niezbędnego materiału dowodowego a w konsekwencji przedwcześnie uznał, że ww. przepis może mieć zastosowanie. Zdaniem Spółki skutkiem naruszeń ww. przepisów było błędne przyjęcie, że: 1) interes Administratora oraz osób trzecich w dostępie do informacji o podmiotach wykonujących działalność leczniczą nie został wykazany lub jest podrzędny w stosunku do prawa do prywatności osoby, której dane dotyczą, pomimo faktu, że na stronie Spółki były publikowane powszechnie dostępne dane o fakcie wykonywania konkretnego zawodu przez uczestniczkę postępowania, 2) prawo do prywatności osoby fizycznej wykonującej zawód medyczny przewyższa wszelkie inne prawa i interesy zidentyfikowane w omawianym procesie przetwarzania, podczas gdy fakt prowadzenia działalności gospodarczej, jak i poziom świadczonych usług nie stanowi informacji, która powinna być obejmowana w tym kontekście zakresem prawa do prywatności, względnie powinna ona ustąpić prawu osób trzecich do dostępu do informacji i wolności słowa. W związku z powyższymi zarzutami Spółka wniosła o uchylenie zaskarżonej decyzji w całości z jednoczesnym wskazaniem sposobu załatwienia sprawy oraz rozstrzygnięcie o kosztach, w tym kosztach zastępstwa radcy prawnego, według norm przepisanych. W uzasadnieniu skargi Spółka wskazała w szczególności, że organ bez uzasadnienia nie uwzględnił wyjaśnień Spółki i zaniechał podjęcia czynności dowodowych, w tym chociażby zadania dodatkowych pytań w tych aspektach, w których uznawał wyjaśnienia Spółki za niewystarczające. Organ w treści zaskarżonej decyzji w ogóle nie odniósł się do przedłożonych wyjaśnień Administratora, pominął również treść korespondencji Administratora, przedłożoną wraz z wyjaśnieniami w odpowiedzi na zadane pytania. Organ o nic nie dopytał, nie próbował doprecyzować czy uzupełnić kwestii, które uznawał za niedostatecznie wyjaśnione. Organ nie przeprowadził również czynności z urzędu, które pozwoliłyby mu zgromadzić kompletny materiał dowodowy w sprawie, tj. nie dokonał oględzin strony www, której dotyczy niniejsze postępowanie. Skutkiem tego zaniechania błędnie przyjął, że publikacja komentarzy na portalu [...].pl możliwa jest wyłącznie dla zalogowanych użytkowników, oraz że osoby których dotyczą informacje tam publikowane, nie mogą publikować komentarzy na takich samych zasadach co opiniujący. Część ustaleń dokonanych przez organ wynika nie ze swobodnej, lecz z dowolnej oceny dowodów. Ustalenia te oparte zostały bowiem o wybiórczo zebrany i jednostronnie analizowany materiał dowodowy, ponadto nie znajdują one logicznego uzasadnienia w treści samej decyzji powodując, że Spółka w dalszym ciągu nie wie, jakie konkretnie argumenty spowodowały przyjęcie przez organ takich a nie innych wniosków. Organ przyjął, że Administrator nie wykazał niezbędności (potrzeby) przetwarzania danych osobowych uczestniczki postępowania, pomimo że Spółka w złożonych wyjaśnieniach szeroko argumentowała tę potrzebę. Nie wyjaśnił jakie prawa i wolności uczestniczki postępowania i w jaki sposób są zagrożone w stanie faktycznym tej konkretnej sprawy. Dokonana przez organ analiza procesu przetwarzania danych uczestniczki postępowania jest nieobiektywna, ogólnikowa i powierzchowna, maksymalnie skupiona na prawie jednostki do prywatności, przy pominięciu wszelkich innych praw i wolności kogokolwiek. Spółka podniosła, że jej interes ekonomiczny w przetwarzaniu danych w portalu jest w istocie jednostronny (bowiem interes z definicji jest jednostronny), zaś RODO lub inne przepisy nie dyskwalifikują takiego interesu wyłącznie przez to, że służy jednemu z uczestników przetwarzania. Jednostronność interesu występuje np. w przypadku marketingu bezpośredniego, dla którego podstawą przetwarzania również jest uzasadniony interes. Ponadto realizacja interesu społecznego w analizowanym procesie przetwarzania powoduje, że twierdzenie o jednostronności interesu i zagrożeniu prawom i wolnościom jednostki jest nieuprawnione, musi być bowiem skonfrontowane z interesami osób trzecich, ich prawem dostępu do informacji i wolnością wypowiedzi. Organ aspekty te całkowicie pominął poprzestając na stwierdzeniu, że interes Administratora jest jednostronny i realnie zagraża prawom i wolnościom jednostki. Nie wyjaśnił jednocześnie powodów przyjęcia takiego stanowiska. Zdaniem Spółki organ pominął aspekt gwarantowanej konstytucyjnie wolności dostępu do informacji. Jakkolwiek wolność ta podlega ocenie i wartościowaniu zgodnie z art. 31 ust. 3 Konstytucji RP, to jednak nawet gdyby przyjąć, że po stronie osoby, której dane dotyczą, można mówić o prawie do prywatności i potrzebie jego ochrony (pomimo tego, że dane te dotyczą publicznie prowadzonej działalności gospodarczej), to potrzeba ta w tym konkretnie przypadku powinna ustąpić wolności pozostałych jednostek do uzyskania informacji o tym, że konkretna osoba prowadzi swoją działalność gospodarczą w określonej formie, w określonym miejscu, w określony sposób. Organ nieprawidłowo zinterpretował pojęcie "uzasadnionego interesu", o którym mowa w art. 6 ust. 1 lit. f RODO. Błędnie przyjął, że tym interesem nie jest interes ekonomiczny Administratora w powiązaniu z interesem osób trzecich w dostępie do informacji, jak również obydwa te interesy - każdy z nich oddzielnie. Podsumowując Spółka podniosła, że błędne jest stanowisko organu, iż przetwarzanie danych uczestniczki postępowania nie znajduje uzasadnienia w przesłance uzasadnionego interesu Administratora. Ustalenia takie organ poczynił mimo znaczących braków i błędów postępowania administracyjnego, a dokonana wykładnia przepisów RODO ujmowała istotne aspekty przetwarzania w sposób wybiórczy, nieobiektywny i jednostronny, zmierzając do nadania prymatu prawu do prywatności ponad wszelkie inne prawa, wolności i podnoszone argumenty. W odpowiedzi na skargę Prezes UODO wniósł o oddalenie skargi podtrzymując stanowisko jak w zaskarżonej decyzji. Podniósł, że zaskarżona decyzja została wydana na podstawie kompletnego oraz wewnętrznie spójnego materiału dowodowego, który został uzyskany od stron postępowania przez organ zgodnie z zasadami wynikającymi z przepisów k.p.a. Jednym z dowodów była strona internetowa Spółki, na podstawie której Prezes UODO mógł poznać stanowisko Spółki w sposób szybki, prosty, i pozwalający na jednoznaczne ustalenie okoliczności dotyczących przetwarzania danych osobowych uczestniczki postępowania. Wskazał, że wydając rozstrzygnięcie w sprawie miał na uwadze okoliczność, że pozyskanie danych osobowych uczestniczki postępowania z publicznie dostępnych rejestrów, tj. Rejestru Podmiotów Leczniczych (prowadzonego przez Centrum [...]), rejestrów NFZ czy CEiDG, a następnie ich udostępnienie w portalu internetowym [...].pl miało na celu informowanie jak najszerszego kręgu potencjalnych świadczeniobiorców o usługach świadczonych w ramach publicznej opieki zdrowotnej, a stworzenie wiarygodnego informatora wymaga przetwarzania kompletnych danych o lekarzach. Jednakże rodzaj prowadzonej działalności gospodarczej lub rodzaj świadczonych usług nie zwalnia z obowiązku przestrzegania przepisów RODO, w dotyczących udostępnienia danych osobowych na ogólnodostępnych portalach internetowych przez Spółkę. Zaznaczył, że Spółka w swych wyjaśnieniach nie wykazała, aby uczestniczka postępowania miała zapewnioną niczym nieograniczoną możliwość ustosunkowania się do komentarzy, dotyczących jej osoby oraz oceny świadczonych przez nią usług medycznych dodawanych przez osoby trzecie, będące użytkownikami portalu internetowego [...].pl. W ocenie organu dysproporcja sił stanowiła podstawę do stwierdzenia, że interes uczestniczki jakim jest zapewnienie ochrony jej danych osobowych przez administratora (Spółki) jest nadrzędny wobec interesu Spółki jakim była publikacja danych osobowych Skarżącej na ww. portalu internetowym. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: Sprawa została rozpoznana w na podstawie art. 119 pkt 2 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2024r. poz. 935 ze zm.), dalej: "p.p.s.a.". Przepis ten stanowi, że sprawa może być rozpoznana w trybie uproszczonym, jeżeli strona zgłosi wniosek o skierowanie sprawy do rozpoznania w trybie uproszczonym, a żadna z pozostałych stron w terminie 14 dni od zawiadomienia o złożeniu wniosku nie zażąda przeprowadzenia rozprawy. Zgodnie natomiast z art. 120 p.p.s.a. w trybie uproszczonym sąd rozpoznaje sprawy na posiedzeniu niejawnym w składzie trzech sędziów. W niniejszej sprawie Prezes UODO wniósł o rozpoznanie sprawy w trybie uproszczonym, a strona skarżąca nie zażądała przeprowadzenia rozprawy. Zgodnie z art. 1 § 1 i § 2 ustawy z dnia 25 lipca 2002 r. - Prawo o ustroju sądów administracyjnych (Dz. U. z 2023 r., poz. 2492 ze zm.), dalej: "p.u.s.a." oraz art. 3 § 1 p.p.s.a., sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej. W myśl art. 134 § 1 p.p.s.a., sąd rozstrzyga w granicach danej sprawy nie będąc związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną, z zastrzeżeniem art. 57a. Sąd nie może wydać orzeczenia na niekorzyść skarżącego, chyba że stwierdzi naruszenie prawa skutkujące stwierdzeniem nieważności zaskarżonego aktu lub czynności (§ 2). Rozpatrując skargę wedle powyższych kryteriów Sąd stwierdził, że zasługuje ona na uwzględnienie. Zaskarżoną decyzją Prezes UODO nakazał Spółce usunięcie danych osobowych uczestniczki postępowania w zakresie: imienia, nazwiska, numeru PWZ, numeru NIP oraz informacji o placówkach udzielanych świadczeń zdrowotnych z portalu internetowego pod adresem URL https:// [...]. Z akt sprawy wynika, że Spółka pozyskała dane osobowe uczestniczki postępowania z ogólnodostępnego Rejestru Praktyk Zawodowych, prowadzonego przez Centrum [...], CEiDG (Centralna Ewidencja i Informacja o Działalności Gospodarczej) oraz z Narodowego Funduszu Zdrowia w zakresie danych obejmujących: imię i nazwisko, numer PWZ, NIP, zdobyte specjalizacje, adres e-mail oraz informacje o placówkach, w których w ramach systemu publicznej opieki zdrowotnej lekarz udziela lub udzielał świadczeń. Spółka przetwarza (udostępnia) ww. dane osobowe uczestniczki postępowania na stronie internetowej https:// [...] w zakresie imienia, nazwiska, numeru PWZ, numeru NIP oraz informacji o placówkach udzielanych świadczeń zdrowotnych. Dane te, pozwalające na bezpośrednią identyfikację uczestniczki jako przedsiębiorcy przez użytkowników (klientów) serwisu [...].pl, są przetwarzane bez jej wiedzy i zgody. Użytkownicy serwisu, jak wynika z wyjaśnień Spółki (k. 10-11 akt admin.) oraz załącznika do notatki sporządzonej przez organ (k. 15a verte akt admin.) zamieścili opinie (komentarze) na temat uczestniczki postępowania lub zapoznali się z zamieszczonymi już opiniami o sposobie udzielania przez nią świadczeń. Uwzględniając powyższe wskazać należy, że tworzenie powołanych wyżej rejestrów publicznych, z których Spółka pozyskała dane uczestniczki postępowania, regulowane jest odpowiednimi aktami prawnymi, które stanowią podstawę do przetwarzania danych w zakresie w nich wskazanym. Rejestry takie tworzone są przez uprawnione organy państwowe, z których to rejestrów mogą korzystać inne podmioty. Rejestr praktyk zawodowych lekarzy stanowi część elektronicznego Rejestru Podmiotów Wykonujących Działalność Leczniczą (RPWDL), uregulowanego przepisami Działu IV ustawy z dnia 15 kwietnia 2011 r. o działalności leczniczej (Dz.U. z 2024 r. poz. 799 ze zm.). Zamieszczenie danych osobowych lekarzy w tego rodzaju rejestrze nie oznacza jednak, że inne podmioty - korzystając z danych osobowych zawartych w tych rejestrach - nie są zobowiązane do stosowania przepisów dotyczących ochrony danych osób, których dane taki rejestr zawiera, ze względu na fakt, że dane te zostały w takim rejestrze upublicznione (por. Wyrok WSA w Warszawie z dnia 4 lutego 2019 r. II SA/Wa 1129/18, z dnia 2 sierpnia 2018 r., sygn. akt II SA/Wa 1997/17; CBOSA). Zaznaczyć przy tym należy, że prowadzony przez Spółkę portal [...].pl nie jest wyłącznie prostym powtórzeniem treści Rejestru Praktyk Zawodowych prowadzonego przez Centrum [...], CEDiG i NFZ. Użytkownicy tego portalu, jak wskazano powyżej, mogą zamieszczać komentarze (opinie) przy wpisach dotyczących poszczególnych lekarzy, co prowadzi do stworzenia swoistego "rankingu" lekarzy. Zgodnie z art. 4 pkt 1 RODO "dane osobowe" to wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej ("osobie, której dane dotyczą"); możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora takiego jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej. Stosownie do art. 30 Konstytucji RP źródłem wolności i praw człowieka i obywatela jest jego przyrodzona i niezbywalna godność. Jest ona nienaruszalna, a jej poszanowanie i ochrona jest obowiązkiem władz publicznych. Z kolei w myśl art. 47 Konstytucji RP, każdy ma prawo do ochrony prawnej życia prywatnego, rodzinnego, czci i dobrego imienia oraz do decydowania o swoim życiu osobistym. Z treści motywu 14 RODO wynika, że "ochrona zapewniana niniejszym rozporządzeniem powinna mieć zastosowanie do osób fizycznych - niezależnie od ich obywatelstwa czy miejsca zamieszkania - w związku z przetwarzaniem ich danych osobowych. Niniejsze rozporządzenie nie dotyczy przetwarzania danych osobowych dotyczących osób prawnych, w szczególności przedsiębiorstw będących osobami prawnymi, w tym danych o firmie i formie prawnej oraz danych kontaktowych osoby prawnej". Z kolei motyw 26 RODO wskazuje, że "Zasady ochrony danych powinny mieć zastosowanie do wszelkich informacji o zidentyfikowanych lub możliwych do zidentyfikowania osobach fizycznych (...)". Wobec powyższego Sąd podziela stanowisko organu, że dane osób fizycznych będących przedsiębiorcami, w tym dane dotyczące prowadzonej przez te osoby działalności gospodarczej (dane dotyczące sfery zawodowej), stanowią dane osobowe w rozumieniu art. 4 pkt 2 RODO i są objęte zakresem stosowania przepisów tego rozporządzenia. Jednocześnie jako co najmniej przedwczesne Sąd ocenia stanowisko organu, że Spółka nie legitymowała się żadną spośród przesłanek przetwarzania danych określonych w art. 6 ust. 1 RODO. W tym zakresie zaskarżona decyzja została wydana z naruszeniem art. 7, art. 77 § 1, art. 80 oraz art. 107 § 3 k.p.a. w związku z art. 7 ust. 1 u.o.d.o. oraz w związku z art. 6 ust. 1 lit. f i art. 58 ust. 2 lit. c RODO, zaś naruszenie wymienionych przepisów mogło mieć istotny wpływ na wynik sprawy. Zgodnie z art. 6 ust. 1 RODO przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy spełniony jest co najmniej jeden z warunków wymienionych w katalogu a - f. Jako podstawę przetwarzania danych osobowych uczestniczki postępowania Spółka wskazywała art. 6 ust. 1 lit. f RODO, zgodnie z którym przetwarzanie jest zgodne z prawem wyłącznie w przypadku, gdy - i w takim zakresie, w jakim jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem. Zastosowanie tego przepisu jest uzasadnione gdy łącznie spełnione są następujące przesłanki: 1) po stronie administratora istnieją cele, dla osiągnięcia których przetwarzanie danych osobowych jest niezbędne; 2) cele te wynikają z "prawnie uzasadnionych interesów" realizowanych przez administratora; 3) "prawnie uzasadnione interesy" realizowane przez administratora mają charakter nadrzędny wobec interesów lub podstawowych praw i wolności osoby, której dotyczą przetwarzane dane. Poprzez cel, dla osiągnięcia którego przetwarzanie danych osobowych jest niezbędne, należy rozumieć stan rzeczy, układ rzeczywistości, do którego dąży administrator poprzez to przetwarzanie. "Niezbędność" przetwarzania danych osobowych do osiągnięcia obranego przez administratora celu sprowadza się do ustalenia, że bez tego przetwarzania nie da się go zrealizować. Chodzi więc o wykazanie logicznie uzasadnionego i weryfikowalnego związku przyczynowo-skutkowego pomiędzy przetwarzaniem danych osobowych a realizacją stanu rzeczy, do którego dąży administrator. Przetwarzanie danych osobowych na podstawie art. 6 ust. 1 lit. f RODO wymaga od administratora wykazania, że jest to konieczne z uwagi na charakter celu, okoliczności faktyczne i prawne jego realizacji oraz relacje podmiotowe pomiędzy administratorem a osobą, której te dane dotyczą. "Prawnie uzasadniony interes" to interes prawnie dopuszczony, niesprzeczny z porządkiem prawnym. Do prawnie uzasadnionych interesów administratora danych osobowych prawodawca unijny odwołał się w motywie 47 preambuły RODO, w którym stwierdził, że "taki prawnie uzasadniony interes może istnieć na przykład w przypadkach, gdy zachodzi istotny i odpowiedni rodzaj powiązania między osobą, której dane dotyczą, a administratorem, na przykład gdy osoba, której dane dotyczą, jest klientem administratora lub działa na jego rzecz. Aby stwierdzić istnienie prawnie uzasadnionego interesu, należałoby w każdym przypadku przeprowadzić dokładną ocenę, w tym ocenę tego, czy w czasie i w kontekście, w którym zbierane są dane osobowe, osoba, której dane dotyczą, ma rozsądne przesłanki by spodziewać się, że może nastąpić przetwarzanie danych w tym celu.". Istoty "prawnie uzasadnionego interesu" należy doszukiwać się w wyważeniu interesów administratora danych osobowych oraz osoby, której dane dotyczą, związanych z jednej strony z realizacją prawnie uzasadnionych interesów administratora lub osoby trzeciej, z drugiej natomiast - z ochroną interesów lub podstawowych praw i wolności osoby, której dane dotyczą. Konsekwentnie, za zgodne z prawem na gruncie art. 6 ust. 1 lit. f RODO należy uznać takie przetwarzanie danych osobowych, które odbywa się w prawnie uzasadnionym interesie administratora danych i nie przeważa nad interesem osoby, której dane dotyczą, nie naruszając jednocześnie jej podstawowych praw i wolności. Z uzasadnienia zaskarżonej decyzji nie wynika aby organ poddał analizie i ocenie okoliczności faktyczne niniejszej sprawy z punktu widzenia wymienionych wyżej poszczególnych przesłanek art. 6 ust. 1 lit. f RODO. Organ wprawdzie odwołał się do wyjaśnień Spółki złożonych w toku postępowania, jednak ograniczył się do stwierdzenia, że wskazany przez Spółkę "prawnie uzasadniony interes" to publikacja danych uczestniczki postępowania na portalu internetowym [...].pl. Jednocześnie organ stwierdził, że Spółka nie wykazała niezbędności celu przetwarzania danych, jednak nie uzasadnił w żaden sposób swego stanowiska. Nie sposób bowiem uznać za takie uzasadnienie stwierdzenia, że podany przez Spółkę cel przetwarzania danych jest jednostronny i stanowi realne zagrożenie podstawowych praw i wolności uczestniczki postępowania. Z uzasadnienia zaskarżonej decyzji nie wynika, aby organ poddał szczegółowej analizie wyjaśnienia Spółki złożone w piśmie z dnia 25 stycznia 2024 r. W wyjaśnieniach tych Spółka wskazała wprawdzie, że pozyskała dane osobowe uczestniczki postępowania dla publikacji danych na ww. portalu internetowym, jednak uczyniła to w celu informowania jak najszerszego kręgu potencjalnych świadczeniobiorców (użytkowników portalu) o usługach świadczonych w ramach systemu opieki zdrowotnej. Jak stwierdziła, "stworzenie wiarygodnego informatora wymaga przetwarzania kompletnych danych o lekarzach". Spółka wskazała również na interes ekonomiczny w pozyskaniu i przetwarzaniu przedmiotowych danych, polegający na budowaniu portalu informacyjnego o podmiotach prowadzących działalność gospodarczą. Portal ten, jak zaznaczyła, oparty jest na wolności słowa i prawie każdego do pozyskiwania i rozpowszechniania informacji. Wyjaśniła również, że źródłem przychodu serwisu są reklamy. Wysokość tych przychodów zależy przede wszystkim od popularności (liczby odwiedzin podstron) portalu. Natomiast popularność w istotnym stopniu zależna jest od dostosowania serwisu do potrzeb odbiorców i wiarygodności portalu. Organ całkowicie pominął powyższe wyjaśnienia Spółki. Nie poddał ich analizie i nie ocenił, czy przetwarzanie danych uczestniczki postępowania w realizowanym przez Spółkę celu ekonomicznym oraz informacyjnym jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora w rozumieniu art. 6 ust. 1 lit. f RODO. Wyjaśniając istotę funkcjonowania serwisu Spółka podnosiła, że "powszechną praktyką jest sprawdzenie specjalisty we wszystkich możliwych źródłach, w tym w internecie, zanim powierzymy mu wykonanie usługi (...). Im bardziej cenne są dobra klienta powierzane specjaliście, tym bardziej istotne jest, aby dostęp do tych informacji był swobodny i nie podlegał cenzurze. W tym m.in. tkwi biznesowy sens całego serwisu - kompletność bazy lekarzy jak i zamieszczanie wszelkich opinii na ich temat, zarówno tych pozytywnych jak i krytycznych (w granicach kultury i merytorycznej zawartości opinii) stanowić będzie o tym, że potencjalni klienci będą korzystać z serwisu szukając informacji na temat poszczególnych świadczeniodawców. Usuwanie profili lekarzy wyłącznie w oparciu o fakt, że publikowane przez użytkowników komentarze są negatywne, doprowadzi do utraty zaufania odbiorców serwisu - nie jest bowiem wiarygodny serwis, który publikuje wyłącznie pozytywne opinie". Dalej Spółka wskazała, iż "istnieją użytkownicy, którzy umieścili lub zapoznali się z komentarzami o sposobie udzielania świadczeń przez Skarżącą. Usunięcie danych (uniemożliwienie ponownego odnalezienia) o lekarzu naruszyłoby renomę serwisu i przełożyłoby się na niższą liczbę odwiedzin portalu. Spółka zaznaczyła, że uczestniczka postępowania w kierowanych do niej wystąpieniach nie przedstawiła swej szczególnej sytuacji, a wynik przeprowadzonego testu równowagi nie uległ zmianie. W związku z tym Spółka stoi na stanowisku, że prawa Administratora oraz użytkowników serwisu (do wolności wypowiedzi i informacji) są nadrzędne wobec prawa do żądania usunięcia informacji o prowadzonej działalności. Organ natomiast w uzasadnieniu zaskarżonej decyzji stwierdził, że interes uczestniczki postępowania polegający na ochronie jej danych osobowych znacznie przewyższa interes Spółki jakim jest publikacja danych uczestniczki na portalu [...].pl. Organ nie wyjaśnił jednak swego stanowiska w przekonujący sposób. Nie wskazał z czego wywodzi, że Spółka zapewnia zalogowanym użytkownikom portalu swobodny dostęp do publikowania własnych komentarzy oraz dodawania ocen odnoszących się do jakości usług medycznych świadczonych przez uczestniczkę postępowania nie zapewniając jednocześnie uczestniczce możliwości ustosunkowania się (na tej samej zasadzie) do zamieszczonych komentarzy. Organ nie powołał się w tym względzie ani na wyjaśnienia Spółki, ani na informacje ze strony internetowej, ani na jakikolwiek dokument (np. regulamin), z którego zapisów można byłoby wyprowadzić takie wnioski. Nie wiadomo zatem na jakiej podstawie faktycznej organ przyjął, że istniejąca "dysproporcja sił" stanowi wysokie ryzyko naruszenia interesów oraz podstawowych praw i wolności uczestniczki postępowania. Ogólnikowa i lakoniczna argumentacja zawarta w uzasadnieniu decyzji powoduje, że decyzja ta nie poddaje się kontroli Sądu. Organ nie dopełnił obowiązku zebrania i wszechstronnego rozpatrzenia zgromadzonego materiału dowodowego. Nie przeanalizował wyjaśnień Spółki, nie wezwał jej o ewentualne dodatkowe informacje i dokumenty. Nie dopełnił zatem obowiązków wynikających z art. 7, art. 77 § 1, art. 80 oraz art. 107 § 3 k.p.a. w związku z art. 7 ust. 1 u.o.d.o. W konsekwencji nie rozważył wnikliwie, w oparciu o prawidłowo ustalone okoliczności faktyczne sprawy, czy przetwarzanie danych osobowych uczestniczki postępowania znajduje oparcie w art. 6 ust. 1 lit. f RODO, tj. czy jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez Spółkę, a jednocześnie nie zachodzi sytuacja, w której nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności uczestniczki postępowania wymagające ochrony danych osobowych. Wymienione powyższej uchybienia skutkowały uchyleniem zaskarżonej decyzji. Przy czym wobec wskazanych powyżej uchybień procesowych Sąd uznał za przedwczesne na obecnym etapie ustosunkowanie się do szczegółowych zarzutów naruszenia przepisów prawa materialnego. Ponownie rozpoznając sprawę Prezes UODO uwzględni dokonaną ocenę prawną. Podejmie niezbędne czynności celem wyeliminowania powyższych naruszeń i wyda w sprawie stosowne rozstrzygnięcie. Zważy przy tym, że każda sprawa, zainicjowana indywidualną skargą złożoną w trybie art. 77 ust. 1 RODO, wymaga odrębnego rozpatrzenia w oparciu o kompletny materiał dowodowy. Z kolei decyzja wydana w indywidualnej sprawie wymaga sporządzenia uzasadnienia, z którego wynikałyby spójne, logiczne i przekonujące motywy podjętego rozstrzygnięcia. Prawidłowość uzasadnienia decyzji jest kluczowa dla jej oceny, gdyż w przeciwnym razie wymyka się spod kontroli Sądu. Mając na względzie wszystko powyższe Wojewódzki Sąd Administracyjny w Warszawie, na podstawie art. 145 § 1 pkt 1 lit. c w związku z lit. a p.p.s.a., orzekł jak w punkcie 1 sentencji wyroku. O kosztach postępowania obejmujących wpis od skargi oraz wynagrodzenie pełnomocnika strony skarżącej w stawce minimalnej, Sąd postanowił na podstawie art. 200 i art. 205 § 2 p.p.s.a., jak w punkcie 2 sentencji wyroku.