II SA/Wa 1216/24

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Łukasz Krzycki (spr.), Sędzia WSA Izabela Głowacka-Klimas, Sędzia WSA Andrzej Wieczorek, , Protokolant referent Joanna Mazur, po rozpoznaniu na rozprawie w dniu 25 listopada 2024 r. sprawy ze skargi M. M. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] maja 2024 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę Zaskarżoną decyzją – przywołując art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego (Dz.U. z 2023 r. poz. 775 ze zm.), zwanej dalej "K.p.a.", oraz art. 58 ust. 2 lit. b i d rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz.Urz. UE L. nr 119. str. 1, ze zm.), zwanego dalej "RODO", wobec skargi p. M. M., zwanej dalej "Wnioskodawcą", na nieprawidłowości w procesie przetwarzania danych osobowych jej oraz reprezentowanych przez nią małoletnich dzieci (M. i M. M., zwanych dalej "Dziećmi") przez p. M. M., zwanego dalej "Wskazanym", polegające na przetwarzaniu ich danych osobowych na stronach portalu społecznościowego [...] bez podstawy prawnej oraz nie zrealizowaniu żądania usunięcia danych osobowych: - udzielono Wskazanemu, upomnienia za naruszenie art. 5 ust. 1 lit. a w zw. z art. 6 ust. 1 RODO, polegające na udostępnieniu bez podstawy prawnej danych osobowych Wnioskodawcy oraz Dzieci na stronach portalu społecznościowego [...] (w pkt 1), - nakazano Wskazanemu, usunięcie imion Dzieci oraz zdjęć, zawierających ich wizerunek ze strony internetowej [...] (pkt 2), - w pozostałym zakresie odmówiono uwzględnienia wniosku (pkt 3). W uzasadnieniu decyzji przywołano następujące okoliczności faktyczne i prawne uwarunkowania sprawy: - w skardze Wnioskodawca podniósł, że Wskazany prowadzi na portalu [...] bloga o nazwie "[...] M. i M.", zwany dalej "blog [...]"; publikuje tam obszerne fragmenty prywatnej opinii psychologicznej na temat Dzieci oraz przedstawia Wnioskodawcę negatywnie jako ich matkę; na blogu opublikowano posty, zawierające pierwsze i drugie imię oraz nazwisko rodowe oraz obecne Wnioskodawcy; blog ten jest połączony - zawiera linki do strony [...]; udostępniono tam imię i nazwisko Wnioskodawcy, imiona Dzieci oraz zdjęcia, zawierające ich wizerunek; Wskazany rozpowszechnia posty z powołanego bloga na ponad 30 stronach internetowych; Wnioskodawca wskazał, że bezskutecznie zwracał się do Wskazanego - pismem z [...] czerwca 2018 r. - o usunięcie danych jego oraz Dzieci a także zdjęć Dzieci ze stron - z powołaniem na postanowienie Sądu Okręgowego w [...], z [...] kwietnia 2018 r. (sygn. akt [...]); pismo to doręczono Wskazanemu [...] lipca 2018 r.; w związku z tym wniesiono o nakazanie Wskazanemu usunięcie danych osobowych Wnioskodawcy oraz Dzieci a także zdjęć dzieci ze wskazanych stron internetowych; w skierowanym do organu piśmie z [...] stycznia 2019 r. Wnioskodawca wskazał linki do stron, na których upubliczniono dane osobowe jego oraz dzieci – wymieniono 12 adresów, - wobec skargi Wnioskodawcy ustalono następujący stan faktyczny: - Wskazany prowadzi na stronie internetowej - pod adresem [...] - ogólnodostępny blog [...]; zamieścił tam imię i nazwisko Wnioskodawcy, w tym również panieńskie, imiona Dzieci oraz zdjęcia, zawierające wizerunek Wnioskodawcy oraz Dzieci (tak: pismo Wnioskodawcy do organu z [...] stycznia 2019 r. wraz z załącznikami), - Wskazany na stronie internetowej - pod adresem [...] - zamieścił imiona Dzieci oraz zdjęcia zawierające ich wizerunek; dane te są nadal udostępnione na tej stronie (tak: pismo Wnioskodawcy do organu z [...] stycznia 2019 r. UODO wraz z załącznikami oraz strona [...], - Wnioskodawca - pismem z dnia [...] czerwca 2018 r., skierowanym do Wskazanego - zwrócił się o usunięcie danych Dzieci zawartych na portalu [...]: "(...) Na Twoim blogu na [...] >[...]< nadal są zamieszczone obszerne fragmenty prywatnej opinii psychologicznej, dotyczącej naszych dzieci, żądam ich usunięcia (...). Jednocześnie na tej samej stronie na [...] >[...]< nadal jest link do zdjęć dzieci na stronie [...]. żądam natychmiastowego usunięcia tego linku ze względu na ochronę wizerunku dzieci (...). Na Twojej bardzo popularnej stronie na [...] >M. M.< publikujesz zdjęcia dzieci, podobnie jak na Twojej stronie na [...] >[...]<. Jednocześnie na tych stronach jest informacja, że zarządzasz stroną na [...] >[...]<, co stanowi powiązanie zdjęć naszych dzieci z treściami na blogu na [...] >[...]< i jest niezgodne z postanowieniem Sądu Okręgowego z [...].04.2018. Na stronie na [...] >[...]< jest film z wywiadem i zdjęciami M. oraz link do bloga na [...] >[...]<. To również stanowi naruszenie postanowienia Sądu Okręgowego z [...].04.2018. Żądam natychmiastowego usunięcia wszelkich powiązań Twoich licznych stron internetowych z blogiem na [...] >[...]<, w przypadku gdy dzięki tym powiązaniom możliwa jest identyfikacja naszych dzieci" (tak pismo Wnioskodawcy z [...] czerwca 2018 r. wraz dowodem nadania przesyłki poleconej), - Sąd Okręgowy w [...] w sprawie z powództwa Wnioskodawcy o rozwód - postanowieniem z [...] kwietnia 2018 r. (sygn. akt [...]) w przedmiocie wniosku o zabezpieczenie - udzielił go; zakazał pozwanemu (Wskazanemu) wykorzystywania w środkach masowego przekazu wizerunku Dzieci oraz ich danych osobowych, pozwalających na identyfikację - w związku z prowadzoną przez niego działalnością publiczną, dotyczącą ochrony praw alienowanych rodziców - jak również angażowania Dzieci w tą działalność na forum publicznym; nadto nakazał podjęcie działań w celu usunięcia dotychczas umieszczonego wizerunku Dzieci oraz danych osobowych, pozwalających na ich identyfikację w środkach masowego przekazu - w związku z opisaną wyżej działalnością (tak: postanowienie o sygn. akt [...]), - zgodnie z oświadczeniem Wskazanego w całości wykonał on "zobowiązanie Sądu, usuwając dane osobowe dzieci pozwalające na ich identyfikację w środkach masowego przekazu (...)" (tak: pismo Wskazanego do organu z [...] kwietnia 2021 r.), - opisano, które z wymienionych przez Wnioskodawcę 12 stron nie są obecnie dostępne, gdzie nie ma danych jego i Dzieci oraz stwierdzono, że - na stronie internetowej [...] - nadal figuruje zdjęcie, zawierające wizerunek Dzieci i Wskazanego; przy tym oczy Dzieci są zamaskowane (zamazane) czarnym paskiem i zdjęcie jest nieostre, - organ prowadzi postępowanie w celu ustalenie, czy w sprawie doszło do naruszenia przepisów o ochronie danych osobowych, zaś - w razie stwierdzenia takiego naruszenia - korzysta z uprawnień naprawczych, o których mowa w art. 58 ust. 2 RODO, - Wnioskodawca kwestionował udostępnienie przez Wskazanego swoich danych jego Dzieci w zakresie: imion, nazwisk i wizerunków na portalu społecznościowym [...] podmiotom nieupoważnionym - poprzez ich publikację na portalu oraz odmowę usunięcia (mimo żądania), - zgodnie z art. 2 ust. 2 lit. c RODO, akt ten nie ma zastosowania do przetwarzania danych osobowych przez osobę fizyczną - w ramach czynności o czysto osobistym lub domowym charakterze; z zebranego w sprawie materiału dowodowego wynika, że Wskazany udostępnił na portalu [...] dane osobowe Wnioskodawcy oraz Dzieci; wskutek tego dostęp do wskazanych danych uzyskali inni użytkownicy portalu społecznościowego [...]; tym samym działania Wskazanego nie można już uznać za przetwarzanie danych o charakterze czysto osobistym; podlega zatem ocenie - pod kątem legalności - na gruncie przepisów RODO, - dla legalności kwestionowanego udostępnienia przez Wskazanego danych osobowych Wnioskodawcy oraz Dzieci konieczne było spełnienie przezeń którejkolwiek z przesłanek, określonych art. 6 ust. 1 RODO; zgodnie z art. 6 ust. 1 RODO, przetwarzanie danych dopuszczono tylko w razie spełnienia jednej z wskazanych w tym przepisie przesłanek; ich katalog jest zamknięty zaś każda z przesłanek legalizujących proces przetwarzania danych osobowych ma charakter autonomiczny i niezależny; oznacza to, że przesłanki te są - co do zasady – równoprawne; wobec tego spełnienie co najmniej jednej z nich stanowi o zgodnym z prawem przetwarzaniu danych osobowych; w konsekwencji zgoda osoby, której dane dotyczą, nie jest jedyną podstawą przetwarzania danych osobowych; proces ich przetwarzania będzie bowiem zgodny z RODO również, gdy administrator danych wykaże spełnienie innej z wymienionych przesłanek; niezależnie od zgody osoby, której dane dotyczą (art. 6 ust. 1 lit. a RODO), przetwarzanie danych osobowych dopuszczono m.in., gdy jest niezbędne do celów, wynikających z prawnie uzasadnionych - realizowanych przez administratora - interesów lub przez stronę trzecią – z wyjątkiem sytuacji, gdy nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dotyczą dane, jest dzieckiem (art. 6 ust. 1 lit. f RODO), - jednocześnie - zgodnie z art. 5 ust. 1 lit. a RODO - dane osobowe należy przetwarzać zgodnie z prawem, rzetelnie i przejrzyście dla osoby, której dotyczą ("zgodność z prawem, rzetelność i przejrzystość"), - Wskazany nie legitymował się żadną z przesłanek z art. 6 ust. 1 RODO - uprawniającą do kwestionowanego skargą przetwarzania danych osobowych Wnioskodawcy i Dzieci na wskazanych stronach internetowych - na portalu społecznościowym [...]; Wnioskodawca nie wyraził zgody na przedmiotowe udostępnienie (art. 6 ust. 1 lit. a RODO); nie można również uznać działania Wskazanego za mające oparcie w art. 6 ust. 1 lit. f RODO; nie było to bowiem niezbędne do celów, wynikających z jego prawnie uzasadnionych interesów - skorzystania z prawa do wolności wypowiedzi i informacji na temat swojej sytuacji, jako ojca dzieci; nadrzędny charakter nad tym prawem mają niewątpliwie podstawowe prawa i wolności osób, których dane dotyczą - wymagające ochrony; zwłaszcza, że udostępniono dane osobowe dzieci; osoby te - z uwagi na przedstawiane przez Wskazanego szczegóły z ich życia prywatnego - mają prawo pozostać anonimowe; Wskazany mógł, co do zasady, poinformować o problemach, z jakimi mogą się spotykać alienowani rodzice; niemniej opublikowane przezeń komentarze i materiały zachowałyby swój przekaz oraz intencję bez wskazania w nim danych Wnioskodawcy oraz Dzieci – zwłaszcza ich wizerunku; co wskazano w motywie 38 RODO, szczególnej ochrony danych osobowych wymagają dzieci; mogą być one bowiem mniej świadome ryzyka, konsekwencji, zabezpieczeń i przysługujących im praw - w związku z przetwarzaniem danych osobowych; zatem jeśli nawet Wskazanemu przysługuje władza rodzicielska nad Dziećmi w równym stopniu co Wnioskodawcy i - korzystając z tego uprawnienia - podjął decyzję o upublicznieniu danych dzieci na portalu [...], nie budzi wątpliwości, że wykorzystanie danych małoletnich dzieci dla realizacji jego interesów - polegających na kreowaniu się tam, jako pokrzywdzony ojciec - odbyło się z naruszeniem praw i wolności dzieci; nie było bowiem do tego celu niezbędne; z oczywistych względów nie wystąpiły w sprawie również pozostałe przesłanki, wskazane w art. 6 ust. 1 RODO; kwestionowane przetwarzanie nie było niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej (art. 6 ust. 1 lit d RODO), przetwarzanie nie było też niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania powierzonej administratorowi władzy publicznej (art. 6 ust. 1 lit e), ani też do wykonania umowy, której stroną jest osoba, której dane dotyczą (art. 6 ust. 1 lit. b RODO) czy też do wypełnienia ciążącego na administratorze obowiązku prawnego (art. 6 ust. 1 lit. c RODO), - w sprawie doszło tym samym do przetwarzania przez Wskazanego danych osobowych Wnioskodawcy i Dzieci z naruszeniem zasady legalności - określonej w art. 5 ust. 1 lit. a w zw. z art. 6 ust. 1 RODO - wobec braku podstaw prawnych do przetwarzania, - w niniejszej sprawie konieczne stało się w związku z tym skorzystanie przez organ z uprawnień naprawczych, o których mowa w art. 58 ust. 2 lit. b RODO - udzielenie upomnienia za naruszenie wskazanych przepisów RODO, poprzez operacje przetwarzania danych osobowych Wnioskodawcy i Dzieci, - ponieważ na stronie internetowej portalu [...] pod adresem [...] nadal są natomiast udostępnione imiona Dzieci oraz zawierające ich wizerunek zdjęcia, konieczne stało się skorzystanie przez organ z uprawnień naprawczych, o których mowa w art. 58 ust. 2 lit. d RODO - nakazanie Wskazanemu usunięcia tych danych z konkretnej strony internetowej, wobec braku podstaw prawnych do przetwarzania, - - z kolei - co wynika z materiału dowodowego sprawy - z pozostałych, wskazywanych przez Wnioskodawcę, stron internetowych portalu [...], kwestionowane dane osobowe jego oraz Dzieci usunięto; strony te są niedostępne, nie zawierają danych, względnie wizerunki Dzieci na zdjęciu zanonimizowano - poprzez zamazanie części ich twarzy (oczu) i pozbawienie zdjęcia ostrości; zabieg ten pozbawia, co do zasady, wizerunek jego cech; w tym zakresie należało odmówić uwzględnienia wniosku. W skardze zarzucono wydanie kwestionowanego aktu z naruszeniem: - art. 58 ust. 2 lit. b. RODO - w zw. z art. 1 ustawy z 20 maja 2018 r. o ochronie danych osobowych (Dz.U. z 2019 r. poz. 1781) - poprzez udzielenie podmiotowi przetwarzającemu upomnienia; środek ten nie ma tymczasem charakteru więżącego - w tym sensie, że nie zobowiązuje adresata do określonego działania lub zaniechania, - art. 58 ust. 2 lit. c RODO - w zw. z art. 1 ustawy o ochronie danych osobowych poprzez nieuwzględnienie żądania Wnioskodawcy; poprzestano jedynie na nakazie, określonym w pkt 2 decyzji; nie wyjaśniono nadto przesłanek nieuwzględnienia żądania Wnioskodawcy w zakresie usunięcia zdjęć oraz danych osobowych Dzieci oraz Wnioskodawcy ze strony internetowej na [...] pod adresem: [...], zwanym dalej "Adres [...]"; - art. 1 w zw. z art. 101 i 103 ustawy o ochronie danych osobowych, w zw. z art. 83 RODO, poprzez ich niezastosowanie. W uzasadnieniu skargi wskazano: - postępowanie przed organem trwało bardzo długo; w jego trakcie nie udzielono przy tym zabezpieczenia; ewidentnie naruszono więc prawa dziecka; wynika to z również ze stosownej konwencji; postępowanie dotyczyło w istocie dzieci oraz ich wizerunków i prawa ochrony do prywatności, - podkreślono rozważania – zawarte w uzasadnieniu zaskarżanej decyzji – z których wynika, że Wskazany permanentnie i z brakiem poszanowania prawa naruszał RODO - również wbrew nakazom sądowym, - zadaniem organu jest nie tylko strzec przestrzegania określonych w RODO zasad, ale też - gdy naruszane jest dobro dziecka - winien on reagować kategorycznie, - z art. 58 ust. 2 lit. b RODO wynika, że upomnienie jest jedną z kompetencji organu nadzorczego; jego zastosowanie odnosi się do przypadków, gdy naruszenie przepisów rozporządzenia jest niewielkie lub, jeżeli grożąca kara pieniężna stanowiłaby dla osoby fizycznej nieproporcjonalne obciążenie; organ nadzorczy nie wyjaśnił, na czym opiera swoją ocenę niewielkiego naruszenia przepisów, jak również w oparciu, o jakie przesłanki zrezygnował z nałożenia kary pieniężnej, której wysokość określa samodzielnie, - w sprawie nie może być mowy o niewielkim naruszeniu; z akt jednoznacznie wynika, że było ono permanentne, świadome i celowe; wskazano, jakie przesłanki należy mieć na względzie przy wymierzaniu kary; z uzasadnienia decyzji nie można wywieść, aby je uwzględniono; tym samym budzi zdziwienie, że poprzestano na udzieleniu upomnienia; w istocie nie jest to skuteczne wobec Wskazanego; jest to tym bardziej niezrozumiałe, że – co wykazano w materiale dowodowym - przedmiotem naruszenia było dobro dzieci, - nakaz - dotyczący dostosowania operacji przetwarzania do przepisów RODO - ma charakter ogólny i obejmuje wszystkie potencjalne przypadki niezgodności przetwarzania danych osobowych z RODO; skorzystanie z tej możliwości pozostawiono uznaniu organu nadzorczego; całkowicie pominął on spełnienie żądania osoby, której dane dotyczą - wynikającego z praw, przysługujących na mocy RODO, - organ poprzestał wyłącznie na nakazie określonym w pkt. 2 decyzji; całkowicie pominął, że w blogu - na stronie pod Adresem [...] - obok licznych postów, zawierających drastyczne, oszczercze i osobiste treści, dotyczące rodziny Wnioskodawcy, znajduje się również inne zdjęcia jego i Dzieci; organ uznał, że zasłonięcie dzieciom oczu na zdjęciu jest wystarczające, aby nie zostały one zidentyfikowane; w dobie Internetu - a w szczególności powiązań kont (zwłaszcza na [...]) - identyfikacja osoby, która ma wyłącznie zasłonięte oczy, nie stanowi żadnego problemu; zwłaszcza gdy wiadomo, kogo i czego dotyczy podana informacja; tym samym organ wykazał się rażącą nieznajomością mechanizmów działania portali społecznościach; blog [...] Wskazany celowo powiązał z kilkoma prowadzonymi przezeń kontami; umieszcza tam zdjęcia i dane osobowe Dzieci – wskazano przykładowe adresy stron, - ponieważ konta Dzieci są powiązane z tymi profilami Wskazanego na [...], automatycznie istnieje powiązanie pomiędzy nimi a stroną o Adresie [...]; w związku z tym Dzieci są z łatwością identyfikowalne dla czytelników bloga; identyfikowalne są również gdyż w blogu tym Wskazany kilkukrotnie podaje dane osobowe Wnioskodawcy i przedstawia go, jako matkę Dzieci, a siebie jako ojca; z uwagi na aktywność medialną Wskazanego, dane osobowe dzieci oraz ich wizerunek w kontekście drastycznych treści, zawartych w blogu [...], są całkowicie jawne (przedłożono wydruki stron internetowych na potwierdzenie tej tezy, - wobec braku zrozumienia przez organ mechanizmów działania portali społecznościach, decyzja jest całkowicie nieskuteczna; zasadnym byłoby nakazanie Wskazanemu, aby - w oznaczonym terminie - usunął zdjęcia i dane osobowe Wnioskodawcy oraz Dzieci ze strony [...], gdyby zaś tego nie zrobił - nakaz odnosiłby się automatycznie do administratora danych, - dalej wskazano, jakie są - wynikające z RODO - reguły wymierzania przez organ kar pieniężnych; wywodzono, dlaczego środek ten należało w przedmiotowej sprawie zastosować. W odpowiedzi na skargę organ wniósł o jej oddalenie, podtrzymując dotychczasową argumentację. W trakcie rozprawy (k. 75) Wnioskodawca podniósł, że Wskazany może tworzyć kolejne strony zwierające dane osobowe jego lub Dzieci i wiązać je ze stroną [...]. Ze stronami Wskazanego powiązane są konta Dzieci. Możliwa będzie więc identyfikacja ich danych. Przedłożył do akt sprawy aktualne wydruki ze stron, będących – jego zdaniem - przedmiotem postępowania. Podniósł, że na stronie [...] nadal widnieją jego dane osobowe. W istocie realizacje jego wniosku, stanowiłoby usuniecie całego blogu. Znajdują się tam bowiem informacje, dotyczące rodziny a jest ona identyfikowalna. Alternatywą byłoby usunięcie wszelkich informacji, dotyczących sytuacji rodziny Wnioskodawcy, co stanowi 90% treści bloga. Sąd zważył, co następuje. Skarga nie zasługuje na uwzględnienie, gdyż zaskarżona decyzja nie narusza prawa. Sąd w tym składzie podziel na stanowisko prezentowane przez organ w tej sprawie - wcześniej zreferowane. W tej sytuacji jego ponowne przywoływanie byłoby bezzasadne. Sąd argumentację organu przyjmuje za własną. Odnosząc się do zarzutów skargi należy wskazać, że są one bezzasadne z następujących przyczyn. Ramy postępowania w sprawie przed wyspecjalizowanym organem, gdy prowadzona jest ono w następstwie wniesienia skargi, wyznaczają w istocie równocześnie granice kompetencji organu oraz treść zarzutów samej skargi. W tym kontekście należy mieć na uwadze, że organ tylko w ograniczonym zakresie obowiązany jest prowadzić postępowanie wyjaśniające z urzędu – w kontekście ustalania, czy w ogóle odbywa się przetwarzanie danych wnoszącego skargę, aby następnie ocenić, czy są to działania zgodne z prawem. Jest on obowiązany odnieść się jedynie do konkretnych - przywoływanych przez wnioskodawcę w skardze - domniemanych procesów przetwarzania. Gdy treść skargi jest nazbyt ogólna, organ zwraca się więc o jej doprecyzowanie, co miało zresztą także miejsce w rozpoznawanej sprawie. Otóż - wobec skargi, gdzie podnoszono nieprawidłowości przetwarzaniu danych osobowych Wnioskodawcy oraz Dzieci w związku z prowadzeniem przez Wskazanego - w sferze jego działalnością o charakterze publicznym (tu w społecznym) - bloga [...], pod ogólnym Adresem [...] - wezwano Wnioskodawcę do sprecyzowania adresów stron, gdzie w sieci Internet zamieszczone są dane osobowe reprezentowanych osób. Wnioskodawca - w piśmie z [...] stycznia 2019 r. - wskazał 12 konkretnych adresów stron, gdzie znajdowały się dane w ramach bloga [...]. Po stosownej weryfikacji przekazanej informacji wydano orzeczenie. Należy podkreślić że - działający z urzędu organ, finansowany ze środków publicznych – nie był powiązany badać w szerszym zakresie, czy dane Wnioskodawcy bądź Dzieci nie są możliwe do ustalenia – np. wobec określonych systemów powiązań między stronami. Wystarczyło stwierdzenie, że samo zamieszczone na wskazanej stronie zdjęcie nie pozwala na identyfikację osoby. Aktywność w tym zakresie musi zaś pozostawać po stronie osoby zainteresowanej podjęciem działań - w celu ochrony jej interesu przez wyspecjalizowany organ administracji. W odmiennym przypadku możliwe byłoby wręcz inicjowanie postępowań niejako z ostrożności – z żądaniem ustalenia, czy dane osobowe określonej osoby są dostępne w sieci Internet i zamieszczone tam zgodnie z przepisami prawa. Takiego szerokiego zakresu powinności działań wyspecjalizowanego organu nie sposób wywieść z przepisów RODO, statuujących bezpośrednio jego właściwość. Organ nie był więc zobowiązany ustalać wobec treści skargi, czy ewentualnie dane osobowe Wnioskodawcy bądź Dzieci są dostępne przez system powiązań stron, a więc nie jest konieczne określenie Wskazanemu szerszych - acz równocześnie konkretnych – nakazów (zakazów) zachowań. Chybiony jest zarzut - sformułowany w pkt 2 skargi - braku nakazania usunięcia danych osobowych Wnioskodawcy bądź dzieci ze strony o Adresie [...]. Nie wymieniono bowiem tego adresu, pod którym prowadzony jest ogólnie blog [...], wśród wskazanych w piśmie z [...] stycznia 2019 r., gdzie sprecyzowano zarzuty - wobec ogólnej treści skargi w której podnoszono, że - w ramach prowadzenia w sieci Internet tzw. bloga o określonym tytule - udostępniane są dane osobowe Wnioskodawcy i Dzieci, Nie było z kolei - wbrew zarzutom skargi - podstaw dla sformułowania ogólnego zakazu przetwarzania danych przez Wskazanego na przyszłość. Powinność taka stanowiłaby obowiązek, który – wobec brak stosownego skonkretyzowania - nie poddaje się egzekucji w trybie przepisów o postępowaniu egzekucyjnym w administracji. Zasadnym było natomiast zobowiązanie do usunięcia ujawnionych danych - przetwarzanych bez podstawy prawnej - z konkretnie określonej strony. Organ nie mógł też w ogóle zakazać Wskazanemu przetwarzania danych osobowych Wnioskodawcy bądź Dzieci. Stosowne ograniczenie dotyczą bowiem wyłącznie treści ujawnianych na aktualnie powszechnie dostępnych stronach - jedynie w kontekście prowadzonej przez Wskazanego działalności publicznej - co było przedmiotem weryfikacji przez organ w tej sprawie. Nie mógł on także sformułować wobec Wskazanego zakazów o charakterze abstrakcyjnym na przyszłość – tak wniosek sformułowany na rozprawie. W rzeczywistości stosowne ograniczenia wynikają tu z mocy prawa. Organ - w ramach swoich kompetencji - może stosować wyłącznie środki o charakterze naprawczym bądź dyscyplinującym. Nie ma uprawnienia dla wydawania nakazów określonego zachowania (także zaniechań) na przyszłość. Zrozumiałe jest wyrażone w skardze niezadowolenie Wnioskodawcy, który podnosił, że zastosowane środki zaradcze (upomnienie i nakaz usunięcia danych), nie gwarantują zaprzestania naruszeń – np. tworzenia przez Wskazanego kolejnych stron, bądź ustanawiania określonych między nimi powiązań. W RODO nie przewidziano jednak dalej idących niejako uniwersalnych środków, których zastosowaniach mogłaby żądać sama strona. Należy jedynie odnotować, że - w razie wystąpienia ponownych analogicznych naruszeń ze strony Wskazanego i wniesienia przez Wnioskodawcę stosownej skargi do organu - przedmiotem rozważań tegoż może być - oprócz wydania określonych nakazów - także zastosowanie sankcji w postaci nałożenia administracyjnej kary pieniężnej - jako środka, który może okazać się niezbędny dla skutecznego egzekwowania prawa w danym zakresie. Wobec zarzutu niezastosowania danego instrumentu oddziaływania w przedmiotowej sprawie należy natomiast wskazać, co następuje. Wykorzystanie w określonej sprawie środka naprawczego pozostaje w gestii uznania organu. Strona, wobec której zastosowano konkretny środek, może wprawdzie kwestionować zasadność określonej sankcji - w tym wystąpienie podstaw wymierzenia kary pieniężnej bądź właściwego jej miarkowania. Dotyczy to jednak wyłącznie podmiotów ukaranych - w kontekście niewykraczania przez organ administracji poza granice uznania administracyjnego. Inaczej ma się jednak rzecz, gdy chodzi o stronę inicjującą postępowanie – osobę występującą ze skargą do organu. Zastosowanie sankcji administracyjnej w postaci wymierzenia kary służy wszak osiągnięciu skutku publicznego – skutecznego egzekwowania przestrzegania prawa w zakresie ochrony danych osobowych. Nie dotyczy zaś realizacji interesów innych stron postępowania. Ewentualne roszczenia, pozostające w związku z naruszeniem ochrony danych osobowych, realizuje się w ramach stosownych postępowań - inicjowanych przez zainteresowane osoby przed sądami powszechnymi. Co podkreśla się jednolicie w judykaturze, kontrola działań, które organy administracji mogą podejmować wyłącznie z urzędu, pozostaje poza kompetencjami sądów administracyjnych. Są one właściwe wyłącznie do oceny w sprawach indywidualnych, czy ingerencja w prawa bądź nałożenie obowiązków mieści się w granicach prawa - w tym podjęto działania, do których organ był zobligowany wobec wniosku. Skoro w sprawie nie wymierzono administracyjnej kary pieniężnej, co organ czyni wyłącznie z urzędu – nie będąc w danym zakresie związany żądaniem wnoszącego skargę - kwestia zasadności zastosowania tej sankcji musi pozostawać poza oceną Sądu (patrz tak samo prawomocny wyrok WSA o sygn. akt II SA/Wa 185/20, dostępny na stronie internetowej orzeczenia.nsa.gov.pl/cbo/query – w Centralnej Bazie Orzeczeń Sądów Administracyjnych). W konsekwencji jest poza jego oceną, czy samo udzielenie Wskazanemu upomnienia i wydanie mu nakazu usunięcia danych osobowych Dzieci jest współmierne wobec natury stwierdzonego naruszenia. Z uzasadnienia skarżonego aktu zaś wynika wprost, że organ miał na uwadze - formułując upomnienie i nakaz - okoliczność naruszenia w zakresie przetwarzania danych osobowych także wobec uprzedniego orzeczenia sądu powszechnego (sprawa o sygn. akt [...]) oraz zignorowania wezwania ze strony Wnioskodawcy. Stosując dane środki uznał, że cel - w postaci należytego przestrzegania przepisów RODO - będzie osiągnięty, gdy pozostałe dane zostaną usunięte zaś Wskazanego upomniano. Sąd podziela stanowisko organu – zawarte w odpowiedzi na skargę – zgodnie z którym korzystanie z uprawnień naprawczych jest autonomiczną decyzją organu. Skoro uznano, w kontekście realiów niniejszej sprawy, że zasadne są upomnienie i nakaz usunięcia pozostałych danych – jako wystarczający dla przywrócenia stanu zgodnego z prawem w zakresie przetwarzania danych osobowych – Sąd nie jest uprawniony do wyrażania stanowiska w tym względzie. Formułowanie ocen w kwestii stosowanej polityki wymierzania kar, jako pozostającej w domenie organu władzy wykonawczej, prowadziłoby wprost do naruszenia konstytucyjnej reguły trójpodziału władzy - tak art. 10 Konstytucji Rzeczypospolitej Polskiej z dnia 2 kwietnia 1997 r. (Dz.U. Nr 78 poz. 483 ze zm.). Ingerencja sądu administracyjnego w czynności (w tym zaniechania) organów administracji jest dopuszczalna tylko w przypadkach przewidzianych ustawą – kiedy orzeczeniem indywidualnym wkroczono w prawo i obowiązki określonych podmiotów lub organ uchylił się od powinności realizacji wniosków, gdy równocześnie dla strony przewidziano wprost prawo żądania od niego podjęcia określonych działań. W konsekwencji organ, stosując w niniejszej sprawie instrument o charakterze dyscyplinującym i naprawczym – przewidziany w art. 58 ust. 2 lit. b i d RODO – nie naruszył prawa. Zastosowanie ich – w postaci udzielenia upomnienia i nakazu usunięcia pozostałych danych Dzieci, mające na celu dostosowanie operacji przetwarzania tych danych do przepisów RODO – było zasadne. W skardze tego zresztą nie kwestionowano. Zaskarżoną decyzją prawa więc nie naruszono – ani, co do powinności właściwego wyjaśnienia sprawy, czy stosownego uzasadnienia orzeczenia (w kwestii wymagań o charakterze procesowym), bądź zastosowania przewidzianych przepisami RODO reguł przetwarzania danych osobowych i stosowania przez organ środków naprawczych w razie ich naruszenia – tak: powołane w skardze ramy materialnoprawne. Poza granicami sprawy pozostać musi zagadnienie czasu trwania postępowania. Kwestie te można by podnosić wyłącznie w ramach złożenia do sądu administracyjnego stosownego środka - skargi na bezczynność bądź przewlekłe prowadzenie postępowania, w myśl art. 3 §. 2 pkt 8 w zw. z pkt 1 ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (Dz.U. Dz.U. z 2024 r., poz. 935). W tej sytuacji, wobec zarzutów skargi ani też z urzędu, Sąd nie dopatrzył się wadliwości skarżonej decyzji, która uzasadniałaby jej wyeliminowanie z obrotu prawnego. Z przytoczonych wyżej przyczyn, na podstawie art. 151 ustawy – Prawo o postępowaniu przed sądami administracyjnymi, orzeczono jak w sentencji wyroku. ----------------------- 19