II SA/Wa 562/19

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Agnieszka Góra-Błaszczykowska (spr.), Sędzia WSA Janusz Walawski, Asesor WSA Joanna Kruszewska – Grońska, Protokolant referent stażysta Magdalena Morawiec po rozpoznaniu na rozprawie w dniu 23 października 2019 r. w sprawie ze skargi Fundacji [...] z siedzibą w Z. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] stycznia 2019 r. nr [...] w przedmiocie nakazania usunięcia danych osobowych 1. uchyla zaskarżoną decyzję, 2. zasądza od Prezesa Urzędu Ochrony Danych Osobowych na rzecz skarżącej Fundacji [...] z siedzibą w Z. kwotę 697 (słownie: sześćset dziewięćdziesiąt siedem) złotych, tytułem zwrotu kosztów postępowania. Prezes Urzędu Ochrony Danych Osobowych decyzją z dnia [...] stycznia 2019r. nr [...] nakazał Fundacji [...] z siedzibą w Z., usunięcie danych osobowych J. K., udostępnionych w prowadzonym przez Fundację serwisie internetowym rejestr.io, dostępnym pod adresem https://rejestr.io/. Decyzja została wydana w następującym stanie faktycznym: Do Urzędu Ochrony Danych Osobowych wpłynęła skarga J. K. (dalej również jako uczestnik) na przetwarzanie jego danych osobowych przez Fundację [...] z siedzibą w Z.. Uczestnik wniósł o zastosowanie art. 58 ust. 2 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych, poprzez nakazanie usunięcia jego danych osobowych ze strony internetowej [...] i ograniczenie ich użytkowania w szczególności poprzez zakaz ich profilowania. J. K. wskazał, że bez podstawy prawnej przetwarzane są jego dane wrażliwe: poglądy polityczne, przekonania religijne i światopoglądowe; w związku z czym spotkały go bezpośrednie represje, straty finansowe, ucierpiało także jego dobre imię i reputacja. W toku postępowania administracyjnego Prezes UODO ustalił, że Fundacja [...] jest podmiotem, którego celem działania jest wspomaganie rozwoju demokracji poprzez upowszechnianie praw obywatela w zakresie dostępu do informacji publicznej. Fundacja realizuje swoje cele poprzez budowanie narzędzi informatycznych, programistycznych i technologicznych, wspierających zaangażowanie obywateli w sprawy publiczne, podejmowanie działań w zakresie ustanawiania i promowania standardów i dobrych praktyk w zakresie dostępu i ponownego wykorzystania informacji z sektora publicznego. Fundacja przetwarza dane osobowe J. K. jako członka organów stowarzyszenia "[...] w likwidacji", "Fundacji [...]" i Stowarzyszenia "M.". Fundacja pozyskała dane osobowe skarżącego w dniu [...] lipca 2013r. ze strony internetowej Ministerstwa Sprawiedliwości, ujawnionych w Krajowym Rejestrze Sądowym. Zakres pozyskanych przez Fundację danych osobowych objął: imiona, nazwisko, numer ewidencyjny PESEL, funkcje pełnione w organach ww. podmiotów oraz informacje o uczestnictwie w komitecie założycielskim pierwszego z ww. stowarzyszeń. Zakres danych tożsamy był z zakresem danych osobowych J. K., ujawnionych w KRS; dane te są przetwarzane w ramach serwisu rejestr.io (dawniej [...]). Pismem z dnia [...] maja 2018r. J. K. zwrócił się do Fundacji z żądaniem usunięcia swoich danych osobowych ze strony internetowej https://[...]/dane/krs_osoby/. Następnie w piśmie z dnia [...] czerwca 2018r., powołując się na art. 21 ust. 1 i 2 RODO wskazał, że w związku tym, iż pełni funkcje non profit w ww. podmiotach, dotknęły go represje w postaci ostracyzmu społecznego. Nadmienił, że przygotowuje pozwy, broniące dobrego imienia tych podmiotów. Fundacja w piśmie z dnia [...] czerwca 2018r. wyjaśniła, że w sprawie nie zachodzi szczególna sytuacja, która mogłaby skutkować uwzględnieniem sprzeciwu i zaprzestaniem przetwarzania danych osobowych uczestnika, istnieje natomiast nadrzędny interes w udostępnianiu jego danych. Przetwarzanie jest realizowane na warunkach określonych w art. 9 ust. 2 lit e) RODO. Informacje dotyczą bowiem pełnienia funkcji w podmiotach wpisanych do KRS. Dane te zostały podane do publicznej wiadomości do nieograniczonej liczby osób, poprzez ich ujawnienie w Krajowym Rejestrze Sądowym. Fundacja zaznaczyła, że objęcie funkcji oraz upublicznienie danych w tym zakresie w Krajowym Rejestrze Sądowym wymagało zgody J. K., zatem do upublicznienia jego danych doszło przez jego własne działanie, polegające na przyjęciu funkcji w Stowarzyszeniach i Fundacji. W uzasadnieniu decyzji z dnia [...] stycznia 2019r. Prezes Urzędu Ochrony Danych Osobowych stwierdził, że ustawa z dnia 20 sierpnia 1997r. o Krajowym Rejestrze Sądowym (Dz. U. z 2018 r., poz. 986 ze zm., dalej jako ustawa o KRS), wprowadza w art. 8 zasadę jawności formalnej Krajowego Rejestru Sądowego. Fundacja [...] gromadzi zbiory danych powszechnie dostępnych i udostępnia je obywatelom w ramach serwisów internetowych. Realizacja celów sprowadza się do pozyskiwania danych osobowych, pochodzących z powszechnie dostępnych źródeł (KRS/Monitor) i publikowania ich w w.w. serwisie. Zgodnie z art. 2 ust. 1 ustawy z dnia 25 lutego 2016r. o ponownym wykorzystywaniu informacji sektora publicznego (Dz. U. 2018 r., poz. 1243 ze zm., dalej jako u.p.w.i.s.p.) przez informację sektora publicznego należy rozumieć każdą treść lub jej część, niezależnie od sposobu utrwalenia, w szczególności w postaci papierowej, elektronicznej, dźwiękowej, wizualnej lub audiowizualnej, będącą w posiadaniu podmiotów, o których mowa w art. 3. Wymieniona ustawa definiuje zarazem ponowne wykorzystywanie jako wykorzystywanie przez osoby fizyczne, osoby prawne i jednostki organizacyjne nieposiadające osobowości prawnej, zwane "użytkownikami", informacji sektora publicznego, w celach komercyjnych lub niekomercyjnych innych niż pierwotny publiczny cel, dla którego informacja została wytworzona (art. 2 ust. 2). Ustawa statuuje przysługujące każdemu prawo do ponownego wykorzystywania informacji sektora publicznego, udostępnionych w systemie teleinformatycznym, a w szczególności na stronie podmiotowej Biuletynu Informacji Publicznej podmiotu zobowiązanego lub w centralnym repozytorium informacji publicznej, o którym mowa w art. 9a ustawy z dnia 6 września 2001 r. o dostępie do informacji publicznej (Dz. U. z 2018 r. poz. 1330 ze zm.), lub w inny sposób (art. 5 pkt 1 ustawy o ponownym wykorzystywaniu informacji sektora publicznego). Zdaniem Prezesa UODO w niniejszej sprawie istotnym jest, że publikowane informacje o uczestnictwie J. K. w strukturach określonych organizacji - z uwagi na ujawniony w KRS przedmiot ich działalności - niosą za sobą określony przekaz odnośnie jego poglądów politycznych, wyznania oraz światopoglądu. W Rubryce 3 Działu 3 KRS nr [...] w odniesieniu do stowarzyszenia "[...] w likwidacji" dokonano wpisu na temat celu działania cyt.: "rozpowszechnianie liturgii trydenckiej oraz doktryny katolickiej wśród mieszkańców obszaru działania, działania modlitewne, prawne oraz medialne mające na celu obronę kościoła, jego symboli, jak również obronę jego pasterzy i świętych oraz wyznawanych przez niego wartości". W tej samej części KRS nr [...] w odniesieniu do "Fundacji [...]" wpisano: "działanie na rzecz ochrony dóbr kultury i tradycji". W KRS nr [...] w odniesieniu do stowarzyszenia "M." wpisano "podtrzymywanie i upowszechnianie tradycji narodowej, pielęgnowanie polskości oraz rozwoju świadomości narodowej, obywatelskiej i kulturowej, działalność na rzecz rodziny, macierzyństwa, rodzicielstwa". Fakt pełnienia w ww. organizacjach istotnych funkcji oznacza, zdaniem organu, znaczące zaangażowanie J. K. w ich działalność. Uczestnictwo J. K. w ww. organizacjach stanowi doniosły komunikat na temat jego przekonań politycznych i religijnych, światopoglądu, rozumianego jako zestaw poglądów na świat i życie, wpływający na zachowanie. Prezes UODO nie podzielił stanowiska Fundacji [...], iż jej działania znajdują prawne uzasadnienie w art. 9 ust. 2 lit e) RODO. Przepis ten, zdaniem organu, wymaga, aby fakt upublicznienia przez osobę, której dane dotyczą, był oczywisty, co rozumieć można w ten sposób, aby nie istniały wątpliwości co do tego, że ten właśnie podmiot danych podał do publicznej wiadomości informacje na swój temat. J. K., decydując się na uczestnictwo w podmiotach, podlegających wpisowi do KRS, miał świadomość konsekwencji, polegających na ujawnieniu informacji na jego temat w KRS, ale według Prezesa UODO nie jest to jednak tożsame z oczywistym i bezpośrednim upublicznieniem przez niego tych danych, wiążącym się zarazem z rezygnacją z ochrony jego prywatności w obszarze danych szczególnie chronionych. J. K., decydując się na uczestnictwo w organach stowarzyszeń, musiał liczyć się z konsekwencjami sprowadzającymi się do ujawnienia jego danych w KRS - a zatem konsekwencjami polegającymi na upublicznieniu tych danych w ściśle określonym publikatorze, w trybie i na zasadach określających jego funkcjonowanie. Takiego stanu rzeczy nie można –według organu- utożsamiać z upublicznieniem danych generalnie, w dowolny sposób, połączonym z rezygnacją z ochrony prywatności w obszarze tych danych przetwarzanych poza KRS. W niniejszej sprawie, zdaniem Prezesa UODO, nie została spełniona żadna z pozostałych przesłanek wymienionych w art. 9 ust. 2 RODO, która - jako wyjątek od zasady przewidzianej w art. 9 ust. 1 RODO - stanowiłaby prawne uzasadnienie dla kwestionowanego publikowania danych osobowych. W ocenie Prezesa UODO, działania Fundacji realizowane są bez podstawy prawnej z art. 9 ust. 2 RODO, dlatego zasadne było żądanie J. K., dotyczące nakazania Fundacji usunięcia jego danych ze strony internetowej. Fundacja [...] wniosła do Wojewódzkiego Sądu Administracyjnego w Warszawie skargę na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] stycznia 2019r. nr [...] Wskazanej decyzji Fundacja zarzuciła naruszenie przepisów prawa materialnego: 1) art. 9 ust. 2 lit. e) rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz.U.UE.L.2016.119.1) poprzez jego błędną wykładnię polegającą na uznaniu, że przyjęcie funkcji w podmiotach podlegających wpisowi do Krajowego Rejestru Sądowego przez J. K., powodujące upublicznienie jego danych osobowych w Krajowym Rejestrze Sądowym, nie jest równoznaczne z sytuacją, w której dane osobowe zostały w sposób oczywisty upublicznione przez osobę, której dane dotyczą - co doprowadziło do nieuzasadnionego przyjęcia, że Fundacja przetwarza dane osobowe bez podstawy prawnej, podczas gdy art. 9 ust. 2 lit. e) RODO stanowi prawne uzasadnienie przetwarzania przez Fundację danych osobowych uczestnika; 2) art. 9 ust. 1 RODO poprzez jego zastosowanie i przyjęcie, że Fundacja przetwarzając dane osobowe J.a K.a, pozyskane z KRS na potrzeby prowadzenia serwisu internetowego rejestr.io, naruszyła generalny zakaz przetwarzania danych osobowych, które mogą być uznane za wrażliwe, podczas gdy podstawą prawną przetwarzania tych danych jest art. 9 ust. 2 lit. e) RODO. 3) art. 5 ust. 1 lit. a) RODO poprzez jego zastosowanie i przyjęcie, że Fundacja narusza obowiązek spoczywający na administratorze danych na podstawie tego przepisu tj. obowiązek zagwarantowania, aby dane osobowe były przetwarzane zgodnie z prawem - podczas gdy w sprawie została spełniona przesłanka określona w art. 9 ust. 2 lit. e) RODO, a w konsekwencji zaistniała podstawa dopuszczalności przetwarzania przez Fundację danych osobowych J. K., będących przedmiotem sprawy. 4) art. 58 ust. 2 lit. c) RODO poprzez jego zastosowanie i nakazanie Fundacji spełnienia żądania J. K. w przedmiocie usunięcia jego danych osobowych, udostępnionych w serwisie internetowym rejestr.io. Skarżąca Fundacja wniosła o uchylenie w całości zaskarżonej decyzji Prezesa Urzędu Ochrony Danych Osobowych oraz zasądzenie zwrotu kosztów postępowania. W uzasadnieniu szczegółowo uargumentowała swoje zarzuty. W odpowiedzi na skargę organ wniósł o jej oddalenie oraz podtrzymał twierdzenia, zawarte w uzasadnieniu zaskarżonej decyzji. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: Skarga musiała zostać uwzględniona, jej zarzuty są w pełni uzasadnione. Odnosząc się kolejno do każdego z zarzutów skargi należy stwierdzić, co następuje: Uzasadniony jest zarzut naruszenia przez organ art. 9 ust. 2 lit. e) rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz.U.UE.L.2016.119.1). Zdaniem Sądu jest oczywiste i nie wymagające rozbudowanych rozważań, że przyjęcie funkcji w podmiotach podlegających wpisowi do Krajowego Rejestru Sądowego, oznacza wyrażenie zgody na upublicznienie tych danych, z uwagi na jawność KRS i ogólną dostępność do jego treści. Jeżeli nawet J. K. nie miał świadomości publiczności i jawności danych, zawartych w KRS, to niestety nie może się skutecznie na tę niewiedzę powoływać, gdyż zgodnie z łacińską paremią "nieznajomość prawa szkodzi". Przepis art. 8 ustawy o Krajowym Rejestrze Sądowym stanowi wprost, że Rejestr jest jawny (ust. 1), każdy ma prawo dostępu do danych zawartych w Rejestrze za pośrednictwem Centralnej Informacji (ust. 2) oraz, że każdy ma prawo otrzymać, również drogą elektroniczną, poświadczone odpisy, wyciągi, zaświadczenia i informacje z Rejestru (ust. 3). Imiona, nazwiska i numery PESEL osób fizycznych, wchodzących w skład organów, uprawnionych do reprezentowania stowarzyszeń i fundacji, a także osób wchodzących w skład komitetu założycielskiego stowarzyszenia, podlegają wpisowi do rejestru stowarzyszeń, innych organizacji społecznych i zawodowych, fundacji oraz samodzielnych publicznych zakładów opieki zdrowotnej na mocy art. 49 ust. 1 oraz art. 52 ust. 1 w zw. z art. 39 pkt 1 i art. 35 pkt 1 ustawy o KRS. Konsekwencją jawności KRS jest możliwość wykorzystywania zawartych w nim danych przez inne podmioty- a w sprawie niniejszej- przez skarżącą Fundację. Każda osoba, pełniąca funkcje w podmiotach, podlegających wpisowi do KRS, musi liczyć się z ich wykorzystywaniem przez użytkowników/odbiorców KRS. Jak trafnie zauważyła Fundacja, podstawą prawną jej działania w tym zakresie jest art. 9 ust. 2 lit. e) RODO. Z tej samej przyczyny uzasadniony jest zarzut 2) skargi. Z uwagi na treść art. 9 ust. 1 RODO, Fundacja, przetwarzając dane osobowe J. K., pozyskane z KRS, na potrzeby prowadzenia serwisu internetowego rejestr.io, nie naruszyła zakazu przetwarzania danych osobowych. W sprawie nie doszło również do naruszenia art. 5 ust. 1 lit. a) RODO. Sąd podziela stanowisko, iż Fundacja przetwarza dane osobowe uczestnika zgodnie z prawem. Podstawą ich przetwarzania był bowiem art. 9 ust. 2 lit. e) RODO, a w konsekwencji zaistniała podstawa do przetwarzania przez Fundację danych osobowych J. K., będących przedmiotem sprawy. Z zupełnie niezrozumiałych dla Sądu przyczyn, w opisanym stanie faktycznym i prawnym, organ zastosował art. 58 ust. 2 lit. c) RODO i nakazał Fundacji usunięcie danych osobowych J. K., udostępnionych w serwisie internetowym rejestr.io. Skoro bowiem dane te zostały udostępnione przez samego uczestnika postępowania, poprzez wyrażenie zgody na objęcie stanowisk w organach w.w. Stowarzyszeń i Fundacji, a w polskim porządku prawnym dane, zawarte w KRS są jawne, organ nie może zabronić ich wykorzystywania przez podmioty, które z tegoż KRS korzystają. Podkreślenia wymaga, że Fundacja pozyskała dane osobowe J. K. wyłącznie ze strony internetowej prowadzonej dla Krajowego Rejestru Sądowego. Zakres danych osobowych pozyskanych przez Fundację był tożsamy z zakresem danych udostępnianych w Krajowym Rejestrze Sądowym i obejmował: imiona, nazwisko, numer PESEL oraz funkcje w organach podmiotów ujawnionych w KRS (tj. w Stowarzyszeniu [...]w likwidacji - członek organu nadzoru i komitetu założycielskiego, w Fundacji [...] - członek organu nadzoru, oraz w Stowarzyszeniu M. - członek organu nadzoru). Do upublicznienia danych osobowych doszło nie przez działanie Fundacji, ale przez działanie osoby, której dane dotyczą. J. K., wyrażając zgodę na pełnienie funkcji w ramach w.w. organizacji, zgodził się na upublicznienie swych danych w KRS. W polskim systemie prawnym nie ma możliwości formalnego pełnienia funkcji w ramach stowarzyszenia czy fundacji bez upublicznienia danych osobowych osoby, mającej pełnić te funkcje. Ustawodawca za pomocą wskazanych wyżej regulacji przesądził o konieczności upublicznienia danych osobowych w ww. zakresie, w stosunku do osób decydujących się na działalność w sferze publicznej, w ramach struktury organizacji. Dlatego J. K., jako osoba figurująca w KRS w strukturach kilku organizacji pozarządowych, poprzez przystąpienie do organów ww. stowarzyszeń czy fundacji, sam upublicznił dane na swój temat w Krajowym Rejestrze Sądowym. Podjęcie aktywności w strukturze podmiotu podlegającemu wpisowi do KRS jest ściśle związane z decyzją o ograniczeniu w pewnym stopniu prywatności - w związku z działalnością w sferze publicznej oraz przez wzgląd na wzmocnienie bezpieczeństwa obrotu gospodarczego. Aktywność w stowarzyszeniach i fundacji jest również nierozerwalnie związana z możliwością publicznej oceny funkcjonowania podmiotu działającego w ramach obrotu, jak również oceny jej członków. Sąd podziela stanowisko, że w opisanej sytuacji brak jest podstaw do usunięcia danych osobowych J. K. ze strony internetowej https://[...]/dane/krs_osoby/. O możliwości przetwarzania danych ujawnionych w KRS poza Rejestrem co do zasady przesądza instytucja ponownego wykorzystywania informacji sektora publicznego (art. 5 ust. 1 w zw. z art. 2 u.p.w.i.s.p.). Zgodnie z art. 7 ust. 2 u.p.w.i.s.p. przepisy tej ustawy nie naruszają przepisów o ochronie danych osobowych; są to- jak zasadnie zauważa skarżąca- dwie równorzędne regulacje, podlegające współstosowaniu. Zatem Fundacja nie naruszyła obowiązku, spoczywającego na administratorze danych na podstawie art. 5 ust. 1 lit. a) RODO i przetwarzała dane J. K. zgodnie z prawem, uwzględniając przepisy zawarte w RODO, przepisy u.p.w.i.s.p. jak również regulacje zawarte w ustawie o KRS. W konsekwencji zasadny okazał się również zarzut naruszenia przez organ art. 58 ust. 2 lit. c) RODO. W okolicznościach niniejszej sprawy nie było bowiem podstaw do zastosowania ww. przepisu i nakazania usunięcia udostępnionych danych osobowych. Fundacja działała na podstawie przepisów prawa, pozwalających na przetwarzanie danych osobowych J. K., ujawnionych w KRS. Mając powyżej poczynione rozważania na uwadze, Sąd orzekł jak w sentencji na podstawie art. 145 § 1 pkt 1) lit a) p.p.s.a. O kosztach orzeczono na podstawie art. 200 i 205 p.p.s.a.