II SA/Wa 2015/16

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Sędziowie WSA Stanisław Marek Pietras, Danuta Kania, Iwona Maciejuk (spr.), , Protokolant starszy sekretarz sądowy Aneta Duszyńska, po rozpoznaniu na rozprawie w dniu 29 sierpnia 2017 r. sprawy ze skargi G. Sp. z o.o. z siedzibą w W. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] września 2016 r. nr [...] w przedmiocie przetwarzania danych osobowych 1. uchyla zaskarżoną decyzję oraz poprzedzającą ją decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] maja 2016 r. nr [...]; 2. zasądza od Generalnego Inspektora Ochrony Danych Osobowych na rzecz G. Sp. z o.o. z siedzibą w W. kwotę 697 (słownie: sześćset dziewięćdziesiąt siedem) złotych, tytułem zwrotu kosztów postępowania. W dniu 26 listopada 2015 r. do Generalnego Inspektora Ochrony Danych Osobowych wpłynęła skarga R. Z. na nieprawidłowości w procesie przetwarzania jego danych osobowych przez G. Wnioskodawca zwrócił się jednocześnie o nakazanie Spółce G. Sp. z o.o. z siedzibą w W. usunięcia jego danych osobowych (zablokowania wyników wyszukiwania w europejskich wynikach wyszukiwania [...]) z wyszczególnionych w tej skardze adresów URL. R. Z. powołując się na wyrok TS z dnia [...] maja 2014 r. sygn. akt [...] wskazał, że dostawcy usług wyszukiwarek internetowych takich jak [...] ([...]) są administratorami danych osobowych. Skoro G. działa w Polsce, to jego działanie podlega prawu polskiemu, nadto wskazał, że G. działa w Polsce za pośrednictwem spółki G. Sp. z o.o. Skarżący podał, że samodzielnie wystąpił do G. o usunięcie linków z jego danymi osobowymi. Podniósł, że część wyników została zablokowana przez G. automatycznie, zaś w pozostałej części ten podmiot zapewnił wnioskodawcę, że podejmie "ręczne" działania. R. Z. wskazał, że skarga do GIODO dotyczy wyników wyszukiwania, co do których G. nie podjął żadnych czynności w celu zablokowania, mimo, że zawierają jego dane osobowe (imię, nazwisko, miejsce zamieszkania). Wnioskodawca wskazał, że wyniki wyszukiwania, których zablokowania się domaga znajdują się jedynie w pamięci podręcznej G., ponieważ nie znajdują się już na stronach źródłowych. Skarżący podniósł, iż w sytuacji, gdy wskazano, że wyniki wyszukiwania z jego danymi zostaną ręcznie zablokowane, a następnie nie zrobiono nic w tym zakresie, powyższe uzasadnia skargę, albowiem jest to sprzeczne z zasadami przetwarzania danych osobowych. Pismem z dnia 30 grudnia 2015 r. skierowanym do GIODO R. Z. rozszerzył wskazaną wyżej skargę o dwa adresy URL. Podał pod jakim numerem była zarejestrowana jego sprawa w G. Przedstawił korespondencję prowadzoną z G. G. Sp. z o.o. z siedzibą w W. w odwiedzi na wezwanie GIODO, pismem z dnia 25 stycznia 2016 r. poinformowała organ, że właścicielem, operatorem i usługodawcą systemu wyszukiwawczego o nazwie "[...]" (tj. wyszukiwarki internetowej [...]), a także strony [...] oraz [...] nie jest spółka G. Sp. z o.o., lecz spółka G. z siedzibą w [...]. Wskazano, że spółka G. Sp. z o.o. nie świadczy za pośrednictwem wyszukiwarki [...], jak również strony [...] oraz [...] żadnej usługi, a w szczególności Spółka m.in. nie ustawia, nie zmienia ani nie dokonuje jakiejkolwiek innej modyfikacji konfiguracji systemu wyszukiwawczego [...], m.in. pod kątem tego, czy i jakie opisy stron internetowych są wyświetlane w ramach wyników wyszukiwania, nie posiada środków prawnych, technicznych czy organizacyjnych pozwalających na kontrolę sposobu świadczenia usług wyszukiwania w sieci Internet przez Spółkę G. Spółka G. Sp. z o.o. Wskazała, że prowadzi działalność reklamową oraz usługi marketingu reklam internetowych, i to tylko i wyłącznie na rzecz innych spółek swojej grupy kapitałowej (tj. pozyskuje klientów). Status spółek G. Sp. z o.o. oraz G. w kontekście ww. usługi, w sposób jednoznaczny potwierdza również treść: a) dokumentu pt. "Warunki korzystania z usługi [...]", który jest dostępny pod adresem [...] oraz b) okoliczności, że użytkownikiem domen [...] oraz [...] jest spółka G." Wskazano, że G. Sp. z o.o. nie jest administratorem danych osobowych przetwarzanych w systemie wyszukiwawczym (wyszukiwarce) o nawie "[...]" - pozostaje nim G. z siedzibą w [...]. Podniesiono również, że R. Z. nie zwracał się do G. Sp. z o.o. z siedzibą w [...] o usunięcie jego danych osobowych z wyszukiwarki internetowej [...]. Wskazano, że jedynym podmiotem, który może ustosunkować się do zarzutów R. Z. i odpowiedzieć na pytania GIODO jest administrator danych przetwarzanych w wyszukiwarce internetowej, czyli G. z siedzibą w [...]. Podniesiono, że wezwanie GIODO powinno zostać skierowane do G. na utworzony w tym celu adres. Generalny Inspektor Ochrony Danych Osobowych decyzją z dnia [...] maja 2016 r. nr [...], na podstawie art. 18 ust. 1 pkt 6, art. 22, art. 23 ust. 1 w zw. z art. 35 ust. 1 i 2 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (t.j. Dz. U. z 2015 r. poz. 2135 z późn. zm.), zwanej dalej u.o.d.o., w punkcie 1) nakazał G.Sp. z o.o. z siedzibą w [...] zaprzestanie przetwarzania danych osobowych R. Z. poprzez usunięcie danych osobowych z wyników wyszukiwarki [...] odnośnie następujących adresów: [...],[...]; w punkcie 2) w pozostałym zakresie umorzył postępowanie. W uzasadnieniu GIODO podał, iż w trakcie postępowania ustalił, że część wskazanych w skardze adresów URL nie powoduje wyświetlania treści w przeglądarce internetowej [...], wymieniono je w punkcie I podpunkty od 1 do 5. W punkcie II podpunkt 6 organ wskazał adres, który nie zawiera danych osobowych R.Z.. GIODO podał w odniesieniu do adresów URL wskazanych w punkcie III podpunkt 7 i 8, że wyniki wyszukiwania nie zawierają danych osobowych skarżącego, dokumenty zostały zanonimizowane. Adres wskazany w punkcie IV podpunkt 9 - porządek obrad [...] Sesji Rady Powiatu [...], zawiera imię i nazwisko skarżącego, adres wskazany w punkcie IV podpunkt 10 projekt Protokołu Nr [...][...] Sesji Rady Powiatu [...] V Kadencji odbytej [...] maja 2015 roku w sali konferencyjnej Starostwa Powiatowego w [...] ul. [...] pod przewodnictwem Przewodniczącej Rady Powiatu [...] - zawiera imię i nazwisko skarżącego. GIODO podniósł, że w świetle wyroku Trybunału Sprawiedliwości Unii Europejskiej z dnia [...] maja 2014 r. [...], operatorem wyszukiwarki [...] jest G., spółka dominująca grupy G. z siedzibą w [...]. G. indeksuje strony internetowe. Grupa G. prowadzi przez swoją Spółkę zależną G.Sp. z o.o. na terytorium Rzeczypospolitej Polskiej promocję sprzedaży przestrzeni reklamowej stwarzanej na stronie internetowej [...]. Oddział lub Spółka zależna ustanowiona w Polsce przekazuje swojej Spółce dominującej znajdującej się poza Unią Europejską ww. wnioski i żądania kierowane do niej przez osoby, których dane dotyczą. GIODO ustalił, że G.Sp. z o.o. posiada odrębną od G. osobowość prawną i stanowi spółkę zależną G. działającą na terytorium Polski oraz wykonującą działalność gospodarczą w rozumieniu art. 4 ust. 1 lit. A) dyrektywy 95/46/WE. Organ wskazał, że nie ulega wątpliwości, iż działalność prowadzona przez operatora wyszukiwarki internetowej [...] tj. G. oraz działalność reklamowa G.Sp. z o.o. są ze sobą nierozerwalnie powiązana, gdyż jak wskazał TS UE cyt.: (...) działalność związana z powierzchniami reklamowymi stanowi środek służący uczynieniu rozpatrywanej wyszukiwarki internetowej opłacalną pod względem gospodarczym, a wyszukiwarka ta stanowi jednocześnie środek umożliwiający prowadzenie tej działalności." W ocenie GIODO, wbrew wyjaśnieniom G. Sp. z o.o., mając na uwadze ww. wyrok TS UE przyjąć należy, iż Trybunał Sprawiedliwości UE wskazał, iż art. 4 ust.l lit a) dyrektywy 95/46/WE należy interpretować w ten sposób, że przetwarzanie danych osobowych ma miejsce w ramach działalności gospodarczej prowadzonej przez zakład administratora danych odpowiedzialnego za to przetwarzanie na terytorium danego państwa w rozumieniu tego przepisu, jeśli operator wyszukiwarki internetowej ustanawia w danych państwie członkowskim oddział lub spółkę zależną, których celem jest promocja i sprzedaż powierzchni reklamowych oferowanych za pośrednictwem tej wyszukiwarki, a działalność tego oddziału lub tej spółki zależnej jest skierowana do osób zamieszkujących to państwo. Następnie GIODO stwierdził, iż biorąc wiec pod uwagę przedmiot, sposób oraz formę działalności gospodarczej G. Sp. z o.o. (tj. promowanie usług reklamowych wśród podmiotów m.in. z terytorium Rzeczypospolitej Polskiej, które mogą być realizowane z wykorzystaniem wyszukiwarki internetowej [...] uznać należy ww. spółkę za podmiot ustanowiony przez operatora ww. wyszukiwarki internetowej. Organ wskazał, iż przetwarzanie danych osobowych odbywa się na terytorium tego kraju członkowskiego, na którego terytorium działalność gospodarczą prowadzi taki podmiot. Do podmiotów powołanych przez operatorów wyszukiwarek internetowych spełniających ww. warunki, należy stosować przepisy zarówno samej dyrektywy 95/46 jak też przepisy prawa krajowego w celu ochrony przetwarzania danych osobowych. Reasumując GIODO stwierdził, że w sprawach dotyczących skarg osób fizycznych zamieszkujących na terytorium kraju na odmowę usunięcia ich danych osobowych udostępnionych w wynikach wyszukiwania w wyszukiwarce internetowej [...], podmiotem w stosunku, do którego kierowane winny być ewentualne decyzje w przedmiocie nakazu, o którym mowa w art. 18 ust. 1 pkt 6 ustawy o ochronie danych osobowych będzie G.Sp. z o.o., a więc spółka zależna G., której celem jest promocja i sprzedaż powierzchni reklamowych, a co jest nierozerwalnie związane z funkcjonowaniem samej wyszukiwarki [...]. Powyższe stanowisko, gwarantuje realizację praw i obowiązków osób, zamieszkałych na terytorium Rzeczypospolitej Polskiej, których dane osobowe są przetwarzane w wyszukiwarce internetowej [...]. W dalszej części uzasadnienia decyzji GIODO podał, że w okolicznościach przedmiotowej sprawy, gdy dane osobowe R. Z. nie są już przetwarzane na stronach internetowych Starostwa Powiatowego w [...], usunięte zostały bowiem na żądanie skarżącego, co potwierdza korespondencja administratora danych ze skarżącym (pismo Starosty [...] z dnia [...] października 2015 r. - kopia pism w aktach sprawy), a nadal pojawiają się w wynikach wyszukiwania [...] (wydruki w aktach sprawy) - nie występuje żadna z przesłanek, o których mowa w art. 23 ust. 1 pkt 1-5 u.o.d.o., pozwalająca na aktualne przetwarzanie tych danych osobowych. Organ stwierdził, iż przetwarzanie danych osobowych R. Z. w wynikach wyszukiwania nie znajduje oparcia w obowiązujących przepisach prawa i dokonywane jest z naruszeniem przepisów dotyczących ustawy o ochronie danych osobowych. Organ wskazał, że zgodnie z wyrokiem Trybunału Sprawiedliwości UE w sprawie G.([...]) wniosek o zaprzestanie przetwarzania danych osobowych, w pierwszej kolejności powinien być przez skarżącego skierowany do operatora wyszukiwarki internetowej. Dopiero w przypadku braku właściwej reakcji po stronie operatora, należy zwrócić się do krajowego organu ds. ochrony danych osobowych. Organ wskazał, że powyższa procedura została dochowana w przedmiotowej sprawie, w której skarżący zwrócił się z żądaniem na adres [...], administrowany przez G., a następnie, p otrzymaniu odpowiedzi, wniósł skargę do GIODO. To biorąc pod uwagę GIODO wystosował nakaz, o którym mowa w punkcie 1 decyzji. W odniesieniu do punktu 2 decyzji GIODO podał, że część wskazanych adresów URL nie zawiera danych osobowych Skarżącego (wydruki w aktach sprawy). Pozostałe, wskazane przez skarżącego adresy URL pozostają nieaktywne, wobec czego stosownie do art. 105 § 1 k.p.a., gdy postępowanie z jakiejkolwiek przyczyny stało się bezprzedmiotowe, organ administracji publicznej wydaje decyzję o umorzeniu postępowania. G.Sp. z o.o. wniosła o ponowne rozpatrzenie sprawy rozstrzygniętej wymienioną decyzją wnosząc o jej uchylenie w całości i umorzenie w całości postępowania administracyjnego z powodu skierowania decyzji do osoby nie będącej stroną w sprawie. Podniesiono, że G. nie jest administratorem danych osobowych, a sam skarżący skierował żądanie usunięcia danych osobowych wobec innego podmiotu, tj. G. z siedzibą w [...]. Z tego względu postępowanie wobec G. jest bezprzedmiotowe. Wskazano przy tym, że sam skarżący miał świadomość, który podmiot jest administratorem danych ponieważ skorzystał z formularzy G. G.Sp. z o.o. wskazała, że choć GIODO uznał za operatora wyszukiwarki (a tym samym administratora danych) G., to na G.nałożył obowiązek wynikający z art. 35 ust. 1 u.o.d.o. Zarzucono też naruszenie art. 7 i art. 77 k.p.a. poprzez uchybienie wymogom podjęcia wszelkich czynności w celu dokładnego wyjaśnienia stanu faktycznego sprawy oraz wyczerpującego zebrania i rozpatrzenia materiału dowodowego, w tym nieprawidłowe określenie adresata decyzji i niewystarczające zbadanie, czy dane osobowe będące przedmiotem decyzji zostały należycie usunięte ze strony internetowej Starostwa Powiatowego. GIODO decyzją z dnia [...] września 2016 r. nr [...], na podstawie art. 138 § 1 pkt 1 k.p.a. utrzymał w mocy własną decyzję z dnia [...] maja 2016 r. Za nieuzasadniony GIODO uznał twierdzenie Spółki, iż nie powinna być ona stroną niniejszego postępowania, jak również adresatem decyzji z dnia [...] maja 2016 r. Organ ponownie wskazał, że G. Sp. z o.o. posiada odrębną od G. osobowość prawną i stanowi spółkę zależną G. działającą na terytorium Polski oraz wykonującą działalność gospodarczą w rozumieniu art. 4 ust. 1 lit. A) dyrektywy 95/46/WE. Ponownie GIODO stwierdził, że biorąc pod uwagę przedmiot, sposób oraz formę działalności gospodarczej G.Sp. z o.o. (tj. promowanie usług reklamowych wśród podmiotów m.in. z terytorium RP, które mogą być realizowane z wykorzystaniem wyszukiwarki internetowej [...]), uznać należy w/w spółkę za podmiot ustanowiony przez operatora w/w wyszukiwarki internetowej. Odnosząc się do kwestii przetwarzania danych osobowych R. Z. przez Starostę [...], organ wskazał, że Spółka mylnie podniosła, iż obecnie dane osobowe R. Z. w dalszym ciągu są przetwarzane w BIP Powiatu [...]. Obecnie dane osobowe nie są przetwarzane w serwisie BIP Powiatu. Starosta Powiatowy uniemożliwił bowiem użytkownikom w/w serwisu zapoznanie się za jego pośrednictwem, z treściami zawierającymi dane osobowe skarżącego. Dokumenty zawierające dane osobowe skarżącego znajdują się jedynie w archiwalnych zasobach BIP, do których nie mają dostępu osoby korzystające serwisu. Nawet jeżeli przyjąć, że dane osobowe skarżącego są przetwarzane w serwisie BIP, okoliczność ta nie ma wpływu na rozstrzygnięcie niniejszej sprawy. Istotną okolicznością jest, iż jak wynika z załączonej do akt sprawy korespondencji prowadzonej przez Starostę [...] ze skarżącym, Starosta podjął działania zmierzające do uniemożliwienia osobom trzecim, zapoznania się z treścią w/w dokumentów. GIODO podał, że w toku prowadzonego postępowania administracyjnego ustalił, iż obecnie nie jest możliwe zapoznanie się z w/w dokumentami korzystając z serwisu BIP Powiatu [...]. Działania, które podjął Starosta miały na celu do uniemożliwienie zapoznania się z danymi osobowymi Skarżącego, jak i dalszego ich udostępniania. Stwierdził, iż obecnie nie jest możliwe wyszukanie na stronie BIP [...] danych osobowych skarżącego. Oznacza to, że dalsze przetwarzanie danych osobowych skarżącego w wynikach wyszukiwania G.jest obecnie nieuzasadnione, ponieważ prawnie usprawiedliwiony cel przetwarzania danych osobowych wygasł w chwili podjęcia przez Starostę działań skutkujących usunięciem danych osobowych Skarżącego z BIP Powiatu [...]. GIODO podtrzymał wszystkie swoje wcześniejsze ustalenia, zaś zarzuty naruszenia przepisów postępowania uznał za nieuzasadnione. W ocenie Generalnego Inspektora materiał zebrany w sprawie jest wystarczający do ustalenia stanu faktycznego sprawy, a ponadto spójny i nie budzący wątpliwości. Brak jest zarazem jakichkolwiek dowodów, mogących świadczyć o tym, że zebrany materiał w sprawie jest niekompletny. Decyzja GIODO z dnia [...] września 2016 r. stała się przedmiotem skargi G.Sp. z o.o. z siedzibą w [...], reprezentowanej przez adwokata, do Wojewódzkiego Sądu Administracyjnego w Warszawie. Zaskarżonej decyzji pełnomocnik zarzucił: 1. naruszenie art. 28 k.p.a. -poprzez skierowanie decyzji do osoby nie będącej stroną w sprawie, tj. do G. która nie jest administratorem danych w stosunku do danych osobowych będących przedmiotem decyzji, co stanowi podstawę do stwierdzenia nieważności decyzji, o której mowa wart. 156 § 1 pkt 4 k.p.a., - poprzez wydanie decyzji niewykonalnej dla skarżącej, której niewykonalność istniała w dniu jej wydania i ma charakter trwały, co stanowi podstawę do stwierdzenia nieważności decyzji, o której mowa w art. 156 § 1 pkt 5 k.p.a. 2. naruszenie przepisu prawa materialnego, tj. art. 35 ust 1 u.o.d.o. poprzez jego niewłaściwe zastosowanie do G., w sytuacji gdy skarżąca nie ma statusu administratora danych i nie może być obowiązana do spełnienia obowiązku zastrzeżonego dla administratora danych, co miało wpływ na wynik sprawy. 3. naruszenie przepisów postępowania, tj.: - art. 7, 77 i 107 § 3 k.p.a., poprzez uchybienie wymogom podjęcia wszelkich czynności w celu dokładnego wyjaśnienia stanu faktycznego sprawy oraz wyczerpującego zebrania i rozpatrzenia całego materiału dowodowego, w tym nieprawidłowe określenie adresata decyzji i zaniechanie podjęcia jakichkolwiek działań mających na celu ustalenie roli G. oraz poprzez nienależyte uzasadnienie zaskarżonej decyzji z uwagi na zawarcie w niej zbyt ogólnych stwierdzeń, co miało istotny wpływ na wynik sprawy, - art. 35 ust. 2 w zw. z ust. 1 u.o.d.o. poprzez wydanie decyzji wobec G.pomimo braku wcześniejszych wniosków skierowanych przez R. Z. do G. oraz zaniechania wydania na tej podstawie decyzji wobec G., co miało istotny wpływ na wynik sprawy. Pełnomocnik skarżącego wniósł o stwierdzenie nieważności w całości zaskarżonej decyzji i poprzedzającej ją decyzji z dnia [...] maja 2016 r. Z ostrożności procesowej w razie nieuwzględnienia zarzutu nieważności decyzji, wniósł o uchylenie w całości wymienionych decyzji. Zwrócił się także o zasądzenie zwrotu kosztów postępowania według norm przepisanych. Pełnomocnik skarżącego w obszernej skardze podniósł m.in., że wadliwość decyzji jest głównie spowodowana błędnym zastosowaniem przez organ wyroku Trybunału Sprawiedliwości UE z dnia [...] maja 2014 r. w sprawie [...] [G. i G. przeciwko [...] i [...]), w którym w szczególności ustalono jaki podmiot jest administratorem danych dla wyszukiwarki internetowej. Tym administratorem dla danych osobowych przetwarzanych w wyszukiwarce internetowej [...] jest operator wyszukiwarki, tj. G. z siedzibą w [...], a nie lokalne podmioty G. z siedzibą w państwach UE (w tym G.). To administrator danych, a nie inny podmiot, realizuje żądania osoby, której dane dotyczą usunięcia wyników wyszukiwania zawierających jej dane osobowe (tzw. prawo do bycia zapomnianym). Pełnomocnik wskazał, że stanowisko TSUE pozostaje aktualne na gruncie polskiej ustawy o ochronie danych osobowych. Podniósł, że wadliwość decyzji GIODO powoduje przede wszystkim negatywne konsekwencje dla realizacji praw osób, których dane dotyczą. Po wspomnianym orzeczeniu TSUE G. wdrożył jednolity, efektywny i publicznie dostępny, internetowy mechanizm, za pomocą którego G. przyjmuje wnioski osób fizycznych z państw Unii Europejskiej, w przedmiocie usunięcia wyników wyszukiwania ich dotyczących. Sposób realizacji rzeczonych wniosków podlega kontroli krajowych organów ds. ochrony danych osobowych oraz sądów krajowych. Wdrożony przez G. mechanizm realizacji tzw. prawa do bycia zapomnianym jest powszechnie stosowany na terenie całej Unii Europejskiej. GIODO, stosując błędnie orzeczenie TSUE, nałożył obowiązki na podmiot lokalny, Spółkę G, która nie jest administratorem danych i nie ma faktycznych możliwości ani uprawnień do usuwania danych osobowych, jeśli zażąda tego osoba, której dane dotyczą. Pełnomocnik skarżącej podkreślił, że podmiotem, który posiada środki prawne, techniczne oraz organizacyjne, aby wykonać zaskarżone decyzje i zaprzestać przetwarzania danych osobowych R. Z. jest administrator danych. Skarżąca nie posiada żadnych środków technicznych czy organizacyjnych do wykonania decyzji nakazującej usunięcie danych osobowych z wyszukiwarki internetowej [...]. G.nie świadczy żadnych usług poprzez wyszukiwarkę internetową [...] ani strony internetowe [...] oraz [...]. Fakt, że użytkownikiem domen "[...]" oraz "[...]" jest G., a certyfikat [...] do stron internetowych "[...]" oraz "[...]" został przyznany G. potwierdza, że G. nie jest w żaden sposób zaangażowana w świadczenie usług polegających na wyszukiwaniu oraz prezentowaniu stron internetowych i ich opisów oraz nie ma żadnych środków technicznych do wykonania decyzji nakazującej usunięcie danych osobowych z wyszukiwarki internetowej. Pełnomocnik wskazał, że organ naruszył art. 35 ust. 1 u.o.d.o., gdyż wydał decyzję wobec G., podmiotu niebędącego administratorem danych, podczas gdy adresatem decyzji wydanych na podstawie art. 18 ust. 1 pkt 6 w zw. z art. 35 ust. 1 u.o.d.o. może być wyłącznie administrator danych, tj. G. GIODO w żaden sposób nie ustosunkował się do zarzutów podniesionych we wniosku o ponowne rozpatrzenie sprawy z dnia [...] czerwca 2016 r. tj.: niezgodności wydanej decyzji z orzeczeniem TSUE i orzecznictwem europejskim, niewykonalnością decyzji, czy też zaniechaniem ustalenia statusu prawnego G. Organ nie rozważył czy G. jest administratorem danych, ani nie poczynił nawet prób zebrania materiału dowodowego na ten temat, co doprowadziło do błędnego skierowania decyzji przez Generalnego Inspektora do skarżącej, a więc miało istotny wpływ na wynik sprawy. W ocenie skarżącej Spółki organ dopuścił się naruszenia przepisów postępowania tj. art. 35 ust. 2 w zw. z ust. 1 u.o.d.o. poprzez wydanie decyzji wobec G.pomimo braku wcześniejszych wniosków skierowanych przez R. Z. do G. Pełnomocnik skarżącej podkreślił, że G. nie administruje formularzem internetowym, za pomocą którego R. Z. złożył wniosek, a ponadto to nie skarżąca spółka była autorem odpowiedzi na jego żądanie, złożone na adres [...]. Oznaczenie nadawcy "Zespół G." odnosi się do G.. GIODO w odpowiedzi na skargę wniósł o jej oddalenie, przedstawiając dotychczasowe ustalenia i zawarte w decyzji stanowisko. G. Sp. z o.o.z w piśmie procesowym z dnia 9 sierpnia 2017 r. podtrzymując skargę, na poparcie swojego stanowiska przedstawiła ekspertyzę sporządzoną przez Izbę Rzeczoznawców Polskiego Towarzystwa Informatycznego oraz poglądy prezentowane w doktrynie. Pełnomocnik wskazał, że ekspertyza potwierdza, iż G. nie ma możliwości technicznych i organizacyjnych wprowadzania zmian w wynikach wyszukiwania wyszukiwarki [...]. Pismem z dnia 9 sierpnia 2017 r. G. z siedzibą w [...], reprezentowana przez adwokata, wniosła do Wojewódzkiego Sądu Administracyjnego w Warszawie na podstawie art. 33 § 2 P.p.s.a. o dopuszczenie do udziału w postępowaniu sądowoadministracyjnym w charakterze uczestnika. Pełnomocnik wnioskodawcy wskazał, że postępowanie administracyjne zostało wszczęte w związku z wcześniejszym żądaniem R. Z. usunięcia wyników wyszukiwania, które było skierowane wobec G., a nie G. R. Z. wystąpił ze swoim żądaniem wobec G. poprzez skorzystanie z formularzy udostępnianych na stronie internetowej przez G. Następnie żądanie to zostało rozpatrzone przez G. R. Z. nie składał żądań wobec G. i nie kontaktował się w żaden inny sposób z tą spółką. Powołując się na powyższe oraz fakt, że G. jest usługodawcą wyszukiwarki [...] oraz administratorem danych R. Z. przetwarzanych w wyszukiwarce internetowej [...], wnosząc o dopuszczenie do udziału w postępowaniu sądowym, wnioskodawca wniósł jednocześnie o stwierdzenie nieważności zaskarżonej i poprzedzającej ją decyzji GIODO, ewentualnie uchylenie obu decyzji. Wnioskodawca wskazał przy tym, że R. Z. wysłał w okresie od [...] listopada 2014 r. do G. co najmniej 71 wniosków w sprawie usunięcia treści z wyszukiwarki [...], które dotyczyły łącznie 187 adresów URL, w tym wnioski, których dotyczy niniejsza sprawa. Pełnomocnik wnioskodawcy podniósł, że to G., a nie G., rozpatrywał i w dalszym ciągu rozpatruje, wszystkie wnioski składane przez R. Z. i podejmuje decyzje w zakresie ewentualnego usunięcia lub odmowy usunięcia danych. Wnioskodawca podniósł, że obowiązki G. jako administratora danych osobowych, w szczególności w stosunku do danych R. Z., których dotyczy postępowanie, nie mogą być obecnie realizowane prawidłowo, wobec braku możliwości udziału G. w postępowaniu prowadzonym przez GIODO, którego wynikiem są obowiązki odnoszące się do działalności G. Wojewódzki Sąd Administracyjny w Warszawie na rozprawie w dniu 29 sierpnia 2017 r., na podstawie art. 33 § 2 ustawy – Prawo o postępowaniu przed sądami administracyjnymi, postanowił dopuścić G. z siedzibą w [...] do udziału w postępowaniu sądowoadministracyjnym w niniejszej sprawie w charakterze uczestnika. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje. Skarga podlega uwzględnieniu. Kwestią o zasadniczym znaczeniu jest w tej sprawie w pierwszej kolejności ustalenie podmiotu, który jest administratorem danych osobowych R. Z. pojawiających się w wynikach wyszukiwania na stronach internetowych, których to adresy URL podał on w skardze do GIODO. Przepis art. 35 ust. 2 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (t.j. Dz. U. z 2016 r., poz. 922), zwanej dalej u.o.d.o. w zw. z art. 18 ust. 1 pkt 6 tej ustawy może być bowiem zastosowany wyłącznie wobec administratora danych, czyli podmiotu, który decyduje o celach i środkach przetwarzania danych osobowych (art. 7 pkt 4 u.o.d.o.). W tej sprawie R. Z. wyraźnie w skardze do GIODO wskazał na nieprawidłowości w procesie przetwarzania jego danych osobowych przez G. z siedzibą w [...]. Z akt postępowania administracyjnego wynika, że GIODO nie przeprowadził postępowania wyjaśniającego wobec tego podmiotu, choć ze skargi jednoznacznie wynikało, że R. Z. właśnie do tego podmiotu, tj. G. występował samodzielnie o usunięcie (zablokowanie) linków jego danymi osobowymi, czyli podjął działania, o których jest mowa w art. 35 ust. 1 u.o.d.o. Ten podmiot, jak wynikało ze skargi R. Z. z dnia [...] listopada 2015 r. do GIODO, nie dopełnił obowiązku usunięcia jego danych. Zauważyć też należy, że wprawdzie R. Z. wskazując, iż G. działa w Polsce za pośrednictwem G. Sp. z o.o., wniósł o nakazanie G. Sp. z o.o. usunięcie jego danych, ale tak sformułowane żądanie w żadnym razie nie zwalniało organu ochrony danych osobowych z należytego przeprowadzenia postępowania, czyli wyjaśnienia wszystkich okoliczności faktycznych, które mogą mieć wpływ na wynik sprawy. Zarówno ze skargi R. Z. do GIODO, jak i ze zgromadzonego materiału dowodowego wynika, że R. Z. występował do G. (poprzez skorzystanie z formularzy udostępnionych na stronie internetowej przez G.) a nie do G. Sp. z o.o. o usunięcie jego danych osobowych i to G. rozpatrywało te wnioski (art. 35 ust. 1 u.o.d.o.). Przyznaje to zresztą sam Generalny Inspektor Ochrony Danych Osobowych w decyzji, albowiem wskazuje, że R. Z. wystąpił z żądaniem z art. 35 ust. 1 u.o.d.o. na adres [...] administrowany przez G. Już powyższe świadczy o tym, że ocena organu co do zgromadzonego materiału dowodowego w zakresie ustalenia administratora danych jest oceną dowolną, a zatem naruszającą art. 80 k.p.a., co mogło mieć istotny wpływ na wynik sprawy. Nawet bowiem dotychczas zgromadzony przez organ materiał dowodowy nie został rozważony w sposób wszechstronny (art. 77 § 1 k.p.a.), co mogło mieć istotny wpływ na wynik sprawy. Z akt postępowania administracyjnego wynika zresztą, że G. Sp. z o.o., do której GIODO wystąpił o wyjaśnienia, wprost wskazywała w piśmie z dnia [...] stycznia 2016 r., że właścicielem, operatorem i usługodawcą systemu wyszukiwawczego [...] (wyszukiwarki internetowej), a także strony [...] oraz [...] jest G. z siedzibą w [...] a nie G. Sp. z o.o. Okoliczności te nie zostały przez organ rozważone, jak też nie została rozważona podnoszona przez Spółkę G. okoliczność, że nie ma ona środków prawnych, technicznych, czy organizacyjnych pozwalających na kontrolę sposobu świadczenia usług wyszukiwania w sieci Internet przez spółkę G. oraz nie jest dysponentem (m.in. właścicielem, posiadaczem) serwerów, z których korzysta oprogramowanie systemu wyszukiwawczego [...]. Nie rozważono też twierdzenia Spółki G., że nie decyduje i nie współdecyduje ona o treści opisu strony internetowej, jaki jest wyświetlany w ramach wyników wyszukiwania. Z akt postępowania administracyjnego nie wynika, aby GIODO dokonał ustaleń weryfikujących te twierdzenia, a okoliczności te bezspornie mogły mieć wpływ na ustalenie podmiotu decydującego o celach i środkach przetwarzania danych osobowych R.Z. w aspekcie określonym przez niego w skardze do GIODO. Pomimo tych wszystkich przedstawionych przez G. Sp. z o.o. okoliczności, organ pominął w postępowaniu udział G., co stanowi naruszenie prawa określone w art. 145 § 1 pkt 4 k.p.a. W konsekwencji organ nie ustalił wszystkich okoliczności sprawy czym naruszył przepis art. 7 k.p.a., co mogło mieć istotny wpływ na jej wynik. Warto przy tym wskazać, że Trybunał Sprawiedliwości w wyroku z dnia [...] maja 2014 r. [...] stwierdził, że za administratora odpowiedzialnego za przetwarzanie danych w rozumieniu art. 2 lit. d dyrektywy 95/46/WE należy uznać operatora wyszukiwarki internetowej (pkt 41 uzasadnienia wyroku). Zarówno z zaskarżonej, jak i poprzedzającej ją decyzji GIODO nie wynika, dlaczego – w sytuacji, gdy GIODO nie kwestionuje, że operatorem wyszukiwarki internetowej jest G. (str. 6 uzasadnienia decyzji z dnia [...] maja i z dnia [...] września 2016 r.) – za administratora danych R. Z. uznany został podmiot, którego działalność opiera się na promocji i sprzedaży powierzchni reklamowych, tj. G. Sp. z o.o. Organ nie powołał się w uzasadnieniu decyzji na żaden dowód w tym zakresie, a jednocześnie z akt postępowania administracyjnego nie wynika, aby w sprawie chodziło o przetwarzanie danych osoby, która zawarła umowę w przedmiocie usług reklamowych. Ponownie rozpatrując sprawę GIODO zwróci się o wyjaśnienia do G. z siedzibą w [...] w zakresie przetwarzania danych osobowych R. Z. w aspekcie podniesionym przez niego w skardze z dnia 24 listopada 2015 r. rozszerzonej pismem z dnia 30 grudnia 2015 r. Rozważając, który podmiot (G. Sp. z o.o. czy G.) jest administratorem danych osobowych R. Z. w zakresie przetwarzania zakwestionowanego przez niego w skardze do GIODO, organ dokona oceny, który z tych podmiotów decyduje o celach i środkach przetwarzania danych osobowych R. Z., a zatem który podmiot ma kontrolę nad tym, jakie dane wymienionego przetwarzane są (we wskazanym przez niego zakresie) w wyszukiwarce internetowej [...] i ma możliwość techniczną i organizacyjną usuwania danych osobowych wnioskodawcy (zablokowania wyników wyszukiwania), jak żądał tego R.Z. Zależnie od poczynionych ustaleń, GIODO przeprowadzi postępowanie co do zgodności z ustawą o ochronie danych osobowych przetwarzania przez administratora danych, danych osobowych R. Z. w zakresie kwestionowanym przez niego przed GIODO. W odniesieniu do podmiotu, który w ocenie GIODO nie jest administratorem danych R. Z. w zakresie kwestionowanym przez niego, organ umorzy postępowanie administracyjne, jako bezprzedmiotowe. Uzasadnienie decyzji winno spełniać wymogi z art. 107 § 3 k.p.a., a zatem powinno zawierać wskazanie faktów, które organ uznał za udowodnione, dowodów, na których się oparł oraz przyczyn, z powodu których innym dowodom odmówił wiarygodności i mocy dowodowej. Sąd zaznacza przy tym, że w sprawie tej nie ulega wątpliwości, iż przetwarzanie danych osobowych R. Z. w aspekcie wskazanym przez niego w skardze do GIODO podlega przepisom dyrektywy 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych oraz przepisom polskiej regulacji, tj. ustawy z dnia 29 sierpnia 1999 r. o ochronie danych osobowych. Trybunał Sprawiedliwości w wyroku z dnia [...] maja 2014 r. sygn. [...] jednoznacznie stwierdził, że art. 4 ust. 1 lit. a dyrektywy 95/46/WE należy interpretować w ten sposób, że przetwarzanie danych osobowych ma miejsce w ramach działalności prowadzonej przez administratora danych odpowiedzialnego za to przetwarzanie na terytorium danego państwa członkowskiego w rozumieniu tego przepisu, jeśli operator wyszukiwarki internetowej ustanawia w danym państwie członkowskim oddział lub spółkę zależną, których celem jest promocja i sprzedaż powierzchni reklamowych oferowanych za pośrednictwem tej wyszukiwarki, a działalność tego oddziału lub spółki zależnej jest skierowana do osób zamieszkujących to państwo. Ustalenie GIODO, że G. (operator wyszukiwarki internetowej) ustanowił w RP spółkę zależną – G.Sp. z o.o. (prowadzącą działalność reklamową oraz usługi marketingu reklam internetowych), pozwala przyjąć, że przetwarzanie danych osobowych odbywa się na terytorium RP. W świetle powyższego nie ma wątpliwości, że polski organ do spraw ochrony danych osobowych ma pełne możliwości przeprowadzenia postępowania wyjaśniającego wobec G. z siedzibą w [...], a także badania zgodności z prawem przetwarzania danych osobowych R. Z. w sytuacji uznania przez GIODO, że to ten podmiot decyduje o celach i środkach przetwarzania danych osobowych wnioskodawcy oraz stosowania środków prawnych określonych u.o.d.o. mających na celu zapewnienie zgodności z prawem przetwarzania danych osobowych wnioskodawcy. W tym stanie sprawy, wobec konieczności przeprowadzenia przez organ postępowania administracyjnego w zasadniczym zakresie, z udziałem G., Sąd nie znalazł podstaw do uwzględnienia najcięższych zarzutów skargi. W ocenie Sądu, w sprawie tej nie zachodziły podstawy do stwierdzenia nieważności zaskarżonej i poprzedzającej ją decyzji. Okoliczność, że zdaniem skarżącej Spółki nie jest ona administratorem danych nie oznacza bowiem – przy odmiennej ocenie organu, która była zawarta w zaskarżonej decyzji – iż można przyjąć, że zaskarżona i poprzedzająca ją decyzja zostały skierowane do osoby nie będącej stroną w sprawie w rozumieniu przepisu art. 156 § 1 pkt 4 w zw. z art. 28 k.p.a. Wobec istotnych naruszeń w postępowaniu administracyjnym przepisów prawa procesowego, w tym pozbawienia G. udziału w tym postępowaniu, zarzut dotyczący niewykonalności decyzji Sąd uznał za przedwczesny. Z tych względów, Wojewódzki Sąd Administracyjny w Warszawie, na podstawie art. 145 § 1 pkt 1 lit. b i c ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (t.j. Dz. U. z 2016 r., poz. 718 ze zm.), orzekł jak w punkcie 1 wyroku. O zwrocie kosztów postępowania Sąd orzekł, jak w punkcie 2 wyroku, na podstawie art. 200 i art. 205 § 1 powołanej ustawy. Do kosztów tych Sąd zaliczył uiszczony przez skarżącego wpis sądowy od skargi (200 zł), koszty zastępstwa procesowego (480 zł) oraz opłatę skarbową (17 zł).