II SA/Wa 423/22

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Agnieszka Góra-Błaszczykowska, Sędzia WSA Andrzej Wieczorek (spr.), Sędzia WSA Izabela Głowacka-Klimas, Protokolant specjalista Marcin Kwiatkowski po rozpoznaniu na rozprawie w dniu 23 maja 2022 r. sprawy ze skargi G.O-S. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] września 2017 r. nr [...] w przedmiocie przetwarzania danych osobowych 1. uchyla zaskarżoną decyzję; 2. zasądza od Prezesa Urzędu Ochrony Danych Osobowych na rzecz G.O.-S. kwotę 697 zł (sześćset dziewięćdziesiąt siedem złotych) tytułem zwrotu kosztów postępowania Generalny Inspektor Ochrony Danych Osobowych (zwany dalej GIODO /Organem) decyzją z dnia [...] września 2017 r. nr [...] po rozpatrzeniu wniosku Pani G. S. (zwanej dalej Skarżącą) o ponowne rozpoznanie sprawy decyzji z dnia [...] kwietnia 2017 r. nr [...] utrzymał w mocy decyzję odmawiającą uwzględnienia wniosku o nakazanie dopełnienia obowiązku usunięcia danych osobowych Skarżącej. Skarżąca wniosła o usunięcia jej danych osobowych z bazy danych spółki Z. Sp. z o.o. z siedzibą w W. (zwanej dalej Spółką) oraz portalu internetowego [...]. Podniosła, że brak jest usprawiedliwionego celu przetwarzania danych osobowych w działalności Spółki, w sytuacji gdy dane te są przetwarzane w rejestrze o charakterze komercyjnym bez jej zgody. Ponadto we wniosku podniesiono, że przetwarzanie tych danych narusza prawa i wolności wnioskodawczyni. Organ wezwał spółkę administratora danych, do złożenia pisemnych wyjaśnień. Organ ustalił, że dnia 2 grudnia 2009 r. Spółka, na wniosek anonimowego użytkownika portalu [...], dodała dane osobowe Skarżącej do prowadzonego przez siebie zbioru danych. Spółka w złożonych wyjaśnieniach z dnia [...] stycznia 2017 r. wskazała, że dane Skarżącej "przetwarzane są na podstawie art. 23 ust. 1 pkt 5 ustawy o ochronie danych osobowych", zaś celem przetwarzania jest informowanie użytkowników Internetu o praktyce Skarżącej i wymiana opinii o tej praktyce; obowiązek informacyjny, wynikający z art. 25 tej ustawy, został spełniony wobec skarżącej "poprzez wysłanie informacji wymaganej przez przepisy prawa w formie pisemnej", pismem z dn. [...] października 2016 r. skierowanym do Skarżącej. Spółka w złożonych wyjaśnieniach z dnia [...] stycznia 2017 r. wskazała, iż cyt.: "Dane skarżącej przetwarzane są na podstawie art. 23 ust. 1 pkt 5 u.o.d.o. (...). Celem przetwarzania danych Skarżącej jest informowanie użytkowników Internetu o praktyce Skarżącej i wymiana opinii o tej praktyce. Zakres danych osobowych przetwarzanych przez spółkę Z. Sp. z o.o. to imię i nazwisko skarżącej, wykonywany zawód oraz adres, gdzie ten zawód jest wykonywany. Dane są przetwarzane w systemie informatycznym w zbiorze "[...]" (spółka spełniła wobec Skarżącej obowiązek informacyjny wynikający z art. 25 u.o.d.o. poprzez wysłanie informacji wymaganej przez przepisy prawa w formie pisemnej." Pismem z dnia [...] października 2016 r. skierowanym do Skarżącej spółka poinformowała ją, iż administratorem danych osobowych skarżącej oraz podała pełną nazwę i adres swojej siedziby, a także wskazała cyt.: "(...) Pani dane osobowe przetwarzane są w celu informowania użytkowników Internetu o prowadzonej przez Panią działalności zawodowej oraz ujawnianie opinii pacjentów o Pani praktyce. Dane jakie przetwarzamy to imię, nazwisko oraz dane teleadresowe. Spółka pozyskała Pani dane w dniu [...] grudnia 2009 r. od anonimowego użytkownika portalu [...]. Posiada Pani prawo dostępu do treści swoich danych oraz ich poprawiania. Na podstawie art. 32 ust. 1 pkt 7 ustawy o ochronie danych osobowych przysługuje Pani prawo wniesienia pisemnego, umotywowanego żądania zaprzestania przetwarzania Pana danych ze względu na Pani szczególną sytuację, jak również - na podstawie art. 32 ust. 1 pkt 8 ustawy o ochronie danych osobowych ma Pani prawo wniesienia sprzeciwu wobec przetwarzania Pani danych w celach marketingowych lub wobec przekazywania ich innemu administratorowi danych". GIODO, decyzją z dnia [...] kwietnia 2017 r. (znak: [...]), odmówił uwzględnienia wniosku Skarżącej o nakazanie dopełnienia przez administratora danych obowiązku usunięcia ze zbioru danych osobowych dotyczących skarżącej, przyjmując, że ich publikowanie przez Spółkę - jako zgodne z przedmiotem działalności gospodarczej Spółki - znajduje swe oparcie w art. 23 ust. 1 pkt 5 ustawy z dn. 29 sierpnia 1997 r. o ochronie danych osobowych, zaś zakres danych osobowych przetwarzanych przez Spółkę na stronie internetowej [...] jest uzasadniony dla rodzaju prowadzonej przez Spółkę działalności komercyjnej związanej z przetwarzaniem takich danych i działalnością portali internetowych, i adekwatny do rodzaju prowadzonej działalności w rozumieniu art. 26 ust. 1 pkt 3 tej ustawy. Skarżąca, wniosła o ponowne rozpatrzenie sprawy. GIODO, decyzją z dnia [...] września 2017 r. (znak: [...]), utrzymał w mocy zaskarżoną decyzję. Skarżąca wniosła skargę na w/w decyzję. Wyrokiem z dnia 10 lipca 2018 r., sygn. akt II SA/Wa 2013/17 Wojewódzki Sąd Administracyjny w Warszawie oddalił skargę Skarżącej na decyzję GIODO z [...] września 2017 r., którą utrzymano w mocy decyzję tego samego organu z [...] kwietnia 2017 r. odmawiającą uwzględnienia wniosku Skarżącej o nakazanie Z. Sp. z o.o. z siedzibą w W. usunięcia jej danych osobowych z bazy danych Spółki oraz portalu internetowego [...]. Wojewódzki Sąd Administracyjny w Warszawie uznał, że opublikowanie przez Spółkę danych osobowych Skarżącej jest zgodne z przedmiotem działalności gospodarczej Spółki i znajduje oparcie w art. 23 ust. 1 pkt 5 ustawy z 29 sierpnia 1997 r. o ochronie danych osobowych (Dz.U. z 2016 r., poz. 922 ze zm.) dalej u.o.d.o. zaznaczając, że podmiot ten nie dopuścił się naruszenia powszechnie obowiązujących przepisów o ochronie danych osobowych. Wskazał, że mający zastosowanie w niniejszej sprawie art. 23 ust. 1 pkt 5 u.o.d.o. określany jest w doktrynie przedmiotu mianem tzw. klauzuli usprawiedliwionego celu, tj. przesłanki, która oznacza, że przetwarzanie danych osobowych jest dopuszczalne tylko wtedy, gdy jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby której dotyczą". Innymi słowy jej spełnienie stanowi dostateczną legitymację do legalnego w świetle u.o.d.o. przetwarzania danych osobowych. Przedmiotem zarejestrowanej przez Spółkę działalności gospodarczej jest m.in. działalność portali internetowych, przetwarzanie danych, zarządzanie stronami internetowymi, co oznacza, że opublikowanie danych osobowych Skarżącej było zgodne z przedmiotem jej działalności. Odnośnie do zarzutów Skarżącej dotyczących braku uzasadnienia dla przetwarzania jej danych osobowych na stronie internetowej [...], Wojewódzki Sąd Administracyjny w Warszawie wyjaśnił, że w myśl art. 26 ust. 1 pkt 3 u.o.d.o. pozyskiwanie danych osobowych musi odbywać się zgodnie z zasadą adekwatności. Administrator powinien przetwarzać tylko takiego rodzaju dane i tylko o takiej treści, które są niezbędne ze względu na cel ich zbierania. Powyższe oznacza, że Spółka jako administrator danych przetwarzając dane dołożyła szczególnej staranności w celu ochrony interesów osób, których dane dotyczą, a w szczególności ich zakres był merytorycznie poprawny i adekwatny w stosunku do celów, w jakich są przetwarzane. Cel przetwarzania przez portal [...] danych osobowych Skarżącej jest usprawiedliwiony działalnością Spółki. Odnosząc się do przetwarzania danych osobowych Skarżącej w celach komercyjnych Wojewódzki Sąd Administracyjny w Warszawie stwierdził, że Skarżąca nie zarejestrowała się w ww. serwisie internetowym nie zawierając tym samym umowy o świadczenie usług ze Spółką, która przez ten portal jedynie informowała o jej działalności zawodowej, wykorzystując do tego celu ogólnodostępne rejestry. Wojewódzki Sąd Administracyjny w Warszawie nie dopatrzył się również naruszenia praw i wolności Skarżącej, wywodząc, iż dane osobowe Skarżącej udostępniane na stronie internetowej dotyczą wyłącznie jej życia zawodowego i nie sposób uznać, że doszło do naruszenia jej prawa do ochrony życia prywatnego, rodzinnego, czy też prawa decydowania o swoim życiu osobistym. Skargę kasacyjną od powyższego wyroku wywiodła Skarżąca zarzucając naruszenie prawa materialnego, tj. art. 23 ust. 1 pkt 5 u.o.d.o. polegające na błędnym jego zastosowaniu wyrażającym się w przyjęciu, że zachowane zostały określone w nim przesłanki pozwalające na przetwarzanie przez Spółkę jej danych osobowych. W ocenie Skarżącej Wojewódzki Sąd Administracyjny w Warszawie dokonując oceny, czy zachowane zostały przesłanki z art. 23 ust. 1 pkt 5 u.o.d.o. nie dokonał wyczerpującej, uwzględniającej specyfikę wykonywania zawodu [...], analizy, czy przetwarzanie jej danych osobowych nie prowadzi do naruszenia jej praw i wolności, pominął również fakt, że portal [...] nie zapewnia [...] żadnego mechanizmu obronnego przed komentarzami lub opiniami niezgodnymi ze stanem rzeczywistym. W oparciu o powyższe Skarżąca wniosła o uchylenie zaskarżonego wyroku w całości i przekazanie sprawy do ponownego rozpoznania WSA w Warszawie, zasądzenie kosztów postępowania wg norm przepisanych oraz rozpoznanie sprawy na rozprawie. W odpowiedzi na skargę kasacyjną, organ podzielając w pełni stanowisko wyrażone przez Sąd I instancji, wniósł o jej oddalenie. Naczelny Sąd Administracyjny wyrokiem z dnia 26 stycznia 2022r sygn. akt III OSK 1052/21 uchylił zaskarżony wyrok Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 10 lipca 2018 r., sygn. akt II SA/Wa 2013/17 i przekazał sprawę do ponownego rozpoznania przez Wojewódzki Sąd Administracyjny. Naczelny Sąd Administracyjny stwierdził, że zarzut naruszenia prawa materialnego, tj. art. 23 ust. 5 pkt 1 u.o.d.o. poprzez przyjęcie, że zachowane zostały określone w nim przesłanki pozwalające na przetwarzanie przez Z. Sp. z o.o. siedzibą w W. danych osobowych Skarżącej jest zasadny. Wskazał, że WSA w Warszawie nie zasadnie uznał zgodność z prawem przetwarzania przez Spółkę danych osobowych Skarżącej w oparciu o przepis art. 23 ust. 1 pkt 5 u.o.d.o. i w tym zakresie powołał się na przedmiot działalności gospodarczej Spółki (działalność portali internetowych, zarządzanie stronami internetowymi, przetwarzanie danych, itp.). W ocenie NSA wątpliwe jest stwierdzenie, że cel przetwarzania danych Skarżącej jest usprawiedliwiony działalnością Spółki oraz nie narusza praw i wolności, bowiem dotyczy jej życia zawodowego. Wskazał, że przetwarzanie danych osobowych na podstawie art. 23 ust. 1 pkt 5 u.o.d.o. dopuszczalne jest wtedy, gdy jest ono niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą. W ocenie NSA w postępowaniu, w którym osoba, której dane są przetwarzane domaga się realizacji swojego prawa, wyrażonego w art. 1 u.o.d.o., konieczne jest wykazanie, czy podmiot przetwarzając dane spełnia ww. wymogi, czy też nie. W niniejszym postępowaniu Skarżąca kasacyjnie podnosiła, że nie zawierała umowy ze Spółką Z. i nie chce świadczyć usług za pośrednictwem portalu internetowego. W tej sytuacji rozważenia przez Sąd I instancji wymagało jaki prawnie usprawiedliwiony cel uzasadnia przetwarzanie jej danych osobowych przez Spółkę. O powyższym, wbrew stanowisku WSA w Warszawie, nie może przesądzać sam fakt ujęcia przez Spółkę w przedmiocie działalności – prowadzenia stron internetowych, przetwarzanie danych osobowych, działalność portali internetowych – stanowiąc automatyczną przesłankę legalizującą przetwarzanie danych osobowych Skarżącej. Podkreślić należy, że przedmiot działalności sam w sobie na gruncie u.o.d.o. nie stanowi podstawy do przetwarzania oraz posługiwania się danymi osobowymi. Powyższe Sąd I instancji pominął skupiając się jedynie na fakcie, że przetwarzanie danych osobowych skarżącej jest zgodne z przedmiotem działalności gospodarczej Spółki, pomijając fakt, że powyższe nie jest tożsame z niezbędnością przetwarzania danych osobowych w rozumieniu przepisu art. 23 ust. 1 pkt 5 u.o.d.o. Sąd I instancji powoływał się na kwestie wyważenia interesów – skarżącej i Spółki, lecz powyższego nie dokonał. Nie skonfrontował bowiem swoich rozważań w tym zakresie z zapisami dostępnego na stronie internetowej Spółki Regulaminu, w świetle jego zapisów dotyczących sposobu przetwarzania danych osobowych skarżącej w zakresie istnienia prawnie usprawiedliwionego celu (np. § 8 ust. 2 – 4). Sąd I instancji nie wziął również pod uwagę faktu, że jakakolwiek ingerencja skarżącej w kwestii przetwarzania jej danych osobowych możliwa jest wyłącznie po zarejestrowaniu się na portalu [...], tj. po spełnieniu dodatkowych pozaustawowych przesłanek w postaci zawarcia z administratorem umowy cywilnoprawnej. W ocenie NSA niewystarczające jest stwierdzenie przez WSA w Warszawie, że udostępniane dane osobowe dotyczą wyłącznie życia zawodowego strony. Wskazał, że stwierdzenie WSA w tym zakresie nie zostało poparte żadną analizą i tym samym nosi cechy dowolności. Ponadto zdaniem NSA powyższe nie oznacza, że Skarżąca nie jest pozbawiona ochrony. W myśl art. 30 Konstytucji RP przyrodzona i niezbywalna godność człowieka stanowi źródło wolności i praw człowieka i obywatela. Jest ona nienaruszalna a jej poszanowanie i ochrona jest obowiązkiem władz publicznych. NSA stwierdził, że WSA w Warszawie nie rozważył, czy Skarżąca będąc związana tajemnicą lekarską, ma rzeczywistą możliwość merytorycznego ustosunkowania się do informacji przedstawianych na jej temat. W wytycznych NSA wskazał, że rozpatrując ponownie sprawę WSA w Warszawie dokona ponownej oceny zgodności z prawem przetwarzania danych osobowych Skarżącej z uwzględnieniem poczynionych rozważań oraz Regulaminu świadczenia usług drogą elektroniczną przez [...] w brzmieniu obowiązującym w dniu rozstrzygania przez organ. Nadto oceni również i wyważy z jednej strony racje i interesy Skarżącej kasacyjnie (właściciela danych) objętej ochroną prawną, a z drugiej administratora danych, również chronionego przez prawo w zakresie w jakim może realizować prawnie usprawiedliwione cele i uprawnienia. Przy istniejącym konflikcie interesów stosownie do art. 23 ust. 1 pkt 5 u.o.d.o. uwzględnienia wymaga ranga tych interesów w okolicznościach konkretnej sprawy. Należy zatem ustalić i rozważyć wszystkie okoliczności konieczne do wyważenia niezbędnej ochrony interesów osoby, której dane dotyczą oraz interesów administratora danych. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: Skarga zasługuje na uwzględnienie. Przedmiotem rozstrzygnięcia są decyzje organu z dnia [...] września 2017 r. i z dnia [...] kwietnia 2017 r. będące przedmiotem wyroku WSA z dnia 10 lipca 2018 r. sygn. akt II SA/Wa 2013/17 oddalającego skargę na ww. decyzje i uchylonego wyrokiem Naczelnego Sądu Administracyjnego z dnia 26 stycznia 2022 r. sygn. akt III OSK 1052/21. Zgodnie z przepisem art. 190 ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (t.j. Dz.U. z 2022 r. poz. 329 ze zm.; dalej "P.p.s.a.") Sąd, któremu sprawa została przekazana, związany jest wykładnią prawa dokonaną w tej sprawie przez Naczelny Sąd Administracyjny. Przepis art. 23 ust. 4 u.o.d.o. za prawnie usprawiedliwiony cel, o którym mowa w ust. 1 pkt 5, uważa się w szczególności: (1) marketing bezpośredni własnych produktów lub usług administratora danych; (2) dochodzenie roszczeń z tytułu prowadzonej działalności gospodarczej. Zgodnie z art. 6 ust. 1 u.o.d.o. za dane osobowe uważa się wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej. Osobą możliwą do zidentyfikowania jest osoba, której tożsamość można określić bezpośrednio lub pośrednio, w szczególności przez powołanie się na numer identyfikacyjny albo jeden lub kilka specyficznych czynników określających jej cechy fizyczne, fizjologiczne, umysłowe, ekonomiczne, kulturowe lub społeczne (art. 6 ust. 2 u.o.d.o.). W doktrynie prezentowany jest pogląd, że użycie zwrotu "wszelkie informacje" służy podkreśleniu, że w grę wchodzą informacje odnoszące się do każdego aspektu osoby, jej stosunków osobistych i rzeczowych, jej życia zawodowego, prywatnego, wykształcenia, wiedzy czy cech charakteru. Nie ma znaczenia, w jakiej roli występuje w danym przypadku osoba (np. członka rodziny, członka grupy zawodowej czy przedsiębiorcy). Danymi osobowymi są zarówno informacje już rozpowszechnione lub opublikowane (zamieszczone w publikowanych materiałach), jak i w ogóle jeszcze nieujawnione. Charakter danych osobowych mają informacje "z różnych dziedzin życia", o ile tylko istnieje możliwość powiązania ich z oznaczoną osobą; mogą to być informacje o charakterze obiektywnym lub subiektywnym, wymiernym lub ocennym, o okolicznościach dawnych, obecnych lub przyszłych, trwałych lub przemijających (v. J. Barta, "Ochrona danych osobowych. Komentarz", wyd. VI, publ. LEX 2015). Charakter danych osobowych mają informacje dotyczące przygotowania zawodowego i przebiegu pracy danej osoby, a także opinie na temat danej osoby. W świetle powyższego stwierdzić należy, że wszelkie przetwarzane przez Spółkę informacje dotyczące Skarżącej, w tym dotyczące życia zawodowego, stanowią dane osobowe. Co istotne, zgodnie z art. 1 ust. 1 u.o.d.o., każdy ma prawo do ochrony dotyczących go danych osobowych. Stosownie zaś do art. 1 ust. 2 u.o.d.o., przetwarzanie danych osobowych może mieć miejsce ze względu na dobro publiczne, dobro osoby, której dane dotyczą, lub dobro osób trzecich w zakresie i trybie określonym ustawą. GIODO uzasadniając zgodność z prawem przetwarzania przez Spółkę danych osobowych Skarżącej na podstawie art. 23 ust. 1 pkt 5 u.o.d.o. powołał się na przedmiot działalności gospodarczej Spółki (organ wskazał, że jest to m.in. działalność portali internetowych, przetwarzanie danych, zarządzanie stronami internetowymi i podobna działalność) i stwierdził, że cel przetwarzania danych -publikowanie danych osobowych Skarżącej w Internecie - jest usprawiedliwiony tą właśnie działalnością Spółki. GIODO uznał jednocześnie, że przetwarzanie danych Skarżącej nie narusza jej praw i wolności, bowiem dotyczy życia zawodowego. Nadto stwierdził, że świadczona przez [...] praca, w szczególności sposób jej wykonywania i uzyskane efekty (organ nie sprecyzował jak należy rozumieć sformułowanie "uzyskane efekty"), podlegają społecznej kontroli. Przedstawiając powyższe stanowisko i uznając jednocześnie, że nie ma podstaw do uwzględnienia wniosku Skarżącej, organ powołany do spraw ochrony danych osobowych nie ustalił jednak i nie dokonał rozważenia wszystkich okoliczności faktycznych niezbędnych do podjęcia rozstrzygnięcia w sprawie do czego był zobowiązany w oparciu o art. 7 oraz art. 77 § 1 i art. 80 k.p.a.. W ocenie Sądu organ opierając się o dane zawarte w aktach mógł przyjąć ale tego nie zbadał, czy zbiór, w którym przetwarzane są dane osobowe Skarżącej (w tym dane dotyczące życia zawodowego), wykorzystywany jest w celu komercyjnym, a tym samym, czy w tym celu wykorzystywane są jej dane osobowe. Ma to o tyle istotne znaczenie, że Skarżąca, jak wynika z akt postępowania administracyjnego, twierdzi, że nigdy nie zawierała ze spółką Z. Sp. z o.o. żadnych umów o świadczenie na jej rzecz usług i nie wyrażała zgody na przetwarzanie jej danych osobowych przez Spółkę. Organ nie rozważył także, czy przetwarzanie danych osobowych Skarżącej jest "niezbędne" dla realizacji prawnie usprawiedliwionych celów Spółki w rozumieniu art. 23 ust. 1 pkt 5 u.o.d.o., pomimo braku na to zgody Skarżącej. Organ stwierdził jedynie, że opublikowanie przez Spółkę danych osobowych Skarżącej, jako "zgodne z przedmiotem działalności gospodarczej Spółki", znajduje swe oparcie w ww. przesłance legalizującej przetwarzanie danych. Jednak "zgodność" z przedmiotem prowadzonej przez dany podmiot działalności gospodarczej nie jest tożsama z "niezbędnością" przetwarzania danych osobowych w rozumieniu ww. przepisu. Z akt sprawy nie wynika również, aby organ zweryfikował informację - przekazaną przez Spółkę, że dane osobowe Skarżącej zostały dodane na portalu [...], dnia [...] grudnia 2009 r. przez anonimowego użytkownika. Organ nie odniósł się również do twierdzeń Skarżącej podnoszonych w toku postępowania administracyjnego, a następnie w skardze do Sądu, że serwis [...] ma charakter stricte komercyjny, a dodatkowo wykorzystuje mechanizm reklamy kontekstowej. Skarżąca podniosła, że Spółka przetwarza jej dane osobowe w celach marketingowych, prowadzi działalność reklamową mającą na celu wyłącznie zwiększenie swoich zysków. Promowani są bowiem [...], którzy wykupili abonament, m.in. poprzez kontekstowe wyświetlanie ich profili, a także wykorzystywanie pozycjonowania stron, które znacząco ogranicza dostęp do informacji znajdujących się na innych stronach internetowych. Organ nie rozważył podnoszonych przez stronę kwestii na gruncie całokształtu zapisów "Regulaminu świadczenia usług drogą elektroniczną przez [...].", czym naruszył ww. przepisy postępowania administracyjnego. Z zamieszczonego na stronie internetowej [...] i włączonego do akt sprawy "Regulaminu świadczenia usług drogą elektroniczną przez [...]" wynika, że zawarcie umowy o świadczenie usług następuje poprzez rejestrację w serwisie bezpośrednio lub za pomocą serwisu [...] (§ 7 ust. 1). Rejestracja profesjonalisty ([...]), oprócz danych wymaganych od użytkownika, wymaga podania m.in. numeru PESEL (§ 7 ust. 10). Stosownie do § 7 ust. 13 Regulaminu przetwarzanie danych osobowych użytkownika i profesjonalisty zawartych w formularzu rejestracyjnym oraz danych udostępnionych w utworzonym przez niego profilu odbywa się za jego zgodą wyrażoną przy rejestracji w Serwisie. Profesjonalista, czyli [...], aby utworzyć swój profil lub potwierdzić informacje już w nim zawarte, musi dokonać rejestracji w Serwisie (§ 5 ust. 5). Na profilu zweryfikowanym profesjonalista ([...]) otrzymuje dodatkowe uprawnienia, w szczególności może odpowiadać na opinie wystawione przez użytkowników (§ 5 ust. 7). Umowa o świadczenie usług zostaje zawarta na czas nieoznaczony (§ 7 ust. 4). Z przedstawionych wyżej zapisów Regulaminu wynika, że dane osobowe przetwarzane są na podstawie art. 23 ust. 1 pkt 3 i art. 23 ust. 1 pkt 1 u.o.d.o. (na podstawie umowy i za zgodą m.in. [...]), oczywiście po zarejestrowaniu w serwisie Spółki. Skarżąca nie chce świadczyć usług medycznych za pośrednictwem tej Spółki, rozważenia przez GIODO wymagało, czy przetwarzanie danych osobowych Skarżącej jest "niezbędne" dla realizacji prawnie usprawiedliwionego celu oraz jaki - w przedstawionych okolicznościach faktycznych - "prawnie usprawiedliwiony cel" uzasadnia przetwarzanie jej danych osobowych przez Spółkę. Fakt, że podmiot gospodarczy w przedmiocie działalności ujął "działalność portali internetowych", czy "przetwarzanie danych osobowych" nie może być traktowane jako automatyczna przesłanka legalizująca przetwarzanie danych osobowych skarżącej. Przedmiot działalności określa tylko dopuszczalny rodzaj prowadzonej działalności gospodarczej. Nie stanowi zaś sam w sobie na gruncie u.o.d.o. podstawy do przetwarzania (zbierania) oraz posługiwania się danymi osobowymi Skarżącej (udostępniania ich, w tym publikowania w Internecie) i nie wypełnia sam przez się przesłanki z art. 23 ust. 1 pkt 5 u.o.d.o. Pogląd zaprezentowany przez GIODO w tym zakresie w uzasadnieniu wydanych w sprawie decyzji przeczy idei ochrony danych osobowych. Zasadnie w tych okolicznościach Skarżąca zarzuciła, iż organ nie podjął wszelkich czynności niezbędnych do dokładnego wyjaśnienia stanu faktycznego sprawy. Na konieczność wyważenia przeciwstawnych interesów, gdy mowa o przesłance prawnie usprawiedliwionego celu administratora danych, wielokrotnie w swoim orzecznictwie wskazywał Trybunał Sprawiedliwości (por. wyrok Trybunału Sprawiedliwości z dnia 13 maja 2014 r. C-131/12 pkt 74). Kwestia wyważenia interesów stron (Skarżącej i spółki Z. Sp. z o.o.) nie może być dokonana bez uwzględnienia zapisów ww. Regulaminu. Zgodnie z § 8 ust. 2 Regulaminu, usługodawca (spółka Z. Sp. z o.o.) nie ponosi odpowiedzialności za treść i formę materiałów i informacji zamieszczonych w serwisie przez użytkownika lub profesjonalistę. Użytkownik lub profesjonalista ponosi pełną odpowiedzialność za szkodę wywołaną jego działaniami w serwisie, w szczególności podaniem nieprawdziwych danych, ujawnieniem tajemnicy zawodowej, innej informacji poufnej lub tajemnicy przedsiębiorstwa, naruszeniem dóbr osobistych (...) (§ 8 ust. 3 regulaminu). W § 8 ust. 4 Regulaminu, usługodawca zastrzegł zaś, że korzystanie z serwisu i udostępnianych przez niego usług odbywa się na wyłączne ryzyko użytkownika lub profesjonalisty ([...]), a wszelkie zamieszczone w nim informacje nie są objęte gwarancją co do ich wartości, przydatności, zupełności, kompletności czy użyteczności. GIODO nie dokonał w niniejszej sprawie żadnych rozważań w świetle zapisów Regulaminu dotyczących sposobu przetwarzania danych osobowych Skarżącej w zakresie istnienia prawnie usprawiedliwionego celu. Stanowi to naruszenie art. 7, art. 77 § 1 i art. 80 k.p.a., a także art. 107 § 3 k.p.a., albowiem uzasadnienie decyzji nie zawiera wskazania faktów, które organ uznał za udowodnione i dowodów, na których się oparł wydając rozstrzygnięcie w sprawie. Organ nie rozważył również na gruncie niniejszej sprawy czy spełniona została druga z przesłanek wymienionych w art. 23 ust. 1 pkt 5 u.o.d.o., tj. czy przetwarzanie danych przez Spółkę nie narusza praw i wolności Skarżącej. Organ stwierdził jedynie, że dane osobowe Skarżącej udostępniane na stronie internetowej "dotyczą wyłącznie życia zawodowego" Skarżącej i z tego względu "nie sposób uznać", że doszło do naruszenia jej prawa do ochrony życia prywatnego, rodzinnego czy też prawa do decydowania o swoim życiu osobistym. Stwierdzenie organu w ww. zakresie nie zostało poparte żadną analizą, a tym samym nosi cechy dowolności. Ponadto okoliczność, że dane udostępniane na stronie internetowej dotyczą wyłącznie życia zawodowego Skarżącej, nie oznacza, że Skarżąca pozbawiona jest ochrony. Przepis art. 30 Konstytucji Rzeczypospolitej Polskiej stanowi, że przyrodzona i niezbywalna godność człowieka stanowi źródło wolności i praw człowieka i obywatela. Jest ona nienaruszalna, a jej poszanowanie i ochrona jest obowiązkiem władz publicznych. Przepis art. 47 Konstytucji RP zapewnia każdemu prawo do ochrony prawnej życia prywatnego, rodzinnego, czci, a także dobrego imienia. Ponadto sam fakt przetwarzania danych osobowych Skarżącej przez portal o charakterze komercyjnym, w połączeniu z udostępnianą przez ten portal opcją dodawania komentarzy przez odbiorców danych, przy jednoczesnym braku reakcji i dopuszczaniu do publikacji komentarzy o charakterze noszącym znamiona naruszania dóbr osobistych takich jak godność osobista, cześć i dobre imię Skarżącej, nie może pozostać bez oceny Organu. Organ nie wziął pod uwagę, że jakakolwiek możliwość faktycznego ustosunkowania się przez [...] do opinii użytkowników portalu, jest możliwa wyłącznie po jego zarejestrowaniu na portalu, co wiąże się z koniecznością zawarcia umowy. Powyższe oznacza, że w odniesieniu do Skarżącej, nawet w przypadku hipotetycznego zaistnienia dwóch przesłanek legalizujących - przy założeniu, że administrator danych istotnie realizowałby prawnie usprawiedliwione cele, a przetwarzanie danych osobowych Skarżącej byłoby rzeczywiście niezbędne do ich wypełniania - okoliczność, iż dla zapewnienia ochrony swoich danych osobowych musi ona spełnić dodatkowe, pozaustawowe obowiązki w postaci zawarcia z administratorem danych (właścicielem portalu) umowy cywilnoprawnej, niweczy sama w sobie przesłankę trzecią, którą stanowi przetwarzanie danych w sposób nienaruszający praw i wolności osoby, której dane przetwarzaniu podlegają. Nadto z uwagi na obowiązująca Skarżącą tajemnicę lekarską zamieszczenie merytorycznego kontrkomentarza jest niemożliwe. Zgodnie z art. 1 ust. 1 u.o.d.o., jak wskazano już powyżej, każdy ma prawo do ochrony dotyczących go danych osobowych. Warto w tym miejscu zaznaczyć, że regulowanym przez prawo rejestrem [...], którzy uzyskali prawo wykonywania zawodu jest rejestr prowadzony przez właściwą okręgową radę lekarską. Zgodnie bowiem z art. 8 ust. 1 ustawy o zawodach [...] i [...]. który uzyskał prawo wykonywania zawodu albo ograniczone prawo wykonywania zawodu, podlega wpisowi do rejestru prowadzonego przez właściwą okręgową radę lekarską. W orzecznictwie sądów administracyjnych wielokrotnie wyrażony został pogląd, że tylko ww. rejestr pełni zarówno funkcję informacyjną, jak też ochronną (por. wyroki WSA w Warszawie: z dnia 29 stycznia 2014 r., sygn. akt II SA/Wa 1819/13; z dnia 2 sierpnia 2018 r. sygn. akt II SA/Wa 1997/17; publ. CBOSA). Mając na względzie argumenty podniesione w niniejszej skardze oraz fakt, iż Skarżąca nie jest zainteresowana zawarciem umowy ze Z. sp. z o.o. i nie chce świadczyć usług medycznych za pośrednictwem tej Spółki, nie sposób uznać by prawnie usprawiedliwiony cel uzasadniał przetwarzanie danych osobowych Skarżącej przez Spółkę. Konkludując Sąd stwierdza, że decyzje z dnia [...] września 2017 r. i z dnia [...] kwietnia 2017 r. będące przedmiotem wyroku WSA z dnia 10 lipca 2018 r. oddalającego skargę na w/w decyzje i uchylonego wyrokiem Naczelnego Sądu Administracyjnego z dnia 26 stycznia 2022 r. zostały wydane z istotnym naruszeniem powołanych wyżej przepisów postępowania administracyjnego, co skutkowało ich eliminacją z obrotu prawnego. Organ, nie poczynił pełnych ustaleń faktycznych niezbędnych do podjęcia rozstrzygnięcia w sprawie, nie rozpatrzył w sposób należyty zgromadzonego w sprawie materiału dowodowego, a w konsekwencji nie rozważył w sposób wyczerpujący, czy w okolicznościach niniejszej sprawy spełnione zostały przesłanki wymienione w art. 23 ust. 1 pkt 5 u.o.d.o. Organ nie zbadał zatem, czy w sprawie zachodzi przesłanka legalizująca z art. 23 ust. 1 pkt 5 u.o.d.o., a w rezultacie czy dla przetwarzania danych osobowych nie jest konieczne uzyskanie zgody Skarżącej. W tym stanie rzeczy Organ rozpoznając ponownie tę sprawę weźmie pod uwagę zalecenia WSA w Warszawie przedstawione w oparciu o stanowisko NSA zawarte w w/w wyroku NSA i dokona pełnych i niebudzących wątpliwości ustaleń stanu faktycznego w zakresie przetwarzania danych osobowych Skarżącej przez spółkę Z. Sp. z o.o. stosownie do art. 7, art. 77 § 1 i art. 80 k.p.a.. Rozpatrując zebrany materiał dowodowy Organ dokona ponownej oceny zgodności z prawem przetwarzania danych osobowych Skarżącej przez Spółkę, z uwzględnieniem rozważań poczynionych przez Sąd oraz przy uwzględnieniu treści Regulaminu świadczenia usług drogą elektroniczną przez Spółkę. Oceniając wszechstronnie zgromadzony materiał dowodowy, Organ powoła w uzasadnieniu decyzji fakty, które uznał za udowodnione i dowody, na których się oparł, wskaże przyczyny, z powodu których innym dowodom odmówił wiarygodności i mocy dowodowej. Zważy przy tym, że decyzja nie może pozostawiać wątpliwości co do zasadności przesłanek, którymi organ kierował się załatwiając sprawę w określony sposób (art. 107 § 3 w zw. z art. 11 k.p.a.). Mając na względzie powyższe, Wojewódzki Sąd Administracyjny w Warszawie na podstawie art. 145 § 1 pkt 1 lit. c i a P.p.s.a. orzekł, jak w sentencji. O kosztach postępowania obejmujących wpis od skargi oraz wynagrodzenie pełnomocnika strony skarżącej odpowiadające stawce minimalnej wraz z opłatą skarbową od pełnomocnictwa, Sąd postanowił w oparciu o art. 200 w zw. z art. 205 § 2 P.p.s.a..