II SA/Wa 149/13

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Danuta Kania, Sędziowie WSA Ewa Grochowska-Jung, Ewa Pisula-Dąbrowska (spr.), Protokolant Referent stażysta Małgorzata Ciach, po rozpoznaniu na rozprawie w dniu 13 sierpnia 2013 r. sprawy ze skargi R. Z. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] listopada 2012 r. nr [...] w przedmiocie ochrony danych osobowych oddala skargę Generalny Inspektor Ochrony Danych Osobowych, decyzją z dnia [...] listopada 2012 r. nr [...], na podstawie art. 138 § 1 pkt 1 ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego, art. 12 pkt 2, art. 22 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 ze zm.), zwanej dalej jako uodo, po rozpatrzeniu wniosku R. Z. o ponowne rozpatrzenie sprawy, utrzymał w mocy swoją decyzję z dnia [...] sierpnia 2012 r. nr [...], o odmowie uwzględnienia jego wniosku w sprawie upublicznienia jego danych osobowych w serwisie [...] przez [...] S.A. z siedzibą w [...]. W motywach uzasadnienia organ wskazał, że R. Z. pismem z dnia [...] listopada 2011 r. złożył skargę na bezprawne przetwarzanie jego danych osobowych na stronie internetowej [...] przez [...] S.A. z siedzibą w [...], wnosząc o nakazanie ich usunięcia. W toku postępowania Generalny Inspektor ustalił, że [...] S.A, w prowadzonym serwisie internetowym umożliwia dostęp do dotyczącej R. Z. notki biograficznej, ale dane osobowe strony, dostępne za pośrednictwem ww. serwisu nie są przechowywane przez Spółkę. Oprogramowanie serwisu wyświetla jedynie informacje znajdujące się w polskiej wersji językowej encyklopedii internetowej [...]. Ponadto Spółka nie jest autorem kwestionowanej notki biograficznej ani nie powstała ona na jej zlecenie. Organ wskazał również, że serwis [...] jest serwisem, do którego wszystkie treści dostarcza [...] z siedzibą w [...], który to podmiot jest właścicielem serwisu [...]. Treści te są w całości przekazywane do serwisu internetowego [...], a [...] S.A. nie posiada uprawnień do ich zamieszczania, edycji ani usuwania. Uprawnienia te przysługują wyłącznie [...] oraz upoważnionym przez nią osobom. Organ ustalił nadto, że serwis [...] za pośrednictwem swojej strony internetowej umożliwia jedynie wyszukanie określonych treści zamieszczonych w bazie danych serwisu i ich wyświetlanie na ekranie, natomiast nie posiada własnej bazy danych. Na podstawie powyższych ustaleń Generalny Inspektor Ochrony Danych Osobowych stwierdził, iż zgodnie z art. 7 pkt 4 ustawy o ochronie danych osobowych, [...] S.A. nie posiada statusu administratora danych osobowych R. Z. Powyższa decyzja stała się przedmiotem skargi R. Z. do tutejszego Sądu. Wnosząc o uchylenie zaskarżonej decyzji oraz decyzji ją poprzedzającej, skarżący zarzucił naruszenie przepisów prawa, tj.: - art. 8 Europejskiej Konwencji o Ochronie Praw Człowieka i Podstawowych Wolności, art. 47 oraz art. 51 ust. 1 Konstytucji RP, poprzez faktyczne odmówienie skarżącemu prawa do prywatności; - art. 31 ust. 3 Konstytucji RP, przez przyjęcie, że ograniczenie konstytucyjnego prawa skarżącego do prywatności mogło zostać dokonane poprzez publikowanie przez administratora polskiej domeny internetowej, treści pobranych automatycznie z domeny zagranicznej pozostającej poza jurysdykcją RP.; - art. 1 ust. 1 oraz art. 23 ust. 1 pkt. 1 ustawy o ochronie danych osobowych, poprzez bezprawne odmówienie prawa do ochrony jego danych osobowych; - art. 7 pkt 4 ustawy o ochronie danych osobowych, poprzez przyjęcie, że [...] S.A. jako właściciel domeny [...] oraz oprogramowania upubliczniającego treści z serwisu [...] nie jest administratorem danych i nie decyduje o celach i środkach przetwarzania publikowanych danych; - art. 7 pkt 2 ustawy o ochronie danych osobowych, poprzez przyjęcie, [...] S.A., jako właściciel domeny [...] oraz oprogramowania upubliczniającego treści z serwisu [...] nie przetwarzała jego danych osobowych oraz nie decydowała o celach i środkach przetwarzania tych danych; - art. 3 ust. 2 pkt. 2 ustawy o ochronie danych osobowych, poprzez odmowę zastosowania przepisów wymienionej ustawy do [...] S.A., pomimo iż ma siedzibę na terytorium Rzeczypospolitej Polskiej oraz przetwarza jego dane osobowe przy użyciu środków technicznych, znajdujących się na terytorium Rzeczypospolitej Polskiej; - art. 18 ust. 1 ustawy o ochronie danych osobowych, poprzez bezprawne uchylenie się GIODO od wydania decyzji przywracającej stan zgodny z prawem oraz wydanie decyzji wadliwej; - art. 7 Konstytucji R.P., art. 6 k.p.a., poprzez podjęcie decyzji rażąco sprzecznej z obowiązującymi przepisami prawa; - art. 8 k.p.a., poprzez prowadzenie postępowania w sposób nie budzący zaufania do GIODO. Skarżący zarzucił również błędy w ustaleniach faktycznych, poprzez przyjęcie, że [...] S.A. nie jest administratorem jego danych, nie przetwarza ich z naruszeniem ustawy o ochronie danych osobowych, nie ma wpływu na treść publikowanych danych oraz, że fakt pobierania z zagranicznego serwera treści naruszających prawo, czyni działania Spółki legalnymi w świetle obowiązującego prawa. Ponadto, że Spółka że nie ma możliwości zablokowania publikacji nielegalnych treści, np. za pomocą filtra, a oprogramowanie typu wiki jest tożsame z przeglądarkami internetowymi oraz czytnikami RSS, a także, iż posługiwanie się jakąkolwiek aplikacją internetową: skryptem, przeglądarką, czytnikiem RSS, legalizuje publikowanie treści niezgodne z ustawą o ochronie danych osobowych oraz zwalnia podmioty przetwarzające te dane od odpowiedzialności. W odpowiedzi na skargę organ wniósł o jej oddalenie i podtrzymał argumenty zawarte w zaskarżonej decyzji. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: Skarga nie zasługuje na uwzględnienie, albowiem zaskarżona decyzja odpowiada prawu. Istota sporu sprowadza się do ustalenia, czy [...] S.A. z siedzibą w [...], na stronie internetowej [...], przetwarza dane osobowe R. Z. (w postaci notki biograficznej), czy jest administratorem tych danych. W ocenie Sądu [...] S.A nie jest administratorem powyższych danych. Na wstępie należy wskazać, że definicja administratora danych osobowych znajduje się w art. 7 pkt 4 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 ze zm.), zwanej dalej uodo. Zgodnie z treścią tego przepisu, administratorem danych osobowych jest: organ, jednostka organizacyjna, podmiot lub osoba, decydująca o celach i środkach przetwarzania danych osobowych. Oznacza to, że na pojęcie przetwarzania danych osobowych składają się łącznie dwie przesłanki: 1. status podmiotu ze sfery publicznej lub prywatnej w rozumieniu uodo; 2. sprawowanie władztwa w procesie przetwarzania danych osobowych. (G. Sibiga Postępowanie w sprawach ochrony danych osobowych. Warszawa 2003 s. 53). Ponadto stosownie do art. 7 pkt 2 uodo, przez przetwarzanie danych osobowych rozumie się jakiekolwiek operacje wykonywane na danych osobowych, takie jak: zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie, a zwłaszcza te, które wykonuje się w systemach informatycznych. W ramach przetwarzania danych osobowych występuje także powierzanie danych do przetwarzania, "co wiąże się z procesami zlecania czynności związanych z przetwarzaniem danych osobowych innym podmiotom" (M. Byczkowski Zarządzanie procesami przetwarzania danych osobowych tekst zamieszczony w Ochrona danych osobowych. Aktualne problemy i nowe wyzwania red. G. Sibiga X. Konarski, Warszawa 2007, s.17). Administrator jest wówczas podmiotem, na rzecz którego zbierane są dane osobowe i w pełni kontroluje on sposób zbierania danych osobowych. Jak wynika ze zgromadzonego w sprawie materiału dowodowego, [...] S.A. nie posiada treści notki biograficznej, dotyczącej skarżącego na swoich serwerach, nie ma uprawnień w zakresie umieszczania, edycji, usuwania tego tekstu, bowiem znajduje się on w zasobach serwisu internetowego [...], należącego do [...] z siedzibą w [...], co oznacza, że Spółka nie ma technicznej możliwości usunięcia kwestionowanych danych (k-8 akt administracyjnych). Serwis [...] nie posiada własnej bazy z danymi wyszukiwanymi na portalu [...] a jedynie prezentuje te dane na swojej stronie po ich wyszukaniu. W świetle dokonanych przez organ ustaleń wynika, że Spółka ma możliwość zarówno edycji, usunięcia lub zaprzestania upubliczniania danych osobowych zawartych w serwisie [...], ale wyłącznie na zasadach określonych w regulaminie serwisu [...], co oznacza, że czynności te są weryfikowane i akceptowane przez administratorów serwisu [...] (k-44 akt administracyjnych). Stwierdzić zatem należy, że dokonane przez Generalnego Inspektora Ochrony Danych Osobowych ustalenia dają podstawę do uznania, że [...] S.A. z siedzibą w [...] jest podmiotem, który w związku ze swoją działalnością nie pozyskuje i nie przetwarza danych osobowych skarżącego, nie kontroluje sposobu zbierania danych osobowych, nie sprawuje też władztwa w procesie przetwarzania tych danych. [...] S.A nie może być zatem uznana za administratora danych osobowych skarżącego w rozumieniu ustawy o ochronie danych osobowych. Skoro [...] SA nie posiada statusu administratora danych osobowych skarżącego oczywistym jest, że nie można tej Spółce skutecznie postawić zarzutu, że niezgodnie z przepisami prawa przetwarza dane osobowe skarżącego. Jako niezasadne należy więc uznać podniesione w skardze zarzuty dotyczące naruszenia przepisów prawa materialnego oraz błędnego ustalenia stanu faktycznego. Mając powyższe na względzie, Wojewódzki Sąd Administracyjny w Warszawie na podstawie art. 151 w związku z art. 132 ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi, orzekł jak w sentencji.