Centralna Baza Orzeczeń Sądów Administracyjnych

Naczelny Sąd Administracyjny w składzie: Przewodniczący: sędzia NSA Małgorzata Jaśkowska (spr.) sędzia NSA Aleksandra Łaskarzewska sędzia del. WSA Mirosław Wincenciak Protokolant starszy inspektor sądowy Joanna Drapczyńska po rozpoznaniu w dniu 22 marca 2018 r. na rozprawie w Izbie Ogólnoadministracyjnej skargi kasacyjnej A. S. A. z siedzibą w W. od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 27 listopada 2015 r. sygn. akt II SA/Wa 1036/15 w sprawie ze skargi H. R. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] kwietnia 2015 r. nr [...] w przedmiocie przetwarzania danych osobowych 1. oddala skargę kasacyjną; 2. zasądza od A.S. A. z siedzibą w W. na rzecz H. R. kwotę 360 (trzysta sześćdziesiąt) złotych tytułem zwrotu kosztów postępowania kasacyjnego.

Zaskarżonym wyrokiem z dnia 27 listopada 2015 r. (sygn. akt II SA/Wa 1036/15) Wojewódzki Sąd Administracyjny w Warszawie, po rozpoznaniu skargi H. R. uchylił decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] kwietnia 2015 r. nr [...] w przedmiocie przetwarzania danych osobowych, a także zasądził na rzecz skarżącej zwrot kosztów postępowania.

Sąd I instancji orzekał w następującym stanie sprawy.

We wniosku z dnia 6 maja 2013 r. H. R. zażądała od Generalnego Inspektora Ochrony Danych Osobowych (dalej także jako: GIODO) nakazania Przedsiębiorstwu "A." S.A. – administratorowi portalu [...]– udostępnienia danych osobowych w zakresie imienia, nazwiska, adresu zamieszkania, adresu e-mail oraz numeru IP komputera autorów komentarzy opublikowanych na portalu [...], podpisujących się jako gość "[...]", który był autorem komentarza na [...] forum regionalnym z dnia [...] listopada 2010 r. z godz.[...]; gość "[...]", który był autorem komentarza na [...] forum regionalnym z dnia [...] listopada 2010 r. z godz. [...] oraz gość " [...]", który był autorem komentarza na [...] forum regionalnym z dnia [...] listopada 2010 r. z godz. [...]. W ocenie skarżącej wpisy te naruszyły jej dobra osobiste, a uzyskanie danych ich autorów jest konieczne w celu wystąpienia wobec tych użytkowników z powództwem o odszkodowanie. Skarżąca wskazała, że o ujawnienie danych bezskutecznie zwracała się do administratora portalu.

Decyzją z dnia 14 października 2014 r. GIODO odmówił nakazania Przedsiębiorstwu "A." S.A. z siedzibą w W. – administratorowi portalu [...] udostępnienia H. R. danych osobowych jego użytkowników określonych jako gość "[...]"; gość "[....]"; gość "[...]" – w zakresie imienia, nazwiska, adresu zamieszkania, adresu e-mail oraz numeru IP komputera, a następnie wspomnianą wyżej decyzją z dnia 22 kwietnia 2015 r. utrzymał w mocy swoje wcześniejsze rozstrzygnięcie.

W ramach przeprowadzonego postępowania organ do spraw ochrony danych osobowych ustalił, że osoby wskazane przez skarżącą dokonały wpisów w dniu 23 listopada 2010 r. na [...] forum regionalnym. Potwierdzona została okoliczność bezskutecznego wystąpienia skarżącej do administratora strony o ujawnienie danych tych osób. W wyjaśnieniach złożonych na żądanie organu Spółka podała, że otrzymała w dniu 24 listopada 2010 r. wiadomość elektroniczną zawierającą żądanie udostępnienia danych osobowych autorów przedmiotowych wpisów. Żądanie wydania obejmowało ogólnie ujęte "dane osobowe", bez wskazania, jakiego rodzaju danych wniosek dotyczy. W dniu 24 listopada 2010 r. "A." S.A. drogą elektroniczną odmówiła udostępnienia danych. Ponadto Spółka wskazała, iż zgłoszenie żądania udostępnienia danych nastąpiło w dniu 24 listopada 2010 r., tj. w okresie obowiązywania art. 29 ustawy o ochronie danych osobowych, który przewidywał wymogi formalne dla wniosku o udostępnienie danych, m.in. wymóg formy pisemnej oraz wskazania zakresu danych. Spółka podniosła także, iż w jej ocenie w przedmiotowej sprawie znajdowały zastosowanie przepisy ustawy o świadczeniu usług drogą elektroniczną, a ta zdaniem Spółki wprowadza własne, odrębne uregulowania w zakresie udostępniania danych osobowych oraz danych eksploatacyjnych, które nie przewidują udzielania informacji o takich danych podmiotom innym niż organy państwa.

GIODO stwierdził, że podmiot występujący do administratora o udostępnienie mu danych osobowych musi wykazać, iż legitymuje się jedną z przesłanek określonych w art. 23 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (obecnie: Dz. U. z 2016 r., poz. 922). Jeżeli żądanie oparte jest na podstawie art. 23 ust. 1 pkt 5 ustawy, wniosek skierowany do administratora danych powinien zawierać elementy pozwalające administratorowi na dokonanie oceny czy ich udostępnienie nie naruszy przepisów ustawy. Wniosek taki winien być umotywowany, wskazywać zakres i przeznaczenie żądanych danych osobowych oraz w sposób wiarygodny uzasadniać potrzebę ich udostępnienia.

Organ zaznaczył, że zdarzenie miało miejsce w listopadzie 2010 r., podczas kampanii przed wyborami samorządowymi, w których skarżąca brała udział jako kandydatka na prezydenta miasta [...]. Po ukazaniu się kwestionowanych komentarzy skarżąca wniosła drogą elektroniczną pismo z prośbą o udostępnienie danych osobowych autorów komentarzy na [...], wskazując, iż zmuszona jest wszcząć przeciwko nim postępowanie w trybie wyborczym. Nie sprecyzowała jednak, jakich dokładnie danych żąda. W tym samym dniu Spółka udzieliła odpowiedzi odmownej, powołując się na tajemnicę służbową oraz przepisy ustawy z dnia 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną (obecnie Dz. U. z 2017 r., poz. 1219), które zobowiązują usługodawcę do udzielenia informacji o danych usługobiorcy jedynie organom państwa na potrzeby prowadzonych przez nie postępowań. Rolą GIODO w rozpoznawanej sprawie była zatem ocena wniosku skarżącej z dnia 24 listopada 2010 r. i zasadności odmowy Spółki, w świetle przepisów obowiązujących w 2010 r. (art. 29 i art. 18 ust. 1 ustawy o ochronie danych osobowych).

GIODO uznał za bezsporne, iż wniosek skarżącej z dnia 24 listopada 2010 r. nie wskazywał zakresu żądanych danych osobowych. Już sam ten fakt czynił wniosek wadliwym, gdyż nie spełniał wymogów z art. 29 ustawy. Organ wskazał ponadto na wadliwość formalną wniosku, gdyż zgodnie z podglądami doktryny złożenie zapytania czy prośby za pośrednictwem poczty elektronicznej nie jest dozwolone, nawet jeśli towarzyszy temu odpowiednie uzasadnienie oraz informacje, do czego dane zostaną wykorzystane. Podzielił jednocześnie stanowisko zajęte w sprawie przez Spółkę A., związane z brakiem równowagi pomiędzy ochroną prawa do żądania informacji oraz możliwości rozstrzygnięcia sprawy przez sąd i prawem do prywatności oraz do poufności komunikacji. Wskazał, że osoby publiczne muszą liczyć się z krytyką swojego postępowania, a w konsekwencji w większym od przeciętnego zakresie muszą tolerować wypowiedzi krytyczne wobec własnej działalności (uzasadnienie wyroku Trybunału Konstytucyjnego z dnia 12 maja 2008 r., SK 43/05).

Organ podkreślił, że ponieważ celem pozyskania przez skarżącą danych osobowych użytkowników portalu internetowego była wola dochodzenia ochrony sądowej w trybie wyborczym, a więc w trybie szczególnym, związanym ściśle z odbywającymi się wówczas wyborami samorządowymi, to powyższa motywacja i argumentacja po zakończeniu wyborów straciła swą zasadność, a zarazem, w ocenie GIODO, nastąpiła niemożność wypełnienia wymogu przewidzianego w art. 29 ust. 4 ustawy, tj. wykorzystania danych wyłącznie zgodnie z przeznaczeniem, dla którego miałyby zostać udostępnione.

Od powyższej decyzji skargę wniosła H. R.

W odpowiedzi na skargę GIODO wniósł o jej oddalenie.

Wojewódzki Sąd Administracyjny w Warszawie wspomnianym na wstępie wyrokiem uznał, że skarga zasługuje na uwzględnienie.

Na wstępie uzasadnienia Sąd I instancji zwrócił uwagę, że we wniosku z dnia 6 maja 2013 r., skierowanym do GIODO, skarżąca wyraźnie wskazała zakres interesujących ją danych, a także wyjaśniła, że są one niezbędne w celu wszczęcia postępowania cywilnego. Podała również podstawę prawną żądania tj. art. 23 ust. 1 pkt 5 ustawy o ochronie danych osobowych, który stanowi, że przetwarzanie danych osobowych jest dopuszczalne tylko wtedy, gdy jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów, a w jej przypadku takim celem jest dochodzenie na drodze sądowej roszczeń wynikających z art. 24 Kodeksu cywilnego. W tym wniosku skarżąca nie wskazywała na wolę prowadzenia procesu w ramach trybu wyborczego. Tymczasem GIODO nie zajął się zbadaniem sprawy pod kątem wystąpienia przesłanek umożliwiających przetwarzanie danych osobowych do celów dochodzenia przez skarżącą jej roszczeń wynikających z art. 24 Kodeksu cywilnego, ale wszystkie swoje wywody odniósł do niemającego dla niniejszej sprawy żadnego znaczenia oświadczenia skarżącej z dnia 24 listopada 2010 r. o ewentualnym wystąpieniu przez nią z pozwem w trybie wyborczym.

Zdaniem WSA w Warszawie nieprawidłowe ustalenie przez organ właściwego celu H. R., dla którego domaga się ona udostępnienia danych osobowych określonych użytkowników portalu [...], stanowi istotny błąd organu, który musiał skutkować uchyleniem zaskarżonej decyzji.

Sąd I instancji uznał za bezsporne, że "A." S.A. była w listopadzie 2010 r. właścicielem portalu [...] i jednocześnie administratorem pewnych danych osobowych użytkowników tego portalu. Zatem, jako administrator danych, musiała posiadać bazę adresów e-mail użytkowników tego forum oraz ich tzw. "nik"-ów. Za oczywiste Sąd I instancji uznał, że użytkownicy musieli wcześniej dokonać logowania za pośrednictwem swojego adresu e-mail, w celu uzyskania "nik"-u. Zatem przypuszczalnie za pośrednictwem Policji istnieje możliwość ustalenia IP komputerów u dostawców internetu, a w dalszej kolejności ich imienia, nazwiska i adresu, które są niezbędne do sporządzenia pozwu cywilnego. Sąd I instancji zauważył, że Spółka nie twierdziła, że nie posiada żadnych danych objętych wnioskiem z dnia 6 maja 2013 r.

WSA w Warszawie stanął na stanowisku, że w państwie prawnym nie jest dopuszczalna ocena przez organ ochrony danych osobowych zasadności roszczenia danej osoby, a także wybranego przez nią trybu ich dochodzenia. Niedopuszczalne jest również akceptowanie sytuacji, w której osoba znieważająca innych może pozostać anonimowa i bezkarna wyłącznie z powodu dopuszczenia się zniewag za pośrednictwem forum internetowego. Osoby urażone wypowiedziami personalnymi powinny mieć możliwość sądowej ochrony własnego dobrego imienia i tylko sąd powszechny władny jest oceniać merytoryczną zasadność takich roszczeń.

Stąd też zdaniem Sądu I instancji jedynym zadaniem GIODO w niniejszym postępowaniu było zbadanie czy istotnie H. R. chce wystąpić z powództwem z art. 24 Kodeksu cywilnego i czy do takiego działania niezbędne jest pozyskanie danych osobowych określonych użytkowników portalu oraz czy wyrażona w tym postępowaniu administracyjnym przez administratora danych odmowa udostępnienia żądanych danych jest zasadna.

Odnosząc się do kwestii związanych z zastosowaniem w rozpoznawanej sprawie przepisów ustawy z dnia 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną Sąd I instancji uznał, że z art. 16 ust. 1 tej ustawy wynika, że ustawodawca nie wyłączył możliwości oceny problematyki ochrony danych osobowych w związku ze świadczeniem usług drogą elektroniczną przez pryzmat przepisów ustawy o ochronie danych osobowych. Z kolei art. 18 ust. 6 zawiera jedynie regulację odnoszącą się do udzielania spornych danych organom państwa. Nie odnosi się do materii udostępniania tych danych innym podmiotom. Skoro omawiany przepis nie dotyczy materii wspólnej z ustawą o ochronie danych osobowych, brak jest podstaw dla uznania, że wyłącza możliwość udzielenia kwestionowanych danych innym podmiotom niż organy państwa, na zasadach określonych w ustawie o ochronie danych osobowych (por. wyrok NSA dnia 21 sierpnia 2013 r., sygn. akt I OSK 1666/12).

Sąd I instancji za nietrafne uznał stanowisko organu, że zamiar wytoczenia powództwa jest niewystarczający dla możliwości uwzględnienia przez GIODO wniosku osoby znieważonej. Przepis art. 23 ust. 1 pkt 5 ustawy o ochronie danych osobowych stanowi o "prawnie usprawiedliwionych celach", a zamiar wytoczenia powództwa mieści się w tym pojęciu. Celem uzyskania spornych danych jest bowiem wytoczenie powództwa o ochronę dóbr osobistych. Sąd zwrócił uwagę, że elementem koniecznym pozwu jest m.in. oznaczenie imienia i nazwiska lub nazwy stron postępowania.

Od powyższego wyroku skargę kasacyjną złożyła A. S.A. z siedzibą w W. wnosząc o jego uchylenie w całości i przekazanie sprawy do ponownego rozpoznania przez Wojewódzki Sąd Administracyjny w Warszawie oraz o zasądzenie zwrotu kosztów postępowania, w tym kosztów zastępstwa procesowego, według norm przepisanych.

Zaskarżonemu wyrokowi zarzucono naruszenie przepisów postępowania, mogące mieć istotny wpływ na wynik sprawy tj.:

1. art. 145 § 1 pkt 1 lit. a i c ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2017 r., poz. 1369 ze zm., dalej także jako: p.p.s.a.) poprzez uwzględnienie skargi na decyzję GIODO z dnia 22 kwietnia 2015 r. utrzymującą w mocy decyzję z dnia 14 października 2014 r. i uchylenie wskazanej decyzji, na skutek stwierdzenia, iż decyzja ta naruszała prawo materialne oraz przepisy postępowania, podczas gdy zaskarżona decyzja odpowiadała prawu,

2. art. 151 p.p.s.a. w zw. z art. 18 ust. 1 pkt 2 ustawy o ochronie danych osobowych poprzez nieoddalenie skargi na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] kwietnia 2015 r. utrzymującą w mocy decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] października 2014 r. wskutek uznania jej za decyzję nieprawidłową i przyjęcie, że w niniejszej sprawie organ naruszył przepisy ustawy o ochronie danych osobowych i nie zachodziła podstawa do wydania decyzji odmawiającej nakazania udostępnienia danych osobowych, podczas gdy wobec braku podstaw do nakazania skarżącej udostępnienia danych osobowych w niniejszej sprawie zaskarżona decyzja z dnia 22 kwietnia 2015 r. nie powinna zostać uchylona.

Zaskarżonemu wyrokowi zarzucono także naruszenie przepisów prawa materialnego mające wpływ na wynik sprawy tj.:

1. art. 23 ust. 1 pkt 5 ustawy o ochronie danych osobowych poprzez jego niewłaściwe zastosowanie w sprawie i przyjęcie, że wniosek H. R. z dnia 6 maja 2013 r. stanowiący w istocie skargę w sprawie wykonania przepisów o ochronie danych osobowych w rozumieniu art. 12 pkt 2 ustawy stanowił wniosek o udostępnienie danych osobowych w rozumieniu art. 23 ust. 1 pkt 5 ustawy, podczas gdy wniosek o udostępnienie danych przez administratora na rzecz H. R. stanowiła pominięta w zasadzie przez Sąd wiadomość elektroniczna z dnia 24 listopada 2010 r., przesłana z konta e-mail: [...],

2. art. 29 w zw. z art. 18 ust. 1 pkt 2 ustawy o ochronie danych osobowych przez jego nieuzasadnione niezastosowanie w sprawie pomimo, iż w niniejszej sprawie GIODO obowiązany był badać i ocenić legalność odmowy udostępnienia danych przez A. S.A., która nastąpiła w dniu 24 listopada 2010 r., w oparciu o obowiązujący w tym czasie art. 29 ustawy, a więc przedmiot oceny legalności działań skarżącej stanowić powinien stan prawny obowiązujący we wskazanej dacie.

W przypadku nieuwzględnienia powyższych zarzutów zaskarżonemu orzeczeniu zarzucono dodatkowo naruszenie prawa materialnego mające wpływ na wynik sprawy tj.:

1. art. 18 ust. 6 ustawy o świadczeniu usług drogą elektroniczną w zw. z art. 16 ust. 1 tej ustawy i w zw. z art. 5 ustawy o ochronie danych osobowych przez ich błędną wykładnię i przyjęcie, że przewidziany w art. 18 ust. 6 tryb udostępniania danych osób korzystających z usług świadczonych drogą elektroniczną nie znajduje zastosowania w niniejszej sprawie, podczas gdy przepis ten jako przewidujący dalej idącą ochronę danych osobowych takich osób ma charakter lex specialis w stosunku do regulacji przewidzianej w ustawie o ochronie danych osobowych i stanowi właściwą podstawę udostępnienia osobom trzecim danych użytkowników serwisu internetowego,

2. art. 18 ust. 6 ustawy o świadczeniu usług drogą elektroniczną przez jego błędną wykładnię i przyjęcie, że przepis ten nie zakazuje udostępniania adresów lP podmiotom innym niż organy państwa, podczas gdy w przepisie tym jedynie organy państwa określone zostały jako odbiorca danych eksploatacyjnych gromadzonych przez usługodawcę w rozumieniu ustawy, a wskazana ustawa nie zawiera innego przepisu, który stanowiłby podstawę wydawania danych podmiotom innym niż organy państwa,

3. art. 23 ust. 1 pkt 5 ustawy o ochronie danych osobowych przez jego błędną wykładnię i przyjęcie, że udostępnienie danych użytkownika serwisu internetowego osobie trzeciej jest niezbędne dla wypełnienia celu, jakim jest ochrona praw tej osoby przed sądem, podczas gdy sądy oraz inne organy ochrony prawnej dysponują odpowiednimi środkami prawnymi do uzyskania niezbędnych informacji,

4. art. 23 ust. 1 pkt 5 ustawy o ochronie danych osobowych przez jego błędną wykładnię i przyjęcie, że warunkiem wystarczającym nakazania udostępnienia danych na podstawie tej normy jest stwierdzenie prawnie usprawiedliwionego celu realizowanego przez odbiorcę danych oraz niezastosowanie zasady proporcjonalności, a w szczególności pominięcie interesu osób, których dane objęte żądaniem udostępnienia dotyczą, podczas gdy wydanie decyzji nakazującej udostępnienie danych poprzedzić powinno wyważenie interesów odbiorcy danych oraz interesów osób, których dane dotyczą,

5. art. 23 ust. 1 pkt 5 ustawy o ochronie danych osobowych przez jego błędną wykładnię i przyjęcie, że sama deklaracja H. R. co do pozyskania danych użytkowników serwisu internetowego na potrzeby dochodzenia roszczeń na drodze sądowej przesądza o dopuszczalności przetwarzania danych osobowych na podstawie tego przepisu i stanowi w konsekwencji podstawę udostępnienia danych osobowych w oparciu o przepisy ustawy, której celem jest ochrona danych osobowych, podczas gdy samo takie oświadczenie nie może zostać uznane za wystarczające dla ustalenia spełnienia przesłanki niezbędności i udostępnienia danych.

W uzasadnieniu skargi kasacyjnej jej autor wskazał, że Sąd I instancji bezzasadnie pominął w swej analizie wniosek z dnia 24 listopada 2010 r. o udostępnienie danych osobowych, czyniąc jednocześnie przedmiotem swych rozważań i oceny pod kątem spełnienia przesłanek z art. 23 ust. 1 pkt 5 ustawy o ochronie danych osobowych skierowaną do GIODO skargę H. R. z dnia 6 maja 2013 r. Organ na wniosek skarżącej z dnia 6 maja 2013 r. obowiązany był ocenić legalność odmowy udostępnienia danych przez A. S.A. Wobec brzmienia art. 18 ust. 1 ustawy należy stwierdzić, że przedmiotem analizy w postępowaniu wszczętym na podstawie wniosku z dnia 6 maja 2013 r. nie mógł być wniosek z dnia 6 maja 2013 r. oraz pismo Spółki z dnia 12 listopada 2013 r. Strona wnosząca skargę kasacyjną zwróciła uwagę na brak tożsamości wniosku skierowanego do Spółki w dniu 24 listopada 2010 r. o udostępnienie danych osobowych ze skargą wniesioną do GIODO w dniu 6 maja 2013 r. Błędne zdaniem skarżącej kasacyjnie było założenie, w myśl którego skarga H. R. z dnia 6 maja 2013 r. stanowiła wniosek o udostępnienie danych w rozumieniu ustawy o ochronie danych osobowych, co doprowadziło do nieuzasadnionego niezastosowania w sprawie art. 29 ustawy. Zgłoszenie żądania udostępnienia danych, jak również odmowa udostępnienia nastąpiły w dniu 24 listopada 2010 r., a więc w okresie obowiązywania tego przepisu. Wnosząca skargę kasacyjną wskazała, że wiadomość elektroniczna H. R. z dnia 24 listopada 2010 r. zawierała jedynie ogólnie ujęte żądanie udostępnienia danych osobowych wskazanych użytkowników forum portalu [...] i nie spełniała wymogów określonych w art. 29 ustawy o ochronie danych osobowych. Wniosek nie zawierał, wbrew wymogom przywołanego przepisu, wskazania zakresu żądania, posłużono się bowiem jedynie ogólnym pojęciem "danych osobowych". Nadto żądanie udostępnienia danych osobowych w niniejszej sprawie zostało przesłane drogą elektroniczną i nie zostało opatrzone bezpiecznym podpisem elektronicznym. Uzasadnieniem żądania była wola dochodzenia ochrony sądowej w trybie wyborczym, a więc w trybie szczególnym, związanym ściśle z odbywającymi się wówczas wyborami samorządowymi. Powyższa motywacja po zakończeniu wyborów straciła więc swą zasadność, a zarazem nastąpiła niemożność wypełnienia wymogu przewidzianego w art. 29 ust. 4 ustawy o ochronie danych osobowych.

Na wypadek nieuwzględnienia powyższych zarzutów oraz przyjęcia, że pismo z dnia 6 maja 2013 r. stanowiło wniosek o udostępnienie danych osobowych w rozumieniu art. 23 ust. 1 pkt 5 ustawy o ochronie danych osobowych skarżąca kasacyjnie Spółka zwróciła uwagę, że przepisy ustawy o świadczeniu usług drogą elektroniczną stanowią szczególne regulacje w zakresie przetwarzania danych osobowych. W ocenie skarżącej kasacyjnie wykładnia art. 18 ust. 6 przez Sąd I instancji jest błędna. Zgodnie z tym przepisem jedynym uprawnionym do uzyskania danych eksploatacyjnych gromadzonych przez usługodawcę w rozumieniu ustawy są organy państwa. Ustawa ta nie zawiera innego przepisu, który stanowiłby podstawę wydawania danych podmiotom innym niż organy państwa. Stąd też zdaniem Spółki zasadny jest zarzut niewłaściwego zastosowania art. 23 ust. 1 pkt 5 ustawy o ochronie danych osobowych, poprzez przyjęcie, że udostępnienie danych użytkowników forum dyskusyjnego jest niezbędne dla wypełnienia celu, jakim jest ochrona praw skarżącej przed sądem, podczas gdy sądy oraz inne organy ochrony prawnej dysponują odpowiednimi środkami prawnymi do uzyskania niezbędnych informacji. Powołując się na wyrok NSA z dnia 3 czerwca 2015 r., sygn. akt I OSK 2496/13 wnosząca skargę kasacyjną zauważyła, że jeśli istnieje inna możliwość uzyskania danych osób, które - zdaniem wnioskodawcy - naruszają jego dobra osobiste (np. z pomocą organów państwowych), to nie można wówczas mówić, że żądanie udostępnienia danych, skierowane do usługodawcy jest niezbędne.

Skarżąca kasacyjnie Spółka zwróciła uwagę na pominiętą w toku rozstrzygania sprawy potrzebę dokonania wyważenia pomiędzy interesami odbiorcy danych w aspekcie prawa do dochodzenia roszczeń a ochroną prywatności. Nakazanie udostępnienia danych nie może się opierać jedynie na przesłance prawnie usprawiedliwionego celu realizowanego przez odbiorcę danych, wymagane jest bowiem, by udostępnienie danych podyktowane było niezbędnością i nie naruszało praw i wolności osoby, której dane dotyczą. Biorąc pod uwagę fakt, iż adresy lP użytkowników serwisów internetowych są zbierane przez usługodawcę jedynie przy okazji świadczenia usług bez świadomości usługobiorcy oraz wobec braku w obecnym stanie prawnym instrumentów prawnych pozwalających na kontrolę celu, w jakim osoba domagająca się wydawania danych w rzeczywistości dane te wykorzysta, wydanie danych użytkowników serwisów internetowych w oparciu o art. 23 ust. 1 pkt 5 prowadzi do naruszenia ich praw i wolności. Sąd I instancji dokonał błędnej wykładni art. 23 ust. 1 pkt 5 ustawy przyjmując, iż sama deklaracja wnioskodawcy wskazującego na cel pozyskania danych związany z zamiarem dochodzenia roszczeń, wystarczająca jest dla uwzględnienia przez GIODO wniosku o udostępnienie danych. Dla nakazania przez GIODO na podstawie art. 18 ust. 1 pkt 2 w związku z art. 23 ust. 1 pkt 5 ustawy o ochronie danych osobowych udostępnienia danych osobowych osób na potrzeby wniesienia pozwu do sądu przez jednostkę wnioskującą o te dane, konieczne jest wnikliwe przeanalizowanie i zweryfikowanie przez organ, iż zamiar tej jednostki skorzystania z prawa do sądu jest realny i rzeczywisty. Zdaniem Spółki skarżąca nie wykazała w żaden wiarygodny sposób, iż pozyskanie danych użytkowników jest niezbędne dla wypełnienia prawnie usprawiedliwionych celów przez nią realizowanych. Udostępnianie danych każdemu podmiotowi, który tego zażąda, uzasadniając krótko, że uzyskane dane są mu potrzebne do dochodzenia roszczeń na drodze sądowej, oznaczałoby w istocie niekontrolowany obrót danymi osobowymi.

Strona wnosząca skargę kasacyjną zwróciła uwagę, że podejmując decyzję w zakresie udostępnienia danych osobowych w niniejszej sprawie, ważąc interesy wnioskodawczyni - osoby publicznej, polityka, korzystającej z ochrony dóbr osobistych w mniejszym od przeciętnego zakresie oraz użytkowników serwisu, zamieszczających opinie o H. R. w okresie kampanii wyborczej i z tą kampanią związane, a więc korzystających z wolności wyrażania opinii o szczególnie szerokim zakresie, nie ulega wątpliwości, iż to interesy osób, których dane miałyby zostać udostępnione, zasługują na ochronę.

W odpowiedzi na skargę kasacyjną H. R. wniosła o jej oddalenie oraz o zasądzenie kosztów postępowania, w tym kosztów zastępstwa procesowego, według norm przepisanych.

Strona skarżąca zwróciła uwagę, że w ramach zarzutów naruszenia przepisów postępowania nie wykazano, w jaki sposób uchybienia sądu miały istotny wpływ na wynik sprawy. Konsekwencją wadliwości zarzutów opartych na art. 174 pkt 2 p.p.s.a. jest z kolei konieczność przyjęcia przez NSA stanu faktycznego ustalonego przez WSA.

Odnosząc się do zarzutów naruszenia przepisów ustawy o ochronie danych osobowych pełnomocnik skarżącej stwierdził, że zmierzają one do polemiki z prawidłowością ustalenia stanu faktycznego przez WSA w Warszawie. Do kwestionowania ustaleń faktycznych służą zarzuty dotyczące naruszenia przepisów postępowania a nie prawa materialnego. Wobec ich nieskutecznego z kolei wywiedzenia, należy przyjąć ustalony przez WSA stan faktyczny za prawidłowy, a tym samym oddalić zarzuty oparte na naruszeniu art. 23 oraz 29 powołanej ustawy.

Strona skarżąca podzieliła stanowisko Sądu I instancji odnośnie do wykładni przepisów ustawy o świadczeniu usług drogą elektroniczną.

Naczelny Sąd Administracyjny zważył, co następuje.

Skarga kasacyjna nie zasługiwała na uwzględnienie.

Stosownie do art. 183 § 1 p.p.s.a. Naczelny Sąd Administracyjny rozpoznaje sprawę w granicach skargi kasacyjnej, biorąc z urzędu pod rozwagę jedynie nieważność postępowania, której przesłanki określone zostały w § 2 wymienionego przepisu. Wobec niestwierdzenia przyczyn nieważności, skarga kasacyjna w niniejszej sprawie podlegała rozpoznaniu w granicach przytoczonej w niej podstawy.

Autor skargi kasacyjnej zarzucił zaskarżonemu orzeczeniu naruszenie zarówno przepisów prawa materialnego, jak też przepisów postępowania. W takiej sytuacji co do zasady jako pierwsze podlegają rozpatrzeniu zarzuty naruszenia przepisów postępowania, gdyż weryfikacja prawidłowości wykładni przepisów prawa materialnego, dokonanej przez Sąd I instancji, jest możliwa jedynie w przypadku stwierdzenia braku uchybień natury procesowej, mogących mieć istotny wpływ na treść rozstrzygnięcia. Jednakże w niniejszej sprawie z zestawienia zarzutów podniesionych w skardze kasacyjnej oraz z treści jej uzasadnienia wynika, że sformułowane w środku odwoławczym zarzuty powinny być rozpoznane łącznie.

Pierwsza grupa zarzutów dotyczących naruszenia zarówno przepisów prawa procesowego (art. 145 § 1 pkt 1 lit. a i c p.p.s.a oraz art. 151 p.p.s.a. w zw. z art. 18 ust. 1 pkt 2 ustawy o ochronie danych osobowych), jak też materialnego (art. 23 ust. 1 pkt 5 oraz art. 29 w zw. z art. 18 ust. 1 pkt 2) miała na celu zakwestionowanie przyjętego przez Sąd I instancji stanowiska związanego z przedmiotem postępowania przed organem ochrony danych osobowych oraz charakterem pisma H. R. z dnia 6 maja 2013 r. Sąd I instancji wskazał, że w ramach niniejszego postępowania wszczętego wnioskiem H. R. z dnia 6 maja 2013 r. GIODO skontrolował wyłącznie kwestie związane z nieuwzględnieniem wniosku skarżącej z dnia 24 listopada 2010 r. Zdaniem Sądu I instancji nieustalenie przez GIODO rzeczywistego celu ponownego żądania przez skarżącą udostępnienia wspomnianych danych i brak oceny przesłanek ustawowych w odniesieniu do treści wniosku z dnia 6 maja 2013 r. czyni zaskarżoną decyzję wadliwą.

W ocenie Naczelnego Sądu Administracyjnego stanowisko Sądu I instancji we wspomnianym zakresie jest zasadne.

Wbrew twierdzeniom strony wnoszącej skargę kasacyjną pismo H. R. z dnia 6 maja 2013 r. stanowiło wniosek o nakazanie Spółce A. udostępnienia danych osobowych wskazanych użytkowników forum internetowego [...]., a nie skargę na odmowę udostępnienia tych danych przez Spółkę w 2010 r. Konkluzja taka wynika zarówno z tytułu tego pisma ("Wniosek o wydanie decyzji zobowiązującej A. S.A. do udostępnienia wnioskodawcy danych osobowych internautów"), jak też z jego treści. Za powyższym stanowiskiem przemawiają w szczególności powoływane w obu pismach różne podstawy żądania udostępnienia danych, a także odmienne okoliczności uzasadniające żądania. Wniosek H. R .z dnia 24 listopada 2010 r. związany był bezpośrednio z toczącą się kampanią wyborczą, podczas której skarżąca kandydowała na stanowisko prezydenta miasta. Do tej kwestii odnosiła się również korespondencja kierowana przez Spółkę do skarżącej, w której odmówiono jej udostępnienia danych osobowych wskazanych użytkowników forum internetowego. Natomiast w piśmie z dnia 6 maja 2013 r. skarżąca wyraźnie wskazała, że dane osobowe użytkowników forum internetowego [...] są jej niezbędne w celu wytoczenia powództwa na podstawie art. 24 Kodeksu cywilnego. Stąd też, w szczególności w świetle powołania się przez skarżącą na nowe okoliczności w sprawie, brak było podstaw do przyjęcia przez GIODO, że pismo skarżącej z dnia 6 maja 2013 r. stanowiło skargę na odmowę udostępnienia jej przez Spółkę A. żądanych danych osobowych w dniu 24 listopada 2010 r.

Wobec tego zdaniem Naczelnego Sądu Administracyjnego Sąd I instancji trafnie stwierdził, że niezbadanie przez organ przesłanek legalizujących przetwarzanie danych osobowych we wskazanym przez skarżącą celu (wytoczenia powództwa na podstawie art. 24 Kodeksu cywilnego) stanowi podstawę do uchylenia zaskarżonej decyzji. Należy dodatkowo zauważyć, że kopia pisma skarżącej z dnia 6 maja 2013 r. została przekazana przez organ administratorowi danych (A. S.A.). W piśmie z dnia 12 listopada 2013 r. Spółka przedstawiła swoje stanowisko w sprawie, skupiając się na uzasadnieniu odmowy udostępnienia danych, która miała miejsce w dniu 24 listopada 2010 r.

Artykuł 18 ust. 1 ustawy o ochronie danych osobowych, którego naruszenia przez Sąd I instancji dopatruje się strona wnosząca skargę kasacyjną, określa zakres kompetencji GIODO oraz formę i możliwe rodzaje rozstrzygnięć administracyjnych w przypadku stwierdzenia naruszenia przepisów o ochronie danych osobowych. Zgodnie z art. 18 ust. 1 pkt 2 ustawy w przypadku naruszenia przepisów o ochronie danych osobowych Generalny Inspektor z urzędu lub na wniosek osoby zainteresowanej, w drodze decyzji administracyjnej, nakazuje przywrócenie stanu zgodnego z prawem, a w szczególności uzupełnienie, uaktualnienie, sprostowanie, udostępnienie lub nieudostępnienie danych osobowych. Przepis ten upoważnia zatem GIODO do nakazania administratorowi danych w formie decyzji administracyjnej udostępnienia danych osobowych na wniosek zainteresowanej osoby, w sytuacji, gdy taka czynność znajduje uzasadnienie w przepisach prawa.

Z kolei w art. 23 ustawy o ochronie danych osobowych zostały określone przesłanki legalizujące przetwarzanie danych osobowych. Przesłanki te mają charakter generalny, odnoszą się do wszelkich form przetwarzania danych, w tym zarówno do przetwarzania "na własne potrzeby" administratora, jak i "na zewnątrz". Zgodnie z art. 23 ust. 1 pkt 5 tej ustawy przetwarzanie danych jest dopuszczalne tylko wtedy, gdy jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą. Stosując ten przepis Sąd I instancji przyjął, że GIODO rozpoznając przestawioną mu sprawę nie zbadał czy istotnie udostępnienie skarżącej żądanych danych osobowych jest niezbędne do dochodzenia przez nią roszczeń wynikających z art. 24 Kodeksu cywilnego. Jednocześnie uznał, że zamiar wytoczenia powództwa w świetle art. 23 ust. 1 pkt 5 ustawy mieści się w pojęciu prawnie usprawiedliwionych celów.

W ocenie Naczelnego Sądu Administracyjnego Sąd I instancji prawidłowo zastosował przytoczony wyżej przepis. W orzecznictwie sądowym przyjmuje się generalnie, że umożliwienie podjęcia czynności prawnych zmierzających do ochrony swoich dóbr osobistych na drodze cywilnej jest działaniem w granicach prawa, pozwalającym na odstępstwo od zasady ochrony danych osobowych (por. wyrok NSA z dnia 18 kwietnia 2014 r. sygn. akt I OSK 2789/12, wyrok NSA z dnia 10 listopada 2015 r. I OSK 1210/14).

Zdaniem Sądu kasacyjnego Sąd I instancji dokonał również prawidłowej wykładni art. 18 ust. 6 ustawy o świadczeniu usług drogą elektroniczną, zgodnie z którym usługodawca nieodpłatnie udostępnia określone dane osobowe organom państwa uprawnionym na podstawie odrębnych przepisów na potrzeby prowadzonych przez nie postępowań. Wykładnia systemowa i celowościowa nakazuje interpretować ten przepis jako dopuszczający przetwarzanie danych osobowych przez wszystkie podmioty, gdy jest to niezbędne dla zrealizowania ich uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa. Nie został on zawężony do organów państwa, skoro nie posłużono się zwrotem "wyłącznie", a istnieje potrzeba poszerzenia zakresu podmiotowego tego przepisu. Uprawnienia te czy obowiązki mogą wynikać z przepisów z zakresu prawa karnego czy cywilnego oraz procedury obowiązującej w tym zakresie (art. 2 § 1 pkt 1 k.p.k. lub art. 126 § 1 pkt 1 k.p.c.). Ustawa o świadczeniu usług drogą elektroniczną przyznaje dalej idącą ochronę danych niż ustawa o ochronie danych osobowych (tzw. tajemnica telekomunikacyjna). Niemniej nie sięga ona takich działań w Internecie, które naruszają obowiązujący porządek prawny (por. wyrok NSA z dnia 10 listopada 2015 r. sygn. akt I OSK 685/14, publ. orzeczenia.nsa.gov.pl).

Należy jednocześnie podkreślić, że Sąd I instancji w zaskarżonym wyroku nie przesądził, czy Spółka powinna udostępnić skarżącej żądane przez nią dane użytkowników forum internetowego [...]. Powodem uchylenia zaskarżonej decyzji było uchybienie GIODO polegające na niezbadaniu przez organ wniosku skarżącej z dnia 6 maja 2013 r. pod kątem zaistnienia przesłanek określonych w art. 23 ust. 1 pkt 5 ustawy o ochronie danych osobowych. Okoliczności te nie były w ogóle oceniane przez GIODO w odniesieniu do przedstawionych we wniosku argumentów. Organ skupił swoje rozważania wyłącznie na odmowie udostępnienia skarżącej tych danych na skutek wcześniejszego wniosku związanego z zamiarem wszczęcia postępowania w trybie wyborczym.

NSA podziela stanowisko Sądu I instancji, zgodnie z którym właściwe załatwienie przedstawionej sprawy wymaga od organu ochrony danych podjęcia działań zmierzających do ustalenia, czy udostępnienie danych osobowych na potrzeby wniesienia pozwu do sądu przez skarżącą jest niezbędne dla wypełnienia prawnie usprawiedliwionych celów. W ramach tego typu postępowania organ powinien wnikliwe przeanalizować i zweryfikować, czy zamiar skorzystania przez skarżącą z prawa do sądu jest realny i rzeczywisty. W orzecznictwie wskazuje się, że niedopuszczalne jest powoływanie się na wolę skorzystania z przysługującego prawa do sądu wyłącznie po to, aby w istocie jedynie poznać dane osobowe innej osoby. Taka motywacja stanowiłaby niezasługujące na ochronę nadużycie art. 23 ust. 1 pkt 5 ustawy o ochronie danych osobowych. Z tego względu GIODO musi dokładnie ustalić zamiary podmiotu wnioskującego o udostępnienie mu danych na potrzeby postępowanie sądowego, w szczególności, czy w warunkach konkretnego stanu faktycznego powoływanie się przez tę osobę na wolę wszczęcia postępowania sądowego nie ma charakteru pozornego. Organ zobowiązany jest zatem ocenić realność podawanej podstawy faktycznej uruchomienia w konkretnej sprawie postępowania sądowego. Ocena, czy cel wnioskodawcy jest prawnie usprawiedliwiony, należy nie tylko do kompetencji GIODO, ale także do jego obowiązków w ramach realizacji normy prawnej określonej w ar. 23 ust. 1 pkt 5 ustawy (por. wyrok NSA z dnia 10 listopada 2015 r. sygn. akt I OSK 1173/14, wyrok NSA z dnia 10 listopada 2015 r. sygn. akt I OSK 1210/14). Wbrew twierdzeniu skarżącej kasacyjnie Spółki Sąd I instancji, jak wspomniano, nie przesądził czy w tym konkretnym postępowaniu zamiar skorzystania przez skarżącą z ochrony sądowej, a co za tym idzie, konieczność posiadania danych osobowych niezbędnych do wytoczenia powództwa na podstawie art. 24 Kodeksu cywilnego, jest realny i rzeczywisty.

Biorąc pod uwagę powyższe Sąd I instancji uchylając zaskarżony wyrok nie naruszył art. 145 § 1 pkt 1 lit. a i lit c p.p.s.a., ponieważ zaskarżoną decyzją organ naruszył zarówno przepisy o postępowaniu, jak też przepisy prawa materialnego. W konsekwencji brak było podstaw do oddalenia skargi na podstawie art. 151 p.p.s.a.

Nie jest również uzasadniony zarzut naruszania art. 29 w zw. z art. 18 ust. 1 pkt 2 ustawy o ochronie danych osobowych poprzez jego niezastosowanie. Zdaniem skarżącej kasacyjnie GIODO winien był oceniać odmowę udostępnienia danych osobowych, która nastąpiła 24 listopada 2010 r., na podstawie obowiązującego wówczas art. 29 ustawy, który regulował zasady udostępniania danych osobowych przez administratora danych, w tym wymogi formalne wniosku o ich udostępnienie. Wobec tego, że pismo z dnia 6 maja 2013 r. stanowiło – jak wspomniano - kolejny wniosek o udostępnienie danych osobowych, oparty na innych przesłankach niż ten z dnia 24 listopada 2010 r., a nie skargę na odmowę udostępnienia tych danych, brak było podstaw do zastosowania w sprawie art. 29 ustawy o ochronie danych osobowych albowiem przepis ten został uchylony z dniem 7 marca 2011 r.

Druga grupa zarzutów, w ocenie Naczelnego Sądu Administracyjnego, ma charakter przedwczesny. W szczególności dotyczy to zarzutu naruszenia wyrażonej w art. 23 ust. 1 pkt 5 zasady proporcjonalności. Jak wspomniano, z uwagi na błędną kwalifikację pisma skarżącej z dnia 6 maja 2013 r., organ nie odniósł się do kwestii dotyczących istnienia po jej stronie usprawiedliwionych celów uzasadniających udostępnienie danych. Nie ustalił także, czy oświadczenie o wystąpieniu przez skarżącą z pozwem jest realne. Rację ma skarżąca kasacyjnie Spółka twierdząc, że w ramach obowiązującego prawa przy udostępnianiu informacji o osobach korzystających z forów internetowych należy mieć na uwadze dobra takie jak wolność wypowiedzi, czy ochrona danych osobowych. NSA podziela to stanowisko, zwraca jednak uwagę, że ochrona wymienionych wartości nie ma charakteru bezwzględnego. Warunkami odstąpienia od nich jest proporcjonalność środków i celów oraz równowaga pomiędzy ochroną wolności wypowiedzi a prawem do ochrony np. czci i godności innych osób. Kwestie te nie były przedmiotem oceny organu i Sądu I instancji, a zatem nie mogą stanowić skutecznego zarzutu kasacyjnego. Dopiero ponownie rozpoznając sprawą organ będzie zobowiązany rozważyć, czy skarżąca jest w stanie uprawdopodobnić zasadność swojego roszczenia i realność skierowania tego roszczenia na drogę sądową, a także przeprowadzić test proporcjonalności.

Sąd I instancji nie stwierdził, że sama deklaracja skarżącej o potrzebie posiadania danych osobowych użytkowników portalu internetowego [...] przesądza o dopuszczalności przetwarzania ich danych na podstawie art. 23 ust. 1 pkt 5 ustawy o ochronie danych osobowych. Zwrócił natomiast uwagę, że zadaniem GIODO w niniejszej sprawie jest zbadanie, czy istotnie H. R. chce wystąpić do sądu z roszczeniem wynikającym z art. 24 Kodeksu cywilnego i czy do tego niezbędne są dane osobowe objęte jej wnioskiem (str. 10 uzasadnienia wyroku).

Z uwagi na powyższe Naczelny Sąd Administracyjny działając na podstawie art. 184 p.p.s.a. oddalił skargę kasacyjną.

O kosztach postępowania orzeczono na podstawie art. 204 pkt 2 p.p.s.a. w związku z § 14 ust. 1 pkt 2 lit. a rozporządzenia Ministra Sprawiedliwości z dnia 22 października 2015 r. w sprawie opłat za czynności radców prawnych (Dz.U. z 2015 r. poz. 1804).