Centralna Baza Orzeczeń Sądów Administracyjnych

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Piotr Borowiecki (spr.), Sędzia WSA Izabela Głowacka-Klimas, Sędzia WSA Andrzej Wieczorek, , po rozpoznaniu na posiedzeniu niejawnym w dniu 23 listopada 2020 r. sprawy ze skargi A. T. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] stycznia 2020 r. nr [...] w przedmiocie ochrony danych osobowych 1. uchyla zaskarżoną decyzję; 2. zasądza od Prezesa Urzędu Ochrony Danych Osobowych na rzecz skarżącej A. T. kwotę 680 (sześćset osiemdziesiąt) złotych tytułem zwrotu kosztów postępowania sądowego.

Zaskarżoną decyzją z dnia [...] stycznia 2020 r., nr [...], Prezes Urzędu Ochrony Danych Osobowych (dalej także: "Prezes UODO" lub "organ nadzorczy"), działając na podstawie art. 105 § 1 ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego (tekst jednolity Dz. U. z 2020 r., poz. 256 ze zm. - dalej: "k.p.a.") oraz art. 7 i art. 60 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (tekst jednolity Dz. U. z 2019 r., poz. 1781 - dalej także: "u.o.d.o.") w związku z art. 1, art. 2 ust. 2 oraz art. 57 ust. 1 lit. a) oraz f) rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z dnia 4 maja 2016 r., str. 1, ze zmianą ogłoszoną w Dz. Urz. UE L 127 z dnia 23 maja 2018 r., str. 2 - zwane dalej także: "RODO"), po przeprowadzeniu postępowania administracyjnego w sprawie skargi A.T. (dalej także: "skarżąca" lub "strona skarżąca") na niezgodne z prawem przetwarzanie jej danych osobowych przez P.L. (dalej także: "uczestnik postępowania"), zam. w K., przy ul. S.

.

Zaskarżona decyzja Prezesa UODO została wydana w następującym stanie faktycznym.

W dniu 22 maja 2019 r. do Urzędu Ochrony Danych Osobowych wpłynęło pismo z dnia [...] maja 2019 r. zawierające skargę A.T., reprezentowanej przez radcę prawnego, na niezgodne z prawem przetwarzanie jej danych osobowych przez P.L..

W treści skargi skarżąca wskazała, że P.L. w okresie od dnia [...] września 2018 r. do dnia [...] września 2018 r. na portalu [...] publikował wyrok nakazowy Sądu Rejonowego w W. z dnia [...] listopada 2017 r., wydany w sprawie sygn. akt [...], zawierający dane osobowe skarżącej, a ponadto, że w dniach co najmniej od dnia [...] września 2018 r. do dnia [...] września 2018 r. P.L. wystawił na widok publiczny, za szybą swojego samochodu, wskazany wyżej wyrok nakazowy, który - według zapewnień skarżącej - zawierał jej dane osobowe w zakresie imienia, nazwiska, daty i miejsca urodzenia, imion rodziców oraz nazwiska rodowego matki skarżącej.

Następnie, w piśmie z dnia [...] lipca 2019 r. skarżąca, uzupełniając swoją skargę - wskazała, iż obecnie jej prawo do ochrony danych osobowych nie jest naruszane przez P.L..

W konsekwencji, skarżąca wniosła do Prezesa UODO o nakazanie P.L. powstrzymania się od upublicznienia lub udostępniania w jakiejkolwiek formie danych osobowych skarżącej zawartych w wyrokach sądowych oraz nałożenia na P.L. administracyjnej kary pieniężnej, a także zwróciła się do organu nadzorczego o zastosowanie wobec P.L. innego uprawnienia naprawczego przewidzianego w art. 58 RODO, odpowiedniego do dokonanego naruszenia.

W związku z powyższym, organ nadzorczy wszczął z urzędu postępowanie wyjaśniające w sprawie nieprawidłowości przetwarzania danych osobowych skarżącej przez P.L..

Prezes Urzędu Ochrony Danych Osobowych, przeprowadzając stosowne postępowanie wyjaśniające, podjął czynności zmierzające do zgromadzenia odpowiedniego materiału dowodowego, ustalając stan faktyczny konieczny do wydania rozstrzygnięcia.

Przede wszystkim Prezes UODO zwrócił się o wyjaśnienia do P.L..

Z przesłanego przez P.L. pisma wyjaśniającego wynika, że jest on rodzinnie spokrewniony ze skarżącą, która jest dla niego ciocią. Ponadto, wyjaśnił on, że nie prowadzi żadnej działalności gospodarczej. Jednocześnie, uczestnik postępowania przyznał, że pod wpływem emocji opublikował wyrok nakazowy na portalu Facebook, jednakże doszedł ze skarżącą do porozumienia, którego efektem było zamieszczenie przeprosin na portalu [...]. Ponadto, P.L. wskazał, że nie umieścił za szybą samochodu wyroku nakazowego, o którym mowa w skardze, twierdząc jednocześnie, że było to działanie samej skarżącej.

W wyniku analizy zgromadzonego materiału dowodowego, Prezes Urzędu Ochrony Danych Osobowych - działając na podstawie art. 105 § 1 k.p.a. oraz art. 7 i art. 60 u.o.d.o. w związku z art. 1, art. 2 ust. 2 oraz art. 57 ust. 1 lit. a) oraz f) RODO - umorzył postępowanie.

W uzasadnieniu wydanej decyzji Prezes UODO zauważył na wstępie, że zgodnie z art. 34 u.o.d.o., jest organem właściwym w sprawie ochrony danych osobowych i organem nadzorczym, w rozumieniu RODO.

Wskazując z kolei na przepis art. 57 ust. 1 RODO, organ nadzorczy wskazał, że bez uszczerbku dla innych zadań określonych na mocy RODO, każdy organ nadzorczy na swoim terytorium monitoruje i egzekwuje stosowanie niniejszego rozporządzenia (art. 57 ust. 1 lit. a), a także rozpatruje skargi wniesione przez osobę, której dane dotyczą (art. 57 ust. 1 lit. f).

Powołując się na normę prawną wyrażoną w art. 2 ust. 2 lit c RODO, Prezes UODO zauważył, że cyt. rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. nie ma zastosowania do przetwarzania danych osobowych przez osobę fizyczną w ramach czynności o czysto osobistym lub domowym charakterze.

Jednocześnie, Prezes UODO zauważył, że w motywie 18 preambuły RODO wyjaśniono, że działalność czysto osobista lub domowa to taka, która pozostaje bez związku z działalnością zawodową lub handlową. Prezes UODO wyjaśnił, że działalność czysto osobista lub domowa polegać może na korespondencji i przechowywaniu adresów, podtrzymywaniu więzi społecznych oraz działalności internetowej podejmowanej w ramach takiej działalności.

Prezes UODO wskazał, że RODO znajdzie jednak zastosowanie do administratorów lub podmiotów przetwarzających, którzy udostępnią środki przetwarzania danych osobowych na potrzeby takiej działalności osobistej lub domowej.

Organ nadzorczy stwierdził, że wykładnia semantyczna art. 2 ust. 2 lit. c RODO wskazuje, iż dla zastosowania wyłączenia spełnione muszą być łącznie obie przesłanki, tj. przetwarzanie ma być podejmowane przez osobę fizyczną oraz przetwarzanie ma następować w ramach czynności o czysto osobistym lub domowym charakterze.

Mając powyższe na uwadze, Prezes UODO zauważył, że przeprowadzone w przedmiotowej sprawie postępowanie wyjaśniające wykazało, iż pomiędzy skarżącą a P.L. istnieją więzy rodzinne (vide: skarżąca jest ciocią dla P.L.). Ponadto, jak podniósł organ nadzorczy, ustalono, iż P.L. nie prowadzi działalności gospodarczej, a dane osobowe skarżącej przetwarza jedynie w celach osobistych.

W tej sytuacji, Prezes UODO uznał zatem, że udostępnienie przez P.L. na Facebooku, a także ewentualnie za szybą samochodu, danych osobowych skarżącej miało charakter czysto osobisty, o którym mowa w art. 2 ust. 2 lit. c RODO.

Prezes UODO stwierdził, że mając na uwadze fakt, iż do przetwarzania danych osobowych przez osobę fizyczną w ramach działalności czysto osobistej lub domowej - tak jak ma to miejsce w niniejszej sprawie - nie stosuje się przepisów RODO, uznać należy, że rozpatrywanie przedmiotowej sprawy na podstawie przepisów RODO jest bezpodstawne.

Tym samym, organ nadzorczy uznał, że w przedmiotowej sprawie nie ma podstaw prawnych do spełnienia żądania skarżącej w zakresie wydania wobec P.L. któregokolwiek z nakazów, o których mowa w art. 58 RODO, czy też do nałożenia na niego kary pieniężnej, o której mowa w art. 83 RODO.

Z uwagi na powyższe, organ nadzorczy uznał, że postępowanie podlega umorzeniu na podstawie art. 105 § 1 k.p.a., wobec jego bezprzedmiotowości. Prezes UODO stwierdził bowiem, że ustalenie przez organ nadzorczy istnienia przesłanki, o której mowa w art. 105 § 1 k.p.a., zobowiązuje go do umorzenia postępowania, gdyż nie ma wówczas podstaw do rozstrzygnięcia sprawy co do istoty, a dalsze prowadzenie postępowania w takim przypadku stanowiłoby o jego wadliwości, mającej istotny wpływ na wynik sprawy.

W piśmie z dnia [...] marca 2020 r. skarżąca, reprezentowana przez radcę prawnego, działając za pośrednictwem organu nadzorczego, wniosła do Wojewódzkiego Sądu Administracyjnego w Warszawie skargę na powyższą decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] stycznia 2020 r.

Wnosząc w petitum skargi o uchylenie zaskarżonej decyzji Prezesa UODO, a także o zasądzenie od organu nadzorczego na rzecz strony skarżącej zwrotu kosztów postępowania sądowego według norm przepisanych, w tym kosztów zastępstwa procesowego, skarżąca zarzuciła organowi nadzorczemu:

- dokonanie ustaleń faktycznych sprzecznych z zebranym w sprawie materiałem dowodowym - poprzez stwierdzenie, że udostępnienie danych osobowych skarżącej na [...] i za szybą samochodu przez P.L. było dokonane w ramach działalności o czysto osobistym charakterze,

- naruszenie art. 77 § 1 k.p.a., które miało istotny wpływ na wynik sprawy - poprzez brak rozpatrzenia przez organ nadzorczy w sposób wyczerpujący całości zebranego w sprawie materiału dowodowego,

- naruszenie art. 80 k.p.a., które miało istotny wpływ na wynik sprawy - poprzez brak oceny na podstawie całokształtu materiału dowodowego, czy udowodniono czysto osobisty charakter udostępnienia danych osobowych przez P.L., bądź brak takiego charakteru udostępnienia danych osobowych,

- naruszenie art. 105 §1 k.p.c., które miało istotny wpływ na wynik sprawy - poprzez stwierdzenie, iż postępowanie w niniejszej sprawie jest bezprzedmiotowe i podlega umorzeniu,

- naruszenie art. 2 ust. 2 lit c, art. 6, art. 9 i art. 10 RODO - poprzez stwierdzenie, iż udostępnienie danych osobowych skarżącej na Facebook'u i za szybą samochodu było dokonane przez P.L. w ramach działalności o czysto osobistym charakterze i nie podlega regulacjom RODO.

Strona skarżąca wniosła ponadto o dopuszczenie przez Sąd i przeprowadzenie dowodu z wydruku z forum internetowego załączonego do skargi, na okoliczność publikacji na forum informacji o rzekomym skazaniu skarżącej za uporczywe nękanie sąsiadów.

W uzasadnieniu skargi strona skarżąca wskazała na wstępie, że organ nadzorczy nie wziął pod uwagę faktu, iż upublicznienie danych osobowych skarżącej było dokonane w ramach działalności publicznej (społecznej) P.L.. Strona skarżąca zauważyła bowiem, że upublicznienie jej danych osobowych było dokonane w trakcie trwania kampanii wyborczej do Rady Miasta K. we wrześniu 2018 r. i w związku z tymi wyborami. Strona skarżąca uznała, że takie działanie miało na celu zdyskredytowanie jej osoby, jako kandydatki do Rady Miasta K. a także poniżenie jej w oczach opinii publicznej. Ponadto, zdaniem skarżącej, miało ono powodować utratę zaufania publicznego wobec skarżącej, potrzebnego do wykonywania funkcji radnego. W ocenie strony skarżącej, o powyższym świadczą dowody przedłożone w toku postępowania, w szczególności wydruki z Facebook’a, z których wyraźnie wynika, że zamieszczony na Facebook’u wyrok nakazowy, udostępniany przez P.L. także za szybą samochodu, opatrzono komentarzem "Wybory 2018 do Rady Miasta K. kandydują ludzie psychicznie chorzy". Dodatkowo skarżąca wskazał, iż załącza do skargi wydruk z Internetu zawierający rozmowy z forum internetowego dotyczącego wspomnianej wyżej kampanii wyborczej, gdzie - jak przypuszcza skarżąca – P.L. zamieszczał informację o tym, że skarżąca została rzekomo skazana za uporczywe nękanie sąsiadów.

Skarżąca zarzuciła, że organ nadzorczy nie rozpatrzył całości zebranego w sprawie materiału dowodowego oraz nie ocenił na podstawie całokształtu materiału dowodowego, czy udowodniono czysto osobisty charakter udostępnienia danych osobowych przez P.L., bądź brak takiego charakteru udostępnienia danych osobowych.

Według strony skarżącej, organ nadzorczy w ogóle nie odniósł się również do wskazanych wyżej treści dotyczących wyborów samorządowych, które P.L. opublikował na Facebook’u, a które - zdaniem skarżącej - świadczą o tym, że publikacja jej danych osobowych nie miała czysto osobistego charakteru.

Skarżąca zauważyła ponadto, że art. 2 ust. 2 lit c RODO wskazuje, iż tylko czysto osobisty lub domowy charakter przetwarzania danych osobowych wyłączony jest spod regulacji RODO. Tymczasem, jak uznała skarżąca, w przedmiotowym postępowaniu z pewnością nie mamy do czynienia z czysto osobistym charakterem udostępnienia danych osobowych skarżącej przez P.L..

Na marginesie, strona skarżąca wskazała, że wyrokiem z dnia [...] lutego 2020 r., wydanym w sprawie sygn. akt [...], Sąd Okręgowy w [...] dla [...], zmienił wyrok Sądu Rejonowego w W. umarzający postępowanie z art. 107 Kodeksu wykroczeń, uniewinniając skarżącą od zarzutu popełnienia czynu z art. 107 Kodeksu wykroczeń.

W tej sytuacji, strona skarżąca zarzuciła, iż - wbrew stanowisku Prezesa UODO - przedmiotowe postępowanie prowadzone przez ten organ nie było bezprzedmiotowe i nie powinno podlegać umorzeniu, co oznacza, że organ nadzorczy winien rozpatrzyć sprawę i ocenić, czy doszło do naruszenia art. 6, art. 9 i art. 10 RODO.

W odpowiedzi na skargę Prezes Urzędu Ochrony Danych Osobowych wniósł o jej oddalenie, podtrzymując swoje dotychczasowe stanowisko wyrażone w uzasadnieniu zaskarżonej decyzji.

Ustosunkowując się do zarzutów strony skarżącej dotyczących naruszenia art. 77 i art. 80 k.p.a., Prezes UODO uznał je za niezasadne. Organ nadzorczy zauważył, że skarżąca nie skorzystała z przysługującego jej prawa do zapoznania się z zebranym materiałem dowodowym i ustosunkowania się do twierdzeń wskazanych przez P.L. w piśmie stanowiącym odpowiedź na wezwanie organu nadzorczego do złożenia wyjaśnień w sprawie. Prezes UODO stwierdził zatem, że - wbrew zarzutom skarżącej - przy ustaleniu okoliczności stanu faktycznego rozpatrywanej sprawy oparł się na dowodach (dokumentach) i wyjaśnieniach złożonych zarówno przez samą skarżącą, jak i przez P.L., które w sposób szczegółowy poddał stosownej analizie.

Odnosząc się z kolei do zarzutu naruszenia przepisów art. 2 ust. 2 lit c, a także art. 6, art. 9 i art. 10 RODO, Prezes UODO wskazał, że podtrzymuje swoje stanowisko wyrażone w zaskarżonej decyzji, iż wykładnia semantyczna art. 2 ust. 2 lit. c RODO przesądza, że dla zastosowania wyłączenia przewidzianego w tym przepisie spełnione muszą być łącznie obie przesłanki, tj. przetwarzanie ma być podejmowane przez osobę fizyczną oraz przetwarzanie ma następować w ramach czynności o czysto osobistym lub domowym charakterze, a więc bez związku z działalnością zawodową lub handlową.

Tymczasem, jak zauważył organ nadzorczy, przeprowadzone postępowanie wykazało, że P.L. nie prowadzi działalności gospodarczej, a dane osobowe skarżącej, z którą łączą go więzy rodzinne, przetwarzał jedynie w celach osobistych, tj. w celach niezwiązanych z działalnością handlową lub zawodową.

Mając powyższe na uwadze, Prezes UODO stwierdził, że nie może zgodzić się ze stanowiskiem wyrażonym przez stronę skarżącą, jakoby organ nadzorczy nie wziął pod uwagę faktu, że upublicznienie danych osobowych skarżącej było dokonane w ramach działalności publicznej/społecznej P.L. w czasie trwania kampanii wyborczej w 2018 r., co - jak twierdziła skarżąca - miałoby świadczyć o braku czysto osobistego charakteru przetwarzania danych osobowych skarżącej przez P.L..

W tym miejscu, Prezes UODO zauważył, że na podstawie art. 2 ust. 1 RODO przedmiotowe rozporządzenie ma zastosowanie do przetwarzania danych osobowych w sposób całkowicie lub częściowo zautomatyzowany oraz do przetwarzania w sposób inny, niż zautomatyzowany, danych osobowych stanowiących część zbioru danych lub mających stanowić część zbioru danych.

Organ nadzorczy uznał, że zebrany w sprawie materiał dowodowy, w tym przyznanie się P.L. do ujawnienia wyroku nakazowego na Facebook’u (organ zauważył, że do ujawnienia danych za szybą samochodu P.L. się nie przyznaje, zaś skarżąca nie przedłożyła dowodów wskazujących na takie działanie P.L.), w czasie trwania kampanii wyborczej w 2018 r. nie determinuje zastosowania w niniejszej sprawie przepisów RODO.

Reasumując, Prezes UODO uznał, że - wbrew zarzutom strony skarżącej - dokonał prawidłowych ustaleń faktycznych, co pozwoliło na umorzenie prowadzonego postępowania, jako bezprzedmiotowego. Organ nadzorczy stwierdził, że zaskarżona decyzja administracyjna z dnia [...] stycznia 2020 r. została wydana w oparciu o wystarczający materiał dowodowy, który uzyskany został w wyniku postępowania administracyjnego przeprowadzonego zgodnie z zasadami określonymi w k.p.a.

W przesłanym do Sądu piśmie procesowym z dnia [...] maja 2020 r. uczestnik postępowania P.L. wniósł o oddalenie skargi skarżącej, uznając ją za bezzasadną.

W uzasadnieniu pisma procesowego uczestnik podtrzymał na wstępie swoje dotychczasowe przyznanie się do zamieszczenia wyroku nakazowego Sądu Rejonowego w W. z dnia [...] listopada 2019 r. na swojej stronie n Facebook’u, ale stanowczo zaprzeczył, iż umyślnie zamieścił wspomniany wyrok za szybą samochodu zaparkowanego w K. przy przedszkolu.

P.L. stwierdził, że cała wskazana wyżej sytuacja związana z opublikowaniem wyroku zawierającego dane osobowe jego cioci miała charakter czysto prywatny, gdyż - jak wskazał - skarżąca umyślnie nęka zarówno jego, jak i jego rodzinę, już od 5 lat.

Ponadto, uczestnik zauważył, że przed opublikowaniem przez Urząd Miasta K. kandydatów do Rady Miasta sprawa została rozwiązana na drodze cywilnej, za porozumieniem stron, na mocy którego uczestnik zobowiązał się do wystosowania stosownych przeprosin skarżącej na swoim koncie na Facebook’u, które widnieją do dnia dzisiejszego.

Uczestnik P.L. wskazał, że skarżąca nie poinformowała Sądu, iż sprawa została załatwiona pomiędzy stronami. Ponadto, uczestnik stwierdził, że hasło "Wybory 2018 do Rady Miasta K. kandydują ludzie psychicznie chorzy" było jedynie ogólnym hasłem wyrażającym prywatnym pogląd autora, co jest zgodne z Konstytucją RP.

Uczestnik zauważył ponadto, że skarżąca jest osobą publiczną, która swoje dane osobowe umieszcza w internecie od lat.

Jednocześnie uczestnik zarzucił skarżącej, że ta przemilczała fakt toczącego się pomiędzy nimi od pięciu lat konfliktu powstałego na tle nielegalnej rozbudowy przez skarżącą warsztatu na granicy ich działki.

Uczestnik postępowania wyraźnie wskazał, że nie prowadzi żadnej działalności gospodarczej, co oznacza, że został bezpodstawnie oskarżony o naruszenie przepisów RODO oraz przepisów Prawa prasowego.

W konsekwencji, uczestnik postępowania uznał, że karygodne jest wykorzystywanie przez stronę skarżącą zarówno Prezesa UODO, jak i WSA w Warszawie do swojej prywatnej wojny toczonej przeciwko niemu.

Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje.

Zgodnie z art. 1 § 1 i 2 ustawy z dnia 25 lipca 2002 r. - Prawo o ustroju sądów administracyjnych (tekst jednolity Dz. U. z 2021 r., poz. 137), sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej, przy czym kontrola ta sprawowana jest pod względem zgodności z prawem, jeżeli ustawy nie stanowią inaczej.

W świetle powołanych przepisów cyt. ustawy, Wojewódzki Sąd Administracyjny w Warszawie, w zakresie swojej właściwości, ocenia zaskarżoną decyzję administracyjną, postanowienie, czy też inny akt lub czynność z zakresu administracji publicznej dotyczącą uprawnień lub obowiązków wynikających z przepisów prawa, z punktu widzenia ich zgodności z prawem materialnym i przepisami postępowania administracyjnego, według stanu faktycznego i prawnego obowiązującego w dacie wydania tego aktu lub podjęcia spornej czynności. Chodzi więc o kontrolę aktów lub czynności z zakresu administracji publicznej dokonywaną wyłącznie pod względem ich zgodności z prawem materialnym i przepisami procesowymi, nie zaś według kryteriów słuszności, czy też zgodności z zasadami współżycia społecznego.

Ponadto, co wymaga podkreślenia, Sąd rozstrzyga w granicach danej sprawy, nie będąc jednak związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną (vide: art. 134 § 1 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi - tekst jednolity Dz. U. z 2019 r., poz. 2325, dalej także: "P.p.s.a.").

Należy jednocześnie wyraźnie zaznaczyć, że od dnia wejścia w życie Traktatu Akcesyjnego z dnia 16 kwietnia 2003 r. (Dz. U. z 2004 r. Nr 90, poz. 864), na mocy którego Polska stała się państwem członkowskim Unii Europejskiej, kontrola sądu administracyjnego obejmuje również zgodność rozstrzygnięć organów administracji publicznej z prawem europejskim (prawem Unii Europejskiej), rozumianym, jako całokształt dorobku prawnego Unii Europejskiej (acquis communautaire), w tym zasad ogólnych prawa europejskiego, interpretowanych oraz stosowanych w sposób jednolity na całym obszarze Unii Europejskiej.

Należy zauważyć, że zgodnie z zasadą pierwszeństwa, prawo Unii Europejskiej ma wartość nadrzędną nad prawem krajowym państw członkowskich Unii Europejskiej. Nie ulega wątpliwości, że zasada pierwszeństwa dotyczy wszystkich aktów wspólnotowych, które mają moc wiążącą. W konsekwencji, państwa członkowskie UE nie mogą więc stosować przepisu krajowego, który jest niezgodny z prawem Unii Europejskiej, albowiem zasada pierwszeństwa gwarantuje jednolitą ochronę prawną obywateli na całym terytorium Unii Europejskiej. Jednocześnie, nie ulega wątpliwości, że sądy krajowe, będące zarazem sądami unijnymi, muszą czuwać nad przestrzeganiem wspomnianej zasady pierwszeństwa, gdyż stanowi ona istotę funkcjonowania wspólnoty europejskiej w ramach jednego porządku prawnego ustalonego traktatami UE.

Warto również zwrócić uwagę na zasadę bezpośredniego skutku prawa Unii Europejskiej, która umożliwia podmiotom indywidualnym powoływanie się bezpośrednio na prawo unijne przed sądami i to niezależnie od tego, czy w prawie krajowym istnieją podobne regulacje prawne. W ten sposób zasada bezpośredniego skutku gwarantuje stosowanie i skuteczność prawa unijnego w państwach członkowskich UE.

Zasada bezpośredniego skutku dotyczy nie tylko prawa pierwotnego zawartego w Traktatach UE, ale także aktów prawa wtórnego, a więc aktów przyjętych przez instytucje UE na podstawie wspomnianego prawa traktatowego. W tym miejscu, należy jednak wyraźnie zauważyć, że zakres bezpośredniego skutku zależy od rodzaju danego aktu. W świetle zarówno przepisów traktatowych, jak i dotychczasowego orzecznictwa Trybunału Sprawiedliwości Unii Europejskiej, pełny skutek bezpośredni mają przepisy rozporządzeń, które są bezpośrednio stosowane w państwach członkowskich UE.

W tej sytuacji, Wojewódzki Sąd Administracyjny w Warszawie, dokonując oceny legalności zaskarżonej decyzji Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] stycznia 2020 r., zobowiązany był zbadać jej zgodność przede wszystkim z przepisami prawa europejskiego, w tym w szczególności z regulacjami zawartymi w rozporządzeniu Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych - zwane także: "RODO").

W ocenie Wojewódzkiego Sądu Administracyjnego w Warszawie, analizowana pod tym kątem skarga A.T. zasługuje na uwzględnienie, albowiem zaskarżona decyzja Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] stycznia 2020 r. umarzająca postępowanie w sprawie niezgodnego z prawem przetwarzania danych osobowych skarżącej przez P.L. - narusza w sposób istotny obowiązujące przepisy prawa.

Sąd uznał, że Prezes UODO, wydając sporną decyzję z dnia [...] stycznia 2020 r., dopuścił się naruszenia zarówno wiążących Polskę przepisów prawa europejskiego, jak i regulacji prawa krajowego, w stopniu mającym istotny wpływ na końcowy wynik sprawy zakończonej wydaniem wspomnianej decyzji administracyjnej.

Analizując niniejszą sprawę, Sąd doszedł do wniosku, że organ nadzorczy, wydając przedmiotową decyzję z dnia [...] stycznia 2020 r., dopuścił się przede wszystkim istotnego naruszenia przepisów rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r., w szczególności art. 2 ust. 2 lit. c) RODO - poprzez jego niewłaściwą wykładnię, a w konsekwencji wadliwe przyjęcie, że P.L., umieszczając na portalu społecznościowym wyrok nakazowy Sądu Rejonowego w W. z dnia [...] listopada 2017 r., sygn. akt [...], zawierający dane osobowe skarżącej - przetwarzał te dane w ramach czynności o czysto osobistym lub domowym charakterze, i tym samym nieuzasadnione stwierdzenie przez organ nadzorczy, że w niniejszej sprawie przepisy RODO nie miały zastosowania.

Wojewódzki Sąd Administracyjny w Warszawie uznał jednocześnie, że Prezes UODO, wydając sporną decyzję, dopuścił się - mogącego mieć zasadniczy wpływ na wynik sprawy - naruszenia przepisów procedury administracyjnej, a w szczególności art. 7 k.p.a., art. 77 § 1 k.p.a., art. 80 k.p.a., a także art. 107 § 3 k.p.a. w zw. z art. 7 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych, polegającego przede wszystkim na przekroczeniu granic swobodnej oceny dowodów i w konsekwencji błędnym przyjęciu, że z zebranego w sprawie materiału dowodowego wynika jednoznacznie, że udostępnienie danych osobowych skarżącej na Facebook’u było dokonane przez P.L. w ramach działalności o czysto osobistym charakterze lub domowym charakterze.

W konsekwencji, Sąd uznał, że organ nadzorczy, wydając sporną decyzję administracyjną w przedmiocie umorzenia postępowania zainicjowanego skargą A.T. z dnia [...] maja 2019 r., nieprawidłowo zastosował przepis art. 105 § 1 k.p.a. z uwagi na wadliwe przyjęcie bezprzedmiotowości tego postępowania. Według Sądu, organ nadzorczy, przyjmując bezprzedmiotowość dalszego prowadzenia postępowania w przedmiocie niezgodnego z prawem przetwarzania danych osobowych skarżącej przez P.L., bezzasadnie stwierdził, iż w rozpatrywanej sprawie brak było podstaw do rozstrzygnięcia sprawy co do istoty.

Tym samym, Sąd uznał, że Prezes Urzędu Ochrony Danych Osobowych, wydając sporną decyzję administracyjną - dopuścił się w powyższym zakresie istotnego naruszenia zasady praworządności wyrażonej w przepisach art. 6 k.p.a. i art. 7 in principio k.p.a. oraz art. 7 Konstytucji RP.

Przechodząc do oceny legalności zaskarżonej decyzji, należy zauważyć na wstępie, że przedmiotem sporu była zarówno kwestia prawidłowości ustaleń organu nadzorczego w zakresie samego zakwalifikowania przetwarzanych przez P.L. danych osobowych skarżącej, jako czynności o charakterze czysto osobistym i niepodlegających tym samym regulacjom zawartym w RODO, jak również - w konsekwencji tego naruszenia - kwestia prawidłowości zastosowania w niniejszej sprawie art. 105 § 1 k.p.a. i umorzenia postępowania z uwagi na rzekomy brak podstaw do podjęcia wobec P.L. prawnie wiążącego środka naprawczego, o którym mowa w art. 58 RODO, czy też nałożenia na niego kary pieniężnej, o której mowa w art. 83 RODO.

W niniejszej sprawie Prezes UODO, wydając zaskarżoną decyzję, przyjął, iż przetwarzane przez P.L. dane osobowe skarżącej, polegające na udostępnieniu przez niego na Facebooku, a także ewentualnie za szybą samochodu wyroku sądu zawierającego dane skarżącej miało charakter czynności o czysto osobistym charakterze, w rozumieniu przepisu art. 2 ust. 2 lit. c RODO. Organ nadzorczy uznał w konsekwencji, że skoro do przetwarzania danych osobowych przez osobę fizyczną w ramach działalności czysto osobistej lub domowej - tak jak ma to miejsce w niniejszej sprawie - nie stosuje się przepisów RODO, rozpatrywanie przedmiotowej sprawy na podstawie przepisów RODO jest bezpodstawne. Tym samym, organ nadzorczy uznał, że w przedmiotowej sprawie nie ma podstaw prawnych do spełnienia żądania strony skarżącej w zakresie wydania wobec P.L. któregokolwiek z nakazów, o których mowa w art. 58 RODO, czy też do nałożenia na niego kary pieniężnej, o której mowa w art. 83 RODO. To z kolei doprowadziło do tego, iż organ nadzorczy stwierdził, że postępowanie powinno być umorzone, na podstawie art. 105 § 1 k.p.a., z uwagi na jego bezprzedmiotowość.

Art. 2 ust. 1 RODO wyznacza zakres przedmiotowy rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r., zaś art. 2 ust. 2 tego aktu określa wyłączenia obowiązku jego stosowania.

Zgodnie z treścią art. 2 ust. 2 lit. c RODO, rozporządzenie to nie ma zastosowania do przetwarzania danych osobowych przez osobę fizyczną w ramach czynności o czysto osobistym lub domowym charakterze.

Jednocześnie, zauważyć należy, że motyw 18 Preambuły RODO stanowi, że "Niniejsze rozporządzenie nie ma zastosowania do przetwarzania danych osobowych przez osobę fizyczną w ramach działalności czysto osobistej lub domowej, czyli bez związku z działalnością zawodową lub handlową. Działalność osobista lub domowa może między innymi polegać na korespondencji i przechowywaniu adresów, podtrzymywaniu więzi społecznych oraz działalności internetowej podejmowanej w ramach takiej działalności. Niniejsze rozporządzenie ma jednak zastosowanie do administratorów lub podmiotów przetwarzających, którzy udostępniają środki przetwarzania danych osobowych na potrzeby takiej działalności osobistej lub domowej".

Artykuł 2 ust. 2 lit. c RODO statuuje wyłączenie z zakresu reżimu rozporządzenia przetwarzania danych przez osobę fizyczną w ramach czynności o czysto osobistym lub domowym charakterze. W motywie 18 wyjaśniono dodatkowo, że działalność czysto osobista lub domowa to taka, która pozostaje bez związku z działalnością zawodową lub handlową. Polegać ona może na korespondencji i przechowywaniu adresów, podtrzymywaniu więzi społecznych oraz działalności internetowej podejmowanej w ramach takiej działalności. Jak wskazano, rozporządzenie znajdzie jednak zastosowanie do administratorów lub podmiotów przetwarzających, którzy udostępnią środki przetwarzania danych osobowych na potrzeby takiej działalności osobistej lub domowej.

Warto w tym miejscu zauważyć, że analogiczne wyłączenie sformułowane było w art. 3 ust. 2 tiret drugie dyrektywy 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych (Dz. Urz. UE L 1995 Nr 281, s. 31).

Wyłączenie to było poddawane wykładni w kolejnych orzeczeniach Trybunału Sprawiedliwości Unii Europejskiej.

I tak, należy wskazać, że w wyroku z dnia 6 listopada 2003 r., C-101/01, wydanym w sprawie LINDQVIST, Trybunał Sprawiedliwości Unii Europejskiej stwierdził, że wyłączenie to powinno być interpretowane jako obejmujące wyłącznie działania wchodzące w zakres życia prywatnego lub rodzinnego jednostki, co w sposób oczywisty nie ma miejsca w przypadku przetwarzania danych osobowych polegającego na ich opublikowaniu w Internecie w taki sposób, że staną się one dostępne dla nieograniczonej liczby osób (pkt 43).

Z kolei w wyroku z dnia 11 grudnia 2014 r., C-212/13, wydanego w sprawie František Ryneš vs. Úřad pro ochranu osobních údajů, Trybunał Sprawiedliwości UE podkreślił, że istotny jest związek ze sferą o czysto osobistym lub domowym charakterze należącą do osoby, która dokonuje tego przetwarzania (pkt 31). W konsekwencji, Trybunał Sprawiedliwości uznał, że w przypadku, gdy przetwarzanie rozciąga się choćby częściowo na przestrzeń publiczną i tym samym jest skierowane poza sferę prywatną osoby dokonującej w ten sposób przetwarzania danych, nie powinno ono być rozumiane, jako czynność o czysto "osobistym lub domowym charakterze" w rozumieniu art. 3 ust. 2 tiret drugie dyrektywy 95/46 (pkt 33). Warto zauważyć, że w opinii rzecznika generalnego wydanej w tej sprawie podkreślono ponadto, że "czynności o charakterze osobistym" na podstawie art. 3 ust. 2 tiret drugie dyrektywy 95/46/WE stanowią czynności ściśle i obiektywnie związane z życiem prywatnym osoby, które jednocześnie nie naruszają w sposób dotkliwy sfery osobistej innych. Jak podkreślał rzecznik, czynności te mogą jednak mieć miejsce poza domem, chodzi bowiem bardziej o związek osobowy, a nie miejscowy. Z kolei odnosząc się do "czynności o charakterze domowym", rzecznik generalny uznał, że są one związane z życiem rodzinnym i normalnie mają miejsce w ramach gospodarstwa domowego lub w innych miejscach dzielonych z członkami rodziny, takich jak drugie miejsce zamieszkania, pokój hotelowy lub samochód prywatny. W opinii swej rzecznik generalny wyraźnie wskazał także, że nie wystarczy, aby zamierzone czynności przedstawiały związek z czynnościami o charakterze osobistym lub domowym, lecz wymagane jest ponadto, aby związek ten miał charakter wyłączny (pkt 53).

Warto zauważyć, że problematykę związaną z wykładnią pojęcia czynności o czysto osobistym lub domowym charakterze na gruncie dyrektywy 95/46/WE poruszała również Grupa robocza ds. ochrony osób fizycznych w zakresie przetwarzania danych osobowych, powołana na mocy art. 29 cyt. dyrektywy 95/46/WE, która w opinii w sprawie portali społecznościowych uznała m.in., że co do zasady przetwarzanie danych osobowych odbywające się w ramach portali społecznościowych przez ich użytkowników mieści się w ramach czynności o czysto osobistym lub domowym charakterze, chyba że np. dostęp do danych mają inne osoby niż kontakty samodzielnie wybrane przez użytkownika (por. D. Lubasz /w:/ E. Bielak-Jomaa (red.), D. Lubasz (red.), RODO. Ogólne rozporządzenie o ochronie danych. Komentarz, WKP 2018).

O ile nie ulega wątpliwości, że w motywie 18 Preambuły RODO, jako objętą wyłączeniem, wskazuje się działalność internetową, w tym wykorzystanie sieci społecznościowych, o tyle jednak - zdaniem Sądu - nie należy interpretować tego, jako przykład wyłączenia absolutnego, następującego w każdej sytuacji i w przypadku dowolnej aktywności niekomercyjnej użytkownika w Internecie, lecz z zawężeniem do tych stanów faktycznych, w których przetwarzanie danych, w szczególności ich udostępnianie poprzez Internet, nie następuje na rzecz nieograniczonego kręgu odbiorców (por. D. Lubasz /w:/ E. Bielak-Jomaa (red.), D. Lubasz (red.), RODO. Ogólne rozporządzenie o ochronie danych. Komentarz, WKP 2018, który przyjmuje, że wskazany dorobek orzeczniczy Trybunału Sprawiedliwości dotyczący interpretacji analogicznego wyłączenia z art. 3 ust. 2 tiret drugie dyrektywy 95/46/WE, w szczególności wyartykułowany przez Trybunał Sprawiedliwości w sprawie C-101/01 Lindqvist oraz C-73/07 Satamedia, zachowuje aktualność również na gruncie RODO).

Analogiczną interpretację zaprezentowała Grupa Robocza ds. ochrony osób fizycznych w zakresie przetwarzania danych osobowych przy okazji stanowiska dotyczącego stanu prac nad unijną reformą ochrony danych osobowych, która przedstawiając aneks odnoszący się do przetwarzania danych przez osobę fizyczną w trakcie czynności o czysto osobistym lub domowym charakterze, sformułowała kryteria, jakie powinno się brać pod uwagę przy ustalaniu, czy dane przetwarzanie mieści się w zakresie omawianego wyłączenia, wśród których rozstrzygające było kryterium kręgu osób, którym dane są udostępnianie. Jeśli bowiem z wykorzystaniem narzędzi online dane stają się dostępne nieograniczonemu kręgowi odbiorców, z opisywanego wyłączenia, zdaniem Grupy Roboczej, nie będzie można skorzystać.

Mając na względzie powyższe, Wojewódzki Sąd Administracyjny w Warszawie w składzie orzekającym w niniejszej sprawie uznał, że dla zastosowania wyłączenia, o którym mowa jest w art. 2 ust. 2 lit. c RODO niezbędne jest, by przetwarzanie o charakterze osobistym lub domowym miało wyłącznie taki charakter, a zatem powinno być interpretowane, jako obejmujące wyłącznie działania wchodzące w zakres życia prywatnego lub rodzinnego jednostki. Innymi słowy, poza wspomnianym wyłączeniem będą znajdowały się te sytuacje, w których - jak w niniejszej sprawie - przetwarzanie polegało na udostępnieniu wyroku sądowego zawierającego dane osobowe skarżącej na portalu społecznościowym Facebook, a więc w przypadku możliwości ich dalszego udostępniania przez członków tej sieci społecznościowej.

Czynności o charakterze osobistym czy domowym dotyczą zatem generalnie aspektów aktywności związanych z prowadzeniem gospodarstwa domowego, spędzaniem urlopu, w tym pamiątek z niego, np. zdjęć czy filmów, konsumpcji, czy też uprawiania sportu.

W ocenie Sądu, stwierdzić należy zatem, że o ile owszem istnieje możliwość uznania za działania w ramach czynności o czysto osobistym lub domowym charakterze również publikowanie danych w serwisach społecznościowych, o tyle uznać należy jednak, że przetwarzanie danych na portalu społecznościowym Facebook, gdzie dostęp do tych danych mają lub mogą mieć również inne osoby, niż te, które zostały wybrane samodzielnie przez użytkownika, nie sposób uznać za objęte wyłączeniem, o którym mowa w art. 2 ust. 2 lit. c RODO.

W konsekwencji, Sąd uznał, że Prezes UODO w sposób nieuzasadniony przyjął w niniejszej sprawie, iż P.L., umieszczając na portalu społecznościowym wyrok nakazowy Sądu Rejonowego w W. z dnia [...] listopada 2017 r., sygn. akt [...], zawierający dane osobowe skarżącej - przetwarzał te dane w ramach czynności o czysto osobistym lub domowym charakterze. Organ nadzorczy w sposób błędny uznał, że z zebranego w sprawie materiału dowodowego wynika jednoznacznie, iż udostępnienie danych osobowych skarżącej na Facebook’u było dokonane przez P.L. w ramach działalności o czysto osobistym charakterze lub domowym charakterze.

Mając na względzie charakter czynności przetwarzania danych osobowych skarżącej przez P.L. uznać trzeba, że budzi wątpliwości zakres publikacji danych i zakres kręgu odbiorców tych danych na wspomnianym portalu społecznościowym.

W tej sytuacji, Sąd uznał, że - wbrew stanowisku organu nadzorczego - dane osobowe skarżącej nie były przetwarzane na potrzeby działalności osobistej lub domowej, zaś zaprezentowana przez organ nadzorczy wykładnia art. 2 ust. 2 lit. c RODO w sposób nieuprawniony pominęła istotny aspekt charakteru przetwarzania danych osobowych, co prowadzi w konsekwencji do zbyt szerokiego postrzegania tej zasady.

Mając powyższe na względzie, Sąd uznał, że w konsekwencji istotnego naruszenia wskazanego wyżej przepisu art. 2 ust. 2 lit. c RODO, Prezes UODO w sposób nieuzasadniony zastosował przepis art. 105 § 1 k.p.a., wadliwie przyjmując bezprzedmiotowość tego postępowania z uwagi na rzekomy brak podstaw do rozstrzygnięcia sprawy co do istoty.

Tym samym, Sąd uznał, że Prezes Urzędu Ochrony Danych Osobowych, wydając sporną decyzję administracyjną - dopuścił się w powyższym zakresie istotnego naruszenia zasady praworządności wyrażonej w przepisach art. 6 k.p.a. i art. 7 in principio k.p.a. oraz art. 7 Konstytucji RP.

Analizowane działanie Prezesa UODO w sposób istotny naruszało także zasadę zaufania obywateli do organów praworządnego państwa i stosowanego przez nie prawa, wyrażonej w art. 8 § 1 k.p.a. Nie ulega bowiem wątpliwości, że zasada zaufania wyrażona w przepisie art. 8 § 1 k.p.a. ma kontekst konstytucyjny i unijny, zaś organy administracji publicznej są obowiązane, w ramach wykładni zgodnej z prawem UE i Konstytucją RP, uwzględniać, że zasada zaufania, również w aspekcie procesowym, jest zasadniczym elementem zasady demokratycznego państwa prawa i jako taka ma swoje umocowanie i źródło w art. 2 Konstytucji RP.

W tej sytuacji, skoro działanie organu nadzorczego nie spełniało w sposób ewidentny powyższych warunków, stanowiło to podstawę do wyeliminowania z obrotu prawnego zaskarżonej decyzji Prezesa UODO z dnia [...] stycznia 2020 r.

Biorąc powyższe pod uwagę, Wojewódzki Sad Administracyjny w Warszawie - działając na podstawie art. 145 § 1 pkt 1 lit. a i c P.p.s.a. - orzekł, jak w pkt. 1 sentencji wyroku.

Zasądzając jednocześnie od Prezesa Urzędu Ochrony Danych Osobowych na rzecz skarżącej kwotę 680 złotych tytułem zwrotu kosztów postępowania sądowego, Sąd działał na podstawie przepisów art. 200 i art. 205 § 2 P.p.s.a. w związku z art. 209 P.p.s.a.