II SA/Wa 2013/17

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Janusz Walawski, Sędziowie WSA Iwona Maciejuk, Piotr Borowiecki (spr.), Protokolant specjalista Elwira Sipak, po rozpoznaniu na rozprawie w dniu 19 czerwca 2018 r. sprawy ze skargi G. S. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] września 2017 r. nr [...] w przedmiocie przetwarzania danych osobowych - oddala skargę - Zaskarżoną decyzją z dnia [...] września 2017 r., nr [...] (dot. [...]), Generalny Inspektor Ochrony Danych Osobowych, (dalej także: "GIODO" lub "organ"), działając na podstawie art. 138 § 1 pkt 1 ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego (tekst jednolity Dz. U. z 2016 r., poz. 23 - dalej także: "k.p.a."), a także art. 12 pkt 2, art. 22, art. 23 ust. 1 pkt 5 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (tekst jednolity Dz. U. z 2016 r., poz. 922 ze zm. - dalej także: "u.o.d.o."), po rozpoznaniu wniosku G.O. (dalej także: "strona skarżąca" lub "skarżąca") z dnia [...] stycznia 2016 r. o ponowne rozpatrzenie sprawy zakończonej wcześniejszą decyzją Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] kwietnia 2017 r., nr [...] (dot. [...]), odmawiającą uwzględnienia wniosku o nakazanie dopełnienia obowiązku przed administratora danych, spółkę pod nazwą Z. z siedzibą w W. (dalej także: "spółka") obowiązku usunięcia ze zbioru danych osobowych dotyczących skarżącej, przechowywanych przez administratora danych w zasobach systemu teleinformatycznego, w tym w ramach portalu [...], w sieci Internet pod adresem: [...] - utrzymał w mocy w/w decyzję z dnia [...] kwietnia 2017 r. Zaskarżona decyzja została wydana w następującym stanie faktycznym. Do Biura Generalnego Inspektora Ochrony Danych Osobowych wpłynęła skarga G.O. z dnia [...] stycznia 2014 r. na przetwarzanie jej danych osobowych przez spółkę pod nazwą Z. z siedzibą w W., przy ul. [...]. W treści skargi, G.O. wskazała, że nie wyrażała zgody na przetwarzanie jego danych osobowych w ramach portalu [...], w związku z czym skarżąca żąda usunięcia jej danych osobowych z bazy spółki oraz portalu internetowego [...]. W związku ze złożoną przez G.O. skargą, Generalny Inspektor Ochrony Danych Osobowych podjął stosowne czynności wyjaśniające, mające na celu ustalenie wszelkich istotnych dla sprawy okoliczności faktycznych. Wobec powyższego, Generalny Inspektor Ochrony Danych Osobowych przeprowadził postępowanie wyjaśniające, w toku, którego ustalił następujące okoliczności faktyczne: 1. Strona [...] jest serwisem internetowym, który umożliwia użytkownikom zamieszczanie informacji, komentarzy i opinii na temat lekarzy i zakładów opieki zdrowotnej. 2. Z regulaminu świadczenia usług drogą elektroniczną przez [...] wynika, iż opinie i informacje o Profesjonalistach (tj. m. in. o skarżącej) mogą dotyczyć wyłącznie działalności zawodowej Profesjonalisty (§ 4 pkt 2). Opinie i informacje o Profesjonalistach mogą opierać się jedynie na osobistych doświadczeniach Użytkownika. Opinie i informacje nie mogą opierać się na relacjach osób trzecich. Wyjątek stanowi opisywanie leczenia dzieci, osób w podeszłym wieku, osób niezdolnych do samodzielnego wystawienia opinii lub zwierząt (§ 4 pkt 3). Niedozwolone jest wielokrotne zamieszczanie przez jednego Użytkownika opinii dotyczących tego samego zdarzenia medycznego (wizyty, badania, zabiegu itp. - § 4 pkt 4). Niedozwolone jest umieszczanie opinii przez Profesjonalistów na własnych Profilach oraz jakiekolwiek próby manipulacji opiniami, informacjami i ocenami (§ 4 pkt 6). Niedozwolone jest umieszczanie opinii i komentarzy, które nie są zgodne z prawdą (§ 4 pkt 7). Informacje, opinie i komentarze nie mogą naruszać prawa, dóbr osobistych, ani zasad współżycia społecznego. W szczególności niedozwolone jest używanie wyrażeń wulgarnych, niecenzuralnych i obraźliwych, stosowanie przezwisk, odnoszenie się do sfery prywatnej i rodzinnej, oskarżanie o popełnienie przestępstwa, wzywanie do stosowania przemocy lub do nienawiści rasowej, wyznaniowej, etnicznej itp. (§ 4 pkt 8). 3. Dnia [...] grudnia 2009 r. na wniosek anonimowego użytkownika portalu [...] spółka dodała dane osobowe skarżącej do prowadzonego przez siebie zbioru danych. Zakres danych osobowych skarżącej pozyskanych przez spółkę to: imię, nazwisko, wykonywany zawód oraz miejsce wykonywania zawodu. 4. Spółka otrzymała żądanie skarżącej dot. usunięcia dotyczących ją danych osobowych. Pismem z dnia [...] października 2016 r. spółka odmówiła skarżącej uwzględnienia jej żądania w tym zakresie, wskazując przy tym, iż zawód skarżącej jest ważny z punktu widzenia interesu publicznego, a dane które przetwarza spółka nie dotyczą prywatnej sfery życia skarżącej. 5. W dniu [...] października 2016 r. do Biura Generalnego Inspektora Ochrony Danych Osobowych wpłynęła skarga G.O. na przetwarzanie jej danych osobowych przez spółkę. 6. Spółka w złożonych wyjaśnieniach z dnia [...] stycznia 2017 r. wskazała, iż cyt.: "Dane skarżącej przetwarzane są na podstawie art. 23 ust. 1 pkt 5 u.o.d.o. (...). Celem przetwarzania danych skarżącej jest informowanie użytkowników Internetu o praktyce skarżącej i wymiana opinii o tej praktyce. Zakres danych osobowych przetwarzanych przez spółkę [...] to imię i nazwisko skarżącej, wykonywant zawód oraz adres, gdzie ten zawód jest wykonywany. Dane są przetwarzane w systemie informatycznym w zbiorze [...] (spółka spełniła wobec skarżącej obowiązek informacyjny wynikający z art. 25 u.o.d.o. poprzez wysłanie informacji wymaganej przez przepisy prawa w formie pisemnej." 7. Pismem z dnia [...] października 2016 r. skierowanym do skarżącej spółka poinformowała ją, iż administratorem danych osobowych skarżącej oraz podała pełną nazwę i adres swojej siedziby, a także wskazała cyt.: "(...) Pani dane osobowe przetwarzane są w celu informowania użytkowników Internetu o prowadzonej przez Panią działalności zawodowej oraz ujawnianie opinii pacjentów o Pani praktyce. Dane jakie przetwarzamy to imię, nazwisko oraz dane teleadresowe. Spółka pozyskała Pani dane w dniu [...] grudnia 2009 r. od anonimowego użytkownika portalu [...]. Posiada Pani prawo dostępu do treści swoich danych oraz ich poprawiania. Na podstawie art. 32 ust. 1 pkt 7 ustawy o ochronie danych osobowych przysługuje Pani prawo wniesienia pisemnego, umotywowanego żądania zaprzestania przetwarzania Pana danych ze względu na Pani szczególną sytuację, jak również - na podstawie art. 32 ust. 1 pkt 8 ustawy o ochronie danych osobowych ma Pani prawo wniesienia sprzeciwu wobec przetwarzania Pani danych w celach marketingowych lub wobec przekazywania ich innemu administratorowi danych". W wyniku analizy całości zgromadzonego materiału dowodowego, Generalny Inspektor Ochrony Danych Osobowych, działając na podstawie art. 104 § 1 k.p.a., a także art. 12 pkt 2, art. 22, art. 23 ust. 1 pkt 5 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych, wydał w dniu [...] kwietnia 2017 r. decyzję nr [...] (dot. [...]), na mocy której odmówił uwzględnienia wniosku skarżącej w przedmiocie nakazanie spółce Z. z siedzibą w W., przy ul. [...] usunięcia danych osobowych skarżącej z bazy danych spółki oraz portalu internetowego [...]. W uzasadnieniu decyzji Generalny Inspektor Ochrony Danych Osobowych wskazał na definicję procesu przetwarzania danych osobowych, zawartą w art. 7 pkt 2 ustawy o ochronie danych osobowych, która definiuje przetwarzanie danych jako jakiekolwiek operacje wykonywane na danych osobowych, takie jak zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie, a zwłaszcza te, które wykonuje się w systemach informatycznych. Ponadto, Generalny Inspektor Ochrony Danych Osobowych podniósł, iż zgodnie z brzmieniem art. 7 ust. 4 u.o.d.o. administratorem danych jest organ, jednostka organizacyjna, podmiot lub osoba, o których mowa w art. 3 u.o.d.o., decydujące o celach i środkach przetwarzania danych. Organ wskazał, że art. 3 ust. 2 pkt 2 u.o.d.o. wskazuje, że administratorami danych są osoby fizyczne i osoby prawne oraz jednostki organizacyjne nie będące osobami prawnymi, jeżeli przetwarzają dane osobowe w związku z działalnością zarobkową, zawodową lub dla realizacji celów statutowych, które mają siedzibę na terytorium Rzeczypospolitej. Generalny Inspektor Ochrony Danych Osobowych wskazał, iż w ramach prowadzonego postępowania administracyjnego oraz z zebranego w sprawie materiału dowodowego, a w szczególności z regulaminu świadczenia usług drogą elektroniczną przez [...] wynika, iż Z. świadczy usługi drogą elektroniczną na rzecz użytkowników serwisu internetowego [...], polegające na umożliwieniu użytkownikom serwisu wymiany informacji, komentarzy i opinii na temat lekarzy i zakładów opieki. Jednocześnie z postanowień ww. regulaminu wynika, iż ww. podmiot decyduje o zamieszczeniu na ww. stronie internetowej bądź też usunięciu z niej informacji, komentarzy lub opinii użytkowników. Wobec powyższego uznać należy, iż spółka jest administratorem danych osobowych skarżącej, bowiem decyduje o celach i środkach przetwarzania tych danych (vide: art. 7 pkt 5 u.o.d.o.). Organ powołując się na ustawę o ochronie danych osobowych wskazał na obowiązki administratora danych, do których m.in. należy przetwarzanie danych osobowych z zachowaniem przesłanek określonych w art. 23 ust. 1 ustawy cytowanej ustawie, zgodnie z którym, przetwarzanie danych jest dopuszczalne tylko wtedy, gdy spełniona jest jedna z przesłanek taksatywnie wskazanych w tym przepisie. Organ wskazał, że stosownie do treści powołanego przepisu, przetwarzanie danych jest dopuszczalne wtedy, gdy: osoba, której dane dotyczą, wyrazi na to zgodę, chyba że chodzi o usunięcie dotyczących jej danych (pkt 1), jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa (pkt 2), jest to konieczne do realizacji umowy, gdy osoba, której dane dotyczą, jest jej stroną lub gdy jest to niezbędne do podjęcia działań przed zawarciem umowy na żądanie osoby, której dane dotyczą (pkt 3), jest niezbędne do wykonania określonych prawem zadań realizowanych dla dobra publicznego (pkt 4), jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą (pkt 5). Katalog przesłanek wymienionych w art. 23 ww. aktu prawnego, jest zamknięty. Każda z przesłanek legalizujących proces przetwarzania danych osobowych ma charakter autonomiczny i niezależny. Oznacza to, że przesłanki te co do zasady są równoprawne, a wobec tego spełnienie co najmniej jednej z nich stanowi o zgodnym z prawem przetwarzaniu danych osobowych. W konsekwencji zgoda osoby, której dane dotyczą nie jest jedyną podstawą przetwarzania danych osobowych, bowiem proces przetwarzania danych będzie zgodny z ustawą również wówczas, gdy administrator danych wykaże spełnienie innej z wyżej wymienionych przesłanek. Organ wskazując na terminologię "usprawiedliwiony cel" zaznaczył, że jest to: "zwrot niedookreślony i stanowi klauzulę generalną w znaczeniu funkcjonalnym, co powoduje, że daje w szczególności pewnego rodzaju luz decyzyjny, dzięki któremu organ stosujący prawo (GIODO), może przy podejmowaniu decyzji, kierować się ocenami indywidualnymi konkretnej sytuacji, a także pewnymi zasadami postępowania niesformułowanymi w przepisach prawa (...)" (vide: P. Barta, P. Litwiński. Ustawa o ochronie danych osobowych. Komentarz. Warszawa 2009, str. 228). Generalny Inspektor Ochrony Danych Osobowych stwierdził, że w przedmiotowej sprawie bezsporne jest, że klauzula usprawiedliwionego celu powoduje, iż administrator danych, który przy przetwarzaniu danych nie legitymuje się przesłankami wymienionymi w art. 23 ust. 1 pkt 1 - 4 u.o.d.o., może powołać się na tę klauzulę, przy czym niezbędnym jest "kazanie przez niego, iż przetwarzanie danych jest mu niezbędne dla realizacji konkretnego celu i realizacja tego celu (zgodnego z prawem) bez przetworzenia danych będzie niemożliwa. Jak wskazuje się w doktrynie cyt. (...) z jednej strony cel przetwarzania danych musi być usprawiedliwiony prowadzoną działalnością administratora lub odbiorcy danych, a z drugiej strony działalność ta nie może być w jakiejkolwiek mierze niezgodna z prawem, zasadami współżycia społecznego czy dobrymi obyczajami (np. zbieranie danych dla szantażu). Nie można, wszakże podawać w wątpliwość istnienia usprawiedliwionego celu tylko z tego powodu, iż ma on - w całości lub części - charakter zarobkowy (...)" (vide: J. Barta, P. Fajgielski, R. Markiewicz. Ochrona Danych Osobowych. Komentarz. LEX 2011, Wydanie V). Organ podkreślił przy tym, iż administrator danych uprawniony do przetwarzania danych osobowych na podstawie tego przepisu prawa umocowany jest także do ich udostępniania. Ustawa o ochronie danych osobowych definiuje bowiem przetwarzanie danych jako jakiekolwiek operacje wykonywane na danych osobowych, takie jak zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie, a zwłaszcza te, które wykonuje się w systemach informatycznych (art. 7 pkt 2 u.o.d.o.). Organ zauważył także, że w przedmiotowej sprawie bezsporne jest, że przedmiotem zarejestrowanej przez spółkę działalności gospodarczej jest między innymi działalność portali internetowych, przetwarzanie danych, zarządzanie stronami internetowymi (hosting) i podobna działalność. Wobec powyższego organ uznał, że opublikowanie przez spółkę ww. danych osobowych skarżącej – G.O. - jako zgodne z przedmiotem działalności gospodarczej spółki i znajduje swe oparcie w powołanym wyżej art. 23 ust. 1 pkt 5 u.o.d.o. Nadto, organ uznał także, że zakres danych osobowych skarżącej przetwarzanych przez spółkę na stronie internetowej [...] jest uzasadniony dla rodzaju prowadzonej przez spółkę działalności komercyjnej związanej z przetwarzaniem danych i działalnością portali internetowych i adekwatny do rodzaju prowadzonej działalności w rozumieniu art. 26 ust. 1 pkt 3 u.o.d.o. Organ stwierdził, że na gruncie niniejszej sprawy cel przetwarzania, przez portal [...], danych osobowych skarżącej jest usprawiedliwiony wyżej opisaną działalnością spółki. Mając powyższe na względzie, Generalny Inspektor Ochrony Danych Osobowych zauważył, że skarżąca nie wykazała, w jaki sposób przedmiotowe udostępnienie jej danych naruszyło jej prawa i wolności, a jedynie domagała się usunięcia jej danych ze strony internetowej [...]. Generalny Inspektor Ochrony Danych Osobowych wskazał, że u.o.d.o. w art. 23 ust. 1 pkt 5 wymaga, aby przetwarzanie danych osobowych przez administratora nie naruszało praw i wolności osoby, której dane dotyczą. Co w ocenie organu z kolei oznacza, że w analizowanej sprawie do takiego naruszenia nie doszło. Mając zatem na uwadze, iż dane osobowe skarżącej udostępniane na stronie internetowej [...] dotyczą wyłącznie życia zawodowego skarżącej, nie sposób uznać, iż doszło do naruszenia jej prawa do ochrony życia prywatnego, rodzinnego czy też prawa do decydowania o swoim życiu osobistym. Jednocześnie zauważyć należy w ocenie organu, iż skarżąca nie wykazała, w jaki sposób przedmiotowe udostępnienie danych skarżącej naruszyło jej prawa i wolności, zaś skarżąca wniosła tylko o usunięcie jej danych ze strony internetowej. Zdaniem GIODO, materiał dowodowy zgromadzony w niniejszej sprawie daje podstawy do przyjęcia, iż skarżąca będąc lekarzem, a więc osobą publiczną wykonującą określone usługi, musi sobie zdawać sprawę, że ich realizacja podlega ocenie, która nie zawsze jest pochlebna. Organ podkreślił, że oznacza to, że ze względu na charakter prowadzonej przez skarżącą działalności prowadzonej, granice dopuszczalnej wobec jej osoby krytyki są szersze, gdyż osoby podejmujące działalność publiczną w sposób świadomy i dobrowolny, a zarazem nieunikniony, poddają się ocenie i reakcji opinii publicznej. Jednocześnie, organ wziął również pod uwagę, że zawód skarżącej podlega regulacjom ustawy z dnia 5 grudnia 1996 r. o zawodach lekarza i lekarza dentysty (DZ. U. z 2011 r. Nr 277, poz. 1634 z późn. zm.). Oznacza to, że zgodnie z art. 8 ust. 1 przedmiotowej ustawy lekarz, który uzyskał prawo wykonywania zawodu albo ograniczone prawo wykonywania zawodu, podlega wpisowi do rejestru prowadzonego przez właściwą okręgową radę lekarską. W ocenie Generalnego Inspektora rejestr ten związany jest ściśle z istotą wykonywania zawodu lekarza i pełni zarówno funkcję informacyjną, jak też ochronną i to nie tylko dla osób korzystających ze świadczeń medycznych, ale również i dla samych lekarzy. Jednakże rejestr ten nie służby wymianie informacji na temat jakości wykonywania pracy lekarzy. Biorąc pod uwagę specyfikę portalu [...], która polega przede wszystkim na stworzeniu szerokiej możliwości otwartej oraz nieskrępowanej wymiany poglądów i ocen, organ wskazał, że oceny są obecnie w Internecie tak rozpowszechnione, że dotyczą wszystkich przejawów życia społecznego i możliwych sfer działalności. Swoboda wypowiadania opinii, której znaczenie we współczesnym społeczeństwie ma niezaprzeczalną wartość, uzasadnia powoływanie się na realizację ważnego interesu publicznego lub prywatnego. Ponadto, organ wskazał, że reasumując, że w rezultacie dla przetwarzania danych osobowych skarżącej nie było konieczne uzyskanie jej zgody, zaś sam fakt, iż spółka odmówiła usunięcia danych osobowych skarżącej pomimo, iż ta kontaktowała się z administratorem forum nie obliguje organu do uwzględnienia wnoszonego żądania. W piśmie z dnia [...] maja 2016 r. strona skarżąca wniosła do Generalnego Inspektora Ochrony Danych Osobowych o ponowne rozpatrzenie sprawy, zakończonej powyższą decyzją z dnia [...] kwietnia 2017 r. Skarżąca wskazał, iż decyzja z dnia [...] kwietnia wydana została wadliwie i jako taka, nie powinna ostać się w obrocie prawnym, wskazując, iż wbrew stanowisku organu - przetwarzanie danych osobowych skarżącej przez spółkę nie pozostaje pod ochroną normy art. 23.ust. 1 pkt 5 u.o.d.o., sama bowiem okoliczność wykonywania przez G.O. zawodu zaufania publicznego tj. zawodu lekarza nie może stanowić przesłanki legalizującej wymienionej w tym przepisie, w sytuacji, gdy dane osobowe wnioskodawczyni są przetwarzane w rejestrze o charakterze komercyjnym, a nie wyraziła ona zgody na ich przetwarzanie. Skarżąca nie podzieliła stanowiska organu dot. jakoby dane osobowe osoby wykonującej zawód zaufania publicznego, zasługiwały na ochronę jedynie w wąskim zakresie. W ocenie skarżącej umknęło przy tym jednocześnie z pola widzenia organu, że inny charakter ma wykonywanie zawodu lekarza, inny zaś działalność osoby publicznej takiej jak np. sprawujący funkcje z wyboru polityk czy członek zarządu krajowego i działacz ogólnopolskiej organizacji społecznej. Skarżąca krytycznie oceniła zachowanie organu dot. zaniechania działań w zakresie poczynionych ustaleń stanu faktycznego sprawy, m.in. poprzez brak odniesienia się w treści uzasadnienia decyzji do treści i charakteru komentarzy udostępnianych przez administratora danych w systemie informatycznym w sieci Internet. W ocenie skarżącej organ nie wziął również pod uwagę, że jakakolwiek możliwość ingerencji lekarza w kwestii przetwarzania jego danych osobowych jest możliwa wyłącznie po jego zarejestrowaniu na portalu. Wobec tego skarżąca stwierdziła, że organ nie ustalił w istocie, czy w odniesieniu do wnioskodawcy - lekarza rzeczywiście istnieje powyższa przesłanka legalizacyjna, skoro dla zapewnienia ochrony swoich danych osobowych musi on spełnić dodatkowe i to pozaustawowe obowiązki w postaci zawarcia z administratorem (właścicielem portalu) stosownej umowy cywilnoprawnej. W wyniku ponownego rozpatrzenia sprawy Generalny Inspektor Ochrony Danych Osobowych - działając na podstawie art. 138 § 1 pkt 1 k.p.a., a także art. 12 pkt 2, art. 22, art. 23 ust. 5 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych - decyzją z dnia [...] września 2017 r., nr [...],[...]utrzymał w mocy swoją wcześniejszą decyzję z dnia [...] kwietnia 2017 r. W uzasadnieniu decyzji Generalny Inspektor Ochrony Danych Osobowych podtrzymał i ponownie wskazał na swoje stanowisko, zawarte w decyzji z dnia [...] kwietnia. W dalszej części uzasadnienia, Generalny Inspektor Ochrony Danych Osobowych odnosząc się do zarzutów strony skarżącej w zakresie komercyjnego charakteru działalności spółki, podniesionego we wniosku o ponowne rozpatrzenie wskazał, iż dane osobowe skarżącej w okolicznościach faktycznych niniejszej sprawy nie były przetwarzane przez spółkę w celach komercyjnych. Organ wskazał, że skarżąca nie zarejestrowała się w serwisie internetowym spółki i tym samym nie zawarła z nią umowy o świadczenie usług. Oznacza to, że spółka zaś na stronie [...] jedynie informowała o działalności zawodowej skarżącej wykorzystując do tego celu ogólnodostępne rejestry. Ponadto, organ wskazał, że nie może podzielić stanowiska strony skarżącej odnośnie prawidłowości przetwarzania danych osobowych skarżącej, wskazując raz jeszcze należy, iż mając na uwadze, że art. 23 ust. 1 pkt 5 ustawy wymaga, aby przetwarzanie danych osobowych przez administratora nie naruszało praw i wolności osoby, której dane dotyczą, w ocenie Generalnego Inspektora w analizowanej sprawie do takiego naruszenia nie doszło. Odnosząc się z kolei do zarzutu pełnomocnika skarżącej, iż dostęp i poprawianie danych osobowych zgromadzonych przez spółkę jest możliwe wyłącznie po zawarciu przez skarżącą płatnej umowy ze spółką, wskazać należy, iż w toku kontroli przeprowadzonej przez Generalnego Inspektora Ochrony Danych Osobowych w spółce ustalono, iż spółka w żaden sposób nie blokuje profesjonalistom (lekarzom) możliwości realizowania ich praw wynikających z ustawy o ochronie danych osobowych. Organ podkreślił, że każdy Profesjonalista, w tym niezarejestrowany w serwisie, może zgłaszać swoje żądania dotyczące np. konieczności uzupełnienia, uaktualnienia czy sprostowania jego danych osobowych oraz uwagi, sugestię i błędy strony [...], w każdy dostępny dla niego sposób, np. listownie, za pośrednictwem poczty elektronicznej - przesyłając wiadomość na adres [...], za pośrednictwem formularza kontaktowego znajdującego się na stronie internetowej spółki. Organ wskazał, że każde tego typu żądanie jest rozpatrywane indywidualnie, po czym spółka udziela odpowiedzi zgłaszającemu. Organ uznał, że w nie podziela zarzutu skarżącej, iż organ nie odniósł się w treści uzasadnienia decyzji do treści i charakteru komentarzy udostępnionych przez administratora danych w systemie informatycznym. W tym miejscu organ ponownie stwierdził, że skarżąca będąc lekarzem, a więc osobą publiczną wykonującą określone usługi, musi sobie zdawać sprawę, że ich realizacja podlega ocenie, która nie zawsze jest pochlebna, zaś z uwagi na charakter prowadzonej przez skarżącą działalności prowadzonej, granice dopuszczalnej wobec jej osoby krytyki są szersze, gdyż osoby podejmujące działalność publiczną w sposób świadomy i dobrowolny, a zarazem nieunikniony, poddają się ocenie i reakcji opinii publicznej. Mając powyższe na względzie, organ wskazał, że w niniejszej sprawie niezarejestrowani Profesjonaliści (skarżąca) mogą zgłaszać spółce nadużycia związane z publikowanymi przez użytkowników serwisu opiniami na ich temat w analogiczny sposób jak żądania dotyczące np. konieczności uzupełnienia, uaktualnienia czy sprostowania jego danych osobowych oraz uwagi, sugestię i błędy strony [...]. Oznacza to, że w przypadku, gdy spółka stwierdzi naruszenie Regulaminu świadczenia usług drogą elektroniczną przez [...] w ww. aspekcie opinia naruszająca Regulamin jest usuwana z serwisu. Organ zaznaczył, że w niniejszej sprawie skarżąca nie wykazała w jaki konkretnie sposób wpisy użytkowników serwisu na jej nieweryfikowanym profilu na stronie [...] naruszały jej prawa, a w szczególności jej dobre imię i cześć. Organ wskazał także, że skarżąca nie powzięła też żadnych działań mających na celu usuniecie przedmiotowym wpisów. Na marginesie, organ wskazał, że jeżeli w ocenie skarżącej doszło do naruszenia jej dóbr osobistych przez autorów komentarzy publikowanych na stronie [...] na profilu skarżącej, którymi zgodnie z art. 23 ustawy z dnia 23 kwietnia 1964 r. Kodeks cywilny (Dz. U. z 2016 r. poz. 380 z późn. zm.), są w szczególności zdrowie, wolność, cześć, swoboda sumienia, nazwisko lub pseudonim, wizerunek, tajemnica korespondencji, nietykalność mieszkania, twórczość naukowa, artystyczna, wynalazcza i racjonalizatorska, to może ona dochodzić swych roszczeń z tego tytułu w drodze powództwa cywilnego wytoczonego przed właściwym miejscowo sądem powszechnym. Zgodnie bowiem z art. 24 Kodeksu cywilnego, ten, czyje dobro osobiste zostaje zagrożone cudzym działaniem, może żądać zaniechania tego działania, chyba że nie jest ono bezprawne. W razie dokonanego naruszenia może on także żądać, ażeby osoba, która dopuściła się naruszenia, dopełniła czynności potrzebnych do usunięcia jego skutków, w szczególności, żeby złożyła oświadczenie odpowiedniej treści i w odpowiedniej formie. Reasumując Generalny Inspektor ponownie stwierdził, że w rezultacie dla przetwarzania danych osobowych skarżącej nie było konieczne uzyskanie jej zgody. Organ ponownie wskazał, że brak jest podstaw do wydania w stosunku do skarżonego podmiotu jakiegokolwiek nakazu na podstawie ww. art. 18 ust. 1. Generalny Inspektor Ochrony Danych Osobowych wyjaśnił, że z materiału dowodowego zgromadzonego w sprawie wynika, iż spółka spełniła wobec skarżącej pismem z dnia [...] października 2016 r. obowiązek informacyjny, o którym mowa w art. 25 ust. 1 u.o.d.o. W piśmie z dnia [...] listopada 2017 r. strona skarżąca, reprezentowana przez adwokata, wniosła do Wojewódzkiego Sądu Administracyjnego w Warszawie skargę na powyższą decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] września 2017 r. Wnosząc o uchylenie zaskarżonej decyzji z dnia [...] września 2017 r. oraz poprzedzającej ją decyzji GIODO z dnia [...] kwietnia 2017 r., a także o zasądzenie kosztów postępowania według norm przepisanych, w tym kosztów zastępstwa procesowego, strona skarżąca zarzuciła Generalnemu Inspektorowi Ochrony Danych Osobowych: 1. naruszenie art. 21 ust. 2 u.o.d.o. w zw. z art. 13 § 2, art. 53 § 1 i art. 54 § 1 oraz art. 50 §1 w zw. z art. 3 § 2 pkt 1 p.p.s.a., 2. naruszenie przepisów prawa materialnego - art. 57 § 1 pkt 3 p.p.s.a., które miało wpływ na wynik sprawy, a to art. 23 ust. 1 pkt 5 w zw. z art. 26 ust. 1 pkt 3 u.o.d.o., – poprzez niewłaściwe ich zastosowanie, prowadzące do konstatacji, że przetwarzanie danych osobowych lekarza przez podmiot komercyjny, którego przedmiot działalności gospodarczej stanowi działalność portali internetowych oraz działalność usługowa w zakresie informacji, jest niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów i odbiorców tych danych, a ich przetwarzanie nie narusza praw i wolności osoby, której dane te dotyczą, i jako takie jest dopuszczalne i adekwatne w stosunku do celów, w jakich dane te są przetwarzane — w sytuacji gdy zgodnie z art. 8 ust. 1 ustawy z dn. 5 grudnia 1996 r. o zawodach lekarza i lekarza dentysty, regulowanym przez prawo rejestrem lekarzy, którzy uzyskali prawo wykonywania zawodu jest rejestr prowadzony przez właściwą miejscowo okręgową radę lekarską, a lekarz, który uzyskał prawo wykonywania zawodu albo ograniczone prawo wykonywania zawodu, podlega wpisowi do tego rejestru, co zapewnia opinii publicznej możliwość uzyskania informacji o osobach wykonujących te zawody, 3. naruszenie przepisów postępowania - art. 57 § 1 pkt 3 p.p.s.a., które miało wpływ na wynik sprawy, tj. art. 7 k.p.a., art. 107 § 3 k.p.a., – wskutek zaniechania wszechstronnego rozważenia całokształtu materiału dowodowego oraz poczynienia istotnych ustaleń, w tym możliwości spełnienia przez administratora danych deklarowanego celu istnienia portalu z związku z komercyjnym charakterem portalu ukierunkowanego na osiągnięcie zysku oraz pominięcie okoliczności, iż możliwość ustosunkowania się przez lekarza do opinii użytkowników portalu, warunkowana jest koniecznością zarejestrowania się na prowadzonym przez ten podmiot portalu i zawarcia z nim umowy. W uzasadnieniu skargi strona skarżąca przedstawiła argumenty, które - w jej ocenie - świadczyć mają o istotnym naruszeniu powołanych wyżej przepisów przez organ rozstrzygający sprawę. Strona skarżąca uznała, że nie znajduje uzasadnienia stanowisko Generalnego Inspektora Ochrony Danych Osobowych, zgodnie z którym przetwarzanie danych osobowych skarżącej nie jest niezbędne dla wypełnienia prawnie usprawiedliwionego celu realizowanego przez administratora danych, tj. spółkę pod firmą Z. z siedzibą w W. Jednocześnie skarżąca podniosła, że przetwarzanie tych danych narusza prawa i wolności skarżącej. Skarżąca nie podzieliła stanowiska organu, że przetwarzanie danych osobowych skarżącej przez spółkę nie pozostaje pod ochroną normy art. 23 ust. 1 pkt 5 u.o.d.o., sama bowiem okoliczność wykonywania przez skarżącą zawodu zaufania publicznego tj. zawodu lekarza nie może stanowić przesłanki legalizującej wymienionej w tym przepisie, w sytuacji, gdy dane osobowe skarżącej są przetwarzane w rejestrze o charakterze komercyjnym, a nie wyraziła ona zgody na ich przetwarzanie. W związku z powyższym skarżąca podniosła, że zgoda nie może być domniemana ani dorozumiana z oświadczenia woli o innej treści. Skarżąca zaznaczyła, że tym zakresie odróżnia się ona od typowego oświadczenia woli, o którym stanowi kodeks cywilny. Oznacza to, w ocenie skarżącej, że nie wystarcza zatem samo powiadomienie o zamiarze przetwarzania danych osobowych i brak sprzeciwu z drugiej strony, tj. ze strony osoby, której dane mają być przetwarzane. W dalszej części uzasadnienia do skargo skarżąca wskazał, że rejestr o którym mowa w art. 8 ust. 1 ustawy o zawodzie lekarza i lekarza dentysty związany jest ściśle z istotą wykonywania zawodu lekarza, zgodnie z treścią art. 2 ust. 2 tej ustawy, który stanowi, że wykonywanie zawodu lekarza polega na udzielaniu przez osobę posiadającą wymagane kwalifikacje, potwierdzone odpowiednimi dokumentami, świadczeń zdrowotnych, w szczególności: badaniu stanu zdrowia, rozpoznawaniu chorób i zapobieganiu im, leczeniu i rehabilitacji chorych, udzielaniu porad lekarskich, a także wydawaniu opinii i orzeczeń lekarskich. Skarżąca stwierdziła, że z dyspozycji art. 2 ust. 1 i 2 i art. 8 ustawy o zawodach lekarza i lekarza dentysty - tylko rejestr prowadzony przez właściwą okręgową izbę lekarską pełni zarówno funkcję informacyjną, jak też ochronną i to nie tylko dla osób korzystających ze świadczeń medycznych, ale również i dla samych lekarzy. Strona skarżąca – powołując się na art. 9 ustawy o zawodach lekarza i lekarza dentysty podniosła, że taką samą funkcję pełni rejestr dla lekarzy nieposiadających prawa wykonywania zawodu na terytorium RP, a będących obywatelami UE i posiadających prawo do wykonywania zawodu w innym państwie członkowskim UE niż RP. W ocenie skarżącej oznacza to, że rejestr prowadzony przez właściwą okręgową radę lekarską nie ma charakteru prywatnego i komercyjnego, nie służy też celom marketingowym usług medycznych. W związku z powyższym - taki natomiast charakter ma rejestr prowadzony przez spółkę pod firmą Z. portal [...], zaś z przedmiotu działania spółki nie wynika cel społeczny przetwarzania danych. W tym miejscu skarżąca wskazała na stanowisko Naczelnego Sądu Administracyjnego, zawarte w wyroku z dnia 21 kwietnia 2015 r., sprawa o sygn. akt I OSK 1480/14 w którym to NSA dokonał tożsamej oceny w analogicznym stanie faktycznym. W ocenie strony skarżącej, organ niesłusznie uznał, że dane osobowe osoby wykonującej zawód zaufania publicznego, zasługiwały na ochronę jedynie w wąskim zakresie. W ocenie strony skarżącej umknęło przy tym jednocześnie z pola widzenia organu, że inny charakter ma wykonywanie zawodu lekarza, inny zaś działalność osoby publicznej takiej jak np. sprawujący funkcje z wyboru polityk czy członek zarządu krajowego i działacz ogólnopolskiej organizacji społecznej, zaś przyjęta przez organ interpretacja pojęcia "osoby publicznej" i oparta na niej konkluzja o zawężonym zakresie ochrony jej danych osobowych, pozostaje w oderwaniu od realiów wykonywania zawodu lekarza. Strona skarżąca podniosła, iż sam fakt przetwarzania danych osobowych skarżącej przez portal o charakterze komercyjnym, w połączeniu z udostępnianą przez ten portal opcją dodawania komentarzy przez odbiorców danych, przy jednoczesnym braku redakcji i dopuszczaniu do publikacji komentarzy o charakterze noszącym znamiona pomówienia, stanowi naruszenie dóbr osobistych takich jak godność osobista, cześć i dobre imię skarżącej. W powyższym kontekście skarżąca krytycznie oceniła brak odniesienia się przez organ do treści i charakteru komentarzy udostępnianych przez administratora danych w systemie informatycznym w sieci Internet, na stronie dotyczącej skarżącej. Ponadto, w ocenie skarżącej organ nie wziął również pod uwagę, że jakakolwiek możliwość faktycznego ustosunkowania się przez lekarza do opinii użytkowników portalu, jest możliwa wyłącznie po jego zarejestrowaniu na portalu, co wiąże się z koniecznością zawarcia umowy. Powyższe oznacza, że w odniesieniu do skarżącej, nawet w przypadku hipotetycznego zaistnienia dwóch przesłanek legalizujących - przy założeniu, że administrator danych istotnie realizowałby prawnie usprawiedliwione cele, a przetwarzanie danych osobowych skarżącej byłoby rzeczywiście niezbędne do ich wypełnienia - okoliczność, iż dla zapewnienia ochrony swoich danych osobowych musi ona spełnić dodatkowe, pozaustawowe obowiązki w postaci zawarcia z administratorem danych (właścicielem portalu) umowy cywilnoprawnej, niweczy sama w sobie przesłankę trzecią, którą stanowi przetwarzanie danych w sposób nienaruszający praw i wolności osoby, której dane przetwarzaniu podlegają. W orzecznictwie wskazuje się, że pominięcie w uzasadnieniu decyzji oceny okoliczności faktycznych mogących mieć istotny wpływ na rozstrzygnięcie sprawy stwarza przesłankę do uznania naruszenia przez organ przepisów o postępowaniu administracyjnym w stopniu wywierającym istotny wpływ na wynik sprawy. Uzasadniając wniosek o wstrzymanie wykonania zaskarżonej decyzji GIODO, strona skarżąca wskazała na wyrok Naczelnego Sądu Administracyjnego z dnia 25 stycznia 2011 r., sprawa o sygn. akt II GSK 96/10, w którym NSA wskazał, iż "Uzasadnienie faktyczne decyzji powinno w szczególności zawierać wskazanie faktów, które organ uznał za udowodnione, dowodów, na których się oparł, oraz przyczyn, z powodu których innym dowodom odmówił wiarygodności i mocy dowodowej, zaś uzasadnienie prawne - wyjaśnienie podstawy prawnej decyzji, z przytoczeniem przepisów prawa. W szczególności decyzje odmowne (negatywne) lub częściowo odmowne dla wnioskodawcy powinny być przekonująco i jasno uzasadnione, zarówno co do faktów, jak i co do prawa, tak aby nie było wątpliwości, że wszystkie okoliczności istotne dla sprawy zostały głęboko rozważone i ocenione, a ostateczne rozstrzygnięcie jest ich logiczną konsekwencją. Z decyzji musi zatem wynikać między innymi, iż organ nie pozostawił poza swoimi rozważaniami argumentów podnoszonych przez stronę, nie pominął istotnych dla rozstrzygnięcia sprawy materiałów dowodowych lub nie dokonał oceny tych materiałów wbrew zasadom logiki lub doświadczenia życiowego". W podsumowaniu skarżąca podniosła, iż zgodnie z art. 7 k.p.a. w toku postępowania organy administracji publicznej stoją na straży praworządności, z urzędu lub na wniosek stron podejmują wszelkie czynności niezbędne do dokładnego wyjaśnienia stanu faktycznego oraz do załatwienia sprawy, mając na względzie interes społeczny i słuszny interes obywateli. Oznacza to, w ocenie skarżącej, że mając na względzie argumenty podniesione w niniejszej skardze oraz fakt, iż skarżąca nie jest zainteresowana zawarciem umowy ze Z. i nie chce świadczyć usług medycznych za pośrednictwem tej Spółki, nie sposób uznać by prawnie usprawiedliwiony cel uzasadniał przetwarzanie danych osobowych skarżącej G.O. przez Spółkę. W odpowiedzi na skargę Generalny Inspektor Ochrony Danych Osobowych wniósł o jej oddalenie, podtrzymując swoje dotychczasowe stanowisko wyrażone w uzasadnieniu zaskarżonej decyzji. Ustosunkowując się do zarzutów strony naruszenia przez Generalnego Inspektora Ochrony Danych Osobowych art. 3 k.p.a. organ wskazał, że jest on bezpodstawny. Organ podniósł, że decyzja z dnia [...] kwietnia 2017 r. jak i utrzymująca ją w mocy decyzja z dnia [pic][...] września 2017 r., wbrew twierdzeniom skarżącej, zawierają wskazanie dowodów wraz z okolicznościami uznanymi za udowodnione i uzasadnienie. dokonanych ocen oraz pozostałe elementy wskazane w art. 107 k.p.a. Generalny Inspektor Ochrony Danych Osobowych wskazał, że zgodnie z art. 12 pkt 2 u.o.d.o. do zadań organu należy w szczególności wydawanie decyzji administracyjnych i rozpatrywanie skarg w sprawach wykonania przepisów o ochronie danych osobowych. Stosownie do art. 14 u.o.d.o. w celu wykonania zadań, o których mowa w art. 12 pkt 1 i 2. Generalny Inspektor Ochrony Danych Osobowych, zastępca Generalnego Inspektora Ochrony Danych Osobowych lub upoważnieni przez niego pracownicy Biura mają prawo: 2) żądać złożenia pisemnych lub ustnych wyjaśnień oraz wzywać i przesłuchiwać osoby w zakresu niezbędnym do ustalenia stanu faktycznego. 3) wglądu do wszelkich dokumentów i wszelkich danych mających bezpośredni związek z przedmiotem kontroli oraz sporządzania ich kopii. Generalny Inspektor Ochrony Danych Osobowych zauważył ponadto, że w niniejszej sprawie w celu zweryfikowania zarzutów skarżącej względem spółki, korzystając z instrumentów prawnych określonych w cytowanym art. 14 u.o.d.o., zwrócił się do ww. podmiotu o złożenie pisemnych wyjaśnień oraz potwierdzających je dowodów w sprawie przedstawionej w ww. skardze. Organ podkreślił, że do materiału dowodowego sprawy załączone zostały wyniki kontroli przeprowadzonej przez organ w siedzibie spółki, a podkreślenia wymaga, że ze względu na charakter wskazanych uprawnień organu, przysługujących mu w toku prowadzonego postępowania administracyjnego, organ rozstrzygając sprawę poddaną jego ocenie, opiera się przede wszystkim na pisemnych wyjaśnieniach stron i przesłanych przez nie dowodach. Powyższe wskazuje, że sposób działania organu ochrony danych osobowych jest zdeterminowany spoczywającym na nim. na mocy art. 77 § 1 k.p.a., zgodnie z którym ma on obowiązek wyczerpującego zebrania oraz rozpatrzenia całego materiału dowodowego. Organ podkreślił, że wydanie decyzji administracyjnej w sprawie należącej do właściwości Generalnego Inspektora ochrony Danych Osobowych musi być bowiem poprzedzone dokładnym zbadaniem jej okoliczności praktycznych oraz zebraniem niezbędnego i wystarczającego materiału dowodowego. Wskazując, na orzecznictwo sądowo – administracyjne organ wskazał, że jak wielokrotnie podkreślał Naczelny Sąd Administracyjny, z art. 77 § 1 k.p.a. oraz wyrażonej w art. 7 tego aktu prawnego zasady prawdy obiektywnej wynika, że ciężar dowodu spoczywa na organie administracji (por. wyrok NSA OZ 'w Lublinie z dnia 15 września 1992 r.; sygn. akt SA/Lu 601/92, wyrok NSA OZ w Gdańsku z dnia 16 października 1998 r.; sygn. akt: I SA/Gd 92/98), zaś wydanie decyzji administracyjnej w sprawie należącej do właściwości Generalnego Inspektora Ochrony Danych Osobowych musi być poprzedzone dokładnym zbadaniem jej okoliczności faktycznych [pic][pic]zebraniem kompletnego, wewnętrznie spójnego materiału dowodowego. Reasumując, organ wskazał, że biorąc powyższe pod uwagę. należy podkreślić, że obydwie decyzje administracyjne zostały wydane w oparciu o wystarczający materiał dowodowy, pozyskany w wyniku postępowania administracyjnego przeprowadzonego zgodnie z zasadami określonymi w k.p.a. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje. Zgodnie z art. 1 § 1 i 2 ustawy z dnia 25 lipca 2002 r. - Prawo o ustroju sądów administracyjnych (tekst jednolity Dz. U. z 2017 r., poz. 2188 ze zm.), sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej, przy czym kontrola ta sprawowana jest pod względem zgodności z prawem, jeżeli ustawy nie stanowią inaczej. W świetle powołanych przepisów cyt. ustawy, Wojewódzki Sąd Administracyjny w Warszawie, w zakresie swojej właściwości, ocenia zaskarżoną decyzję administracyjną, postanowienie, czy też inny akt lub czynność z zakresu administracji publicznej dotyczącą uprawnień lub obowiązków wynikających z przepisów prawa, z punktu widzenia ich zgodności z prawem materialnym i przepisami postępowania administracyjnego, według stanu faktycznego i prawnego obowiązującego w dacie wydania tego aktu lub podjęcia spornej czynności. Chodzi więc o kontrolę aktów lub czynności z zakresu administracji publicznej dokonywaną pod względem ich zgodności z prawem materialnym i przepisami procesowymi, nie zaś według kryteriów słuszności, czy też zgodności z zasadami współżycia społecznego. Ponadto, co wymaga podkreślenia, Sąd rozstrzyga w granicach danej sprawy, nie będąc jednak związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną (vide: art. 134 § 1 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi - tekst jednolity Dz. U. z 2017 r., poz. 1369 ze zm., dalej także: "p.p.s.a."). Należy jednocześnie wyraźnie zaznaczyć, że od dnia wejścia w życie Traktatu Akcesyjnego z dnia 16 kwietnia 2003 r. (Dz. U. z 2004 r. Nr 90, poz. 864), na mocy, którego Polska stała się państwem członkowskim Unii Europejskiej, kontrola sądu administracyjnego obejmuje również zgodność rozstrzygnięć organów administracji publicznej z prawem europejskim (prawem Unii Europejskiej), rozumianym, jako całokształt dorobku prawnego Unii Europejskiej (acquis communautaire), w tym zasad ogólnych prawa europejskiego, interpretowanych oraz stosowanych w sposób jednolity na całym obszarze Unii Europejskiej. W tej sytuacji, Wojewódzki Sąd Administracyjny w Warszawie, dokonując oceny legalności zaskarżonej decyzji Generalnego Inspektora Ochrony Danych Osobowych, zobowiązany był wziąć pod uwagę również jej zgodność z przepisami prawa europejskiego, w tym przede wszystkim regulacjami zawartymi w Dyrektywie nr 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych (Dz. Urz. UE L z dnia 23 listopada 1995 r. Nr 281, s. 31; Dz. Urz. UE-sp.13-15-355 ze zm.). W ocenie Wojewódzkiego Sądu Administracyjnego w Warszawie, analizowana pod tym kątem skarga G.O. nie zasługuje na uwzględnienie, albowiem zaskarżona decyzja Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] września 2017 r., nr [...] (dot. [...]), utrzymująca w mocy decyzję tego organu z dnia [...] kwietnia 2017 r. odmawiającą uwzględnienia wniosku o nakazanie dopełnienia obowiązku przed administratora danych, spółkę pod nazwą Z. z siedzibą w W. (dalej także: "spółka") obowiązku usunięcia ze zbioru danych osobowych dotyczących skarżącej, przechowywanych przez administratora danych w zasobach systemu teleinformatycznego, w tym w ramach portalu [...], w sieci Internet pod adresem: [...], wydaną w sprawie zainicjowanej skargą G.O. z dnia [...] stycznia 2016 r. – nie narusza obowiązujących przepisów prawa. Sąd uznał bowiem, że - wbrew stanowisku strony skarżącej - Generalny Inspektor Ochrony Danych Osobowych, wydając wskazane powyżej decyzje administracyjne nie uwzględniające skargi G.O., prawidłowo przyjął, że w analizowanej sprawie wskazany przez skarżącą podmiot – Z., - uznał, że opublikowanie przez spółkę danych osobowych skarżącej jest zgodne z przedmiotem działalności gospodarczej spółki i znajduje swe oparcie w art. 23 ust. 1 pkt 5 u.o.d.o. – co oznacza, że podmiot ten nie dopuścił się naruszenia powszechnie obowiązujących przepisów o ochronie danych osobowych. Ponadto, w wyniku przeprowadzenia analizy stanowiska organu administracji publicznej, zaprezentowanego w uzasadnieniu zaskarżonej decyzji, Sąd stwierdził, że - wbrew stanowisku strony skarżącej - Generalny Inspektor Ochrony Danych Osobowych, wydając zaskarżoną decyzję z dnia [...] września 2017 r. oraz utrzymaną nią w mocy decyzję z dnia [...] kwietnia 2017 r., nie dopuścił się - mogącego mieć zasadniczy wpływ na wynik sprawy - naruszenia przepisów procedury administracyjnej, a w szczególności art. 7 k.p.a., art. 77 § 1 k.p.a., art. 80 k.p.a., a także art. 107 § 3 k.p.a. w zw. z art. 22 ustawy o ochronie danych osobowych, albowiem wyjaśnił wszystkie okoliczności istotne dla prawidłowego i pełnego rozstrzygnięcia sprawy, a także dokonał właściwej analizy zebranego w sprawie materiału dowodowego, w szczególności w zakresie przesłanek prawidłowego przetwarzania danych osobowych skarżącej, jako zasadniczej podstawy do oddalenia wniesionej przez G.O. skargi z dnia [...] stycznia 2016 r. na przetwarzanie jej danych osobowych przez wspomnianą wyżej spółkę – Z. W działaniu Generalnego Inspektora Ochrony Danych Osobowych jako organu administracji publicznej wydającego obie sporne decyzje, Sąd nie dopatrzył się jakichkolwiek istotnych nieprawidłowości, zarówno, gdy idzie o ustalenie stanu faktycznego sprawy, jak i o zastosowanie do jego oceny przepisów prawa materialnego. Ponadto, Sąd uznał, że w uzasadnieniu zaskarżonej decyzji Generalnego Inspektora Ochrony Danych Osobowych wyjaśnione zostały w sposób dostatecznie jasny i przekonywujący motywy jej podjęcia, zaś przytoczona w tym zakresie argumentacja jest wyczerpująca i w pełni odnosząca się do stanowiska strony skarżącej. Tym samym, Sąd uznał, że Generalny Inspektor Ochrony Danych Osobowych, wydając sporne decyzje administracyjne – nie dopuścił się w powyższym zakresie istotnego naruszenia zasady praworządności wyrażonej w przepisach art. 6 k.p.a. i art. 7 in principio k.p.a. oraz art. 7 Konstytucji RP. Przechodząc do oceny legalności zaskarżonej decyzji, należy na wstępie wyraźnie wskazać, że spór w zasadniczej części sprowadza się do rozstrzygnięcia, czy Generalny Inspektor Ochrony Danych Osobowych, dokonując w ramach prowadzonego postępowania administracyjnego oceny legalności przetwarzania danych osobowych strony skarżącej przez spółkę pod nazwą Z. z siedzibą w W., przy ul. [...] uwzględnił wszelkie istotne okoliczności przetwarzania tych danych w oparciu o całokształt prawidłowo zgromadzonego materiału dowodowego oraz właściwe przepisy o ochronie danych osobowych, a w szczególności, czy prawidłowo przyjął, iż spółka jest administratorem danych osobowych skarżącej. Dokonując powyższej oceny, wskazać trzeba, iż Generalny Inspektor Ochrony Danych Osobowych jest organem do spraw ochrony danych osobowych. Jego podstawowe zadania i kompetencje zostały wymienione w art. 12 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych. Jednym z zadań GIODO, określonym w art. 12 ust. 2 cyt. ustawy, jest rozpoznawanie skarg w sprawach wykonania przepisów o ochronie danych osobowych. Przedmiotem takiej skargi może być na przykład brak dbałości administratora o merytoryczną poprawność przetwarzanych danych, przetwarzanie tych danych w innym celu niż ten, dla którego zostały zebrane, bezpodstawne nieudostępnianie danych. Skarga może dotyczyć również podejrzenia przetwarzania danych przez osobę nieuprawnioną. Jeżeli zatem określona osoba zgłasza GIODO nieprawidłowości w zakresie przetwarzania danych osobowych, jest on zobligowany do wszczęcia postępowania wyjaśniającego, którego zadaniem jest ustalenie czy dane osobowe są w istocie przetwarzane, jeżeli tak, to w jakim celu i czy proces ten następuje z poszanowaniem przepisów ustawy o ochronie danych osobowych. GIODO wszczyna i prowadzi postępowanie na wniosek strony według przepisów Kodeksu postępowania administracyjnego i rozstrzyga sprawę indywidualną strony w zakresie objętym jej wnioskiem, wydając w tym zakresie decyzję administracyjną (vide: wyrok WSA w Warszawie z dnia 9 listopada 2011 r., sygn. akt II SA/Wa 1363/11). Taka sytuacja miała miejsce w rozpoznawanej sprawie. Otóż, Generalny Inspektor Ochrony Danych Osobowych, rozpatrując skargę G.O. z dnia [...] stycznia 2016 r., dokonał oceny legalności przetwarzania danych osobowych skarżącej przez spółkę pod nazwą Z. z siedzibą w W., przy ul. [...], uwzględniając okoliczności przetwarzania tych danych, całokształt materiału dowodowego oraz przepisy prawa, w tym przepisy ustawy o ochronie danych osobowych. Skoro postępowanie przed Generalnym Inspektorem Ochrony Danych Osobowych zostało zainicjowane w niniejsze sprawie na wniosek skarżącej, to zgodnie z przepisem art. 18 ust. 1 ustawy o ochronie danych osobowych, organ ten zobowiązany był zbadać, czy doszło do naruszeń, na które wskazywała skarżąca, jako osoba zainteresowana, a w przypadku stwierdzenia naruszenia przepisów o ochronie danych osobowych, GIODO zobowiązany był, w drodze decyzji administracyjnej, nakazać przywrócenie stanu zgodnego z prawem, a w szczególności: 1. usunięcie uchybień; 2. uzupełnienie, uaktualnienie, sprostowanie, udostępnienie lub nieudostępnianie danych osobowych; 3. zastosowanie dodatkowych środków zabezpieczających zgromadzone dane osobowe; 4. wstrzymanie przekazywania danych osobowych do państwa trzeciego; 5. zabezpieczenie danych lub przekazanie ich innym podmiotom; 6. usunięcie danych osobowych. Treścią decyzji wydanej na podstawie cytowanego wyżej przepisu powinien być nakaz przywrócenia stanu zgodnego z prawem, który może dotyczyć konkretnego (określonego w pkt 1-6) działania lub zaniechania. GIODO powinien stosować konkretne nakazy z uwzględnieniem charakteru stwierdzonego naruszenia, tj. adekwatne do stopnia naruszenia i zagrożenia praw osoby, której dane dotyczą. Stwierdzony przez organ stan naruszenia przepisów o ochronie danych osobowych powinien istnieć w dacie wydania decyzji (vide: por. J. Barta, P. Fajgielski, R. Markiewicz, Ochrona danych osobowych. Komentarz, Zakamycze 2004 r.). W literaturze podnosi się, iż mamy tu do czynienia ze stopniowaniem sankcji administracyjnych (w zależności od rodzaju uchybienia), a Generalny Inspektor Ochrony Danych Osobowych powinien stosować konkretne nakazy z uwzględnieniem charakteru stwierdzonego naruszenia, tj. adekwatne (współmierne) do stopnia naruszenia i zagrożenia praw osoby, której dane dotyczą (zob. G. Sibiga, Postępowanie w sprawach ochrony danych osobowych, Warszawa 2003, s. 153). W literaturze i orzecznictwie wyrażany jest również pogląd, zgodnie, z którym stwierdzony przez organ stan naruszenia przepisów o ochronie danych osobowych powinien istnieć w dacie wydania decyzji, natomiast, jeżeli postępowanie administracyjne zostało wszczęte w wyniku stwierdzenia nieprawidłowości przez inspekcję, a w trakcie tego postępowania ustanie stan naruszenia prawa (np. administrator usunie uchybienia), postępowanie staje się bezprzedmiotowe, a organ wydaje decyzję o jego umorzeniu na podstawie art. 105 k.p.a. (por. m.in. wyrok Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 13 marca 2014 r., sygn. akt II SA/Wa 1988/13, publ. http://orzeczenia.nsa.gov.pl). Wykonując powierzone zadania w świetle przepisów cyt. ustawy, GIODO obowiązany jest dokonać oceny zgodności z prawem przetwarzania danych osobowych wnoszącego skargę. Rolą organu powołanego do spraw ochrony danych osobowych jest zatem - w każdej indywidualnej sprawie - przede wszystkim ustalenie czy dane osobowe konkretnego skarżącego przetwarzane są zgodnie z prawem. Ocena w tym zakresie determinuje bowiem rodzaj rozstrzygnięcia organu. Pamiętać przy tym należy, że przez przetwarzanie danych rozumie się m.in. ich zbieranie, utrwalanie, opracowywanie, udostępnianie (art. 7 pkt 2 u.o.d.o.). Stosownie do art. 22 ustawy o ochronie danych osobowych, postępowanie w sprawach uregulowanych w tej ustawie prowadzi się według przepisów Kodeksu postępowania administracyjnego, o ile przepisy ustawy nie stanowią inaczej. Z uwagi na fakt, iż ustawa o ochronie danych osobowych nie reguluje kwestii postępowania dowodowego i powinności organu związanych z czynieniem ustaleń faktycznych, zastosowanie w tym zakresie znajdują reguły i zasady określone w Kodeksie postępowania administracyjnego. W ocenie Sądu, należy uznać, że w rozpoznawanej sprawie Generalny Inspektor Ochrony Danych Osobowych przeprowadził postępowanie dowodowe w zakresie niezbędnym do jej rozstrzygnięcia. Postępowanie prowadzone przez GIODO miało charakter kontrolny w tym znaczeniu, że organ badał, czy dane skarżącego były przetwarzane przez spółkę pod nazwą Z. z siedzibą w W., przy ul. [...], a jeżeli tak, to czy w procesie przetwarzania nie doszło do uchybień, których stwierdzenie obligowałoby Generalnego Inspektora Ochrony Danych Osobowych do wydania stosownego nakazu zgodnie z treścią art. 18 ust. 1 ustawy. Zdaniem Sądu, postulat przeprowadzenia kontroli przetwarzania danych osobowych formułowany przez skarżącą został zrealizowany, choć nie w ramach zadania tego organu, o którym mowa w art. 12 pkt 1 u.o.d.o., czyli kontroli przetwarzania danych zgodnie z przepisami o ochronie danych osobowych, gdyż tego typu kontrole nie dotyczą spraw indywidualnych. Była to kontrola przybierająca postać postępowania wyjaśniającego, dokonana w ramach realizacji zadania organu określonego w art. 12 pkt 2 cyt. ustawy. Ustalenia faktyczne, jakich dokonał organ, pozwoliły na wyprowadzenie wniosku, który Sąd ocenia jako prawidłowy, że w przedmiotowej sprawie nie doszło do naruszenia przepisów ustawy o ochronie danych osobowych, nie było zatem podstaw do zastosowania nakazów przewidzianych w art. 18 ust. 1 u.o.d.o. Wojewódzki Sąd Administracyjny w Warszawie pragnie wyraźnie zauważyć, że zadaniem ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych nie jest jedynie stanie na straży interesów tych, których przetwarzane dane osobowe dotyczą. Naczelną zasadą ustawy nie jest też zakaz przetwarzania danych osobowych, lecz przestrzeganie zakresu i trybu ich przetwarzania. W art. 1 ustawy o ochronie danych osobowych stwierdza się bowiem, że przetwarzanie danych osobowych może mieć miejsce, jeżeli służy to dobru publicznemu, dobru osoby, której dane dotyczą lub dobru osób trzecich. Ochrona danych osobowych, na podstawie przepisów powołanej ustawy, nie powinna być oderwana od przepisów służących ochronie innych wartości. Stosownie do treści art. 7 pkt 2 cyt. ustawy, przez przetwarzanie danych osobowych rozumie się jakiekolwiek operacje wykonywane na danych osobowych, takie jak zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie, a zwłaszcza te, które wykonuje się w systemach informatycznych. Z kolei w przepisie art. 23 ust. 1 ustawy o ochronie danych osobowych zostały wymienione przesłanki legalizujące przetwarzanie danych osobowych. Zgodnie z treścią tego przepisu przetwarzanie danych jest dopuszczalne tylko wtedy, gdy: (1) osoba, której dane dotyczą, wyrazi na to zgodę, chyba że chodzi o usunięcie dotyczących jej danych, (2) jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa, (3) jest to konieczne do realizacji umowy, gdy osoba, której dane dotyczą, jest jej stroną lub gdy jest to niezbędne do podjęcia działań przed zawarciem umowy na żądanie osoby, której dane dotyczą, (4) jest niezbędne do wykonania określonych prawem zadań realizowanych dla dobra publicznego, (5) jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą. Wskazany powyżej przepis ustawy o ochronie danych osobowych określa ogólne materialne przesłanki przetwarzania danych osobowych. Przesłanki te mają charakter generalny, odnoszą się do wszelkich form przetwarzania danych, w tym zarówno do przetwarzania "na własne potrzeby" administratora, jak i "na zewnątrz". Są one co do zasady równoprawne, mają charakter autonomiczny i niezależny, co oznacza, że wystarczy wystąpienie jednej z nich, by przetwarzanie danych mogło być uznane za usprawiedliwione. Oznacza to także, że zgoda osoby, której dane dotyczą, nie jest wyłączną przesłanką przetwarzania danych osobowych (por. J. Barta, P. Fajgielski, R. Markiewicz, Ochrona danych osobowych. Komentarz, System Informacji Prawnej LEX, 2015 r.). Nie ulega wątpliwości, że każda z wymienionych w przepisie art. 23 ust. 1 u.o.d.o. podstaw stanowi odrębną przesłankę dopuszczalności przetwarzania danych osobowych i na gruncie określonego stanu faktycznego musi bezwzględnie uzasadniać przetwarzanie. Zgodnie z art. 23 ust. 1 pkt 5 ustawy o ochronie danych osobowych, przetwarzanie takich danych jest dopuszczalne wtedy, gdy jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą Art. 32 ust. 1 u.o.d.o. stanowi natomiast, iż każdej osobie przysługuje prawo do kontroli przetwarzania danych, które jej dotyczą, zawartych w zbiorach danych, a zwłaszcza prawo do wniesienia sprzeciwu wobec przetwarzania jej danych w przypadkach wymienionych w art. 23 ust. 1 pkt 4 i 5, gdy administrator danych zamierza je przetwarzać w celach marketingowych lub wobec przekazywania jej danych osobowych innemu administratorowi danych (pkt 8). Zatem, podstawą ich przetwarzania jest przepis art. 23 ust. 1 pkt 5 u.o.d.o., zgodnie, z którym przetwarzanie danych jest dopuszczalne tylko wtedy, gdy jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą. Warto w tym miejscu zauważyć, że przepis art. 23 ust. 1 pkt 4 cyt. ustawy wskazuje na istnienie dwóch warunków, których wystąpienie pozwala na legalne przetwarzanie danych osobowych. Po pierwsze: przetwarzanie danych musi być niezbędne do wykonania określonych prawem zadań i po drugie: zadania te muszą być realizowane dla dobra publicznego. Konstrukcja tej regulacji wyraźnie precyzuje, że obie przesłanki muszą wystąpić łącznie, toteż zawsze niezbędność przetwarzania danych osobowych w procesie realizacji określonych prawem zadań musi służyć dobru publicznemu. Oznacza to, że niezbędność przetwarzania danych należy rozpatrywać w ścisłej korelacji z dobrem publicznym. Przepis ten jest uregulowaniem usprawiedliwiającym przetwarzanie danych osobowych dla dobra publicznego. Jego zastosowanie możliwe jest niejako w warunkach swoistego stanu wyższej konieczności, tj. wówczas, gdy administrator danych przedkłada dobro publiczne nad interes jednostki, bo jest to niezbędne do wykonania określonych prawem zadań. Norma zawarta w art. 23 ust. 1 pkt 4 u.o.d.o. nie precyzuje, że mają to być zadania należące tylko do kompetencji administratora danych. Pojęcie "dobra publicznego" należy interpretować na płaszczyźnie publicznoprawnej, na której ustawodawca - w interesie wszystkich obywateli - uprawniony jest do określenia ładu w każdej dziedzinie życia społecznego, odpowiadającego założonym przez niego celom służącym ogółowi obywateli z poszanowaniem konstytucyjnych wartości. Zatem dobro publiczne pojmować należy jako szeroko rozumiany interes publiczny. Należy wskazać, że art. 23 ust. 1 pkt 5 określany jest w doktrynie przedmiotu mianem tzw. klauzuli usprawiedliwionego celu, przesłanki, która oznacza, że "przetwarzanie danych osobowych jest dopuszczalne tylko wtedy, gdy jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą". Innymi słowy, jej spełnienie stanowi dostateczną legitymację do legalnego w świetle ustawy o ochronie danych osobowych przetwarzania danych osobowych. Nie jest wymagane, więc spełnienie innych przesłanek. Słuszność tej opinii potwierdził Naczelny Sąd Administracyjny w swoim wyroku z dnia 21 listopada 2002 r., sprawa o sygn. akt II SA 2247/2001 w którym to NSA uznał, iż przetwarzanie danych osobowych nie jest zawsze uzależnione od zgody osoby, której te dane dotyczą, co wynika z art. 23 ust. pkt 2-5. W innym wyroku z dnia 19 listopada 2001 r., sprawa o sygn. akt II 2748/00 Naczelny Sąd Administracyjny uznał, że zwrot "usprawiedliwione cele" stanowi termin niedookreślony, ale również klauzulę generalną. Skutkuje to przyznaniem nie tylko administratorom danych, ale i organom stosującym prawo pewnego zakresu luzu decyzyjnego. Najważniejszymi elementami klauzuli usprawiedliwionego celu w świetle art. 23 ust. 1 pkt 5 u.o.d.o. jest po pierwsze: "niezbędność" dla wypełnienia celów realizowanych przez administratorów oraz po drugie wymóg, aby te cele były "prawnie usprawiedliwione". Pierwszy element sprowadzić można do wniosku, iż tylko osiągnięcie określonego celu realizowanego przez administratora lub odbiorcę danych może stanowić dostateczną przesłankę dla legalnego przetwarzania danych osobowych. Oznacza to, że na administratorze danych spoczywa obowiązek udowodnienia, iż przetwarzanie danych osobowych, którego dokonuje jest niezbędne dla realizacji tego celu. Zaznaczyć trzeba, iż cytowany przepis przyznaje tożsame uprawnienie także dla odbiorców danych (są nimi najczęściej administratorzy danych, którym inny administrator przekazuje dane osobowe). Z kolei, analizując pojęcie "niezbędności", trzeba mieć na względzie przede wszystkim konieczność działania (konieczność przetwarzania danych osobowych), bez którego zadania nałożone przepisami prawa na określony podmiot nie zostaną zrealizowane dla dobra publicznego. Całkowita niemożność realizacji zadań - w zwykłym trybie - implikuje niezbędność, o której mowa w art. 23 ust. 1 pkt 4 ustawy o ochronie danych osobowych. Nie można powiedzieć, że przetwarzanie danych osobowych jest niezbędne, jeśli odstąpienie od ich przetwarzania spowodowałoby tylko utrudnienia w realizacji przewidzianych (określonych) prawem zadań albo - z drugiej strony - rzekome ułatwienie w ten sposób wykonywania zadań byłoby próbą wkraczania w zakres uprawnień, tak jak w tym przypadku, podmiotu zatrudniającego. Niezbędność musi być oczywista. Pamiętać również należy, iż zawarta w u.o.d.o. definicja "przetwarzania danych" obejmuje również m.in.: ich udostępnianie. Z kolei drugi element, odnosi się do "prawnego usprawiedliwienia" celu realizowanego przez administratora danych albo odbiorców danych, dla którego to dokonuje się przetwarzania danych. W literaturze przedmiotu często podkreśla się, że "prawnego usprawiedliwienia" nie można utożsamiać z jakimś konkretnym przepisem szczegółowym. Gdyby przyjąć odmienne stanowisko, to nieuchronnie prowadziłoby to do kolizji zakresu dwóch przesłanek legalizujących przetwarzanie danych, tj. klauzuli usprawiedliwionego celu z art. 23 ust. 1 pkt 5 oraz przesłanki zapisanej w pkt 2 niniejszego przepisu, która upoważnia do przetwarzania danych wówczas, gdy "jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa". Wskazuje się bowiem, iż taką decydującą rolę odgrywać powinien raczej przedmiot działalności danego podmiotu. Przy czym należy podkreślić fakt, iż nie chodzi tu o każde "prawne usprawiedliwienie" wynikające głównie z działalności prowadzonej przez administratorów lub odbiorców danych, ale tylko i wyłącznie takiej, która pozostaje w zgodzie z powszechnie obowiązującymi normami prawa. W innym przypadku bowiem, klauzula usprawiedliwionego celu nie zostanie spełniona, a przetwarzanie danych uzyska cechy działania niezgodnego z prawem (nielegalnego). Sąd wskazuje, iż jak wynika z analizy akt postępowania przedmiotem zarejestrowanej przez spółkę działalności gospodarczej jest między innymi działalność portali internetowych, przetwarzanie danych, zarządzanie stronami internetowymi i podobna działalność. Oznacza to, że opublikowanie przez spółkę ww. danych osobowych skarżącej - było zgodne z przedmiotem działalności gospodarczej spółki oraz czynność ta znajduje swoje oparcie w powołanym wyżej art. 23 ust. 1 pkt 5 u.o.d.o. Odnosząc się w tym miejscu do zarzutów strony skarżącej, w których zwracała ona uwagę na brak uzasadnienia dla przetwarzania jej danych osobowych na stronie internetowej [...] Sąd wskazuje, że dla rodzaju prowadzonej przez spółkę działalności związanej z przetwarzaniem danych i działalnością portali internetowych jest adekwatne do rodzaju prowadzonej działalności w rozumieniu art. 26 ust. 1 pkt 3 u.o.d.o. W związku z powyższym należy wskazać, że pozyskiwanie danych osobowych musi odbywać się zgodnie z zasadą adekwatności. Administrator powinien przetwarzać tylko takiego rodzaju dane i tylko o takiej treści, które są niezbędne ze względu na cel zbierania danych. Dane osobowe nie mogą być zbierane na zapas, "na wszelki wypadek", tj. bez wykazania celowości ich pozyskania i niezbędności dla realizacji zadań administratora danych. Oznacza to, że spółka pod nazwą Z. z siedzibą w W., przy ul. [...] jako administrator danych przetwarzający dane dołożył szczególnej staranności w celu ochrony interesów osób, których dane dotyczą, a szczególności jest ich zakres był merytorycznie poprawny i adekwatny w stosunku do celów, w jakich są przetwarzane. Cel przetwarzania, przez portal [...] danych osobowych skarżącej jest usprawiedliwiony wyżej opisaną działalnością spółki. Należy wskazać, że przedmiotowa działalność nie jest w jakiejkolwiek mierze niezgodna z prawem i zasadami współżycia społecznego czy dobrymi obyczajami. Ponadto, w ocenie Sądu należy podkreślić, że nie można podawać wątpliwość istnienia usprawiedliwionego celu tylko z tego powodu, że ma on w całości lub części charakter zarobkowy. Odnosząc się do zarzutu przetwarzania danych osobowych skarżącej w celach komercyjnych Sąd podziela stanowisko organu. Skarżąca G.O. nie zarejestrowała się w serwisie internetowym spółki i tym samym nie zawarła umowy o świadczenie usług ze spółką. Spółka poprzez portal internetowy [...] jedynie informowała o działalności zawodowej skarżącej, wykorzystując do tego celu ogólnodostępne rejestry. W dalszej części Sąd odnosząc się do zarzutu skarżącej dot. naruszenia prawa i wolności osoby, której dane dotyczą wskazuje, iż takie stanowisko skarżącej nie znajduje odzwierciedlenia na gruncie niniejszej sprawy. Jak wskazuje doktryna w tym zakresie, ustawodawca z pewnością nie miał na myśli "prawa do ochrony danych osobowych" czy też prawa do decydowania o przetwarzaniu informacji dotyczących danej osoby, gdyż chodzi tu o przesłankę legalizującą wkroczenie w sferę tych praw. Oznacza to, że mając zatem na uwadze. iż dane osobowe skarżącej, udostępniane na ww. stronie internetowej dotyczą wyłącznie życia zawodowego nie sposób uznać, iż doszło do naruszenia jej prawa do ochrony życia prywatnego, rodzinnego czy też prawa do decydowania o swoim życiu osobistym. Sąd pragnie podkreślić także, że skarżąca na żadnym etapie postępowania nie podniosła, na czym w jej ocenie miałoby polegać naruszenie przez spółkę jej prawa i wolności, w tym prawa do ochrony prawnej życia prywatnego, zarówno w złożonych przed Generalnym Inspektorem Ochrony Danych Osobowych wyjaśnieniach, jak też w pismach kierowanych do spółki. Należy także zauważyć, że skarżąca nie wskazała na istnienie jakichkolwiek okoliczności, które mogłyby podlegać właściwej oraz rzetelnej ocenie zarówno przez administratora danych, jak i przez organ ochrony danych osobowych. Skarżąca, podnosząc, że nie wyrażała zgody na publikację jej danych osobowych na administrowanym przez spółkę portalu nie może tym stanowić samodzielnej podstawy dla usunięcia kwestionowanych danych przez spółkę. Podsumowując, Sąd wskazuje, iż Generalny Inspektor Ochrony Danych Osobowych uznał za zgodne z przepisami, że w rezultacie w analizowanym procesie przetwarzania danych nie było konieczne uzyskanie zgody skarżącej, zaś fakt odmowy przez spółkę usunięcia danych osobowych skarżącej pomimo, iż jontaktowała się z administratorem danych spółki - nie obliguje organu do uwzględnienia żądania skarżącej w tym zakresie. Zdaniem Sądu, nie ulega wątpliwości, że związanie rygorami procedury administracyjnej oznacza, że GIODO jest obowiązany m.in. do przestrzegania zasady pogłębiania zaufania obywateli do organów praworządnego Państwa (art. 8 k.p.a.). Zdaniem Sądu, organ uwzględniając powyższą zasadę zobowiązany jest dokładnie wyjaśnić okoliczności sprawy, konkretnie ustosunkować się do żądań i twierdzeń strony skarżącej oraz uwzględnić w decyzji zarówno interes społeczny, jak i słuszny interes strony. Organ administracji jest ponadto obowiązany w sposób wyczerpujący zebrać i ocenić cały materiał dowodowy (art. 7, art. 77 § 1 i art. 80 k.p.a.) oraz uzasadnić swoje rozstrzygnięcie według wymagań określonych w przepisie art. 107 § 3 k.p.a. Mając powyższe na uwadze, należy uznać, że wydając sporną decyzję administracyjną z dnia [...] września 2017 r., Generalny Inspektor Ochrony Danych Osobowych nie dopuścił się w toku postępowania jakichkolwiek istotnych uchybień formalnych, które uniemożliwiłyby Sądowi dokonanie prawidłowej oceny zarzutów skargi i wypowiedzenie się co do legalności (zasadności) podjętego rozstrzygnięcia. Sąd uznał, że uzasadnienie zaskarżonej decyzji spełnia wymogi przewidziane przez ustawodawcę w przepisie art. 107 § 3 k.p.a., gdyż w jej treści organ wyraźnie wskazał, dlaczego - pomimo podniesionych przez stronę skarżącą argumentów i przedłożonych materiałów dowodowych - w wyniku przetwarzania danych dotyczących skarżącej nie doszło jednak do naruszenia przepisów o ochronie danych osobowych. W konsekwencji powyższych ustaleń, Sąd uznał, że skoro Generalny Inspektor Ochrony Danych Osobowych stwierdził, że w niniejszej sprawie nie ma podstaw do przywrócenia stanu zgodnego z prawem - zasadnie odmówił uwzględnienia wniosku strony skarżącej. Biorąc powyższe pod uwagę, Wojewódzki Sad Administracyjny w Warszawie orzekł, jak w sentencji wyroku, działając na podstawie przepisu art. 151 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi. [pic][pic]