II SA/Wa 2209/11

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Anna Mierzejewska Sędziowie WSA Andrzej Góraj (spr.) Teresa Zyglewska Protokolant referent stażysta Marcin Borkowski po rozpoznaniu na rozprawie w dniu 19 grudnia 2011 r. sprawy ze skargi T. W. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] czerwca 2010 r. nr [...] w przedmiocie ochrony danych osobowych 1) oddala skargę, 2) przyznaje ze środków budżetowych Wojewódzkiego Sądu Administracyjnego w Warszawie na rzecz pełnomocnika z urzędu adw. K. C. kwotę 420; zł (czterysta dwadzieścia złotych) powiększoną o kwotę 96,60 zł (dziewięćdziesiąt sześć złotych i 60/100) stanowiącą 23 % podatku od towarów i usług, tytułem pomocy prawnej udzielonej z urzędu. Generalny Inspektor Ochrony Danych Osobowych (dalej: GIODO), decyzją z dnia [...] czerwca 2010 r. nr [...], wydaną na podstawie art. 138 § 1 pkt 2 ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego (Dz. U. z 2000 r. Nr 98, poz. 1071 z późn. zm.) - dalej: kpa, art. 12 pkt 2, art. 22 i art. 23 ust. 1 pkt 5 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 ze zm.), po przeprowadzeniu postępowania w sprawie wniosku T. W. o ponowne rozpatrzenie sprawy jego skargi dotyczącej przetwarzania jego danych osobowych przez [...] Sp. z o.o. z siedzibą we W., rozstrzygniętej decyzją Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] maja 2008 r. nr [...], uchylił zaskarżoną decyzję z dnia [...] maja 2008 r. i odmówił uwzględnienia wniosku. W uzasadnieniu ww. decyzji Generalny Inspektor Ochrony Danych Osobowych wyjaśnił, że do Biura GIODO wpłynęła skarga T. W. (dalej: skarżący), dotycząca przetwarzania jego danych osobowych przez [...] Sp. z o.o. z siedzibą we W. (dalej: Spółka), w treści której wymieniony wskazał, że jego dane osobowe, w zakresie obejmującym jego wizerunek, imię, nazwisko, zostały, bez jego zgody, opublikowane na stronie internetowej [...] T. W. poinformował, że kilkakrotnie - bezskutecznie, zwracał się do Spółki z żądaniem zaprzestania przetwarzania jego danych osobowych w zakresie imienia i nazwiska, poprzez usunięcie podpisu zamieszczonego pod zdjęciem klasowym, na którym figuruje. W związku z powyższym zwrócił się do GIODO z żądaniem spowodowania "usunięcia podpisu pod zdjęciem" oraz "ukarania portalu za niedopełnienie obowiązku". Decyzją z dnia [...] maja 2008 r. nr [...] Generalny Inspektor Ochrony Danych Osobowych odmówił uwzględnienia wniosku skarżącego. Pismem z dnia [...] maja 2008 r. T. W. złożył do GIODO wniosek o ponowne rozpatrzenie przedmiotowej sprawy, żądając wydania decyzji nakazującej zaprzestania przetwarzania jego danych osobowych przez Spółkę [...], przetwarzanych z naruszeniem ustawy, bez jego wiedzy i wbrew jego woli. Po przeprowadzeniu postępowania w sprawie wniosku o ponowne rozpatrzenie sprawy, GIODO decyzją z dnia [...] września 2008 r. nr [...] uchylił zaskarżoną decyzję z dnia [...] maja 2008 r. i umorzył postępowanie. W uzasadnieniu przedmiotowego rozstrzygnięcia GIODO podniósł, że kwestionowane przez skarżącego informacje na jego temat - w zakresie jego imienia i nazwiska, w połączeniu z informacjami o nazwie i adresie szkoły podstawowej oraz oznaczeniem klasy, do której uczęszczał wraz z jego wizerunkiem z [...] roku, nie umożliwiają określenia jego tożsamości bez nadmiernych nakładów kosztów, czasu, bądź działań, w związku z czym nie stanowią jego danych osobowych w rozumieniu art. 6 ustawy o ochronie danych osobowych. Pismem z dnia 22 września 2008 r. T. W. złożył do Wojewódzkiego Sądu Administracyjnego w Warszawie skargę na ww. decyzję GIODO z dnia [...] września 2008 r. Po rozpoznaniu przedmiotowej skargi, Wojewódzki Sąd Administracyjny w Warszawie, wyrokiem z dnia 03 marca 2009 r. sygn. akt II SA/Wa 1495/08, uchylił zaskarżoną decyzję z dnia [...] września 2008 r., wskazując, że nie podlega ona wykonaniu w całości. W uzasadnieniu ww. rozstrzygnięcia Sąd ocenił, że w rozpoznawanej sprawie na portalu internetowym [...] ujawniono wizerunek oraz imię i nazwisko skarżącego – dane osobowe, które podlegają ochronie, bowiem na ich podstawie można zidentyfikować osobę. Sąd uznał, że skoro w sprawie mamy do czynienia z danymi osobowymi, to organ powinien rozpoznać merytorycznie wniosek skarżącego o ponowne rozpoznanie sprawy zakończonej decyzją z dnia [...] maja 2008 r. Następnie Naczelny Sąd Administracyjny wyrokiem z dnia 18 listopada 2009 r. sygn. akt I OSK 667/09 oddalił skargę kasacyjną Spółki wniesioną od ww. wyroku WSA w Warszawie z dnia 03 marca 2009 r. Zdaniem NSA, gdy zdjęcie jest umieszczone wraz z imieniem i nazwiskiem osoby na nim występującej, należy uznać, iż stanowi ono dane osobowe podlegające ochronie na podstawie ustawy o ochronie danych osobowych. W sprawie T. W. ujawnienie jego imienia i nazwiska wraz z numerem klasy, szkoły, do której uczęszczał oraz miejscowości, w której szkoła jest położona, powoduje, że jego identyfikacja jest możliwa, bez spełnienia warunku, o którym mowa w art. 6 ust. 3 ustawy o ochronie danych osobowych, wobec czego musi on otrzymać ochronę określoną w art. 1 ustawy o ochronie danych osobowych. W związku z ww. rozstrzygnięciami GIODO został zobligowany do merytorycznego rozpoznania sprawy w zakresie objętym wnioskiem skarżącego o ponowne rozpatrzenie sprawy. Podjął on dodatkowe czynności wyjaśniające, w następstwie których, ocenił, że kwestionowana decyzja z dnia [...] maja 2008 r. wymaga uchylenia w całości, a wniosek skarżącego nie zasługuje na uwzględnienie, jednak z innych przyczyn niż te, które legły u podstaw rozstrzygnięcia wydanego w pierwszej instancji. Generalny Inspektor Ochrony Danych Osobowych wyjaśnił, że status danych osobowych mają tylko informacje o osobie fizycznej zidentyfikowanej lub takiej, której identyfikacja jest możliwa bez nadmiernego nakładu kosztów, czasu bądź działań. Zaliczenie informacji do kategorii danych osobowych jest zatem możliwe jedynie wówczas, gdy jej odbiorca, nie ponosząc nadmiernych kosztów, nie poświęcając nadmiernie długiego czasu i nie podejmując niewspółmiernych działań, może powiązać ją z konkretną, zidentyfikowaną osobą fizyczną. W decyzji z dnia [...] maja 2008 r. GIODO ocenił, że informacje na temat skarżącego, publikowane na dzień wydania decyzji na stronie [...], w zakresie obejmującym jego imię i nazwisko, w połączeniu z informacją o nazwie i adresie szkoły podstawowej oraz oznaczeniem klasy, do której uczęszczał, wraz z jego wizerunkiem z [...] roku, umożliwiają identyfikację skarżącego, a tym samym stanowią jego dane osobowe. GIODO zaznaczył, że sądy administracyjne orzekające w przedmiotowej sprawie zajęły analogiczne stanowisko, nie podzielając poglądu zaprezentowanego przez organ ochrony danych w decyzji z dnia [...] września 2008 r., iż potencjalna możliwość powiązania ww. sekwencji informacji o skarżącym - z nim obecnie - wymaga zaangażowania niewspółmiernych kosztów, czasu lub działań. GIODO zaznaczył, że mimo, iż dane osobowe skarżącego, w zakresie utrwalonym na fotografii publikowanej na stronie [...] oraz podpisie do niej, nie są aktualnie podawane przez Spółkę do publicznej wiadomości, bowiem ww. zdjęcie wraz z komentarzem zostało usunięte z podanego adresu i nie podlega obecnie upublicznieniu, to Spółka nadal je przetwarza. Zachowała ona bowiem wskazane informacje "na serwerze" oraz w "pamięci systemu", uzasadniając powyższe celami dowodowymi. W ocenie GIODO, Spółka jest administratorem przedmiotowych danych, w rozumieniu art. 7 pkt 4 ustawy o ochronie danych osobowych, potwierdzeniem czego jest fakt, że ww. zdecydowała o kontynuowaniu procesu przetwarzania kwestionowanych danych osobowych skarżącego (polegającym na ich dalszym przechowywaniu na serwerze Spółki, w pamięci systemu) oraz o celu takiego przetwarzania danych (cele dowodowe). Zdaniem GIODO, proces przetwarzania przez Spółkę kwestionowanych danych osobowych skarżącego jest obecnie realizowany na warunkach określonych w art. 23 ust. 1 pkt 5 ustawy o ochronie danych osobowych, zgodnie z którym ustawa dopuszcza przetwarzanie danych osobowych w szczególności wówczas, gdy jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą. GIODO wyjaśnił, że skarżący kontaktując się ze Spółką i domagając się od niej zaprzestania publikacji kwestionowanych jego danych osobowych, argumentował, że zostały one umieszczone w serwisie z naruszeniem prawa oraz zapowiedział, że jeśli Spółka nie zadośćuczyni jego żądaniu, to skieruje sprawę na drogę sądową. W ocenie GIODO, zgłoszenie przez skarżącego zastrzeżenia odnośnie legalności realizowanego przez Spółkę procesu przetwarzania jego danych osobowych i zapowiedzi skierowania sprawy na drogę sądową uprawniały Spółkę do ich utrwalenia i zachowania do celów dowodowych – na wypadek dochodzenia przez skarżącego ewentualnych roszczeń. Zachowanie przedmiotowych danych dla celów dowodowych stanowi prawnie usprawiedliwiony cel Spółki. Jednocześnie, zdaniem GIODO, brak jest podstaw by uznać, że przetwarzanie danych osobowych skarżącego w opisany sposób narusza jakiekolwiek jego prawa czy wolności, przeciwnie stanowi działanie podjęte w równym stopniu w interesie Spółki – jako podmiotu, wobec którego mogą być kierowane ewentualne roszczenia skarżącego, jak i jego samego – stanowiąc dowód na potwierdzenie kwestionowanych przez niego okoliczności. GIODO podkreślił, że skarżący jednoznacznie wskazał, że domaga się doprowadzenia do usunięcia przez Spółkę przetwarzanych w ramach portalu [...] (obecnie: [...]) informacji o jego imieniu i nazwisku. Zdaniem GIODO, wobec stwierdzenia, że kwestionowane informacje o skarżącym są w chwili obecnej przetwarzane (przechowywane w celach dowodowych, bez ich publikowania) na warunkach określonych w art. 23 ust. 1 pkt 5 ustawy, wniosek skarżącego nie zasługuje na uwzględnienie. W chwili obecnej dane osobowe skarżącego są przetwarzane przez Spółkę wyłącznie w celach archiwalnych i dowodowych – z jednej strony w celu możności dochodzenia przez skarżącego jego roszczeń wobec Spółki związanych z formułowanymi pod jej adresem zarzutami, z drugiej strony możliwości obrony Spółki przed tymi zarzutami. GIODO podkreślił jednocześnie, że decyzja z dnia [...] czerwca 2010 r., jakkolwiek, tak jak decyzja z dnia [...] maja 2008 r., odmawia uwzględnienia wniosku skarżącego z uwagi na zaistnienie okoliczności wskazanych w art. 23 ust. 1 pkt 5 ustawy, wydana została w zmienionym stanie faktycznym. Pismem z dnia 13 lipca 2010 r. T. W. złożył do Wojewódzkiego Sądu Administracyjnego skargę na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] czerwca 2010 r. nr [...], wnosząc o jej uchylenie, jako decyzji wydanej z rażącym naruszeniem prawa. W uzasadnieniu skargi skarżący podniósł, że zaskarżona decyzja nie jest zgodna z przesłankami i rozstrzygnięciami zawartymi w uzasadnieniach wyroków WSA w Warszawie z dnia 03 marca 2009 r. sygn. akt II SA/Wa 1495/08 i NSA z dnia 18 listopada 2009 r. sygn. akt I OSK 667/09, jak również, że nie uwzględnia ona stanu faktycznego i okoliczności zaistniałej sytuacji i przebiegu zdarzeń. W odpowiedzi na skargę organ, uznając skargę za bezzasadną, wniósł o jej oddalenie. Po rozpoznaniu przedmiotowej skargi, Wojewódzki Sąd Administracyjny w Warszawie, wyrokiem z dnia 01 grudnia 2010 r. sygn. akt II SA/Wa 1212/10, uchylił zaskarżoną decyzję oraz poprzedzającą ją decyzję z dnia [...] maja 2008 r., orzekając, że zaskarżona decyzja nie podlega wykonaniu w całości. Pismem z dnia 13 stycznia 2011 r. Generalny Inspektor Ochrony Danych Osobowych złożył skargę kasacyjną od przedmiotowego wyroku, po rozpoznaniu której Naczelny Sąd Administracyjny wyrokiem z dnia 15 lipca 2011 r. sygn. akt I OSK 238/11 uchylił zaskarżony wyrok WSA w Warszawie z dnia 01 grudnia 2010 r. sygn. akt II SA/Wa 1212/10 i przekazał sprawę WSA w Warszawie do ponownego rozpoznania. W uzasadnieniu przedmiotowego orzeczenia NSA podniósł, iż Wojewódzki Sąd Administracyjny w Warszawie uznał, że Generalny Inspektor Ochrony Danych Osobowych przy rozpatrywaniu sprawy nie dopełnił obowiązku jej dokładnego zbadania i wyjaśnienia z uwzględnieniem całokształtu jej okoliczności. Stwierdził, że "(...) w niniejszej sprawie dane osobowe skarżącego zostały udostępnione bez jego zgody, a jego wyraźny sprzeciw spowodował dalsze nie przetwarzanie jego danych. Na portalu zaczęły bowiem pojawiać się – na co wskazał pełnomocnik skarżącego, dalsze niekorzystne dla skarżącego opinie i wypowiedzi. Tymczasem organ nie wziął pod uwagę powyższych okoliczności ustalając jedynie, że skoro pierwotna skarga, na podstawie której wszczęto postępowanie, dotyczyła umieszczenia jednego zdjęcia z wizerunkiem skarżącego i podpisu pod tym zdjęciem, to w postępowaniu może ograniczyć się jedynie do tej okoliczności. Powyższe działanie organu nie wypełnia obowiązku dokładnego zbadania całokształtu sprawy i dokładnego wyjaśnienia okoliczności sprawy (...)". NSA wskazał, że w przypadku wszczęcia postępowania z wniosku strony, wynikające z niego żądanie wyznacza zakres sprawy podlegającej rozpoznaniu przez organ. Pierwotna skarga T. W., na podstawie której Generalny Inspektor Ochrony Danych Osobowych wszczął postępowanie, dotyczyła umieszczenia jednego zdjęcia z jego wizerunkiem i podpisem pod tym zdjęciem. Także w toku postępowania administracyjnego nie sformułował on zarzutu nieuprawnionego przetwarzania jego danych osobowych w zakresie innym niż utrwalony na tej fotografii oraz w podpisie do niej, a także nie kierował pod adresem organu innych żądań. A zatem Generalny Inspektor Ochrony Danych Osobowych prawidłowo objął zakresem prowadzonego postępowania zagadnienie przetwarzania przez Spółkę jego danych osobowych w zakresie utrwalonym na ściśle określonej fotografii klasowej publikowanej pierwotnie pod adresem [...] oraz podpisie do niej. Poza tym w uzasadnieniach wyroków wydanych w tej sprawie przez Wojewódzki Sąd Administracyjny w Warszawie (wyrok z dnia 3 marca 2009 r. sygn. akt II SA/Wa 1495/08) i przez Naczelny Sąd Administracyjny (wyrok z dnia 18 listopada 2009 r. sygn. akt I OSK 667/09) zawarta została ocena dokładnie określonych informacji na temat skarżącego publikowanych na portalu [...], a nie wszystkich ewentualnych informacji na jego temat ujawnionych na ww. portalu. NSA zauważył, iż autor skargi kasacyjnej trafnie wskazał, ze organ ochrony danych osobowych nie posiada instrumentów prawnych, które umożliwiłyby mu wyręczanie strony w kwestii ustalenia okoliczności faktycznych, które ewentualnie mogą stać się przedmiotem zaskarżenia. Ponadto Sąd pierwszej instancji nie wskazał w jaki sposób organ ochrony danych osobowych miałby ustalać czy na portalu [...] przetwarzane są jakiekolwiek informacje na temat skarżącego oraz weryfikować, które z nich jego dotyczą. Przed wszystkim jednak skarżący w toku postępowania nie ustalił zakresu żądania. Tym samym, w ocenie NSA, Sąd pierwszej instancji nakazał Generalnemu Inspektorowi Ochrony Danych Osobowych rozstrzygnięcie z urzędu o materii nieobjętej wnioskiem skarżącego. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: Zgodnie z treścią przepisu art. 1 § 1 i 2 ustawy z dnia 25 lipca 2002 r. – Prawo o ustroju sądów administracyjnych (Dz. U. Nr 153, poz. 1269 z późn. zm.), sąd administracyjny sprawuje wymiar sprawiedliwości poprzez kontrolę pod względem zgodności z prawem skarżonej decyzji administracyjnej. Jest więc to kontrola legalności rozstrzygnięcia zapadłego w postępowaniu administracyjnym z punktu widzenia jego zgodności z prawem materialnym i procesowym. Oceniając przedmiotową decyzję według powyższych kryteriów, uznać należy, iż nie narusza ona prawa. Na obecnym etapie postępowania pierwszą kwestią, która winna zostać poruszona w niniejszym uzasadnieniu jest materia zaleceń Naczelnego Sądu Administracyjnego, zawartych w wyroku uchylającym poprzednie rozstrzygnięcie Wojewódzkiego Sądu Administracyjnego w Warszawie. Zgodnie bowiem z regulacją zawartą w przepisie art. 190 ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. Nr 153, poz. 1270 z późn. zm.), sąd, któremu sprawa została przekazana, związany jest wykładnią prawa dokonaną w tej sprawie przez Naczelny Sąd Administracyjny. W świetle powyższego podnieść należy, iż Sąd II instancji przesądził, że organ procedując w niniejszej sprawie prawidłowo określił zakres postępowania administracyjnego, stwierdzając, iż dotyczy jedynie zagadnienia przetwarzania przez Spółkę danych osobowych strony w zakresie utrwalonym na ściśle określonej fotografii klasowej. Wobec powyższego, istota sprawy w niniejszym postępowaniu sprowadzała się do wykładni przepisu art. 23 ust. 1 pkt 5 ustawy o ochronie danych osobowych. Zgodnie z brzmieniem wyżej powołanej normy prawnej, przetwarzanie danych osobowych jest dopuszczalne jedynie wtedy, gdy jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów, realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie to nie narusza praw i wolności osoby, której dane dotyczą. Odnosząc się do drugiej z ww. przesłanek, tj. naruszeń praw i wolności osoby której dane dotyczą, uznać należy, iż obecne przetwarzanie tych danych przez Spółkę, nie narusza praw i wolności strony. Okolicznością niesporną jest bowiem to, że dane osobowe skarżącego, w zakresie utrwalonym na spornej fotografii klasowej i zamieszczone tam podpisy, nie są aktualnie podawane do publicznej wiadomości. Do danych osobowych strony nie mają więc dostępu osoby odwiedzające sporny portal internetowy. W ocenie tutejszego Sądu spełniona jest też pierwsza przesłanka opisana w omawianym przepisie. Wobec zapowiedzi strony, iż wystąpi wobec Spółki na drogę sądową z roszczeniami związanymi z legalnością przetwarzania jego danych osobowych, Spółka była uprawniona do utrwalenia danych osobowych skarżącego i zachowania ich dla celów dowodowych, na wypadek ewentualnego postępowania sądowego. Zapowiedź wystąpienia z roszczeniami uprawdopodabnia bowiem potrzebę gromadzenia przez Spółkę dowodów, którymi będzie mogła się posłużyć, jeśli strona zrealizuje swoje zapowiedzi wytoczenia powództwa. Za koniecznością omawianego przetwarzania danych osobowych strony przemawiała też okoliczność podniesiona przez uczestnika postępowania w piśmie procesowym z dnia 20 kwietnia 2011 r., iż przedmiotowe zdjęcie jest dowodem w postępowaniu przygotowawczym prowadzonym przez Policję. Poprawność skarżonego rozstrzygnięcia znajduje również potwierdzenie w fakcie podniesionym przez uczestnika na rozprawie przed Wojewódzkim Sądem Administracyjnym w Warszawie, iż w chwili obecnej skarżący wytoczył powództwo przeciwko Spółce, w związku z przetwarzaniem danych osobowych strony w postaci spornego zdjęcia. Ta okoliczność dodatkowo potwierdza, iż Spółka miała podstawy ku temu, aby przetwarzać dane osobowe strony. Na marginesie podnieść należy, iż wbrew sugestiom pełnomocnika skarżącego, w realiach niniejszej sprawy skarżona decyzja nie mogła odnosić się do zdarzeń, mających miejsce przed datą jej wydania. Skoro bowiem na dzień jej wydawania nie miało miejsce przetwarzanie danych skarżącego w postaci ujawnienia spornego zdjęcia na ogólnodostępnym portalu internetowym, takiej okoliczności organ nie mógł brać pod uwagę przy formułowaniu treści decyzji. Organ orzekając bierze bowiem za podstawę tylko okoliczności faktyczne istniejące w dacie orzekania. W tym stanie sprawy, nie podzielając argumentów zawartych w złożonej skardze oraz uznając, iż organ w sposób prawidłowy zebrał i ocenił materiał dowodowy, jak również, że przy wykonywaniu tych czynności nie naruszył przepisów prawa, Wojewódzki Sąd Administracyjny w Warszawie orzekł, jak w sentencji wyroku, na podstawie art. 151 ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. Nr 153, poz. 1270 z późn. zm.). ----------------------- 2