II SA/Wa 2672/21

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Karolina Kisielewicz, Sędzia WSA Agnieszka Góra-Błaszczykowska (spr.), Sędzia WSA Tomasz Szmydt, po rozpoznaniu w trybie uproszczonym w dniu 4 listopada 2021 r. sprawy ze skargi K. D. prowadzącego działalność gospodarczą pod nazwą P. W. [...] z siedzibą w [...] na postanowienie Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] maja 2021 r. nr [...] w przedmiocie odmowy wszczęcia postępowania oddala skargę Przedmiotem rozpoznania w niniejszej sprawie była skarga K. D. prowadzącego działalność gospodarczą pod nazwą Przedsiębiorstwo [...] z siedzibą w Z. na postanowienie Prezesa Urzędu Ochrony Danych Osobowych nr [...] z dnia [...] maja 2021 r. w przedmiocie odmowy wszczęcia postępowania. Skarga została złożona w następującym stanie faktycznym sprawy: W dniu [...] lutego 2021 r. (data wpływu do organu) K. D. prowadzący działalność gospodarczą pod nazwą Przedsiębiorstwo [...] z siedzibą w Z. (zwany dalej: wnioskodawca, skarżący), reprezentowany przez profesjonalnego pełnomocnika, wniósł do Prezesa Urzędu Ochrony Danych Osobowych (zwany dalej: PUODO, organ), wniosek o nakazanie udostępnienia przez [...] Sp. z o.o. z siedzibą w W. przy ul. [...] (zwany dalej: [...] .pl), danych osobowych umożliwiających szczegółową identyfikację autorów komentarzy udostępnionych za pośrednictwem kont o nazwie: [...], [...], [...] bądź udostępnienie numerów IP urządzeń, za pomocą których je udostępniono na profilu skarżącego, na administrowanej przez [...] .pl stronie internetowej: https: [...] oraz o nakazanie usunięcia przez [...] .pl tych komentarzy. Ponadto wniósł o nakazanie udostępnienia przez G. z siedzibą w D. [...] przy B. (zwany dalej: G.), danych osobowych umożliwiających szczegółową identyfikację autorów komentarzy udostępnionych za pośrednictwem kont o nazwie: [...], [...], [...], [...], [...], [...], [...], [...], [...], [...], [...], [...], [...], [...], [...], [...] bądź udostępnienie numerów IP urządzeń, za pomocą których je udostępniono na profilu skarżącego, na administrowanej przez G. platformie [...] oraz o nakazanie usunięcia przez G. tych komentarzy. Postanowieniem nr [...] z dnia [...] maja 2021 r. r. PUODO, działając na podstawie art. 61a § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2021 r., poz. 735, zwana dalej: k.p.a.) w związku z art. 7 ust. 1 ustawy dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r., poz. 1781 ze zm., zwana dalej: u.o.d.o.) oraz w związku z art. 58 ust. 2 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 4.05.2016, str. 1, Dz. Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35, zwane dalej: rozporządzeniem 2016/679), orzekł o odmowie wszczęcia postępowania z wniosku skarżącego o: 1) nakazanie udostępnienia przez [...] .pl danych osobowych umożliwiających szczegółową identyfikację autorów komentarzy udostępnionych za pośrednictwem kont o nazwie: [...], [...], [...] bądź udostępnienie numerów IP urządzeń, za pomocą których je udostępniono na profilu wnioskodawcy, na administrowanej przez [...].pl stronie internetowej: https:[...]; 2) nakazanie usunięcia przez [...] .pl komentarzy udostępnionych za pośrednictwem kont o nazwie: [...], [...], [...] na profilu wnioskodawcy, na administrowanej przez [...].pl stronie internetowej: https:[...]; 3) nakazanie udostępnienia przez G. danych osobowych umożliwiających szczegółową identyfikację autorów komentarzy udostępnionych za pośrednictwem kont o nazwie: [...], [...], [...], [...], [...], [...], [...], [...], [...][...], [...], [...], [...], [...] bądź udostępnienie numerów IP urządzeń, za pomocą których je udostępniono na profilu wnioskodawcy, na administrowanej przez G. platformie [...]; 4) nakazanie usunięcia przez G. komentarzy udostępnionych za pośrednictwem kont o nazwie: [...], [...], [...], [...], [...], [...], [...], [...], [...], [...], [...], [...],[...], [...], [...], [...], na profilu wnioskodawcy, na administrowanej przez G. platformie [...]. Podstawę negatywnego dla skarżącego rozstrzygnięcia stanowiło ustalenie organu, że PUODO nie ma kompetencji umożliwiających nakazanie udostępnienia danych osobowych osoby trzeciej bądź nakazanie usunięcia udostępnionych przez te osoby komentarzy. Spełniona została więc określona w art. 61a § 1 k.p.a., przesłanka uniemożliwiającą wszczęcie postępowania w niniejszej sprawie. W skardze złożonej na powołane rozstrzygnięcie do sądu administracyjnego skarżący, reprezentowany przez profesjonalnego pełnomocnika, wniósł o uchylenie zaskarżonego postanowienia w całości i zobowiązanie organu do wszczęcia postępowania administracyjnego w sprawie naruszeń danych osobowych skarżącego oraz zasądzenie zwrotu kosztów postępowania. Wydanemu postanowieniu skarżący zarzucił naruszenie: 1. art. 61a § 1 k.p.a. poprzez jego błędne zastosowanie i uznanie, że występują uzasadnione przyczyny odmowy wszczęcia postępowania, pomimo tego, że PUODO pozostaje w pełni kompetentny (zarówno na podstawie prawa unijnego, jak i krajowego) do wszczęcia przedmiotowego postępowania administracyjnego i zadośćuczynienia roszczeniom skarżącego w formie przez niego wskazanej; 2. art. 58 ust. 1 pkt a), b) i e) rozporządzenia 2016/679 poprzez ich niezastosowanie, pomimo istnienia przesłanek do ich zastosowania; 3. art. 58 ust. 2 pkt c) i f) rozporządzenia 2016/679 poprzez ich niezastosowanie, pomimo istnienia przesłanek do ich zastosowania; 4. art. 4 pkt 1 rozporządzenia 2016/679 poprzez jego błędną interpretację i przyjęcie, że treści utrwalone w sieci internet naruszające dobra osobiste skarżącego nie naruszają jego danych osobowych; 5. art. 4 pkt 12 rozporządzenia 2016/679 poprzez jego niezastosowanie i uznanie, że w sprawie skarżącego nie doszło do naruszenia legalności przetwarzania danych osobowych, przejawiającego się w naruszeniu ich integralności, pomimo tego, że w sprawie skarżącego doszło do niczym nieuzasadnionego przetworzenia treści jego danych osobowych oraz ich zmodyfikowania; 6. błąd w ustaleniach faktycznych mających kluczowe znaczenie do wydania zaskarżonego rozstrzygnięcia poprzez uznanie, że: •organowi wydającemu zaskarżone orzeczenie nie przysługują kompetencje, umożliwiające spełnienie żądań skarżącego i udzielenie jego osobie żądanej ochrony prawnej, w sytuacji, gdy organ ten jest nie tylko właściwy do rozpoznawania przedmiotowej sprawy, ale również wyposażony w stosowne kompetencje, m.in. możliwość nakazania administratorowi dostarczenia wszelkich informacji potrzebnych do realizacji swoich zadań, prowadzenia postępowań w formie audytów, uzyskiwanie od administratora wszelkich informacji do realizowania swoich zadań, nakazania administratorowi spełnienia żądania osoby, której dane dotyczą czy wprowadzania zakazu przetwarzania danych osobowych; obelżywe i pomawiające komentarze pod adresem skarżącego utrwalane w sieci internet nie stanowią naruszenia jego danych osobowych, gdzie dane osobowe uznaje się za wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej. W uzasadnieniu skargi wnioskodawca wskazał, że błędne jest twierdzenie organu, iż nie posiada on kompetencji wobec podniesionych przez niego roszczeń. Jak bowiem wprost wynika z art. 58 ust. 1 rozporządzenia 2016/679, w zakresie prowadzonych postępowań każdemu z organów nadzorczych przysługuje uprawnienie, m.in do nakazania administratorowi i podmiotowi przetwarzającemu, a w stosownym przypadku przedstawicielowi administratora lub podmiotu przetwarzającego, dostarczenia wszelkich informacji potrzebnych organowi nadzorczemu do realizacji swoich zadań (art. 58 ust. 1 pkt a), prowadzenia postępowań w formie audytów ochrony danych (art. 58 ust. 1 pkt b) czy uzyskiwania od administratora i podmiotu przetwarzającego dostępu do wszelkich danych osobowych i wszelkich informacji niezbędnych organowi nadzorczemu do realizacji swoich zadań (art. 58 ust. 1 pkt e). Ponadto, wśród uprawnień naprawczych organ może zarówno nakazać administratorowi lub podmiotowi przetwarzającemu spełnienia żądania osoby, której dane dotyczą, wynikającego z praw przysługujących jej na mocy niniejszego rozporządzenia (art. 58 ust. 2 pkt c), jak i wprowadzić czasowe lub całkowite ograniczenia przetwarzania danych, a nawet zakazu ich przetwarzania (art. 58 ust. 1 pkt f). Zakres kompetencji PUODO, ze względu na celową nieprecyzyjność języka, używanego przez unijnego legislatora oraz ogólne zasady przyświecające ochronie danych osobowych, może i powinien być interpretowany rozszerzająco. W błędzie pozostaje organ przekładając prawo krajowe nad prawem unijnym, jak wynika bowiem z zasady pierwszeństwa, prawo Unii Europejskiej posiada wartość nadrzędną wobec praw krajowych państw członkowskich, dotyczy to wszystkich aktów krajowych, które mają moc wiążącą. Tym samym twierdzenia organu nie tylko nie znajdują potwierdzenia w dosłownych brzmieniach przepisu, ale również w obowiązującej ich wykładni. PUODO w sprawach rodzajowo podobnych do spawy skarżącego jest zarówno właściwy, jak i kompetentny, a zatem wydanie postanowienia o odmowie wszczęcia postępowania ma charakter przedwczesny i nieuzasadniony. Skarżący zakwestionował również podstawę wydania zaskarżonego orzeczenia podnosząc, że fakt zaistnienia uzasadnionych przyczyn, przemawiających za formalnym zaniechaniem czynności, zmierzających do nadania sprawie biegu, nie może zostać uznany za wystarczający do zakończenia postępowania bez zgłębienia jego meritum. Za niewłaściwe uznał także twierdzenie organu, że komentarze stanowiące opinie zamieszczone na profilach skarżącego, nie zawierają jego danych osobowych. Z regulacji art. 4 rozporządzenia 2016/679 wynika bowiem, że przez dane osobowe rozumie się wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej (osobie, której dane dotyczą). Możliwa do zidentyfikowania będzie ta osoba fizyczna, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora takiego jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej. Jak zostało wskazane we wniosku o wszczęcie postępowania, na podstawie zniesławiających oraz pomawiających komentarzy, tożsamość skarżącego jest niezwykle prosta do odkrycia, albowiem w ich treści komentujący wskazują również na te właściwości, które są związane z wykonywaniem działalności gospodarczej skarżącego, zwłaszcza przez to, że oferuje on usługi nietypowe (sprzedaż specjalistycznych maszyn rolniczych, często tworzonych bądź usprawnianych pod indywidualne zamówienie), i prowadzi działalność gospodarczą wspólnie z najbliższą rodziną. Istotne jest też, że przedmiotowe informacje są zamieszczane pod jego profilem, w którym widnieją jego dane osobowe (przykładowo w platformie [...]), przez co identyfikacja jego tożsamości nie jest dla osób postronnych niczym utrudniona. Nieuprawnione jest także twierdzenie organu, że do naruszenia danych osobowych wnioskodawcy w ogóle nie doszło. Jak wynika jednak z art. 4 ust. 12 rozporządzenia 2016/679, naruszenie ochrony danych osobowych stanowi taką sytuację, w której dochodzi do naruszenia bezpieczeństwa przepływu danych osobowych, zwłaszcza przypadkowego lub niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ich ujawnienia bądź ułatwienia w sposób nieuprawniony dostępu do nich. Ze względu na pejoratywny wydźwięk komentarzy pod adresem skarżącego, jego dane osobowe zostały wbrew jego woli, w sposób nieuzasadniony i nieuprawniony przetworzone przez bliżej nieznane grono sprawców. Nie ma racji organ uznając, że żaden z komentarzy nie naruszył danych osobowych skarżącego, albowiem komentarze utrwalane w sieci internet w takiej formie, w takim zakresie i takiej treści, bez jakichkolwiek wątpliwości można zakwalifikować jako naruszenie, a dokładnie naruszenie ich integralności. W odpowiedzi na skargę organ wniósł o oddalenie skargi, podnosząc argumentację tożsamą z zaprezentowaną w zaskarżonym postanowieniu. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: Stosownie do treści art. 3 § 1 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2019 r., poz. 2325 ze zm., zwana dalej: p.p.s.a), sądy administracyjne sprawują kontrolę działalności administracji publicznej i stosują środki określone w ustawie. Oznacza to, iż sąd rozpoznając skargę ocenia, czy zaskarżona decyzja nie narusza przepisów prawa materialnego bądź przepisów postępowania administracyjnego. Zgodnie z art. 134 p.p.s.a. Sąd rozstrzyga w granicach danej sprawy, nie będąc jednak związany zarzutami i wnioskami skargi oraz powołaną w niej podstawą prawną. Uwzględnienie skargi następuje w przypadku stwierdzenia naruszenia przez Sąd przepisów prawa, wskazanego w art. 145 § 1 pkt 1 p.p.s.a. Zgodnie z art. 135 p.p.s.a. orzekanie następuje w granicach sprawy, w której wydano zaskarżoną decyzję i odbywa się z uwzględnieniem wówczas obowiązujących przepisów prawa. Podstawę (działania) rozstrzygnięcia organu stanowił art. 61a § 1 k.p.a., zgodnie z którym gdy żądanie wszczęcia postępowania zostało wniesione przez osobę niebędącą stroną lub z innych uzasadnionych przyczyn postępowanie nie może być wszczęte, organ administracji publicznej wydaje postanowienie o odmowie wszczęcia postępowania. W przytoczonym przepisie ustawodawca rozróżnił więc dwie sytuacje, w których nie będzie możliwe wszczęcie postępowania. Pierwsza z nich dotyczy przymiotu strony i oznacza, że inicjatorem postępowania może być jedynie podmiot, któremu przysługiwać będzie w danym postępowaniu przymiot strony (zgodnie z regulacją art. 28 k.p.a.). Druga z przesłanek, określonych w art. 61a § 1 k.p.a., odnosi się do "innych uzasadnionych przyczyn", z powodu których postępowanie nie może być wszczęte, która nie jest istotna w niniejszej sprawie. Wymaga podkreślenia, iż odmawiając wszczęcia postępowania organ nie rozstrzyga sprawy co do jej istoty. W postanowieniu wydanym w trybie art. 61a § 1 k.p.a. organ nie może formułować wniosków i ocen dotyczących meritum żądania. Instytucja odmowy wszczęcia postępowania kończy się aktem formalnym, a nie merytorycznym (por. wyrok Naczelnego Sądu Administracyjnego z dnia 18 grudnia 2015 r., sygn. akt II OSK 999/14, publ. LEX nr 1989306). W rozpoznawanej sprawie jako przesłankę zastosowania art. 61a § 1 k.p.a. organ powołał brak ustawowych kompetencji, a więc w istocie brak przesłanki materialnoprawnej do rozpatrzenia żądania skarżącego o nakazanie udostępnienia danych osobowych autorów komentarzy zamieszczonych na portalach internetowych [...] pl i G., naruszających jego dane osobowe i dobra osobiste, bądź nr IP ich urządzeń. Wymaga zaznaczenia, iż od dnia 25 maja 2018 r., bezpośrednie zastosowanie w polskim porządku prawnym mają przepisy rozporządzenia 2016/679. Ponadto w dniu 25 maja 2018 r. weszła w życie ustawa o ochronie danych osobowych, którą to ustawę stosuje się do ochrony osób fizycznych w związku z przetwarzaniem danych osobowych w zakresie określonym w art. 2 i art. 3 rozporządzenia 2016/679 (art. 1 ust. 1 u.o.d.o.). Katalog uprawnień nadzorczych w zakresie prowadzonych przez PUODO postępowań określony został w art. 58 ust. 1 rozporządzenia 2016/679, natomiast przysługujące mu uprawnienia naprawcze zostały wymienione w art. 58 ust. 2 rozporządzenia 2016/679 i są one dla organu wiążące. PUODO przysługuje uprawnienie naprawcze w postaci prawa do nakazania administratorowi lub podmiotowi przetwarzającemu spełnienia żądania osoby, której dane dotyczą, wynikającego z praw przysługujących jej na mocy niniejszego rozporządzenia. Tym żądaniem może być prawo dostępu do danych, prawo do sprostowania danych, prawo do usunięcia danych, prawo do ograniczenia przetwarzania danych, prawo do przenoszenia danych oraz prawo do sprzeciwu i niepodlegania decyzjom opartym na zautomatyzowanym przetwarzaniu. Powyższe przepisy ujmują prawa osób, których dane dotyczą, w sposób wyczerpujący. Tak określone uprawnienia PUODO nie przewidują możliwości ingerencji tego organu w materię opinii wyrażonych w internecie. Stanowisko organu, w ocenie Sądu, jest zatem prawidłowe. Trafnie w odpowiedzi na skargę organ wskazał, że o ile przed 25 maja 2018 r. uznawał się za kompetentny do wydawania nakazów w zakresie udostępnienia danych osobowych autorów nierzetelnych komentarzy naruszających dobra osobiste, na podstawie art. 18 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych, to obecnie obowiązująca ustawa o ochronie danych osobowych, dostosowana do regulacji europejskich, nie przewiduje takiego uprawnienia dla PUODO. Zaś organy administracji publicznej zobowiązane są na podstawie art. 6 k.p.a. do działania w granicach i na podstawie obowiązującego prawa. Powyższe rozważania znajdują odzwierciedlenie w jednolitym w tym zakresie orzecznictwie sądów administracyjnych. Powszechnie wskazuje się, m.in., że "organ nie może gromadzić dowodów i ustalać stanu faktycznego sprawy bez formalnego wszczęcia postępowania, a następnie – po stwierdzeniu, że brak podstaw do prowadzenia postępowania – wydać postanowienia o odmowie jego wszczęcia "z innych uzasadnionych przyczyn" na podstawie art. 61a § 1 k.p.a." (por. wyrok WSA w Białymstoku z 10 września 2015 r., II SA/Bk 429/15, LEX nr 1796627). Należy podzielić pogląd, że "inne uzasadnione przyczyny" uniemożliwiające wszczęcie postępowania administracyjnego zostały ograniczone do sytuacji, które w sposób oczywisty stanowią przeszkodę do wszczęcia postępowania (np. wyrok NSA z 20 listopada 2017 r., sygn. akt II GSK 1706/17, LEX nr 2424216). Biorąc pod uwagę wskazany wcześniej obowiązek działania organów na podstawie i w graniach prawa, brak ustawowego upoważnienia dla PUODO do działania w zakresie materii objętej wnioskiem skarżącego, stanowi w ocenie Sądu właśnie oczywistą przeszkodę do wszczęcia postępowania, nie wymagającą przeprowadzenia w tym zakresie postępowania. Należy również zwrócić uwagę, że żądanie skarżącego dotyczy w istocie niezwykle istotnych i wrażliwych, chronionych normami konstytucyjnymi praw i wolności obywatelskich. Dochodzi tu do kolizji norm prawa cywilnego, dotyczących potencjalnego naruszenia dóbr osobistych skarżącego, z wyrażoną w art. 54 Konstytucji RP zasadą wolności słowa. Ponieważ materia ta dotyczy danych wrtażliwych, w ocenie Sądu, nie może mieć w tym przypadku miejsca domniemanie kompetencji organu do rozpoznania tego rodzaju spraw. Mając na względzie powyższe, w tym z uwagi na brak odpowiednich uregulowań w ustawie o ochronie danych osobowych (z 2018 r.), Sąd uznał za prawidłowe wydane przez organ postanowienie w przedmiocie odmowy wszczęcia postępowania. Sąd stwierdza jednocześnie, że wydając sporne postanowienie, organ nie dopuścił się naruszenia przepisów postępowania administracyjnego. Nie dopatrzono się żadnych nieprawidłowości, bowiem regulacja zawarta w art. 61a k.p.a. zakłada działanie organu w ograniczeniu do zbadania ustawowych przesłanek zaistnienia przeszkód w możliwości wszczęcia postępowania. Stwierdzenie ich już na samym wstępie, nie nakłada na organ wszystkich obowiązków związanych z prowadzeniem postępowania administracyjnego. Podejmując sporne rozstrzygnięcie organ prawidłowo zastosował art. 61a k.p.a. Uzasadnienie zaskarżonego postanowienia odpowiada dyspozycji art. 107 § 3 k.p.a. Mając na uwadze powołane okoliczności, Sąd działając na podstawie art. 151 p.p.s.a., orzekł jak w sentencji wyroku.