II SA/Wa 1332/17

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Danuta Kania, Sędziowie WSA Przemysław Szustakiewicz (spr.), Iwona Maciejuk, Protokolant specjalista Maria Zawada, po rozpoznaniu na rozprawie w dniu 4 lipca 2018 r. sprawy ze skargi P. P. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] czerwca 2018 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę Generalny Inspektor Ochrony danych Osobowych działając na podstawie art. 138 § 1 pkt 1 ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego (Dz. U. 2016 r. poz. 23 ze zm.) oraz art, 12 pkt 2, art. 22, art. 23 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. 2016 r. poz. 922), decyzją nr [...] z dnia [...] czerwca 2017 r. utrzymał w mocy swoją decyzję z dnia dnia [...] stycznia 2016 r. (znak: [...]), w sprawie skargi Pana P.P. w przedmiocie niespełnienia żądania usunięcia jego danych osobowych przez M. Sp. z o. o. z siedzibą w W. W uzasadnieniu organ podniósł, że: 1. Skarżący jest właścicielem adresu mailowego [...] pod domeną, której właścicielem jest M. w [...]. 2. Usługi takie jak konto M., M. O. ([...]), M. ([...]) świadczy M. C. z siedzibą w O., [...] w U., zwany dalej M.C. 3. Skarżący, zakładając konto pocztowe obsługiwane przez M. zaakceptował postanowienia umowy o świadczenie usług tej firmy oraz zasady zachowania poufności i informacji firmy M. Ze treści wskazanej umowy, a dokładnie z punktu 10 b z części: "[¡jednostka zawierająca umowę oraz wybór prawa", wynika, że w sytuacji, gdy użytkownik decyduje się korzystać z produktów innych niż S. i mieszka w Europie (lub jeśli głównym miejscem prowadzenia działalności Użytkownika jest Europa) oraz korzysta z bezpłatnych części Usług (takich jak [...] oraz [...]), zawiera on umowę z M.C., [...] (identyfikator [...]). Wszelkie roszczenia związane z bezpłatnymi usługami podlegają prawu stanu [...] bez uszczerbku dla obowiązujących przepisów prawa mających zastosowanie w kraju, w którym M.udostępnia Usługi i w którym znajduje się miejsce stałego pobytu użytkownika. Jeśli użytkownik zapłacił za korzystanie z części Usług (takich jak [...] bez reklam lub części Usług pod marką O.), to zawiera umowę z M. I. [...],[...][...] (zarejestrowaną w I.w Krajowym Rejestrze Spółek pod numerem [...], numer identyfikacji podatkowej VAT: [...], siedziba: [...],[...]). Wszelkie roszczenia związane z płatnymi usługami podlegają prawu kraju, w którym M. udostępnia usługi użytkownikowi i w którym znajduje się miejsce stałego pobytu użytkownika. 4. Umowa o świadczenie usług firmy M. w punkcie 1 odnosi się do kwestii związanych z ochroną prywatności użytkownika tych usług. Stosownie do tego postanowienia, cyt.: "M. przywiązuje dużą wagę do ochrony prywatności Użytkownika. Należy zapoznać się z Oświadczeniem M. o ochronie prywatności, Oświadczeniem o ochronie prywatności dotyczącym aplikacji M. H. oraz Oświadczeniem o ochronie prywatności dotyczącym usługi H. (łącznie "Oświadczenia o Ochronie Prywatności"), gdyż opisano w nich rodzaje danych zbieranych przez M.od Użytkownika, z tym z urządzeń Użytkownika, ("Dane") oraz sposób wykorzystania takich Danych Użytkownika. Oświadczenia o Ochronie Prywatności opisują także sposób, w jaki M.korzysta z treści Użytkownika, na które składa się komunikacja Użytkownika z innymi osobami, publikowane przez niego wiadomości lub opinie przesłane do M. za pośrednictwem Usług oraz pliki, zdjęcia, dokumenty, materiały audio, utwory cyfrowe, a także filmy wideo, które Użytkownik przekazuje, przechowuje lub udostępnia za pośrednictwem Usług ("Treści Użytkownika"). Korzystając z Usług lub akceptując niniejsze Postanowienia, Użytkownik wyraża zgodę na zbieranie, używanie i ujawnianie przez M. Treści Użytkownika oraz Danych Użytkownika zgodnie z opisem w Oświadczeniach o Ochronie Prywatności." 5. Użytkownik korzystający z usług świadczonych przez M.posiada dwie możliwości rezygnacji z tych usług (informacje o sposobie usunięcia konta znajdują się na koncie użytkownika). Pierwsza z nich przewiduje samodzielne zamknięcie konta przez użytkownika. Ta forma polega na tym, że użytkownik wybiera opcję "Zabezpieczenia i hasło", a następnie "Zamykanie konta" lub "Zamknij moje konto". Po zakończeniu procedury użytkownik powinien wybrać "Oznacz konto do zamknięcia". Po zamknięciu konta, może ono być aktywowane ponownie, konto może zostać aktywowane ponownie przez użytkownika w ciągu 60 dni. Po upływie tego okresu konto oraz wszelkie dane są usuwane. Druga z możliwości przewiduje sytuację, gdy użytkownik usług M. nie zdecydował się na samodzielne zamknięcie konta i usunięcie danych wskazanych przy zawieraniu umowy z tym podmiotem. W tym wypadku - zgodnie z Polityką ochrony danych osobowych- którą użytkownik akceptuje zakładając m.in. konto poczty e-mail, zobowiązany jest zgłosić się z żądaniem do M. C. oraz wykonać procedurę weryfikacyjną potwierdzającą jego tożsamość. Intencją tego podmiotu do wprowadzenia tego rozwiązania jest uniknięcie sytuacji, w której brak wystarczających danych umożliwiających identyfikację użytkownika doprowadzi do usunięcia konta w następstwie zgłoszenia dokonanego przez osobę nieuprawnioną, tj. osobę, która nie jest właścicielem/użytkownikiem konta. 6. Skarżący w dniu [...] października 2013 r. skierował do Spółki - jako cyt.; "podmiotu prawa wyłącznie odpowiedzialnego wobec mojej osoby za świadczenie Usług związanych z szeroko rozumianym przetwarzaniem danych osobowych dotyczących mojej osoby jako użytkownika/właściciela konta [...] (...), w tym związku z realizacją przez Państwa usługi [...] oraz innych, niezależnie od formy, świadczeń o podobnym lub zbliżonym charakterze, w tym tych będących usługami pochodnymi bądź w jakikolwiek sposób związanymi z moją osobą/Kontem (moimi danymi niezależnie od stopnia powiązania)" - żądanie usunięcia wszelkich jego danych osobowych ze zbioru danych Spółki. 7. Spółka (czyli M. Sp. z o.o. z siedzibą w W.) należy do międzynarodowej grupy spółek. Przedmiotem działalności Spółki jest m.in. usprawnienie i polepszenie jakości sprzedaży i obsługi produktów M., komunikacja z klientem oraz prowadzenie działalności statystycznej, marketingowej i promocyjnej. 8. Spółka ma zarejestrowany zbiór danych o nazwie "Baza danych klientów M.". Odbiorcą tych danych osobowych jest M.C. 9. Spółka, w wyjaśnieniach złożonych przed Generalnym Inspektorem Ochrony Danych Osobowych wskazała, że cyt.: "Spółka przetwarzała dane osobowe Skarżącego na podstawie art. 23 ust. 1 pkt 5 Ustawy tj. dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratora danych. Dane osobowe Skarżącego przetwarzane były w zakresie imienia, nazwiska, adresu (nazwa i numer ulicy, kod pocztowy i miasto) oraz numeru klienta w celu usprawnienia i polepszenia jakości sprzedaży i obsługi produktów M., komunikacji z klientem oraz w celu prowadzenia działalności statystycznej, marketingowej i promocyjnej. Dane osobowe Skarżącego były przetwarzane w zbiorze o nazwie "Baza danych klientów M". Spółka potwierdza, że otrzymała pismo Skarżącego z dnia [...] października 2013 r. Po otrzymaniu wezwania Generalnego Inspektora Ochrony Danych Osobowych do ustosunkowania się do treści skargi wniesionej przez Skarżącego, Spółka niezwłocznie w dniu [...] września 2014 r. usunęła ze zbioru "baza danych klientów M." dane osobowe Skarżącego. Ponadto zgodnie z art. 32 ust. 3 Ustawy Spółka umieściła imię, nazwisko Skarżącego oraz adres poczty elektronicznej wskazany przez Skarżącego na liście osób, które wyraziły sprzeciw wobec przetwarzania ich danych, w celu uniknięcia ponownego wykorzystania danych Skarżącego." 10. Spółka poinformowała M. C. o treści żądań Skarżącego oraz o obowiązku usunięcia jego danych osobowych. 11. M. C. sprawdził aktywność konta powiązanego ze wskazanym przez Skarżącego adresem [...]. Z wyjaśnień złożonych Generalnemu Inspektorowi Ochrony Danych Osobowych wynika, że cyt.: ,,[p]owyższe działania wykazały, że użytkownik, do którego jest przypisany w/w adres w ciągu ostatnich 60 dni zalogował się do konta prowadzonego w systemach M.C. Ponadto ustalono, że użytkownik nie podejmował prób samodzielnego usunięcia konta oraz swoich danych. (...)". 12. M. C. w dniu [...] października 2014 r. przesłał na adres: [...] wiadomość, w której poinformował, że konto i dane osobowe użytkownika mogą zostać usunięte przez M. C. zgodnie z pisemnym zadaniem przesłanym na adres Spółki po potwierdzeniu przez właściciela w/w adresu jego tożsamości, tj. po wykonaniu procedury weryfikacyjnej, czyli dostarczeniu dodatkowych danych umożliwiających jednoznaczną identyfikację powiązania Skarżącego z adresem [...] w systemach M. C. W wiadomości tej, M.C. podkreślił, że po zakończeniu weryfikacji usunie konto w imieniu Skarżącego. Jednocześnie zaznaczył, że w razie jakichkolwiek pytań Skarżący jest proszony o kontakt. 13 W dniu [...] października 2014 r. M. C. przesłał drugą wiadomość - o tej samej treści na adres: [...] (który został wskazany przez właściciela konta [...], jako alternatywny adres e-mail). 14 Skarżący nie ustosunkował się do powyższych wiadomości M.C. ani nie inicjował procedury weryfikacyjnej, w celu usunięcia konta mailowego. Po przeprowadzeniu postępowania administracyjnego Generalny Inspektor Ochrony Danych Osobowych wydał w dniu [...] stycznia 2016 r. decyzję administracyjną (znak: [...]), mocą której odmówił uwzględnienia wniosku Skarżącemu. Od powyższej decyzji P.P. złożył wniosek o ponowne rozpoznanie sprawy Organ wskazał, że zgodnie z brzmieniem art. 3 a ust. 2 u.o.d.o nie stosuje się do podmiotów mających siedzibę lub miejsce zamieszkania w państwie trzecim, wykorzystujących środki techniczne znajdujące się na terytorium Rzeczypospolitej Polskiej wyłącznie do przekazywania danych. Wedle z kolei art. 7 pkt 2 ustawy, w którym zdefiniowano pojęcie przetwarzania danych jako operacje wykonywane na danych osobowych, takie jaka zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie, a zwłaszcza te, które wykonuje się w systemach informatycznych. Zgodnie z brzmieniem art. 7 ust. 4 ustawy administratorem danych jest organ, jednostka organizacyjna, podmiot lub osoba, o której mowa w art. 3 ustawy, decydujące o celach i środkach przetwarzania danych. Jak stanowi art. 3 ust. 2 pkt 2 ustawy, administratorami danych są osoby fizyczne i osoby prawne oraz jednostki organizacyjne nie będące osobami prawnymi, jeżeli przetwarzają dane osobowe w związku z działalnością zarobkową, zawodową lub dla realizacji celów statutowych, które mają swoją siedzibę na terytorium Rzeczypospolitej. Ustawa o ochronie danych osobowych określa obowiązki administratora danych, do których należy przetwarzanie danych osobowych z zachowaniem przesłanek określonych w ustawie. Przepisem uprawniającym administratorów danych do przetwarzania zwykłych danych osób fizycznych, w tym ich udostępniania, jest art. 23 ust. 1 ustawy, zgodnie z którym, przetwarzanie danych jest dopuszczalne tylko wtedy, gdy spełniona jest jedna z przesłanek taksatywnie wskazanych w tym przepisie. Stosownie do treści powołanego przepisu, przetwarzanie danych jest dopuszczalne wtedy, gdy: osoba, której dane dotyczą, wyrazi na to zgodę, chyba że chodzi o usunięcie dotyczących jej danych (pkt 1), jest to niezbędne dla zrealizowania uprawnienia lub pełnienia obowiązku wynikającego z przepisu prawa (pkt 2), jest to konieczne do realizacji umowy, gdy osoba, której dane dotyczą, jest jej stroną lub gdy jest to niezbędne do podjęcia działań przed zawarciem umowy na żądanie osoby, której dane dotyczą (pkt 3), jest niezbędne do wykonania określonych prawem zadań realizowanych dla dobra publicznego (pkt 4), jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą (pkt 5). Katalog przesłanek wymienionych w art. 23 ww. aktu prawnego, jest zamknięty. Każda z przesłanek legalizujących proces przetwarzania danych osobowych ma charakter autonomiczny i niezależny. Oznacza to, że przesłanki te co do zasady są równoprawne, a wobec tego spełnienie co najmniej jednej z nich stanowi o zgodnym z prawem przetwarzaniu danych osobowych. W konsekwencji zgoda osoby, której dane dotyczą nie jest jedyną podstawą przetwarzania danych osobowych, bowiem proces przetwarzania danych będzie zgodny z ustawą również wówczas, gdy administrator danych wykaże spełnienie innej z wyżej wymienionych przesłanek. Mocą przepisów ustawy o ochronie danych osobowych, każdej osobie przysługuje prawo do kontroli przetwarzania danych, które je dotyczą, zawartych w zbiorach danych, a zwłaszcza prawo do m.in. żądania uzupełnienia uaktualnienia, sprostowania danych osobowych, czasowego lub stałego wstrzymania ich przetwarzania lub ich usunięcia, jeżeli są one niekompletne, nieaktualne, nieprawdziwe lub zostały zebrane z naruszeniem ustawy albo są już zbędne do realizacji celu, dla którego zostały zebrane (art. 32 ust. 1 pkt 6) oraz wniesienia sprzeciwu wobec przetwarzania jej danych w przypadkach, wymienionych w art. 23 ust. 1 pkt 4 i 5, gdy administrator danych zamierza je przetwarzać w celach marketingowych lub wobec przetwarzania jej danych osobowych innemu administratorowi danych (art. 32 ust. 1 pkt 8). Przy czym w razie wniesienia sprzeciwu, o którym mowa w art. 32 ust. 1 pkt 8, dalsze przetwarzanie kwestionowanych danych jest niedopuszczalne. Administrator danych może jednak pozostawić w zbiorze imię lub imiona i nazwisko osoby oraz numer PESEL lub adres wyłącznie w celu uniknięcia ponownego wykorzystania danych tej osoby w celach objętych sprzeciwem. Z umowy o świadczenie usług firmy M.wynika, że M. C. świadczy takie usług jak m.in. [...]. Jednocześnie z postanowień ww. umowy wynika, że wszelkie roszczenia związane z bezpłatnymi usługami podlegają prawu stanu [...] bez uszczerbku dla obowiązujących przepisów prawa mających zastosowanie w kraju, w którym M. udostępnia swoje usługi i w którym znajduje się miejsce stałego pobytu użytkownika. Natomiast z "Zasad zachowania poufności informacji firmy M." wynika, że firma M. gromadzi dane w celu efektywnego prowadzenia działalności i świadczenia użytkownikowi jak najlepszych usług. Wobec powyższego uznać należy, iż M. C. jest administratorem danych osobowych Skarżącego w zakresie danych udostępnionych w celu zawarcia umowy o świadczenie usługi jakim jest założenie konta e-mail o adresie: [...] To ww. podmiot, a nie M. Sp. z o.o. z siedzibą w W. decyduje o celach i środkach przetwarzania jego danych (na co się zgodził zawierając umowę o świadczenie wskazanej usługi) i to do niego powinien kierować swoje żądanie usunięcia danych osobowych. Warto w tym miejscu zauważyć, że z postanowień ww. umowy o świadczenie usług firmy M., w tym z punktu 13 g oraz z ww. "Zasad zachowania poufności informacji M." wynika, że usługa [...] przewiduje możliwość samodzielnego usunięcia wszystkich danych osobowych przy użyciu funkcjonalności konta, z której Skarżący nie skorzystał. Spółka (czyli [...] Sp. z o.o. z siedzibą w W.) - należąca do międzynarodowej grupy M. - przetwarzała dane osobowe Skarżącego w celach związanych z usprawnieniem i polepszeniem jakości sprzedaży i obsługi produktów M., komunikacji z klientem, a także w celu prowadzenia działalności statystycznej, marketingowej i promocyjnej. Przetwarzanie danych osobowych Skarżącego przez Spółkę jako klienta M. było ściśle skorelowane z przetwarzaniem jego danych osobowych przez M. C., w związku z świadczeniem na jego rzecz usługi [...]. Z uwagi na fakt, iż Skarżący zwrócił się z żądaniem usunięcia wszelkich jego danych udostępnionych w celu korzystania z usług świadczonych przez M., których administratorem jest M. C., Spółka usunęła jego dane osobowe z bazy danych klientów M. W tym momencie przetwarza tylko jego dane osobowe w zakresie imienia i nazwiska oraz adresu poczty elektronicznej, po to by uniknąć ponownego wykorzystania jego danych w celach objętych sprzeciwem, co jest procesem legalnym, gdyż znajduje uzasadnienie w przesłance z art. 32 ust. 3 ustawy. Jednocześnie organ zauważył, iż pomimo tego, że Spółka nie świadczy usług takich jak [...], to podjęła wszelkie możliwe czynności, by uczynić zadość żądaniu Skarżącego, tj. usunięcia wszelkich jego danych udostępnionych M.C., w celu świadczenia takiej usługi jak [...]. Z ustaleń poczynionych w przedmiotowej sprawie wynika, że M. C. rozpoczął procedurę usunięcia jego danych osobowych. Jednakże dla skutecznej realizacji przedmiotowego żądania konieczny jest kontakt z jego strony, czego Skarżący pomimo prób ze strony ww. [...] spółki nie uczynił. Ponadto wskazano, że Spółka nigdy nie przetwarzała danych osobowych Pana P.P. w celu świadczenia usług takich jak poczta elektroniczna o adresie [...]. W związku z tym, niemożliwym jest wydanie decyzji nakazującej Spółce usunięcie danych osobowych Skarżącego w zakresie danych udostępnionych w celu zawarcia umowy o świadczenie usług firmy M. W dniu [...] sierpnia 2017 r. skargę na powyższą decyzję złożył P.P. zarzucając organowi naruszenie prawa w związku z błędnym ustaleniem okoliczności przyjętych za podstawę rozstrzygnięcia w związku z bezpodstawnym uznaniem przez organ, że: 1. Spółka nie jest podmiotem względem którego organ miałby podstawy dla wydania żądanego przez skarżącego rozstrzygnięcia w formie decyzji nakazującej określone zachowanie zgodne z żądaniem skarżącego, którego istotę stanowiło cofnięcie jego zgody na przetwarzanie danych osobowych ; 2. Zachodzą w sprawie przesłanki mające uprawniać Spółkę do dalszego przetwarzania danych osobowych skarżącego, choćby w zakresie opisywanym w decyzji, podczas gdy kluczowa dla sprawy przesłanka została pominięta, mimo że fakt cofnięcia tej zgody w związku z jednoznacznym żądaniem usunięcia i zaprzestania dalszego przetwarzania wszelkich danych osobowych dotyczących osoby skarżącego determinuje przedmiot rozstrzygnięcia W odpowiedzi na skargę organ wniósł o jej oddalenie podtrzymując argumenty zawarte w zaskarżonej decyzji. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: Na podstawie art. 13 § 2 P.p.s.a. do rozpoznania sprawy właściwy jest wojewódzki sąd administracyjny, na którego obszarze właściwości ma siedzibę organ administracji publicznej, którego działalność została zaskarżona. Natomiast zgodnie z treścią art. 1 § 1 i 2 ustawy z dnia 25 lipca 2002 r. – Prawo o ustroju sądów administracyjnych (Dz. U. Nr z 2016 r. poz. 1066 ze zm.) sąd administracyjny sprawuje wymiar sprawiedliwości poprzez kontrolę pod względem zgodności z prawem zaskarżonej decyzji administracyjnej i to z przepisami obowiązującymi w dacie jej wydania. Rozpoznawana pod tym względem skarga nie podlega uwzględnieniu. Kwestią o zasadniczym znaczeniu jest w tej sprawie w pierwszej kolejności ustalenie podmiotu, który jest administratorem danych osobowych skarżącego związanych z kontem jako użytkowania adresu internetowego [...] oraz związanych z kontem usługami oferowanymi przez podmiot zarządzający domeną, na której został zarejestrowane ww. konto, co zostało podane w skardze do GIODO. Przypomnieć należy, że przepis art. 35 ust. 2 w zw. z art. 18 ust. 1 pkt 6 u.o.d.o. może być bowiem zastosowany wyłącznie wobec administratora danych, czyli podmiotu, który decyduje o celach i środkach przetwarzania danych osobowych (art. 7 pkt 4 u.o.d.o.). W tej sprawie skarżący wyraźnie w skardze do GIODO wskazał na nieprawidłowości w procesie przetwarzania jego danych osobowych przez M.Sp. z o.o. z siedzibą W. (dalej Spółka), jako podmiot, który będący częścią wielkiego międzynarodowego koncernu nielegalnie przetwarza jego dane Z akt postępowania administracyjnego wynika, że P.P. właśnie do tego podmiotu, tj. do M. Sp. z o.o. z siedzibą W. wystąpił samodzielnie pismem z dnia [...] października 2013 r. o natychmiastowe i bezzwrotne usunięcie jego danych osobowych przetwarzanych przez Spółkę w związku z ww. kontem internetowym, czyli podjął działania, o których jest mowa w art. 35 ust. 1 u.o.d.o. Skarżący w piśmie z dnia [...] grudnia 2013 r. skierowanym do GIODO uznał, że to ten podmiot nie uwzględnił jego wniosku z dnia [...] października 2013 r. do GIODO, a więc nie dopełnił obowiązku usunięcia jego danych. Z akt sprawy wynika, co potwierdził również uczestnik postępowania, że zakładając konto internetowe o podanych wyżej danych – P.P. zawarł umowę z Przedsiębiorstwem M.C., [...] z siedzibą w S.(dalej: P.). Jak prawidłowo ustalono w toku postępowania prowadzonego przez organ – to ten podmiot jest administratorom danych osobowych skarżącego. Natomiast z akt sprawy wynika, że Spółka, nie ma ona środków prawnych, technicznych, czy organizacyjnych pozwalających na kontrolę sposobu świadczenia usług związanych z zarządzaniem kontem internetowym założonym przez P.P. oraz nie jest dysponentem (m.in. właścicielem, posiadaczem) serwerów, z których korzysta oprogramowanie systemu informatycznego, na którym znajduje się wskazane we wniosku skarżącego z dnia [...] grudnia 2013 r o wszczęcie postępowania przez GIODO – konto internetowe. Spółki zatem nie decyduje i nie współdecyduje o danych osobowych P.P. związanych założonym przez niego kontem internetowym [...]. Natomiast, jak wynika z akt sprawy M. Sp. z o.o. z siedzibą W. choć jest spółką należącą i założoną przez Przedsiębiorstwem M. C., [...] z siedzibą w S., to nie wykonuje ona zadań związanych z przetwarzaniem danych osobowych użytkowników kont internetowych założonych za pomocą systemu informatycznego, którego twórcą i operatorem jest Przedsiębiorstwo. Spółka z kolei zajmuje się jedynie zadaniami związanymi z polepszaniem jakości usług świadczonych przez przedsiębiorstwo na terenie Polski oraz marketingiem. Zarządza ona jedynie zbiorem danych osobowych o nazwie "Baza danych klientów M.", z których natychmiast po otrzymaniu pisma P.P. z dnia [...] października 2013 r. usunęła jego dane. Warto przy tym wskazać, że Trybunał Sprawiedliwości Unii Europejskiej w wyroku z dnia 13 maja 2014 r. , sygn.. akt C-131/12 ([...] ([...][...]) stwierdził, że za administratora odpowiedzialnego za przetwarzanie danych w rozumieniu art. 2 lit. d dyrektywy 95/46/WE należy uznać operatora wyszukiwarki internetowej (pkt 41 uzasadnienia wyroku). Oznacza to, że zdaniem TSUE podmiotem , który odpowiada za przetwarzanie danych osobowych jest ten podmiot, który faktycznie zarządza systemem operacyjnym i serwerami, z których ten system jest zarządzany. Natomiast krajowe ekspozytury zagranicznego przedsiębiorstwa nie są podmiotem, który przetwarza dane osobowe. Sąd zaznacza przy tym, że w sprawie tej nie ulega wątpliwości, iż przetwarzanie danych osobowych skarżącego w aspekcie wskazanym przez niego w skardze do GIODO podlega przepisom dyrektywy 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych oraz przepisom polskiej regulacji, tj. ustawy z dnia 29 sierpnia 1999 r. o ochronie danych osobowych. Trybunał Sprawiedliwości we wskazanym wyżej wyroku z dnia 13 maja 2014 r. sygn. C-131/12 jednoznacznie stwierdził, że art. 4 ust. 1 lit. a dyrektywy 95/46/WE należy interpretować w ten sposób, że przetwarzanie danych osobowych ma miejsce w ramach działalności prowadzonej przez administratora danych odpowiedzialnego za to przetwarzanie na terytorium danego państwa członkowskiego w rozumieniu tego przepisu, jeśli operator wyszukiwarki internetowej ustanawia w danym państwie członkowskim oddział lub spółkę zależną, których celem jest promocja i sprzedaż powierzchni reklamowych oferowanych za pośrednictwem tej wyszukiwarki, a działalność tego oddziału lub spółki zależnej jest skierowana do osób zamieszkujących to państwo. Ustalenie GIODO, że Przedsiębiorstwo ustanowiło w RP spółkę zależną – M. Sp. z o.o. z siedzibą W. (prowadzącą m.in. działalność marketingową), pozwala przyjąć, że przetwarzanie danych osobowych odbywa się na terytorium RP. W świetle powyższego nie ma wątpliwości, że polski organ do spraw ochrony danych osobowych ma pełne możliwości przeprowadzenia postępowania wyjaśniającego wobec Przedsiębiorstwem M. C., [...] z siedzibą w S., a także badania zgodności z prawem przetwarzania danych osobowych P.P. W sytuacji uznania przez GIODO, że to ten podmiot decyduje o celach i środkach przetwarzania danych osobowych wnioskodawcy oraz stosowania środków prawnych określonych w u.o.d.o. mających na celu zapewnienie zgodności z prawem przetwarzania danych osobowych wnioskodawcy. Nie mniej jednak skarżący w piśmie z dnia [...] grudnia 2017 r. wyraźnie wskazał, że żąda od organu przeprowadzenia postępowania w sprawie bezprawnego przetwarzania jego danych przez Spółkę, w ten sposób dokładanie zakreślając zakres przedmiotowy sprawy. Tak więc skoro M. Sp. z o.o. z siedzibą W. nie przetwarza danych osobowych skarżącego w związanych z kontem internetowym [...] – brak było podstaw do wydania przez GIODO decyzji nakazującej Spółce usunięcia danych osobowych P.P. Mając powyższe na względzie Wojewódzki Sąd Administracyjny w Warszawie na podstawie art. 151 w związku z art. 132 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi orzekł jak w sentencji.