II SA/Wa 1561/22

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Andrzej Góraj (spr.), Sędzia WSA Ewa Radziszewska-Krupa, Asesor WSA Michał Sułkowski, Protokolant sekretarz sądowy Marcin Rusinowicz-Borkowski po rozpoznaniu na rozprawie w dniu 22 lutego 2023 r. sprawy ze skargi Polskiego Związku [...] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] czerwca 2022 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę Postępowanie przed Prezesem Urzędu Ochrony Danych Osobowych zainicjowała skarga J. L., na nieprawidłowości w procesie przetwarzania jego danych osobowych przez Polski Związek [...] z siedzibą w [...], zwany dalej PZ[...], polegające na udostępnieniu jego danych osobowych bez podstawy prawnej na stronie internetowej pod adresem https://www.[...] w zakładce komunikaty, w tym informacji o nałożonej na niego nieprawomocnej karze statutowej wraz z treścią orzeczenia zawierającego jego imię, nazwisko, informację o stanie zdrowia oraz inne informacje dotyczące ukarania, naruszenia prawa oraz działalności prywatnej. Organ ustalił, że na wskazanej w skardze stronie internetowej istotnie przetwarzane są dane uszczegółowione w skardze. Organ ustalił też, że PZ[...] pozyskał od Skarżącego jego dane osobowe w zakresie imienia i nazwiska w związku z powołaniem go do Zarządu PZ[..], które miało miejsce [...] maja 2020 r., w celu umożliwienia mu kandydowania na ww. stanowisko. Aktualnie PZ[...] przetwarza dane osobowe Skarżącego w związku z toczącym się przeciwko niemu postępowaniem dyscyplinarnym oraz w związku z pełnieniem przez niego funkcji w Zarządzie PZ[...] (dowód: wyjaśnienia PZ[...] z dnia [...] marca 2021 r.). W ocenie PZ[...] stowarzyszenie było uprawnione do publikacji na swojej stronie internetowej orzeczenia Komisji Gier i Dyscypliny PZ[...] z dnia [...] grudnia 2020 r., zawierającego dane osobowe Skarżącego, na podstawie § 46 Statutu PZ[...], w zw. z § 44 Regulaminu Dyscyplinarnego PZ[...] oraz art. 18.5.4. World [...] [...]. Powyższe stanowisko PZ[...] opierało również na tym, iż orzeczone sankcje są natychmiast wykonalne, bez względu na prawomocność samego o orzeczenia. W związku z orzeczonym zakazem pełnienia wszelkich funkcji w PZ[...], według tego podmiotu, należało o tym poinformować poprzez sporną publikację na stronie internetowej, wszystkich potencjalnie tym zainteresowanych, przede wszystkim wszystkie osoby związane z PZ[...]. Decyzją z [...] czerwca 2022 r. Prezes Urzędu Ochrony Danych Osobowych nakazał Polskiemu Związkowi [...] z siedzibą w [...], usunięcie danych osobowych J. L., w zakresie imienia, nazwiska, a także dotyczących jego ukarania i jego działalności w ramach Polskiego Związku [...], które udostępnione zostały na stronie internetowej pod adresem https://www.[...] w zakładce komunikaty. W uzasadnieniu organ przywołał art. 6 ust. 1 rozporządzenia 2016/679. Dalej organ wyjaśnił, że przetwarzanie danych osobowych jest dopuszczalne jedynie w przypadkach wskazanych w ww. przepisie rozporządzenia, a spełnienie co najmniej jednego z nich stanowi w danym przypadku o zgodnym z prawem przetwarzaniu danych osobowych. Dodatkowo podkreślono, że proces przetwarzania danych osobowych musi być zgodny z zasadami ustanowionymi w art. 5 ust. 1 rozporządzenia 2016/679. Do zasad tych zalicza się między innymi zasadę minimalizacji danych (lit. c). Wspomniana zasada wymaga, by proces przetwarzania danych osobowych był m.in. adekwatny, ograniczony do celów, w których są przetwarzane. Organ przywołał też treść art. 9 ust. 1 rozporządzenia 2016/679, zgodnie z którym zabrania się przetwarzania danych osobowych ujawniających pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe, przynależność do związków zawodowych oraz przetwarzania danych genetycznych, danych biometrycznych w celu jednoznacznego zidentyfikowania osoby fizycznej lub danych dotyczących zdrowia, seksualności lub orientacji seksualnej tej osoby. Odnosząc się do wskazanej przez administratora danych podstawy ich przetwarzania organ przywołał § 44 Regulaminu Dyscyplinarnego PZ[...] oraz art. 18.5.4. World [...] [...]. Stosownie zaś § 44 organ orzekający przy rozpatrywaniu sprawy może stosować wprost regulacje zawarte w World [...] [...]. Jak wynika natomiast z art. 18.5.4. World [...] [...] Federacja World [...] może opublikować decyzję Urzędnika Sądowego lub Komitetu Sądowego. Następnie organ podkreślił, że powyższe przepisy nie przewidują możliwości publikowania niezanonimizowanych orzeczeń ani jakichkolwiek dokumentów sporządzonych w trakcie takiego postępowania, na stronie internetowej PZ[...]. PZ[...] publikując orzeczenia Komisji Gier i Dyscypliny oraz Komisji Odwoławczej PZ[...] powinno czynić to w ocenie organu bez publikowania pełnych danych osobowych osób, których te orzeczenia dotyczą. W ocenie organu nadzorczego PZ[...] udostępniając dane osobowe Skarżącego, w tym dane o stanie jego zdrowia na stronie internetowej https://www.[...], nie posiadał żadnej z przesłanek wymienionych w art. 6 ust. 1 rozporządzenia 2016/679, jak również wymienionych w art. 9 ust. 2 tego aktu prawnego (w przypadku danych osobowych dotyczących stanu zdrowia), na podstawie których mogłaby dokonać takiego udostępnienia. W związku z powyższym organ uznał, że istnieją podstawy do zastosowania przepisu art. 58 ust. 2 lit. c rozporządzenia 2016/679 (w zakresie imienia i nazwiska Skarżącego, a także danych dotyczących jego ukarania oraz jego działalności w ramach PZ[...]). W myśl tego przepisu, w przypadku naruszenia przepisów o ochronie danych osobowych Prezes UODO nakazuje administratorowi lub podmiotowi przetwarzającemu spełnienia żądania osoby, której dane dotyczą, wynikającego z praw przysługujących jej na mocy rozporządzenia 2016/679. Zaistniała zatem niezbędna przesłanka do wydania przez Prezesa UODO decyzji nakazującej usunięcie danych osobowych Skarżącego w zakresie obejmującym imię i nazwisko, danych dotyczących jego ukarania i jego działalności w ramach PZ[...] z ww. strony internetowej. Według organu wpływu na powyższe stanowisko nie ma podnoszona przez PZ[...] kwestia, że o orzeczeniu dyscyplinarnym, wydanym względem Skarżącego należało poinformować, poprzez jego publikację na stronie internetowej, wszystkich potencjalnie tym zainteresowanych, przede wszystkim wszystkie osoby związane z PZ[...]. W przypadku, gdyby PZ[...] uznał za konieczne umożliwienie niektórym swoim członkom zapoznanie się z treścią danych osobowych zawartych w orzeczeniach dyscyplinarnych, powinien upoważnić te podmioty do przetwarzania danych osobowych zawartych w tych rozstrzygnięciach, a następnie umożliwić im elektroniczny dostęp do tych danych poprzez umieszczenie ich na stronie internetowej dostępnej wyłącznie dla tych osób, a nie na ogólnodostępnej stronie internetowej, udostępniając te dane osobowe nieograniczonej liczbie podmiotów. Od powyższej decyzji skargę do tut. Sądu wywiódł Polski Związek [...] zarzucając organowi: - naruszenie następujących przepisów postępowania, które miało istotny wpływ na wynik sprawy, tj. art. 7 kpa, art. 77 § 1 kpa i art. 107 § 3 kpa, poprzez dowolną, a nie swobodną oraz sprzeczną z zasadami doświadczenia życiowego ocenę materiału dowodowego w postaci Statutu PZ[...], Przepisów Dyscyplinarnych PZ[...] oraz Word [...] [...] oraz uchwały o powołaniu J. L. do Zarządu PZ[...], jak również wyjaśnień PZ[...] złożonych w toku postępowania, która w efekcie doprowadziła do uznania, że publikowanie przez Komisję Gier i Dyscypliny (dalej: KGiD) niezanonimizowanych orzeczeń jest bezpodstawne, podczas gdy ww. przepisy przewidują taką możliwość, a ponadto jest to powszechnie stosowana praktyka nie tylko w PZ[...], ale wielu innych związkach sportowych i instytucjach związanych ze sportem (takich jak chociażby Panel Dyscyplinarny przy POLADA), jak również jest to uzasadnione interesem PZ[...] jako- administratora, związanym chociażby z pełnieniem przez J. L. funkcji w Zarządzie PZ[...], - naruszenie następujących przepisów prawa materialnego, tj. art. 6 ust. 1 lit. f RODO, polegające na błędnym niezastosowaniu w niniejszej sprawie ww. przepisu i w efekcie uznanie, że PZ[...] nie posiada podstawy prawnej do przetwarzania danych osobowych J. L., podczas gdy przetwarzanie danych osobowych J. L. zawartych w orzeczeniu KGiD z dnia [...].12.2020 r. jest niewątpliwie niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez PZ[...] jako administratora. W oparciu o powyższe zarzuty wniesiono o uchylenie skarżonego rozstrzygnięcia. W uzasadnieniu skargi wywiedziono, że żadne przepisy nie nakazują, żeby publikowane orzeczenia były zanonimizowane - co w ocenie Skarżącego jest w pełni zgodne z istotą orzeczeń dyscyplinarnych, jak również z ochronną, wychowawczą i prewencyjną funkcją kar orzeczonych w ramach ww. orzeczeń. Gdyby bowiem ww. orzeczenia publikowane były w formie zanonimizowanej, istniałoby realne ryzyko, że osoby nieuprawnione (ukarane np. zakazem podejmowania działalności w ramach PZ[...], podobnie jak Uczestnik) wykonywałyby czynności w ramach PZ[...] - w tym np. pracę z młodzieżą, czy z kontrahentami i sponsorami PZ[...]. Zwrócono uwagę na to, ze gdyby nikt poza ukaranymi nie wiedział, że zostali ukarani dyscyplinarnie i nie mogą brać udziału w rozgrywkach (np. z uwagi na popełnione przez nich faule na innych zawodnikach), mogliby występować oni w meczach, pomimo zakazu. Podkreślono też, że ukarany - jako zawodnik I członek Zarządu PZ[...] - akceptował regulacje prawne obowiązujące w PZ[...] - w tym te związane z możliwością publikacji jego danych osobowych na stronie internetowej PZ[...]. W odpowiedzi na skargę organ wniósł o jej oddalenie. Uczestnik postępowania – J. L.– działający na rozprawie w dniu [...] lutego 2023 r. przez swojego pełnomocnika, wniósł także o oddalenie skargi. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: zgodnie z treścią przepisu art. 1 § 1 i 2 ustawy z dnia 25 lipca 2002 r. – Prawo o ustroju sądów administracyjnych (Dz. U. z 2022 r., poz. 2492 ze zm.) sąd administracyjny sprawuje wymiar sprawiedliwości poprzez kontrolę pod względem zgodności z prawem skarżonej decyzji administracyjnej. Jest więc to kontrola legalności rozstrzygnięcia zapadłego w postępowaniu administracyjnym, z punktu widzenia jego zgodności z prawem materialnym i procesowym. Oceniając przedmiotową decyzję według powyższych kryteriów, uznać należy, iż nie narusza ona prawa. Istota sprawy w niniejszym postępowaniu sprowadzała się do oceny tego, czy skarżące stowarzyszenie wykazało istnienie przesłanki legalizującej przetwarzanie danych osobowych zakwestionowane w skarżonej decyzji. W ocenie tut. Sądu na w/postawione pytanie należało udzielić negatywnej odpowiedzi. Zgodnie z art. 6 ust. 1 rozporządzenia 2016/679, przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy - i w takim zakresie, w jakim - spełniony jest co najmniej jeden z poniższych warunków a) osoba, której dane dotyczą wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów; b) przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy; c) przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze; d) przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej; e) przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi; f) przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem. Analiza ww. regulacji prowadzi do wniosku, że przetwarzanie danych osobowych jest dopuszczalne jedynie w przypadkach wskazanych w ww. przepisie rozporządzenia, a spełnienie co najmniej jednego z nich stanowi w danym przypadku o zgodnym z prawem przetwarzaniu danych osobowych. Oczywiście zgodzić należało się też z organem, że proces przetwarzania danych osobowych musi być zgodny z zasadami ustanowionymi w art. 5 ust. 1 rozporządzenia 2016/679, a do zasad tych zalicza się między innymi zasadę minimalizacji danych (lit. c) która wymaga, by proces przetwarzania danych osobowych był m.in. adekwatny, ograniczony do celów, w których są przetwarzane. Wobec powyższego, w sytuacji gdy administrator danych osobowych wywodził uprawnienie do spornego działania polegającego na kwestionowanej publikacji danych osoby ukaranej z § 44 Regulaminu Dyscyplinarnego PZ[...] oraz art. 18.5.4. World [...] [...] to spór w sprawie zogniskował się na sposobie rozumienia przywołanych regulacji wewnętrznych stowarzyszenia i na ustaleniu, czy skarżący udowodnił, że postępowanie dyscyplinarne wobec J. L. prowadzone było na podstawie regulacji art. 18.5.4. World [...] [...]. Zgodnie bowiem ze znajdującym się w Rozdziele II regulaminu dyscyplinarnego PZ[...] § 44 "Organ orzekający przy rozpatrywaniu sprawy może stosować wprost regulacje zawarte w World [...] [...]. Przewodniczący organu orzekającego w drodze zarządzenia określa procedurę jaka będzie miała zastosowanie przy rozpoznawaniu sprawy". Sposób sformułowania przywołanej wyżej regulacji wprost wskazuje na to, że zasad zawartych w World [...] [...] nie stosuje się automatycznie w każdym postępowaniu dyscyplinarnym. Powyższy § 44 dopuszcza jedynie taką możliwość i pozostawia decyzję w tym zakresie przewodniczącemu organu orzekającego. Przenosząc powyższe na realia faktyczne niniejszej sprawy uznać należało, iż strona skarżąca nie podołała ciążącemu na niej obowiązkowi udowodnienia podnoszonych twierdzeń. W materiale dowodowym zaprezentowanym przez skarżącego próżno bowiem szukać zarządzenia przewodniczącego organu orzekającego w postępowaniu dyscyplinarnym prowadzonym wobec J. L., a wskazującego, że w owym postępowaniu organ orzekający miał stosować zapisy World [...] [...]. Stąd powoływanie się przez skarżącego na istnienie w przepisach World [...] [...] przesłanki legalizującej przetwarzanie spornych danych jawiło się jako nieuprawnione. Konsekwentnie do powyższego organ ochrony danych osobowych, działając w ramach przepisu art. 58 ust. 2 lit. c rozporządzenia 2016/679 – zobowiązany był wydać skarżoną decyzję. Wyjaśniając poprawność skarżonego rozstrzygnięcia Prezesa UODO, na marginesie niejako wskazać też należało stronie skarżącej, iż wyrażenie zgody na przetwarzanie danych osobowych musi być wyrażone wprost (nie może być dorozumiane) i musi dotyczyć konkretnego przypadku ich przetwarzania. Niezależnie od powyższego, z art. 18.5.4. World [...] [...] Federacja World [...] wynika, że można opublikować decyzję Urzędnika Sądowego lub Komitetu Sądowego a takie organy jak Urzędnik Sądowy lub Komitet Sądowy nie istnieją w PZ[...]. Nadto § 44 Regulaminu dopuszcza możliwość stosowania zapisów World [...] [...] tylko przy rozpatrywaniu sprawy dyscyplinarnej a w realiach faktycznych sprawy mamy do czynienia z publikacją danych osobowych - ale istniejącą już po rozpoznaniu sprawy dyscyplinarnej a nie w jej toku. Przywołane okoliczności jeszcze dobitniej podkreślają więc, że skarżona decyzja odpowiada prawu. W tym stanie sprawy, nie podzielając argumentów zawartych w złożonej skardze, oraz uznając iż organ w sposób prawidłowy zebrał i ocenił materiał dowodowy, oraz iż przy wykonywaniu tych czynności nie naruszył przepisów prawa, Wojewódzki Sąd Administracyjny w Warszawie orzekł jak w sentencji wyroku na podstawie art. 151 ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2023 r., poz. 259).