Centralna Baza Orzeczeń Sądów Administracyjnych

Naczelny Sąd Administracyjny w składzie: Przewodniczący: Sędzia NSA Irena Kamińska (spr.) Sędziowie: Sędzia NSA Wiesław Morys Sędzia NSA Jolanta Rudnicka Protokolant st. inspektor sądowy Tomasz Zieliński po rozpoznaniu w dniu 10 listopada 2015 r. na rozprawie w Izbie Ogólnoadministracyjnej skarg kasacyjnych Generalnego Inspektora Ochrony Danych Osobowych i Muzeum Narodowego w Warszawie od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 15 stycznia 2014 r. sygn. akt II SA/Wa 1082/13 w sprawie ze skargi A. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia 29 marca 2013 r. nr [...] w przedmiocie nakazu udostępnienia danych osobowych 1. oddala skargi kasacyjne; 2. zasądza od Generalnego Inspektora Ochrony Danych Osobowych na rzecz A. kwotę 180 (sto osiemdziesiąt) złotych tytułem zwrotu kosztów postępowania kasacyjnego.

Pismem z dnia 22 marca 2012 r. Muzeum Narodowe w Warszawie, za pośrednictwem swojego pełnomocnika, zwróciło się do Generalnego Inspektora Ochrony Danych Osobowych o nakazanie [...] z siedzibą w Warszawie udostępnienia w formie pisemnej następujących informacji dotyczących autorów wpisów opublikowanych w dziennikach internetowych prowadzonych w serwisie blox.pl należącym do A. tj.:

1. danych dotyczących osoby, która prowadziła blog [...] i dokonała wskazanych niżej wpisów w tym dzienniku, w tym zwłaszcza jej imienia i nazwiska, adresu, adresu mailowego lub innych danych pozwalających na identyfikację tej osoby tj. adresów IP z których załogowano się do blogu i dokonano następujących wpisów.

– "[...]

2. danych dotyczących prowadzącego dziennik internetowy pod adresem [...], w tym zwłaszcza jego imienia i nazwiska, adresu, adresu mailowego lub innych danych pozwalających na identyfikację tej osoby tj. adresów IP z których załogowano się do blogu i dokonano następujących wpisów posługując się loginem [...] :

[...]

3. danych dotyczących autorów komentarzy umieszczanych pod wpisami na blogu [...], w tym zwłaszcza imion i nazwisk, adresów, adresów mailowych lub innych danych pozwalających na identyfikację tych osób tj. adresów IP z których załogowano się i dokonano następujących wpisów:

[...]

Według wnoszącego skargę, w ramach prowadzenia powyższych dzienników internetowych pojawiły się wpisy oraz komentarze, których treść narusza przepisy powszechnie obowiązującego prawa i dobra osobiste Muzeum Narodowego w Warszawie. Zawierały one sugestie, że w instytucji dochodziło do nieprawidłowości związanych z prowadzoną działalnością, w tym niewłaściwego dbania o zbiory, niegospodarności, protekcji i mobbingu wobec pracowników tej instytucji, co zdaniem wnioskodawców rażąco naruszyło dobre imię Muzeum Narodowego w Warszawie i naraziło na szwank opinię Muzeum Narodowego w Warszawie, jako godnego zaufania. Publikowane treści zniesławiły także konkretne osoby pracujące w Muzeum Narodowym w Warszawie, w tym osoby ze ścisłego kierownictwa tej instytucji, co także wywarło negatywny wpływ na postrzeganie samej instytucji i projektów, w które się angażowała.

Wobec powyższego, Muzeum Narodowe ma zamiar podjąć kroki prawne poprzez wszczęcie postępowania sądowego o ochronę dóbr osobistych tej instytucji. W tym celu zwrócono się do A. o udostępnienie danych osobowych osób zamieszczających obraźliwe wpisy. Jednakże A. odmówiła udostępnienia tych danych motywując to brakiem podstawy prawnej zobowiązującej do ujawniania takich danych, a także wskazując, że ustawa o świadczeniu usług drogą elektroniczną, która w zakresie udostępnienia danych użytkowników stanowi lex specialis względem ustawy o ochronie danych osobowych, przewiduje jedynie obowiązek udzielenia danych o użytkownikach organom państwa.

Wobec takiego stanowiska spółki Muzeum Narodowe uznało za uzasadnione zwrócenie się do GIODO o nakazanie udostępnienia żądanych danych osobowych, bez których nie będzie możliwe wszczęcie postępowania sądowego o ochronę dóbr osobistych.

Po przeprowadzeniu postępowania GIODO decyzją z dnia 19 października 2012 r. o nr [...] nakazał A., z siedzibą w Warszawie udostępnienie Muzeum Narodowemu w Warszawie danych osobowych w zakresie adresów IP komputerów niżej wskazanych użytkowników:

– użytkownika prowadzącego blog [...],

– użytkownika prowadzącego blog [...],

– użytkownika o nicku [...],

– użytkownika o nicku [...],

– użytkownika o nicku [...],

natomiast w pozostałym zakresie umorzył postępowanie.

GIODO w ramach przeprowadzonego postępowania ustalił, że A. z siedzibą w Warszawie przetwarza wszelkie dane użytkowników zamieszczających wypowiedzi na forum portalu [...], w celu świadczenia usługi polegającej na umożliwieniu użytkownikom Internetu publikowania wypowiedzi na stronach forum portalu [...]. Dane te są gromadzone w zbiorze danych osobowych o nazwie "Użytkownicy internetowego wydania G. i portalu A.". Spółka potwierdziła, że otrzymała od Muzeum Narodowego w Warszawie pismo z dnia 14 stycznia 2012 r. zawierające wezwanie do udostępnienia danych osobowych w związku z naruszeniem dóbr osobistych. Podjęte zostały w związku z tym zawiadomieniem działania w postaci zablokowania dostępu do spornych treści, odmówiono jednak udostępnienia żądanych danych. Spółka poinformowała jednocześnie, że w zbiorze danych posiada informacje dotyczące wskazanych we wniosku osób w postaci:

[...].

Zdaniem GIODO, żądanie Muzeum Narodowego o udostępnienie mu ww. danych osobowych ww. użytkowników wypełnia dyspozycję art. 23 ust. 1 pkt 5 ustawa z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 ze zm.). Muzeum wskazało bowiem, że ww. dane są mu niezbędne do wytoczenia powództwa przeciwko ww. osobom z zakresu ochrony dóbr osobistych w związku z zamieszczonymi przez ww. osoby komentarzami w serwisie [...], bowiem dla skutecznego wytoczenia powództwa przeciwko ww. osobom niezbędne jest wniesienie pozwu, który spełniać będzie warunki określone w art. 187 § 1 ustawy z dnia 17 listopada 1964 r. Kodeks postępowania cywilnego (Dz. U. Nr 43, poz. 296 ze zm.), czyli powinno zawierać m. in. oznaczenie miejsca zamieszkania lub siedziby stron, ich przedstawicieli ustawowych i pełnomocników oraz przedmiotu sporu. Jakkolwiek A. nie posiada danych osobowych w zakresie imienia, nazwiska, adresu zamieszkania, GIODO zauważył, że pozyskanie przez Muzeum danych w zakresie adresów IP komputerów ww. użytkowników, może okazać się niezbędne dla realizacji celu Muzeum w postaci wniesienia powództwa, bowiem może umożliwić identyfikację tych osób. Wskazał, iż informacją dotyczącą osoby jest zarówno informacja odnosząca się do niej wprost, jak i taka, która odnosi się bezpośrednio do przedmiotów czy urządzeń, ale poprzez możliwość powiązania tych przedmiotów czy urządzeń z określoną osobą pośrednio stanowi informację także o niej samej.

Ponadto, zdaniem GIODO, brak jest podstaw do twierdzenia, że Muzeum Narodowe wykorzysta pozyskane dane w inny sposób, aniżeli w celu zidentyfikowania osób, przeciwko którym chcą skierować postępowanie sądowe o ochronę dóbr osobistych.

Jednocześnie GIODO nie zgodził się z argumentacją podniesioną w trakcie postępowania przez A., jakoby w niniejszej sprawie ustawa o ochronie danych osobowych nie znajduje zastosowania, bowiem jej stosowanie wyłączone jest przez przepisy ustawy z dnia 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną (Dz. U. Nr 144, poz. 1204 ze zm.).

Nie zgodził się również ze zdaniem, że danych tych nie można udostępnić w związku z ochroną danych osobowych użytkowników dzienników internetowych. Zdaniem GIODO, takie założenie prowadziłoby do nieuzasadnionej obrony takich osób przed konsekwencjami swojej działalności i uniemożliwiałoby skuteczną obronę osób pokrzywdzonych obraźliwymi treściami. W jego ocenie, z art. 18 ust. 6 pow. ustawy nie wynika niedopuszczalność udostępniania podmiotom innym niż organy państwa informacji, o których mowa w ust. 1-5 tego przepisu, w tym danych eksploatacyjnych w postaci adresu IP. Zdaniem Generalnego Inspektora Ochrony Danych Osobowych przepis ten - stanowiący, że usługodawca udziela informacji o danych, o których mowa w ust. 1-5 organom państwa na potrzeby prowadzonych przez nie postępowań – ma charakter jedynie deklaratoryjny wobec uprawnień tych organów określonych szczegółowo w innych przepisach. Brak również wyraźnie wskazanego zakazu udostępniania takich danych innych podmiotom niż organy państwa.

Wobec wszystkich powyższych okoliczności GIODO uznał za zasadne nakazanie udostępnienia Muzeum Narodowemu posiadanych przez A.. danych w postaci adresów IP. Natomiast wobec ustalenia, że A. nie przetwarza danych osobowych w postaci imienia, nazwiska, adresów zamieszkania i adresów e-mail, o ujawnienie których wnioskowało Muzeum, GIODO uznał, że postępowanie w tym przedmiocie stało się bezprzedmiotowe i zgodnie z treścią art. 105 § 1 k.p.a. powinno zostać umorzone.

Od powyższej decyzji zostały złożone dwa wnioski o ponowne rozpatrzenie sprawy.

W dniu 31 października 2012 r. wniosek złożył pełnomocnik Muzeum Narodowego w Warszawie, domagając się ponownego rozpatrzenia sprawy w zakresie pkt 2 wydanej decyzji, zarzucając GIODO naruszenie art. 105 § 1 k.p.a. oraz art. 7 i 77 oraz 7, 77 i 107 k.p.a., poprzez uznanie za bezprzedmiotowe postępowania w zakresie zobowiązania A. o udzielenie informacji o kodach pocztowych ww. użytkowników, w sytuacji gdy wnioskodawca wnosił o udzielenie informacji o adresach użytkowników, a z materiału dowodowego sprawy wynika, że A. jest w posiadaniu kodów pocztowych. W związku z powyższym, pełnomocnik wniósł o zobowiązanie spółki do udostępnienia Muzeum Narodowemu również tej informacji.

W dniu 6 listopada 2012 r. wniosek o ponowne rozpatrzenie sprawy wniósł pełnomocnik A. z siedzibą w Warszawie, domagając się uchylenia decyzji z dnia 19 października 2012 r. w zakresie nakazania spółce udostępnienia posiadanych danych osobowych w postaci numerów IP.

W odpowiedzi na powyższe wnioski GIODO w dniu 29 marca 2013 r. wydał decyzję nr [...], którą:

1. uchylił zaskarżoną decyzję w części dotyczącej umorzenia postępowania w zakresie przetwarzania przez A., z siedzibą w Warszawie przy ul. [...], danych osobowych użytkownika prowadzącego blog [...] oraz użytkownika o nicku [...], który zamieścił w serwisie [...] pod wpisami na blogu [...] komentarze z dnia 11 marca 2010 r. o godz. 15:33, 15:38, 20:12, dnia 12 marca 2010 r. o godz. 14:45, 23:13 w zakresie kodu pocztowego;

2. nakazał A.., udostępnienie na rzecz Muzeum Narodowego w Warszawie, danych osobowych w zakresie kodów pocztowych:

– użytkownika prowadzącego blog [...],

– użytkownika o nicku [...], który zamieścił w serwisie [...] pod wpisami na blogu [...] komentarze z dnia 11 marca 2010 r. o godz. 15:33,15:38,20:12, dnia 12 marca 2010 r. o godz. 14:45,23:13;

3. w pozostałym zakresie utrzymał decyzję w mocy.

Uzasadniając powyższą decyzję GIODO podtrzymał dotychczasową argumentację dotyczącą możliwości udostępnienia danych osobowych wnioskującemu podmiotowi w oparciu o art. 23 ust. 1 pkt 5 ustawy o ochronie danych osobowych. GIODO nie zmienił zdania, iż w niniejszej sprawie doszło do konieczności zastosowania art. 18 ust. 1 pkt 2 tj. nakazania w drodze decyzji przywrócenia stanu zgodnego z prawem. albowiem spółka niezasadnie odmówiła Muzeum Narodowemu w Warszawie udostępnienia danych niezbędnych do zgodnego z prawem dochodzenia swoich racji w oparciu o art. 24 Kodeksu cywilnego oraz stosownych przepisów Kodeksu postępowania cywilnego. W ocenie GIODO chęć pociągnięcia do odpowiedzialności cywilnej i karnej autorów nieprzychylnych wpisów w dziennikach internetowych stanowi usprawiedliwiony cel, o którym mowa w ustawie o ochronie danych osobowych. Nie ma przy tym znaczenia oczywista sprzeczność chęci pozyskania ich danych z ich żywotnym interesem, albowiem – co ponownie zostało podkreślone – prowadziłoby to do nieuzasadnionej ochrony tych osób przed poniesieniem konsekwencji swych działań. Natomiast osoby, których dane zostały ujawnione i wykorzystane następnie w celu wszczęcia przeciwko nim postępowań sądowych, posiadają stosowne uprawnienia przewidziane w procedurach, pozwalające im na obronę. GIODO nie uznał również za uzasadnione obaw A., dotyczących ewentualnego wykorzystania udostępnionych danych niezgodnie z celem, który był podstawą ich uzyskania, zaznaczając, że w momencie ich zdobycia, Muzeum Narodowe samo stanie się administratorem danych osobowych, ze wszystkimi obowiązkami i konsekwencjami z tego wynikającymi.

Odnosząc się do wniosku Muzeum o ponowne rozpatrzenie sprawy w zakresie umorzenia niniejszego postępowania odnośnie przetwarzania danych osobowych użytkownika prowadzącego blog [...] oraz użytkownika o nicku [...] w zakresie kodu pocztowego, Generalny Inspektor Ochrony Danych Osobowych przyznał, że z akt sprawy wynika, iż spółka przetwarza przedmiotowe dane osobowe. W związku z powyższym przychylił się do wniosku Muzeum i nakazał udostępnienie tych danych.

W pozostałym zakresie, wobec ustalenia, że A. nie dysponuje danymi w postaci imion, nazwisk oraz pełnych adresów zamieszkania oraz adresów mailowych, Generalny Inspektor umorzył postępowanie wobec stwierdzenia jego bezprzedmiotowości.

Powyższa decyzja stała się przedmiotem skargi A.. z siedzibą w Warszawie do Wojewódzkiego Sądu Administracyjnego w Warszawie.

W odpowiedzi na skargę Generalny Inspektor Danych Osobowych wniósł o jej oddalenie, podtrzymując w całości dotychczasowe stanowisko w sprawie.

Wojewódzki Sąd Administracyjny w Warszawie wyrokiem z dnia 15 stycznia 2014 r. o sygn. akt II SA/Wa 1082/13 uchylił zaskarżoną decyzję w części dotyczącej umorzenia postępowania w zakresie przetwarzania przez A. danych osobowych użytkownika prowadzącego blog [...] oraz użytkownika o nicku "[...]", który zamieścił komentarze dnia 11 marca 2010 r. godz. 15:33, 15:38, 20:12, dnia 12 marca 2010 r. godz. 14:45, oraz 23:13 – w postaci kodu pocztowego oraz odpowiednio nakazującą udostępnienie na rzecz Muzeum Narodowego w Warszawie danych osobowych w postaci kodów pocztowych wyżej opisanych użytkowników, nadto w pozostałym zakresie utrzymującą w mocy decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia 19 października 2012 r. oraz poprzedzającą ją decyzję z dnia 19 października 2013 r. w części objętej wnioskami o ponowne rozpatrzenie sprawy.

Sąd wskazał, że przy tego typu żądaniu jak w analizowanej sprawie możliwe jest zastosowanie art. 23 ust. 1 pkt 5 ustawy o ochronie danych osobowych, zaś art. 18 ust. 6 u.ś.u.d.e. wyłącza udostępnianie danych podmiotom innym niż wskazane w tym przepisie. Powołał się przy tym na wyrok Naczelnego Sądu Administracyjnego z dnia 21 sierpnia 2013 r. o sygn. akt I OSK 1666/12.

Sąd pierwszej instancji zaznaczył jednak, że organ nakazujący ujawnienie danych związanych z użytkowaniem Internetu musi każdorazowo, przy uwzględnieniu indywidualnych okoliczności danej sprawy dokonać wyważenia przeciwstawnych interesów jakimi są prawo do ochrony danych osobowych i prawo do ochrony czci, godności, dobrego imienia czy też wizerunku firmy. Należy przy tym w sposób należyty uwzględniać wymogi wynikające z zasady proporcjonalności, tak aby stosowane środki były adekwatne do zagrożenia dobra wymagającego w danej sprawie większej ochrony. Sąd uznał pogląd taki za zgodny z normami konstytucyjnymi, a zwłaszcza z art. 31 ust. 2 i 3 Konstytucji RP.

WSA w Warszawie wskazał, że obecnie obowiązujący stan prawny pozwala na wysnucie wniosku, iż w ramach obowiązującego prawa można domagać się ujawnienia danych, jakie zgromadził administrator serwisu internetowego poprzez stosowanie mniej restrykcyjnej ustawy niż u.ś.u.d.e., czyli u.o.d.o., a konkretniej art. 23 tej ustawy (poprzez przetwarzanie danych, w tym ich udostępnianie), ale pod pewnymi warunkami. Warunkami tymi są proporcjonalność środków i celów oraz równowaga pomiędzy ochroną różnych dóbr: wolności wypowiedzi i prawa do ochrony dóbr osobistych. Podmiot żądający udostępnienia danych osobowych musi swoje stanowisko uzasadnić. Wedle art. 23 ust. 1 pkt 5, muszą być to "prawnie usprawiedliwione cele". W przypadku odmowy udostępnienia danych przez podmiot, będący ich administratorem, strona może złożyć wniosek do GIODO, który po przeprowadzeniu stosownego postępowania może w drodze decyzji nakazać udostępnienie danych osobowych. Istotna w tym zakresie jest ocena GIODO, która powinna być uzależniona od okoliczności konkretnej sprawy, bowiem zarówno u.ś.u.d.e., jak i u.o.d.o. będzie miała w tym zakresie zastosowanie.

Jak zaznaczył Sąd pierwszej instancji, podejmując decyzję GIODO musi w każdej indywidualnej sprawie ocenić, które dobra chronione przez prawo są ważniejsze – dane osobowe czy interes gospodarczy przedsiębiorstwa. Organ powinien zatem zweryfikować, czy żądane przez wnioskodawcę dane rzeczywiście są mu potrzebne po to, aby wszcząć postępowanie sądowe, czy też tylko po to, by dowiedzieć się, kto jest autorem wpisu zamieszczonego w Internecie. Administrator może przekazać dane wyłącznie, gdy zgłaszający oświadczy, że ma uzasadniony interes prawny. Zasadność żądania danych powinna być jednak oceniana każdorazowo czy to przez dysponenta danych, czy ewentualnie przez GIODO. Stronie niezadowolonej z rozstrzygnięcia organu przysługuje w takim wypadku uprawnienie do wniesienia skargi do sądu administracyjnego.

Sąd administracyjny pierwszej instancji stwierdził, że skarga złożona w niniejszej sprawie przez A. zasługuje na uwzględnienie, ponieważ organ nie wyważył interesów stron postępowania – podmiotu żądającego ujawnienia danych osobowych oraz administratora tych danych i osób, których dane te dotyczą.

Zdaniem WSA w Warszawie, uczestnik postępowania – Muzeum Narodowe w Warszawie nie wykazał prawnie usprawiedliwionego celu, dla którego realizacji konieczne byłoby pozyskanie żądanych danych tj. adresu IP komputera oraz w dwóch przypadkach dodatkowo kodu pocztowego. Sąd ten wskazał, że powołana ustawa o ochronie danych osobowych wprawdzie nie precyzuje co oznacza "niezbędne do wypełnienia prawnie usprawiedliwionych celów" ani nie zawiera dyrektyw, jak należy ten zwrot interpretować, nie zwalnia to jednakże żądających ujawnienia takich danych od uzasadnienia swojego stanowiska w taki sposób, ażeby wynikało w sposób niebudzący wątpliwości, że uzyskane dane są mu niezbędne dla wypełnienia realizowanego celu. Samo zaś powołanie się na takie cele, zdaniem Sądu pierwszej instancji, jest niewystarczające dla prawidłowej realizacji przesłanki z art. 23 ust. 1 pkt 5 powołanej ustawy o ochronie danych osobowych.

Jak wskazał WSA w Warszawie, w rozpoznawanej sprawie uczestnik postępowania, uzasadniając swój wniosek o udostępnienie wskazanych przez niego danych osobowych, podał jedynie, że zamierza skorzystać z drogi postępowania cywilnego, nie wykazując, że podjął w tym kierunku jakiekolwiek działania, które napotkały na przeszkody natury formalnej. Ocena taka wymaga zdaniem tego Sądu wyważenia racji i interesów z jednej strony wnioskodawcy, a z drugiej strony osoby, której dane dotyczą, mającej objęty ochroną prawną interes, aby jej dane nie były przetwarzane bez jej zgody. Wyważenie tych interesów jest warunkiem koniecznym przy stosowaniu powołanego przepisu, z uwzględnieniem rangi tych interesów w realiach konkretnej sprawy. A zatem analiza ta winna być przeprowadzona z uwzględnieniem dyrektywy kierunkowej przewidzianej w art. 7 k.p.a, czyli "mając na względzie interes społeczny i słuszny interes obywateli". Sąd pierwszej instancji zauważył, że niewskazanie danych pozwanego wprawdzie nie wyklucza dopuszczalności złożenia pozwu, ale uniemożliwia nadanie mu prawidłowego biegu, a tym samym może skutkować podjęciem przez przewodniczącego czynności przewidzianych w art. 130 § 2 k.p.c. W toku zaś wszczętego procesu przedmiotowy brak może stanowić przesłankę do zawieszenia postępowania na podstawie art. 177 § 1 pkt 6 kpc. Dlatego należy przyjąć, że niezbędne dla wypełnienia prawnie usprawiedliwionych celów pozyskanie danych, których żąda uczestnik postępowania mogłoby zachodzić, ale dopiero po wszczęciu przez osobę żądającą procesu przeciwko naruszającym jego dobra osobiste. Sama zaś deklaracja dotycząca zainicjowania w przyszłości procesu omawianej przesłanki nie spełnia, gdyż zamiar taki może nie być w ogóle zrealizowany.

Tak więc zdaniem Sądu pierwszej instancji Generalny Inspektor Ochrony Danych Osobowych, nakazując A. udostępnienie danych, nie wyważył racji i interesów z jednej strony wnioskodawcy, a z drugiej strony osób, których dane dotyczą, mających objęty ochroną prawną interes, aby ich dane nie były przetwarzane bez ich zgody. Wyważenie tych interesów jest warunkiem koniecznym przy stosowaniu powołanego przepisu, z uwzględnieniem rangi tych interesów w realiach konkretnej sprawy.

Skargę kasacyjną od powyższego wyroku wniósł Generalny Inspektor Ochrony Danych Osobowych oraz Muzeum Narodowe w Warszawie.

Generalny Inspektor Ochrony Danych Osobowych postawił w swojej skardze kasacyjnej wyrokowi dwa zarzuty.

Po pierwsze, naruszenia art. 3 § 2 pkt 1 i art. 145 § 1 pkt 1 lit. c) p.p.s.a. w związku z art. 1 ustawy o ustroju sądów administracyjnych przez sprawowanie niewłaściwej kontroli nad postępowanie administracyjnym skutkującej niezasadnym uchyleniem wydanych w sprawie decyzji GIODO, wobec błędnego przyjęcia, iż organ wydając decyzję nie wyważył racji i interesów z jednej strony wnioskodawcy, a z drugiej strony osób, których dane dotyczą, mających objęty ochroną prawną interes, aby ich dane nie były przetwarzane bez ich zgody, podczas gdy zaskarżona decyzja była właśnie wynikiem tego "ważenia", wskutek którego organ przyznał priorytet ochronie dóbr osobistych Muzeum Narodowego w Warszawie przed ochroną danych osobowych użytkowników mogących naruszyć te dobra, co miało istotny wpływ na wynik sprawy.

Po drugie, naruszenie art. 23 ust. 1 pkt 5 ustawy o ochronie danych osobowych, przez przyjęcie, że przepis ten nie mógł stanowić podstawy do wydania rozstrzygnięcia zawartego w zaskarżonej decyzji, gdyż zamiar zainicjowania przez Muzeum Narodowe w Warszawie postępowania cywilnego o ochronę dóbr osobistych przeciwko użytkownikom dokonującym ich naruszenia nie realizuje przesłanki prawnie usprawiedliwionego celu, o której mowa w art. 23 ust. 1 pkt 5 ww. ustawy, i tym samym nie wystarcza do pozyskania danych tych użytkowników.

Muzeum Narodowe w Warszawie w swojej skardze kasacyjnej postawiło z kolei wyrokowi trzy zarzuty.

Po pierwsze, naruszenia art. 145 § 1 pkt 1 lit. a) i c) p.p.s.a. przez uchylenie decyzji GIODO w wyniku uznania, że Muzeum Narodowe nie wykazało, iż pozyskanie przedmiotowych danych osobowych od A. jest konieczne dla realizacji prawnie usprawiedliwionego celu w postaci wytoczenia powództwa cywilnego o ochronę dóbr osobistych, gdyż poprzestało na oświadczeniu w tej sprawie i nie złożyło do sądu cywilnego pozwu obarczonego brakiem w postaci niewskazania osoby pozwanego, podczas gdy oświadczenie Muzeum Narodowego o zamiarze wytoczenia powództwa o ochronę dóbr osobistych oraz fakt, że obowiązek wskazania pozwanego w pozwie cywilnym wynika bezpośrednio z przepisów prawa (art. 126 § 1 pkt 1 i § 2 pkt 1 k.p.c.) jest wystarczającym dowodem wskazującym na cel pozyskania danych, a złożenie pozwu cywilnego bez wskazania pozwanego było bezcelowe, gdyż podlegałoby zwrotowi bez wywarcia jakichkolwiek skutków prawnych (art. 130 § 1 i 2 k.p.c.).

Po drugie, naruszenia art. 145 § 1 pkt 1 lit. a) i c) p.p.s.a. przez uchylenie decyzji GIODO w związku z uznaniem, że GIODO naruszył art. 7 k.p.a. i nie wyważył interesów stron postępowania tj. administratora danych osobowych, osób, których dane dotyczą i uczestnika – wnioskującego o udostępnienie danych osobowych Muzeum Narodowego, podczas gdy decyzja GIODO uwzględnia interesy obu stron postępowania oraz osób, których dane dotyczą.

Po trzecie, naruszenia art. 23 ust. 1 pkt 5 ustawy o ochronie danych osobowych przez uznanie, że Generalny Inspektor Ochrony Danych Osobowych niezasadnie nakazał Spółce udzielenie danych osobowych, o które wnioskowało Muzeum Narodowe, w sytuacji, gdy pozyskanie tych danych osobowych przez Muzeum Narodowe jest niezbędne do wypełnienia prawnie usprawiedliwionego celu w postaci wytoczenia powództwa cywilnego o ochronę dóbr osobistych – i nie narusza praw i wolności osób, których dane dotyczą.

W odpowiedzi na każdą z przedstawionych skarg kasacyjnych A.. wniosła o ich oddalenie oraz zwrot kosztów postępowania kasacyjnego. Podzieliła ona stanowisko, że organ nie wyważył interesów występujących w sprawie. Zarazem przedstawiła, że w jej ocenie dane nie podlegają udostępnieniu w trybie ustawy o ochronie danych osobowych, gdyż zastosowanie znajdują przepisy ustawy o świadczeniu usług drogą elektroniczną, z pierwszeństwem art. 18 ust. 6 tej ustawy.

Naczelny Sąd Administracyjny zważył, co następuje:

Skargi kasacyjne nie zasługują na uwzględnienie.

Zarzuty skarg kasacyjnych można podzielić na dwie grupy. Pierwsza dotyczy tego, czy konieczne dla wykazania zaistnienia przesłanki z art. 23 ust. 1 pkt 5 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (t.j.: Dz. U. z 2014 r., poz. 1182 ze zm., dalej jako: u.d.o.o.) było złożenie do sądu powszechnego pozwu obarczonego brakiem w postaci niewskazania osoby pozwanego, jak przyjął to Sąd pierwszej instancji. Druga grupa dotyczy tego, czy trafnie Sąd pierwszej instancji uznał, iż organ naruszył art. 7 k.p.a. w związku z art. 23 ust. 1 pkt 5 u.o.d.o. nie dokonując wyważenia występujących w sprawie wartości i interesów stron postępowania: administratora danych osobowych, osób których te dane dotyczą i uczestnika wnioskującego o udostępnienie danych osobowych tj. Muzeum Narodowego w Warszawie.

Wbrew drugiemu zarzutowi skargi kasacyjnej GIODO, w sprawie także dla Sądu pierwszej instancji niesporne było, że dochodzenie roszczeń przed sądem może być podstawą do przetwarzania danych osobowych, w oparciu o art. 23 ust. 1 pkt 5 u.o.d.o. Na gruncie danych osobowych internautów wyjaśniał to Naczelny Sąd Administracyjny w swoim orzecznictwie (zob. wyrok NSA z dnia 19 maja 2010 r., I OSK 1079/10; wyrok NSA z dnia 21 sierpnia 2013 r., I OSK 1666/12). Za nietrafne uznano prezentowane w odpowiedzi na skargę kasacyjną stanowisko, że jedyną podstawą udostępnienia tych danych może być art. 18 ust. 6 ustawy z dnia 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną (t.j.: Dz. U. z 2013 r., poz. 1422), ograniczający podmioty upoważnione do organów państwa. Nie ulega wątpliwości, że Muzeum Narodowe może chronić swoją renomę, w tym na gruncie postępowania sądowego. Za udostępnieniem tych danych na wskazanej podstawie przemawia zapewnienie jednostce chronionego konstytucyjnie prawa do sądu (art. 45 ust. 1 Konstytucji). Godzi się wskazać, że zgodnie z art. 187 § 1 w związku z art. 126 § 2 Kodeksu postępowania cywilnego jednym z elementów formalnych pozwu jest oznaczenie miejsca zamieszkania lub siedziby stron (ich przedstawicieli ustawowych i pełnomocników). Brak zatem elementu w postaci adresu strony pozwanej uniemożliwia nadanie biegu pozwu, a co za tym idzie – uniemożliwia realizację prawa do sądu (por. uchwała SN z dnia 17 lipca 2014 r., III CZP 43/14, OSNC 2015, nr 5, poz. 57).

Naczelny Sąd Administracyjny w składzie orzekającym w całej rozciągłości podziela stanowisko Sądu pierwszej instancji, że dla nakazania przez Generalnego Inspektora Ochrony Danych Osobowych na podstawie art. 18 ust. 1 pkt 2 w związku z art. 23 ust. 1 pkt 5 u.o.d.o. udostępnienia danych osobowych osób na potrzeby wniesienia pozwu do sądu przez jednostkę wnioskującą o te dane – konieczne jest wnikliwe przeanalizowanie i zweryfikowanie przez organ, iż zamiar tej jednostki skorzystania z prawa do sądu jest realny i rzeczywisty. W ocenie Naczelnego Sądu Administracyjnego, niedopuszczalne jest bowiem powoływanie się na wolę skorzystania z przysługującego prawa do sądu po to, aby w istocie jedynie poznać dane osobowe innej osoby – stanowiłoby to niezasługujące na ochronę nadużycie art. 23 ust. 1 pkt 5 u.o.d.o. Z tego względu Generalny Inspektor Ochrony Danych Osobowych musi w świetle art. 7 i art. 77 k.p.a. w związku z art. 23 ust. 1 pkt 5 u.o.d.o. dokładnie ustalić zamiary podmiotu wnioskującego o udostępnienie mu danych na potrzeby postępowanie sądowego, w szczególności, czy w warunkach konkretnego stanu faktycznego powoływanie się przez tę osobę na wolę wszczęcia postępowania sądowego nie ma charakteru pozornego. Organ zobowiązany jest zatem ocenić realność podawanej podstawy faktycznej uruchomienia w konkretnej sprawie postępowania sądowego. Udostępnienie danych osobowych, w myśl art. 23 ust. 1 pkt 5 u.o.d.o., musi być wszak niezbędne.

Podzielając zatem ocenę Sądu pierwszej instancji co do zakresu obowiązków ciążących w postępowaniu wyjaśniającym na Generalnym Inspektorze Danych Osobowych, Naczelny Sąd Administracyjny uznaje jednak za zbyt daleko idący pogląd WSA w Warszawie wyrażony w uzasadnieniu zaskarżonego wyroku, że wykazanie przez jednostkę wnioskującą o dane usprawiedliwionego celu posiadania danych internautów może nastąpić dopiero po zainicjowaniu przez nią postępowania sądowego. Jakkolwiek wszczęcie takiego procesu (złożenie pozwu) istotnie może być jedną z ważniejszych okoliczności przemawiających za realnością inicjowania drogi sądowej, to nie w każdym stanie faktycznym jest elementem niezbędnym dla zastosowania art. 18 ust. 1 pkt 2 w związku z art. 23 ust. 1 pkt 5 u.o.d.o. Ograniczenia takiego nie wprowadzają przepisy prawa. Organ może ocenić realność żądania udostępnienia danych osobowych na potrzeby postępowania sądowego samodzielnie także w oparciu o inne dowody (art. 75 § 1 k.p.a.); istotne jest, aby organ ustalił, że udostępnienie danych osobowych nie będzie stanowić celu samego w sobie dla jednostki o nie wnioskującej, lecz posłużą one dla realizacji przez tę jednostkę przysługującego jej prawa do sądu.

Trafność zapatrywania skarżących kasacyjnie w powyższym zakresie nie mogła jednak doprowadzić do uchylenia zaskarżonego wyroku, a to z uwagi na niezasadność zarzutów odnoszących się do ważenia interesów i wartości stron w sprawie, skutkujących tym, że wyrok odpowiada prawu w rozumieniu art. 184 ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (t.j.: Dz. U. z 2012 r., poz. 270 ze zm.). Naczelny Sąd Administracyjny w składzie orzekającym podziela bowiem stanowisko Sądu pierwszej instancji, że organ nie dokonał prawidłowego ważenia interesów i wartości występujących w sprawie.

W wyroku o sygn. C-461/10 w sprawie Bonnier Audio i in. przeciwko Perfect Communication Sweden AB Trybunał Sprawiedliwości UE wskazał, że udostępnienie danych użytkownika Internetu jest możliwe, ale tylko po wyważeniu przeciwstawnych interesów, stosownie do okoliczności każdego przypadku oraz przy należytym uwzględnieniu wymogów wynikających z zasady proporcjonalności. Tezę tę podzieliło orzecznictwo NSA (zob. wyrok NSA z dnia 21 sierpnia 2013 r., I OSK 1666/12). Nakaz ważenia wartości chronionych prawnie w analizowanej sytuacji wyraża także Europejski Trybunał Praw Człowieka w Strasburgu (zob. wyrok ETPCz z dnia 10 października 2013 r. nr 64569/09 w sprawie Delfi AS przeciwko Estonii). Generalny Inspektor Ochrony Danych Osobowych musi zatem z urzędu uwzględnić nie tylko racje (interesy) podmiotu wnioskującego o żądane informacje, ale także administratora danych oraz – co istotne – podmiotów, których te informacje dotyczą, a które z istoty postępowania o wyjawienie ich danych nie są i nie mogą być czynnie działającymi stronami tego postępowania administracyjnego.

Analizując dopuszczalność udostępnienia żądanych danych oraz wartości prawnych (interesów) podlegających ważeniu przez organ nie można abstrahować od każdorazowego stanu faktycznego sprawy. W niniejszej żądanie przez Muzeum Narodowego w Warszawie danych wiąże się z działalnością publicystyczną o charakterze krytycznym w formie strony internetowej, na której prezentowane i komentowane były różnorakie kwestie dotyczące tego Muzeum. Działalność ta była zatem w ogólności przejawem debaty w kwestii publicznej funkcjonowania Muzeum. Oznacza to, że w stanie faktycznym niniejszej sprawy żądanie informacji dotyczy informacji o osobach korzystających z wolności komunikowania się (art. 49 zdanie pierwsze Konstytucji RP: "Zapewnia się wolność i ochronę tajemnicy komunikowania się") oraz wolności wypowiedzi i krytyki (art. 54 ust. 1 Konstytucji RP: "Każdemu zapewnia się wolność wyrażania swoich poglądów oraz pozyskiwania i rozpowszechniania informacji"), które podlegają ochronie konstytucyjnej, tak samo jak prawo do ochrony danych osobowych (art. 51 ust. 1 Konstytucji RP) czy prawo do sądu (art. 45 ust. 1 Konstytucji RP). Analiza uzasadnienia wydanych w sprawie decyzji wskazuje, że organ tych wartości nie wziął pod uwagę, a w każdym razie nie uzewnętrznił takiego zabiegu w motywach decyzji, tak aby mógł on podlegać weryfikacji przez adresata decyzji i sąd administracyjny. Lektura zaskarżonej decyzji unaocznia, że organ nie wyjaśnił, której z występujących w sprawie wartości i dlaczego – należy przyznać prymat. Prymat ten organ udzielił co prawda prawu do sądu, jednak bez uwzględnienia i przedstawienia racji wynikających z innych wartości chronionych prawnie a przemawiających przeciwko takiemu zabiegowi.

Wskazać należy, że bezrefleksyjny automatyzm w udostępnianiu informacji o osobach korzystających z wolności wypowiedzi w Internecie może wywoływać tzw. efekt mrożący (ang. chilling effect), zniechęcający do prezentowania własnych racji i poglądów, a zatem godzić w wolność myśli i słowa. Na problem ten zwraca się uwagę w literaturze (zob. np. A. Ploszka, Udostępnianie adresów IP przez wydawców prasy w Internecie. Uwagi na tle orzecznictwa sądów polskich, w: Wirtualne media. Realne problemy, red. D. Bychawska-Siniarska, D. Głowacka, Warszawa 2014, s. 133-134). Stąd należy przestrzegać konstytucyjnie chronionej zasady proporcjonalności (art. 31 ust. 3 ustawy zasadniczej) przy udostępnianiu tego rodzaju informacji. Nie przeczy tej tezie stanowisko wyrażone w wyroku NSA z dnia 21 sierpnia 2013 r. (I OSK 1666/12), że osoba dokonująca naruszeń w przestrzeni Internetowej musi mieć świadomość, iż nie może nadużywać swoich praw naruszając prawa innych, oraz że nie ma to zapatrywanie nic wspólnego wówczas z ograniczaniem zasady wolności słowa, albowiem wolność wyrażania swoich poglądów związana jest z ponoszeniem za te poglądy odpowiedzialności. Wspomniane stanowisko NSA dotyczy bowiem sytuacji, gdy wypowiedzi prezentowane w przestrzeni internetowej nie stanowią formy zabrania głosu w kwestii objętej zainteresowaniem publicznym i w ramach kultury tej dyskusji, a przeciwnie – wskazują na wolę ich autora bezpośredniego naruszenia chronionych praw innego podmiotu, z czym nie wiąże się przeważająca korzyść społeczna. Wówczas wypowiedzi te stanowią nadużycie wolności słowa, niezasługujące na ochronę przybierającą postać zachowania danych ich autora w anonimowości. Osoba formułująca wypowiedzi w przestrzeni internetowej – tak jak i w świecie rzeczywistym – musi być wszak świadoma odpowiedzialności za swoje słowa.

Wyjaśnić w tym miejscu wypada, że względną ochronę anonimowość w przestrzeni Internetowej – gdy jej użytkownik nie narusza prima facie prawa – zaleca stanowiąca tzw. "miękkie prawo" Deklaracja Wolności Komunikowania się w Internecie przyjęta przez Radę Europy w dniu 23 maja 2003 r. Zasadę względnej anonimowości użytkownika Internetu wyraża także art. 22 ust. 2 ustawy o świadczeniu usług drogą elektroniczną (zob. A. Jakubowski. Udostępnienie adresu IP dla potrzeb postępowania sądowego a ochrona danych osobowych, tajemnicy korespondencji i prawa jednostki do anonimowości, "Monitor Prawnicy" 2012, nr 18, s. 998-999). Również Sąd Najwyższy potwierdził, że "powszechnie przyjętą zasadą i istotą tego rodzaju usługi jest anonimowość usługobiorców korzystających z ogólnie dostępnych internetowych portali dyskusyjnych, zapewniająca wolność i swobodę wypowiedzi, co jest zasadniczym celem takich portali" (wyrok SN z dnia 8 lipca 2011 r., IV CSK 665/10, OSN 2012, nr 2, poz. 27). Oznacza to konieczność wzięcia pod uwagę przez GIODO funkcji i specyfiki konkretnej wypowiedzi formułowanej w przestrzeni internetowej przy ocenie, czy rzeczywiście mimo zniechęcających skutków takiego zabiegu dla użytkowników Internetu zasadne jest udostępnienie danych osobowych podmiotowi na potrzeby prowadzenia postępowania sądowego wobec określonych tego typu użytkowników, którzy mieli w opinii owego podmiotu naruszać jego prawa. Nie jest to możliwe bez uwzględnienia przez organ treści każdej z wypowiedzi stanowiących podstawę zgłoszonego żądania udostępnienia danych osobowych na potrzeby postępowania sądowego, jej kontekstu faktycznego oraz funkcji i celu. Materia ta, jak wspomniano, musi być analizowana przez organ przez pryzmat wartości prawnie chronionych w danej sprawie, w tym konstytucyjnych, z uwzględnieniem określonych art. 7 k.p.a. interesów: społecznego i słusznego interesu stron. Niewątpliwie za słuszny interes strony pragnącej poznać dane osobowe celem przeprowadzenia postępowania sądowego może być uznana wola skorzystania z prawa do sądu, wszelako interes społeczny może wyrażać się w tym, aby chronić anonimowość autorów wypowiedzi sformułowanej w przestrzeni sieciowej właśnie z uwagi na jej znaczenie (konkretne korzyści) społeczne (dla sfery publicznej). Nie można bowiem abstrahować od tego, że niekiedy wypowiedzi stanowiące asumpt do wystąpienia przez dany podmiot na drogę sądową wobec ich autora – mają znaczący walor społeczny z uwagi na to, że zwracają uwagę na istotny problem czy nieprawidłowość objęte zainteresowaniem publicznym.

Mając na uwadze powyższe uznać należy, że organ nie wykazał w decyzji spełnienia niezbędnego elementu z art. 23 ust. 1 pkt 5 ustawy o ochronie danych osobowych, a mianowicie, że udostępnienie żądanych w sprawie danych jest niezbędne dla wypełnienia prawnie usprawiedliwionych celów przeważających nad prawami i wolnościami osób, których te dane dotyczą. Naruszyło to zatem także art. 7 k.p.a., nakazujący wyważenie występujących w sprawie interesów. Tymczasem kwestia ta jest szczególnie istotna w stanie faktycznym jak niniejszy, gdzie z uwagi na jego specyfikę wskazane osoby same nie mogą reprezentować swojego interesu, lecz musi go uwzględnić z urzędu organ. Stąd powinna znaleźć wyjaśnienie w uzasadnieniu decyzji, stosownie do art. 107 § 3 k.p.a., pozwalające zweryfikować, że organ wziął pod uwagę wszystkie istotne w sprawie wartości prawne, ocenił je z należytą uwagą i proporcjonalnością, a następnie przyznał prymat określonym z nich z uwagi na sprecyzowane argumenty na gruncie konkretnego stanu faktycznego.

Z tych też względów Naczelny Sąd Administracyjny uznał, że zaskarżony wyrok Sądu pierwszej instancji odpowiada prawu, gdyż obie decyzje GIODO wymagały uchylenia, wobec czego stosownie do art. 184 p.p.s.a. oddalił obie skargi kasacyjne. Zarazem orzekł o kosztach na podstawie art. 204 pkt 2 p.p.s.a.