II SA/Wa 503/17

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Przemysław Szustakiewicz (spr.), Sędziowie WSA Iwona Dąbrowska, Iwona Maciejuk, Protokolant specjalista Maria Zawada, po rozpoznaniu na rozprawie w dniu 16 stycznia 2018 r. sprawy ze skargi [...] z siedzibą w [...] na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] stycznia 2017 r. nr [...] w przedmiocie przetwarzania danych osobowych 1. uchyla zaskarżoną decyzję oraz poprzedzającą ją decyzję z dnia [...] sierpnia 2016 r. nr [...], 2. zasądza od Generalnego Inspektora Ochrony Danych Osobowych na rzecz [...] z siedzibą w [...] kwotę 697 zł (słownie: sześćset dziewięćdziesiąt siedem złotych) tytułem zwrotu kosztów postępowania. Generalny Inspektor Ochrony Danych Osobowych (dalej GIODO) decyzją z dnia [...] stycznia 2017 r. nr [...] utrzymał w mocy swoją decyzję z dnia [...] sierpnia 2016 r. nr [...] w sprawie skargi R.G., na przetwarzanie jego danych osobowych przez [...] Sp. z o.o. z siedzibą w [...] w wynikach wyszukiwania wyszukiwarki [...] odnośnie adresów: 1) http://[...], 2) http://[...] 3) http://[...] W uzasadnieniu organ wskazał, że do Biura GIODO wpłynęła skarga R.G., na bezprawne przetwarzanie jego danych osobowych pod wyżej wskazanymi adresami internetowymi przez [...] Sp. z o.o. z siedzibą w [...]. W toku przeprowadzonego w przedmiotowej sprawie postępowania GIODO ustalił, co następuje: W wynikach wyszukiwarki [...], uzyskanych po wpisaniu imienia i nazwiska skarżącego figurują wskazane w skardze adresy stron internetowych. Na stronach tych udostępniane są dane osobowe skarżącego (imię i nazwisko) jako osoby poszukiwanej przez organy ścigania w związku ze śledztwem w sprawie związanej z [...], materiały na ww. stronach pochodzą odpowiednio z dnia [...] kwietnia 2007 r., [...] grudnia 2007 r. oraz [...] września 2008 r., dotyczą wydarzeń, które miały miejsce w latach 2004-2005. Postanowieniem z dnia [...] kwietnia 2010 r. (sygn. [...]) Prokuratura Apelacyjna w [...] Wydział [...]wydała postanowienie o odwołaniu poszukiwania podejrzanego listem gończym, uzasadnione okolicznością wydania w stosunku do R.G. w dniu [...] kwietnia 2010 r. przez Sąd Okręgowy w [...] listu żelaznego, w związku z toczącym się przeciwko niemu śledztwem. Skarżący nie figuruje obecnie na liście osób poszukiwanych przez organy ścigania. Skarżący zwrócił się na adres [...] o usunięcie ww. wyników wyszukiwania z listy generowanej przy wyszukiwaniu imienia i nazwiska, potwierdzenie zgłoszenia otrzymał od Zespołu [...] w dniu [...] grudnia 2015 r. W wiadomości przesłanej skarżącemu przez Zespół [...] drogą elektroniczną w dniu [...] grudnia 2015 r. wskazano, cyt. "Wygląda na to, że informacje wskazane przez Państwa do usunięcia z listy przez [...] dotyczą wykroczeń karalnych. Z posiadanych przez nas danych wynika, że te informacje nie są ani niedokładne, ani nieaktualne. Z tego względu postanowiliśmy nie podejmować żadnych działań w odniesieniu do tego adresu/tych adresów URL". Po przeprowadzeniu postępowania administracyjnego GIODO w dniu [...] sierpnia 2016 r. wydał decyzję administracyjną nr [...], w treści której nakazał Spółce zaprzestanie przetwarzania danych osobowych skarżącego, poprzez usunięcie danych osobowych z wyników wyszukiwarki [...] odnośnie adresów: - http://[...] - http://[...] - http://[...]. W ustawowym terminie Spółka złożyła wniosek o ponowne rozpatrzenie sprawy zakończonej ww. decyzją, w którym zażądała uchylenia zaskarżonej decyzji oraz umorzenia postępowania administracyjnego w całości z powodu skierowania decyzji do osoby niebędącej stroną postępowania. Rozpoznając ponownie sprawę organ podniósł, że nieuzasadnionym jest zarzut, iż nie powinna być ona stroną niniejszego postępowania, jak również adresatem decyzji GIODO z dnia [...] sierpnia 2016 r. nr [...]. [...] Sp. z o.o. posiada bowiem odrębną od [...] osobowość prawną i stanowi spółkę zależną [...] działającą na terytorium Polski oraz wykonującą działalność gospodarczą w rozumieniu art. 4 ust. 1 lit. a) dyrektywy 95/46/WE. Zgodnie z ww. artykułem każde Państwo Członkowskie stosuje, w odniesieniu do przetwarzania danych osobowych, przepisy prawa krajowego przyjmowane na mocy niniejszej dyrektywy wówczas, gdy: a) przetwarzanie danych odbywa się w kontekście prowadzenia przez administratora danych działalności gospodarczej na terytorium Państwa Członkowskiego; jeżeli ten sam administrator danych prowadzi działalność gospodarczą na terytorium kilku Państw Członkowskich, musi on podjąć niezbędne działania, aby zapewnić, że każde z tych przedsiębiorstw wywiązuje się z obowiązków przewidzianych w odpowiednich przepisach prawa krajowego. Do spełnienia zawartego w tym przepisie kryterium konieczne jest aby przetwarzanie danych osobowych przez ich administratora odbywało się w kontekście prowadzenia przez administratora danych działalności gospodarczej na terytorium państwa członkowskiego. Nie ulega wątpliwości, iż działalność prowadzona przez operatora wyszukiwarki internetowej [...], tj. [...] oraz działalność reklamowa [...] Sp. z o.o. są ze sobą nierozerwalnie powiązane, gdyż jak wskazał Trybunał Sprawiedliwości Unii Europejskiej w orzeczeniu z dnia [...] maja 2014 r. sygn. akt [...] cyt.: "(...) działalność związana z powierzchniami reklamowymi stanowi środek służący uczynieniu rozpatrywanej wyszukiwarki internetowej opłacalną pod względem gospodarczym, a wyszukiwarka ta stanowi jednocześnie środek umożliwiający prowadzenie tej działalności." Wbrew zarzutowi [...] Sp. z o.o., mając na uwadze ww. wyrok przyjąć należy, iż art. 4 ust. 1 lit a) dyrektywy 95/46/WE należy interpretować w ten sposób, że przetwarzanie danych osobowych ma miejsce w ramach działalności gospodarczej prowadzonej przez zakład administratora danych odpowiedzialnego za to przetwarzanie na terytorium danego państwa w rozumieniu tego przepisu, jeśli operator wyszukiwarki internetowej ustanawia w danym państwie członkowskim oddział lub spółkę zależną, których celem jest promocja i sprzedaż powierzchni reklamowych oferowanych za pośrednictwem tej wyszukiwarki, a działalność tego oddziału lub tej spółki zależnej jest skierowana do osób zamieszkujących to państwo. Biorąc więc pod uwagę przedmiot, sposób oraz formę działalności gospodarczej [...] Sp. z o.o. (tj. promowanie usług reklamowych wśród podmiotów m.in. z terytorium Rzeczypospolitej Polskiej, które mogą być realizowane z wykorzystaniem wyszukiwarki internetowej [...]), uznać należy ww. spółkę za podmiot ustanowiony przez operatora ww. wyszukiwarki internetowej. Jednocześnie zauważyć należy, iż przetwarzanie danych osobowych odbywa się na terytorium tego kraju członkowskiego, na którego terytorium działalność gospodarczą prowadzi taki podmiot. Powyższe oznacza, że w sprawach dotyczących skarg osób fizycznych zamieszkujących na terytorium Polski na odmowę usunięcia ich danych osobowych udostępnionych w wynikach wyszukiwania w wyszukiwarce internetowej [...], podmiotem w stosunku, do którego kierowane winny być ewentualne decyzje w przedmiocie nakazu wydanego na podstawie art. 18 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (t.j. Dz. U. z 2016 r. poz. 922), zwanej dalej u.o.d.o. będzie [...] Sp. z o.o., a więc spółka zależna [...], której celem jest promocja i sprzedaż powierzchni reklamowych, a co jest nierozerwalnie związane z funkcjonowaniem samej wyszukiwarki [...]. Powyższe stanowisko, gwarantuje realizację praw i obowiązków osób, zamieszkałych na terytorium Rzeczypospolitej Polskiej, których dane osobowe są przetwarzane w wyszukiwarce internetowej [...] w opisany na wstępie sposób. Odnosząc się do kwestii przetwarzania danych osobowych skarżącego przez Spółkę organ wskazał, że uprawniającym administratorów danych do przetwarzania danych osób fizycznych, w tym ich udostępniania, jest art. 23 ust. 1 u.o.d.o., zgodnie z którym, przetwarzanie danych jest dopuszczalne tylko wtedy, gdy spełniona jest jedna z przesłanek taksatywnie wskazanych w tym przepisie. W art. 27 ust. 2 u.o.d.o. wymienione są natomiast enumeratywnie przesłanki umożliwiające przetwarzanie tzw. danych osobowych wrażliwych. Przetwarzanie danych osobowych tzw. zwykłych przez operatorów wyszukiwarek internetowych, co do zasady ma oparcie w przesłance określonej w art. 23 ust. 1 pkt 5 u.o.d.o. Klauzula usprawiedliwionego celu powoduje, że administrator danych, który przy przetwarzaniu danych nie legitymuje się przesłankami wymienionymi w art. 23 ust. 1 pkt 1 - 4 u.o.d.o., może powołać się na tę klauzulę, przy czym niezbędnym jest wykazanie przez niego, iż przetwarzanie danych jest mu niezbędne dla realizacji konkretnego celu i realizacja tego celu (zgodnego z prawem) bez przetworzenia danych będzie niemożliwa. Jak zauważa się w doktrynie cyt.: "(...) z jednej strony cel przetwarzania danych musi być usprawiedliwiony prowadzoną działalnością administratora lub odbiorcy danych, a z drugiej strony działalność ta nie może być w jakiejkolwiek mierze niezgodna z prawem, zasadami współżycia społecznego czy dobrymi obyczajami (np. zbieranie danych dla szantażu)" (J. Barta, P. Fajgielski, R. Markiewicz. Ochrona Danych Osobowych. Komentarz. LEX 2015 nr 10222, Wydanie VI). Przetwarzanie na podstawie ww. przesłanki dopuszczalne jest jedynie w sytuacji, gdy nie narusza ono praw i wolności osoby, której dane dotyczą. Wskazać ponadto należy, iż co do zasady zabronione jest przetwarzanie danych osobowych tzw. wrażliwych, których katalog wskazano w art. 27 ust. 1 u.o.d.o. Ustawodawca przewidział jednakże wyjątki od tej zasady, określając je w ust. 2 ww. artykułu. W wyniku postępowania organ nie stwierdził, że przesłanki określone w art. 23 ust. 1 oraz art. 27 ust. 2 u.o.d.o. nie występują. Analiza materiału dowodowego pozwala na stwierdzenie, iż dane osobowe skarżącego są przetwarzane w związku z wydarzeniami z lat 2004-2005 opisanym w materiałach z 2007 i 2008 r. Zgodnie z wyrokiem Trybunału Sprawiedliwości Unii Europejskiej z dnia [...] maja 2014 r. sygn. akt [...], wniosek o zaprzestanie przetwarzania danych osobowych, w pierwszej kolejności powinien być przez skarżącego skierowany do operatora wyszukiwarki internetowej. Dopiero w przypadku braku właściwej reakcji po stronie operatora, należy zwrócić się do krajowego organu ds. ochrony danych osobowych. Skarżący zwrócił się z ww. żądaniem na adres [...], administrowany przez [...], a następnie, po otrzymaniu odpowiedzi odmownej, wniósł skargę do GIODO na podstawie art. 35 ust. 2 u.o.d.o. Tak więc w okolicznościach przedmiotowej sprawy, gdy dane osobowe skarżącego pojawiają się w wynikach wyszukiwania [...] pomimo złożonego żądania osoby, której dane dotyczą - nie występuje obecnie żadna z przesłanek określonych w art. 23 ust. 1 pkt 1-5 u.o.d.o. oraz art. 27 ust. 2 u.o.d.o., pozwalająca na przetwarzanie tych danych osobowych. Stwierdzić należy, iż przetwarzanie danych osobowych skarżącego w wynikach wyszukiwania nie znajduje zatem oparcia w obowiązujących przepisach prawa i dokonywane jest z naruszeniem przepisów dotyczących u.o.d.o. W sytuacji, gdy dochodzi do naruszenia przepisów u.o.d.o. GIODO zgodnie z art. 18 u.o.d.o., w razie stwierdzenia tego naruszenia, w drodze decyzji administracyjnej, nakazuje przywrócenie stanu zgodnego z prawem, poprzez wydanie określonych nakazów, wymienionych w tym przepisie, w szczególności - stosownie do art. 18 ust. 1 pkt 6 u.o.d.o. - nakazuje usunięcie danych osobowych. W związku z powyższym GIODO prawidłowo nakazał [...] Sp. z o.o. w decyzji z dnia [...] sierpnia 2016 r. nr [...], zaprzestanie przetwarzania danych osobowych skarżącego, poprzez usunięcie danych osobowych z wyników wyszukiwarki [...] znajdujących się pod wskazanymi wyżej adresami: GIODO uznał również zarzut naruszenia art. 77 § 1 K.p.a. za niezasadny, ponieważ postępowanie dowodowe było prowadzone zgodnie z przepisami Kodeksu postępowania administracyjnego . W dniu 22 lutego 2017 r. skargę na powyższą decyzję złożyła [...] Sp. z o.o. z siedzibą w [...]. Zaskarżonej decyzji zarzucono: 1. naruszenie art. 28 K.p.a., poprzez skierowanie decyzji do osoby niebędącej stroną w sprawie, tj. do [...] która nie jest administratorem danych w stosunku do danych osobowych będących przedmiotem decyzji, co stanowi podstawę do stwierdzenia nieważności decyzji, o której mowa w art. 156 § 1 pkt 4 K.p.a., poprzez wydanie decyzji niewykonalnej dla strony skarżącej, której niewykonalność istniała w dniu jej wydania i ma charakter trwały, co stanowi podstawę do stwierdzenia nieważności decyzji, o której mowa w art. 156 § 1 pkt 5 K.p.a. 2. naruszenie przepisu prawa materialnego, tj. art. 35 ust. 1 u.o.d.o., poprzez jego niewłaściwe zastosowanie do [...], w sytuacji gdy strona skarżąca nie ma statusu administratora danych i nie może być obowiązana do spełnienia obowiązku zastrzeżonego dla administratora danych, co miało wpływ na wynik sprawy. 3. naruszenie przepisów postępowania, tj.: - art. 7, 77 i 107 § 3 K.p.a., poprzez uchybienie wymogom podjęcia wszelkich czynności w celu dokładnego wyjaśnienia stanu faktycznego sprawy oraz wyczerpującego zebrania i rozpatrzenia całego materiału dowodowego, w tym nieprawidłowe określenie adresata decyzji i zaniechanie podjęcia jakichkolwiek działań mających na celu ustalenie roli [...] oraz poprzez nienależyte uzasadnienie zaskarżonej decyzji z uwagi na zawarcie w niej zbyt ogólnych stwierdzeń, co miało istotny wpływ na wynik sprawy, - art. 35 ust. 2 w zw. z ust. 1 u.o.d.o., poprzez wydanie decyzji wobec [...] pomimo braku wcześniejszych wniosków skierowanych przez R.G. do [...] oraz zaniechania wydania na tej podstawie decyzji wobec [...], co miało istotny wpływ na wynik sprawy. Pełnomocnik strony skarżącej wniósł o stwierdzenie nieważności w całości zaskarżonej decyzji i poprzedzającej ją decyzji z dnia [...] sierpnia 2016 r. Z ostrożności procesowej w razie nieuwzględnienia zarzutu nieważności decyzji, wniósł o uchylenie w całości wymienionych decyzji. Zwrócił się także o zasądzenie zwrotu kosztów postępowania według norm przepisanych. Pełnomocnik strony skarżącej w obszernej skardze podniósł m.in., że wadliwość decyzji jest głównie spowodowana błędnym zastosowaniem przez organ wyroku Trybunału Sprawiedliwości UE z dnia [...] maja 2014 r. w sprawie [...] [...] i [...] przeciwko [...] i [...]]), w którym w szczególności ustalono jaki podmiot jest administratorem danych dla wyszukiwarki internetowej. Tym administratorem dla danych osobowych przetwarzanych w wyszukiwarce internetowej [...] jest operator wyszukiwarki, tj. [...] z siedzibą w [...], a nie lokalne podmioty [...] z siedzibą w państwach UE (w tym [...]). To administrator danych, a nie inny podmiot, realizuje żądania osoby, której dane dotyczą usunięcia wyników wyszukiwania zawierających jej dane osobowe (tzw. prawo do bycia zapomnianym). Pełnomocnik wskazał, że stanowisko TSUE pozostaje aktualne na gruncie polskiej ustawy o ochronie danych osobowych. Podniósł, że wadliwość decyzji GIODO powoduje przede wszystkim negatywne konsekwencje dla realizacji praw osób, których dane dotyczą. Po wspomnianym orzeczeniu TSUE [...] wdrożył jednolity, efektywny i publicznie dostępny, internetowy mechanizm, za pomocą którego [...]przyjmuje wnioski osób fizycznych z państw Unii Europejskiej, w przedmiocie usunięcia wyników wyszukiwania ich dotyczących. Sposób realizacji rzeczonych wniosków podlega kontroli krajowych organów ds. ochrony danych osobowych oraz sądów krajowych. Wdrożony przez [...] mechanizm realizacji tzw. prawa do bycia zapomnianym jest powszechnie stosowany na terenie całej Unii Europejskiej. GIODO, stosując błędnie orzeczenie TSUE, nałożył obowiązki na podmiot lokalny, Spółkę [...], która nie jest administratorem danych i nie ma faktycznych możliwości ani uprawnień do usuwania danych osobowych, jeśli zażąda tego osoba, której dane dotyczą. Pełnomocnik strony skarżącej podkreślił, że podmiotem, który posiada środki prawne, techniczne oraz organizacyjne, aby wykonać zaskarżone decyzje i zaprzestać przetwarzania danych osobowych R.G. jest administrator danych. Strona skarżąca nie posiada żadnych środków technicznych czy organizacyjnych do wykonania decyzji nakazującej usunięcie danych osobowych z wyszukiwarki internetowej [...]. [...] nie świadczy żadnych usług poprzez wyszukiwarkę internetową [...] ani strony internetowe [...] oraz [...]. Fakt, że użytkownikiem domen "[...]" oraz "[...]" jest [...], a certyfikat [...] do stron internetowych "[...]" oraz "[...]" został przyznany [...] potwierdza, że [...] nie jest w żaden sposób zaangażowana w świadczenie usług polegających na wyszukiwaniu oraz prezentowaniu stron internetowych i ich opisów oraz nie ma żadnych środków technicznych do wykonania decyzji nakazującej usunięcie danych osobowych z wyszukiwarki internetowej. Pełnomocnik wskazał, że organ naruszył art. 35 ust. 1 u.o.d.o., gdyż wydał decyzję wobec [...], podmiotu niebędącego administratorem danych, podczas gdy adresatem decyzji wydanych na podstawie art. 18 ust. 1 pkt 6 w zw. z art. 35 ust. 1 u.o.d.o. może być wyłącznie administrator danych, tj. [...] GIODO w żaden sposób nie ustosunkował się do zarzutów podniesionych we wniosku o ponowne rozpatrzenie sprawy z dnia [...] czerwca 2016 r. tj.: niezgodności wydanej decyzji z orzeczeniem TSUE i orzecznictwem europejskim, niewykonalnością decyzji, czy też zaniechaniem ustalenia statusu prawnego [...]. Organ nie rozważył czy [...] jest administratorem danych, ani nie poczynił nawet prób zebrania materiału dowodowego na ten temat, co doprowadziło do błędnego skierowania decyzji przez GIODO do skarżącego, a więc miało istotny wpływ na wynik sprawy. W ocenie skarżącej Spółki organ dopuścił się naruszenia przepisów postępowania, tj. art. 35 ust. 2 w zw. z ust. 1 u.o.d.o., poprzez wydanie decyzji wobec [...] pomimo braku wcześniejszych wniosków skierowanych przez R. G. do [...]. Pełnomocnik strony skarżącej podkreślił, że [...] nie administruje formularzem internetowym, za pomocą którego R.G. złożył wniosek, a ponadto to nie skarżąca Spółka była autorem odpowiedzi na jego żądanie, złożone na adres [...]. Oznaczenie nadawcy "Zespół [...]" odnosi się do [...]. GIODO w odpowiedzi na skargę wniósł o jej oddalenie, przedstawiając dotychczasowe ustalenia i zawarte w decyzji stanowisko. W dniu 8 maja 2017 r. do udziału w postępowaniu zgłosił się uczestnik postępowania R.G. wskazując, że zaskarżona decyzja chroni jego słuszne prawa [...] Sp. z o.o. w piśmie procesowym z dnia 29 grudnia 2017 r. podtrzymując skargę, na poparcie swojego stanowiska przedstawiła ekspertyzę sporządzoną przez Izbę Rzeczoznawców Polskiego Towarzystwa Informatycznego oraz poglądy prezentowane w doktrynie. Pełnomocnik wskazał, że ekspertyza potwierdza, iż [...] nie ma możliwości technicznych i organizacyjnych wprowadzania zmian w wynikach wyszukiwania wyszukiwarki [...]. Pismem z dnia 9 stycznia 201 8 r. [...] z siedzibą w [...], reprezentowana przez adwokata, wniosła do Wojewódzkiego Sądu Administracyjnego w Warszawie, na podstawie art. 33 § 2 ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2017 r., poz. 1369 ze zm.); zwanej dalej P.p.s.a., o dopuszczenie do udziału w postępowaniu sądowoadministracyjnym w charakterze uczestnika. Pełnomocnik wnioskodawcy wskazał, że postępowanie administracyjne zostało wszczęte w związku z wcześniejszym żądaniem skarżącego usunięcia wyników wyszukiwania, które było skierowane wobec [...], a nie [...]. R.G. wystąpił ze swoim żądaniem wobec [...] poprzez skorzystanie z formularzy udostępnianych na stronie internetowej przez [...]. Następnie żądanie to zostało rozpatrzone przez [...]. Skarżący nie składał żądań wobec [...] i nie kontaktował się w żaden inny sposób z tą spółką. Powołując się na powyższe oraz fakt, że [...]. jest usługodawcą wyszukiwarki [...] oraz administratorem danych R.G. przetwarzanych w wyszukiwarce internetowej [...] oraz wnosząc o dopuszczenie do udziału w postępowaniu sądowym, wnioskodawca wniósł jednocześnie o stwierdzenie nieważności zaskarżonej i poprzedzającej ją decyzji GIODO, ewentualnie uchylenie obu decyzji. Wnioskodawca podniósł, że obowiązki [...] jako administratora danych osobowych, w szczególności w stosunku do danych skarżącego, których dotyczy postępowanie, nie mogą być obecnie realizowane prawidłowo, wobec braku możliwości udziału [...] w postępowaniu prowadzonym przez GIODO, którego wynikiem są obowiązki odnoszące się do działalności [...]. Wojewódzki Sąd Administracyjny w Warszawie na rozprawie w dniu 16 stycznia 2018 r., na podstawie art. 33 § 2 P.p.s.a., postanowił dopuścić [...] z siedzibą w [...] do udziału w postępowaniu sądowoadministracyjnym w niniejszej sprawie w charakterze uczestnika. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: Na podstawie art. 13 § 2 P.p.s.a. do rozpoznania sprawy właściwy jest wojewódzki sąd administracyjny, na którego obszarze właściwości ma siedzibę organ administracji publicznej, którego działalność została zaskarżona. Natomiast zgodnie z treścią art. 1 § 1 i 2 ustawy z dnia 25 lipca 2002 r. – Prawo o ustroju sądów administracyjnych (Dz. U. Nr z 2016 r. poz. 1066 ze zm.) sąd administracyjny sprawuje wymiar sprawiedliwości poprzez kontrolę pod względem zgodności z prawem zaskarżonej decyzji administracyjnej i to z przepisami obowiązującymi w dacie jej wydania. Rozpoznawana pod tym względem skarga podlega uwzględnieniu. Kwestią o zasadniczym znaczeniu jest w tej sprawie w pierwszej kolejności ustalenie podmiotu, który jest administratorem danych osobowych R.G. pojawiających się w wynikach wyszukiwania na stronach internetowych, których to adresy URL podał w skardze do GIODO. Przepis art. 35 ust. 2 w zw. z art. 18 ust. 1 pkt 6 u.o.d.o. może być bowiem zastosowany wyłącznie wobec administratora danych, czyli podmiotu, który decyduje o celach i środkach przetwarzania danych osobowych (art. 7 pkt 4 u.o.d.o.). W tej sprawie skarżący wyraźnie w skardze do GIODO wskazał na nieprawidłowości w procesie przetwarzania jego danych osobowych przez [...] z siedzibą w [...]. Z akt postępowania administracyjnego wynika, że GIODO nie przeprowadził postępowania wyjaśniającego wobec tego podmiotu, choć z dołączonych do skargi korespondencji jednoznacznie wynikało, że R.G. właśnie do tego podmiotu, tj. [...] występował samodzielnie o usunięcie (zablokowanie) linków z jego danymi osobowymi, czyli podjął działania, o których jest mowa w art. 35 ust. 1 u.o.d.o. Ten podmiot, jak wynikało ze skargi R.G. z dnia [...] grudnia 2015 r. do GIODO, nie dopełnił obowiązku usunięcia jego danych. Zauważyć też należy, że wprawdzie skarżący wskazując, iż [...] działa w Polsce za pośrednictwem [...] Sp. z o.o., wniósł o nakazanie [...] Sp. z o.o. usunięcie jego danych, ale tak sformułowane żądanie w żadnym razie nie zwalniało organu ochrony danych osobowych z należytego przeprowadzenia postępowania, czyli wyjaśnienia wszystkich okoliczności faktycznych, które mogą mieć wpływ na wynik sprawy. Zarówno ze skargi R.G. do GIODO, jak i ze zgromadzonego materiału dowodowego wynika, że skarżący występował do [...] (poprzez skorzystanie z formularzy udostępnionych na stronie internetowej przez [...]) a nie do [...] Sp. z o.o. o usunięcie jego danych osobowych i to [...] rozpatrywało te wnioski (art. 35 ust. 1 u.o.d.o.). Przyznaje to zresztą sam GIODO w decyzji, albowiem wskazuje, że skarżący wystąpił z żądaniem z art. 35 ust. 1 u.o.d.o. na adres [...] administrowany przez [...]. Już powyższe świadczy o tym, że ocena organu co do zgromadzonego materiału dowodowego w zakresie ustalenia administratora danych jest oceną dowolną, a zatem naruszającą art. 80 K.p.a., co mogło mieć istotny wpływ na wynik sprawy. Nawet bowiem dotychczas zgromadzony przez organ materiał dowodowy nie został rozważony w sposób wszechstronny (art. 77 § 1 K.p.a.), co mogło mieć istotny wpływ na wynik sprawy. Z akt postępowania administracyjnego wynika zresztą, że [...] Sp. z o.o., do której GIODO wystąpił o wyjaśnienia, wprost wskazywała w piśmie z dnia [...] lutego 2016 r., że właścicielem, operatorem i usługodawcą systemu wyszukiwawczego [...] (wyszukiwarki internetowej), a także strony [...] oraz [...] jest [...] z siedzibą w [...], a nie [...] Sp. z o.o. Okoliczności te nie zostały przez organ rozważone, jak też nie została rozważona podnoszona przez Spółkę [...] okoliczność, że nie ma ona środków prawnych, technicznych, czy organizacyjnych pozwalających na kontrolę sposobu świadczenia usług wyszukiwania w sieci Internet przez spółkę [...] oraz nie jest dysponentem (m.in. właścicielem, posiadaczem) serwerów, z których korzysta oprogramowanie systemu wyszukiwawczego [...]. Nie rozważono też twierdzenia Spółki [...], że nie decyduje i nie współdecyduje ona o treści opisu strony internetowej, jaki jest wyświetlany w ramach wyników wyszukiwania. Z akt postępowania administracyjnego nie wynika, aby GIODO dokonał ustaleń weryfikujących te twierdzenia, a okoliczności te bezspornie mogły mieć wpływ na ustalenie podmiotu decydującego o celach i środkach przetwarzania danych osobowych skarżącego w aspekcie określonym przez niego w skardze do GIODO. Pomimo tych wszystkich przedstawionych przez [...] Sp. z o.o. okoliczności, organ pominął w postępowaniu udział [...], co stanowi naruszenie prawa określone w art. 145 § 1 pkt 4 K.p.a. W konsekwencji organ nie ustalił wszystkich okoliczności sprawy czym naruszył przepis art. 7 K.p.a., co mogło mieć istotny wpływ na jej wynik. Warto przy tym wskazać, że Trybunał Sprawiedliwości w wyroku z dnia [...] maja 2014 r. [...] stwierdził, że za administratora odpowiedzialnego za przetwarzanie danych w rozumieniu art. 2 lit. d dyrektywy 95/46/WE należy uznać operatora wyszukiwarki internetowej (pkt 41 uzasadnienia wyroku). Zarówno w zaskarżonej, jak i poprzedzającej ją decyzji GIODO nie wynika, dlaczego – w sytuacji, gdy GIODO nie kwestionuje, że operatorem wyszukiwarki internetowej jest [...] za administratora danych skarżącego uznany został podmiot, którego działalność opiera się na promocji i sprzedaży powierzchni reklamowych, tj. [...] Sp. z o.o. Organ nie powołał się w uzasadnieniu decyzji na żaden dowód w tym zakresie, a jednocześnie z akt postępowania administracyjnego nie wynika, aby w sprawie chodziło o przetwarzanie danych osoby, która zawarła umowę w przedmiocie usług reklamowych. Ponownie rozpatrując sprawę GIODO zwróci się o wyjaśnienia do [...] z siedzibą w [...] w zakresie przetwarzania danych osobowych R.G. w aspekcie podniesionym przez niego w skardze z dnia [...] grudnia 2015 r. Rozważając, który podmiot ([...] Sp. z o.o. czy [...]) jest administratorem danych osobowych skarżącego w zakresie przetwarzania zakwestionowanego przez niego w skardze do GIODO, organ dokona oceny, który z tych podmiotów decyduje o celach i środkach przetwarzania jego danych osobowych, a zatem który podmiot ma kontrolę nad tym, jakie dane wymienionego przetwarzane są (we wskazanym przez niego zakresie) w wyszukiwarce internetowej [...] i ma możliwość techniczną i organizacyjną usuwania danych osobowych wnioskodawcy (zablokowania wyników wyszukiwania), jak żądał tego R.G.. Zależnie od poczynionych ustaleń, GIODO przeprowadzi postępowanie co do zgodności z u.o.d.o. przetwarzania przez administratora danych, danych osobowych R.G. w zakresie kwestionowanym przez niego przed GIODO. W odniesieniu do podmiotu, który w ocenie GIODO nie jest administratorem danych skarżącego w zakresie kwestionowanym przez niego, organ umorzy postępowanie administracyjne, jako bezprzedmiotowe. Uzasadnienie decyzji winno spełniać wymogi z art. 107 § 3 K.p.a., a zatem powinno zawierać wskazanie faktów, które organ uznał za udowodnione, dowodów, na których się oparł oraz przyczyn, z powodu których innym dowodom odmówił wiarygodności i mocy dowodowej. Sąd zaznacza przy tym, że w sprawie tej nie ulega wątpliwości, iż przetwarzanie danych osobowych skarżącego w aspekcie wskazanym przez niego w skardze do GIODO podlega przepisom dyrektywy 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych oraz przepisom polskiej regulacji, tj. ustawy z dnia 29 sierpnia 1999 r. o ochronie danych osobowych. Trybunał Sprawiedliwości w wyroku z dnia [...] maja 2014 r. sygn. [...] jednoznacznie stwierdził, że art. 4 ust. 1 lit. a dyrektywy 95/46/WE należy interpretować w ten sposób, że przetwarzanie danych osobowych ma miejsce w ramach działalności prowadzonej przez administratora danych odpowiedzialnego za to przetwarzanie na terytorium danego państwa członkowskiego w rozumieniu tego przepisu, jeśli operator wyszukiwarki internetowej ustanawia w danym państwie członkowskim oddział lub spółkę zależną, których celem jest promocja i sprzedaż powierzchni reklamowych oferowanych za pośrednictwem tej wyszukiwarki, a działalność tego oddziału lub spółki zależnej jest skierowana do osób zamieszkujących to państwo. Ustalenie GIODO, że [...] (operator wyszukiwarki internetowej) ustanowił w RP spółkę zależną – [...] Sp. z o.o. (prowadzącą działalność reklamową oraz usługi marketingu reklam internetowych), pozwala przyjąć, że przetwarzanie danych osobowych odbywa się na terytorium RP. W świetle powyższego nie ma wątpliwości, że polski organ do spraw ochrony danych osobowych ma pełne możliwości przeprowadzenia postępowania wyjaśniającego wobec [...] z siedzibą w [...], a także badania zgodności z prawem przetwarzania danych osobowych R.G. w sytuacji uznania przez GIODO, że to ten podmiot decyduje o celach i środkach przetwarzania danych osobowych wnioskodawcy oraz stosowania środków prawnych określonych w u.o.d.o. mających na celu zapewnienie zgodności z prawem przetwarzania danych osobowych wnioskodawcy. W tym stanie sprawy, wobec konieczności przeprowadzenia przez organ postępowania administracyjnego w zasadniczym zakresie, z udziałem [...], Sąd nie znalazł podstaw do uwzględnienia najcięższych zarzutów skargi. W ocenie Sądu w sprawie tej nie zachodziły podstawy do stwierdzenia nieważności zaskarżonej i poprzedzającej ją decyzji. Okoliczność, że zdaniem skarżącej Spółki nie jest ona administratorem danych nie oznacza bowiem – przy odmiennej ocenie organu, która była zawarta w zaskarżonej decyzji – iż można przyjąć, że zaskarżona i poprzedzająca ją decyzja zostały skierowane do osoby niebędącej stroną w sprawie w rozumieniu przepisu art. 156 § 1 pkt 4 w zw. z art. 28 K.p.a. Wobec istotnych naruszeń w postępowaniu administracyjnym przepisów prawa procesowego, w tym pozbawienia [...] udziału w tym postępowaniu, zarzut dotyczący niewykonalności decyzji Sąd uznał za przedwczesny. Z tych względów Wojewódzki Sąd Administracyjny w Warszawie, na podstawie art. 145 § 1 pkt 1 lit. b i c P.p.s.a., orzekł jak w punkcie 1 wyroku. O zwrocie kosztów postępowania Sąd orzekł, jak w punkcie 2 wyroku, na podstawie art. 200 i art. 205 § 1 P.p.s.a. Do kosztów tych Sąd zaliczył uiszczony przez skarżącego wpis sądowy od skargi (200 zł), koszty zastępstwa procesowego (480 zł) oraz opłatę skarbową (17 zł). ----------------------- 13