II SA/Wa 2265/23

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Joanna Kube (spr.), Sędzia WSA Danuta Kania, Asesor WSA Arkadiusz Koziarski, Protokolant starszy specjalista Ewa Kielak-Niedźwiedzka po rozpoznaniu na rozprawie w dniu 18 lipca 2024 r. sprawy ze skargi B. Z. i M. Z. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] września 2023 r. nr [...] w przedmiocie przetwarzania danych osobowych 1. uchyla zaskarżoną decyzję; 2. zasądza od Prezesa Urzędu Ochrony Danych Osobowych na rzecz skarżących B. Z. i M. Z. kwotę 714 (słownie: siedemset czternaście) złotych tytułem zwrotu kosztów postępowania. Prezes Urzędu Ochrony Danych Osobowych (dalej: "Prezes UODO") decyzją z dnia [...] września 2023 r. nr [...] na podstawie art. 104 § 1 ustawy z dnia [...] czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2023 r. poz. 775 z późn. zm.; dalej: "k.p.a.") w zw. z art. 7 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781 t.j.) oraz art. 6 ust. 1, art. 13 ust. 1 i ust 2 oraz art. 58 ust. 2 lit. b rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 4.05.2016, str. 1, Dz. Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35; dalej: RODO), po przeprowadzeniu postępowania administracyjnego w sprawie skargi A. J. i J. J. (dalej: "skarżący") na nieprawidłowości w procesie przetwarzania ich danych osobowych przez B. Z. oraz M. Z. (dalej: "skarżeni") udzielił skarżonym upomnienia za naruszenie art. 6 ust. 1 oraz art. 13 ust. 1 lit. b - e RODO, polegającego na przetwarzaniu w latach 2021-2022, bez podstawy prawnej - za pomocą monitoringu wizyjnego wykraczającego poza granice należącej do nich nieruchomości - danych osobowych (wizerunków) skarżonych (pkt 1 zaskarżonej decyzji) oraz udzielił skarżonym upomnienia za naruszenie art. 13 ust. 1 lit. b - e oraz ust. 2 RODO, polegającego na niewypełnieniu wobec skarżących obowiązku informacyjnego powstającego w przypadku zbierania danych od osoby, której te dane dotyczą (pkt. 2 zaskarżonej decyzji). W toku przeprowadzonego postępowania wyjaśniającego w przedmiotowej sprawie Prezes UODO ustalił następujący stan faktyczny: W pierwszej połowie 2021 r. skarżeni zamontowali na swojej nieruchomości 4 kamery. Obejmują one obecnie swoim zasięgiem jedynie swoją nieruchomość, jednak do 2022 r. (nie później niż do [...] września 2022 r.) monitoring obejmował także przylegający do działki skarżonych mały fragment ogólnodostępnego jeziora wraz z pomostem leżącym w części na publicznej działce, fragment publicznej drogi oraz łąkę należącą do osoby trzeciej. Kamery rejestrują tylko obraz. Nagrania przechowywane są nie dłużej niż przez 3 tygodnie. Celem prowadzenia monitoringu jest zapewnienie bezpieczeństwa osób oraz mienia. Skarżeni nie wypełnili wobec skarżących obowiązku informacyjnego. W uzasadnieniu decyzji Prezes UODO wskazał, że do 2022 r. (nie później niż do [...] września 2022 r.) monitoring skarżonych obejmował części ogólnodostępne, m.in. drogę publiczną. Obie strony postępowania administracyjnego przyznały, że skarżący korzystają z przylegającej do działki skarżonych drogi publicznej, która do ww. daty w pewnym fragmencie objęta była jedną z kamer. Organ zatem uznał, że dochodziło wtedy do przetwarzania danych osobowych skarżących. Zdaniem organu, skarżeni, monitorując nie tylko swoją własną nieruchomość, nie mogli liczyć na wyłączenie stosowania RODO, o którym mowa w art. 2 ust. 2 lit. c tego aktu prawnego, tj. wyłączenie stosowania do przetwarzania danych osobowych wyłącznie w celach osobistych lub domowych. Organ przywołał potwierdzający to wyrok Trybunału Sprawiedliwości z dnia [...] grudnia 2014 r. w sprawie [...] F. R. przeciwko U. osobnych U. R., w którym wskazano, że "wykorzystywanie systemu kamer przechowującego zapis obrazu osób na sprzęcie nagrywającym w sposób ciągły, takim jak dysk twardy, zainstalowanego przez osobę fizyczną na jej domu rodzinnym w celu ochrony własności, zdrowia i życia właścicieli domu, który to system monitoruje również przestrzeń publiczną, nie stanowi przetwarzania danych w trakcie czynności o czysto osobistym lub domowym charakterze". Prezes UODO, podając za przykład wyrok Sądu Rejonowego w G. z dnia [...] lipca 2019 r. (sygn. akt. I C 1450/18), zwrócił uwagę na orzecznictwo sądów powszechnych, zgodnie z którym jako działanie bez podstawy prawnej naruszające dobra osobiste uznano prowadzenie monitoringu wizyjnego wykraczającego poza obszar prywatnej nieruchomości. Prezes UODO uznał, że przedmiotowej sprawie stosowanie monitoringu wizyjnego obejmującego w latach 2021-2022 swym zasięgiem drogę publiczną, z której korzystali skarżący, nie znajdowało uzasadnienia w którejkolwiek z przesłanek określonych w art. 6 ust. 1 RODO. Skarżeni przedstawili, co prawda dowód na dokonanie kradzieży roweru z ich posesji przez nieznanych sprawców, a także zawnioskowali o zwrócenie się przez organ nadzorczy do Komendy Miejskiej Policji w Suwałkach o udzielenie informacji dotyczących zgłoszeń skarżonych, w tym w zakresie niszczenia ogrodzenia skarżonych przez skarżących, jednak - zdaniem Prezesa UODO - okoliczności te nie były wystarczające do uznania, iż kwestionowany proces przetwarzania w tym stanie faktycznym miał oparcie w przepisach art. 6 RODO. Wskazana przez skarżonych potrzeba zapewnienia bezpieczeństwa jest wystarczającym uzasadnieniem dla wykonywania monitoringu wizyjnego mieszczącego się swoim zasięgiem wyłącznie w granicach ich nieruchomości. Skarżeni nie mogli monitorować terenu stanowiącego przestrzeń, na której przebywają skarżący, za pomocą tak inwazyjnej metody jaką jest stałe monitorowanie i przetwarzanie danych osobowych skarżących. Interes skarżonych do prowadzenia monitoringu wizyjnego obejmującego swoim zasięgiem wskazaną przestrzeń nie ma charakteru nadrzędnego w stosunku do praw i wolności skarżących. Sposobem ochrony ich praw nie może być naruszanie praw innych osób. W odniesieniu zaś do niezrealizowania wobec skarżących obowiązku informacyjnego wynikającego z art. 13 ust. 1 i 2 RODO organ nadzorczy wskazał, że powinien on zostać spełniony przez administratora w przypadku, gdy dane osobowe pozyskano od osoby, której dane dotyczą. Z ustalonego stanu faktycznego wynikało, że teren objęty monitoringiem nie został w żaden sposób oznakowany. Zgodnie z art. 13 ust. 4 RODO, ust. 1, 2 i 3 nie mają zastosowania, gdy - i w zakresie, w jakim - osoba, której dane dotyczą dysponuje już tymi informacjami. Skarżący dysponują zaś informacjami, o których mowa w art. 13 ust. 1 lit a ww. aktu prawnego. Skarżeni bowiem, jako administrator danych zbieranych za pośrednictwem monitoringu, są znani skarżącym. W związku z powyższym Prezes UODO stwierdził, że skarżeni nie spełnili obowiązku informacyjnego wobec skarżących w zakresie wynikającym z art. 13 ust. 1 lit. b, c, d, e i f oraz ust. 2 RODO. Pismem z dnia [...] października 2023 r. B. Z. i M. Z. skierowali do Wojewódzkiego Sądu Administracyjnego w Warszawie skargę na decyzję Prezesa UODO z dnia [...] września 2023 r. nr [...]. Skarżeni zarzucili zaskarżonej decyzji: 1. naruszenie przepisów postępowania, które mogło mieć istotny wpływ na wynik sprawy tj.: • art. 7, art. 77 § 1 i art. 80 k.p.a., w zw. z art. 4 pkt 1 RODO, polegające na niewyczerpującym rozpatrzeniu materiału dowodowego oraz na jego dowolnej ocenie, wyrażającej się zwłaszcza w błędnym uznaniu, że monitoring wizyjny zamontowany na ich posesji obejmował rejestrowanie obrazu spoza nieruchomości skarżonych w sposób mogący rejestrować dane osobowe (wizerunki) skarżących oraz błędnym uznaniu, że skarżeni przetwarzali dane osobowe (wizerunki) skarżących, 2. naruszenie przepisów prawa materialnego, które miało wpływ na wynik sprawy, tj. • art. 6 ust. 1 RODO, poprzez błędne przyjęcie, że skarżeni przetwarzali dane osobowe (wizerunki) skarżących bez podstawy prawnej w sytuacji, gdy do przetwarzania danych osobowych, w tym danych osobowych osób wyżej wymienionych, w ogóle nie dochodziło, • art. 13 ust. 1 lit. b - e oraz ust. 2 RODO, poprzez błędne przyjęcie, że skarżeni naruszyli obowiązek informacyjny wobec skarżących w sytuacji, gdy do przetwarzania danych osobowych, w tym danych osobowych osób wyżej wymienionych, w ogóle nie dochodziło, • 58 ust. 2 lit. b RODO, poprzez niezasadne udzielenie skarżonym upomnienia za naruszenie art. 6 ust. 1, art. 13 ust. 1 lit. b - e oraz ust. 2 RODO w sytuacji, gdy do przetwarzania danych osobowych, w tym danych osobowych osób wyżej wymienionych, w ogóle nie dochodziło. W związku z powyższym skarżeni wnieśli o: 1) uchylenie zaskarżonej decyzji w całości, 2) umorzenie postępowania administracyjnego w całości, 3) zasądzenie kosztów postępowania według norm przepisanych, w tym kosztów zastępstwa procesowego, W odpowiedzi na skargę Prezes UODO wniósł o jej oddalenie, podtrzymując dotychczasową argumentację. Wojewódzki Sąd Administracyjny w Warszawie, zważył co następuje: Skarga zasługuje na uwzględnienie. W myśl art. 4 pkt 2 RODO "przetwarzanie" oznacza operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, taką jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie. Natomiast zgodnie z art. 4 pkt 1 RODO, dane osobowe obejmują wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej (osobie, której dane dotyczą); możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora takiego jak imię i nazwisko, nr identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej. Obraz osoby zarejestrowany przez kamerę stanowi daną osobową w rozumieniu art. 4 pkt 1 RODO, jeżeli pozwala na jej zidentyfikowanie bezpośrednio lub pośrednio. Zautomatyzowany monitoring wizyjny określonego obszaru za pomocą środków optycznych lub audiowizualnych umożliwia zbieranie, utrwalenie i przechowywanie informacji związanych z obrazem, dotyczących wszystkich osób wchodzących na obszar monitorowany, które można zidentyfikować na podstawie ich wyglądu lub innych cech szczególnych. Natomiast zbieranie i przechowanie informacji o osobach fizycznych, które można bezpośrednio lub pośrednio zidentyfikować na podstawie czynników określających m.in. ich fizyczną tożsamość, stanowi przetwarzanie danych osobowych. Zatem nadzorowanie określonego obszaru za pomocą monitoringu wizyjnego polegające na rejestracji obrazu przechowywanego na twardym dysku, następnie nadpisywanego nowym nagraniem po zapełnieniu dostępnego na dysku miejsca, oznacza zautomatyzowane przetwarzanie danych osobowych, o którym mowa w art. 2 ust. 1 RODO (vide pkt 13 oraz pkt 20-25 powołanego przez organ w zaskarżonej decyzji i odpowiedzi na skargę wyroku Trybunału Sprawiedliwości Unii Europejskiej; dalej: "TSUE" z 11 grudnia 2014 r. w sprawie C-212/13 F. R. – dostępny na stronie internetowej: https://curia.europa.eu). Według art. 2 ust. 2 lit. c) RODO, akt ten nie znajduje zastosowania do przetwarzania danych osobowych przez osobę fizyczną w ramach czynności o czysto osobistym lub domowym charakterze. W ww. wyroku TSUE stwierdził (vide pkt 35 oraz pkt 13 wyroku): "art. 3 ust. 2 tiret drugie dyrektywy 95/46 należy interpretować w ten sposób, że wykorzystywanie systemu kamer przechowującego zapis obrazu osób na sprzęcie nagrywającym w sposób ciągły, takim jak dysk twardy, zainstalowanego przez osobę fizyczną na jej domu rodzinnym w celu ochrony własności, zdrowia i życia właścicieli domu, który to system monitoruje również przestrzeń publiczną, nie stanowi przetwarzania danych w trakcie czynności o czysto osobistym lub domowym charakterze w rozumieniu tego przepisu (...)". Zdaniem TSUE, w opisanej sytuacji nie zachodzi tzw. wyjątek domowy lub osobisty, bowiem "o ile nadzór kamer wideo (...) rozciąga się choćby częściowo na przestrzeń publiczną i tym samym jest skierowany poza sferę prywatną osoby dokonującej w ten sposób przetwarzania danych, o tyle nie powinien on być rozumiany jako czynność o czysto osobistym lub domowym charakterze w rozumieniu art. 3 ust. 2 tiret drugie dyrektywy 95/46". Zarzuty wnoszących skargę do Sądu dotyczące naruszenia prawa procesowego okazały się uzasadnione, ponieważ okoliczność przetwarzania przez skarżonych w latach 2021-2022 (nie później niż do [...] września 2022 r.), bez podstawy prawnej - za pomocą monitoringu wizyjnego wykraczającego poza granice należącej do nich nieruchomości - danych osobowych (wizerunku) skarżących nie wynika w sposób jasny, jednoznaczny i oczywisty z ustaleń rzeczywistego stanu faktycznego. Otóż w skardze z dnia [...] czerwca 2021 r. skarżący podali, że skarżeni umieścili na swojej posesji kamerę, która sięga na ich drogę dojazdową do posesji oraz dom. Podali, że monitorowane są wszystkie pojazdy oraz ich numery rejestracyjne, które do nich przybywają. Organ w toku postępowania ustalił, że skarżeni od połowy 2021 r. zamontowali cztery kamery i do 2022 r. (nie później niż do [...] września 2022 r.) prowadzili monitoring, który obejmował przylegający do działki skarżonych mały fragment ogólnodostępnego jeziora wraz z pomostem leżącym w części na publicznej działce, fragment publicznej drogi oraz łąkę należącą do osoby trzeciej. Organ w pkt 1 decyzji udzielił skarżonym upomnienia za naruszenie art. 6 ust. 1 oraz art. 13 ust. 1 lit. b - e RODO, polegające na przetwarzaniu w latach 2021-2022, bez podstawy prawnej - za pomocą monitoringu wizyjnego wykraczającego poza granice należącej do nich nieruchomości - danych osobowych (wizerunków) skarżących. Uzasadniając takie rozstrzygnięcie stwierdził, że skarżeni nie wykazali podstawy prawnej uprawniającej ich do przetwarzania danych osobowych skarżących za pomocą prowadzonego przez nich monitoringu wizyjnego, który swoim zasięgiem w latach 2021- 2022 obejmował drogę publiczną i uznał w związku z tym za zasadne udzielenie im upomnienia w zakresie stwierdzonego naruszenia przepisu art. 6 ust. 1 RODO. Organ, wskazując na stwierdzone naruszenie w uzasadnieniu, nie odwołał się do konkretnej kamery i ujęcia (zdjęcia), jak również jego opisu, co by w sposób oczywisty obrazowało i potwierdzało przetwarzanie danych osobowych skarżących bez podstawy prawnej. Ma to istotne zdaniem Sądu znaczenie, zważywszy, że do 2022 r. (nie później niż do [...] września 2022 r.) monitoring obejmował (jak stwierdził organ) nie tylko drogę publiczną ale również inne części ogólnodostępne. Tak więc organ naruszył art. 104 § 2 w zw. z art. 107 § 1 k.p.a. poprzez brak precyzyjnej redakcji rozstrzygnięcia zaskarżonej decyzji. Rozstrzygnięcie (osnowa decyzji) musi być sformułowane w taki sposób, aby nie było wątpliwości, czego ono dotyczy, jakie uprawnienia zostały przyznane lub jakie obowiązki zostały nałożone na stronę. Rozstrzygnięcie powinno być zatem sformułowane precyzyjnie, bez niedomówień i możliwości różnej interpretacji. Osnowa zaskarżonej decyzji nie jest precyzyjna, ponieważ nie określa w jakim zakresie uwzględnia skargę na nieprawidłowości w procesie przetwarzania danych osobowych przez skarżących i jednocześnie nie wynika to w sposób niewątpliwy z jej uzasadnienia. W kontekście powyższego, skarga na decyzję Prezesa UODO z dnia 20 września 2023 r. okazała się uzasadniona, ponieważ zaskarżona decyzja wydana została z naruszeniem art. 7, art. 8 § 1, art. 77 § 1, art. 80, art. 104 § 2 i art. 107 § 1 i § 3 k.p.a. Ponieważ postępowanie wyjaśniające przeprowadzone przez Prezesa UODO w związku ze skargą na nieprawidłowości w procesie przetwarzania danych skarżących nie potwierdziło w sposób jednoznaczny zarzutu przetwarzania ich danych osobowych bez podstawy prawnej, skutkiem czego nie mogły zmaterializować się przesłanki do zastosowania przepisów prawa materialnego tj. art. 6 ust. 1, art. 13 ust. 1 i ust. 2 RODO oraz art. 58 ust. 2 lit. b RODO. Ponownie rozpoznając sprawę organ uwzględni ocenę prawną i wskazania poczynione w niniejszym wyroku. Z tych względów Wojewódzki Sąd Administracyjny w Warszawie, działając w oparciu o art. 145 § 1 pkt 1 lit. c ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2024 r. poz. 935), orzekł jak w pkt 1 wyroku. W przedmiocie zwrotu kosztów postępowania Sąd orzekł w pkt 2 wyroku na podstawie art. 200, art. 205 § 2 oraz § 14 ust. 1 pkt 1 lit. c) rozporządzenia Ministra Sprawiedliwości z dnia 22 października 2015 r. w sprawie opłat za czynności radców prawnych (Dz.U. z 2023 r. poz. 1935 z późn. zm.). Na zasądzone koszty złożyła się kwota 480 zł (tytułem wynagrodzenia dla radcy prawnego – pełnomocnika skarżących), wpis od skargi w kwocie 200 zł oraz 34 zł z tytułu opłat skarbowych od pełnomocnictwa.