Centralna Baza Orzeczeń Sądów Administracyjnych

Naczelny Sąd Administracyjny w składzie: Przewodniczący: sędzia NSA Tamara Dziełakowska (spr.) sędzia NSA Olga Żurawska-Matusiak sędzia del. WSA Arkadiusz Windak Protokolant asystent sędziego Adam Płusa po rozpoznaniu w dniu 16 października 2024 r. na rozprawie w Izbie Ogólnoadministracyjnej skargi kasacyjnej Prezesa Urzędu Ochrony Danych Osobowych od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 23 listopada 2020 r. sygn. akt II SA/Wa 895/20 w sprawie ze skargi A.T. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] stycznia 2020 r. nr [...] w przedmiocie ochrony danych osobowych 1) oddala skargę kasacyjną, 2) zasądza od Prezesa Urzędu Ochrony Danych Osobowych na rzecz A.T. kwotę 400 (czterysta) złotych tytułem zwrotu kosztów postępowania kasacyjnego.

Decyzją z [...] stycznia 2020 r. Prezes Urzędu Ochrony Danych Osobowych na podstawie art. 105 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2018 r. poz. 2096 z późn. zm.), dalej jako "k.p.a.", umorzył postępowanie w sprawie skargi A.T. na niezgodne z prawem przetwarzanie jej danych osobowych przez P.L. (uczestnik). Skarżąca podnosiła, że w okresie od 16 do 27 września 2018 r. P.L. na portalu Facebook opublikował wyrok z dnia 29 listopada 2017 r. Sądu Rejonowego w Wołominie sygn. akt V 729/17 z danymi osobowymi skarżącej oraz w dniach co najmniej od 16 do 27 września 2018 r. wystawił na widok publiczny za szybą swojego samochodu ww. wyrok. W ocenie organu nie doszło do niezgodnego z prawem przetwarzania danych, bowiem zgodnie z art. 2 ust. 2 lit. c rozporządzenia Parlamentu Europejskiego i Rady UE 2016/679 z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz.U.UE.L.2016.119.1, Dz. Urz. L. 127 z 23.05.2018 r.), dalej jako "rozporządzenie 2016/679" lub "RODO", przepisy tego aktu nie mają zastosowania do przetwarzania danych osobowych przez osobę fizyczną w ramach czynności o czysto osobistym lub domowym charakterze, czyli niezwiązanym z działalnością zawodową lub handlową. Organ wskazał, że w ramach postępowania ustalono, że skarżącą oraz uczestnika łączą więzy rodzinne, a co więcej uczestnik nie prowadzi działalności gospodarczej, a tym samym dane osobowe skarżącej przetwarzane były jedynie w celach osobistych. W związku z powyższym Prezes Urzędu Ochrony Danych Osobowych nie miał kompetencji do wydania jakiegokolwiek nakazu lub nałożenia kary administracyjnej.

W wyniku rozpoznania skargi na powyższe rozstrzygnięcie Wojewódzki Sąd Administracyjny w Warszawie wyrokiem z 23 listopada 2020 r. sygn. akt II SA/Wa 895/20 na podstawie art. 145 § 1pkt 1 lit. a i c ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2019 r. poz. 2325 ze zm.), dalej jako "p.p.s.a.", uchylił zaskarżoną decyzję oraz zasądził na rzecz skarżącej od organu zwrot kosztów postępowania sądowego. W uzasadnieniu stwierdzono, że organ naruszając przepisy procedury administracyjnej w zakresie swobodnej oceny dowodów błędnie przyjął, że uczestnik przetwarzał dane osobowe skarżącej w ramach czynności o czysto osobistym lub domowym charakterze, i że tym samym przepisy rozporządzenia nie miały zastosowania. Sąd powołując się na treść preambuły oraz art. 2 ust. 1 i 2 RODO wyjaśnił, że działalność osobista i domowa może między innymi polegać na korespondencji i przechowywaniu adresów, podtrzymywaniu więzi społecznych oraz działalności internetowej podejmowanej w ramach takiej działalności. Równocześnie zauważono, że niniejsze rozporządzenie ma jednak zastosowanie do administratorów lub podmiotów przetwarzających, którzy udostępniają środki przetwarzania danych osobowych na potrzeby takiej działalności osobistej lub domowej.

Sąd powołał się również na wyroki Trybunału Sprawiedliwości Unii Europejskiej w których stwierdzono, że ww. wyłączenie stosowania przepisów rozporządzenia nie powinno mieć zastosowania w przypadku przetwarzania danych osobowych polegającego na ich opublikowaniu w Internecie w taki sposób, że staną się one dostępne dla nieograniczonej liczby osób (wyrok z dnia 6 listopada 2003 r., C-101/01 w sprawie LINDQVIST, pkt 43) oraz że w przypadku, gdy przetwarzanie choćby częściowo rozciąga się poza sferę prywatną osoby dokonującej to nie można uznać, że jest to czynność o czysto osobistym lub domowym charakterze (wyrok z dnia 11 grudnia 2014 r., C-212/13, w sprawie Frantiśek Ryneś vs. Urad pro ochranu osobnich udaju, pkt 33).

Na podstawie powyższego orzecznictwa Sąd pierwszej instancji przyjął, że wyłączenie od przepisów RODO nie będzie miało zastosowania w rozpoznawanej sprawie, bowiem przetwarzanie danych skarżącej polegało na udostępnieniu wyroku sądowego zawierającego jej dane na portalu społecznościowym Facebook, a więc istniała możliwość ich dalszego udostępniania przez członków tej sieci społecznościowej.

Na powyższe rozstrzygnięcie Prezes Urzędu Ochrony Danych Osobowych wniósł skargę kasacyjną żądając uchylenia w całości zaskarżonego wyroku i przekazania sprawy do ponownego rozpoznania Sądowi pierwszej instancji, zasądzenia zwrotu kosztów postępowania oraz rozpoznania skargi kasacyjnej na rozprawie. Rozstrzygnięciu zarzucono naruszenie przepisów prawa materialnego, tj. art. 2 ust. 2 lit. c rozporządzenia 2016/679 poprzez jego błędną wykładnię polegającą na przyjęciu, że w stanie faktycznym przedmiotowej sprawy dane osobowe skarżącej nie były przetwarzane na potrzeby działalności osobistej lub domowej. Uzasadniając zarzut skargi kasacyjnej organ zauważył, że stałym elementem występującym zarówno w działalności o charakterze czysto osobistym czy przetwarzania danych w ramach czynności o charakterze domowym jest brak formalizacji relacji w ramach podejmowanych działań. Oznacza to, że przetwarzanie danych podejmowane przez osobę fizyczną, niemające charakteru zawodowego lub handlowego, a związane choćby z realizacją wszelkich hobby, filantropią czy działalnością społeczną i artystyczną, będzie objęte zwolnieniem z rygorów wynikających z RODO. Natomiast podmioty, pod szyldem których odbywa się przetwarzanie, będą miały status administratora. Co więcej Prezes Urzędu Ochrony Danych Osobowych stoi na stanowisku, że nieograniczona dostępność profilu na portalu społecznościowym nie przesądza sama w sobie, że przetwarzanie wykracza poza zakres przetwarzania osobistego lub domowego. Bowiem by uznać, że przetwarzanie wykracza poza powyższy zakres konieczne jest by dostępność danych zamieszczonych na profilu na portalu społecznościowym była powiązana z działalnością zawodową lub handlową, co w niniejszej sprawie nie miało miejsca.

W odpowiedzi na skargę kasacyjną skarżąca wniosła o jej oddalenie oraz zasądzenie na swoją rzecz od organu kosztów postępowania przed NSA, podtrzymując dotychczasowe stanowisko w sprawie.

Naczelny Sąd Administracyjny zważył, co następuje:

Stosownie do art. 183 § 1 p.p.s.a., Naczelny Sąd Administracyjny rozpoznaje sprawę w granicach skargi kasacyjnej, biorąc pod rozwagę z urzędu jedynie nieważność postępowania, której przesłanki zostały enumeratywnie wymienione w § 2 art. 183 p.p.s.a. Oznacza to, że jeżeli – tak jak w rozpoznawanej sprawie, nie zachodzi nieważność postępowania – zakres postępowania kasacyjnego wyznacza strona wnosząca skargę kasacyjną przez przytoczenie podstaw kasacyjnych i ich uzasadnienie.

Rozpoznając skargę kasacyjną złożoną w niniejszej sprawie, Naczelny Sąd Administracyjny uznał, że jest ona pozbawiona usprawiedliwionych podstaw i z tych względów nie zasługuje na uwzględnienie.

W przedmiotowej sprawie kluczowe znaczenie ma odpowiedź na pytanie czy działalność uczestnika polegającą na udostępnieniu na portalu internetowym Facebook danych osobowych skarżącej poprzez publikację wyroku nakazowego zawierającego dane skarżącej może podlegać pod zakres zastosowania rozporządzenia 2016/679 w świetle art. 2 ust. 2 lit c tego rozporządzenia.

Powołany powyżej przepis stanowi, że "[n]iniejsze rozporządzenie nie ma zastosowania do przetwarzania danych osobowych: c) przez osobę fizyczną w ramach czynności o czysto osobistym lub domowym charakterze". Dopełnieniem tego przepisu, w którym ustawodawca unijny odniósł się do pojęcia "czynności o czysto osobistym i domowym charakterze" jest motyw 18 preambuły do rozporządzenia zgodnie z którym "[n]iniejsze rozporządzenie nie ma zastosowania do przetwarzania danych osobowych przez osobę fizyczną w ramach działalności czysto osobistej lub domowej, czyli bez związku z działalnością zawodową lub handlową. Działalność osobista lub domowa może między innymi polegać na korespondencji i przechowywaniu adresów, podtrzymywaniu więzi społecznych oraz działalności internetowej podejmowanej w ramach takiej działalności. Niniejsze rozporządzenie ma jednak zastosowanie do administratorów lub podmiotów przetwarzających, którzy udostępniają środki przetwarzania danych osobowych na potrzeby takiej działalności osobistej lub domowej". Przykładem tego rodzaju przetwarzania, które – co do zasady - nie znajdzie się w zakresie zastosowania RODO, może być przetwarzanie danych w prywatnych notatnikach teleadresowych, prywatnych komputerach czy innych prywatnych urządzeniach umożliwiających zautomatyzowane przetwarzanie danych (np. smartfonach, tabletach) oraz jak wskazuje się w doktrynie działalność osób fizycznych na portalach społecznościowych, o ile nie jest związana z działalności zawodową lub handlową (P. Fajgielski [w:] Komentarz do rozporządzenia nr 2016/679 w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) [w:] Ogólne rozporządzenie o ochronie danych. Ustawa o ochronie danych osobowych. Komentarz, wyd. II, Warszawa 2022, art. 2).

Jak wynika z powyższego wskazany wyżej motyw 18 oprócz wyjaśnienia, że przetwarzanie danych osobowych przez osobę fizyczną w ramach działalności czysto osobistej lub domowej pozostaje bez związku z działalnością zawodową lub gospodarczą wskazuje wyraźnie, że rozporządzenie ma jednak zastosowanie "do administratorów lub podmiotów przetwarzających, którzy udostępniają środki przetwarzania danych osobowych na potrzeby takiej działalności osobistej lub domowej", a to oznacza, że podmioty przetwarzające dane w ramach działalności osobistej lub domowej, które udostępniają środki przetwarzania danych osobowych nie są objęte wyłączeniem wynikającym z art. 2 ust. 2 lit. c RODO. Interpretacja tego przepisu przez organ prezentowana w sprawie zarówno w zaskarżonej decyzji, jak i skardze kasacyjnej opiera się zatem na uwzględnieniu z motywu 18 jedynie jego zdania pierwszego i drugiego z całkowitym pominięciem zdania trzeciego odnoszącego się do udostępnienia środków przetwarzania danych osobowych. Wyjaśnić należy, że przez "środki przetwarzania danych" w tym przypadku rozumieć należy miejsce lub nośnik, na którym dane się znajdują, czyli właśnie wymienione wcześniej prywatne notatniki, kalendarze lub urządzenia elektroniczne, na których przechowywane są np. listy kontaktów, numery telefonów, adresy i inne dane osobowe. Dopóki środki te (przetwarzania danych przez osobę fizyczną) dostępne są jedynie w granicach tzw. zacisza domowego lub innego prywatnego miejsca (np. auta) osoby przetwarzającej dopóty jest to przetwarzanie w ramach czynności o czysto osobistym i domowym charakterze. Jednakże w sytuacji, gdy z inicjatywy podmiotu przetwarzającego dostęp do tego typu "środka przetwarzania danych" zostanie udzielony szerszemu gronu działanie takie będzie znajdowało się pod ochroną wynikającą z RODO. Wskazuje na to wyraźnie zdanie trzecie motywu 18 wyjaśniającego treść art. 2 ust. 2 lit. c RODO.

Warto również zaznaczyć, że podobne wyłączenie do art. 2 ust. 2 lit c RODO znajdowało się w uprzednio obowiązującej regulacji tj.: dyrektywy 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych (Dz.U.UE.L.1995.281.31) i na jego podstawie w opinii przyjętej przez Grupę Roboczą Art. 29 uznano, że przetwarzanie danych przez użytkowników w portalach społecznościowych mieści się – co do zasady – w zakresie czynności osobistych lub domowych, chyba że dostęp do tych danych mają inne osoby niż te, które zostały wybrane samodzielnie przez użytkownika, np. poprzez dodanie do kontaktów (por. Opinia 5/2009 Grupy Roboczej Art. 29 w sprawie portali społecznościowych, przyjęta 12.06.2009 r., WP 163). Co prawda wytyczne te rzeczywiście jak wskazuje organ nie stanowią wiążących źródeł prawa powszechnie obowiązującego, ale przedstawiają pewną interpretację przepisów, którą Naczelny Sąd Administracyjny podziela.

Podsumowując powyższe należy uznać, że co do zasady treści publikowane na portalach społecznościowych przez osoby fizyczne nie są objęte działaniem rozporządzenia RODO, o ile działalność ta nie ma zawodowego lub handlowego charakteru i dostęp do nich mają tylko podmioty wyselekcjonowane przez osobę udostępniającą. Innymi słowy w przypadku, gdy przetwarzanie rozciąga się choćby częściowo na przestrzeń publiczną i tym samym jest skierowane poza sferę prywatną osoby dokonującej w ten sposób przetwarzania danych, nie powinno ono być rozumiane, jako czynność o czysto "osobistym lub domowym charakterze". Takie stanowisko zaprezentowane zostało również w wyroku Trybunału Sprawiedliwości Unii Europejskiej z dnia 11 grudnia 2014 r., C-212/13, na który powołał się m.in. Sąd pierwszej instancji.

W związku z powyższym z perspektywy analizowanej sprawy zasadnicze znaczenie ma, czy dane skarżącej udostępnione na portalu uczestnika zostały udostępnione w sposób "otwarty" umożliwiający każdej osobie, nawet nienależącej do osób dopuszczonych przez uczestnika, dostęp do umieszczonych tam treści.

Bezspornym jest okoliczność, że dane skarżącej udostępniono na profilu społecznościowym Facebook uczestnika i jak wynika z materiału dowodowego sprawy (m.in. skargi na niezgodne z prawem przetwarzanie danych osobowych z 10 maja 2019 r.) dostęp do umieszczonych tam treści był nieograniczony. Nie można więc zgodzić się z twierdzeniami skarżącego kasacyjnie organu, że interpretacja czynności osobistych lub domowych jest nadmiernie rygorystyczna. W ocenie organu, co jasno wynika ze skargi kasacyjnej, o ile działalność danej osoby związana jest z realizacją hobby, filantropii lub działalnością społeczną, a w każdym razie nie jest związana z działalnością zawodową lub handlową, to nie znajduje się pod zakresem zastosowania RODO. Taka interpretacja nie jest zasadna, bowiem prowadziłoby to do wniosku, że tylko działalność przedsiębiorców (zawodowa lub handlowa) objęta jest zastosowaniem RODO, a z pewnością nie taka była intencja ustawodawcy unijnego. Stanowisko to, jak wyjaśniono wyżej, znajduje potwierdzenie w zdaniu trzecim motywu 18 rozporządzenia 2016/679, w którym wskazano, że rozporządzenie będzie miało zastosowanie do osób fizycznych przetwarzających w ramach działalności osobistej lub domowej dane osobowe, o ile nastąpi udostępnienie tych danych na zewnątrz. Co więcej w doktrynie prawa wskazuje się nawet na dalej idącą interpretację, zgodnie z którą udostępnienie danych nawet w grupie, w przypadku możliwości ich dalszego udostępniania przez członków tej grupy w ramach sieci społecznościowej również wykraczać będzie poza zakres wyłączenia, o którym mowa w art. 2 ust. 2 lit. c RODO (D. Lubasz [w:] RODO. Ogólne rozporządzenie o ochronie danych. Komentarz, red. E. Bielak-Jomaa, Warszawa 2018, art. 2). Wobec tego, że taki przypadek nie jest jednak przedmiotem sprawy odnoszenie się do prezentowanego poglądu nie jest konieczne.

Z podanych względów skargę kasacyjną na podstawie art. 184 p.p.s.a. należało oddalić. Natomiast o kosztach postępowania kasacyjnego orzeczono w oparciu o treść art. 204 pkt. 2 p.p.s.a.