II SA/Wa 1035/17

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Stanisław Marek Pietras, Sędziowie WSA Sławomir Antoniuk (spr.), Andrzej Kołodziej, Protokolant specjalista Elwira Sipak, po rozpoznaniu na rozprawie w dniu 20 marca 2018 r. sprawy ze skargi [...] Sp. z o.o. z siedzibą w [...] na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] maja 2017 r. nr [...] w przedmiocie przetwarzania danych osobowych 1. uchyla zaskarżoną decyzję oraz poprzedzającą ją decyzję z dnia [...] stycznia 2017 r. nr [...]; 2. zasądza od Generalnego Inspektora Ochrony Danych Osobowych na rzecz [...] Sp. z o.o. z siedzibą w [...] kwotę 697 (sześćset dziewięćdziesiąt siedem) złotych tytułem zwrotu kosztów postępowania. Generalny Inspektor Ochrony Danych Osobowych (dalej "GIODO") decyzją z dnia [...] maja 2017 r. nr [...] działając na podstawie art. 138 § 1 pkt 1 K.p.a. oraz powołując się na art. 12 pkt 2, art. 18 ust. 1 pkt 6, art. 22, art. 23 ust. 1, art. 26 ust. 1 w związku z art. 35 ust. 1 i ust. 2 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r. poz. 922), dalej "u.o.d.o.", utrzymał w mocy swoją wcześniejszą decyzję z dnia [...] stycznia 2017 r. [...] nakazującą [...] Sp. z o.o. z siedzibą w W. usunięcie danych osobowych M. K. z wyników wyszukiwarki [...] zamieszczonych pod wskazanym w tej decyzji adresem internetowym. W uzasadnieniu organ wskazał, że do Biura GIODO wpłynęła skarga M. K., na przetwarzanie jego danych osobowych przez [...] Sp. z o.o., z siedzibą w W.. W treści skargi skarżący domagał się usunięcia z wyników wyszukiwarki [...] adresu strony internetowej: [...], która odsyła do pliku z reklamą .doc o nazwie w tytule [...] [DOC]polskie stowarzyszenie [...] Skarżący wskazał, że "(...) wyżej wymieniony plik z nieprawdziwą i bardzo szkodliwą dla mnie reklamą (plik.doc) został zamieszczony bez mojej wiedzy i bez mojej zgody, jest bardzo szkodliwy oraz narusza moje dobra osobiste i finansowe. W reklamie tej (w pliku tym) są podawane i wyświetlane publicznie moje prywatne dane, tj. mój numer telefonu i adres e-mail oraz nazwa i adres [...] Instytutu [...] Politechniki [...] w kontekście mojej osoby, co jest nieprawdziwe, prawnie niedozwolone i zabronione". Jednocześnie skarżący zażądał usunięcia przedmiotowego adresu internetowego wraz ze znajdującym się tam plikiem. W toku przeprowadzonego w przedmiotowej sprawie postępowania GIODO ustalił, że w dniu [...] lipca 2013 r. skarżący wysłał do [...] Inc. ([...]) żądanie usunięcia jego danych osobowych ze wskazanej wyżej strony. Pismami z dnia [...] lipca 2013 r. i z dnia [...] października 2014 r. skarżący zwrócił się z ww. żądaniem do [...] Sp. z o. o. z siedzibą we W. Zgodnie z oświadczeniem [...] Sp. z o. o., Spółka nie odpowiedziała na ww. wnioski skarżącego z uwagi na to, że "nie jest administratorem danych osobowych przetwarzanych w wyszukiwarce "[...]", ani nie jest również podmiotem w jakikolwiek inny sposób zaangażowanym w przetwarzanie danych w ramach tej wyszukiwarki. Po przeprowadzeniu postępowania administracyjnego GIODO w dniu [...] stycznia 2017 r. wydał decyzję nr [...], w treści której nakazał [...] Sp. z o. o. zaprzestanie przetwarzania danych osobowych skarżącego, poprzez usunięcie jego danych osobowych z wyników wyszukiwarki [...], zamieszczonych pod wskazanym wyżej adresem. [...] Sp. z o.o. złożyła od powyższej decyzji wniosek o ponowne rozpatrzenie spraw. We wniosku tym zażądała uchylenia zaskarżonej decyzji oraz umorzenia postępowania administracyjnego w całości. Podniosła, że spełnione zostały przesłanki nieważności decyzji poprzez skierowanie jej do osoby nie będącej stroną w sprawie tj. do [...] Sp. z o. o., która nie jest administratorem danych w stosunku do danych osobowych będących przedmiotem decyzji. Wskazała na naruszenie art. 35 ust. 2, w zw. z ust. 1 oraz art. 18 ust. 1 pkt 6 u.o.d.o. poprzez wydanie nakazu usunięcia danych w formie decyzji wobec innego podmiotu niż administrator danych, jak również o treści, która nie jest możliwa do wykonania. Zdaniem Spółki narusza to art. 7 i art. 77 K.p.a. poprzez uchybienie wymogom podjęcia wszelkich czynności w celu dokładnego wyjaśnienia stanu faktycznego sprawy oraz wyczerpującego zebrania i rozpatrzenia całego materiału dowodowego, a także art. 107 § 3 w zw. z § 4 K.p.a. poprzez zaniechanie wyczerpującego uzasadnienia prawnego i faktycznego podjętego rozstrzygnięcia oraz nieprawidłowe oznaczenie stron postępowania. Powołaną na wstępie decyzją z dnia [...] maja 2017 r. GIODO utrzymał w mocy decyzję z dnia [...] stycznia 2017 r. W uzasadnieniu decyzji organ w pierwszej kolejności wskazał, że nieuzasadnionym jest zarzut Spółki wskazujący, iż nie powinna ona być stroną postępowania, jak również adresatem decyzji z dnia [...] stycznia 2017 r. Organ podniósł, że [...] Sp. z o.o. posiada odrębną od [...] Inc. osobowość prawną i stanowi spółkę zależną [...] Inc. działającą na terytorium Polski oraz wykonującą działalność gospodarczą w rozumieniu art. 4 ust. 1 lit. A) dyrektywy 95/46/WE. Zgodnie z ww. artykułem każde Państwo Członkowskie stosuje, w odniesieniu do przetwarzania danych osobowych, przepisy prawa krajowego przyjmowane na mocy niniejszej dyrektywy wówczas, gdy: a) przetwarzanie danych odbywa się w kontekście prowadzenia przez administratora danych działalności gospodarczej na terytorium Państwa Członkowskiego; jeżeli ten sam administrator danych prowadzi działalność gospodarczą na terytorium kilku Państw Członkowskich, musi on podjąć niezbędne działania, aby zapewnić, że każde z tych przedsiębiorstw wywiązuje się z obowiązków przewidzianych w odpowiednich przepisach prawa krajowego. Do spełnienia zawartego w tym przepisie kryterium konieczne jest aby przetwarzanie danych osobowych przez ich administratora odbywało się w kontekście prowadzenia przez administratora danych działalności gospodarczej na terytorium państwa członkowskiego. Zdaniem GIODO nie ulega wątpliwości, iż działalność prowadzona przez operatora wyszukiwarki internetowej [...] Search, tj. [...] Inc. oraz działalność reklamowa [...] Sp. z o.o. są ze sobą nierozerwalnie powiązana, gdyż jak wskazał Trybunału Sprawiedliwości Unii Europejskiej w orzeczeniu z dnia 13 maja 2014 r. sygn. akt C-131/12 działalność związana z powierzchniami reklamowymi stanowi środek służący uczynieniu rozpatrywanej wyszukiwarki internetowej opłacalną pod względem gospodarczym, a wyszukiwarka ta stanowi jednocześnie środek umożliwiający prowadzenie tej działalności. GIODO podniósł, że wbrew zarzutowi Spółki, mając na uwadze ww. wyrok przyjąć należy, iż art. 4 ust. 1 lit a) dyrektywy 95/46/WE należy interpretować w ten sposób, że przetwarzanie danych osobowych ma miejsce w ramach działalności gospodarczej prowadzonej przez zakład administratora danych odpowiedzialnego za to przetwarzanie na terytorium danego państwa w rozumieniu tego przepisu, jeśli operator wyszukiwarki internetowej ustanawia w danych państwie członkowskim oddział lub spółkę zależną, których celem jest promocja i sprzedaż powierzchni reklamowych oferowanych za pośrednictwem tej wyszukiwarki, a działalność tego oddziału lub tej spółki zależnej jest skierowana do osób zamieszkujących to państwo. Biorąc wiec pod uwagę przedmiot, sposób oraz formę działalności gospodarczej [...] Sp. z o.o. (tj. promowanie usług reklamowych wśród podmiotów m.in. z terytorium Rzeczypospolitej Polskiej, które mogą być realizowane z wykorzystaniem wyszukiwarki internetowej [...] Search), zdaniem organu uznać należy ww. Spółkę za podmiot ustanowiony przez operatora ww. wyszukiwarki internetowej. GIODO zauważył także, że przetwarzanie danych osobowych odbywa się na terytorium tego kraju członkowskiego, na którego terytorium działalność gospodarczą prowadzi taki podmiot. Oznacza to, że w sprawach dotyczących skarg osób fizycznych zamieszkujących na terytorium Polski na odmowę usunięcia ich danych osobowych udostępnionych w wynikach wyszukiwania w wyszukiwarce internetowej [...] Search, podmiotem w stosunku, do którego kierowane winny być ewentualne decyzje w przedmiocie nakazu wydanego na podstawie art. 18 u.o.d.o., będzie [...] Sp. z o.o., a więc spółka zależna [...] Inc., której celem jest promocja i sprzedaż powierzchni reklamowych, a co jest nierozerwalnie związane z funkcjonowaniem samej wyszukiwarki [...] Search. W ocenie organu powyższe stanowisko, gwarantuje realizację praw i obowiązków osób, zamieszkałych na terytorium Rzeczypospolitej Polskiej, których dane osobowe są przetwarzane w wyszukiwarce internetowej [...] Search w opisany na wstępie sposób. Odnosząc się do kwestii przetwarzania danych osobowych skarżącego przez [...] Sp. z o.o. GIODO wskazał, że uprawniającym administratorów danych do przetwarzania danych osób fizycznych, w tym ich udostępniania, jest art. 23 ust. 1 u.o.d.o.. Zgodnie z tym przepisem, przetwarzanie danych jest dopuszczalne tylko wtedy, gdy spełniona jest jedna z przesłanek taksatywnie w nim wskazanych. W art. 27 ust 2 u.o.d.o. wymienione są natomiast enumeratywnie przesłanki umożliwiające przetwarzanie tzw. danych osobowych wrażliwych. Przetwarzanie danych osobowych tzw. zwykłych przez operatorów wyszukiwarek internetowych, co do zasady ma oparcie w przesłance określonej art. 23 ust. 1 pkt 5 u.o.d.o. Klauzula usprawiedliwionego celu powoduje, że administrator danych, który przy przetwarzaniu danych nie legitymuje się przesłankami wymienionymi w art. 23 ust. 1 pkt 1 - 4 u.o.d.o., może powołać się na tę klauzulę, przy czym niezbędnym jest wykazanie przez niego, iż przetwarzanie danych jest mu niezbędne dla realizacji konkretnego celu i realizacja tego celu (zgodnego z prawem) bez przetworzenia danych będzie niemożliwa. Powołując się na poglądy wyrażone w doktrynie organ wskazał, że z jednej strony cel przetwarzania danych musi być usprawiedliwiony prowadzoną działalnością administratora lub odbiorcy danych, a z drugiej działalność ta nie może być w jakiejkolwiek mierze niezgodna z prawem, zasadami współżycia społecznego czy dobrymi obyczajami. Przetwarzanie na podstawie ww. przesłanki dopuszczalne jedynie w sytuacji, gdy nie narusza ono praw i wolności osoby, której dane dotyczą. GIODO podniósł, że z okoliczności sprawy wynika, iż żadna z przesłanek określonych w art. 23 ust. 1 oraz art. 27 ust. 2 u.o.d.o. nie występuje. Zdaniem organu analiza materiału dowodowego pozwala na stwierdzenie, iż zasadna jest argumentacja skarżącego, w której podnosi on, iż publikowany plik o nazwie w tytule [...] [DOC]polskie stowarzyszenie [...], do którego odsyła wskazana wyżej strona internetowa, zawiera nieprawdziwą i bardzo szkodliwą dla niego reklamę. Plik ten został zamieszczony bez wiedzy i zgody skarżącego oraz będąc dla niego szkodliwym narusza jego dobra osobiste i cyt.: "finansowe". W reklamie tej (w pliku tym) są podawane i wyświetlane publicznie prywatne dane skarżącego w zakresie numeru telefonu i adresu e-mail oraz nazwy i adresu [...] Instytutu [...] Politechniki [...] w kontekście osoby skarżącego (i informacje te pozostają nieprawdziwe, a tym samym prawnie niedozwolone i zabronione). Zgodnie zatem z wyrokiem Trybunału Sprawiedliwości Unii Europejskiej, z dnia 13 maja 2014 r. sygn. akt C-131/12, wniosek o zaprzestanie przetwarzania danych osobowych, w pierwszej kolejności powinien być przez skarżącego skierowany do operatora wyszukiwarki internetowej. Dopiero w przypadku braku właściwej reakcji po stronie operatora, należy zwrócić się do krajowego organu ds. ochrony danych osobowych. Skarżący zwrócił się z ww. żądaniem zarówno do [...] Inc. ([...]) jak i do będącej stroną niniejszego postępowania - [...] Sp. z o.o., a następnie w związku z nieuwzględnieniem przez ww. podmioty tych żądań, wniósł on skargę do GIODO na podstawie art. 35 ust. 2 u.o.d.o. GIODO stwierdził, że w okolicznościach przedmiotowej sprawy, gdy dane osobowe skarżącego pojawiają się w wynikach wyszukiwania [...] pomimo złożonego żądania osoby, której dane dotyczą - nie występuje obecnie żadna z przesłanek określonych w art. 23 ust. 1 pkt 1-5 u.o.d.o. oraz art. 27 ust. 2 u.o.d.o., pozwalająca na przetwarzanie tych danych osobowych. Organ stwierdził, że przetwarzanie danych osobowych skarżącego w wynikach wyszukiwania nie znajduje zatem oparcia w obowiązujących przepisach prawa i dokonywane jest z naruszeniem przepisów dotyczących ustawy o ochronie danych osobowych. Ustosunkowując się do zarzutu wydania zaskarżonej decyzji z naruszeniem art. 7 i art. 77 K.p.a. GIODO podniósł, że w jego ocenie, jest on niezasadny. Organ wskazał, że zebrany w sprawie materiał dowodowy jest wystarczający do ustalenia stanu faktycznego sprawy, a ponadto spójny i nie budzący wątpliwości. Brak jest zarazem jakichkolwiek dowodów, mogących świadczyć o tym, że zebrany materiał w sprawie jest niekompletny. Na powyższą decyzję [...] Sp. z o.o. z siedzibą w W. wniosła skargę do Wojewódzkiego Sądu Administracyjnego w Warszawie. Zaskarżonej decyzji zarzuciła: 1. naruszenie art. 28 K.p.a., poprzez: - skierowanie decyzji do osoby niebędącej stroną w sprawie, tj. do [...], która nie jest administratorem danych w stosunku do danych osobowych będących przedmiotem decyzji, co stanowi podstawę do stwierdzenia nieważności decyzji, o której mowa w art. 156 § 1 pkt 4 K.p.a.; - wydanie decyzji niewykonalnej dla strony skarżącej, której niewykonalność istniała w dniu jej wydania i ma charakter trwały, co stanowi podstawę do stwierdzenia nieważności decyzji, o której mowa w art. 156 § 1 pkt 5 K.p.a.; 2. naruszenie przepisu prawa materialnego, tj. art. 35 ust. 1 u.o.d.o., poprzez jego niewłaściwe zastosowanie do [...], w sytuacji gdy strona skarżąca nie ma statusu administratora danych i nie może być obowiązana do spełnienia obowiązku zastrzeżonego dla administratora danych, co miało wpływ na wynik sprawy. 3. naruszenie przepisów postępowania, tj. art. 7, art. 77 i art. 107 § 3 K.p.a., poprzez uchybienie wymogom podjęcia wszelkich czynności w celu dokładnego wyjaśnienia stanu faktycznego sprawy oraz wyczerpującego zebrania i rozpatrzenia całego materiału dowodowego, w tym nieprawidłowe określenie adresata decyzji i zaniechanie podjęcia jakichkolwiek działań mających na celu ustalenie roli [...] Inc. oraz poprzez nienależyte uzasadnienie zaskarżonej decyzji z uwagi na pominięcie istotnych dla sprawy dowodów, w szczególności pisma [...] Inc, z dnia [...] lutego 2016 r., co miało istotny wpływ na wynik sprawy. W oparciu o powyższe zarzuty strona skarżąca wniosła stwierdzenie nieważności zaskarżonej decyzjo oraz utrzymanej nią w mocy decyzji z dnia [...] stycznia 2017 r., ewentualnie o uchylenie tych decyzji, a także o zasądzenie zwrotu kosztów postępowania według norm przepisanych. Pełnomocnik strony skarżącej w obszernej skardze podniósł m.in., że wadliwość decyzji jest głównie spowodowana błędnym zastosowaniem przez organ wyroku Trybunału Sprawiedliwości UE z dnia 13 maja 2014 r. w sprawie C-131/12 [[...]), w którym w szczególności ustalono jaki podmiot jest administratorem danych dla wyszukiwarki internetowej. Tym administratorem dla danych osobowych przetwarzanych w wyszukiwarce internetowej [...] jest operator wyszukiwarki, tj. [...] Inc. z siedzibą w [...], a nie lokalne podmioty [...] z siedzibą w państwach UE (w tym [...]). To administrator danych, a nie inny podmiot, realizuje żądania osoby, której dane dotyczą usunięcia wyników wyszukiwania zawierających jej dane osobowe (tzw. prawo do bycia zapomnianym). Pełnomocnik wskazał, że stanowisko TSUE pozostaje aktualne na gruncie polskiej ustawy o ochronie danych osobowych. Podniósł, że wadliwość decyzji GIODO powoduje przede wszystkim negatywne konsekwencje dla realizacji praw osób, których dane dotyczą. Po wspomnianym orzeczeniu TSUE [...] Inc. wdrożył jednolity, efektywny i publicznie dostępny, internetowy mechanizm, za pomocą którego [...] Inc. przyjmuje wnioski osób fizycznych z państw Unii Europejskiej, w przedmiocie usunięcia wyników wyszukiwania ich dotyczących. Sposób realizacji rzeczonych wniosków podlega kontroli krajowych organów ds. ochrony danych osobowych oraz sądów krajowych. Wdrożony przez [...] Inc. mechanizm realizacji tzw. prawa do bycia zapomnianym jest powszechnie stosowany na terenie całej Unii Europejskiej. GIODO, stosując błędnie orzeczenie TSUE, nałożył obowiązki na podmiot lokalny, Spółkę [...], która nie jest administratorem danych i nie ma faktycznych możliwości ani uprawnień do usuwania danych osobowych, jeśli zażąda tego osoba, której dane dotyczą. Zaskarżona decyzja, zdaniem pełnomocnika strony skarżącej, została skierowana do osoby niebędącej strona w sprawie w rozumieniu art. 28 K.p.a., tj. do [...]. Strona decyzji w niniejszej sprawie jest administrator danych, którym jest [...] lnc. Wynika to zarówno z przepisów prawa polskiego, jak i europejskiego oraz orzeczenia TSUE. Tym samym decyzja dotknięta jest wada powodującą jej nieważność na podstawie art. 156 § 1 pkt 4 K.p.a. [...] nie obsługuje i nie kontroluje wyszukiwarki [...], ani nią nie zarządza. Spółka nie spełnia żadnego z ww. kryteriów i tym samym nie może zostać uznana za administratora danych w odniesieniu do danych osobowych przetwarzanych w wynikach wyszukiwania wyszukiwarki [...]. [...] nie podejmuje również żadnych decyzji, co do danych administrowanych lub przetwarzanych w wyszukiwarce internetowej [...], ani nie ma do nich dostępu, a zatem w ogóle nie przetwarza danych osobowych w ramach mechanizmów wyszukiwarki. Przedmiotem działalności gospodarczej [...] jest jedynie działalność wspierającą sprzedaż powierzchni reklamowych oraz działalność marketingowa. Pełnomocnik strony skarżącej podkreślił, że podmiotem, który posiada środki prawne, techniczne oraz organizacyjne, aby wykonać zaskarżone decyzje i zaprzestać przetwarzania danych osobowych M. K. jest administrator danych. Strona skarżąca nie posiada żadnych środków technicznych czy organizacyjnych do wykonania decyzji nakazującej usunięcie danych osobowych z wyszukiwarki internetowej [...]. [...] nie świadczy żadnych usług poprzez wyszukiwarkę internetową [...] ani strony internetowe [...] oraz [...]. Fakt, że użytkownikiem domen "[...]" oraz "[...]" jest [...] Inc., a certyfikat SSL do stron internetowych "[...]" oraz "[...]" został przyznany [...] Inc. potwierdza, że [...] nie jest w żaden sposób zaangażowana w świadczenie usług polegających na wyszukiwaniu oraz prezentowaniu stron internetowych i ich opisów oraz nie ma żadnych środków technicznych do wykonania decyzji nakazującej usunięcie danych osobowych z wyszukiwarki internetowej. Pełnomocnik wskazał, że organ naruszył art. 35 ust. 1 u.o.d.o., gdyż wydał decyzję wobec [...] , podmiotu niebędącego administratorem danych, podczas gdy adresatem decyzji wydanych na podstawie art. 18 ust. 1 pkt 6 w zw. z art. 35 ust. 1 u.o.d.o. może być wyłącznie administrator danych, tj. [...] Inc. Ponadto w skardze zarzucono, że GIODO w uzasadnieniu decyzji nie odniósł się w żaden sposób do pisma [...] Inc. z [...] lutego 2016 r. dotyczącego statusu spółek [...] i [...] Inc. wraz z oświadczeniem, iż to [...] Inc. jest administratorem danych w niniejszej sprawie. Organ nie wziął tego pisma pod uwagę rozstrzygając sprawę indywidualną czym naruszył art. 7 i art. 77 K.p.a. GIODO w odpowiedzi na skargę wniósł o jej oddalenie, przedstawiając dotychczasowe ustalenia i zawarte w decyzji stanowisko. [...] Sp. z o.o. w piśmie procesowym z dnia [...] lutego 2018 r. podtrzymując skargę, na poparcie swojego stanowiska przedstawiła ekspertyzę sporządzoną przez Izbę Rzeczoznawców Polskiego Towarzystwa Informatycznego, która jej zdaniem potwierdza, iż [...] nie ma możliwości technicznych i organizacyjnych wprowadzania zmian w wynikach wyszukiwania wyszukiwarki [...]. Powołana się również na orzeczenia Wojewódzkiego Sądu Administracyjnego w Warszawie wydane w tożsamych rodzajowo sprawach. Pismem z dnia [...] marca 201 8 r. [...] LLC z siedzibą w [...], reprezentowana przez adwokata, wniosła do Wojewódzkiego Sądu Administracyjnego w Warszawie, na podstawie art. 33 § 2 ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2017 r., poz. 1369 ze zm.); zwanej dalej "P.p.s.a.", o dopuszczenie do udziału w postępowaniu sądowoadministracyjnym w charakterze uczestnika. Pełnomocnik wnioskodawcy wskazał, że postępowanie administracyjne zostało wszczęte w związku z wcześniejszym żądaniem skarżącego usunięcia wyników wyszukiwania, które było skierowane wobec [...] oraz [...] Inc. (aktualnie [...] LLC). [...] LLC wskazała, że jest usługodawcą wyszukiwarki [...] oraz administratorem danych M. K. przetwarzanych w wyszukiwarce internetowej [...]. Wnosząc o dopuszczenie do udziału w postępowaniu sądowym, wnioskodawca wniósł jednocześnie o stwierdzenie nieważności zaskarżonej i poprzedzającej ją decyzji GIODO, ewentualnie uchylenie obu decyzji. Postanowieniem z dnia 12 marca 2018 r., sygn. akt II SA/W 1035/17, Wojewódzki Sąd Administracyjny w Warszawie dopuścił [...] LLC do udziału w sprawie. Wojewódzki Sąd Administracyjny w Warszawie, zważył co następuje: Zgodnie z brzmieniem art. 1 § 1 i 2 ustawy z 25 lipca 2002 r. – Prawo o ustroju sądów administracyjnych (Dz. U. z 2017 r. poz. 2188, z późn. zm.), sąd administracyjny sprawuje wymiar sprawiedliwości poprzez kontrolę pod względem zgodności z prawem zaskarżonej decyzji administracyjnej i to z przepisami obowiązującymi w dacie jej wydania. Innymi słowy, sąd administracyjny nie orzeka co do istoty sprawy w zakresie danego przypadku, lecz jedynie kontroluje legalność rozstrzygnięcia zapadłego w postępowaniu z punktu widzenia jego zgodności z prawem materialnym i obowiązującymi przepisami prawa procesowego. Ponadto, co wymaga podkreślenia, Sąd rozstrzyga w granicach danej sprawy nie będąc jednak związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną (art. 134 § 1 P.p.s.a.). Oceniając zaskarżoną decyzję w świetle powołanych wyżej kryteriów Sąd stwierdził, iż skarga zasługuje na uwzględnienie. Kwestią o zasadniczym znaczeniu jest w tej sprawie w pierwszej kolejności ustalenie podmiotu, który jest administratorem danych osobowych M. K., pojawiających się w wynikach wyszukiwania na stronach internetowych, których to adresy URL podał w skardze do GIODO. Przepis art. 35 ust. 2 w zw. z art. 18 ust. 1 pkt 6 u.o.d.o. może być bowiem zastosowany wyłącznie wobec administratora danych, czyli podmiotu, który decyduje o celach i środkach przetwarzania danych osobowych (art. 7 pkt 4 u.o.d.o.). M. K. w skardze do GIODO wskazał na nieprawidłowości w procesie przetwarzania jego danych osobowych, jak to określił, w "przeglądarce [...] Internet". W treści skargi wskazywał, że kierował w tej sprawie wiele pism "do siedziby [...] za granicą" i jednocześnie do [...] Sp. z o.o. Do pisma z dnia [...] października 2015 r. M. K. dołączył zarówno pismo skierowane do [...] Sp. z o.o. (pismo z dnia [...] lipca 2013 r.), jak i do [...] Inc. z siedzibą w [...] (pismo nadane w dniu [...] lipca 2013 r.). Zauważyć też należy, że skarżący w swojej skardze nie określił precyzyjnie, od którego podmiotu żąda usunięcie jego danych. Tymczasem GIODO przyjął, że stroną postępowania winna być [...] Sp. z o.o. Organ nie przeprowadził postępowania wyjaśniającego w zakresie ustalenia, kto w tym przypadku jest administratorem danych osobowych M. K.. W szczególności organ zaniechał jakichkolwiek czynność wyjaśniających w stosunku do [...] Inc. z siedzibą w [...]. Powyższe świadczy o tym, że ocena organu co do zgromadzonego materiału dowodowego w zakresie ustalenia administratora danych jest oceną dowolną, a zatem naruszającą art. 80 K.p.a., co mogło mieć istotny wpływ na wynik sprawy. Nawet bowiem dotychczas zgromadzony przez organ materiał dowodowy nie został rozważony w sposób wszechstronny (art. 77 § 1 K.p.a.), co mogło mieć istotny wpływ na wynik sprawy. Z akt postępowania administracyjnego wynika zresztą, że [...] Sp. z o.o., do której GIODO wystąpił o wyjaśnienia, wprost wskazywała w piśmie z dnia [...] grudnia 2015 r., że właścicielem, operatorem i usługodawcą systemu wyszukiwawczego [...] (wyszukiwarki internetowej), a także strony [...] oraz [...] jest [...] Inc. z siedzibą w [...], a nie [...] Sp. z o.o. Okoliczności te nie zostały przez organ rozważone, jak też nie została rozważona podnoszona przez Spółkę [...] okoliczność, że nie ma ona środków prawnych, technicznych, czy organizacyjnych pozwalających na kontrolę sposobu świadczenia usług wyszukiwania w sieci Internet przez spółkę [...] Inc. oraz nie jest dysponentem (m.in. właścicielem, posiadaczem) serwerów, z których korzysta oprogramowanie systemu wyszukiwawczego [...]. Nie rozważono też twierdzenia Spółki [...], że nie decyduje i nie współdecyduje ona o treści opisu strony internetowej, jaki jest wyświetlany w ramach wyników wyszukiwania. Z akt postępowania administracyjnego nie wynika, aby GIODO dokonał ustaleń weryfikujących te twierdzenia, a okoliczności te bezspornie mogły mieć wpływ na ustalenie podmiotu decydującego o celach i środkach przetwarzania danych osobowych skarżącego w aspekcie określonym przez niego w skardze do GIODO. Pomimo tych wszystkich przedstawionych przez [...] Sp. z o.o. okoliczności, organ pominął w postępowaniu udział [...] Inc. (obecnie [...] LLC), co stanowi naruszenie prawa określone w art. 145 § 1 pkt 4 K.p.a. W konsekwencji organ nie ustalił wszystkich okoliczności sprawy czym naruszył przepis art. 7 K.p.a., co mogło mieć istotny wpływ na jej wynik. Warto przy tym wskazać, że Trybunał Sprawiedliwości w wyroku z dnia 13 maja 2014 r. C-131/12 stwierdził, że za administratora odpowiedzialnego za przetwarzanie danych w rozumieniu art. 2 lit. d dyrektywy 95/46/WE należy uznać operatora wyszukiwarki internetowej (pkt 41 uzasadnienia wyroku). Zarówno w zaskarżonej, jak i poprzedzającej ją decyzji GIODO nie wynika, dlaczego – w sytuacji, gdy GIODO nie kwestionuje, że operatorem wyszukiwarki internetowej jest [...] Inc. (obecnie [...] LLC) za administratora danych skarżącego uznany został podmiot, którego działalność opiera się na promocji i sprzedaży powierzchni reklamowych, tj. [...] Sp. z o.o. Organ nie powołał się w uzasadnieniu decyzji na żaden dowód w tym zakresie, a jednocześnie z akt postępowania administracyjnego nie wynika, aby w sprawie chodziło o przetwarzanie danych osoby, która zawarła umowę w przedmiocie usług reklamowych. Ponownie rozpatrując sprawę GIODO zwróci się o wyjaśnienia do [...] LLC z siedzibą w [...] w zakresie przetwarzania danych osobowych M. K. w aspekcie podniesionym przez niego w skardze z dnia [...] grudnia 2014 r. Rozważając, który podmiot ([...] Poland Sp. z o.o. czy [...] LLC) jest administratorem danych osobowych skarżącego w zakresie przetwarzania zakwestionowanego przez niego w skardze do GIODO, organ dokona oceny, który z tych podmiotów decyduje o celach i środkach przetwarzania jego danych osobowych, a zatem który podmiot ma kontrolę nad tym, jakie dane wymienionego przetwarzane są (we wskazanym przez niego zakresie) w wyszukiwarce internetowej [...] i ma możliwość techniczną i organizacyjną usuwania danych osobowych wnioskodawcy (zablokowania wyników wyszukiwania), jak żądał tego M. K. Zależnie od poczynionych ustaleń GIODO przeprowadzi postępowanie co do zgodności z u.o.d.o. przetwarzania danych osobowych M. K. przez administratora danych w zakresie kwestionowanym przez niego przed GIODO. W odniesieniu do podmiotu, który w ocenie GIODO nie jest administratorem danych skarżącego w zakresie kwestionowanym przez niego, organ umorzy postępowanie administracyjne, jako bezprzedmiotowe. Uzasadnienie decyzji winno spełniać wymogi z art. 107 § 3 K.p.a., a zatem powinno zawierać wskazanie faktów, które organ uznał za udowodnione, dowodów, na których się oparł oraz przyczyn, z powodu których innym dowodom odmówił wiarygodności i mocy dowodowej. Sąd zaznacza przy tym, że w sprawie tej nie ulega wątpliwości, iż przetwarzanie danych osobowych skarżącego w aspekcie wskazanym przez niego w skardze do GIODO podlega przepisom dyrektywy 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych oraz przepisom polskiej regulacji, tj. ustawy z dnia 29 sierpnia 1999 r. o ochronie danych osobowych. Trybunał Sprawiedliwości w wyroku z dnia 13 maja 2014 r. sygn. C-131/12 jednoznacznie stwierdził, że art. 4 ust. 1 lit. a dyrektywy 95/46/WE należy interpretować w ten sposób, że przetwarzanie danych osobowych ma miejsce w ramach działalności prowadzonej przez administratora danych odpowiedzialnego za to przetwarzanie na terytorium danego państwa członkowskiego w rozumieniu tego przepisu, jeśli operator wyszukiwarki internetowej ustanawia w danym państwie członkowskim oddział lub spółkę zależną, których celem jest promocja i sprzedaż powierzchni reklamowych oferowanych za pośrednictwem tej wyszukiwarki, a działalność tego oddziału lub spółki zależnej jest skierowana do osób zamieszkujących to państwo. Ustalenie GIODO, że ówczesna spółka [...] Inc. (operator wyszukiwarki internetowej) ustanowił w RP spółkę zależną – [...] Sp. z o.o. (prowadzącą działalność reklamową oraz usługi marketingu reklam internetowych), pozwala przyjąć, że przetwarzanie danych osobowych odbywa się na terytorium RP. W świetle powyższego nie ma wątpliwości, że polski organ do spraw ochrony danych osobowych ma pełne możliwości przeprowadzenia postępowania wyjaśniającego wobec [...] LLC z siedzibą w [...], a także badania zgodności z prawem przetwarzania danych osobowych M. K. w sytuacji uznania przez GIODO, że to ten podmiot decyduje o celach i środkach przetwarzania danych osobowych wnioskodawcy oraz stosowania środków prawnych określonych w u.o.d.o. mających na celu zapewnienie zgodności z prawem przetwarzania danych osobowych wnioskodawcy. W tym stanie sprawy, wobec konieczności przeprowadzenia przez organ postępowania administracyjnego w zasadniczym zakresie, z udziałem [...] LLC, Sąd nie znalazł podstaw do uwzględnienia najcięższych zarzutów skargi. W ocenie Sądu w sprawie tej nie zachodziły podstawy do stwierdzenia nieważności zaskarżonej i poprzedzającej ją decyzji. Okoliczność, że zdaniem skarżącej Spółki nie jest ona administratorem danych nie oznacza bowiem – przy odmiennej ocenie organu, która była zawarta w zaskarżonej decyzji – iż można przyjąć, że zaskarżona i poprzedzająca ją decyzja zostały skierowane do osoby niebędącej stroną w sprawie w rozumieniu przepisu art. 156 § 1 pkt 4 w zw. z art. 28 K.p.a. Wobec istotnych naruszeń w postępowaniu administracyjnym przepisów prawa procesowego, w tym pozbawienia [...] LLC udziału w tym postępowaniu, zarzut dotyczący niewykonalności decyzji Sąd uznał za przedwczesny. Z tych względów Wojewódzki Sąd Administracyjny w Warszawie, na podstawie art. 145 § 1 pkt 1 lit. b i c P.p.s.a., orzekł jak w punkcie 1 wyroku. O zwrocie kosztów postępowania Sąd orzekł, jak w punkcie 2 wyroku, na podstawie art. 200 i art. 205 § 1 P.p.s.a. Do kosztów tych Sąd zaliczył uiszczony przez skarżącego wpis sądowy od skargi (200 zł), koszty zastępstwa procesowego (480 zł) oraz opłatę skarbową (17 zł).