II SA/Wa 788/17

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Maria Werpachowska (spr.), Sędziowie WSA Stanisław Marek Pietras, Adam Lipiński, Protokolant specjalista Sylwia Mikuła, po rozpoznaniu na rozprawie w dniu 26 stycznia 2018 r. sprawy ze skargi J.B. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] marca 2017 r. nr [...] w przedmiocie umorzenia postępowania - oddala skargę - Do Biura Generalnego Inspektora Ochrony Danych Osobowych wpłynęła skarga z dnia 20 listopada 2015 r. J. B., reprezentowanego przez radcę prawnego, zawierająca wniosek o nakazanie udostępnienia przez [...] Polska S.A. danych osobowych i adresowych użytkowników, którzy w dniu [...] grudnia 2010 r. o godz. 09:57 z komputera o numerze IP [...]* posługując się nickiem "[...]", oraz w dniu [...] grudnia 2010 r. o godz. 18:26 z komputera o numerze IP [...]* posługując się nickiem "[...]", dokonali wpisów o treści naruszającej dobra osobiste J. B. W treści skargi skarżący wskazał, że dane te są niezbędne w celu wytoczenia powództwa o ochronę dóbr osobistych. W toku postępowania prowadzonego w niniejszej sprawie Generalny Inspektor Ochrony Danych Osobowych ustalił, że pełnomocnik skarżącego pismem z dnia [...] czerwca 2015 r. zwrócił się do Spółki z wnioskiem o udostępnienie danych osobowych osób o adresach IP: [...] oraz [...], wskazując, że dane te są niezbędne do wytoczenia powództwa o ochronę dóbr osobistych. W odpowiedzi z [...] czerwca 2015 r. Spółka wskazała, że dane, których ujawnienia żąda wnioskodawca stanowią tajemnicę telekomunikacyjną, do której przestrzegania zobowiązany jest operator i w tym przypadku nie istnieją podstawy prawne usprawiedliwiające zwolnienie [...] Polska z obowiązku dochowania tajemnicy telekomunikacyjnej w żądanym zakresie. W piśmie z dnia [...] maja 2016 r. Spółka oświadczyła, że ustalenie danych użytkowników wskazanych wyżej nr IP jest niemożliwe, bowiem zgodnie z obowiązującymi przepisami art. 180a ust. 1 pkt 1 ustawy Prawo Telekomunikacyjne operator ma prawo zatrzymać i przechowywać dane transmisyjne dotyczące użytkowników końcowych przez okres 12 miesięcy. W tym stanie faktycznym Generalny Inspektor Ochrony Danych Osobowych decyzją z dnia [...] października 2016 r. nr [...], na podstawie art. 105 § 1 ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego (tekst jedn. Dz. U. z 2016 r., poz. 23 z późn. zm.) – dalej "k.p.a." umorzył postępowanie. Pismem z dnia [...] października 2016 r. pełnomocnik skarżącego złożył wniosek o ponowne rozpatrzenie sprawy zakończonej ww. decyzją, zarzucając naruszenie art. 77 k.p.a. oraz 80 k.p.a.. Zdaniem pełnomocnika skarżącego w sprawie nie poczyniono ustaleń zmierzających do wszechstronnego i całościowego rozpatrzenia materiału dowodowego w zakresie przetwarzania przez spółkę danych, o których udostępnienie wnosił. Generalny Inspektor Ochrony Danych Osobowych decyzją z dnia [...] marca 2017 r. nr [...], na podstawie art. 138 § 1 pkt 1 k.p.a., art. 12 pkt 2, art. 22, ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r., poz. 922), dalej "u.o.d.o." utrzymał w mocy własną decyzję z dnia [...] października 2017 r. nr [...]. Organ stwierdził, że rozstrzygnięcie zawarte w zaskarżonej decyzji z [...] października 2016 r. jest prawidłowe, a okoliczności podniesione we wniosku o ponowne rozpatrzenie sprawy nie uzasadniają jego zmiany. Odnosząc się do zarzutu wydania zaskarżonej decyzji z naruszeniem art. 77 § 1 k.p.a. w związku z art. 80 k.p.a. wskazał, że w ocenie organu jest on niezasadny. Zaznaczył, że podstawą rozstrzygnięcia sprawy było uznanie przez Generalnego Inspektora za udowodniony fakt, że Spółka nie przetwarza danych osobowych żądanych przez skarżącego. Generalny Inspektor podał, że w trakcie postępowania podjął czynności mające na celu ustalenie stanu faktycznego sprawy występując do spółki pismem z dnia [...] maja 2016 r. m.in. o poinformowanie czy Spółka przetwarza dane osobowe użytkowników adresów IP: [...] (host: [...]), IP: [...] oraz IP: [...], którzy posługując się nickiem "[...]" i "[...]", dokonali wpisów o treści naruszającej dobra osobiste J. B. W odpowiedzi Spółka wskazała, że ustalenie danych użytkowników wskazanych wyżej nr IP (ze wskazaną specyfikacją czasową) jest niemożliwe. Zgodnie z obowiązującymi przepisami art. 180a ust. 1 ustawy Prawo Telekomunikacyjne z dnia 16 lipca 2004 r. ( Dz. U. Nr 171, poz. 1800, z późn. zm.) operator ma prawo zatrzymywać i przechowywać dane transmisyjne dotyczące użytkowników końcowych przez okres 12 miesięcy. W związku z powyższym Spółka posiada możliwość wykonywania ustaleń dotyczących aktywności użytkowników końcowych w sieci telekomunikacyjnej, za dowolny okres zawierający się w przedziale czasowym 12 miesięcy wstecz licząc od dnia dokonania ustaleń. W ocenie Generalnego Inspektora będące dowodem w sprawie wyjaśnienia Spółki są wystarczające do ustalenia stanu faktycznego sprawy, jak również są wiarygodne, spójne i nie budzą wątpliwości. Jednocześnie organ wskazał, że pełnomocnik skarżącego zarówno przed wydaniem zaskarżonej decyzji, jak i we wniosku o ponowne rozpatrzenie sprawy nie przedstawił dowodów świadczących o przetwarzaniu przez Spółkę kwestionowanych danych osobowych. Wobec powyższego, Generalny Inspektor Ochrony Danych Osobowych, po ponownej analizie okoliczności zaistniałych w sprawie, stwierdził, że brak jest podstaw uwzględnienia żądania skarżącego w zakresie wskazanym przez niego we wniosku o ponowne rozpatrzenie sprawy. Organ podtrzymał zatem zajęte w decyzji z [...] października 2016 r. stanowisko, że niniejsze postępowanie należy umorzyć jako bezprzedmiotowe. Decyzja Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] marca 2017 r. stała się przedmiotem skargi J. B., reprezentowanego przez radcę prawnego, do Wojewódzkiego Sądu Administracyjnego w Warszawie. Zaskarżonej decyzji zarzucił naruszenie przepisów postępowania tj. art. 7, 77 § 1, 80 k.p.a. polegające na braku wszechstronnej oceny materiału dowodowego, a także braku podjęcia przez Generalnego Inspektora wszelkich czynności niezbędnych do wyjaśnienia sprawy i w konsekwencji wydanie rozstrzygnięcia jedynie w oparciu o oświadczenie złożone przez uczestnika [...] Polska S.A. oraz naruszenie przepisów postępowania tj. art. 138 § 1 pkt 1 k.p.a. polegające na utrzymaniu w mocy zaskarżonej decyzji, podczas gdy organ nie rozpoznał istoty sprawy co winno skutkować uchyleniem zaskarżonej decyzji i przekazaniem jej do ponownego rozpoznania, względnie uchylenie i zmianę. Jednocześnie wniósł o wyeliminowanie z obrotu prawnego zaskarżonej decyzji z [...] marca 2017 r. oraz poprzedzającej ją decyzji z [...] października 2017 r. i zasądzenie kosztów postępowania według norm przepisanych. W uzasadnieniu wskazał, że organ nie przeprowadził żadnego postępowania dowodowego mimo tak długotrwale i przewlekle prowadzonej sprawy. Pominął w swoich rozważaniach brzmienie art. 165 ust. 2 pkt 1-2 ustawy Prawo telekomunikacyjne, z którego wynika, że operator telekomunikacyjny może przetwarzać dane osobowe dłużej niż 12 miesięcy (art. 180a ust. 1 pr. telekomunikacyjnego). Okoliczności tej w ogóle nie ustalono, a oparto się jedynie na oświadczeniu [...] Polska S.A., które to oświadczenie sprowadza się w istocie do przytoczenia brzmienia art. 180a ust. 1 Prawa telekomunikacyjnego. Także sposób przeprowadzonego postępowania oraz intensywność podejmowanych przez organ czynności wskazują, w ocenie skarżącego, na naruszenie art. 7, 77, 80 k.p.a. W odpowiedzi na skargę Generalny Inspektor Ochrony Danych Osobowych wniósł o jej oddalenie, podtrzymując argumentację zawartą w zaskarżonej decyzji. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje. Zgodnie art. 1 § 1 i 2 ustawy z dnia 25 lipca 2002 r. – Prawo o ustroju sądów administracyjnych (Dz. U. z 2016 r., poz.1066), sąd administracyjny sprawuje wymiar sprawiedliwości poprzez kontrolę pod względem zgodności z prawem zaskarżonego aktu administracyjnego i to z przepisami obowiązującymi w dacie jego wydania. W świetle powyżej określonych kryteriów skarga podlega oddaleniu, gdyż zaskarżona decyzja Generalnego Inspektora Ochrony Danych Osobowych odpowiada prawu. Na wstępie należy wskazać, że podstawę prawną zaskarżonych decyzji stanowi art. 105 § 1 k.p.a. Zgodnie z tym przepisem organ administracji wydaje decyzję o umorzeniu, gdy postępowanie z jakiejkolwiek przyczyny stało się bezprzedmiotowe. Bezprzedmiotowość postępowania oznacza, że brak jest któregoś z elementów materialnego stosunku prawnego, a wobec tego nie można wydać decyzji załatwiającej sprawę przez rozstrzygnięcie jej co do istoty. Stosownie natomiast do art. 18 ust. 1 u.o.d.o. w przypadku naruszenia przepisów o ochronie danych osobowych Generalny Inspektor z urzędu lub na wniosek osoby zainteresowanej, w drodze decyzji administracyjnej, nakazuje przywrócenie stanu zgodnego z prawem, a w szczególności: 1) usunięcie uchybień, 2) uzupełnienie, uaktualnienie, sprostowanie, udostępnienie lub nieudostępnienie danych osobowych, 3) zastosowanie dodatkowych środków zabezpieczających zgromadzone dane osobowe, 4) wstrzymanie przekazywania danych osobowych do państwa trzeciego, 5) zabezpieczenie danych lub przekazanie ich innym podmiotom, 6) usunięcie danych osobowych. Powyższe oznacza, że aby mogło dojść do wydania decyzji merytorycznej na podstawie wskazanego przepisu, dane osobowe i adresowe muszą znajdować się w posiadaniu podmiotu, którego wniosek ten dotyczy. Decyzja nakazująca udostępnienie takich danych osobowych nie może zostać wydana w sytuacji, gdy organ stwierdzi, że dane osobowe w postaci osób, które posługując się nickiem: "[...]" w dniu [...] grudnia 2010 r. o godz. 9.57 z komputera o numerze IP [...]* oraz nickiem: "[...]" w dniu [...] grudnia 2010 r. o godz. 18.26 z komputera o numerze IP [...]*, które zamieściły obraźliwe wpisy dotyczące skarżącego nie są przetwarzane przez Spółkę. Przepis art. 6 ust. 1 u.o.d.o. stanowi, iż w rozumieniu ustawy za dane osobowe uważa się wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej. Osobą możliwą do zidentyfikowania jest osoba, której tożsamość można określić bezpośrednio lub pośrednio, w szczególności przez powołanie się na numer identyfikacyjny albo jeden lub kilka specyficznych czynników określających jej cechy fizyczne, fizjologiczne, umysłowe, ekonomiczne, kulturowe lub społeczne (ust. 2). Informacji nie uważa się za umożliwiającą określenie tożsamości osoby, jeżeli wymagałoby to nadmiernych kosztów, czasu lub działań (ust 3). Jak podkreśla się w piśmiennictwie, informacja wtedy "dotyczy osoby fizycznej" gdy przekazuje (komunikuje) coś na jej temat. Chodzi zatem o informację, która daje się powiązać z osobą lub powoduje, że możliwe jest jej odniesienie do konkretnej osoby fizycznej - zidentyfikowanej lub możliwej do zidentyfikowania, przy czym identyfikacja odbywa się na podstawie całokształtu posiadanych informacji. O tym, czy określona informacja ma charakter danych osobowych, czy też nie, decyduje jej przydatność do ustalenia tożsamości osoby, której ta informacja dotyczy (A. Szewc, Z problematyki, cz. III, s. 24 [w:] P. Barta, P. Litwiński, Ustawa o ochronie danych osobowych. Komentarz, 4 wydanie C.H. Beck, 2016). Powyższe stanowisko aprobuje również orzecznictwo, gdzie wskazuje się, że jeżeli komunikat można powiązać z konkretną osobą fizyczną, wówczas jego treść należy uznać za dane osobowe (por. wyrok Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 8 marca 2016 r., sygn. akt II SA/Wa 1487/15, publ. https://orzeczenia.nsa.gov.pl). Warto również powołać pogląd wyrażony przez Naczelny Sąd Administracyjny w wyroku z dnia 18 listopada 2009 r. sygn. akt I OSK 667/09 (publ. j.w.), zgodnie z którym pojęcie "dane osobowe" na gruncie prawa polskiego obejmuje wszelkie informacje dotyczące osoby fizycznej, jeśli możliwe jest określenie jej tożsamości i zidentyfikowanie. Dane osobowe to zespół wiadomości (komunikatów) o konkretnym człowieku na tyle zintegrowany, że pozwala na jego zindywidualizowanie. Obejmuje co najmniej informacje niezbędne do identyfikacji (imię, nazwisko, miejsce zamieszkania), jednakże do tego się nie ogranicza, bowiem mieszczą się w nim również dalsze informacje, wzmacniające stopień identyfikacji. Stosownie do treści art. 7 pkt 2 u.o.d.o., przez przetwarzanie danych osobowych rozumie się jakiekolwiek operacje wykonywane na danych osobowych, takie jak zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie, a zwłaszcza te, które wykonuje się w systemach informatycznych. Przesłanką wydania nakazu jest zatem stwierdzenie naruszenia przepisów o ochronie danych osobowych, tj. z zebranego w postępowaniu materiału dowodowego musi wynikać, że swoim działaniem lub zaniechaniem administrator naruszył przepisy prawa. Co ważne, stwierdzony przez organ stan naruszenia przepisów o ochronie danych osobowych powinien istnieć w dacie wydania decyzji. Przewidziana zaś w art. 18 ust. 1 pkt 2 u.o.d.o. sankcja w postaci nakazania udostępnienia danych obejmuje czynności przywracające stan zgodny z prawem, inne niż wymienione w pozostałych punktach tego przepisu. Przenosząc powyższe rozważania na stan faktyczny rozpoznawanej sprawy należy uznać, że organ zasadnie dopatrzył się przesłanki bezprzedmiotowości postępowania zainicjowanego wnioskiem skarżącego z dnia [...] listopada 2015 r., dotyczącym nakazania przez Generalnego Inspektora Ochrony Danych Osobowych [...] Polska S.A. udostępnienia danych osobowych i adresowych wskazanych wyżej użytkowników. W niniejszej sprawie jak wynika z oświadczenia [...] Polska S.A. z siedzibą w [...] z dnia [...] maja 2016 r., ustalenie danych użytkowników wskazanych wyżej IP jest niemożliwe, bowiem zgodnie z art. 180a ust. 1 pkt 1 ustawy Prawo Telekomunikacyjne operator ma prawo zatrzymać i przechowywać dane transmisyjne dotyczące użytkowników końcowych przez okres 12 miesięcy. Zgodnie z treścią art. 180a ust. 1 pkt. 1 ustawy z dnia 16 lipca 2004 r. Prawo Telekomunikacyjne (Dz. U. Nr 171, poz.1800, ze zm.) operator publicznej sieci telekomunikacyjnej oraz dostawca publicznie dostępnych usług telekomunikacyjnych są obowiązani na własny koszy: zatrzymywać i przechowywać dane, o których mowa w art. 180 c, generowane w sieci telekomunikacyjnej lub przez nich przetwarzane, na terytorium Rzeczypospolitej Polskiej, przez okres 12 miesięcy, z wyjątkiem tych, które zostały zabezpieczone, zgodnie z przepisami odrębnymi. W myśl zaś art. 180c ust. 1 obowiązkiem, o którym mowa w art. 180a ust. 1, objęte są dane niezbędne do: 1) ustalenia zakończenia sieci, telekomunikacyjnego urządzenia końcowego, użytkownika końcowego: a) inicjującego połączenie, b) do którego kierowane jest połączenie; 2) określenia: a) daty i godziny połączenia oraz czasu jego trwania, b) rodzaju połączenia, c) lokalizacji telekomunikacyjnego urządzenia końcowego. Z przepisów tych wynika, że [...] Polska S.A. posiada możliwość wykonywania ustaleń dotyczących aktywności użytkowników końcowych w sieci telekomunikacyjnej zawierający się w przedziale czasowym 12 miesięcy licząc od [...] grudnia 2010 r. i [...] grudnia 2010 r. – dat aktywności użytkowników posługujących się nickiem "[...]" i "[...]". Dane te należało w myśl art. 180c ust. 1 pkt 2 lit. c (lokalizacji telekomunikacyjnego urządzenia końcowego) zniszczyć z dniem upływu tego okresu, z wyjątkiem tych, które zostały zabezpieczone, zgodnie z przepisami odrębnymi, co uniemożliwia ustalenie danych osobowych użytkowników o wskazanych adresach IP we wskazanym okresie czasowym. W niniejszej sprawie ustalony stan faktyczny wskazuje, że Spółka w dacie wydania zaskarżonej decyzji nie przetwarzała danych użytkowników wskazanych wyżej IP, bowiem zgodnie z art. 180a Prawa Telekomunikacyjnego dane te zostały usunięte, co wynika z ustalonego w sposób dostateczny stanu faktycznego. Zatem organ w tej sytuacji nie mógł wydać decyzji rozstrzygającej sprawę co do istoty, o jakiej mowa w art. 18 ust. 1 u.o.d.o. Zasadne było więc umorzenie wszczętego przez skarżącego postępowania w przedmiocie udostępnienia danych osobowych osób posługujących się nickiem: "[...]" o numerze IP [...]* oraz nickiem: "[...]" o numerze IP [...]*, które zamieściły obraźliwe wpisy dotyczące skarżącego jako bezprzedmiotowego na podstawie art. 105 § 1 k.p.a. Zgodnie z jego treścią, gdy postępowanie z jakiejkolwiek przyczyny stało się bezprzedmiotowe, organ administracji publicznej wydaje decyzję o umorzeniu postępowania. W doktrynie wskazuje się, że z bezprzedmiotowością postępowania administracyjnego w rozumieniu art. 105 § 1 k.p.a. mamy do czynienia wówczas, gdy odpadł jeden z konstytutywnych elementów sprawy administracyjnej, o której mowa w art. 1 pkt 1 (zob. M. Jaśkowska, A. Wróbel, Kodeks postepowania administracyjnego, Komentarz, Zakamycze 2005, s. 620). Natomiast w orzecznictwie zwraca się uwagę, iż : " Z bezprzedmiotowością postępowania (art. 105 Kpa) mamy do czynienia wówczas, gdy w sposób oczywisty organ stwierdzi brak podstaw prawnych i faktycznych do merytorycznego rozpatrzenia sprawy." (por. wyrok Naczelnego Sądu Administracyjnego z dnia 18 kwietnia 1995 r., sygn. akt SA/Łd 2424/99, ONSA 1996, nr 2, poz. 80). Odnosząc się do zarzutów skargi, Sąd ocenia je jako nieuzasadnione. Organ prawidłowo ustalił i rozważył materiał dowodowy oraz wskazał przyczynę umorzenia postępowania wynikającą z braku możliwości udostępnienia przez Spółkę wnioskowanych danych z uwagi na ich usunięcie, wynikające z mocy art. 180a Prawa telekomunikacyjnego. Jak wskazał Naczelny Sąd Administracyjny w wyroku z dnia 31 marca 2009, sygn. akt I OSK 500/08 "Treść art. 14 U.o.d.o. wskazuje na zasadnicze środki, a zarazem kompetencje, z jakich korzysta Generalny Inspektor Ochrony Danych Osobowych przy wypełnianiu postawionych ustawą zadań w zakresie ochrony danych osobowych, przy czym powołany przepis nie uzależnia wystąpienia ich łącznie. Jednym z uprawnień kontrolnych wymienionych w w/w artykule jest żądanie pisemnych wyjaśnień." Oznacza to, że w toku postępowania kontrolnego organ stosuje środki, które w jego ocenie są wystarczające do ustalenia stanu faktycznego sprawy. Jeżeli jeden ze wskazanych środków jest wystarczający, to GIODO może na nim poprzestać. Zatem to organ decyduje o zastosowaniu określonego środka. Skoro wyjaśnienia Spółki były wystarczające do ustalenia, iż żądane dane nie są przetwarzane, to nie było potrzeby stosowania innych środków, w tym przesłuchania świadków lub przeprowadzania kontroli. Z przepisów prawa wynika, iż organ nie ma obowiązku stosowania wszystkich środków dowodowych. Przepis art. 75 k.p.a. wyraża zasadę równej mocy środków dowodowych nie wprowadzając ograniczeń co do rodzaju dowodów, którym należy przyznać pierwszeństwo w ustaleniu danego faktu. Ustawa nie wskazuje, że w toku postępowania kontrolnego organ ma zastosować wszystkie środki dowodowe. Tym samym organ nie naruszył art. 7, 75, 77 § 1, 80 i 138 § 1 pkt 1 k.p.a. Sąd stwierdza, że brzmienie art. 164 w zw. z art. 165 ust. 2 pkt 1 i 2 Prawa telekomunikacyjnego obejmuje podmiotowo użytkowników końcowych, zatem podmioty które zawarły ze Spółką umowy o dostarczanie usług telekomunikacyjnych. Czasookres przetwarzania ich danych określony został okresem realizacji umowy i ewentualnego dochodzenia roszczeń. Taka sytuacja nie ma jednak miejsca w niniejszej sprawie. Pojęcie danych osobowych osób posługujących się nickiem o określonym numerze IP użytkownika jest znaczeniowo różne od pojęcia abonenta i użytkownika końcowego. Podnoszony w skardze zarzut przewlekłego prowadzenia postępowania przez Generalnego Inspektora w niniejszej sprawie nie ma wpływu na ocenę legalności zaskarżonej decyzji. Mając na uwadze powyższe Wojewódzki Sąd Administracyjny w Warszawie, na podstawie art. 151 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (tj. Dz. U. z 2017, poz. 1369 ze zm.) oddalił skargę.