Centralna Baza Orzeczeń Sądów Administracyjnych

Naczelny Sąd Administracyjny w składzie: Przewodniczący: sędzia NSA Izabella Kulig – Maciszewska Sędziowie sędzia NSA Małgorzata Borowiec (spr.) sędzia del. WSA Maria Werpachowska Protokolant asystent sędziego Ewa Dubiel po rozpoznaniu w dniu 15 lipca 2011 r. na rozprawie w Izbie Ogólnoadministracyjnej skargi kasacyjnej Generalnego Inspektora Ochrony Danych Osobowych od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 1 grudnia 2010 r. sygn. akt II SA/Wa 1212/10 w sprawie ze skargi T.W. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] czerwca 2010 r. nr [...] w przedmiocie ochrony danych osobowych uchyla zaskarżony wyrok i przekazuje sprawę Wojewódzkiemu Sądowi Administracyjnemu w Warszawie do ponownego rozpoznania.

Wojewódzki Sąd Administracyjny w Warszawie wyrokiem z dnia 1 grudnia 2010 r. sygn. akt II SA/Wa 1212/10 po rozpoznaniu sprawy ze skargi T.W. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] czerwca 2010 r. nr [...] w przedmiocie ochrony danych osobowych: 1) uchylił zaskarżoną decyzję oraz poprzedzającą ją decyzję z dnia [...] maja 2008 r.; 2) orzekł, że zaskarżona decyzja nie podlega wykonaniu w całości; 3) przyznał ze środków budżetowych Wojewódzkiego Sądu Administracyjnego w Warszawie na rzecz adwokata K.Cz. kwotę 240 (dwieście czterdzieści) złotych powiększoną o kwotę 52,80 (pięćdziesiąt dwa złote 80/100) stanowiącą 22% podatku VAT tytułem nieopłaconej pomocy prawnej przyznanej z urzędu.

Wyrok został wydany w następujących okolicznościach faktycznych i prawnych sprawy.

T.W. zwrócił się w dniu 15 stycznia 2008 r. do Generalnego Inspektora Ochrony Danych Osobowych ze skargą w sprawie przetwarzania jego danych osobowych przez [...] Sp. z o.o. z siedzibą we Wrocławiu, właściciela strony internetowej [...]. Poinformował, iż na stronie internetowej [...] (obecnie [...]) zamieszczono zdjęcie klasowe, na którym on się znajduje. Pod zdjęciem wymieniono imiona i nazwiska umieszczonych na nim osób, w sposób pozwalający na ustalenie wizerunku. Wyjaśnił, że zwracał się do portalu [...] z żądaniem usunięcia podpisu pod tym zdjęciem (w dniach 2, 9 i 14 stycznia 2008 r.), lecz nie zostało ono spełnione.

Generalny Inspektor Ochrony Danych Osobowych w wyniku przeprowadzonego postępowania ustalił, że w dniu 31 grudnia 2007 r. zarejestrowany użytkownik ww. portalu opublikował zdjęcie klasowe uczniów klasy VIIb ze Szkoły Podstawowej nr 152 w W. Następnie inny zarejestrowany użytkownik, umieścił pod ww. fotografią imiona i nazwiska osób znajdujących się na tym zdjęciu, w tym dane T.W. W związku z powyższym wyżej wymieniony wystąpił do Spółki o usunięcie jego danych osobowych z ww. portalu. Organ stwierdził, że informacje o imieniu i nazwisku wnioskodawcy oraz szkole i klasie, do której uczęszczał w połączeniu z jego wizerunkiem są danymi osobowymi, zaś administratorem tych danych jest [...] Sp. z o.o. Spółka jest podmiotem, który na podstawie przepisów ustawy z dnia 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną (Dz.U. Nr 144, poz. 1204 ze zm.) na rzecz zarejestrowanych użytkowników portalu świadczy usługę drogą elektroniczną, polegającą na przechowywaniu danych użytkowników w systemie teleinformatycznym, co stanowi przesłankę legalizującą przetwarzanie danych osobowych, zgodnie z art. 23 ust. 1 pkt 5 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz.U. z 2002 r. Nr 101, poz. 926 ze. zm.). W ocenie Generalnego Inspektora Ochrony Danych Osobowych prawa wnioskodawcy nie zostały zatem naruszone, gdyż dostęp do jego danych jest ograniczony do grupy osób zarejestrowanych na powyższym portalu.

Z tych względów decyzją z dnia [...] maja 2008 r. nr [...] odmówił uwzględnienia wniosku T.W.

W dniu 3 czerwca 2008 r. T.W. złożył wniosek o ponowne rozpatrzenie sprawy, podnosząc, że uzasadnienie decyzji zawiera wiele sprzeczności, nieścisłości i jest niejednoznaczne. Podkreślił, iż jego dane osobowe zostały opublikowane na portalu bez jego wiedzy i zgody, co narusza jego prawa i wolności obywatelskie.

Generalny Inspektor Ochrony Danych Osobowych, po rozpoznaniu ww. wniosku, decyzją z dnia [...] września 2008 r. nr [...] uchylił zaskarżoną decyzję z dnia [...] maja 2008 r. i umorzył postępowanie.

W uzasadnieniu decyzji podał, że ponowna analiza sprawy prowadzi do wniosku, że kwestionowane informacje nie mieszczą się w definicji danych osobowych. Imię i nazwisko T.W. zostało podane pod jego wizerunkiem sprzed wielu lat, a samo zestawienie zdjęcia z przeszłości wraz z imieniem i nazwiskiem określonej osoby oraz szkoły podstawowej, do której uczęszczała nie pozwala na identyfikację tej osoby bez nadmiernych kosztów i czasu.

Powyższa decyzja stała się przedmiotem skargi wniesionej przez T.W. do Wojewódzkiego Sądu Administracyjnego w Warszawie, który wyrokiem z dnia 3 marca 2009 r. sygn. akt II SA/Wa 1495/08 uchylił zaskarżoną decyzję.

W uzasadnieniu wyroku odwołując się do treści art. 6 ust. 2 cyt. ustawy o ochronie danych osobowych podał, że dane osobowe, to nie tylko wiadomości dotyczące aktualnej sytuacji osoby fizycznej, ale także informacje odnoszące się do tego, co robiła i kim była w przeszłości, które podlegają ochronie przewidzianej w przepisach powołanej ustawy. Stwierdził, że ujawnione na portalu internetowym [...] informacje o skarżącym są danymi osobowymi, podlegającymi ochronie, gdyż na ich podstawie można zidentyfikować jego osobę.

Naczelny Sąd Administracyjny wyrokiem z dnia 18 listopada 2009 r. sygn. akt I OSK 667/09 skargę kasacyjną [...] Sp. z o.o. z siedzibą we Wrocławiu. oddalił.

Po ponownym rozpatrzeniu sprawy, Generalny Inspektor Ochrony Danych Osobowych decyzją z dnia [...] czerwca 2010 r. nr [...], uchylił swoją wcześniejszą decyzję z dnia [...] maja 2008 r. nr [...] i odmówił uwzględnienia wniosku.

W uzasadnieniu decyzji podał, iż dane osobowe skarżącego w zakresie utrwalonym na fotografii publikowanej na stronie [...] oraz zamieszczone tam podpisy nie są aktualnie podawane do publicznej wiadomości. Wskazał, że Spółka nadal przetwarza ww. dane na serwerze oraz w pamięci systemu w celach dowodowych. Dokonuje tego na podstawie art. 23 ust 1 pkt 5 cyt. ustawy o ochronie danych osobowych. Jest to bowiem niezbędne dla wypełnienia prawnie usprawiedliwionego celu realizowanego przez administratora danych i nie narusza praw i wolności osoby, której dane dotyczą. Stwierdził, iż zgłoszone przez skarżącego w stosunku do Spółki zastrzeżenia odnośnie legalności przetwarzania jego danych i zapowiedzi skierowania sprawy na drogę sądową uprawnia ją do utrwalenia tych danych i zachowania ich dla celów dowodowych na wypadek dochodzenia ewentualnych roszczeń. Ponadto za usprawiedliwiony powód przetwarzania ww. danych osobowych uznał możliwość ustalenia odpowiedzialności usługobiorcy za naruszenie regulaminu usługodawcy. W ocenie organu skoro skarżący twierdzi, że jego dane osobowe zostały umieszczone na portalu przez osobę trzecią (usługobiorcę portalu), która w ten sposób naruszyła regulamin usługodawcy, to Spółka w oparciu o te dane, będzie mogła na podstawie art. 21 ust 1 ustawy o świadczeniu usług drogą elektroniczną określić odpowiedzialność usługobiorcy, który te dane zamieścił.

Powyższa decyzja stała się przedmiotem skargi T.W. do Wojewódzkiego Sądu Administracyjnego w Warszawie, w której zarzucił, iż jest ona sprzeczna z wyrokiem Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 3 marca 2009 r. sygn. akt II SA/Wa 1495/08 oraz wyrokiem Naczelnego Sądu Administracyjnego z dnia 18 listopada 2009 r. sygn. akt I OSK 667/09. Z kolei, w piśmie uzupełniającym skargę zarzucił naruszenie prawa procesowego oraz prawa materialnego, poprzez uznanie, że zgromadzone na portalu jego dane osobowe nie są danymi objętymi ochroną na podstawie przepisów cyt. ustawy o ochronie danych osobowych.

Generalny Inspektor Ochrony Danych Osobowych w odpowiedzi na skargę wniósł o jej oddalenie, podtrzymując stanowisko przedstawione w zaskarżonej decyzji.

Wojewódzki Sąd Administracyjny w Warszawie uznał, że skarga zasługuje na uwzględnienie.

W uzasadnieniu wyroku stwierdził, że istota niniejszej sprawy sprowadza się do ustalenia, czy administrator portalu [...] jest administratorem danych osobowych T.W., a w związku z tym, czy jest uprawniony do przetwarzania jego danych na podstawie art. 23 ust 1 pkt 5 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz.U. z 2002 r. Nr 101, poz. 926 ze zm.).

Odwołując się do treści art. 7 pkt 4 w zw. z art. 3 cyt. ustawy o ochronie danych osobowych wskazał, że administratorem danych jest organ, jednostka organizacyjna, podmiot lub osoba, decydujące o celach i środkach przetwarzania danych osobowych. Z kolei, zgodnie z art. 7 pkt 2 tej ustawy "przetwarzanie danych", to jakiekolwiek operacje wykonywane na danych osobowych, takie jak zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie, a zwłaszcza te, które wykonuje się w systemach informatycznych.

Zdaniem Sądu pierwszej instancji [...] Sp. z o.o. z siedzibą we Wrocławiu – właściciel strony internetowej [...] jest administratorem danych osobowych T.W., ponieważ obecnie przetwarza je, poprzez ich przechowywanie.

Ochrona danych osobowych polega na określeniu, kiedy ich przetwarzanie jest dozwolone, a kiedy zabronione. Zasady przetwarzania danych osobowych określa rozdział 3. cyt. ustawy o ochronie danych osobowych, zaś przesłanki legalizujące ich przetwarzanie wymienia art. 23 ust. 1 tej ustawy.

Sąd pierwszej instancji wskazał, że w ocenie organu Spółka przetwarza dane osobowe skarżącego na podstawie art. 23 ust 1 pkt 5 omawianej ustawy. Przepis ten stanowi, że przetwarzanie danych jest dopuszczalne tylko wtedy, gdy jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą.

Powyższa przesłanka legalizacyjna wprowadza klauzule o charakterze ogólnym. Przetwarzanie danych osobowych bez zgody osoby, której dane dotyczą jest dopuszczalne w przypadku zaistnienia łącznie następujących okoliczności: a) przetwarzanie jest niezbędne dla wypełnienia prawnie usprawiedliwionych celów administratora danych lub odbiorcy danych, b) przetwarzanie danych nie narusza praw i wolności osoby, której dane dotyczą (por. P. Barta, P. Litwiński, Ustawa o ochronie danych osobowych. Komentarz, Wydawnictwo C.H. BECK, Warszawa 2009, s. 228 i nast.).

Sformułowanie "prawnie usprawiedliwione cele", o którym mowa w tym przepisie jest pojęciem niedookreślonym, które daje administratorowi pewien luz decyzyjny, a z drugiej strony nakłada nań obowiązek i ryzyko oceny, czy jego działalność jest prawnie dopuszczalna. Organ badając występowanie tej podstawy legalizacyjnej obowiązany jest kierować się oceną indywidualną konkretnej sytuacji, a także pewnymi zasadami nie skonkretyzowanymi przepisami prawa. Ocenie podlega cel, który administrator zamierza osiągnąć, czy jest on usprawiedliwiony, tj. czy znajduje swoje gospodarcze i prawne uzasadnienie. W świetle art. 23 ust. 4 ww. ustawy za prawnie usprawiedliwiony cel, o którym mowa w ust. 1 pkt 5, uważa się w szczególności: 1) marketing bezpośredni własnych produktów lub usług administratora danych, 2) dochodzenie roszczeń z tytułu prowadzonej działalności gospodarczej. Przy czym, mówiąc o naruszeniu praw i wolności obywatelskich należy odnieść się do katalogu praw i wolności uwzględnionych w Konstytucji RP. Sąd pierwszej instancji stwierdził, że kwestia zastosowania art. 23 ust 1 pkt 5 tej ustawy wymaga wyważenia interesów administratora danych i osoby, której dane dotyczą, związanych z jednej strony z realizacją prawnie usprawiedliwionych celów administratora, z drugiej natomiast z ochroną prywatności osoby, której dane dotyczą.

Zdaniem Sądu pierwszej instancji okoliczność, że skarżący skierował pod adresem Spółki zastrzeżenia odnośnie legalności przetwarzania jego danych i zapowiedział skierowanie sprawy na drogę sądową, nie wypełnia przesłanki prawnie usprawiedliwionego celu przetwarzania danych skarżącego. Wbrew stanowisku organu Spółka nie była zatem uprawniona do utrwalenia danych osobowych skarżącego i zachowania ich dla celów dowodowych na wypadek dochodzenia przez niego ewentualnych roszczeń.

Przesłanka, określona w art. 23 ust 1 pkt 5 cyt. ustawy o ochronie danych osobowych dotyczy bowiem sytuacji już istniejącej i pewnej, a więc przypadku, gdy istnieje potrzeba udowodnienia, potrzeba dochodzenia roszczenia z tytułu prowadzonej działalności gospodarczej, nie zaś sytuacji, gdy dane są przetwarzane na wypadek ewentualnego procesu i ewentualnej potrzeby udowodnienia, iż zostały pozyskane i były przetwarzane zgodnie z prawem. Tymczasem skarżący jedynie zapowiedział skierowanie sprawy na drogę sądową, lecz zapowiedzi tej nie zrealizował. A zatem Spółka nie może przetwarzać danych osobowych skarżącego tylko w celu zabezpieczenia się przed ewentualnym jego przyszłym i niepewnym roszczeniem.

Sąd pierwszej instancji wskazał, że okoliczność, w jakich Spółka weszła w posiadanie danych osobowych skarżącego jest niesporna. Nie istnieje zatem dodatkowa potrzeba udowadniana tego faktu, gdyż spór dotyczy usunięcia danych, które pozyskano bez zgody skarżącego.

Ponadto stwierdził, że w sprawie doszło do naruszenia prawa do prywatności skarżącego. Dane osobowe skarżącego zostały udostępnione bez jego zgody, a jego wyraźny sprzeciw spowodował dalsze nielegalne przetwarzanie danych. Ponadto na portalu zaczęły pojawiać się niekorzystne dla skarżącego opinie i wypowiedzi. Okoliczności tych organ nie wziął pod uwagę błędnie przyjmując, że skoro skarga, na podstawie której wszczęto postępowanie, dotyczyła umieszczenia jednego zdjęcia z wizerunkiem skarżącego i podpisu pod tym zdjęciem, to w postępowaniu powinien ograniczyć się jedynie do tej okoliczności. W ocenie Sądu pierwszej instancji takie działanie organu nie wypełnia jednak obowiązku dokładnego zbadania całokształtu sprawy i wyjaśnienia jej okoliczności.

Zdaniem Sądu pierwszej instancji, wbrew twierdzeniu organu, że dane skarżącego są przechowywane przez Spółkę dla celów wskazanych w art. 21 ust 1 ustawy z dnia 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną (Dz.U. Nr 144, poz. 1204), tj. dla określenia odpowiedzialności usługobiorcy, w tym, wypadku nie stanowi to przesłanki usprawiedliwiającej przetwarzanie jego danych osobowych.

Przepis ten stanowi, że w przypadku uzyskania przez usługodawcę wiadomości o korzystaniu przez usługobiorcę z usługi świadczonej drogą elektroniczną niezgodnie z regulaminem lub z obowiązującymi przepisami (niedozwolone korzystanie), usługodawca może przetwarzać dane osobowe usługobiorcy w zakresie niezbędnym do ustalenia odpowiedzialności usługobiorcy, pod warunkiem, że utrwali dla celów dowodowych fakt uzyskania oraz treść tych wiadomości.

Wojewódzki Sąd Administracyjny w Warszawie stwierdził, że przepis ten dotyczy tylko usługodawcy i usługobiorcy, natomiast skarżący nie jest usługobiorcą Spółki, a jego dane osobowe znalazły się na portalu prowadzonym przez Spółkę wbrew jego woli i wiedzy. Z tego względu uznał, że przepis ten nie może mieć zastosowania do przetwarzania danych skarżącego. Nie można także przyjąć, że dane osobowe skarżącego są przechowywane jako "dowód naruszenia regulaminu przez usługobiorcę", gdyż dla powyższego celu wystarczający jest sam fakt zamieszczenia danych osoby bez jej zgody i wiedzy np. z opisaniem okoliczności zdarzenia, daty i miejsca, bez przechowywania samych danych osobowych.

W konsekwencji Sąd pierwszej instancji stwierdził, że przytoczone okoliczności świadczą o zaniedbaniu organu w zakresie ustalenia rzeczywistego stanu faktycznego sprawy. Wskazał, że organ rozpoznając sprawę ponownie uwzględni rozważania Sądu w zakresie przetwarzania danych osobowych skarżącego przez Naszą-Klasę Sp. z o.o.

Z tych względów, na podstawie art. 145 § 1 pkt 1 lit. c w związku z art. 152 ustawy z 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (Dz.U. Nr 153, poz. 1270 ze zm., dalej: P.p.s.a.), orzekł jak w pkt 1 i 2 sentencji wyroku.

Skargę kasacyjną od powyższego wyroku wniósł do Naczelnego Sądu Administracyjnego Generalny Inspektor Ochrony Danych Osobowych reprezentowany przez radcę prawnego i zaskarżając go w całości zarzucił naruszenie przepisu postępowania, które miało istotny wpływ na wynik sprawy, tj. art. 145 § 1 pkt 1 lit. c P.p.s.a poprzez jego niewłaściwe niezastosowanie skutkujące niezasadnym uchyleniem decyzji Generalnego Inspektora Ochrony Osobowych z dnia [...] czerwca 2010 r. (znak: [...]) i poprzedzającej ją decyzji z dnia [...] maja 2008 r. (znak: [...]) wobec przyjęcia, że organ dokonał nieprawidłowej wykładni art. 23 ust. 1 pkt 5 cyt. ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych, w konsekwencji czego bezpodstawnie ocenił proces kwestionowania przetwarzania danych osobowych T.S.W. przez Naszą Klasę Sp. z o.o. z siedzibą we Wrocławiu za uprawniony w świetle ww. przepisu, przy jednoczesnym błędnym założeniu przez Sąd pierwszej instancji, że organ naruszył obowiązek dokładnego wyjaśnienia sprawy z uwzględnieniem całokształtu istotnych jej okoliczności na skutek bezpodstawnego ograniczenia się do przeprowadzenia postępowania w zakresie określonym w skardze inicjującej to postępowanie.

Wskazując na powyższą podstawę skargi kasacyjnej wniósł o uchylenie zaskarżonego wyroku w całości i przekazanie sprawy Wojewódzkiemu Sądowi Administracyjnemu w Warszawie do ponownego rozpoznania.

W uzasadnieniu skargi kasacyjnej zakwestionował stanowisko Sądu pierwszej instancji, który uznał, że organ naruszył obowiązek dokładnego zbadania i wyjaśnienia sprawy. Autor skargi kasacyjnej odwołując się do art. 61 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz.U. z 2000 r. Nr 98, poz. 1071 ze zm.) dalej w skrócie K.p.a., w zw. z art. 28 K.p.a. stwierdził, że zakres postępowania prowadzonego przez Generalnego Inspektora Ochrony Danych Osobowych determinował wniosek skarżącego inicjujący to postępowanie. Podkreślił, że wniosek strony powoduje wszczęcie postępowania przed organem, a także określa zakres sprawy administracyjnej. W związku z powyższym stwierdził, że skoro pierwotna skarga T.W. do organu, na podstawie której zostało wszczęte postępowanie, dotyczyła żądania usunięcia podpisu pod zdjęciem, ukarania portalu za niedopełnienie obowiązku, to miał on obowiązek ograniczenia zakresu przedmiotowego postępowania tylko do wyjaśniania tej kwestii. W toku postępowania skarżący nie zmodyfikował zakresu swojego żądania w ten sposób, aby odnosiło się ono do innych danych osobowych niż te utrwalone na fotografii klasowej wraz z podpisem z adresu: [...].

Generalny Inspektor Ochrony Danych Osobowych wskazał, że zakres przedmiotowy sprawy nie budzi żadnych wątpliwości i nie został zakwestionowany zarówno w wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 3 marca 2009 r. sygn. akt II SA/Wa 1495/08, jak i w wyroku Naczelnego Sądu Administracyjnego z dnia 18 listopada 2009 r. sygn. akt I OSK 667/09. Podkreślił, że zawarta w uzasadnieniach tych wyroków ocena odnosiła się do ściśle określonych danych osobowych, tj. zdjęcia z wizerunkiem skarżącego wraz z jego podpisem określającym jego imię i nazwisko. Wskazał, że sam skarżący miał problem z ustaleniem, czy na jego temat w serwisie [...] istnieją inne publikacje dotyczące jego osoby, (pismo z dnia 30 października 2010 r.).

Autor skargi kasacyjnej odwołując się do treści art. 63 § 2 K.p.a. stwierdził, że obowiązkiem skarżącego jako strony postępowania było precyzyjne określenie zakresu przedmiotowego sprawy. W przypadku postępowania dotyczącego ochrony danych osobowych organ prowadzący postępowanie nie może samodzielnie ustalać umieszczenie których informacji dotyczących strony jest przez nią kwestionowane. Ponadto podał, że w dniu 10 września 2010 r. skarżący zainicjował przed Generalnym Inspektorem Ochrony Danych Osobowych kolejne postępowanie administracyjne w przedmiocie przetwarzania jego danych osobowych przez Spółkę (sygn. akt: [...]), w którym wskazał na okoliczność publikowania przez Spółkę na portalu [...] fotografii, na których utrwalony został m.in. jego wizerunek (innych niż zdjęcie publikowane pod adresem [...].

W ocenie autora skargi kasacyjnej organ prawidłowo zakresem prowadzonego postępowania objął kwestię przetwarzania przez Spółkę danych osobowych skarżącego w zakresie utrwalonym na ściśle określonej fotografii klasowej (publikowanej pierwotnie pod adresem[...] oraz podpisie do niej. Jednakże z uwagi na zgłoszony w toku postępowania przez skarżącego zarzut bezprawnego "przetwarzania" przez Spółkę jego danych osobowych mimo ustalenia, że zarówno zdjęcie z wizerunkiem skarżącego wraz z podpisem nie są obecnie publikowane, a dane te są obecnie wyłącznie przechowywane na serwerze Spółki, w celach dowodowych dokonał merytorycznej oceny legalności tego procesu.

Stwierdził, że Spółka przetwarza dane osobowe T.W. na podstawie art. 23 ust. 1 pkt 5 cyt. ustawy o ochronie danych osobowych. Zgłoszone przez skarżącego zastrzeżenie odnośnie legalności realizowanego przez Spółkę procesu przetwarzania jego danych osobowych i zapowiedzi skierowania sprawy na drogę sądową uprawniały Spółkę do ich utrwalenia i przechowywania dla celów dowodowych. Skarżący może bowiem dochodzić roszczeń związanych z naruszeniem jego dóbr osobistych na podstawie przepisów Kodeksu cywilnego. Zachowanie tych danych dowodowych stanowi usprawiedliwiony cel.

Generalny Inspektor Ochrony Danych Osobowych wskazał, że istota sporu pomiędzy Spółką a Skarżącym sprowadza się do kwestii dotyczących okoliczności i legalności pozyskania przez Spółkę i zamieszczenia w serwisie [...] danych osobowych skarżącego. Spółka utrzymuje, że osoba, która na tym portalu dane te umieściła, uczyniła to po uprzedniej akceptacji regulaminu serwisu, oświadczając tym samym, że wszelkie informacje o osobach trzecich zamieszcza za ich zgodą i wiedzą, natomiast skarżący powyższe kwestionuje. Ponadto organ podkreślił, że skarżącemu przysługują w stosunku do Spółki także roszczenia na podstawie przepisów cyt. ustawy o ochronie danych osobowych.

W konsekwencji autor skargi kasacyjnej stwierdził, że Spółka była uprawniona do przetwarzania ww. danych osobowych skarżącego na podstawie art. 23 ust. 1 pkt 5 cyt. ustawy o ochronie danych osobowych. Usprawiedliwionym celem Spółki jest przetwarzanie tych danych polegające na ich przechowywaniu dla celów dowodowych związanych z dochodzeniem przez skarżącego powyższych roszczeń a nie na publikacji w serwisie [...]. Opisane przetwarzanie danych osobowych nie narusza jakiegokolwiek prawa lub wolności skarżącego, lecz służy ochronie interesów Spółki jako podmiotu, wobec którego mogą być kierowane ewentualne roszczenia skarżącego. Wskazał, że w odpowiedzi na pierwsze żądanie skarżącego, Spółka pismem z dnia 17 stycznia 2008 r. poinformowała go, że fakt zamieszczenia zdjęcia został zarchiwizowany celem wykorzystania jako materiał dowodowy w ewentualnym procesie i wówczas nie było to przez niego kwestionowane.

W ocenie Generalnego Inspektora Ochrony Danych Osobowych, skoro kwestionowane dane osobowe nie są aktualnie publikowane na portalu [...] (nie są dostępne dla użytkowników tego portalu) a ich przetwarzanie ogranicza się do przechowywania "na serwerze" i "w pamięci systemu" to nie można zgodzić się ze stanowiskiem zaprezentowanym w uzasadnieniu zaskarżonego wyroku, że pomiędzy ww. procesem przetwarzania a pojawieniem się dalszych niekorzystnych dla skarżącego opinii i wypowiedzi istnieje tego rodzaju korelacja, że zaprzestanie kwestionowanego przetwarzania danych osobowych przez Spółkę spowodowałoby zaprzestanie pojawiania się na portalu dalszych niekorzystnych dla skarżącego opinii i wypowiedzi, a w konsekwencji, że opisane przetwarzanie danych osobowych przez Spółkę wiąże się z naruszeniem jakichkolwiek praw i wolności skarżącego. Prawa do prywatności nie można rozumieć w ten sposób, że uniemożliwia ono przetwarzanie danych osobowych w warunkach o jakim mowa ww. przepisie, gdyż przetwarzanie to nie jest zależne od zgody skarżącego.

Poza tym, autor skargi kasacyjnej odwołując się do postanowień ogólnodostępnego dla użytkownika serwisu internetowego [...] regulaminu wskazał, że każda osoba otrzymuje dostęp do usług tego serwisu dopiero po jego akceptacji. Regulamin ten przewiduje, iż jego akceptacja jest równoznaczna z oświadczeniem użytkownika serwisu, że wszelkie dane umieszczane przez niego w ramach jego konta są zgodne z prawem i nie naruszają praw osób trzecich, a osoby, których wizerunek został przez użytkownika umieszczony na jego upublicznienie dobrowolnie i legalnie na to zezwoliły. Zgodnie z art. 21 ust. 1 ustawy z dnia 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną, w przypadku uzyskania przez usługodawcę wiadomości o korzystaniu przez usługobiorcę z usługi świadczonej drogą elektroniczną niezgodnie z regulaminem lub z obowiązującymi przepisami (niedozwolone korzystanie), usługodawca może przetwarzać dane osobowe usługobiorcy w zakresie niezbędnym do ustalenia odpowiedzialności usługobiorcy, pod warunkiem, że utrwali dla celów dowodowych fakt uzyskania oraz treść tych wiadomości. W takiej sytuacji po stronie Spółki wystąpił prawnie usprawiedliwiony cel przetwarzania danych osobowych skarżącego dla celów dowodowych.

W konsekwencji Generalny Inspektor Ochrony Danych Osobowych uznał, że ponowie rozpatrując sprawę nie mógł uwzględnić wniosku skarżącego, gdyż był zobowiązany do uwzględnienia zmiany stanu faktycznego sprawy. Ponowne rozpatrzenie sprawy nie ogranicza się bowiem do oceny prawidłowości kwestionowanej decyzji, lecz do rozstrzygnięcia sprawy w całości, z uwzględnieniem wszelkich zmian stanu faktycznego i prawnego zaistniałych po wydaniu decyzji przez organ pierwszej instancji.

T.W. reprezentowany przez adwokata w odpowiedzi na skargę kasacyjną wniósł o jej oddalenie oraz zasądzenie od organu na rzecz skarżącego kosztów postępowania kasacyjnego, w tym kosztów nieopłaconej pomocy prawnej świadczonej z urzędu.

W uzasadnieniu odpowiedzi na skargę kasacyjną jej autor wskazał, iż organ orzekający w sprawie był zobowiązany do dokładnego wyjaśnienia stanu faktycznego (art. 7 K.p.a.) oraz należytego i wyczerpującego informowania skarżącego o okolicznościach faktycznych i prawnych, które mogą mieć wpływ na ustalenie jego praw i obowiązków (art. 9 K.p.a.), które to działania służą prawidłowemu zakreśleniu granic sprawy. Podkreślił, że żądanie skarżącego dotyczyło usunięcia wszystkich jego danych osobowych z portalu [...] i zaprzestania ich przetwarzania. Wyjaśnił, że wprawdzie w momencie składnia skargi żądanie to odnosiło się jedynie do jednego zdjęcia, o którym wiedział, jednakże skoro nie jest on użytkownikiem tego portalu, to nie ma obowiązku znać jego pełnej zawartości. Wskazał, że zakres przedmiotowy obejmujący przetwarzanie wszelkich jego danych osobowych na ww. portalu został wyraźnie zakreślony w piśmie jego pełnomocnika stanowiącym uzupełnienie skargi.

Odnosząc się do zarzutu naruszenia art. 23 ust. 1 pkt 5 cyt. ustawy o ochronie danych osobowych stwierdził, że organ nie dokonał prawidłowej oceny legalności procesu przetwarzania danych osobowych skarżącego, gdyż samo ustalenie, iż administrator danych osobowych realizuje prawnie dopuszczalny cel nie przesądza o dopuszczalności ich przetwarzania. Niezbędne jest wyważenie interesów administratora danych osobowych oraz osoby, której dane dotyczą przy uwzględnieniu celu ustawy, którym jest ochrona prywatności. Autor odpowiedzi na skargę kasacyjną podzielił stanowisko Sądu pierwszej instancji, iż sama zapowiedź skierowania sprawy na drogę sądowa nie stanowi przesłanki legalizującej przetwarzanie danych osobowych na podstawie art. 23 ust. 1 pkt 5 powołanej ustawy. Za nietrafne uznał również argumenty organu dotyczące dopuszczalności przetwarzania danych w terminie wynikającym z przepisów K.c. o przedawnieniu roszczeń. Przy czym, nie ma w tej sytuacji znaczenia, iż przetwarzanie tych danych nie jest związane z ich opublikowaniem. W ocenie skarżącego, skoro nie jest on użytkownikiem ww. portalu, a zatem nie jest usługobiorcą świadczonych przez Spółkę usług, to w okolicznościach niniejszej sprawy nie ma zastosowania art. 21 ust. 1 ustawy z dnia 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną. Na podstawie tego przepisu administrator danych osobowych może przetwarzać bowiem tylko dane osobowe usługobiorców.

Poza tym, odwołując się do art. 47 Konstytucji RP oraz art. 7 pkt f Dyrektywy 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych (Dz.U.UE L z dnia 23 listopada 1995 r.) stwierdził, że skoro ochrona danych osobowych wynika z prawa do prywatności, to dopuszczalność przetwarzania danych osobowych wymaga rzeczywistego wyważenia interesów osoby, której te dane dotyczą oraz interesów administratora. W tej sprawie przetwarzanie danych osobowych skarżącego przez Spółkę nie jest ani uzasadnione, ani niezbędne.

Uczestnik postępowania – [...] w piśmie procesowym z dnia 20 kwietnia 2011 r. stwierdziła, że Sąd pierwszej instancji dopuścił się naruszenia art. 145 § 1 pkt 1 lit. c P.p.s.a.

Podał, że przetwarzanie przez nią danych osobowych skarżącego w oparciu o art. 23 ust. 1 pkt 5 cyt. ustawy o ochronie danych osobowych było prawidłowe, gdyż przedmiotowe zdjęcie jest dowodem w sprawie karnej prowadzonej w postępowaniu przygotowawczym przez Komisariat Policji W. – R. W tej sytuacji usunięcie z systemu danych osobowych skarżącego stanowiłoby zacieranie dowodów i mogło skutkować jej odpowiedzialnością karną. Oznacza to, że przetwarzanie tych danych jest konieczne i posiada prawnie usprawiedliwiony cel.

Poza tym wskazała, że Naczelny Sąd Administracyjny w uzasadnieniu wyroku z dnia 18 listopada 2009 r. sygn. akt I OSK 667/09 odniósł się do przetwarzania zdjęcia oraz imienia i nazwiska, które uznał za dane osobowe podlegające ochronie. A zatem samo zdjęcie nie stanowi danych osobowych podlegających ochronie. Z kolei, odnosząc się do twierdzeń pełnomocnika skarżącego, iż żądanie dotyczy usunięcia wszystkich danych osobowych skarżącego, stwierdziła, że przetwarzane dane to wizerunek skarżącego na zdjęciu sprzed 30 lat, jego inicjały oraz pseudonim szkolny nie są danymi umożliwiającymi jego identyfikację, a zatem nie stanowią danych osobowych podlegających ustawowej ochronie.

Wskazała, że organ nie jest uprawniony do badania, czy na ww. portalu nie opublikowano jakichkolwiek danych skarżącego. Ponadto skoro kwestionowane dane zostały przez administratora danych osobowych usunięte, to postępowanie w tej sprawie podlegało umorzeniu. Podał, iż zgodnie z art. 15 ustawy z dnia 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną, podmiot, który świadczy usługi określone w art. 12–14, nie jest obowiązany do sprawdzania przekazywanych, przechowywanych lub udostępnianych przez niego danych, o których mowa w art. 12–14.

W ocenie Spółki nie jest ona administratorem danych osobowym skarżącego, skoro nie jest on użytkownikiem prowadzonego przez nią portalu. Podkreśliła, że administratorem danych osobowym nie jest każdy dysponent danych, lecz tylko ten kto decyduje o celach i środkach ich przetwarzania. Status administratora danych osobowych jest niezależny od ich przetwarzania, które może być dokonywane także przez inny podmiot. Spółka nie jest administratorem danych zawartych w komentarzach, wpisach, wypowiedziach lub zdjęciach publikowanych przez użytkowników portalu.

Naczelny Sąd Administracyjny zważył, co następuje:

Zgodnie z art. 183 § 1 P.p.s.a. Naczelny Sąd Administracyjny rozpoznaje sprawę w granicach skargi kasacyjnej, biorąc z urzędu pod rozwagę jedynie nieważność postępowania, której przesłanki określone w § 2 art. 183 P.p.s.a. w rozpoznawanej sprawie nie występują. Oznacza to, że przytoczone w skardze kasacyjnej przyczyny wadliwości zaskarżonego wyroku determinują zakres kontroli dokonywanej przez Sąd drugiej instancji.

Skarga kasacyjna zasługuje na uwzględnienie.

Jako trafny ocenić należy zarzut naruszenia przez Sąd pierwszej instancji art. 145 § 1 pkt 1 lit. c P.p.s.a.

Wojewódzki Sąd Administracyjny w Warszawie uznał, że Generalny Inspektor Ochrony Danych Osobowych przy rozpatrywaniu tej sprawy nie dopełnił obowiązku jej dokładnego zbadania i wyjaśnienia z uwzględnieniem całokształtu jej okoliczności. Stwierdził, że "(...) w niniejszej sprawie dane osobowe skarżącego zostały udostępnione bez jego zgody, a jego wyraźny sprzeciw spowodował dalsze nie przetwarzanie jego danych. Na portalu zaczęły bowiem pojawiać się – na co wskazał pełnomocnik skarżącego, dalsze niekorzystne dla skarżącego opinie i wypowiedzi. Tymczasem organ nie wziął pod uwagę powyższych okoliczności ustalając jedynie, że skoro pierwotna skarga, na podstawie której wszczęto postępowanie dotyczyła umieszczenia jednego zdjęcia z wizerunkiem skarżącego i podpisu pod tym zdjęciem, to w postępowaniu może ograniczyć się jedynie do tej okoliczności. Powyższe działanie organu nie wypełnia obowiązku dokładnego zbadania całokształtu sprawy i dokładnego wyjaśnienia okoliczności sprawy (...)".

Wskazać należy, iż w przypadku wszczęcia postępowania z wniosku strony, wynikające z niego żądanie wyznacza zakres sprawy podlegającej rozpoznaniu przez organ. Pierwotna skarga T.W., na podstawie której Generalny Inspektor Ochrony Danych Osobowych wszczął postępowanie dotyczyło umieszczenia jednego zdjęcia z jego wizerunkiem i podpisem pod tym zdjęciem. Także w toku postępowania administracyjnego nie sformułował on zarzutu nieuprawnionego przetwarzania jego danych osobowych w zakresie innym niż utrwalony na tej fotografii oraz w podpisie do niej, a także nie kierował pod adresem organu innych żądań. A zatem Generalny Inspektor Ochrony Danych Osobowych prawidłowo objął zakresem prowadzonego postępowania zagadnienie przetwarzania przez Spółkę jego danych osobowych w zakresie utrwalonym na ściśle określonej fotografii klasowej publikowanej pierwotnie pod adresem [...] oraz podpisie do niej.

Poza tym w uzasadnieniach wyroków wydanych w tej sprawie przez Wojewódzki Sąd Administracyjny w Warszawie (wyrok z dnia 3 marca 2009 r. sygn. akt II SA/Wa 1495/08) i przez Naczelny Sąd Administracyjny (wyrok z dnia 18 listopada 2009 r. sygn. akt I OSK 667/09) zawarta została ocena dokładnie określonych informacji na temat skarżącego publikowanych na portalu [...], a nie wszystkich ewentualnych informacji na jego temat ujawnionych na ww. portalu.

Ubocznie zauważyć należy, iż autor skargi kasacyjnej trafnie wskazał, ze organ ochrony danych osobowych nie posiada instrumentów prawnych, które umożliwiłyby mu wyręczanie strony w kwestii ustalenia okoliczności faktycznych, które ewentualnie mogą stać się przedmiotem zaskarżenia. Ponadto Sąd pierwszej instancji nie wskazał w jaki sposób organ ochrony danych osobowych miałby ustalać czy na portalu[...] przetwarzane są jakiekolwiek informacje na temat skarżącego oraz weryfikować, które z nich jego dotyczą. Przed wszystkim jednak skarżący w toku postępowania nie ustalił zakresu żądania.

Powyższe rozważania prowadzą do wniosku, że Sąd pierwszej instancji nakazał Generalnemu Inspektorowi Ochrony Danych Osobowych rozstrzygnięcie z urzędu o materii nieobjętej wnioskiem skarżącego.

Z tych względów Naczelny Sąd Administracyjny na podstawie art. 185 § 1 P.p.s.a. uchylił zaskarżony wyrok i przekazał sprawę do ponownego rozpoznania Wojewódzkiemu Sądowi Administracyjnemu w Warszawie.