II SA/Wa 2217/20

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Łukasz Krzycki, Sędzia WSA Ewa Radziszewska-Krupa (spr.), Sędzia WSA Tomasz Szmydt, po rozpoznaniu na posiedzeniu niejawnym w dniu 17 czerwca 2021 r. sprawy ze skargi P. G. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] sierpnia 2020 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę I. Stan sprawy przedstawia się następująco: 1. Prezes Urzędu Ochrony Danych Osobowych (zwany dalej "Prezesem UODO") decyzją z [...] sierpnia 2020r. nr [...] w sprawie ze skargi P. G. (zwany dalej "Skarżącym") nakazał: 1. O. z siedzibą w [...] (zwana dalej: "Spółką"), zaprzestania przetwarzania danych osobowych w postaci wizerunku Skarżącego, pozyskiwanych za pomocą systemu monitoringu wizyjnego funkcjonującego na terenie Wspólnoty Mieszkaniowej [...] z siedzibą w [...] (zwana dalej: "Wspólnotą"); 2. Wspólnocie zaprzestanie udostępniania Spółce, bez podstawy prawnej, danych osobowych Skarżącego, pozyskiwanych za pomocą systemu monitoringu wizyjnego funkcjonującego na terenie Wspólnoty; 3. w pozostałym zakresie odmówił uwzględnienia wniosku. Prezes UODO w podstawie prawnej powołał m.in. art. 104 § 1 ustawy z 14 czerwca 1960r. Kodeks postępowania administracyjnego (Dz.U. z 2020r. poz. 256 ze zm., zwana dalej "k.p.a."), art. 160 ust. 1 i 2 ustawy z 10 maja 2018r. o ochronie danych osobowych (Dz.U. z 2018r. poz. 1000, zwana dalej "u.o.d.o.") w zw. z art. 18 ust. 1 ustawy z 29 sierpnia 1997r. o ochronie danych osobowych (Dz.U. z 2016r. poz. 922 ze zm., zwana dalej "u.o.d.o. z 1997r.") w zw. z art. 6 ust. 1 i art. 28 ust. 3 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z 04.05.2016, ze zm., zwane dalej: "Rozporządzeniem"). W uzasadnieniu decyzji Prezes UODO wskazał, że skarga dotyczyła niezgodnego z prawem przetwarzania danych osobowych Skarżącego przez A. (obecnie A.., zwana dalej "Deweloperem"), Spółę i E. J. - prowadzącą działalność gospodarczą pod firmą Z [...] E. J. (zwana dalej "Zarządzającą"). Zdaniem Skarżącego Deweloper udostępnił osobom trzecim pozyskane w procesie negocjowania i zawarcia umowy rezerwacyjnej z [...] grudnia 2015r. oraz zawarcia umów: deweloperskiej ([...].01.2016r.); o ustanowienie odrębnej własności lokalu ([...].05.2017r.) Jego dane osobowe, które nie były niezbędne do prawidłowego wykonywania zarządu nieruchomością wspólną. Spółka natomiast niezgodnie z prawem przetwarzała jego dane osobowe w zakresie wizerunku. Zarządzająca przetwarzała Jego dane osobowe niezgodnie z prawem w zakresie imienia, nazwiska, miejsca zamieszkania, nr PESEL i wizerunku. Skarżący wniósł o przywrócenie stanu zgodnego z prawem przez: - nakazanie Deweloperowi zaprzestania udostępniania osobom trzecim Jego danych osobowych, pozyskanych w związku z zawarciem umowy sprzedaży lokalu mieszkalnego, której stronami są Deweloper i Skarżący; - nakazanie zaprzestania udostępniania jego danych osobowych w zakresie imienia, nazwiska, miejsca zamieszkania, numeru PESEL oraz wizerunku przez Dewelopera i Spółkę - nakazanie Zarządzającej usunięcia jego danych osobowych pozyskanych od Dewelopera, - przywrócenie zgodnego z prawem przetwarzania danych osobowych Skarżącego w zakresie wizerunku, który jest utrwalany przez kamery monitoringu, znajdującego się na budynku Hotelu [...] należącego do Dewelopera - z uwagi na istniejące prawdopodobieństwo, że kamery te mogą pozyskiwać obraz z terenu Wspólnoty. Skarżący w toku postępowania wniósł także o zobowiązanie Dewelopera do rozdzielenia systemów monitorujących (systemu Wspólnoty i Hotelu [...]), a także zobowiązanie Dewelopera do usunięcia kamer, których jest właścicielem, a które w jego ocenie pozyskują obraz z terenu sąsiednich działek należących do innych podmiotów. Skarżący wniósł też o zobowiązanie Wspólnoty do wprowadzenia regulaminów określających precyzyjne zasady przetwarzania i udostępniania danych osobowych z monitoringu i zobowiązanie Wspólnoty do pozyskania od Skarżącego zgody na przetwarzanie jego wizerunku. Prezes UODO, na podstawie zebranego materiału dowodowego, ustalił, że Skarżący jest członkiem Wspólnoty. Według wyjaśnień Dewelopera, pozyskał on od Skarżącego jego dane osobowe (imię, nazwisko, adres e-mail, numer telefonu, nr PESEL, nr dowodu osobistego, adres zamieszkania) w celu przedstawienia oferty sprzedaży lokalu mieszkalnego i doprowadzenia do zawarcia umowy rezerwacyjnej lokalu. Skarżący [...] stycznia 2016r. zawarł z Deweloperem umowę o wybudowanie lokalu mieszkalnego nr [...] w budynku "[...]" przy ul. [...]w [...], w wykonaniu której [...] maja 2017r., zawarto umowę ustanowienia i przeniesienia odrębnej własności lokalu, umowa o podział do korzystania oraz pełnomocnictwo. Deweloper do [...] września 2017r. sprawował zarząd nieruchomością wspólną Wspólnoty, który powierzyli mu właściciele lokali w umowach ustanowienia odrębnej własności lokali w formie aktów notarialnych, na podstawie art. 18 ustawy z 24 czerwca 1994r. o własności lokali (Dz.U. z 2020r., poz. 532, zwana dalej "u.w.l."). Skarżący powierzył Deweloperowi zwykły zarząd nieruchomością wspólną w § 4 umowy z [...] maja 2017r. - ustanowienia i przeniesienia odrębnej własności lokalu, umowy o podział do korzystania i pełnomocnictwa, zawartej przed notariuszem. W związku z tym Deweloper przetwarzał dane osobowe Skarżącego w zakresie imienia, nazwiska, adresu, adresu e-mail, nr telefonu, informacji o jego lokalu (powierzchnia i udział w nieruchomości wspólnej). Wspólnota, reprezentowana przez Dewelopera, [...] listopada 2016r. zawarła umowę o administrowanie nieruchomością wspólną z Zarządzającą, na mocy której Zarządzającej powierzono m.in. przetwarzanie danych osobowych członków Wspólnoty, w związku ze zleceniem prowadzenia wykazu właścicieli lokali, danych adresowych i wielkości przysługujących im udziałów w nieruchomości wspólnej. Deweloper - jako właściciel Hotelu [...] – [...] sierpnia 2017r. i Wspólnota zawarły ze Spółką umowę na usługi bezpośredniej ochrony fizycznej mienia. Umowa ta nie wymienia obserwacji obrazu z kamer monitoringu zainstalowanego na terenie Wspólnoty w zakresie obowiązków Spółki. System monitoringu jest własnością Wspólnoty, a rejestrator znajduje się w pomieszczeniu technicznym, do którego dostęp ma wyłącznie Zarządzająca - administrator nieruchomości. Strony ww. umowy nie zawarły umowy dotyczącej powierzenia przetwarzania danych z monitoringu. Spółka ma dostęp do monitoringu wizyjnego Wspólnoty w zakresie możliwości obserwacji obrazu z kamer w czasie rzeczywistym. Do UODO wpłynęło [...] marca 2020r. pismo Dewelopera, w którym wyjaśnił, że nie posiada dostępu do danych osobowych Skarżącego w zakresie wizerunku, które są przetwarzane za pomocą monitoringu wizyjnego prowadzonego na terenie Wspólnoty, a od dnia powstania Wspólnoty do [...] września 2017r. pełnił funkcję zarządu powierzonego, który ustanowili właściciele lokali, podpisując umowy przeniesienia własności nieruchomości. Deweloper wyłącznie w tym okresie, działając jako zarząd, miał możliwość dostępu do nagrań z monitoringu. Od [...] września 2017r. Wspólnotę reprezentuje zarząd właścicielski, który powierzył obowiązki związane z zarządzaniem nieruchomością wspólną Zarządzającej. Według wyjaśnień Zarządzającej dane osobowe Skarżącego w zakresie imienia, nazwiska, numeru i powierzchni lokalu Skarżącego, wielkości udziału w nieruchomości wspólnej oraz adresu e-mail Skarżącego - przetwarzała ona jako podmiot, któremu Wspólnota - jako administrator danych - powierzyła ich przetwarzanie, stosownie do ówcześnie obowiązującego art. 31 u.o.d.o. z 1997r. Powierzenie danych nastąpiło na mocy umowy zawartej przez Wspólnotę z Zarządzającą o administrowanie nieruchomością wspólną z [...] listopada 2016r., która jest jednocześnie umową powierzenia przetwarzania danych w rozumieniu art. 31 u.o.d.o. z 1997r. i Zarządzająca przetwarza dane osobowe Skarżącego w wykazie właścicieli lokali Wspólnoty. Z wyjaśnień Dewelopera wynika, że obecnie przetwarza dane osobowe Skarżącego wyłącznie w związku ze złożoną przez niego skargą do UODO i w celu archiwalnym, wynikającym z obowiązku przechowywania dokumentacji księgowej, a także w celu zapewnienia dochodzenia roszczeń cywilnoprawnych z tytułu zawartych ze Skarżącym ww. umów dotyczących lokalu mieszkalnego. Spółka oświadczyła, że dane osobowe Skarżącego pozyskała [...] października 2017r., gdy doręczono jej pismo z Biura GIODO z [...].11.2017r. i przetwarza je wyłącznie w związku z tym postępowaniem. Spółka nie jest właścicielem kamer znajdujących się na terenie Wspólnoty, ani nie ma dostępu do nośników nagrań z tych kamer. Również jej pracownicy mogą zobaczyć obraz z kamer na monitorze, ale jedynie w czasie rzeczywistym, bez możliwości zapisu i ponownego odtworzenia. Prezes UODO ustalił, że od [...] września 2017r. zarząd nieruchomością wspólną prowadzi samodzielnie Wspólnota, która pozyskała dane Skarżącego (imię, nazwisko, numer i powierzchnia lokalu, wielkość udziału w nieruchomości wspólnej, adres e-mail) od Dewelopera. Wspólnota oświadczyła, że nie udostępniła Deweloperowi żadnych danych osobowych Skarżącego. Wspólnota prowadzi monitoring terenu nieruchomości wspólnej za pomocą 16 kamer zainstalowanych przy wejściach do każdej klatki schodowej, przy wjeździe i wyjeździe z posesji, przy wjeździe i wyjeździe z garażu, na placu zabaw, dziedzińcu i w garażu. O celach przetwarzania danych osobowych z nagrań monitoringu zainstalowanego na terenie nieruchomości wspólnej decyduje Wspólnota. Nadzór nad dostępem do tych danych (na podstawie umowy o administrowanie nieruchomością z [...].11.2016r.) sprawuje Zarządzająca - administrator nieruchomości. Wspólnota podpisała z Zarządzającą [...] września 2017r. aneks do umowy o administrowanie nieruchomością wspólną z [...].11.2016r., zgodnie z którym Wspólnota powierzyła Zarządzającej przetwarzanie m.in. danych osobowych Skarżącego w celu wykonania tej umowy - w zakresie obejmującym: imię, nazwisko, adres, adres e-mail, informację o lokalu, informację o udziale w nieruchomości wspólnej oraz wizerunek zarejestrowany przez monitoring wizyjny zainstalowany na terenie Wspólnoty. Wspólnota oświadczyła, że jest właścicielem systemu monitoringu; dostęp do systemu jest odpowiednio zabezpieczony i posiada go wyłącznie administrator nieruchomości, a nagrania są udostępniane tylko na pisemny wniosek Policji lub Prokuratury; zapisy monitoringu przechowywane są na dysku lokalnym przez 14 dni, po tym czasie są nadpisywane przez kolejne nagrania; wykorzystywany jest stały system video, a obraz kamer monitorujących przetwarzany jest w obwodzie zamkniętym. Wspólnota na potwierdzenie dopełnienia obowiązku informacyjnego wobec Skarżącego, załączyła kopię zdjęcia przedstawiającego, że w gablocie na terenie Wspólnoty widnieje informacja dotycząca przetwarzania danych osobowych w związku z prowadzonym monitoringiem wizyjnym. Prezes UODO ustalił, że [...] października 2017r. Zarządzająca usunęła z prowadzonego przez nią wykazu właścicieli - na żądanie Skarżącego - jego dane, w zakresie adresu e-mail i numeru telefonu. Wspólnota w piśmie z [...] marca 2020r. oświadczyła, że pozyskuje i dalej przetwarza dane osobowe Skarżącego w zakresie wizerunku za pośrednictwem monitoringu wizyjnego prowadzonego na terenie Wspólnoty, w celu zapewnienia bezpieczeństwa osób i mienia w obszarze objętym monitoringiem – na terenie Wspólnoty. Ponadto podała, że Zarządzająca ma dostęp do danych osobowych Skarżącego w zakresie wizerunku za pośrednictwem monitoringu wizyjnego prowadzonego na terenie Wspólnoty, na mocy umowy powierzenia przetwarzania danych z [...] maja 2018r., zawartej ze Wspólnotą. Zarządzająca przetwarza dane osobowe Skarżącego w zakresie wizerunku w celu zapewnienia bezpieczeństwa osób i mienia w obszarze objętym monitoringiem - na terenie Wspólnoty. Wspólnota oświadczyła, że Deweloper nie posiada dostępu do danych osobowych Skarżącego przetwarzanych za pomocą monitoringu wizyjnego zainstalowanego na terenie Wspólnoty. Prezes UODO wskazał, że na podstawie art. 160 ust. 2 u.o.d.o. postępowania prowadzone przez Generalnego Inspektora Ochrony Danych Osobowych, wszczęte i niezakończone przed [...] maja 2018r. prowadzone są przez Prezesa UODO, na podstawie u.o.d.o. z 1997r., zgodnie z zasadami określonymi k.p.a. Wszelkie czynności podejmowane przez Generalnego Inspektora Ochrony Danych Osobowych przed [...] maja 2018r. pozostają skuteczne. Dodatkowo od [...] maja 2018r. wszedł w życie obowiązek stosowania przepisów Rozporządzenia, więc w sprawie w zakresie prawa materialnego zastosowanie mają przepisy Rozporządzenia, a w zakresie proceduralnym przepisy u.o.d.o. z 1997r. Prezes UODO wskazał, że Deweloper pozyskał dane osobowe Skarżącego (imię, nazwisko, adres e-mail, numer telefonu, nr PESEL, nr dowodu osobistego, adres zamieszkania) w celu przedstawienia mu oferty sprzedaży lokalu mieszkalnego i doprowadzenia do zawarcia umowy rezerwacyjnej lokalu, a następnie w celu realizacji zawartej umowy deweloperskiej oraz umowy ustanowienia odrębnej własności lokalu. Deweloper do [...] września 2017r. pełnił funkcję zarządcy nieruchomości wspólnej (zarząd powierzony), na zasadach określonych w art. 18 ust. 1 i 2 u.w.l., więc na mocy art. 29 u.w.l. był zobowiązany - jako zarządca - do prowadzenia i aktualizowania spisu właścicieli lokali i przypadających im udziałów w nieruchomości wspólnej, któremu powierzono zarząd w umowach o ustanowienie odrębnej własności lokalu. Deweloper - strona ww. umów zawartych ze Skarżącym - był zatem uprawniony do przetwarzania danych osobowych Skarżącego na podstawie art. 23 ust. 1 pkt 3 u.o.d.o. z 1997r. Przepis ten dopuszczał przetwarzanie danych osobowych, gdy jest to konieczne do realizacji umowy, gdy osoba, której dane dotyczą, jest jej stroną lub gdy jest to niezbędne do podjęcia działań przed zawarciem umowy na żądanie osoby, której dane dotyczą. Na Deweloperze – w związku z umowami deweloperską i ustanowienia odrębnej własności lokalu i jego sprzedaży na rzecz Skarżącego ciążyły obowiązki uregulowane w tych umowach oraz obowiązki wynikające z rękojmi za wady rzeczy sprzedanej na podstawie art. 556 i 568 ustawy z 23 kwietnia 1964r. Kodeks cywilny (Dz.U. z 2019r. poz. 1145). Obecnie Deweloper przetwarza dane osobowe Skarżącego na podstawie art. 6 ust. 1 lit. b), c) i f) Rozporządzenia. Przepisy te stanowią, że przetwarzanie jest zgodne z prawem, kiedy jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą; jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze i gdy jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności, gdy osoba, której dane dotyczą, jest dzieckiem. Obecnie Deweloper nie ma dostępu do systemu monitoringu wizyjnego prowadzonego na terenie Wspólnoty, ani nie udostępnia innym podmiotom nagrań z tego monitoringu. Prezes UODO wskazał, że Wspólnota reprezentowana przez Dewelopera zawarła [...] listopada 2016r. umowę o administrowanie nieruchomością wspólną z Zarządzającą, która zawierała postanowienia dotyczące powierzenia przez Wspólnotę, jako administratora danych osobowych, przetwarzania danych osobowych właścicieli lokali, w tym danych Skarżącego w postaci danych adresowych, adresu e-mail, numeru telefonu, informacji o lokalu i przypisanego do niego udziału w nieruchomości wspólnej. Umowa ta miała charakter umowy powierzenia przetwarzania danych osobowych, o której mowa w art. 31 u.o.d.o. z 1997r. Przekazanie danych osobowych Skarżącego Zarządzającej nastąpiło zatem zgodnie z przepisami prawa. Zarządzająca, jako administrator nieruchomości, któremu powierzono zarząd nieruchomością wspólną jest zobowiązana na mocy art. 29 u.w.l. do prowadzenia wykazu właścicieli. Przepis nie precyzuje, jakie dokładnie dane mają znajdować się w tym wykazie. Zarządzająca ma obowiązek prowadzić wykaz właścicieli lokali i monitorować stan zadłużenia członków wspólnoty (§ 2 umowy z [...] listopada 2016r.). Dane Skarżącego przetwarzane są zatem z zachowaniem odpowiednich proporcji (zasada adekwatności określona w art. 5 ust. 1 lit. c Rozporządzenia). Zarządzająca na żądanie Skarżącego usunęła z wykazu właścicieli Jego dane, w zakresie adresu e-mail i numeru telefonu. Obecnie w ww. wykazie znajdują się dane osobowe Skarżącego w postaci imienia, nazwiska, adresu oraz powierzchni lokalu, które są niezbędne do prawidłowego funkcjonowania Wspólnoty i w tym zakresie Zarządzająca nadal przetwarza dane osobowe Skarżącego, w związku z obowiązującą umową o administrowanie nieruchomością wspólną z [...] listopada 2016r. i umową z [...] maja 2018r. - powierzenia przetwarzania danych osobowych w rozumieniu art. 28 ust. 3 Rozporządzenia, która dotyczy ww. umowy o administrowanie nieruchomością wspólną i swoim zakresem obejmuje wszystkie przesłanki wymienione w ww. przepisie. Na podstawie ww. umowy powierzenia przetwarzania danych Zarządzająca przetwarza też wizerunek Skarżącego (§ 4 i § 5 umowy). W związku z tym Prezes UODO stwierdził, że przetwarzanie danych osobowych Skarżącego przez Zarządzającą odbywa się zgodnie z art. 6 ust. 1 lit. c) i f) w zw. z art. 28 ust. 3 RODO, a postępowanie nie wykazało, aby doszło do nieuprawnionego przekazania Zarządzającej przez Dewelopera danych osobowych Skarżącego. Zdaniem Prezesa UODO postępowanie nie wykazało też, aby Deweloper udostępnił Spółce dane osobowe Skarżącego (imię, nazwisko, miejsce zamieszkania, numer PESEL i wizerunek). Wspólnota, w imieniu której działała Zarządzająca - administrator – zawarła ze Spółką [...] sierpnia 2017r. umowę na usługi bezpośredniej ochrony fizycznej mienia. Spółka przetwarza dane osobowe Skarżącego, bo jej pracownicy mają dostęp do obrazu wyświetlanego na monitorach systemu monitoringu wizyjnego należącego do Wspólnoty. Zgodnie z definicją przetwarzania danych zawartą w art. 4 pkt 2 Rozporządzenia, przetwarzaniem danych jest również wgląd w dane osobowe. Monitoring wizyjny musi być wykorzystywany w określonych, uzasadnionych celach. W sprawie jest on prowadzony przez Wspólnotę w celu zapobiegania kradzieżom i innym incydentom oraz zapewnienia bezpieczeństwa na terenie Wspólnoty. Jest to dopuszczalne na podstawie art. 6 ust. 1 lit. f Rozporządzenia. Prezes UODO wskazał również, że Wspólnota, jako administrator danych osobowych przetwarzanych za pomocą systemu monitoringu wizyjnego prowadzonego na terenie Wspólnoty, nie zawarła ze Spółką umowy, o której mowa w rozumieniu art. 28 ust. 3 Rozporządzenia, a także brak jest innego instrumentu prawnego, który takie przetwarzanie by dopuszczał. Wspólnota udostępniła dane osobowe Skarżącego Spółce w zakresie wizerunku, ale udostępnienie to nie ma oparcia w żadnej z przesłanek legalizujących przetwarzanie danych osobowych określonych w art. 6 ust. 1 Rozporządzenia i odbywa się bez podstawy prawnej. Zdaniem Prezesa UODO pozostałe żądania Skarżącego, dotyczące rozdzielenia dwóch systemów monitorujących (systemu Wspólnoty i Hotelu należącego do Dewelopera), zobowiązania Dewelopera do usunięcia kamer, których jest właścicielem, a które pozyskują obraz z terenu sąsiednich działek należących do innych podmiotów, a także zobowiązania Wspólnoty do wprowadzenia regulaminów określających precyzyjne zasady przetwarzania i udostępniania danych osobowych z monitoringu i zobowiązania tej wspólnoty do pozyskania od Skarżącego zgody na przetwarzanie jego wizerunku - na mocy z art. 18 ust. 1 u.o.d.o. z 1997r. - nie jest możliwe. W materiale dowodowym sprawy brak jest dowodów stwierdzających naruszenie prawa do ochrony danych osobowych Skarżącego w tym zakresie. Przetwarzanie przez Wspólnotę danych osobowych w Skarżącego w postaci Jego wizerunku, pozyskiwanego za pomocą monitoringu wizyjnego prowadzonego na terenie Wspólnoty, odbywa się na podstawie przesłanki legalności określonej w art. 6 ust. 1 lit. f Rozporządzenia, by zapewnić bezpieczeństwo osób i mienia w obszarze objętym monitoringiem za prawnie usprawiedliwiony cel Wspólnoty, wobec czego zgoda Skarżącego na nagrywanie przez monitoring nie jest wymagana. 2. Skarżący w skardze do Wojewódzkiego Sądu Administracyjnego w Warszawie wniósł o kontrolę prawidłowości ww. decyzji Prezesa UODO w zakresie dotyczącym: a) naruszenia przez Dewelopera przepisów u.o.d.o. z 1997r., gdy w okresie pełnienia zarządu nieruchomością wspólną Wspólnoty (do [...] września 2017r.) przetwarzał dane osobowe Skarżącego w zakresie przekraczającym zakres danych niezbędnych do realizacji czynności zarządcy nieruchomości, bez właściwej podstawy prawnej; b) naruszenia przez Wspólnotę, zarządzaną przez Dewelopera przepisów u.o.d.o. z 1997r. przez przekazanie danych osobowych Skarżącego Zarządzającej w zakresie przekraczającym zakres niezbędny do wykonywania czynności administratora nieruchomości; c) naruszenia przez Zarządzającą przepisów u.o.d.o. z 1997r. przez przetwarzanie danych osobowych bez pozyskania zgody Skarżącego w zakresie przekraczającym wykonywanie czynności administratora nieruchomości; d) legalności przetwarzania przez Wspólnotę danych osobowych Skarżącego - wizerunku pozyskiwanego i utrwalanego za pomocą urządzeń elektronicznych; e) naruszenia przez Wspólnotę przepisów u.o.d.o. z 1997r. i przepisów Rozporządzenia w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE w zakresie braku dopełnienia obowiązku informacyjnego w zakresie prowadzonego monitoringu wizyjnego. Skarżący wniósł też o zasądzenie kosztów postepowania. Skarżący w obszernym uzasadnieniu skargi stwierdził, że Prezes UODO, wskazując możliwość przetwarzania danych osobowych przez Dewelopera na podstawie art. 23 ust. 1 pkt 3 u.o.d.o. z 1997r. pominął art. 26 ust. 1 pkt 3 u.o.d.o. z 1997r., który obligował do przetwarzania danych merytorycznie poprawne i adekwatne w stosunku do celów, w jakich były przetwarzane. Wykazanie przez administratora danych, że legitymuje się przynajmniej jedną z przesłanek przewidzianych w art. 23 ust. 1 u.o.d.o. z 1997r. nie wyłącza oceny adekwatności danych osoby w stosunku do celów, w jakich są one przetwarzane. W celu realizacji obowiązków związanych z zarządzaniem nieruchomością wspólną w zgodzie z przepisami u.w.l. wystarczającym było przetwarzanie danych w zakresie: imienia, nazwiska oraz informacji o lokalu wraz z informacją o wielkości udziału w nieruchomości wspólnej. Deweloper przetwarzając pozostałe dane (adres, adres e-mail, nr telefonu) naruszył przepisy u.o.d.o. z 1997r. w zakresie adekwatności przetwarzanych danych w stosunku do celów, w jakich były przetwarzane. Skarżący wskazał, że Wspólnota pozyskała jego dane osobowe od Dewelopera w zakresie przekraczającym zakres danych niezbędnych do wykonywania zarządu nieruchomością wspólną, a następnie jako administrator danych przekazała je w zakresie przekraczającym zakres adekwatności w stosunku do celów, w jakich miały być przetwarzane przez Zarządzającą. Prezes UODO, dokonując na podstawie art. 31 u.o.d.o. z 1997r. oceny charakteru umowy zawartej [...] listopada 2016r. pomiędzy Wspólnotą, a Zarządzającą pominął art. 26 ust. 1 pkt 3 u.o.d.o. z 1997r., zgodnie z którym Wspólnota jako administrator danych swoich członków powinna dołożyć szczególnej staranności w celu ochrony interesów osób, których dane dotyczą, w szczególności była zobowiązana zapewnić, aby dane te były merytorycznie poprawne i adekwatne w stosunku do celów, w jakich są przetwarzane. Udostępnienie jego danych osobowych w zakresie: adresu, adres e-mail, nr telefonu przez Wspólnotę Zarządzającej stanowiło naruszenie przepisów u.o.d.o. z 1997r. Prezes UODO, pomimo zgromadzenia dowodów potwierdzających, że Zarządzająca od [...] listopada 2016r. do dnia wniesienia przez Skarżącego sprzeciwu przetwarzała bez jego wiedzy i zgody dane osobowe w zakresie: adresu, adres e-mail, nr telefonu, nie ocenił tego faktu, ograniczając się do wskazania tych okoliczności w ustaleniach faktycznych. Skoro Skarżący dobrowolnie nie udostępnił danych osobowych (adres, adres e-mail, nr telefonu), bądź nie dał zgody na ich przetwarzanie przez Zarządzającą, przy jednoczesnym braku podstaw do przetwarzania danych osobowych na podstawie art. 23 ust. 1 pkt 2-5 u.o.d.o. z 1997r., czynności podejmowane na danych osobowych Skarżącego stanowiły naruszenie ww. przepisów. W ocenie Skarżącego istotną, a nie rozważoną przez Prezesa UODO była legalność wprowadzenia monitoringu na terenie Wspólnoty na gruncie przepisów u.w.l. W zaskarżonej decyzji nie rozważono, kto i na jakiej podstawie wprowadził monitoring. Wskazany przez Prezesa UODO art. 6 ust. 1 lit. f Rozporządzenia mógłby być uzasadnieniem prowadzenia monitoringu, gdyby decyzję o jego wprowadzeniu na podstawie art. 22 ust. 2 u.w.l. podjęła Wspólnota w formie uchwały, gdyż czynność ta przekracza zakres zwykłego zarządu. Wspólnota takiej uchwały nie podjęła i nie otrzymały zgody Skarżącego, tak jak Deweloper na przetwarzanie jego danych osobowych w postaci wizerunku. Wspólnota i Zarządzająca przetwarzają więc wizerunek Skarżącego z naruszeniem przepisów u.o.d.o. z 1997r. i Rozporządzenia. Skarżący zauważył, że poza zakresem oceny Prezesa UODO pozostał fakt, że Spółka do dnia zawarcia umowy – [...].07.2017r. świadczyła usługi ochrony wyłącznie na rzecz Dewelopera, a jednocześnie monitorowała teren Wspólnoty. Prezes UODO nie uwzględnił ponadto zastrzeżeń i sugestii Skarżącego w zakresie rozszerzenia materiału dowodowego o materiały źródłowe. 3. Prezes UODO w odpowiedzi na skargę wniósł o jej oddalenie, podtrzymując dotychczasowe stanowisko w sprawie. II. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: 1. Skarga nie ma uzasadnionych podstaw. 2. Sąd na wstępie wyjaśnia, że sprawę rozpoznano na posiedzeniu niejawnym, w oparciu o zarządzenie Przewodniczącego Wydziału II Wojewódzkiego Sądu Administracyjnego w Warszawie z 21 maja 2021r. Zgodnie bowiem z obowiązującym w dniu wydania ww. zarządzenia art. 15zzs4 ust. 3 ustawy z 2 marca 2020r. o szczególnych rozwiązaniach związanych z zapobieganiem, przeciwdziałaniem i zwalczaniem COVID-19, innych chorób zakaźnych oraz wywołanych nimi sytuacji kryzysowych (Dz.U. z 2020r., poz. 374 ze zm.), znowelizowanej ustawą z 14 maja 2020r. o zmianie niektórych ustaw w zakresie działań osłonowych w związku z rozprzestrzenianiem się wirusa SARS-CoV-2 (Dz.U. z 2020r., poz. 875 ze zm. – art. 46 pkt 21) "Przewodniczący może zarządzić przeprowadzenie posiedzenia niejawnego, jeżeli uzna rozpoznanie sprawy za konieczne, a przeprowadzenie wymaganej przez ustawę rozprawy mogłoby wywołać nadmierne zagrożenie dla zdrowia osób w niej uczestniczących i nie można przeprowadzić jej na odległość z jednoczesnym bezpośrednim przekazem obrazu i dźwięku. Na posiedzeniu niejawnym w tych sprawach sąd orzeka w składzie trzech sędziów." Ww. przepis należy traktować jako "szczególny" w rozumieniu art. 10 i art. 90 § 1 ustawy z 30 sierpnia 2002r. Prawo o postępowaniu przed sądami administracyjnymi (Dz.U. z 2019r., poz. 2325 ze zm., zwanej dalej "P.p.s.a."). Prawo do jawnej rozprawy nie jest prawem o charakterze absolutnym, więc może podlegać ograniczeniom. Takie ograniczenia mogą wynikać z art. 31 ust. 3 Konstytucji RP, w którym wskazano warunki, jakie należy spełnić by móc ograniczyć korzystanie z konstytucyjnych wolności i praw. Po pierwsze ograniczenie powinno być wprowadzone do obrotu prawnego na poziomie ustawy. Po drugie ograniczenie musi być konieczne w demokratycznym państwie, np. dla ochrony zdrowia. Po trzecie, ograniczenie winno być proporcjonalne do chronionej wolności w sensie ścisłym. Skoro celem stosowania przepisów zawartych w ww. ustawie o szczególnych rozwiązaniach związanych z zapobieganiem, przeciwdziałaniem i zwalczaniem COVID-19 (...) jest m.in. ochrona życia i zdrowia ludzkiego w związku z zapobieganiem i zwalczaniem zakażenia wirusem COVID-19, zaś organy wymiaru sprawiedliwości, mając na uwadze, że pandemia nie ustąpiła, winny uwzględniać w orzekaniu normy wynikające z powyższych przepisów, to Przewodniczący Wydziału II WSA w Warszawie, z ww. powodów, skierował sprawę do rozpoznania na posiedzeniu niejawnym. 3. Sąd stwierdza ponadto, że zgodnie z art. 1 § 1 i 2 ustawy z 25 lipca 2002r. - Prawo o ustroju sądów administracyjnych (Dz.U. z 2019r., poz. 2167 ze zm., zwana dalej "P.u.s.a.") kontrola sądowa zaskarżonych decyzji, postanowień bądź innych aktów, wymienionych w art. 3 § 2 P.p.s.a. sprawowana jest przez Sądy administracyjne w oparciu o kryterium zgodności z prawem. W związku z tym, aby wyeliminować z obrotu prawnego akt wydany przez organ administracji publicznej (np. decyzję) konieczne jest stwierdzenie, że doszło w niej do naruszenia bądź przepisu prawa materialnego w stopniu mającym wpływ na wynik sprawy, bądź przepisu postępowania w stopniu mogącym mieć istotny wpływ na rozstrzygnięcie, albo też przepisu prawa dającego podstawę do wznowienia postępowania, lub ewentualnie ustalenie, że decyzja lub postanowienie organu dotknięte jest wadą nieważności (art. 145 § 1 pkt 1 lit. a)-c), pkt 2 P.p.s.a.). W razie nieuwzględnienia skargi w całości albo w części Sąd, na mocy art. 151 P.p.s.a., oddala skargę odpowiednio w całości albo w części. Sąd wyjaśnia również, że stosownie do art. 134 § 1 P.p.s.a. Sąd rozstrzyga w granicach danej sprawy, nie będąc jednak związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną z zastrzeżeniem art. 57a. Ostatni z ww. przepisów nie miał jednak zastosowania w sprawie, gdyż organ administracyjny wydał decyzję administracyjną, którą zaskarżył Skarżący, a nie interpretację indywidualną, o której mowa w art. 57a P.p.s.a. 4. Sąd - oceniając w świetle wskazanych wyżej kryteriów zaskarżoną decyzję Prezesa UODO z [...] sierpnia 2020r., - uznał, że nie naruszała ona obowiązujących przepisów prawa, wskazanych w jej podstawie prawnej, ani przepisów prawa powołanych przez Skarżące w skardze. Wbrew stanowisku prezentowanemu przez Skarżącego w uzasadnieniu skargi Prezes UODO przed wydaniem zaskarżonej decyzji prawidłowo ustalił stan faktyczny sprawy, a przy rozpoznawaniu sprawy wziął pod rozwagę wszystkie okoliczności faktyczne, mające znaczenie w sprawie, czemu dał wyraz w uzasadnieniu ww. decyzji. Tym samym w ocenie Sądu Prezes UODO nie naruszył fundamentalnych zasad określonych w przepisach art. 7, art. 8, art. 77 § 1 i art. 80 k.p.a., jak również w sposób zgodny z art. 107 § 1 i 3 k.p.a. skonstruował uzasadnienie zaskarżonej decyzji. Prawidłowe było ponadto uznanie przez Prezesa UODO w uzasadnieniu zaskarżonej decyzji, że stosownie do treści art. 23 u.o.d.o. z 1997r. przetwarzanie danych osobowych jest dopuszczalne tylko wtedy, zostanie spełniona jedna z przesłanek zawartych w tym przepisie. Zgodnie natomiast z treścią art. 7 pkt 2 u.o.d.o. z 1997r., przez przetwarzanie danych rozumie się jakiekolwiek operacje wykonywane na danych osobowych, takie jak zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie, a zwłaszcza te, które wykonuje się w systemach informatycznych. Stwierdzić ponadto należy, że operacje wykonywane na danych osobowych są wobec siebie równorzędne, a zatem dla wystąpienia prawidłowości bądź nieprawidłowości przetwarzania danych osobowych wystarczające jest wystąpienie chociażby jednej z ww. operacji. Z kolei w myśl art. 23 ust. 1 pkt 2 u.o.d.o. z 1997r., przetwarzanie danych osobowych jest dopuszczalne m.in. wtedy, gdy jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa, a zgodnie z brzmieniem art. 23 ust. 1 pkt 5 u.o.d.o. z 1997r. również wówczas, kiedy przetwarzanie danych jest niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą. Sąd, mając powyższe przepisy na względzie, jak również biorąc pod uwagę ustalenia Prezesa UODO zawarte w uzasadnieniu zaskarżonej decyzji i mające potwierdzenie w aktach administracyjnych sprawy, stwierdza, że Wspólnota została upoważniona do przetwarzania danych osobowych Skarżącego, na mocy powołanych przez Prezesa UODO przepisów ww. u.w.l., a w zakresie w nich nieuregulowanym, na podstawie przepisów Kodeksu cywilnego. W myśl bowiem art. 200 u.w.l., każdy ze współwłaścicieli jest obowiązany do współdziałania w zarządzie rzeczą wspólną, zaś w myśl art. 29 ust. 3 u.w.l., prawo kontroli działalności zarządu służy każdemu właścicielowi lokalu. Tym samym każdemu ze współwłaścicieli przysługiwało prawo dostępu do dokumentacji związanej z zarządzaniem nieruchomością wspólną, więc Skarżący mógł w stosownym czasie podjąć działania zmierzające do sprawdzenia prawidłowości przetwarzania Jego danych osobowych. Sąd zgadza się również ze Skarżącym, że administrator danych przetwarzający dane - w myśl art. 26 ust. 1 pkt 3 u.o.d.o. z 1997r., powinien dołożyć szczególnej staranności w celu ochrony interesów osób, których dane dotyczą, a w szczególności jest obowiązany zapewnić, aby dane te były merytorycznie poprawne i adekwatne w stosunku do celów, w jakich są przetwarzane. Z akt rozpoznawanej sprawy wynika, na co prawidłowo zwrócił uwagę Prezes UODO w uzasadnieniu zaskarżonej decyzji, że w toku sprawy ustalono, że w chwili, gdy była wydawana zaskarżona decyzje dane osobowe Skarżącego nie były przetwarzane niezgodnie z prawem przez Dewelopera, który był uprawniony do przetwarzania danych osobowych Skarżącego o (imię, nazwisko, adres e-mail, numer telefonu, nr PESEL, nr dowodu osobistego, adres zamieszkania) w celu przedstawienia mu oferty sprzedaży lokalu mieszkalnego i doprowadzenia do zawarcia umowy rezerwacyjnej lokalu. Następnie – [...] stycznia 2016r. - Skarżący zawarł z Deweloperem umowę deweloperską o wybudowanie ww. lokalu mieszkalnego, w wykonaniu której – [...] maja 2017r. zawarto umowę ustanowienia i przeniesienia odrębnej własności lokalu, umowę o podział do korzystania oraz pełnomocnictwo. Deweloper do [...] września 2017r. pełnił funkcję zarządcy nieruchomości wspólnej (zarząd powierzony) na zasadach określonych w art. 18 ust 1 i ust. 2 u.w.l. Tym samym na mocy art. 29 u.w.l. Deweloper był zobowiązany do prowadzenia i aktualizowania spisu właścicieli lokali i przypadających im udziałów w nieruchomości wspólnej jako zarządca, któremu powierzono zarząd w umowach o ustanowienie odrębnej własności lokalu. Prawidłowe było zatem przyjęcie przez Prezesa UODO w zaskarżonej decyzji, że Deweloper jako strona ww. umów zawartych ze Skarżącym, był uprawniony do przetwarzania danych osobowych Skarżącego na podstawie obowiązującego wówczas art. 23 ust. 1 pkt 3 u.o.d.o. z 1997r., który dopuszczał przetwarzanie danych osobowych, gdy było to konieczne do realizacji umowy, gdy osoba, której dane dotyczą, jest jej stroną lub gdy jest to niezbędne do podjęcia działań przed zawarciem umowy na żądanie osoby, której dane dotyczą. W konsekwencji niezasadny jest zarzut naruszenia przez Prezesa UODO art. 26 ust. 1 pkt 3 u.o.d.o. z 1997r. Z pisma Dewelopera, które wpłynęło do UODO [...] marca 2020r., wynika, że Deweloper nie posiada dostępu do danych osobowych Skarżącego w zakresie wizerunku, które są przetwarzane za pomocą monitoringu wizyjnego prowadzonego na terenie Wspólnoty, a od dnia powstania Wspólnoty do [...] września 2017r. pełnił funkcję zarządu powierzonego, który ustanowili właściciele lokali, podpisując umowy przeniesienia własności nieruchomości. Na zasadach określonych w art. 18 ust 1 i 2 u.w.l., był więc na mocy art. 29 u.w.l. zobowiązany - jako zarządca - do prowadzenia i aktualizowania spisu właścicieli lokali i przypadających im udziałów w nieruchomości wspólnej, któremu powierzono zarząd w umowach o ustanowienie odrębnej własności lokalu. Deweloper - strona ww. umów zawartych ze Skarżącym - był zatem uprawniony do przetwarzania danych osobowych Skarżącego na podstawie art. 23 ust. 1 pkt 3 u.o.d.o. z 1997r. Przepis ten dopuszczał przetwarzanie danych osobowych, gdy jest to konieczne do realizacji umowy, gdy osoba, której dane dotyczą, jest jej stroną lub gdy jest to niezbędne do podjęcia działań przed zawarciem umowy na żądanie osoby, której dane dotyczą. Na Deweloperze – w związku z umowami deweloperską i ustanowienia odrębnej własności lokalu i jego sprzedaży na rzecz Skarżącego ciążyły obowiązki uregulowane w tych umowach oraz obowiązki wynikające z rękojmi za wady rzeczy sprzedanej na podstawie art. 556 i 568 k.c. Deweloper wyłącznie w tym okresie, działając jako zarząd, miał możliwość dostępu do nagrań z monitoringu. Od [...] września 2017r. Wspólnotę reprezentuje zarząd właścicielski, który powierzył obowiązki związane z zarządzaniem nieruchomością wspólną Zarządzającej. Tym samym zasadne było wskazanie przez Prezesa UODO w zaskarżonej decyzji, że w tym zakresie wniosek Skarżącego nie zasługiwał na uwzględnienie. Stwierdzić też należy, że prawidłowe było stwierdzenie w zaskarżonej decyzji, że skoro obecnie Deweloper przetwarza dane osobowe Skarżącego na podstawie art. 6 ust. 1 lit. b), c) i f) RODO, zarzuty Skarżącego w tym zakresie również były chybione i skierowany do UODO wniosek (skarga) Skarżącego również z tego powodu nie mógł być uwzględniony przez Prezesa UODO. Przepisy te stanowią, że przetwarzanie jest zgodne z prawem, kiedy jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą; jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze i gdy jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności, gdy osoba, której dane dotyczą, jest dzieckiem. Z ustaleń Prezesa UODO wynikało, że Deweloper nie ma dostępu do systemu monitoringu wizyjnego prowadzonego na terenie Wspólnoty, ani nie udostępnia innym podmiotom nagrań z tego monitoringu. W świetle akt sprawy zasadne było też przyjęcie przez Prezesa UODO, że postępowanie administracyjne nie wykazało, aby Deweloper udostępnił Spółce dane osobowe Skarżącego w postaci imienia, nazwiska, miejsca zamieszkania, numeru PESEL i wizerunku. Z wyjaśnień Dewelopera wynikało też, że obecnie przetwarza On dane osobowe Skarżącego wyłącznie w związku ze złożoną przez Skarżącego skargą do UODO i w celu archiwalnym, wynikającym z obowiązku przechowywania dokumentacji księgowej, a także w celu zapewnienia dochodzenia roszczeń cywilnoprawnych z tytułu zawartych ze Skarżącym ww. umów dotyczących lokalu mieszkalnego. Wspólnota także oświadczyła, że nie udostępniła Deweloperowi żadnych danych osobowych Skarżącego. Sąd nie uznał ponadto za zasadne zarzutu skargi, że Prezes UODO nie uwzględnił w sprawie okoliczności, że Wspólnota zarządzana przez Dewelopera przekazała Zarządzającej zbyt szeroki zakres danych osobowych Skarżącego (w postaci adresu e-mail i nr telefonu), a także, że Zarządzająca przetwarzała ww. dane poza niezbędnym zakresem - do wykonywania czynności administratora nieruchomości. Skoro Skarżący jest właścicielem mieszkania zarządzanego przez Wspólnotę, podane przez niego dane osobowe, jako członka tejże Wspólnoty, mogą być przetwarzane przez Wspólnotę dla celów związanych z zarządem nieruchomością wspólną, w tym również w celach powołanych w uzasadnieniu zaskarżonej decyzji. Ze stanu faktycznego sprawy, ustalonego przez Prezesa UODO, zgodnie z wymogami przewidzianymi w przepisach prawa procesowego, wynika, że przekazanie powyższych danych nastąpiło na podstawie umowy zawartej [...] listopada 2016r. o administrowanie nieruchomością wspólną. Powyższą umowę zawarła Wspólnotą - reprezentowaną przez Dewelopera z Zarządzającą. Umowa ta była jednocześnie umową powierzenia przetwarzania danych w rozumieniu art. 31 u.o.d.o. z 1997r. Warto też zauważyć, mając na względzie zarzut Skarżącego o naruszeniu w związku z tym przez Zarządzającą art. 26 ust. 1 pkt 3 u.o.d.o. z 1997r. i nie wzięcie tego pod rozwagę przez Prezesa UODO, że w chwili wydawania zaskarżonej decyzji Zarządzająca - administrator nieruchomości, przetwarzała dane osobowe Skarżącego w wykazie właścicieli lokali i jedynie w postaci imienia, nazwiska, adresu oraz powierzchni lokalu. Przetwarzanie to było zatem niezbędne w celu prawidłowego funkcjonowania Wspólnoty. Z materiału dowodowego zgromadzonego przed wydaniem zaskarżonej decyzji wynika również, że Zarządzająca - na żądanie Skarżącego - usunęła [...] października 2017r. z wykazu właścicieli dane osobowe Skarżącego w postaci adresu e-mail i numeru telefonu, a zatem postępowanie w zakresie dotyczącym przetwarzania tego rodzaju danych nie mogło się toczyć. Tym samym zasadne było wskazanie przez Prezesa UODO w zaskarżonej decyzji (pkt 3), że w tym zakresie wniosek Skarżącego nie zasługiwał na uwzględnienie. Sąd zauważa również, że przetwarzanie danych osobowych, w myśl art. 23 ust. 1 pkt 2 u.o.d.o. z 1997r., jest dopuszczalne jeśli jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa. Tym samym zgoda Skarżącego na przetwarzanie Jego danych osobowych, zarówno przez Wspólnotę, jak i przez Zarządzającą była zbędna. W tym kontekście nie sposób zakwestionować stanowiska Prezesa UODO wyrażonego w uzasadnieniu zaskarżonej decyzji, że z uwagi na cele związane z zarządem nieruchomością wspólną wynikające z u.w.l. oraz k.c. usprawiedliwione było przetwarzanie danych osobowych Skarżącego przez Wspólnotę i działającą w jej imieniu Zarządzającą do czasu usunięcia przez Zarządzającą danych Skarżącego, na jego wniosek. Prawidłowo zatem przyjęto w postępowaniu przed Prezesem UODO, że nie naruszało to praw i wolności Skarżącego. Prezes UODO, na podstawie zebranego materiału dowodowego, ustalił, że Skarżący jest członkiem Wspólnoty. Według wyjaśnień Dewelopera, pozyskał on od Skarżącego jego dane osobowe (imię, nazwisko, adres e-mail, numer telefonu, nr PESEL, nr dowodu osobistego, adres zamieszkania) w celu przedstawienia oferty sprzedaży lokalu mieszkalnego i doprowadzenia do zawarcia umowy rezerwacyjnej lokalu. Skarżący [...] stycznia 2016r. zawarł z Deweloperem umowę o wybudowanie ww. lokalu mieszkalnego, w wykonaniu której [...] maja 2017r., zawarto umowę ustanowienia i przeniesienia odrębnej własności lokalu, umowa o podział do korzystania oraz pełnomocnictwo. Deweloper do [...] września 2017r. sprawował zarząd nieruchomością wspólną Wspólnoty, który powierzyli mu właściciele lokali w umowach ustanowienia odrębnej własności lokali w formie aktów notarialnych, na podstawie art. 18 u.w.l. Skarżący powierzył Deweloperowi zwykły zarząd nieruchomością wspólną w § 4 umowy z [...] maja 2017r. - ustanowienia i przeniesienia odrębnej własności lokalu, umowy o podział do korzystania i pełnomocnictwa, zawartej przed notariuszem. Deweloper w związku z tym przetwarzał dane osobowe Skarżącego w zakresie imienia, nazwiska, adresu, adresu e-mail, nr telefonu, informacji o jego lokalu (powierzchnia i udział w nieruchomości wspólnej). Wspólnota, reprezentowana przez Dewelopera, [...] listopada 2016r. zawarła umowę o administrowanie nieruchomością wspólną z Zarządzającą, na mocy której Zarządzającej powierzono m.in. przetwarzanie danych osobowych członków Wspólnoty, w związku ze zleceniem prowadzenia wykazu właścicieli lokali, danych adresowych i wielkości przysługujących im udziałów w nieruchomości wspólnej. Według wyjaśnień Zarządzającej dane osobowe Skarżącego w zakresie imienia, nazwiska, numeru i powierzchni lokalu Skarżącego, wielkości udziału w nieruchomości wspólnej oraz adresu e-mail Skarżącego - przetwarzała jako podmiot, któremu Wspólnota - jako administrator danych - powierzyła ich przetwarzanie, stosownie do ówcześnie obowiązującego art. 31 u.o.d.o. z 1997r. Powierzenie danych nastąpiło na mocy umowy zawartej przez Wspólnotę z Zarządzającą o administrowanie nieruchomością wspólną z [...] listopada 2016r., która jest jednocześnie umową powierzenia przetwarzania danych w rozumieniu art. 31 u.o.d.o. z 1997r. i Zarządzająca przetwarza dane osobowe Skarżącego w wykazie właścicieli lokali Wspólnoty. Przekazanie danych osobowych Skarżącego Zarządzającej nastąpiło zatem zgodnie z przepisami prawa. Zarządzająca, jako administrator nieruchomości, któremu powierzono zarząd nieruchomością wspólną była zobowiązana na mocy art. 29 u.w.l. do prowadzenia wykazu właścicieli. Przepis nie precyzuje, jakie dokładnie dane mają znajdować się w tym wykazie. Zarządzająca ma obowiązek prowadzić wykaz właścicieli lokali i monitorować stan zadłużenia członków wspólnoty (§ 2 umowy z [...] listopada 2016r.). Dane Skarżącego przetwarzane były zatem z zachowaniem odpowiednich proporcji (zasada adekwatności określona w art. 5 ust. 1 lit. c Rozporządzenia). Obecnie w ww. wykazie znajdują się dane osobowe Skarżącego w postaci imienia, nazwiska, adresu oraz powierzchni lokalu, które są niezbędne do prawidłowego funkcjonowania Wspólnoty i w tym zakresie Zarządzająca nadal przetwarza dane osobowe Skarżącego, w związku z obowiązującą umową o administrowanie nieruchomością wspólną z [...] listopada 2016r. i umową z [...] maja 2018r. - powierzenia przetwarzania danych osobowych w rozumieniu art. 28 ust. 3 Rozporządzenia, która dotyczy ww. umowy o administrowanie nieruchomością wspólną i swoim zakresem obejmuje wszystkie przesłanki wymienione w ww. przepisie. Na podstawie ww. umowy powierzenia przetwarzania danych Zarządzająca przetwarza też wizerunek Skarżącego (§ 4 i § 5 umowy). W związku z tym słusznie Prezes UODO stwierdził, że przetwarzanie danych osobowych Skarżącego przez Zarządzającą odbywa się zgodnie z art. 6 ust. 1 lit. c) i f) w związku z art. 28 ust. 3 RODO, a postępowanie nie wykazało, aby doszło do nieuprawnionego przekazania Zarządzającej przez Dewelopera danych osobowych Skarżącego. W tym kontekście Sąd uznał, że wystarczające były ustalenia Prezesa UODO do przyjęcia stanowiska wyrażonego w punkcie trzecim decyzji. Sąd zauważa również, że Prezes UODO, w świetle materiałów zgromadzonych w aktach sprawy, był uprawniony do wydania zaskarżonej decyzji w części dotyczącej monitoringu. Z ustaleń organu administracyjnego wynikało bowiem, że Wspólnota jest właścicielem monitoringu, który stanowi część składową nieruchomości wspólnej i składa się z 16 kamer zainstalowanych na przy wejściach do każdej klatki schodowej, przy wjeździe i wyjeździć z posesji, przy wjeździe i wyjeździć z garażu, na placu zabaw, dziedzińcu i w garażu. Monitoring swoim zasięgiem obejmuje wyłącznie teren Wspólnoty. Spośród 16 ww. kamer do Wspólnoty należą także dwie kamery zainstalowane na ścianie budynku Hotelu [...], które monitorują drogę wyjazdową dla jej mieszkańców. Skoro zatem z ustaleń poczynionych w toku postępowania administracyjnego wynikało, że ww. monitoring swoim zasięgiem obejmował wyłącznie teren Wspólnoty, nieuzasadnione były zarzuty skargi dotyczące naruszenia przez Prezesa UODO art. 6 ust 1 lit. f Rozporządzenia. Zgodnie z tym przepisem przetwarzanie jest zgodne z prawem, gdy jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności, gdy osoba, której dane dotyczą, jest dzieckiem. Treść powyższego przepisu dopuszcza prowadzenie przez Wspólnotę monitoringu do celów zapobiegania kradzieżom i innym incydentom oraz zapewnienia bezpieczeństwa na terenie Wspólnoty Mieszkaniowej. Należy przy tym wskazać, że zgoda Skarżącego w takim przypadku nie jest wymagana. Sąd stwierdza ponadto, odnosząc się do zarzutu Skarżącego, że Prezes UODO nie ustalił w toku postępowania czy obowiązek informacyjny był realizowany wobec Skarżącego, że kwestia ta nie miała istotnego wpływu na wynik sprawy. Prezes UODO jako organ administracyjny po przeprowadzeniu postępowania rozstrzyga sprawę decyzją według stanu prawnego i faktycznego na dzień wydania decyzji. Analogiczne stanowisko było wielokrotnie prezentowane przez Naczelny Sąd Administracyjny (por. uchwała NSA z 25 listopada 2013r. sygn. akt I OPS 6/13). Skoro zatem Wspólnota w toku postępowania załączyła kopię zdjęcia potwierdzającego, że dopełniła obowiązku informacyjnego m.in. wobec Skarżącego – jako członka Wspólnoty - przez zamieszczenie w gablocie na terenie Wspólnoty informacji dotyczącej przetwarzania danych osobowych w związku z prowadzonym monitoringiem wizyjnym (fotokopia klauzuli informacyjnej w aktach sprawy), nie sposób uznać, że zarzuty skargi w tym zakresie mogły być uznane za zasadne. Z treści ww. informacji wynikało bowiem m.in., że Wspólnota będzie przekazywać dane osobowe odbiorcom, którym powierzono przetwarzanie danych osobowych w imieniu i na rzecz Wspólnoty - Zarządzającej, "w tym głównie firmom dostarczającym rozwiązania infrastrukturalne lub świadczącym usługi serwisowe i ochrony". Skarżący w toku postępowania administracyjnego nie przedłożył dowodów, które mogłyby potwierdzać jego racje, a organ działał w sprawie z zachowaniem zasady prawdy obiektywnej, o której mowa w art. 7 i art. 77 § 1 k.p.a. Wspólnota w piśmie z [...] marca 2020r. oświadczyła, że pozyskuje i dalej przetwarza dane osobowe Skarżącego w zakresie wizerunku za pośrednictwem monitoringu wizyjnego prowadzonego na terenie Wspólnoty, w celu zapewnienia bezpieczeństwa osób i mienia w obszarze objętym monitoringiem – na terenie Wspólnoty. Ponadto podała, że Zarządzająca ma dostęp do danych osobowych Skarżącego w zakresie wizerunku za pośrednictwem monitoringu wizyjnego prowadzonego na terenie Wspólnoty, na mocy umowy powierzenia przetwarzania danych z [...] maja 2018r., zawartej ze Wspólnotą. Zarządzająca przetwarza dane osobowe Skarżącego w zakresie wizerunku w celu zapewnienia bezpieczeństwa osób i mienia w obszarze objętym monitoringiem - na terenie Wspólnoty. Sąd dodatkowo Stwierdza, że z ustaleń Prezesa UODO wynikało, że Deweloper - jako właściciel Hotelu [...] i Wspólnota zawarły [...] sierpnia 2017r. ze Spółką umowę na usługi bezpośredniej ochrony fizycznej mienia. Umowa ta nie wymienia w zakresie obowiązków Spółki obserwacji obrazu z kamer monitoringu zainstalowanego na terenie Wspólnoty. System monitoringu jest własnością Wspólnoty, a rejestrator znajduje się w pomieszczeniu technicznym, do którego dostęp ma wyłącznie Zarządzająca - administrator nieruchomości. Strony ww. umowy [...] sierpnia 2017r. nie zawarły umowy dotyczącej powierzenia przetwarzania danych z monitoringu. O celach przetwarzania danych osobowych z nagrań monitoringu zainstalowanego na terenie nieruchomości wspólnej decyduje Wspólnota. Nadzór nad dostępem do tych danych, na podstawie umowy o administrowanie nieruchomością z [...] listopada 2016r., sprawuje Zarządzająca. Wspólnota podpisała z Zarządzającą [..]. września 2017r. aneks do umowy o administrowanie nieruchomością wspólną z [...] listopada 2016r., zgodnie z którym Wspólnota powierzyła Zarządzającej przetwarzanie m.in. danych osobowych Skarżącego w celu wykonania tej umowy - w zakresie obejmującym: imię, nazwisko, adres, adres e-mail, informację o lokalu, informację o udziale w nieruchomości wspólnej oraz wizerunek zarejestrowany przez monitoring wizyjny zainstalowany na terenie Wspólnoty. Z akt sprawy wynikało też, że Spółka ma dostęp do monitoringu wizyjnego Wspólnoty w zakresie możliwości obserwacji obrazu z kamer w czasie rzeczywistym. Spółka oświadczyła ponadto, że dane osobowe Skarżącego pozyskała [...] października 2017r., gdy doręczono jej pismo z Biura GIODO z [...] listopada 2017r. i przetwarza je wyłącznie w związku z tym postępowaniem. Spółka nie jest właścicielem kamer znajdujących się na terenie Wspólnoty, ani nie ma dostępu do nośników nagrań z tych kamer. Również jej pracownicy mogą zobaczyć obraz z kamer na monitorze, ale jedynie w czasie rzeczywistym, bez możliwości zapisu i ponownego odtworzenia. Tym samym zasadne było wydanie przez Prezesa UODO zaskarżonej decyzji. Sąd stwierdza ponadto, że skoro Prezes UODO na podstawie materiałów znajdujących się w aktach sprawy trafnie ustalił, że Wspólnota – będąc właścicielem systemu monitoringu - nie zawarła stosownej i przewidzianej w art. 28 ust. 3 Rozporządzenia umowy ze Spółką, a art. 4 pkt 2 Rozporządzenia uznaje za przetwarzanie danych również wgląd w dane osobowe - należało przyjąć, że rozstrzygnięcie zawarte w punkcie pierwszym i drugim zaskarżonej decyzji było prawidłowe. Udostępnienie Spółce przez Wspólnotę danych osobowych Skarżącego, przetwarzanych za pomocą systemu monitoringu wizyjnego, prowadzonego na terenie Wspólnoty, nie miało bowiem oparcia w żadnej z przesłanek legalizujących przetwarzanie danych osobowych określonych w art. 6 ust. 1 Rozporządzenia i odbywało się bez podstawy prawnej. Zdaniem Sądu prawidłowe było również wskazanie przez Prezesa UODO w uzasadnieniu zaskarżonej decyzji, że na podstawie art. 160 ust. 2 u.o.d.o. postępowania prowadzone przez Generalnego Inspektora Ochrony Danych Osobowych, wszczęte i niezakończone przed [...] maja 2018r. prowadzone są przez Prezesa UODO, na podstawie u.o.d.o. z 1997r., zgodnie z zasadami określonymi k.p.a. Wszelkie czynności podejmowane przez Generalnego Inspektora Ochrony Danych Osobowych przed [...] maja 2018r. pozostają skuteczne. Dodatkowo od [...] maja 2018r. wszedł w życie obowiązek stosowania przepisów Rozporządzenia, więc w sprawie w zakresie prawa materialnego zastosowanie mają przepisy Rozporządzenia, a w zakresie proceduralnym przepisy u.o.d.o. z 1997r. Zdaniem Sądu Prezes UODO na mocy z art. 18 ust. 1 u.o.d.o. z 1997r. nie mógł uwzględnić w zaskarżonej decyzji pozostałych żądań Skarżącego, dotyczących rozdzielenia dwóch systemów monitorujących (systemu Wspólnoty i Hotelu należącego do Dewelopera), zobowiązania Dewelopera do usunięcia kamer, których jest właścicielem, a które pozyskują obraz z terenu sąsiednich działek należących do innych podmiotów, a także zobowiązania Wspólnoty do wprowadzenia regulaminów określających precyzyjne zasady przetwarzania i udostępniania danych osobowych z monitoringu i zobowiązania tej wspólnoty do pozyskania od Skarżącego zgody na przetwarzanie Jego wizerunku. W tym zakresie w materiale dowodowym sprawy brak było bowiem dowodów stwierdzających naruszenie prawa do ochrony danych osobowych Skarżącego. Przetwarzanie przez Wspólnotę danych osobowych Skarżącego w postaci Jego wizerunku, pozyskiwanego za pomocą monitoringu wizyjnego prowadzonego na terenie Wspólnoty, odbywało się bowiem na podstawie przesłanki legalności określonej w art. 6 ust. 1 lit. f Rozporządzenia - by zapewnić bezpieczeństwo osób i mienia w obszarze objętym monitoringiem. Był to zatem prawnie usprawiedliwiony cel Wspólnoty, wobec czego zgoda Skarżącego na nagrywanie przez monitoring nie jest wymagana. Sąd, mając powyższe na względzie uznał, że zaskarżona decyzja w całości odpowiadała prawu, a Prezes UODO wziął pod uwagę obowiązujące przepisy prawa i zastosował je do stanu faktycznego sprawy ustalonego z uwzględnieniem zasady prawdy obiektywnej, o której mowa w art. 7 i art. 77 § 1 k.p.a. 4. Sąd, w tym stanie rzeczy, na podstawie art. 151 i art. 132 P.p.s.a., orzekł, jak w sentencji wyroku.