II SA/Wa 1129/18

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Danuta Kania (spr.), Sędzia WSA Andrzej Góraj, Sędzia WSA Stanisław Marek Pietras, Protokolant specjalista Ewa Kielak, po rozpoznaniu na rozprawie w dniu 29 stycznia 2019 r. sprawy ze skargi L. M. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] kwietnia 2018 r. nr [...] w przedmiocie przetwarzania danych osobowych 1. uchyla zaskarżoną decyzję oraz poprzedzającą ją decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] listopada 2016 r. nr [...], 2. zasądza od Prezesa Urzędu Ochrony Danych Osobowych na rzecz skarżącego L. M. kwotę 697 (słownie: sześćset dziewięćdziesiąt siedem) złotych tytułem zwrotu kosztów postępowania. Generalny Inspektor Ochrony Danych Osobowych (dalej: "Generalny Inspektor", "GIODO") decyzją z dnia [...] kwietnia 2018 r. nr [...], wydaną na podstawie art. 138 § 1 pkt 1 ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego (Dz. U. z 2016 r., poz. 23), dalej: "k.p.a.", oraz art. 12 pkt 2, art. 22, art. 23 ust. 1 pkt 5 i art. 25 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r., poz. 922 oraz 2018, poz. 138), dalej: "u.o.d.o.", utrzymał w mocy własną decyzję z dnia [...] listopada 2016 r. nr [...] o odmowie uwzględnienia wniosku L.M. w sprawie przetwarzania jego danych osobowych. W uzasadnieniu powyższej decyzji GIODO przedstawił dotychczasowy tok postępowania wskazując, co następuje: Do Biura GIODO wpłynęła skarga L.M. na przetwarzanie jego danych osobowych na stronie internetowej [...], której administratorem jest [...] Sp. z o.o. z siedzibą w W.. Skarżący wskazał, że Spółka przetwarza jego dane osobowe bez jego zgody i wiedzy na portalu mającym charakter komercyjny. Stwierdził, że jego dane osobowe podlegają słabszej ochronie, bowiem nie ma on wykupionego abonamentu na ww. portalu. Ponadto zaznaczył, że jedynym regulowanym prawnie rejestrem lekarzy jest rejestr prowadzony przez właściwą okręgową izbę lekarską. Wobec powyższego skarżący wniósł o przywrócenie stanu zgodnego z prawem, w szczególności o usunięcie jego danych osobowych przetwarzanych przez Spółkę. W toku postępowania GIODO ustalił, że: - strona [...] jest serwisem internetowym, który umożliwia użytkownikom zamieszczanie informacji, komentarzy i opinii na temat lekarzy i zakładów opieki zdrowotnej; - z regulaminu świadczenia usług drogą elektroniczną przez [...] wynika, iż opinie i informacje o Profesjonalistach (tj. m.in. o skarżącym) mogą dotyczyć wyłącznie działalności zawodowej Profesjonalisty (§ 4 pkt 2). Opinie i informacje o Profesjonalistach mogą opierać się jedynie na osobistych doświadczeniach Użytkownika (§ 4 pkt 3). Niedozwolone jest umieszczanie opinii przez Profesjonalistów na własnych Profilach oraz jakiekolwiek próby manipulacji opiniami, informacjami i ocenami (§ 4 pkt 6). Niedozwolone jest umieszczanie opinii i komentarzy, które nie są zgodne z prawdą (§ 4 pkt 7). Informacje, opinie i komentarze nie mogą naruszać prawa, dóbr osobistych, ani zasad współżycia społecznego (§ 4 pkt 8); - Spółka w złożonych organowi wyjaśnieniach z dnia [...] stycznia 2016 r. wskazała, iż dane osobowe skarżącego przetwarzane są na podstawie art. 23 ust. 1 pkt 5 u.o.d.o. Celem przetwarzania danych skarżącego jest informowanie użytkowników Internetu o praktyce skarżącego i wymiana opinii o tej praktyce. Zakres danych osobowych przetwarzanych przez Spółkę to imię i nazwisko skarżącego, wykonywany zawód oraz adres wykonywania zawodu; - Spółka zaznaczyła, że dane są przetwarzane jedynie w sposób polegający na publikacji ich na portalu [...]. Dane skarżącego zostały dodane przez anonimowego użytkownika w dniu [...] grudnia 2014 r.; - z załączonego do akt sprawy wydruku ze strony internetowej [...] wynika, że Spółka przetwarzając dane osobowe skarżącego w zakresie miejsca wykonywania zawodu używa adresu: [...], ul. [...], [...], [...]. Tymczasem w Centralnej Ewidencji Informacji o Działalności Gospodarczej jako główne miejsce wykonywania działalności skarżącego widnieje adres: ul. [...], [...], powiat [...] woj. [...]. - Spółka spełniła wobec skarżącego obowiązek informacyjny wynikający z art. 25 u.o.d.o. poprzez wysłanie informacji wymaganej przez przepisy prawa w formie pisemnej; - Spółka wskazała również, iż otrzymała żądanie usunięcia danych osobowych skarżącego w dniu [...] sierpnia 2015 r. W odpowiedzi odmawiającej usunięcia danych Spółka wskazała podstawy prawne tej odmowy, a nadto wyjaśniła, iż zawód skarżącego jest ważny z punktu widzenia interesu publicznego, a dane które przetwarza Spółka nie dotyczą prywatnej sfery życia skarżącego; - Spółka wskazała, iż skarżący został poinformowany o możliwości zawarcia odpłatnej umowy cywilnoprawnej, która pozwoli mu na dodanie dodatkowych informacji na profilu lekarza. Jednocześnie Spółka wyjaśniła, iż skarżący nie jest zobowiązany do podpisania odpłatnej umowy o świadczenie usług, aby zmienić bądź edytować informacje już zawarte na profilu internetowym. Decyzją z dnia [...]listopada 2016 r. nr [...] Generalny Inspektor odmówił uwzględnienia wniosku skarżącego wskazując w uzasadnieniu, że przetwarzanie danych osobowych skarżącego jest dopuszczalne w oparciu o przesłankę określoną w art. 23 ust. 1 pkt 5 u.o.d.o. Pismem z dnia [...] listopada 2016 r. L.M., reprezentowany przez pełnomocnika, złożył do organu wniosek o ponowne rozpatrzenie sprawy zarzucając: 1) naruszenie art. 7 oraz 77 k.p.a. w zw. z art. 107 § 3 k.p.a. poprzez: - niewyjaśnienie przez organ okoliczności polegających na odmówieniu skarżącemu uzupełnienia danych w jego profilu o numery telefonów oraz adresy stron www. pomimo, iż działanie takie było nieprawidłowe i niezgodne z obowiązującym prawem, w szczególności z Regulaminem świadczenia usług drogą elektroniczną przez [...], - nieuwzględnienie przez organ okoliczności, iż ingerencja skarżącego w zakresie przetwarzania jego danych osobowych jest możliwa wyłącznie po spełnieniu przez niego dodatkowych, pozaustawowych obowiązków w postaci zawarcia ze Spółką umowy cywilnoprawnej, 2) naruszenie art. 23 ust. 1 pkt 5 u.o.d.o. poprzez przyjęcie przez organ, że przetwarzanie przez spółkę danych osobowych skarżącego jest niezbędne dla wypełnienia prawnie usprawiedliwionego celu, a ponadto nie narusza jego praw i wolności. W związku z powyższymi zarzutami skarżący wniósł o uchylenie zaskarżonej decyzji w całości i uwzględnienie skargi. Generalny Inspektor nie znalazł podstaw do zmiany stanowiska w sprawie. Motywując wymienioną na wstępie decyzję z dnia [...] kwietnia 2018 r. powołał art. 39b ustawy z dnia 2 lipca 2004 r. o swobodzie działalności gospodarczej (Dz. U. z 2017 r., poz. 2168 ze zm.), zgodnie z którym do jawnych danych i informacji udostępnianych przez CEIDG nie stosuje się przepisów u.o.d.o. Wskazał przy tym, iż na stronie internetowej [...] podany jest adres świadczenia usług i wykonywania zawodu lekarza przez skarżącego - [...], [...], [...] oraz [...] Sp. z o.o., ul. [...], [...], co nie pokrywa się z adresem wykonywania przez niego działalności gospodarczej widniejącym w CEIDG, tj. ul. [...], [...], powiat [...], woj. [...]. Wobec powyższego brak jest podstaw do zastosowania regulacji wymienionej w art. 39b ww. ustawy. Następnie organ wskazał, iż z regulaminu korzystania z serwisu [...] wynika, że Spółka świadczy usługi drogą elektroniczną na rzecz użytkowników ww. serwisu internetowego, polegające na umożliwieniu użytkownikom serwisu wymiany informacji, komentarzy i opinii na temat lekarzy i zakładów opieki. Z postanowień regulaminu wynika, iż Spółka decyduje o zamieszczeniu na ww. stronie internetowej bądź też usunięciu z niej informacji, komentarzy lub opinii użytkowników. Spółka jest więc administratorem danych osobowych skarżącego, bowiem decyduje o celach i środkach przetwarzania tych danych (art. 7 pkt 4 u.o.d.o.). Przepisem uprawniającym administratorów danych do przetwarzania zwykłych danych osób fizycznych, w tym ich udostępniania, jest art. 23 ust. 1 u.o.d.o., zgodnie z którym, przetwarzanie danych jest dopuszczalne tylko wtedy, gdy spełniona jest jedna z przesłanek taksatywnie wymienionych w tym przepisie. Przesłanki te co do zasady są równoprawne, a wobec tego spełnienie co najmniej jednej z nich stanowi o zgodnym z prawem przetwarzaniu danych osobowych. W konsekwencji zgoda osoby, której dane dotyczą nie jest jedyną podstawą przetwarzania danych osobowych, bowiem proces przetwarzania danych będzie zgodny z ustawą również wówczas, gdy administrator danych wykaże spełnienie innej z wyżej wymienionych przesłanek. Organ wskazał, że klauzula usprawiedliwionego celu zawarta w art. 23 ust. 1 pkt 5 u.o.d.o. powoduje, iż administrator danych, który przy przetwarzaniu danych nie legitymuje się przesłankami wymienionymi w art. 23 ust. 1 pkt 1 - 4, może powołać się na tę klauzulę wykazując jednocześnie, iż przetwarzanie danych jest mu niezbędne dla realizacji konkretnego celu i realizacja tego celu (zgodnego z prawem) bez przetworzenia danych będzie niemożliwa. Organ podkreślił, iż "cel przetwarzania danych musi być usprawiedliwiony prowadzoną działalnością administratora lub odbiorcy danych, a z drugiej strony działalność ta nie może być w jakiejkolwiek mierze niezgodna z prawem, zasadami współżycia społecznego czy dobrymi obyczajami (np. zbieranie danych dla szantażu). Nie można wszakże podawać w wątpliwość istnienia usprawiedliwionego celu tylko z tego powodu, iż ma on - w całości lub części - charakter zarobkowy (...)" (J. Barta, P. Fajgielski. R. Markiewicz. Ochrona Danych Osobowych. Komentarz. LEX 2011, Wydanie V). Administrator danych uprawniony do przetwarzania danych osobowych na podstawie art. 23 ust. 1 pkt 5 u.o.d.o. umocowany jest także do ich udostępniania, o czym stanowi art. 7 pkt 2 u.o.d.o. GIODO wskazał, iż przedmiotem zarejestrowanej przez Spółkę działalności gospodarczej jest między innymi działalność portali internetowych, przetwarzanie danych, zarządzanie stronami internetowymi (hosting) i podobna działalność. Wobec tego trafne jest stanowisko organu zawarte w zaskarżonej decyzji, że opublikowanie przez Spółkę ww. danych osobowych skarżącego - jako zgodne z przedmiotem działalności gospodarczej Spółki - znajduje swe oparcie w powołanym wyżej art. 23 ust. 1 pkt 5 u.o.d.o. W ocenie GIODO w sprawie niniejszej nie doszło do naruszenia praw i wolności skarżącego w związku z przetwarzaniem jego danych osobowych. Nie chodzi tu bowiem o "prawo do ochrony danych osobowych", czy też prawo do decydowania o przetwarzaniu informacji dotyczących danej osoby, lecz o przesłankę legalizującą wkroczenie w sferę tych praw. Wskazuje się zatem, iż warunkiem dopuszczalności przetwarzania danych na gruncie powołanego przepisu jest to, aby przetwarzanie nie naruszało żadnego z praw czy wolności konstytucyjnych (por. J. Barta, P. Fajgielski. R. Markiewicz. Ochrona Danych Osobowych. Komentarz. Wydanie IV. Zakamycze 2007, str. 471). Przetwarzanie danych osobowych przez administratora nie może zatem naruszać prawa do ochrony prawnej życia prywatnego, rodzinnego, czci i dobrego imienia oraz do decydowania o swoim życiu osobistym (art. 47 Konstytucji Rzeczypospolitej Polskiej). Dane osobowe skarżącego udostępniane na ww. stronie internetowej dotyczą wyłącznie życia zawodowego skarżącego, a zatem nie sposób uznać, iż doszło do naruszenia jego prawa do ochrony życia prywatnego, rodzinnego czy też prawa do decydowania o swoim życiu osobistym. Sam skarżący nie wykazał, by przedmiotowe udostępnienie jego danych naruszało jego prawa i wolności. GIODO zaznaczył, że skarżący we wniosku do Spółki zawarł żądanie usunięcia jego danych osobowych z bazy danych oraz portalu internetowego, jednakże w żaden sposób nie wykazał swej szczególnej sytuacji w rozumieniu art. 32 ust. 1 pkt 7 u.o.d.o., która mogłaby uzasadniać zaprzestanie przez Spółkę przetwarzania tych danych w ww. sposób. Tym samym nie jest możliwe przyjęcie przez organ, iż Spółka powinna usunąć dane osobowe skarżącego z ww. strony internetowej. Organ zauważył przy tym, że zawód lekarza uznawany jest za zawód zaufania publicznego, którego wykonywanie jest istotne z punktu widzenia interesu publicznego. Ze względu na specyfikę wykonywanego zawodu lekarz udzielający świadczeń zdrowotnych musi liczyć się z tym, iż jego dane osobowe - w zakresie dotyczącym wykonywanego przez niego zawodu - podlegają słabszej ochronie. Nie ulega bowiem wątpliwości, iż świadczona przez lekarza praca, w szczególności sposób jej wykonywania i uzyskane efekty, podlegają społecznej kontroli. Natomiast serwis internetowy umożliwiający użytkownikom zamieszczanie opinii i komentarzy dotyczących lekarzy jest jednym z narzędzi, za pomocą którego pacjenci mogą wykonywać tę społeczną kontrolę. Odnośnie zawartego we wniosku o ponowne rozpatrzenie sprawy żądania aktualizacji danych osobowych skarżącego organ wskazał, iż zwrócił się do Spółki w celu złożenia wyjaśnień w tym zakresie. Spółka wyjaśniła, że "profesjonalista nie jest zobowiązany do podpisania odpłatnej umowy o świadczenie usług aby zmienić bądź edytować informacje zawarte na profilu internetowym". Skarżący zażądał aktualizacji danych osobowych o numer telefonu oraz stronę www., jednakże Spółka nie przetwarza ww. danych osobowych skarżącego, dlatego też nie można w tym wypadku mówić o aktualizacji danych posiadanych przez Spółkę. Końcowo organ wskazał, iż Spółka spełniła wobec skarżącego obowiązek informacyjny, o którym mowa w art. 25 ust. 1 u.o.d.o. Nie można przypisać Spółce naruszenia przepisów ustawy w tym zakresie, tym samym nie jest możliwe wydanie przez organ jakiegokolwiek z nakazów, o których mowa w art. 18 ust. 1 u.o.d.o. Pismem z dnia [...] czerwca 2018 r. L.M., reprezentowany przez pełnomocnika, wniósł skargę na powyższą decyzję Generalnego Inspektora z dnia [...] kwietnia 2018 r. zarzucając: 1) naruszenie art. 23 ust. 1 pkt 5 u.o.d.o. poprzez jego nieprawidłową wykładnię skutkującą błędnym przyjęciem, że przetwarzanie przez Spółkę danych osobowych skarżącego jest niezbędne dla wypełnienia prawnie usprawiedliwionego celu i nie narusza jego praw i wolności; 2) naruszenie art. 7 w zw. z art. 77 § 1 w zw. z art. 80 w zw. z art. 107 § 3 k.p.a. poprzez brak podjęcia wszelkich czynności niezbędnych do dokładnego wyjaśnienia stanu faktycznego oraz do załatwienia sprawy, w szczególności mając na względzie interes społeczny i słuszny interes obywatela. W związku z powyższymi zarzutami skarżący wniósł o uchylenie obu wydanych w sprawie decyzji oraz o zasądzenie kosztów postępowania, w tym kosztów zastępstwa procesowego, według norm przepisanych. W motywach skargi skarżący zakwestionował stanowisko organu, iż cel przetwarzania jego danych osobowych przez spółkę jest usprawiedliwiony jej działalnością. Zamieszczone na portalu [...] dane osobowe skarżącego zostały tam umieszczone bez jego wiedzy oraz zgody i nie zostały usunięte pomimo wystosowania pisemnego żądania w tym zakresie. Organ pominął okoliczność, że dane osobowe skarżącego są przetwarzane przez Spółkę w charakterze stricte komercyjnym, ponieważ cel założenia portalu oraz sposób jego prowadzenia związane są z czerpaniem zysków m.in. z dotacji oraz opłat dokonywanych przez lekarzy. Jednocześnie Spółka przetwarza dane skarżącego jak i innych lekarzy w celach marketingowych, wykorzystując jego wizerunek w celu poszerzenia swej działalności reklamowej, co jest równoznaczne ze zwiększaniem zysków. Spółka nie publikuje pełnych danych lekarzy na profilu, żądając za powyższe wykupienia stosownego abonamentu, co następnie prowadzi do naruszenia praw i wolności skarżącego poprzez wykorzystywanie przez Spółkę mechanizmu reklamy kontekstowej. Portal nie udostępnia bowiem danych kontaktowych do miejsca pracy skarżącego (opcja ta jest dostępna dopiero w przypadku wykupienia abonamentu), co więcej, podsuwa kontakt do innych lekarzy podobnej specjalności i z podobnej lokalizacji, jednak takich, którzy ww. abonament opłacili. Sytuacja taka prowadzi do tego, iż skarżący, któremu Spółka założyła profil bez jego wiedzy i zgody, celem ochrony swoich danych osobowych musi spełnić dodatkowe, pozaustawowe obowiązki w postaci zawarcia z administratorem umowy cywilnoprawnej. Stosowana przez Spółkę procedura wykupu dodatkowych usług rażąco narusza równość osoby posiadającej jedynie podstawowy profil w stosunku do osoby, która dążąc do wyrównania szans na rynku zostaje pośrednio zmuszona do wykupienia płatnego konta. Dalej skarżący wskazał, iż pomimo, że dane udostępniane na stronie internetowej dotyczą wyłącznie jego życia zawodowego, to w żaden sposób nie oznacza, że jest on pozbawiony ochrony. Zgodnie bowiem z treścią 41 Konstytucji RP każdy ma prawo do ochrony prawnej życia prywatnego, rodzinnego, czci oraz dobrego imienia. Imię i nazwisko stanowią dobra osobiste same w sobie, i nie można ich bezprawnie używać w celu pozycjonowania konkurencji na rynku świadczonych przez lekarzy usług. Skarżący podniósł nadto, iż GIODO w żaden sposób nie wyjaśnił, jakie prawnie usprawiedliwione cele realizuje Spółka, czy przetwarzanie danych skarżącego jest niezbędne do wypełnienia prawnie usprawiedliwionych celów realizowanych przez Spółkę, a także czy ww. dane osobowe są przetwarzane w rejestrze w charakterze stricte komercyjnym. Organ nie uzasadnił należycie, dlaczego w jego ocenie działalność Spółki nie narusza praw i wolności skarżącego, czy dla przetwarzania danych osobowych w sposób jaki czyni to Spółka nie jest konieczne uzyskanie zgody skarżącego, a także, czy dla zapewnienia ochrony swoich danych osobowych skarżący jest zobligowany spełnić dodatkowe, pozaustawowe obowiązki w postaci zawarcia ze Spółką stosownej umowy cywilnoprawnej. Zmiana, uzupełnienie lub poprawienie danych osobowych może bowiem odbywać się dopiero po zawarciu ze Spółką umowy, co ogranicza możliwość skutecznego skorzystania z uprawnień zawartych w ustawie, a mających na celu przywrócenie danych zamieszczonych na portalu do stanu zgodnego z prawem. W odpowiedzi na skargę GIODO wniósł o oddalenie skargi podtrzymując dotychczasowe stanowisko w sprawie. Wojewódzki Sąd Administracyjny w Warszawie zważył co następuje: Zgodnie z art. 1 § 1 i § 2 ustawy z dnia 25 lipca 2002 r. - Prawo o ustroju sądów administracyjnych (Dz. U. z 2017 r., poz. 2188), dalej: "p.u.s.a." oraz art. 3 § 1 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2017 r., poz. 1369 ze zm.), dalej: "p.p.s.a.", sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej. W myśl art. 134 § 1 i 2 p.p.s.a. sąd rozstrzyga w granicach danej sprawy nie będąc związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną, z zastrzeżeniem art. 57a, przy czym sąd nie może wydać orzeczenia na niekorzyść skarżącego, chyba że stwierdzi naruszenie prawa skutkujące stwierdzeniem nieważności zaskarżonego aktu lub czynności. Skarga oceniana w świetle powyższych kryteriów zasługuje na uwzględnienie, bowiem Generalny Inspektor wydając zaskarżoną decyzję, utrzymującą w mocy własną decyzję z dnia [...] listopada 2016 r., dopuścił się naruszenia przepisów postępowania administracyjnego, tj. art. 7 k.p.a., art. 77 § 1 k.p.a., art. 80 k.p.a., a także art. 107 § 3 k.p.a., w stopniu mogącym mieć istotny wpływ na wynik sprawy. Ponadto, wobec naruszenia ww. przepisów k.p.a., naruszony został także art. 23 ust. 1 pkt 5 u.o.d.o., albowiem wobec nieprawidłowo przeprowadzonego postępowania nie zostało wykazane przez organ spełnienie przesłanki określonej w ww. przepisie, jako podstawy przetwarzania danych osobowych skarżącego. Zarzuty skargi Sąd uznał zatem za uzasadnione. Zgodnie z art. 12 pkt 2 u.o.d.o. do zadań Generalnego Inspektora należy w szczególności wydawanie decyzji administracyjnych i rozpatrywanie skarg w sprawach wykonania przepisów o ochronie danych osobowych. Wykonując to zadanie GIODO - w świetle przepisów powołanej ustawy - obowiązany jest dokonać oceny zgodności z prawem przetwarzania danych osobowych wnoszącego skargę. Rolą organu powołanego do spraw ochrony danych osobowych jest zatem - w każdej indywidualnej sprawie - ustalenie, czy dane osobowe konkretnego skarżącego przetwarzane są zgodnie z prawem. Ocena w tym zakresie determinuje rodzaj rozstrzygnięcia organu. Jak stanowi art. 7 pkt 2 u.o.d.o. przez przetwarzanie danych rozumie się m.in. ich zbieranie, utrwalanie, opracowywanie, udostępnianie. Badanie, czy dane osobowe przetwarzane są zgodnie z prawem, powinno opierać się w pierwszej kolejności na stwierdzeniu przez GIODO - w oparciu o poczynione uprzednio i niebudzące wątpliwości ustalenia faktyczne - czy w danej, indywidualnej sprawie spełniona została jedna z przesłanek określonych w art. 23 ust. 1 pkt 1-5 u.o.d.o. W postępowaniu zakończonym zaskarżoną decyzją GIODO - za podstawę przetwarzania przez Spółkę [...] Sp. z o.o. z siedzibą w [...] danych osobowych L.M. w zakresie jego imienia, nazwiska, miejsca pracy oraz informacji dotyczących życia zawodowego (wykonywania zawodu lekarza - [...]) - uznał przepis art. 23 ust. 1 pkt 5 u.o.d.o., zgodnie z którym przetwarzanie danych osobowych jest dopuszczalne tylko wtedy, gdy jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą. Z treści ww. przepisu jednoznacznie wynika, że udostępnienie danych osobowych uzależnione jest od spełnienia łącznie dwóch przesłanek. Pierwszą z nich jest uzasadnienie potrzeby przetwarzania danych niezbędnością dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, zaś drugą przesłankę stanowi okoliczność, aby przetwarzanie danych nie naruszało praw i wolności osoby, której dane dotyczą. Zauważyć przy tym należy, że stosownie do art. 23 ust. 4 u.o.d.o. za prawnie usprawiedliwiony cel, o którym mowa w ust. 1 pkt 5, uważa się w szczególności: (1) marketing bezpośredni własnych produktów lub usług administratora danych; (2) dochodzenie roszczeń z tytułu prowadzonej działalności gospodarczej. Zgodnie z art. 6 ust. 1 u.o.d.o. za dane osobowe uważa się wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej. Osobą możliwą do zidentyfikowania jest osoba, której tożsamość można określić bezpośrednio lub pośrednio, w szczególności przez powołanie się na numer identyfikacyjny albo jeden lub kilka specyficznych czynników określających jej cechy fizyczne, fizjologiczne, umysłowe, ekonomiczne, kulturowe lub społeczne (art. 6 ust. 2 u.o.d.o.). W doktrynie prezentowany jest pogląd, że użycie zwrotu "wszelkie informacje" służy podkreśleniu, że w grę wchodzą informacje odnoszące się do każdego aspektu osoby, jej stosunków osobistych i rzeczowych, jej życia zawodowego, prywatnego, wykształcenia, wiedzy czy cech charakteru. Nie ma znaczenia, w jakiej roli występuje w danym przypadku osoba (np. członka rodziny, członka grupy zawodowej czy przedsiębiorcy). Danymi osobowymi są zarówno informacje już rozpowszechnione lub opublikowane (zamieszczone w publikowanych materiałach), jak i w ogóle jeszcze nieujawnione. Charakter danych osobowych mają informacje "z różnych dziedzin życia", o ile tylko istnieje możliwość powiązania ich z oznaczoną osobą; mogą to być informacje o charakterze obiektywnym lub subiektywnym, wymiernym lub ocennym, o okolicznościach dawnych, obecnych lub przyszłych, trwałych lub przemijających (v. J. Barta, "Ochrona danych osobowych. Komentarz", wyd. VI, publ. LEX 2015). Charakter danych osobowych mają informacje dotyczące przygotowania zawodowego i przebiegu pracy danej osoby, a także opinie na temat danej osoby. W świetle powyższego stwierdzić należy, że wszelkie przetwarzane przez Spółkę informacje dotyczące L.M., w tym dotyczące jego życia zawodowego, stanowią dane osobowe. Co istotne, zgodnie z art. 1 ust. 1 u.o.d.o., każdy ma prawo do ochrony dotyczących go danych osobowych. Stosownie zaś do art. 1 ust. 2 u.o.d.o., przetwarzanie danych osobowych może mieć miejsce ze względu na dobro publiczne, dobro osoby, której dane dotyczą, lub dobro osób trzecich w zakresie i trybie określonym ustawą. GIODO uzasadniając zgodność z prawem przetwarzania przez Spółkę danych osobowych skarżącego na podstawie art. 23 ust. 1 pkt 5 u.o.d.o. powołał się na przedmiot działalności gospodarczej Spółki (organ wskazał, że jest to m.in. działalność portali internetowych, przetwarzanie danych, zarządzanie stronami internetowymi i podobna działalność) i stwierdził, że cel przetwarzania danych -publikowanie danych osobowych skarżącego w internecie - jest usprawiedliwiony tą właśnie działalnością Spółki. GIODO uznał jednocześnie, że przetwarzanie danych skarżącego nie narusza jego praw i wolności, bowiem dotyczy życia zawodowego. Nadto stwierdził, że świadczona przez lekarza praca, w szczególności sposób jej wykonywania i uzyskane efekty (organ nie sprecyzował jak należy rozumieć sformułowanie "uzyskane efekty"), podlegają społecznej kontroli. Przedstawiając powyższe stanowisko i uznając jednocześnie, że nie ma podstaw do uwzględnienia wniosku skarżącego, organ powołany do spraw ochrony danych osobowych nie ustalił jednak i nie dokonał rozważenia wszystkich okoliczności faktycznych niezbędnych do podjęcia rozstrzygnięcia w sprawie do czego był zobowiązany w oparciu o art. 7 oraz art. 77 § 1 i art. 80 k.p.a. Mianowicie organ nie zbadał, czy zbiór, w którym przetwarzane są dane osobowe skarżącego (w tym dane dotyczące jego życia zawodowego), wykorzystywany jest w celu komercyjnym, a tym samym, czy w tym celu wykorzystywane są jego dane osobowe. Ma to o tyle istotne znaczenie, że skarżący, jak wynika z akt postępowania administracyjnego, twierdzi, że nigdy nie zawierał ze spółką [...] Sp. z o.o. żadnych umów o świadczenie na jego rzecz usług i nie wyrażał zgody na przetwarzanie jego danych osobowych przez Spółkę. Organ nie rozważył także, czy przetwarzanie danych osobowych skarżącego jest "niezbędne" dla realizacji prawnie usprawiedliwionych celów Spółki w rozumieniu art. 23 ust. 1 pkt 5 u.o.d.o., pomimo braku na to zgody skarżącego. Organ stwierdził jedynie, że opublikowanie przez Spółkę danych osobowych skarżącego, jako "zgodne z przedmiotem działalności gospodarczej Spółki", znajduje swe oparcie w ww. przesłance legalizującej przetwarzanie danych. Jednak "zgodność" z przedmiotem prowadzonej przez dany podmiot działalności gospodarczej nie jest tożsama z "niezbędnością" przetwarzania danych osobowych w rozumieniu ww. przepisu. Z akt sprawy nie wynika również aby organ zweryfikował informację - przekazaną przez Spółkę w wyjaśnieniach z dnia [...] stycznia 2016 r., że dane osobowe skarżącego zostały dodane na portalu [...] przez anonimowego użytkownika. Organ nie odniósł się również do twierdzeń skarżącego podnoszonych w toku postępowania administracyjnego, a następnie w skardze do Sądu, że serwis [...] ma charakter stricte komercyjny, a dodatkowo wykorzystuje mechanizm reklamy kontekstowej. Skarżący podnosił, że Spółka przetwarza jego dane osobowe w celach marketingowych. Wykorzystując wizerunki lekarzy Spółka prowadzi działalność reklamową mającą na celu wyłącznie zwiększenie swoich zysków. Promowani są bowiem lekarze, którzy wykupili abonament, m.in. poprzez kontekstowe wyświetlanie ich profili, a także wykorzystywanie pozycjonowania stron, które znacząco ogranicza dostęp do informacji znajdujących się na innych stronach internetowych. Akcentował te kwestie również pełnomocnik skarżącego obecny na rozprawie w dniu 29 stycznia 2019 r. wskazując, że wizerunek skarżącego, poprzez umieszczenie w serwisie [...] jego danych osobowych, jest wykorzystywany do promowania innych lekarzy, którzy zawarli stosowną umowę cywilnoprawną ze Spółką i uiścili opłatę abonamentową. Organ nie rozważył podnoszonych przez stronę kwestii na gruncie całokształtu zapisów "Regulaminu świadczenia usług drogą elektroniczną przez [...]", czym naruszył ww. przepisy postępowania administracyjnego. Tymczasem z zamieszczonego na stronie internetowej [...] i włączonego do akt sprawy "Regulaminu świadczenia usług drogą elektroniczną przez [...]". wynika, że zawarcie umowy o świadczenie usług następuje poprzez rejestrację w serwisie bezpośrednio lub za pomocą serwisu Facebook (§ 7 ust. 1). Rejestracja profesjonalisty (lekarza), oprócz danych wymaganych od użytkownika, wymaga podania m.in. numeru PESEL (§ 7 ust. 10). Stosownie do § 7 ust. 13 Regulaminu przetwarzanie danych osobowych użytkownika i profesjonalisty zawartych w formularzu rejestracyjnym oraz danych udostępnionych w utworzonym przez niego profilu odbywa się za jego zgodą wyrażoną przy rejestracji w Serwisie. Profesjonalista, czyli lekarz, aby utworzyć swój profil lub potwierdzić informacje już w nim zawarte, musi dokonać rejestracji w Serwisie (§ 5 ust. 5). Na profilu zweryfikowanym profesjonalista (lekarz) otrzymuje dodatkowe uprawnienia, w szczególności może odpowiadać na opinie wystawione przez użytkowników (§ 5 ust. 7). Umowa o świadczenie usług zostaje zawarta na czas nieoznaczony (§ 7 ust. 4). Z przedstawionych wyżej zapisów Regulaminu wynika, że dane osobowe przetwarzane są na podstawie art. 23 ust. 1 pkt 3 i art. 23 ust. 1 pkt 1 u.o.d.o. (na podstawie umowy i za zgodą m.in. lekarza), oczywiście po zarejestrowaniu w serwisie Spółki. Skoro skarżący podnosił w toku postępowania przed GIODO, że nie zawierał umowy ze spółką [...] Sp. z o.o. i nie chce świadczyć usług medycznych za pośrednictwem tej Spółki, rozważenia przez GIODO wymagało, czy przetwarzanie danych osobowych skarżącego jest "niezbędne" dla realizacji prawnie usprawiedliwionego celu oraz jaki - w przedstawionych okolicznościach faktycznych - "prawnie usprawiedliwiony cel" uzasadnia przetwarzanie jego danych osobowych przez Spółkę. Fakt, że podmiot gospodarczy w przedmiocie działalności ujął "działalność portali internetowych", czy "przetwarzanie danych osobowych" nie może być traktowane jako automatyczna przesłanka legalizująca przetwarzanie danych osobowych skarżącego. Przedmiot działalności określa tylko dopuszczalny rodzaj prowadzonej działalności gospodarczej. Nie stanowi zaś sam w sobie na gruncie u.o.d.o. podstawy do przetwarzania (zbierania) oraz posługiwania się danymi osobowymi skarżącego (udostępniania ich, w tym publikowania w internecie) i nie wypełnia sam przez się przesłanki z art. 23 ust. 1 pkt 5 u.o.d.o. Pogląd zaprezentowany przez GIODO w tym zakresie w uzasadnieniu wydanych w sprawie decyzji przeczy idei ochrony danych osobowych. Zasadnie w tych okolicznościach skarżący zarzucił, iż organ nie podjął wszelkich czynności niezbędnych do dokładnego wyjaśnienia stanu faktycznego sprawy. Podkreślić należy, że na konieczność wyważenia przeciwstawnych interesów, gdy mowa o przesłance prawnie usprawiedliwionego celu administratora danych, wielokrotnie w swoim orzecznictwie wskazywał Trybunał Sprawiedliwości (por. wyrok Trybunału Sprawiedliwości z dnia 13 maja 2014 r. C-131/12 pkt 74). Kwestia wyważenia interesów stron (skarżącego i spółki [...] Sp. z o.o.) nie może być dokonana bez uwzględnienia zapisów ww. Regulaminu. Zgodnie z § 8 ust. 2 Regulaminu, usługodawca (spółka [...] Sp. z o.o.) nie ponosi odpowiedzialności za treść i formę materiałów i informacji zamieszczonych w serwisie przez użytkownika lub profesjonalistę. Użytkownik lub profesjonalista ponosi pełną odpowiedzialność za szkodę wywołaną jego działaniami w serwisie, w szczególności podaniem nieprawdziwych danych, ujawnieniem tajemnicy zawodowej, innej informacji poufnej lub tajemnicy przedsiębiorstwa, naruszeniem dóbr osobistych (...) (§ 8 ust. 3 regulaminu). W § 8 ust. 4 Regulaminu, usługodawca zastrzegł zaś, że korzystanie z serwisu i udostępnianych przez niego usług odbywa się na wyłączne ryzyko użytkownika lub profesjonalisty (lekarza), a wszelkie zamieszczone w nim informacje nie są objęte gwarancją co do ich wartości, przydatności, zupełności, kompletności czy użyteczności. GIODO nie dokonał w niniejszej sprawie żadnych rozważań w świetle zapisów Regulaminu dotyczących sposobu przetwarzania danych osobowych skarżącego w zakresie istnienia prawnie usprawiedliwionego celu. Stanowi to naruszenie art. 7, art. 77 § 1 i art. 80 k.p.a., a także art. 107 § 3 k.p.a., albowiem uzasadnienie decyzji nie zawiera wskazania faktów, które organ uznał za udowodnione i dowodów, na których się oparł wydając rozstrzygnięcie w sprawie GIODO nie rozważył również na gruncie niniejszej sprawy czy spełniona została druga z przesłanek wymienionych w art. 23 ust. 1 pkt 5 u.o.d.o., tj. czy przetwarzanie danych przez Spółkę nie narusza praw i wolności skarżącego. Organ stwierdził jedynie, że dane osobowe skarżącego udostępniane na stronie internetowej "dotyczą wyłącznie życia zawodowego" skarżącego i z tego względu "nie sposób uznać", że doszło do naruszenia jego prawa do ochrony życia prywatnego, rodzinnego czy też prawa do decydowania o swoim życiu osobistym. Stwierdzenie organu w ww. zakresie nie zostało poparte żadną analizą, a tym samym nosi cechy dowolności. Ponadto okoliczność, że dane udostępniane na stronie internetowej dotyczą wyłącznie życia zawodowego skarżącego, nie oznacza, że skarżący pozbawiony jest ochrony. Przepis art. 30 Konstytucji Rzeczypospolitej Polskiej stanowi, że przyrodzona i niezbywalna godność człowieka stanowi źródło wolności i praw człowieka i obywatela. Jest ona nienaruszalna, a jej poszanowanie i ochrona jest obowiązkiem władz publicznych. Przepis art. 47 Konstytucji RP zapewnia każdemu prawo do ochrony prawnej życia prywatnego, rodzinnego, czci, a także dobrego imienia. Zgodnie z art. 1 ust. 1 u.o.d.o., jak wskazano już powyżej, każdy ma prawo do ochrony dotyczących go danych osobowych. Kwestia ochrony danych osobowych skarżącego wymaga rozważenia zwłaszcza w kontekście podnoszonego zarzutu stosowania przez Spółkę tzw. mechanizmu reklamy kontekstowej oraz związanego z tym wykorzystywania danych osobowych skarżącego do promowania innych lekarzy, którzy zawarli odpłatną umowę cywilnoprawną ze Spółką. Do tego zarzutu organ w ogóle nie ustosunkował się ani w uzasadnieniu zaskarżonej decyzji, ani poprzedzającej ją decyzji z dnia [...] listopada 2016 r., pomimo że skarżący podnosił argumentację z tym związaną już we wniosku z dnia [...] listopada 2015 r. Warto w tym miejscu zaznaczyć, że regulowanym przez prawo rejestrem lekarzy, którzy uzyskali prawo wykonywania zawodu jest rejestr prowadzony przez właściwą okręgową radę lekarską. Zgodnie bowiem z art. 8 ust. 1 ustawy o zawodach lekarza i lekarza dentysty, lekarz, który uzyskał prawo wykonywania zawodu albo ograniczone prawo wykonywania zawodu, podlega wpisowi do rejestru prowadzonego przez właściwą okręgową radę lekarską. W orzecznictwie sądów administracyjnych wielokrotnie wyrażony został pogląd, że tylko ww. rejestr pełni zarówno funkcję informacyjną, jak też ochronną (por. wyroki WSA w Warszawie: z dnia 29 stycznia 2014 r., sygn. akt II SA/Wa 1819/13; z dnia 2 sierpnia 2018 r. sygn. akt II SA/Wa 1997/17; publ. CBOSA). Konkludując Sąd stwierdza, że zaskarżona oraz poprzedzająca ją decyzja GIODO z dnia [...] listopada 2016 r. zostały wydane z istotnym naruszeniem powołanych wyżej przepisów postępowania administracyjnego, co skutkowało ich eliminacją z obrotu prawnego. Organ bowiem nie poczynił pełnych ustaleń faktycznych niezbędnych do podjęcia rozstrzygnięcia w sprawie, nie rozpatrzył w sposób należyty zgromadzonego w sprawie materiału dowodowego, a w konsekwencji nie rozważył w sposób wyczerpujący, czy w okolicznościach niniejszej sprawy spełnione zostały przesłanki wymienione w art. 23 ust. 1 pkt 5 u.o.d.o. Organ nie zbadał zatem, czy w sprawie zachodzi przesłanka legalizująca z art. 23 ust. 1 pkt 5 u.o.d.o., a w rezultacie czy dla przetwarzania danych osobowych nie jest konieczne uzyskanie zgody skarżącego. Ponownie rozpatrując sprawę GIODO dokona pełnych i niebudzących wątpliwości ustaleń stanu faktycznego w zakresie przetwarzania danych osobowych skarżącego przez spółkę Znany Lekarz Sp. z o.o. stosownie do art. 7, art. 77 § 1 i art. 80 k.p.a. Rozpatrując zebrany materiał dowodowy organ dokona ponownej oceny zgodności z prawem przetwarzania danych osobowych skarżącego przez Spółkę, z uwzględnieniem rozważań poczynionych przez Sąd oraz przy uwzględnieniu treści znajdującego się w aktach sprawy Regulaminu świadczenia usług drogą elektroniczną przez Spółkę. Oceniając wszechstronnie zgromadzony materiał dowodowy, GIODO powoła w uzasadnieniu decyzji fakty, które uznał za udowodnione i dowody, na których się oparł, wskaże przyczyny, z powodu których innym dowodom odmówił wiarygodności i mocy dowodowej. Zważy przy tym, że decyzja nie może pozostawiać wątpliwości co do zasadności przesłanek, którymi organ kierował się załatwiając sprawę w określony sposób (art. 107 § 3 w zw. z art. 11 k.p.a.). Mając na względzie powyższe, Wojewódzki Sąd Administracyjny w Warszawie na podstawie art. 145 § 1 pkt 1 lit. c i a p.p.s.a. orzekł, jak w punkcie 2 sentencji. O kosztach postępowania obejmujących wpis od skargi oraz wynagrodzenie pełnomocnika strony skarżącej odpowiadające stawce minimalnej wraz z opłatą skarbową od pełnomocnictwa, Sąd postanowił w oparciu o art. 200 w zw. z art. 205 § 2 p.p.s.a. - jak w punkcie 2 sentencji.