Centralna Baza Orzeczeń Sądów Administracyjnych

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Sławomir Fularski, Sędzia WSA Piotr Borowiecki (spr.), Asesor WSA Arkadiusz Koziarski, Protokolant starszy specjalista Ewa Kielak-Niedźwiedzka, po rozpoznaniu na rozprawie w dniu 23 listopada 2023 r. sprawy ze skargi [...] Sp. z o.o. z siedzibą w [...] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] lutego 2023 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę

Zaskarżoną decyzją z dnia [...] lutego 2023 r., nr [...], Prezes Urzędu Ochrony Danych Osobowych (dalej także: "Prezes UODO" lub "organ nadzorczy"), działając na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego (tekst jednolity Dz. U. z 2022 r., poz. 2000 ze zm. - dalej: "k.p.a.") oraz art. 7 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (tekst jednolity Dz. U. z 2019 r., poz. 1781 - dalej także: "u.o.d.o.") oraz art. 5 ust 1 lit. a i lit. b, art. 5 ust. 2, art. 6 ust. 1, art. 13 ust. 1 i 2 oraz art. 58 ust. 2 lit. b i lit. d rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z dnia 4 maja 2016 r., s. 1, Dz. Urz. UE L 127 z dnia 23 maja 2018 r., s. 2 oraz Dz. Urz. UE L 74 z 4 marca 2021, s. 35 - dalej także: "RODO"), po przeprowadzeniu postępowania administracyjnego zainicjowanego skargami: L.G., A.K., K.K., R.G., J.G., R.W., L.S., M.K., D.R., P.S., M.D. oraz W.S. (dalej także: "uczestnicy postępowania"), dotyczącymi nieprawidłowości w procesie przetwarzania ich danych osobowych polegających na nagrywaniu ich wizerunku za pomocą systemu monitoringu znajdującego się na nieruchomości należącej do Nadleśnictwa [...] przez spółkę [...] sp. z o.o. z siedzibą w [...] (dalej także: "skarżąca spółka" lub "strona skarżąca"):

1) nakazał [...] sp. z o.o. z siedzibą w [...] zaprzestanie przetwarzania za pomocą monitoringu wizyjnego danych osobowych: L.G., A.K., K.K., R.G., J.G., R.W., L.S., M.K., D.R., P.S., M.D. oraz W.S. (dane adresowe uczestników szczegółowo określone w decyzji), przy użyciu kamer, które swoim zasięgiem obejmują działki o nr [...] i nr [...], położone w obrębie ewidencyjnym [...] [...];

2) udzielił upomnienia spółce [...] sp. z o.o. z siedzibą w [...] za naruszenie art. 5 ust. 1 lit. a i lit. b, art. 5 ust. 2, art. 6 ust. 1 oraz 13 ust. 1 i 2 RODO w procesie przetwarzania danych osobowych L.G., A.K., K.K., R.G., J.G., R.W., L.S., M.K., D.R., P.S., M.D. oraz W.S. , realizowanym przy wykorzystaniu systemu monitoringu wizyjnego znajdującego się na działce nr [...], położonej w obrębie ewidencyjnym [...] [...] obejmującego swoim zasięgiem działki o nr [...] i nr [...], położone w obrębie ewidencyjnym [...] [...].

Zaskarżona decyzja Prezesa UODO została wydana w następującym stanie faktycznym.

W dniu 21 lipca 2020 r. do Urzędu Ochrony Danych Osobowych wpłynęła skarga L.G. na nieprawidłowości w procesie przetwarzania jego danych osobowych polegające na nagrywaniu jego wizerunku za pomocą systemu monitoringu znajdującego się na nieruchomości należącej do Nadleśnictwa [...] przez spółkę [...] sp. z o.o. z siedzibą w [...].

W treści przedmiotowej skargi L.G. wskazał, iż wraz z małżonką są współwłaścicielami działek gruntu o nr ewidencyjnych [...] oraz [...] w miejscowości [...], na których to działkach prowadzona jest działalność gospodarcza pod firmą L.G. "[...]". Wnoszący skargę podniósł, że w dniu 30 listopada 2018 r. zaobserwował, iż na granicy w/w działek, fizycznie na gruncie Lasów Państwowych Nadleśnictwa [...], na drzewie są posadowione dwie kamery przemysłowe skierowane polem zasięgu swojego nagrywania na należące do niego działki gruntu, na których jest prowadzona wspomniana wyżej działalność gospodarcza. Wnoszący skargę wskazał, że zwrócił się do Nadleśnictwa [...] z wnioskiem o wyjaśnienie. Wnoszący skargę zauważył, że w piśmie z dnia 20 grudnia 2018 r. Nadleśnictwo poinformowało, że grunt, na którym znajdują się sporne kamery, został wydzierżawiony spółce [...] sp. z o.o. W tej sytuacji, jak podniósł L.G., pismem z dnia 7 stycznia 2019 r. wezwał spółkę [...] sp. z o.o. do zaniechania naruszeń i złożenia oświadczenia w związku z naruszeniem dóbr osobistych, zarzucając jednocześnie skarżącej spółce, że nigdy nie był przez nią informowany o rejestracji obrazu za pośrednictwem kamer, a także że spółka ta nie zamieściła informacji zewnętrznej wskazującej na odbywającą się rejestrację wideo. Wnoszący skargę poinformował ponadto organ nadzorczy, że w odpowiedzi na powyższe wezwanie skarżąca spółki wskazała, że monitoring został zamontowany w celu monitorowania ujęć wody eksploatowanych przez spółkę, co jest konieczne ze względów bezpieczeństwa produkcji. Przy czym, skarżący zauważył w tym miejscu, że kamery zostały zamontowane w ten sposób, iż swoim zasięgiem rejestracji nie obejmują ująć wody, lecz prywatny teren wnoszącego skargę. Jednocześnie, wnoszący skargę poinformował organ nadzorczy, że Nadleśnictwo nakazało skarżącej spółce demontaż kamer oraz przewodów do dnia 31 października 2019 r., lecz - jak wskazał L.G. - kamery nadal nie zostały zdemontowane. Wskazując na powyższe, wnoszący skargę zażądał od Prezesa UODO, aby nakazał skarżącej spółce usunięcie danych osobowych zgromadzonych przez nią oraz by nakazał tej spółce zaprzestanie dalszego przetwarzania danych osobowych wnoszącego skargę.

Następnie, w dniu 24 lipca 2020 r. do Urzędu Ochrony Danych Osobowych wpłynęło pismo L.G., A.K., K.K., R.G., J.G., R.W., L.S., M.K., D.R., P.S., M.D. oraz W.S. z dnia 21 lipca 2020 r., w którym osoby te wskazały na nieprawidłowości w procesie przetwarzania ich danych osobowych polegające na nagrywaniu ich wizerunku za pomocą systemu monitoringu znajdującego się na nieruchomości należącej do Nadleśnictwa [...] przez skarżącą spółkę. W uzasadnieniu tego pisma wnoszący skargę podnieśli, że skarżąca spółka bezpodstawnie przetwarza ich dane osobowe, w postaci co najmniej ich wizerunku, poprzez stosowanie monitoringu wizyjnego, którego zapis obejmuje obszar należącej do L.G. prywatnej działki, na terenie której regularnie osoby te przebywają, bez poinformowania ich o tym fakcie, a także bez uzyskania ich zgody. W konsekwencji wnoszący skargę zażądali nakazania spółce [...] sp. z o.o. usunięcia ich danych osobowych zgromadzonych w wyżej opisany sposób.

W związku z wniesionymi skargami, Prezes Urzędu Ochrony Danych Osobowych przeprowadził postępowanie wyjaśniające, w celu zgromadzenia odpowiedniego materiału dowodowego i ustalenia stanu faktycznego koniecznego do wydania stosownego rozstrzygnięcia nadzorczego.

W toku przeprowadzonego postępowania organ nadzorczy ustalił, że na działkach nr [...] i nr [...], znajdujących się w obrębie ewidencyjny [...] [...], stanowiących współwłasność M.G. i L.G., ten ostatni prowadzi działalność gospodarczą pod firmą G.L. - "[...]". Z ustaleń organu nadzorczego wynikało ponadto, że na ww. działkach regularnie przebywają osoby wskazane w skargach (pismach) z dnia 21 lipca 2020 r.

Organ nadzorczy ustalił jednocześnie, że rozporządzeniem nr [...] Dyrektora Regionalnego Zarządu Gospodarki Wodnej w [...] (dalej także: "Dyrektor RZGW w [...]") z dnia [...] listopada 2014 r. w sprawie ustanowienia strefy ochronnej ujęcia wody podziemnej Nr 2, w miejscowości [...], gmina [...], powiat [...], województwo [...], została ustanowiona strefa ochronna ujęcia wody podziemnej Nr 2 z utworów czwartorzędowych w miejscowości [...]. Z przedmiotowego rozporządzenia Dyrektora RZGW w [...] wynika, że ujęcie wody dla skarżącej spółki [...] sp. z o.o. składa się z trzech studni A1, A2 i A3. Studnie zlokalizowane są na dwóch działkach wodociągowych. Na działce [...] zlokalizowana jest studnia A2, a na wschód od niej - na działce [...] zlokalizowane są studnie A1 i A3. Ujęcie wody jest ujęciem głębinowym, na którym eksploatowane są przemiennie trzy studnie - nr A1, A2 i A3. Ujęcie posiada zatwierdzone zasoby eksploatacyjne wód podziemnych decyzją Marszałka Województwa [...] nr [...] z dnia [...] lipca 2009 r. Właściciel ujęcia posiada pozwolenie wodnoprawne na pobór wód wydane przez Starostę [...] nr [...] z dnia [...] stycznia 2010 r., obowiązujące do 31 stycznia 2024 r. Z rozporządzenia tego wynika ponadto, że strefę ochronną ujęcia stanowi teren ochrony bezpośredniej m. in. dla studni nr A2 o powierzchni 110 m2 oraz teren ochrony pośredniej o powierzchni 2,35 km2, przedstawione w odpowiednich załącznikach do rozporządzenia, na których to terenach ochronnych ustanowiono określone zakazy, w tym dotyczące m.in. lokalizowania nowych ujęć wody podziemnej poza studniami zastępczymi i służącymi rozbudowie ujęcia dla skarżącej spółki [...] sp. z o.o.

Z ustaleń organu nadzorczego poczynionych na podstawie w/w rozporządzenia Nr [...] Dyrektora Regionalnego Zarządu Gospodarki Wodnej w [...] z dnia [...] listopada 2014 r. wynikało jednocześnie, że w skład działek wchodzących w skład strefy ochronnej ujęcia wody Nr 2 w miejscowości [...] wchodzą m. in. działki [...] i [...] z obrębu [...] [...]

W uzasadnieniu do tego aktu zwrócono również uwagę na położoną na północ od ujęcia wody w odległości 0,2-0,4 km kopalnię kruszywa naturalnego, która w przyszłości może stanowić potencjalne źródło zanieczyszczenia wód podziemnych. Z uzasadnienia wynikało także, że w celu ochrony jakościowej właściciel ujęcia wody zaproponował szereg zakazów, których wprowadzenie zostało przeanalizowane przez RZGW w [...].

W toku postępowania swoje wyjaśnienia złożyła również skarżąca spółka, wskazując w pismach z dnia 24 września 2020 r. i 30 października 2020 r., że jest producentem żywności w postaci naturalnych wód mineralnych i wód źródlanych oraz napojów smakowych. Spółka podniosła, że dla celów produkcyjnych wód butelkowanych i napojów eksploatuje ujęcie wody podziemnej nr 2 w miejscowości [...]. Skarżąca spółka poinformowała organ nadzorczy, że w związku z powyższym, dla zapewnienia jakościowej ochrony wód podziemnych wydobywanych przez ujęcie, prowadzi ciągły monitoring zagospodarowania terenu i jego zmian, w tym przede wszystkim pod kątem identyfikacji potencjalnych i realnych źródeł zagrożenia, np. wylewania ścieków bytowych i przemysłowych do wód i gruntu, czy też nielegalnego składowania odpadów. Spółka wskazała, że realizuje te obowiązki w szczególności poprzez okresowe wizje terenowe i ciągły monitoring video terenów newralgicznych dla funkcjonowania eksploatowanego przez nią ujęcia wody, tj. studni ujęciowych i terenów problemowych, dla zapewnienia ciągłego bezpieczeństwa infrastruktury technicznej ujęcia i odpowiedniej jakości wód podziemnych. Ponadto, skarżąca spółka zauważyła, że z ostatniej wykonanej przez nią analizy ryzyka dla ujęcia wody wynika, że szczególnie problemowym obszarem dla bezpieczeństwa funkcjonowania tego ujęcia są tereny eksploatacji kruszyw naturalnych oraz tereny rolne wokół wyrobisk, gdzie doszło w ostatnim czasie do nielegalnego pogłębienia wyrobisk oraz składowania odpadów, co może mieć bezpośredni wpływ na jakość wód podziemnych. W tej sytuacji, jak stwierdziła skarżąca spółka, w celu realizacji obowiązku ochrony wód podziemnych i ujęcia niezbędne jest prowadzenie monitoringu zagospodarowania terenu. Strona skarżąca zapewniła jednocześnie, że monitoring ten nie dotyczy utrwalania wizerunku osób postronnych, lecz weryfikacji zgodnego z prawem zagospodarowania terenu. Skarżąca spółka stwierdziła, że jest to monitoring środowiska przyrodniczego ukierunkowany na ochronę jakościową wód podziemnych. Jednocześnie, skarżąca spółka oświadczyła, że zainstalowane kamery obejmują swoim zasięgiem działki nr ew. [...] i [...] zlokalizowane w miejscowości [...], a także drogi dojazdowe prowadzące z zakładu spółki do ujęć wody. Spółka wyraźnie zapewniła, że kamery monitoringu zostały zamontowane wyłącznie w celu zabezpieczenia terenu ochrony pośredniej przed naruszeniami zasad panujących na tym terenie, które mają za zadanie ochronę źródeł, z których spółka pozyskuje wodę mineralną, przed skażeniem. Skarżąca spółka wskazała, że cel monitorowania terenu ochrony pośredniej ma charakter prewencyjny (cel szybkiej identyfikacji potencjalnych zagrożeń) przed naruszeniami wymienionymi w rozporządzeniu nr [...] Dyrektora Regionalnego Zarządu Gospodarki Wodnej w [...] z dnia [...] listopada 2014 r. Ponadto, strona skarżąca zapewniła, że nagrania z kamer są przechowywane przez okres 10 dni. Jednocześnie, spółka poinformowała, że monitorując teren objęty kamerami, nie ma na celu gromadzenia danych osobowych żadnych osób fizycznych, a wyłącznie ochronę swoich źródeł pozyskiwania wód przed niebezpieczeństwem skażenia.

Prezes UODO ustalił ponadto, że Państwowe Gospodarstwo Leśne Lasy Państwowe - Nadleśnictwo [...] z siedzibą w [...] oraz skarżąca spółka zawarły w dniu 1 września 2014 r. umowę dzierżawy gruntów Skarbu Państwa stanowiących działki nr [...], nr [...], nr [...], nr [...] oraz nr [...] w obrębie [...]. Ustalono ponadto, że pismem z dnia 16 października 2019 r. Nadleśnictwo [...] nakazało spółce demontaż kamer monitoringu oraz przewodów prowadzących do nich zamontowanych na działce nr [...] obręb [...], a skierowanych na kopalnię żwiru zlokalizowaną na działce nr [...] obręb [...], gdyż zlokalizowane są poza terenem dzierżawionym przez spółkę.

W wyniku analizy zgromadzonego materiału dowodowego, Prezes Urzędu Ochrony Danych Osobowych - działając na podstawie art. 104 § 1 k.p.a. oraz art. 7 ust. 1 u.o.d.o., a także art. 5 ust 1 lit. a i lit. b, art. 5 ust. 2, art. 6 ust. 1, art. 13 ust. 1 i 2 oraz art. 58 ust. 2 lit. b i lit. d RODO - decyzją z dnia [...] lutego 2023 r.:

1) nakazał spółce [...] sp. z o.o. z siedzibą w [...] zaprzestanie przetwarzania za pomocą monitoringu wizyjnego danych osobowych: L.G., A.K., K.K., R.G., J.G., R.W., L.S., M.K., D.R., P.S., M.D. oraz W.S., przy użyciu kamer, które swoim zasięgiem obejmują działki o nr [...] i nr [...], położone w obrębie ewidencyjnym [...] [...];

2) udzielił upomnienia spółce [...] sp. z o.o. z siedzibą w [...] za naruszenie art. 5 ust. 1 lit. a i lit. b, art. 5 ust. 2, art. 6 ust. 1 oraz 13 ust. 1 i 2 RODO w procesie przetwarzania danych osobowych L.G., A.K., K.K., R.G., J.G., R.W., L.S., M.K., D.R., P.S., M.D. oraz W.S. , realizowanym przy wykorzystaniu systemu monitoringu wizyjnego znajdującego się na działce nr [...], położonej w obrębie ewidencyjnym [...] [...] obejmującego swoim zasięgiem działki o nr [...] i nr [...], położone w obrębie ewidencyjnym [...] [...].

W uzasadnieniu decyzji Prezes UODO zauważył na wstępie, że Europejska Rada Ochrony Danych (EROD) w Wytycznych 3/2019 przyjętych w dniu 29 stycznia 2020 r. (wersja 2.0) w sprawie przetwarzania danych osobowych przez urządzenia wideo w odniesieniu do stosowania monitoringu w czasie rzeczywistym wskazała, że ten rodzaj monitoringu "może być czasem bardziej inwazyjny niż przechowywanie i automatyczne usuwanie nagrań po upływie określonego terminu". Przy czym, jak dodał organ nadzorczy odwołując się do treści wytycznych EROD, monitorowanie "przestrzeni publicznej" rozumiane jest jako monitorowanie obszaru leżącego poza sferą prywatną osoby dokonującej przetwarzania danych za pomocą urządzeń monitorujących. Organ nadzorczy wskazał, że jest to przestrzeń, z której w sposób nieograniczony może korzystać każda znajdująca się w jej granicach osoba.

Ponadto, organ nadzorczy podkreślił, że RODO wiąże przetwarzanie danych z przestrzeganiem zasad określonych w art. 5 RODO, które mają charakter podstawowy w odniesieniu do całej regulacji. Zasady te, jak zauważył organ nadzorczy, należy traktować jako posiadające nadrzędną moc i wyznaczające kierunek działania administratora w realizacji jego zadań wynikających z przepisów prawa. Prezes UODO wskazał, że naczelną zasadę stanowi "zasada rozliczalności", o której mowa w art. 5 ust. 2 RODO, zgodnie z którym, administrator danych jest odpowiedzialny za przestrzeganie wszystkich zasad przy przetwarzaniu danych osobowych (wskazanych w art. 5 ust. 1 RODO) i musi być w stanie wykazać ich przestrzeganie. Zasada rozliczalności, jak wskazał Prezes UODO, nakłada zatem na administratora danych ciężar dowodowy, który polega na konieczności wykazania przez niego zarówno przed organem nadzorczym, jak również przed podmiotem danych, przestrzegania wszystkich zasad przetwarzania danych. Organ nadzorczy podniósł, że w świetle art. 5 ust. 1 lit. a RODO, dane osobowe muszą być przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą ("zgodność z prawem, rzetelność i przejrzystość"), a także - stosownie do art. 5 ust. 1 lit. b RODO – muszą być zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach i nieprzetwarzane dalej w sposób niezgodny z tymi celami (zasada ograniczenia celem).

Mając powyższe na względzie, organ nadzorczy podkreślił, że podmiot danych powinien być informowany o przetwarzaniu jego danych, a także powinien mieć świadomość typowych konsekwencji, jakie z przetwarzaniem się wiążą.

Organ nadzorczy zauważył, że w motywie 39 preambuły RODO wyjaśniono, że "konkretne cele przetwarzania danych osobowych powinny być wyraźne, uzasadnione i określone w momencie ich zbierania".

Prezes UODO wskazał, że przetwarzanie danych osobowych zgodne z prawem to przetwarzanie, które znajduje swoje oparcie w jednej z przesłanek określonych w art. 6 ust. 1 RODO.

Organ nadzorczy dodał jednocześnie, że Europejska Rada Ochrony Danych we wspomnianych wyżej 3/2019 wskazała, iż art. 13 RODO ma zastosowanie w przypadku, gdy dane osobowe pozyskiwane są "(...) od osoby, której one dotyczą, poprzez obserwację np. wykorzystując urządzenia zautomatyzowanego przechwytywania danych lub oprogramowania do przechwytywania danych, takich jak kamery (...)". W tej sytuacji, jak zauważył organ nadzorczy, w kwestii monitoringu wizyjnego najważniejsze informacje powinny zostać umieszczone na samym znaku ostrzegawczym (pierwsza warstwa), a dalsze obligatoryjne szczegóły mogą być udostępnione za pośrednictwem innych środków (druga warstwa).

W związku z powyższym, Prezes UODO uznał, że z uwagi na to, iż zainstalowanie monitoringu wiąże się z ingerencją w sferę prywatności, tj. pozyskiwaniem i przetwarzaniem danych osobowych w postaci wizerunków osób, których dane dotyczą, w sposób automatyczny i niezależny od woli tych osób, dla swej legalności wymaga się, aby administrator danych spełnił obowiązek informacyjny, o którym mowa w art. 13 ust. 1 i 2 RODO.

W tej sytuacji, Prezes UODO stwierdził zatem, że w przypadku przetwarzania danych osobowych za pomocą monitoringu istotne jest przede wszystkich poinformowanie o nazwie, adresie i danych kontaktowych administratora danych, celu stosowanego monitoringu, obszarze, w którym monitoring jest stosowany, sposobie nagrywania (o ile dane są zapisywane), a także - w zależności od powyższego - okresie przechowywania danych oraz sposobie wykorzystania danych zgromadzonych za pomocą monitoringu. Ponadto, według organu nadzorczego, administrator danych zobowiązany jest do podania informacji o prawie do żądania od administratora dostępu do danych osobowych dotyczących osoby, której dane dotyczą, ich sprostowania, usunięcia lub ograniczenia przetwarzania lub o prawie do wniesienia sprzeciwu wobec przetwarzania.

Prezes UODO stwierdził, że z zebranego w sprawie materiału dowodowego wynika, iż system monitoringu prowadzonego przez skarżącą spółkę zlokalizowany jest na działce nr [...] obręb [...], będącej własnością Nadleśnictwa [...], a skierowany jest na działki nr [...] i nr [...] obręb [...], będące własnością m.in. L.G.. Organ nadzorczy wskazał ponadto, że z materiału dowodowego sprawy wynika również, iż skarżąca spółka jest właścicielem ujęcia wody (m.in. studni A2). Organ nadzorczy podniósł, że na wniosek skarżącej spółki ustanowiono strefę ochronną tego ujęcia, która uregulowana została rozporządzeniem Dyrektora Regionalnego Zarządu Gospodarki Wodnej w [...]. W skład wspomnianej strefy wchodzą m.in. działki nr [...] i nr [...] należące do L.G.. Organ nadzorczy zauważył, że system monitoringu skarżącej spółki wyposażony jest w rejestrator umożliwiający ciągłe nagrywanie i przechowywanie danych osobowych przez okres 10 dni. Organ nadzorczy wskazał, że opisane skonfigurowanie systemu monitoringu pozwala na ciągłą (nieprzerwaną) obserwację ww. przestrzeni, czego skutkiem jest przetwarzanie danych osobowych osób przebywających na tym terenie, a tym samym przetwarzanie danych osobowych osób, które wniosły skargę do Prezesa UODO, a które to osoby regularnie z niego korzystają. Organ nadzorczy podniósł, że monitoring ten rozciąga się na przestrzeń, w której znajdować się mogą osoby postronne, mające prawo do zachowania swojej anonimowości.

W tej sytuacji, Prezes UODO uznał, że nie można zatem zgodzić się ze stwierdzeniem skarżącej spółki, iż monitoring skierowany na działki nr [...] i nr [...] jest monitoringiem środowiska przyrodniczego, skoro teren ten stanowi prywatną własność L.G., na którym przebywa zarówno L.G., w szczególności prowadząc tam działalność gospodarczą w formie kopalni kruszywa naturalnego, jak również pozostałe osoby, które wniosły do organu nadzorczego skargę, a które - zgodnie z ich oświadczeniem - również regularnie przebywają na terenie wspomnianej żwirowni.

W konsekwencji, Prezes UODO stwierdził, że nie dał wiary oświadczeniu skarżącej spółki, jakoby nie przetwarzała ona danych osobowych wskazanych powyżej osób.

Prezes UODO wskazał, że biorąc pod uwagę usytuowanie urządzeń monitoringu i ich zasięg oraz niekwestionowaną okoliczność, że wskazane powyżej osoby poruszają się po terenie objętym monitoringiem, należy uznać, że - wbrew oświadczeniu skarżącej spółki - funkcjonowanie systemu monitoringu wiąże się z przetwarzaniem ich danych osobowych. Według organu nadzorczego, z ustalonego stanu faktycznego wynika jednocześnie, że teren objęty monitoringiem nie został oznakowany. Zdaniem organu nadzorczego, nie wiadomo zatem, jaki jest zakres tego monitoringu, ani kto jest administratorem danych osobowych przetwarzanych za pomocą tego systemu. Tym samym, Prezes UODO uznał, że brak jest jakichkolwiek informacji dla osób przemieszczających się po wskazanym wyżej terenie, że znajdują się w strefie objętej monitoringiem wizyjnym, co może wywołać u tych osób poczucie, że ich dane są wykorzystywane w nieznanym im celu, a ich życie prywatne podlega stałemu nadzorowi. W tym miejscu, organ nadzorczy podkreślił jednocześnie, że skarżąca spółka nie wykazała w toku niniejszego postępowania, by poinformowała wspomniane wyżej osoby o prowadzonym monitoringu. W konsekwencji, organ nadzorczy stwierdził, że w sprawie brak jest zatem dowodów na to, by obowiązek informacyjny, o którym mowa w art. 13 ust. 1 i 2 RODO, został spełniony przez stronę skarżącą.

Ponadto, organ nadzorczy stwierdził, że z poczynionych w toku postępowania ustaleń wynika, że u podstaw pozyskiwania danych osobowych przez skarżącą spółkę nie leży żadna z przesłanek określonych w art. 6 ust. 1 RODO warunkujących legalne przetwarzanie danych pochodzących z monitoringu wizyjnego. Organ nadzorczy uznał, że skarżąca spółka w szczególności nie dysponuje zgodą wspomnianych osób na przetwarzanie ich danych osobowych za pomocą monitoringu wizyjnego (art. 6 ust. 1 lit a RODO), a także, że nie wiąże ją i te osoby żadna umowa o prowadzenie monitoringu (art. 6 ust. 1 lit b RODO). Ponadto, organ nadzorczy stwierdził, że za przesłankę warunkującą legalność przetwarzania danych nie może również zostać uznany art. 6 ust. 1 lit. f RODO w postaci niezbędności przetwarzania danych osobowych do celów wynikających z prawnie uzasadnionego interesu realizowanego przez skarżącą spółkę jako administratora, jakim jest - w jej ocenie - konieczność ochrony źródeł pozyskiwania wód przed niebezpieczeństwem skażenia w oparciu o wykonane przez spółkę analizy ryzyka dla ujęcia wody.

Organ nadzorczy zauważył wprawdzie, że skarżąca spółka powołuje się w niniejszej sprawie na art. 120 i art. 133 ust. 3 Prawa wodnego i spoczywający na niej obowiązek analizy ryzyka obejmującego ocenę zagrożeń zdrowotnych z uwzględnieniem czynników negatywnie wpływających na jakość ujmowanej wody, niemniej Prezes UODO stwierdził, że nie daje to podstaw do takiego przetwarzania danych, jak stwierdzone w niniejszej sprawie.

Organ nadzorczy podniósł, że teren monitorowany wchodzi w skład ustanowionej na wniosek skarżącej spółki strefy ochronnej ujęcia wody nr 2 w miejscowości [...], które spółka ta eksploatuje. Organ nadzorczy zauważył jednocześnie, że prowadzona przez L.G. działalność na monitorowanych działkach polegająca na wydobywaniu kruszyw naturalnych piasku i żwiru uznana została za potencjalne źródło zanieczyszczenia wód podziemnych i zagrożenia dla ich jakości w przyszłości. W tym miejscu, organ nadzorczy zauważył, że w uzasadnieniu do rozporządzenia Nr [...] Dyrektora RZGW w [...] z dnia [...] listopada 2014 r. zwrócono uwagę, że wspomniana kopalnia kruszywa naturalnego może w przyszłości stanowić potencjalne źródło zanieczyszczenia wód podziemnych, gdyż wskutek wyeksploatowania złoża nastąpi zmniejszenie strefy aeracji, a w konsekwencji skróci się czas przenikania do wód podziemnych wód opadowych z ewentualnymi zanieczyszczeniami. Organ nadzorczy podniósł ponadto, że w uzasadnieniu wskazanego aktu Dyrektor RZGW podniósł, że działalność wydobywcza stanowi również potencjalne zagrożenie dla jakości wód podziemnych, szczególnie w fazie po zakończeniu eksploatacji złoża, albowiem tereny takie bywają często miejscami magazynowania, bądź odzysku odpadów.

Niemniej jednak, Prezes UODO zauważył, że wspomniane rozporządzenie Dyrektora RZGW w [...], mając na względzie m.in. opisane wyżej zagrożenia, ustanowiło określone zakazy na terenie ochrony pośredniej mające na celu ochronę źródeł pozyskiwania wód przed niebezpieczeństwem skażenia (§ 3 ust. 1 pkt 1-19 ww. rozporządzenia). Organ nadzorczy podniósł, że w uzasadnieniu ww. rozporządzenia Dyrektora RZGW wskazano m.in. że "(...) W związku z funkcjonującym na terenie strefy ochronnej ujęcia zakładem wydobywającym kruszywa, wprowadzono zakaz wydobywania kopalin. Dalsze wydobywanie kruszywa będzie miało negatywny wpływ na ujęcie, zagrożona będzie jakość wody jak i jej ilość. Dodatkowo ww. zakład w obrębie swoje wyrobiska gromadzi gruz, który może w przyszłości posłużyć do zasypania powstałych w wyniku eksploatacji wyrobisk. Dlatego wprowadzono zakaz wykorzystywania popiołów, żużli 1 zanieczyszczonej ziemi pochodzącej z wykopów bądź nasypów do rekultywacji terenów górniczych i terenów zdegradowanych (...)" (por. § 3 ust. 1 pkt 18 i 19 ww. rozporządzenia). Z kolei, jak zauważył organ nadzorczy, na mocy § 2 ust. 1 ww. rozporządzenia zarządzono, że na terenie ochrony bezpośredniej obowiązują zakazy i nakazy, o których mowa w art. 53 ust. 1 i ust. 2 Prawa wodnego.

Tym samym, Prezes UODO stwierdził, że wobec istnienia innych rozwiązań mających na celu ochronę źródeł pozyskiwania wód przed niebezpieczeństwem skażenia, nie można uznać by prowadzenie przez skarżącą spółkę monitoringu było niezbędne dla ww. celu i uzasadniało przetwarzanie danych osobowych wskazanych wyżej osób.

Organ nadzorczy zauważyć przy tym, iż teren objęty monitoringiem nie stanowi własności skarżącej spółki, zaś teren, na którym umiejscowione zostały kamery monitoringu, nie jest objęty stosowną umową dzierżawy zawartą z Nadleśnictwem [...], które - co więcej - pismem z dnia 16 października 2019 r. nakazało spółce demontaż kamer monitoringu oraz przewodów prowadzących do nich zamontowanych na działce nr [...] obręb [...], a skierowanych na kopalnię żwiru zlokalizowaną na działce nr [...] obręb [...], gdyż zlokalizowane są poza terenem dzierżawionym przez spółkę.

Wobec powyższego, Prezes UODO stwierdził, że art. 6 ust. 1 lit. f RODO nie może zostać uznany za podstawę prawną legalizującą przetwarzanie przez skarżącą spółkę za pomocą monitoringu danych osobowych osób, które wniosły skargę do organu nadzorczego.

Organ nadzorczy podniósł, że w powołanych Wytycznych 3/2019 EROD wyjaśniła, że "Monitoring wizyjny wykorzystywany wyłącznie do celów "bezpieczeństwa" lub "własnego bezpieczeństwa" nie jest pojęciem wystarczająco precyzyjnym (art. 5 ust. 1 lit. b RODO). Ponadto, jest on sprzeczny z zasadą stanowiącą, że dane osobowe są przetwarzane w sposób zgodny z prawem, przejrzysty i uczciwy odnośnie do osoby, której dane dotyczą (zob. art. 5 ust. 1 lit. a (...) Monitoring wizyjny jest zgodny z prawem, o ile jest konieczny do osiągnięcia celu prawnie uzasadnionego interesu administratora danych (...) wyłącznie, jeżeli stanowi on ważny prawnie uzasadniony interes, który jest nadrzędny w stosunku do interesów praw i wolności osoby, której dane dotyczą (...). Prawnie uzasadniony interes musi mieć wymiar realny i stanowić kwestię bieżącą (tj. nie może być fikcyjny lub spekulacyjny). Przed rozpoczęciem monitoringu musi zaistnieć sytuacja rzeczywistego zagrożenia - np. szkody lub poważne incydenty mające miejsce w przeszłości".

Prezes UODO podkreślił, że monitoring wizyjny jest jedną z najbardziej inwazyjnych form ingerencji w podstawowe prawa lub wolności osoby, której dane dotyczą i powinien być wybierany wyłącznie wówczas, kiedy zawiodły inne alternatywne środki bezpieczeństwa, takie jak ogrodzenie nieruchomości, systemy antywłamaniowe, zainstalowane zabezpieczenia w oknach i drzwiach, a więc środki, które są mniej inwazyjne w stosunku do podstawowych praw lub wolności innych osób.

Organ nadzorczy zauważył ponadto, że Grupa Robocza art. 29 w opinii 06/2014 w sprawie pojęcia uzasadnionych interesów administratora danych zawartego w art. 7 dyrektywy 95/46/WE, przyjętej w dniu 9 kwietnia 2014 r. w wytycznych odnośnie przetwarzania danych w oparciu o przesłankę prawnie uzasadnionego interesu administratora wymaga przeprowadzenia testu równowagi i rozważenia uzasadnionych interesów administratora danych w kontekście interesów lub podstawowych praw i wolności osoby, której dane dotyczą. Grupa Robocza art. 29 stwierdziła w przedmiotowej opinii, że aby można było uznać interes za uzasadniony, musi on łącznie spełniać następujące warunki: - być legalny (tj. zgodny z prawem UE i krajowym), - być wystarczająco jasno sformułowany, a także - stanowić rzeczywisty i aktualny interes (tj. nie może być oparty na przypuszczeniach).

Organ nadzorczy wskazał zatem, że dla ustalenia, czy przetwarzanie jest konieczne, należy rozważyć, czy istnieją inne, mniej inwazyjne środki służące osiągnięciu określonego celu przetwarzania i realizacji uzasadnionego interesu administratora danych. Według organu nadzorczego, ustalenie tymczasowej równowagi nastąpić powinno poprzez ocenienie, czy podstawowe prawa i interesy osób, których dane dotyczą, przeważają nad interesem administratora danych, biorąc pod uwagę charakter interesów administratora danych i oceniając ewentualne szkody poniesione przez administratora danych oraz wpływ na osobę, której dane dotyczą, jej racjonalne oczekiwania na temat tego, co się stanie z jej danymi, jak również charakter danych i sposób ich przetwarzania.

Mając powyższe na uwadze, Prezes UODO uznał, że skarżąca spółka w niniejszym postępowaniu nie wykazała, iż stosowanie spornego monitoringu wizyjnego obejmującego swym zasięgiem ww. działki L.G. było działaniem koniecznym do zapewnienia jakościowej ochrony wód podziemnych przed niebezpieczeństwem skażenia, bowiem celowi temu - jak wyżej wskazano - służą zakazy określone w § 3 ust. 1 rozporządzenia Dyrektora Regionalnego Zarządu Gospodarki Wodnej w [...].

Z kolei, jeśli chodzi o pozostałe przesłanki dopuszczalności przetwarzania danych osobowych wspomnianych wyżej osób przez skarżącą spółkę za pomocą monitoringu, Prezes UODO stwierdził, że sporne przetwarzanie nie jest także niezbędne do wypełnienia obowiązku prawnego ciążącego na skarżącej spółce (art. 6 ust. 1 lit. c RODO), gdyż brak jest takiego obowiązku w obowiązujących przepisach prawa. Organ nadzorczy uznał, że powoływany przez skarżącą spółkę art. 133 ust. 3 i 4 Prawa wodnego statuuje wprawdzie obowiązek przeprowadzania analizy ryzyka m. in. w oparciu o analizę identyfikacji źródeł zagrożenia wynikających ze sposobu zagospodarowania terenu, ale nie nakłada obowiązku stałego monitorowania zagospodarowania terenu w celu dokonywania powyższej analizy.

Ponadto, organ nadzorczy uznał, że kwestionowane przetwarzanie danych osobowych osób, które wniosły skargę do organu, nie jest także niezbędne ani do ochrony żywotnych interesów tych osób lub innej osoby fizycznej (art. 6 ust. 1 lit. d RODO), jak również nie stanowi przetwarzania niezbędnego do wykonania zadania realizowanego w interesie publicznym (art. 6 ust. 1 lit. e RODO).

Podsumowując, Prezes UODO stwierdził, że przeprowadzone przez organ nadzorczy postępowanie administracyjne wykazało nieprawidłowości w procesie przetwarzania przez skarżącą spółkę danych osobowych wspomnianych wyżej osób za pomocą monitoringu wizyjnego.

Tym samym, organ nadzorczy uznał, że konieczne stało się skorzystanie przez Prezesa UODO z uprawnień naprawczych przewidzianych w art. 58 ust. 2 RODO.

Według organu nadzorczego, ocena zebranego w toku postępowania materiału dowodowego nie pozwala na przyjęcie, że kwestionowany proces przetwarzania danych osobowych, realizowany przy wykorzystaniu urządzeń do monitorowania, jest realizowany w sposób legalny, tj. na podstawie którejkolwiek z przesłanek określonych w art. 6 ust. 1 RODO i z poszanowaniem zasad sformułowanych w art. 5 ust. 1 lit. a, lit. b i art. 5 ust. 2 RODO.

Prezes UODO stwierdził, że skarżąca spółka nie wykazała, iż dysponuje podstawą prawną do prowadzenia kwestionowanego procesu przetwarzania danych. Organ nadzorczy uznał także, iż sporny proces przetwarzania danych nie był realizowany w sposób przejrzysty dla osób, których dane dotyczą, albowiem skarżąca spółka nie zrealizowała obowiązku informacyjnego wobec wspomnianych wyżej osób, a teren objęty monitorowaniem nie został w dostateczny sposób oznakowany.

Organ nadzorczy zarzucił zatem, że skarżąca spółka przetwarza sporne dane osobowe z naruszeniem przepisu art. 6 ust. 1, art. 5 ust. 1 lit. a, lit. b oraz art. 5 ust. 2 RODO, a także art. 13 ust. 1 i 2 RODO.

Wobec powyższego, Prezes UODO uznał, że konieczne jest nakazanie skarżącej spółce zaprzestania przetwarzania za pomocą monitoringu wizyjnego danych osobowych osób wskazanych szczegółowo w decyzji przy użyciu kamer, które swoim zasięgiem obejmują działki nr [...] i nr [...] obręb [...] [...].

Ponadto, organ nadzorczy wskazał, że zasadne jest udzielenie upomnienia skarżącej spółce w zakresie stwierdzonego wyżej naruszenia, albowiem doszło do przetwarzania danych bez podstawy prawnej, z naruszeniem zasad przetwarzania danych (tj. zasady zgodności z prawem, zasady ograniczenia celem i w konsekwencji zasady rozliczalności), a także z niedopełnieniem obowiązków informacyjnych.

Jednocześnie, organ nadzorczy uznał, że wobec nałożenia wspomnianego wyżej nakazu zaprzestania przetwarzania danych, wskutek którego kwestionowany proces przetwarzania danych osobowych nie będzie kontynuowany, niecelowe byłoby tym samym nakazywanie spełnienia obowiązków informacyjnych, o których mowa powyżej.

W piśmie z dnia 10 marca 2023 r. skarżąca spółka, reprezentowana przez radcę prawnego, działając za pośrednictwem organu nadzorczego, wniosła do Wojewódzkiego Sądu Administracyjnego w Warszawie skargę na powyższą decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] lutego 2023 r., zaskarżając ją w całości.

Wnosząc w petitum skargi o uznanie spornej decyzji za nieważną w odniesieniu do pkt 1 tej decyzji, bądź też - gdyby sąd nie uznał powyższego za uzasadnione - o uchylenie zaskarżonej decyzji w całości, a także o zasądzenie od organu nadzorczego na rzecz strony skarżącej zwrotu kosztów postępowania, w tym kosztów zastępstwa procesowego według norm przepisanych, skarżąca spółka zarzuciła:

1) nieważność zaskarżonej decyzji na podstawie art. 156 § 1 pkt 5 k.p.a. w związku z brakiem (technicznej) możliwości jej wykonania w przedmiocie pkt 1, tj. nakazu zaprzestania przetwarzania danych osobowych osób wskazanych w decyzji wobec braku ich przetwarzania oraz niemożności identyfikacji przez skarżącą spółkę osób wskazanych w decyzji;

2) naruszenie art. 53 ust. 1 Prawa wodnego w zw. z art. 130 Prawa wodnego oraz § 2 ust. 1 i § 3 ust 1 rozporządzenia [...] Dyrektora Regionalnego Zarządu Gospodarki Wodnej w [...] z dnia [...] listopada 2014 - poprzez stwierdzenie, że ustanowienie przez Dyrektora RZGW w [...] w cyt. rozporządzeniu [...] nakazów i zakazów w związku z ustanowieniem strefy ochronnej ujęcia wody Nr 2 w miejscowości [...] jest wystarczające do zapewnienia ochrony ww. ujęcia wody i spełnienia obowiązków dbania o to ujęcie i jego bezpieczeństwo przez skarżącą spółkę;

3) naruszenie art. 6 k.p.a. oraz art. 7 k.p.a. w zw. z art. 77 k.p.a. - poprzez brak wyjaśnienia całego stanu faktycznego i oceny całego materiału dowodowego, w tym:

- przez brak ustalenia, czy rzeczywiście dochodziło do przetwarzania danych osobowych ww. osób, w szczególności wobec oświadczenia skarżącej spółki, iż danych takich nie przetwarza,

- przez niewzięcie pod uwagę istotnych dla skarżącej spółki faktów takich, jak konieczność ochrony jej interesów ekonomicznych jak i też samego ujęcia wody, a co za tym idzie ochrony jakościowej wód podziemnych, które to okoliczności wskazują na istnienie przesłanki legitymizującej stosowanie monitoringu wizyjnego i ewentualne przetwarzanie w ten sposób danych osobowych, a w konsekwencji

4) naruszenie art. 6 ust. 1 lit f. RODO - poprzez jego błędną wykładnię i stwierdzenie, że w niniejszej sprawie nie zachodzą prawnie uzasadnione interesy skarżącej spółki w stosowaniu monitoringu wizyjnego ujęcia wody, a co za tym idzie niezastosowanie tej podstawy prawnej;

5) naruszenie art. 5 ust. 1 lit a i lit. b, art. 5 ust. 2 RODO i art. 13 RODO - poprzez ich błędne zastosowanie wobec braku ustalenia dokonywania przetwarzania danych osobowych osób wskazanych w decyzji przez skarżącą spółkę;

6) naruszenie art. 107 § 3 k.p.a. - poprzez niewskazanie w uzasadnieniu zaskarżonej decyzji elementów, o których mowa w powyższym przepisie, w szczególności poprzez brak wskazania faktów, które organ uznał za udowodnione oraz przyczyn, z powodu których innym dowodom odmówił wiarygodności i mocy dowodowej;

7) naruszenie art. 12 k.p.a. w zw. z art. 36 k.p.a. w zw. art. 35 § 2 k.p.a. i art. 62 ustawy o ochronie danych osobowych - poprzez działanie organu w terminie daleko dłuższym niż wskazany w tym przepisie i brak informacji dotyczącej przedłużenia terminu.

W uzasadnieniu skargi strona skarżąca zauważyła na wstępie, że monitoring został założony w celu monitorowania obszaru ujęcia wody, zabezpieczenia wody przed skażeniem i szeroko pojętej ochrony ujęcia. Skarżąca spółka wskazała, iż korzysta z ww. ujęcia wody w celach produkcyjnych (produkcja wody mineralnych oraz napojów). Wobec powyższego, strona skarżąca podniosła, że prowadzi ciągły monitoring zagospodarowania terenu i jego zmian, w tym pod kątem identyfikacji potencjalnych oraz realnych zagrożeń, np. wylewania ścieków bytowych i przemysłowych do wód i gruntu, a także nielegalnego składowania odpadów. Spółka wskazała też, iż z analizy ryzyka dla ujęcia wody wynika, że szczególnie problematycznym obszarem dla bezpieczeństwa funkcjonowania ujęcia są tereny eksploatacji kruszyw, a zatem działalność prowadzona na działkach objętych ochroną pośrednią przez L.G., a także tereny rolne wokoło wyrobisk. Strona skarżąca podkreśliła, że w ostatnim czasie doszło zarówno do działań związanych z nielegalnym pogłębianiem wyrobisk, jak również składowaniem odpadów.

W tej sytuacji, skarżąca spółka stwierdziła, że sporny monitoring służy wyłącznie do celów ochrony ujęcia wody, zaś dane z monitoringu są trwale usuwane po 10 dniach. Ponadto, skarżąca spółka przypomniała, że w piśmie z dnia 30 października 2020 r. wyraźnie wskazała, iż nie przetwarza danych osobowych osób, o których wspomniał Prezes UODO w piśmie z dnia 20 października 2020 r., tj. osób wskazanych w zaskarżonej decyzji.

W konsekwencji, strona skarżąca zarzuciła przede wszystkim, że z materiału dowodowego zgromadzonego w sprawie wynika, że organ nadzorczy nie dokonał weryfikacji tego, czy rzeczywiście dane L.G. oraz pozostałych osób wskazanych przez organ w decyzji były rzeczywiście przetwarzane przez skarżącą spółkę. W ocenie strony skarżącej, jedyne co organ nadzorczy ustalił, to fakt posadowienia kamer monitoringu wizyjnego obejmujących swoim zasięgiem publiczną drogę oraz działki wymienione w decyzji, na których znajduje się działalność gospodarcza w postaci żwirowni. W tej sytuacji, według strony skarżącej, uznać należy zatem, że organ nadzorczy nie ustalił, czy w ramach monitoringu nie jest nagrywana - poza obszarem drogi prowadzącej do posesji i przebiegającej przez ww. ujęcie wody - jedynie hałda żwiru, dla której to zapisów RODO nie stosuje się.

Jednocześnie, skarżąca spółka podkreśliła, że pomimo, iż w swoim oświadczeniu wskazała wyraźnie, że nie przetwarza danych osobowych L.G., ani też pozostałych osób wymienionych w zaskarżonej decyzji, to jednak organ nadzorczy wspomniane oświadczenie strony skarżącej całkowicie pominął w treści decyzji, uznając je za niewiarygodne, pomimo, że nie dokonał ustaleń w tym zakresie. Według skarżącej spółki, organ nadzorczy najwyraźniej za jedynie wiarygodne uznał wyłącznie oświadczenia osób trzecich, że ich dane są przetwarzane, mimo braku wykazania tego faktu, szczególnie zakresu możliwości poruszania się po terenie, który objął monitoring i jaki procent tego terenu stanowią składy kruszywa czy też droga.

Jednocześnie, strona skarżąca zarzuciła również, że organ nadzorczy nie sprawdził, w jakim czasie i czy rzeczywiście osoby, o których mowa w spornej decyzji Prezesa UODO, a które zapewniały, że przebywały na terenie żwirowni - były tam i były rzeczywiście objęte monitoringiem, a co za tym idzie, nie ustalono przetwarzania danych osobowych.

Strona skarżąca wskazała, że ustalenie powyższego aspektu stanowi meritum dla dalszego działania organu nadzorczego, w tym stwierdzenia nieprawidłowości w trakcie przetwarzania danych osobowych oraz w konsekwencji ewentualnego nakładania na podmiot obowiązków czy też kar administracyjnych. Tym samym, strona skarżąca uznała, że brak tego ustalenia powinno eliminować z obrotu zaskarżoną decyzję w całości.

Niezależnie od powyższego, strona skarżąca zarzuciła, że brak jest możliwości wykonania zaskarżonej decyzji. Strona skarżąca zauważyła bowiem, że wobec usunięcia kamer monitoringu wizyjnego, nawet gdyby stwierdzić, że przetwarzane były dane osób wymienionych w spornej decyzji, to i tak skarżąca spółka z przyczyn technicznych nie jest w stanie zrealizować nakazów zawartych w decyzji w zakresie zaprzestania przetwarzania tych danych, albowiem wobec zdjęcia kamer ich nie przetwarza. W tej sytuacji, zdaniem strony skarżącej, sporna decyzja w tym zakresie jest zatem nie do zrealizowania i jest bezprzedmiotowa.

Ponadto, strona skarżąca stwierdziła, iż sporna decyzja w pkt. 1 enumeratywnie wskazuje osoby, dla których obowiązuje nakaz zaprzestania przetwarzania ich danych. W tej sytuacji, pomijając wskazane powyżej argumentu, ponownie należy zauważyć, iż skarżąca spółka nie jest technicznie w stanie spełnić tego nakazu, albowiem już wcześniej oświadczyła, iż nie przetwarza danych tych osób, a jednocześnie dane tych osób zna wyłącznie w zakresie wskazanym w decyzji, nie będąc jednak w stanie skorelować wizerunku tych osób z danymi wskazanymi w decyzji, a co za tym idzie - nie jest w stanie zrealizować nakazów zawartych w decyzji.

Działając z ostrożności, strona skarżąca wskazała, że - wbrew zarzutom organu nadzorczego - wykazała w toku postępowania podstawę prawną spornego przetwarzania danych osobowych, a więc - w świetle przepisów RODO - działała zgodne z prawem.

Skarżąca spółka podkreśliła, że w toku postępowania wyjaśniającego wskazywała, iż korzysta z ujęcia wody na terenie przez nią dzierżawionym, zaś woda ta jest używana później w celach konsumpcyjnych. W konsekwencji, skarżąca spółka podniosła, że musi przestrzegać regulacji dotyczących bezpieczeństwa żywności i żywienia, a więc tym samym, jako korzystająca z takiego ujęcia winna dochować szczególnej staranności w ramach swojej działalności gospodarczej, albowiem brak zachowania takowej niesie za sobą znaczne ryzyko dla wielu osób pijących wyprodukowaną wodę czy też napoje stworzone na jej bazie.

Mając na względzie powyższe, strona skarżąca zauważyła, że ze względu na ciągłość produkcji oraz straty związane z jej ewentualnym przerwaniem, jako producent nie powinna polegać wyłącznie na kontroli już dostarczonej do zakładu produkcyjnego jakości wody. Strona skarżąca uznała, że powinna w sposób bieżący monitorować jej ujęcie, by przeciwdziałać przestojowi w produkcji oraz móc szybko identyfikować ewentualne zagrożenia, jakie mogą się pojawić.

W tym miejscu strona skarżąca podniosła, że w kontekście powyższej działalności należy mieć na względzie art. 120 i nast. Prawa wodnego, które to przepisy wprost wskazują na szczególną ochronę ujęć wody. Strona skarżąca zauważyła również, że w świetle art. 128 pkt 4 oraz art. 129 ust. 3 Prawa wodnego, na terenie ochrony bezpośredniej ujęcia niezbędne jest ograniczenie przebywania osób do niezbędnego minimum oraz wskazana jest konieczność ochrony strefy przed wstępem osób niepowołanych.

W tej sytuacji, strona skarżąca podniosła, że wprawdzie okresowe, fizyczne kontrole ujęcia są działaniami pożądanymi, a wręcz koniecznymi, lecz jednak takie działania nie stanowią o kompletności ochrony ujęcia i - pomimo stanowiska Prezesa UODO - nie powinny być jedynymi środkami zabezpieczającymi, jakie może stosować skarżąca spółka.

Tym samym, strona skarżąca uznała, że w ramach monitoringu powinna móc reagować na bieżąco w związku z ujawnieniem osób niepowołanych, szczególnie na terenie ochrony bezpośredniej ujęcia, a także działań niepożądanych mogących grozić prawidłowemu korzystaniu przez nią z ujęcia czy też ochrony wód podziemnych na terenach ochrony pośredniej.

Ponadto, skarżąca spółka stwierdziła, że dzięki nagrywaniu obrazu jest w stanie pozyskać dowody na działania niepożądane i ułatwić odpowiednim służbom ewentualne ściganie, np. osób dopuszczających się wyrzucania odpadów na terenie ochrony pośredniej, czyli osób łamiących tym samym nakazy i zakazy ustanowione w treści powołanych przepisów Prawa wodnego.

W tej sytuacji, strona skarżąca uznała, że zarzut Prezesa UODO, jakoby spółka nie miała uzasadnionego interesu w przedmiocie stosowania monitoringu - jest niezrozumiały.

W konsekwencji, skarżąca spółka stwierdziła, że - wbrew stanowisku organu nadzorczego - miała uzasadniony interes w montażu i wykorzystywaniu monitoringu, albowiem działała na podstawie art. 6 ust 1 lit. f. RODO. Według strony skarżącej, jej interes jest uzasadniony nie tylko ze względu na samą spółkę (obowiązek dbania o ujęcia wody), ale także z uwagi na szeroko rozumiane dobro środowiska naturalnego i bezpieczeństwo żywności. Tym samym, w ocenie strony skarżącej, można mówić o nadrzędności tego interesu nad interesem osób trzecich przebywających na terenie ochrony bezpośredniej lub pośredniej ujęcia wody.

Ponadto, strona skarżąca zauważyła, że z analizy ryzyka wyraźnie wynika, iż kopalnia kruszywa pogłębia wyrobiska, a na terenie okolicznym dochodzi do składowania odpadów. W związku z tym, organ nadzorczy powinien uznać, że skarżąca spółka powinna zachować szczególną ostrożność w ramach korzystania i ochrony ujęcia wody w ramach swojego uzasadnionego interesu, który nie jest jedynie hipotetyczny, skoro na terenach objętych ochroną dochodzi do łamania nakazów i zakazów ustanowionych w myśl Prawa wodnego.

Strona skarżąca - powołując się na stanowisko piśmiennictwa dotyczące art. 6 ust. 1 lit. f. RODO - wskazała, że oceniając uzasadniony interes administratora, uwzględnić należy m.in. relację między podmiotem danych a administratorem, albowiem bardzo istotne znaczenie ma relacja między tymi podmiotami. Jeżeli jest ona taka, że podmiot danych może w konkretnej sytuacji spodziewać się przetwarzana ze strony administratora, to będzie to istotny argument przemawiający za dopuszczeniem do prowadzenia operacji na danych osobowych na omawianej tu przesłance legalizującej (por. W. Chomiczewski, Prawnie uzasadniony interes, jako przesłanka legalizująca przetwarzanie danych - pojęcie, LEX/el. 2018).

Ponadto, strona skarżąca zarzuciła, iż nie można zgodzić się z Prezesem UODO w kwestii istnienia innych, wystarczających środków mających na celu ochronę źródeł pozyskiwania wody. Skarżąca spółka zauważyła, że na terenie monitorowanym dochodzi do wyrzucania odpadów, a także pogłębiania wyrobisk, a więc zachodzi ryzyko skażenia wód, co zostało wykazane wprost nie tylko w rozporządzeniu Dyrektora RZGW, ale także analizie ryzyka przedstawionej przez spółkę.

Tym samym, skarżąca spółka podkreśliła, że również cel monitorowania nie jest określony abstrakcyjnie, a same zagrożenia dla ujęcia wody nie są jedynie potencjalne.

Według strony skarżącej, oczywistym jest zatem, że na terenie objętym ochroną dochodzi do czynności zakazanych w świetle art. 130 Prawa wodnego. W tej sytuacji, zdaniem strony skarżącej, organ nadzorczy powinien wiedzieć, iż samo ustanowienie zakazów nie stanowi gwarancji ich przestrzegania. Strona skarżąca zauważył, że idąc tokiem takiego rozumowania, jak zaprezentowane przez Prezesa UODO, należałoby także zakazać monitoringu wizyjnego miast, bowiem istnieją przepisy - nakazy i zakazy - regulujące odpowiednie zachowanie obywateli na terenach publicznie odstępnych.

Mając na względzie powyższe, strona skarżąca zarzuciła, że organ nadzorczy nieprawidłowo ustalił stan sprawy i niedostatecznie rozważył zarówno stan faktyczny, jak i dowody zebrane w toku postępowania. Tym samym, jak uznała skarżąca spółka, organ nadzorczy dopuścił się istotnych naruszeń, które doprowadziły do wydania wadliwej decyzji.

Skarżąca spółka uznała jednocześnie, że również sama sentencja spornej decyzji nie została w sposób dostateczny przenalizowana, co doprowadziło do tego, że sporna decyzja jest częściowo niewykonalna przez stronę skarżącą.

Ponadto, strona skarżąca stwierdziła, że konstatacja Prezesa UODO w przedmiocie braku istnienia podstawy prawnej do stosowania przez spółkę monitoringu wizyjnego znacząco pogarsza możliwość ochrony ujęcia wodny pitnej, z której korzysta wielu konsumentów, pomimo, że do ochrony źródła wody przepisy Prawa wodnego zobowiązują podmiot korzystający z tego ujęcia wody.

W odpowiedzi na skargę Prezes Urzędu Ochrony Danych Osobowych wniósł o jej oddalenie, podtrzymując swoje dotychczasowe stanowisko wyrażone w uzasadnieniu zaskarżonej decyzji.

Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje.

Zgodnie z art. 1 § 1 i 2 ustawy z dnia 25 lipca 2002 r. - Prawo o ustroju sądów administracyjnych (tekst jednolity Dz. U. z 2022 r., poz. 2492 ze zm.), sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej, przy czym kontrola ta sprawowana jest pod względem zgodności z prawem, jeżeli ustawy nie stanowią inaczej.

W świetle powołanych przepisów cyt. ustawy, Wojewódzki Sąd Administracyjny w Warszawie, w zakresie swojej właściwości, ocenia zaskarżoną decyzję administracyjną, postanowienie, czy też inny akt lub czynność z zakresu administracji publicznej dotyczącą uprawnień lub obowiązków wynikających z przepisów prawa, z punktu widzenia ich zgodności z prawem materialnym i przepisami postępowania administracyjnego, według stanu faktycznego i prawnego obowiązującego w dacie wydania tego aktu lub podjęcia spornej czynności. Chodzi więc o kontrolę aktów lub czynności z zakresu administracji publicznej dokonywaną wyłącznie pod względem ich zgodności z prawem materialnym i przepisami procesowymi, nie zaś według kryteriów słuszności, czy też zgodności z zasadami współżycia społecznego.

Ponadto, co wymaga podkreślenia, Sąd rozstrzyga w granicach danej sprawy, nie będąc jednak związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną (vide: art. 134 § 1 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi - tekst jednolity Dz. U. z 2023 r., poz. 1634 ze zm. - dalej także: "P.p.s.a.").

Należy jednocześnie wyraźnie zaznaczyć, że od dnia wejścia w życie Traktatu Akcesyjnego z dnia 16 kwietnia 2003 r. (Dz. U. z 2004 r. Nr 90, poz. 864), na mocy którego Polska stała się państwem członkowskim Unii Europejskiej, kontrola sądu administracyjnego obejmuje również zgodność rozstrzygnięć organów administracji publicznej z prawem europejskim (prawem Unii Europejskiej), rozumianym, jako całokształt dorobku prawnego Unii Europejskiej (acquis communautaire), w tym zasad ogólnych prawa europejskiego, interpretowanych oraz stosowanych w sposób jednolity na całym obszarze Unii Europejskiej.

Należy zauważyć, że w tej sytuacji, Wojewódzki Sąd Administracyjny w Warszawie, dokonując oceny legalności zaskarżonej decyzji Prezesa Urzędu Ochrony Danych Osobowych, zobowiązany był - co do zasady - zbadać jej zgodność przede wszystkim z przepisami prawa europejskiego, w tym w szczególności z regulacjami zawartymi w rozporządzeniu Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych - zwane także: "RODO").

W ocenie Wojewódzkiego Sądu Administracyjnego w Warszawie, analizowana pod tym kątem skarga spółki [...] sp. z o.o. z siedzibą w [...] nie zasługuje na uwzględnienie, albowiem zaskarżona decyzja Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] lutego 2023 r. - nie narusza obowiązujących przepisów prawa.

Sąd uznał, że Prezes UODO, wydając sporną decyzję administracyjną z dnia [...] lutego 2023 r., nie dopuścił się naruszenia zarówno wiążących Polskę przepisów prawa europejskiego, jak również stosownych regulacji prawa krajowego, w stopniu mającym istotny wpływ na końcowy wynik sprawy zakończonej wydaniem wspomnianej wyżej decyzji.

Przede wszystkim, stwierdzić należy, że - wbrew zarzutom strony skarżącej - Prezes UODO, wydając w dniu [...] lutego 2023 r. sporne rozstrzygnięcie, nie dopuścił się - mogącego mieć jakikolwiek istotny wpływ na wynik sprawy - naruszenia przepisów procedury administracyjnej, a w szczególności art. 7 k.p.a., art. 77 § 1 k.p.a., art. 80 k.p.a., a także art. 107 § 3 k.p.a. w związku z art. 7 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych, albowiem wyjaśnił wszystkie okoliczności istotne dla prawidłowego i pełnego rozstrzygnięcia sprawy, a także dokonał właściwej oceny zebranego w sprawie materiału dowodowego, przeprowadzając jednocześnie ową ocenę w kontekście właściwie zastosowanych przepisów prawa materialnego.

Jednocześnie, Sąd uznał, że na podstawie prawidłowo ustalonego stanu faktycznego organ nadzorczy zasadnie przyjął, że skarżąca spółka, dopuszczając się kwestionowanego procesu przetwarzania danych osobowych przy wykorzystaniu urządzeń służących do monitoringu wizyjnego, nie realizowała tego przetwarzana w sposób legalny, tj. na podstawie którejkolwiek z przesłanek określonych w art. 6 ust. 1 RODO, a także z poszanowaniem zasad sformułowanych w art. 5 ust. 1 lit. a i lit. b oraz art. 5 ust. 2 RODO. W ocenie Sądu, Prezes UODO prawidłowo uznał bowiem, że skarżąca spółka nie wykazała w toku postępowania wyjaśniającego przeprowadzonego przed organem nadzorczym, iż dysponuje podstawą prawną do prowadzenia kwestionowanego procesu przetwarzania danych, a także nie udowodniła, iż sporny proces przetwarzania danych realizowany był w sposób przejrzysty dla osób, których dane dotyczą, a więc by dopełniony został zarówno obowiązek informacyjny wobec tych osób, jak również, by teren objęty monitorowaniem został w dostateczny sposób oznakowany.

W tej sytuacji, Sąd stwierdził, że organ nadzorczy w sposób prawidłowy nakazał skarżącej spółce, jako administratorowi danych, zaprzestania przetwarzania za pomocą monitoringu wizyjnego danych konkretnie określonych w treści decyzji osób oraz w sposób szczegółowo opisany w sentencji spornego rozstrzygnięcia.

Ponadto, Sąd uznał, że w konsekwencji stwierdzonych istotnych naruszeń przepisów RODO, organ nadzorczy słusznie udzielił skarżącej spółce upomnienia za naruszenie tych regulacji.

Stwierdzić należy, że stosując w analizowanej sprawie powyższe uprawnienia naprawcze, Prezes UODO działał zgodnie z art. 58 ust. 2 lit. b i d RODO, albowiem słusznie przyjął, iż zastosowanie - obok nakazu zaprzestania przetwarzania danych - również upomnienia będzie w tej sprawie wystarczające przy uwzględnieniu charakteru, wagi oraz czasu trwania naruszenia, a także innych istotnych okoliczności związanych z zachowaniem administratora danych.

W działaniu Prezesa UODO, jako organu administracji publicznej wydającego sporną decyzję, Sąd nie dopatrzył się jakichkolwiek istotnych nieprawidłowości, zarówno, gdy idzie o ustalenie stanu faktycznego sprawy, jak i o zastosowanie do jego oceny przepisów prawa materialnego.

Jednocześnie, Sąd stwierdził, że w uzasadnieniu zaskarżonej decyzji Prezesa UODO z dnia [...] lutego 2023 r. wyjaśnione zostały w sposób dostatecznie jasny i przekonywujący motywy jej podjęcia, zaś przytoczona w tym zakresie argumentacja jest wyczerpująca i w pełni odnosząca się do stanowiska strony skarżącej podniesionego w toku postępowania wyjaśniającego.

W konsekwencji, zdaniem Sądu, stwierdzić należy, iż Prezes UODO, wydając zaskarżoną decyzję administracyjną - nie dopuścił się tym samym istotnego naruszenia zasady praworządności wyrażonej w przepisach art. 6 k.p.a. i art. 7 in principio k.p.a. oraz art. 7 Konstytucji RP.

Przechodząc do oceny zarzutów skargi, należy zauważyć na wstępie, że Sąd nie zgodził się przede wszystkim z postawionym przez stronę skarżącą zarzutem zaniechania przez organ nadzorczy dokonania należytego wyjaśnienia stanu faktycznego sprawy i jednocześnie pobieżnego przeprowadzenia postępowania dowodowego w sprawie i tym samym zgromadzenia rzekomo niepełnego materiału dowodowego i przeprowadzenia jego dowolnej i subiektywnej oceny.

Otóż, należy wskazać, że nie ulega wątpliwości, że postępowanie w sprawie naruszenia przepisów o ochronie danych jest jednym z postępowań administracyjnych przed Prezesem Urzędu Ochrony Danych Osobowych. O takim jego charakterze rozstrzyga art. 7 ust. 1 ustawy o ochronie danych osobowych, który postępowanie z rozdziału 7 kwalifikuje jako administracyjne i przewiduje w sprawach w niej nieuregulowanych stosowanie do tego postępowania Kodeksu postępowania administracyjnego. Warto przy tym zauważyć, że ustawodawca w art. 7 ust. 1 cyt. ustawy nie przewiduje stosowania odpowiedniego, oznacza to zatem stosowanie przepisów ogólnej procedury administracyjnej wprost, z modyfikacjami wynikającymi z regulacji ustawy o ochronie danych osobowych.

Użyte w art. 60 u.o.d.o. określenie "naruszenie przepisów o ochronie danych osobowych" ma zakres szeroki i obejmuje naruszenia wszystkich przepisów o ochronie danych, zarówno zawartych w unijnym rozporządzeniu, jak i w przepisach krajowych, które uzupełniają lub modyfikują regulacje unijne.

Zgodnie z art. 7 ust. 1 u.o.d.o., w sprawach nieuregulowanych w ustawie do postępowań administracyjnych przed Prezesem Urzędu Ochrony Danych Osobowych, o których mowa w rozdziale 4-7 i 11 (a więc również w rozdziale 7 dotyczącym postępowania w sprawie naruszenia przepisów o ochronie danych osobowych), stosuje się przepisy Kodeksu postępowania administracyjnego.

Zdaniem Sądu, nie ulega wątpliwości, że związanie rygorami procedury administracyjnej oznacza, iż Prezes UODO jest obowiązany m.in. do przestrzegania zasady pogłębiania zaufania obywateli do organów praworządnego państwa (art. 8 § 1 k.p.a.). W tej sytuacji, organ nadzorczy, uwzględniając powyższą zasadę, zobowiązany jest przede wszystkim dokładnie wyjaśnić okoliczności sprawy, konkretnie ustosunkować się do żądań i twierdzeń strony skarżącej oraz uwzględnić w decyzji zarówno interes społeczny, jak i słuszny interes strony skarżącej. Organ nadzorczy jest ponadto obowiązany w sposób wyczerpujący zebrać i ocenić cały materiał dowodowy (art. 7, art. 77 § 1 i art. 80 k.p.a.) oraz uzasadnić swoje rozstrzygnięcie według wymagań określonych w przepisie art. 107 § 3 k.p.a.

Mając na względzie powyższe, Sąd uznał, że zebrany w sprawie materiał dowodowy jest wyczerpujący i został poddany przez organ nadzorczy wszechstronnemu i wnikliwemu rozpatrzeniu, w wyniku czego doszło do prawidłowego ustalenia stanu faktycznego sprawy.

Prezes Urzędu Ochrony Danych Osobowych, przeprowadzając wspomniane postępowanie wyjaśniające, dokonał wszelkich niezbędnych ocen, przy uwzględnieniu całokształtu zgromadzonego w sprawie materiału dowodowego oraz w kontekście odpowiednio zastosowanych przepisów prawa, w tym przede wszystkim przepisów RODO oraz ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych.

Warto jednocześnie zauważyć, że Prezes UODO, przeprowadzając sporne postępowanie wyjaśniające wykorzystał wszelkie niezbędne instrumenty prawne, jakie dawała mu ustawa o ochronie danych osobowych i uzasadniając swoje stanowisko w decyzji z dnia [...] lutego 2023 r., w sposób klarowny przedstawił argumentację dotyczącą zasadności zastosowania wobec skarżącej spółki, jako administratora danych, uprawnienia naprawczego w postaci nakazania zaprzestania przetwarzania danych osobowych oraz upomnienia.

Sąd uznał w tej sytuacji, że całkowicie niezrozumiały jest zarzut strony skarżącej, jakoby organ nadzorczy nie podjął wszelkich możliwych czynności niezbędnych do wyjaśnienia stanu faktycznego, pomimo, że - jak sugeruje skarżąca spółka - organ nadzorczy posiadał wszelkie dane umożliwiające z urzędu podjęcie takich czynności.

Nie ulega wątpliwości, że zasadniczym przedmiotem sporu pomiędzy skarżącą spółką a Prezesem UODO jest przede wszystkim ocena zasadności przyjęcia przez organ nadzorczy, iż skarżąca spółka dopuściła się przetwarzania danych szczegółowo wskazanych w treści decyzji osób, które - w skierowanych do organu nadzorczego skargach - podważały prawidłowość owego przetwarzania.

Należy zatem zauważyć, że zgodnie z art. 2 ust. 1 RODO, rozporządzenie to ma zastosowanie do przetwarzania danych osobowych w sposób całkowicie lub częściowo zautomatyzowany oraz do przetwarzania w sposób inny niż zautomatyzowany danych osobowych stanowiących część zbioru danych lub mających stanowić część zbioru danych.

"Przetwarzanie", zgodnie z art. 4 pkt 2 RODO, oznacza operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, taką jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie.

Z kolei "dane osobowe" to - w świetle art. 4 pkt 1 RODO - wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej ("osobie, której dane dotyczą"); możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora takiego jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej.

W tej sytuacji, uznać należy, że obraz osoby zarejestrowany przez kamerę stanowi dane osobowe, w rozumieniu art. 4 pkt 1 RODO, jeżeli pozwala na jej zidentyfikowanie bezpośrednio lub pośrednio. Zautomatyzowany monitoring wizyjny określonego obszaru za pomocą środków optycznych lub audiowizualnych umożliwia zbieranie, utrwalenie i przechowywanie informacji związanych z obrazem, dotyczących wszystkich osób wchodzących na obszar monitorowany, które można zidentyfikować na podstawie ich wyglądu lub innych cech szczególnych. Zbieranie i przechowanie informacji o osobach fizycznych, które można bezpośrednio lub pośrednio zidentyfikować na podstawie czynników określających m.in. ich fizyczną tożsamość, stanowi natomiast przetwarzanie danych osobowych.

Nadzór określonego obszaru za pomocą monitoringu wizyjnego polegający - tak jak w przedmiotowej sprawie - na rejestracji obrazu przechowywanego na twardym dysku, następnie nadpisywanego nowym nagraniem po zapełnieniu dostępnego na dysku miejsca, stanowi zatem zautomatyzowane przetwarzanie danych osobowych, o którym mowa w art. 2 ust. 1 RODO (zob. też pkt 13 oraz pkt 20 - pkt 25 wyroku Trybunału Sprawiedliwości Unii Europejskiej z dnia 11 grudnia 2014 r. w sprawie C-212/13 František Ryneš - dostępny: https://curia.europa.eu).

Mając na względzie powyższe, Sąd stwierdził, że skoro z materiału dowodowego zgromadzonego w toku postępowania wyjaśniającego wynika, iż osoby fizyczne, które wniosły skargę do organu nadzorczego, przebywają regularnie na terenie żwirowni (zgodnie z ich oświadczeniami), zaś kamery użytkowane przez skarżącą spółkę skierowane są na kopalnię żwiru zlokalizowaną na działce nr [...] obręb [...], natomiast jednocześnie skarżąca spółka nie przedstawiła żadnych dowodów ani na nieprzetwarzanie danych osobowych w drodze prowadzonego monitoringu, ani też na usunięcie kamer monitoringu, to Prezes UODO zasadnie przyjął, iż strona skarżąca przetwarza sporne dane osobowe. Nie ulega wątpliwości, że z materiału zgromadzonego przez organ nadzorczy wynika, że system monitoringu zlokalizowany na działce nr [...] obręb [...], będącej własnością Nadleśnictwa [...], a skierowany na działki nr [...] i nr [...] obręb [...], będące własnością m. in. L.G., rozciąga się na przestrzeń, w której znajdować się mogą wspomniane wyżej osoby, co w konsekwencji oznacza, że dochodzi do przetwarzania danych osobowych tych osób. Skoro skonfigurowanie systemu monitoringu pozwala na ciągłą (nieprzerwaną) obserwację wspomnianej wyżej przestrzeni, to - według Sądu - stwierdzić trzeba, że dochodzi do przetwarzania danych osób przebywających na tym terenie, a tym samym uznać należy, że - wbrew zarzutom strony skarżącej – organ nadzorczy wykazał, że przetwarzano dane osób, które regularnie pojawiały się na terenie żwirowni prowadzonej przez L.G..

W tej sytuacji, w ocenie Sądu, nie można zgodzić się ze stwierdzeniem skarżącej spółki, jakoby monitoring skierowany na działki nr [...] i nr [...] jest monitoringiem jedynie środowiska przyrodniczego, skoro teren ten stanowi prywatną własność L.G., na którym prowadzi on działalność gospodarczą w formie kopalni kruszywa naturalnego, na terenie której z kolei - poza właścicielem tego przedsiębiorstwa - przebywają regularnie pozostałe osoby, które jednoznacznie oświadczyły w toku postępowania, że taki stan rzeczy ma miejsce w analizowanej sprawie.

W związku z powyższym, Sąd uznał, że organ nadzorczy miał pełne podstawy zakwestionować zapewnienia skarżącej spółki, jakoby nie przetwarza ona spornych danych osobowych.

Ponadto, stwierdzić należy, że niezasadny jest również zarzutu nieważności zaskarżonej decyzji z powodu jej rzekomej niewykonalności z uwagi na trudności identyfikacyjne dotyczące wskazanych powyżej osób.

Jednocześnie, Sąd nie dał wiary zapewnieniom strony skarżącej, jakoby zdjęła ona kamery monitoringu obejmujące swoim zasięgiem działki o nr [...] i nr [...], położone w obrębie ewidencyjnym [...] [...]. Warto jedynie zauważyć, że argument ten skarżąca spółka zaprezentowała dopiero na etapie skargi skierowanej do Sądu. Co więcej, jak słusznie zwrócił uwagę organ nadzorczy w odpowiedzi na skargę, z materiału dowodowego będącego podstawą wydania zaskarżonego rozstrzygnięcia, w tym w szczególności z pisma Nadleśnictwa [...] z dnia 24 stycznia 2020 r. skierowanego do skarżącej spółki, wynika jednoznacznie, iż kamery nie zostały zdemontowane, co Nadleśnictwo [...] miało potwierdzić podczas oględzin w terenie przeprowadzonych w dniu 22 stycznia 2020 r.

W konsekwencji, mając na względzie fakt, iż w postępowaniu wyjaśniającym prowadzonym przez organ nadzorczy obowiązuje zasada, że ciężar dowodu spoczywa również na tym, kto z określonego faktu wyprowadza skutki prawne, Sąd uznał, iż w ustalonych okolicznościach faktycznych analizowanej sprawy nie ulega wątpliwości, że skarżąca spółka przetwarzała dane osobowe wspomnianych wyżej osób za pomocą monitoringu wizyjnego.

W tej sytuacji, stwierdzić należy, że organ nadzorczy w pełni trafnie ustalił zatem, że do przetwarzania danych osobowych uczestników postępowania przez skarżącą spółkę za pomocą przedmiotowego monitoringu wizyjnego znajdują zastosowanie przepisy RODO.

A zatem, uznać należy, że trafnie dostrzeżono w uzasadnieniu zaskarżonej decyzji, iż RODO wiąże przetwarzanie danych z przestrzeganiem zasad określonych w art. 5 RODO, które mają charakter podstawowy w odniesieniu do całej regulacji.

Zgodnie z art. 5 ust. 1 lit. a RODO, dane osobowe muszą być przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą ("zgodność z prawem, rzetelność i przejrzystość").

Stosownie z kolei do treści art. 5 ust. 1 lit. b RODO, dane osobowe muszą być zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach i nieprzetwarzane dalej w sposób niezgodny z tymi celami; dalsze przetwarzanie do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych nie jest uznawane w myśl art. 89 ust. 1 za niezgodne z pierwotnymi celami ("ograniczenie celu").

W świetle zaś art. 5 ust. 2 RODO, administrator jest odpowiedzialny za przestrzeganie przepisów ust. 1 i musi być w stanie wykazać ich przestrzeganie ("rozliczalność").

Stwierdzenie, że administrator powinien być w stanie wykazać przestrzeganie zasad, odczytywać można jako nałożenie na administratora ciężaru dowodu w zakresie przestrzegania zasad przetwarzania danych. W razie sporu z osobą, której dane dotyczą, albo z organem nadzorczym, administrator powinien być więc w stanie przedstawić dowody na to, że przestrzega zasad (por. P. Fajgielski /w:/ Komentarz do rozporządzenia nr 2016/679 w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) /w:/ Ogólne rozporządzenie o ochronie danych. Ustawa o ochronie danych osobowych. Komentarz, wyd. II, Wolters Kluwer Polska, Warszawa 2022 r., komentarz do art. 5).

Warunki uznania przetwarzania danych osobowych za zgodne z prawem określono przede wszystkim w art. 6 ust. 1 RODO, zgodnie z którym, przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy - i w takim zakresie, w jakim - spełniony jest co najmniej jeden z poniższych warunków:

a) osoba, której dane dotyczą wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów;

b) przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy;

c) przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze;

d) przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej;

e) przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi;

f) przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem.

Warto jednocześnie podkreślić wyraźnie, że w świetle art. 5 ust. 1 lit. a in fine RODO, dane osobowe powinny być przetwarzane "w sposób przejrzysty dla osoby, której dane dotyczą". Oznacza to, że podmiot danych powinien być informowany o przetwarzaniu jego danych, a także powinien mieć świadomość typowych konsekwencji, jakie z przetwarzaniem się wiążą.

Jak wyjaśniono w motywie 39 preambuły RODO, dla osób fizycznych powinno być przejrzyste, że dotyczące ich dane osobowe są zbierane, wykorzystywane, przeglądane lub w inny sposób przetwarzane oraz w jakim stopniu te dane osobowe są lub będą przetwarzane. Zasada przejrzystości wymaga, by wszelkie informacje i wszelkie komunikaty związane z przetwarzaniem tych danych osobowych były łatwo dostępne i zrozumiałe oraz sformułowane jasnym i prostym językiem. Zasada ta dotyczy w szczególności informowania osób, których dane dotyczą, o tożsamości administratora i celach przetwarzania oraz innych informacji mających zapewnić rzetelność i przejrzystość przetwarzania w stosunku do osób, których sprawa dotyczy, a także prawa takich osób do uzyskania potwierdzenia i informacji o przetwarzanych danych osobowych ich dotyczących. Osobom fizycznym należy uświadomić ryzyka, zasady, zabezpieczenia i prawa związane z przetwarzaniem danych osobowych oraz sposoby wykonywania praw przysługujących im w związku z takim przetwarzaniem.

W motywie 39 preambuły RODO wskazano również, że konkretne cele przetwarzania danych osobowych powinny być wyraźne, uzasadnione i określone w momencie ich zbierania. Dane osobowe powinny być adekwatne, stosowne i ograniczone do tego, co niezbędne do celów, dla których są one przetwarzane. Wymaga to w szczególności zapewnienia ograniczenia okresu przechowywania danych do ścisłego minimum. Dane osobowe powinny być przetwarzane tylko w przypadkach, gdy celu przetwarzania nie można w rozsądny sposób osiągnąć innymi sposobami.

W świetle powołanego wyżej art. 6 ust. 1 lit. f RODO, przetwarzanie jest zgodne z prawem, jeżeli jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem.

Skarżąca spółka powołała się na tę przesłankę legalizującą w toku postępowania przed organem nadzorczym, odwołując się m.in. do przepisów art. 120 i art. 133 ust. 3 ustawy z dnia 20 lipca 2017 r. - Prawo wodne (tekst jednolity Dz. U. z 2023 r., poz. 1478 ze zm.) oraz wskazując, że spoczywa na niej obowiązek właściwej analizy ryzyka obejmującego ocenę zagrożeń zdrowotnych z uwzględnieniem czynników negatywnie wpływających na jakość ujmowanej wody.

Sąd uznał jednak, że - wbrew zarzutom skarżącej spółki - organ nadzorczy trafnie uznał w zaskarżonej decyzji, że u podstaw pozyskiwania danych osobowych przez spółkę nie leży żadna z przesłanek określonych w art. 6 ust. 1 RODO warunkujących legalne przetwarzanie danych pochodzących z monitoringu wizyjnego, a w szczególności prawidłowo przyjął, że za przesłankę tę nie może zostać uznany wskazany art. 6 ust. 1 lit. f RODO w postaci niezbędności przetwarzania danych osobowych do celów wynikających z prawnie uzasadnionego interesu realizowanego przez spółkę, jako administratora, jakim - w ocenie skarżącej – miałaby być konieczność ochrony źródeł pozyskiwania wód przed niebezpieczeństwem skażenia w oparciu o wykonane przez spółkę analizy ryzyka dla ujęcia.

Owszem, strona skarżąca zasadnie zwracała uwagę, iż teren monitorowany wchodzi w skład ustanowionej na wniosek spółki strefy ochronnej ujęcia wody nr 2 w miejscowości [...], które skarżąca spółka eksploatuje, zaś prowadzona przez L.G. działalność na monitorowanych działkach polegająca na wydobywaniu kruszyw naturalnych piasku i żwiru uznana została za potencjalne źródło zanieczyszczenia wód podziemnych i zagrożenia dla ich jakości w przyszłości.

Niemniej, warto zauważyć, że w rozporządzeniu nr [...] Dyrektora Regionalnego Zarządu Gospodarki Wodnej w [...] wydanym w dniu [...] listopada 2014 r., mając na względzie m. in. opisane wyżej zagrożenie, wprowadzono określone zakazy na terenie ochrony pośredniej mające na celu ochronę źródeł pozyskiwania wód przed niebezpieczeństwem skażenia (§ 3 ust. 1 pkt 1-19 ww. rozporządzenia).

Tym samym, Sąd uznał, że wobec istnienia innych rozwiązań mających na celu ochronę źródeł pozyskiwania wód przed niebezpieczeństwem skażenia, nie można uznać by prowadzenie przez skarżącą spółkę monitoringu było niezbędne dla ww. celu i uzasadniało przetwarzanie danych osobowych wspomnianych wyżej osób fizycznych

Wobec powyższego, art. 6 ust. 1 lit. f RODO nie może zostać uznany za podstawę prawną legalizującą przetwarzanie przez skarżąca spółkę spornych danych osobowych za pomocą monitoringu.

Nie sposób przychylić się do stanowiska skarżącej spółki, że miała uzasadniony interes w montażu i wykorzystywaniu monitoringu, nie tylko ze względu na samą spółkę, obowiązek dbania o ujęcia wody, ale też szeroko rozumiane dobro środowiska naturalnego i bezpieczeństwo żywności.

Po pierwsze, uznać należy, że dbaniu o ujęcie wody i dobro środowiska naturalnego służą wspomniane już wyżej zakazy i nakazy ustanowione przez Dyrektora RZGW na terenie ochronnym.

Ponadto, powołane przepisy nie przewidują instalacji monitoringu w celu ochrony ujęcia wody przez właściciela ujęcia wody.

Jednocześnie, skarżąca spółka w niniejszym postępowaniu nie wykazała, że stosowanie monitoringu wizyjnego obejmującego swym zasięgiem działki L.G. było działaniem koniecznym do zapewnienia jakościowej ochrony wód podziemnych przed niebezpieczeństwem skarżenia.

Odnosząc się do stanowiska strony skarżącej i uwzględniając powołane wyżej brzmienie motywu 39 preambuły RODO, należy podzielić stanowisko EROD wyrażone w powoływanych wyżej wytycznych 3/2019, wedle którego, monitoring wizyjny oparty wyłącznie na podstawie, jaką jest cel "bezpieczeństwa" lub "własnego bezpieczeństwa" nie jest pojęciem wystarczająco konkretnym (art. 5 ust. 1 lit. b RODO), a ponadto jest on sprzeczny z zasadą stanowiącą, że dane osobowe są przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą (art. 5 ust. 1 lit. a RODO).

Prawnie uzasadniony interes musi mieć wymiar realny i stanowić kwestię bieżącą. Zgodnie natomiast z zasadą rozliczalności, administratorzy powinni dokumentować istotne incydenty (datę, sposób, straty finansowe) oraz związane z nimi zarzuty. Takie udokumentowane incydenty mogą bowiem stanowić dowody na istnienie prawnie uzasadnionego interesu (tak EROD w wytycznych 3/2019). Same zatem twierdzenia skarżącej spółki, że w okolicy zdarzają się działania mogące mieć wpływ na pogarszanie jakości wody, nie było wystarczające dla stwierdzenia w postępowaniu przed organem nadzorczym istnienia prawnie uzasadnionego interesu w przetwarzaniu danych osobowych.

W toku postępowania zakończonego zaskarżoną decyzją, skarżący nie wykazał zatem ani, że prawnie uzasadniony interes, na który się powołał ma wymiar realny, ani że stanowi on kwestię bieżącą.

W ocenie Sądu, słuszne jest także stanowisko EROD wyrażone w powoływanych wytycznych 3/2019, zgodnie z którym "(...) monitoring wizyjny nie jest domyślnie niezbędny, gdy istnieją inne środki umożliwiające osiągnięcie założonego celu. W przeciwnym razie ryzykujemy zmianę w zakresie norm kulturowych, prowadzącą do zaakceptowania braku prywatności jako warunku startowego (...)". Uwzględniając przy tym treść art. 5 ust. 1 lit. c RODO, zgodnie z którym dane osobowe muszą być adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane ("minimalizacja danych"), jak również brzmienie powoływanego wyżej motywu 39 preambuły RODO, w którym wskazano, że "Dane osobowe powinny być adekwatne, stosowne i ograniczone do tego, co niezbędne do celów, dla których są one przetwarzane (...). Dane osobowe powinny być przetwarzane tylko w przypadkach, gdy celu przetwarzania nie można w rozsądny sposób osiągnąć innymi sposobami (...)", należy stwierdzić, że przed zainstalowaniem systemu monitoringu wizyjnego administrator powinien zawsze krytycznie ocenić, czy środek ten, po pierwsze jest odpowiedni do osiągnięcia pożądanego celu, a po drugie odpowiedni i niezbędny do jego celów. Środki polegające na zastosowaniu monitoringu wizyjnego należy wybierać wyłącznie w przypadku, gdy cel przetwarzania nie mógł zostać osiągnięty za pomocą innych środków, które są mniej inwazyjne w stosunku do podstawowych praw i wolności osoby, której dane dotyczą (tak: EROD na str. 10 powoływanych wytycznych 3/2019).

Należy podkreślić, że monitoring wizyjny jest jedną w najbardziej inwazyjnych form ingerencji w podstawowe prawa i wolności osoby, której dane dotyczą i powinien być wybierany wyłącznie, gdy zawiodły inne alternatywne środki bezpieczeństwa, które w mniejszym stopniu ingerują w podstawowe prawa lub wolności innych osób.

Trudno uznać również, że sporne przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na skarżącej spółce (art. 6 ust. 1 lit. c RODO), gdyż brak jest takiego obowiązku w obowiązujących przepisach prawa. W ocenie Sądu, powoływany przez stronę skarżącą art. 133 ust. 3 i 4 Prawa wodnego statuuje obowiązek przeprowadzania analizy ryzyka m. in. w oparciu o analizę identyfikacji źródeł zagrożenia wynikających ze sposobu zagospodarowania terenu, a nie obowiązek stałego monitorowania zagospodarowania terenu w celu dokonywania tej analizy. Według Sądu, kwestionowane przetwarzanie danych osobowych nie jest także niezbędne do wykonania zadania realizowanego w interesie publicznym (art. 6 ust. 1 lit. e RODO).

Warto ponadto podkreślić, że z ustalonego stanu faktycznego wynika jednocześnie, że teren objęty monitoringiem nie został oznakowany. Nie wiadomo zatem jaki jest zakres tego monitoringu, ani kto jest administratorem danych osobowych przetwarzanych za pomocą tego systemu. Tym samym, brak jest jakichkolwiek informacji dla osób przemieszczających się po ww. terenie, że znajdują się w strefie objętej monitoringiem wizyjnym, co może wywołać u tych osób poczucie, że ich dane są wykorzystywane w nieznanym im celu, a ich życie prywatne podlega stałemu nadzorowi.

Należy jednocześnie zauważyć, iż skarżąca spółka nie wykazała w toku niniejszego postępowania, by poinformowała uczestników postępowania o prowadzonym monitoringu. W sprawie brak jest zatem dowodów na to, by obowiązek informacyjny, o którym mowa w art. 13 ust. 1 i 2 RODO został przez nią spełniony.

Mając na względzie powyższą analizę Sądu, należy stwierdzić, że organ nadzorczy prawidłowo ustalił, iż skarżąca spółka przetwarzała dane osobowe uczestników postępowania z naruszeniem art. 5 ust. 1 lit. a i lit. b, art. 5 ust. 2 i art. 6 ust. 1, a także art. 13 ust. 1 i ust. 2 RODO.

W toku postępowania administracyjnego skarżąca spółka nie wykazała bowiem, że przetwarzała dane osobowe uczestników w oparciu o przesłankę legalizującą określoną w art. 6 ust. 1 RODO, a zatem, że przetwarzanie jest zgodne z prawem.

Strona skarżąca nie dopełniła także obowiązku informacyjnego określonego w art. 13 ust. 1 i ust. 2 RODO, a przetwarzanie przez nią danych osobowych uczestników postępowania - w celu zapewnienia bezpieczeństwa użytkowanego ujęcia wody - naruszało również zasadę przejrzystości i ograniczenia celu.

W tych okolicznościach, stwierdzić należy, że Prezes UODO był uprawniony do skorzystania z uprawnień naprawczych przewidzianych w art. 58 ust. 2 lit. b i lit. d RODO.

Zasadnie zatem w pierwszym rzędzie nakazał skarżącej spółce zaprzestanie przetwarzania za pomocą monitoringu wizyjnego danych osobowych uczestników przy użyciu kamer, które swoim zasięgiem obejmują działki nr [...] oraz nr [...], położone w obrębie ewidencyjnym [...] [...].

Organ nadzorczy prawidłowo udzielił również upomnienia za naruszenie art. 5 ust. 1 lit. a i lit. b, art. 5 ust. 2, art. 6 ust. 1 oraz art. 13 ust. 1 i ust. 2 RODO.

W tym miejscu warto zauważyć, że uprawnienia naprawcze organu nadzorczego wskazane w art. 58 ust. 2 RODO mają charakter władczy i przybierają postać: ostrzeżeń, upomnień, nakazów, zakazów i kar. Ich realizacja stanowi istotę oddziaływania nadzorczego, które nie ogranicza się jedynie do sprawowania kontroli, ale obejmuje również władcze oddziaływanie organu nadzorczego na podmioty, wobec których sprawuje on nadzór.

Wskazać należy, że środki przysługujące organowi w ramach uprawnień naprawczych określonych w art. 58 ust. 2 RODO są zróżnicowanie w zależności od tego, czy mamy do czynienia z przetwarzaniem danych przez administratora lub podmiot przetwarzający, czy też jest ono dopiero na etapie planowanych operacji przetwarzania. W tym pierwszym przypadku organ nadzorczy może wydać ostrzeżenie dotyczące możliwości naruszenia przepisów rozporządzenia. W sytuacji kiedy mamy do czynienia z operacjami przetwarzania danych organowi przysługuje szereg środków naprawczych, w tym udzielenie upomnienia, wydawanie nakazów, wprowadzenie ograniczenia albo zakazu przetwarzania. Ponadto, w odniesieniu do procedury certyfikacyjnej, organ nadzorczy posiada uprawnienia do cofnięcia certyfikacji, z uwzględnieniem krajowych uregulowań w tym zakresie. Szczególną kompetencją organu nadzorczego jest prawo do nakładania administracyjnych kar pieniężnych, zgodnie z art. 83 RODO, oprócz lub zamiast pozostałych kompetencji naprawczych przyznanych w komentowanym przepisie.

Jednym ze środków naprawczych przewidzianych w przepisie art. 58 ust. 2 jest upomnienie, które udzielane jest w przypadku naruszenia przepisów RODO przez operacje przetwarzania danych.

Zasadnicza wątpliwość, związana z korzystaniem z instytucji upomnienia, wiąże się z tym, kiedy organ nadzorczy powinien udzielić upomnienia, a kiedy skorzystać z możliwości nałożenia administracyjnej kary pieniężnej.

Pewnych wskazówek udziela tutaj motyw 148 preambuły do RODO, zgodnie z którym "jeżeli naruszenie jest niewielkie lub jeżeli grożąca kara pieniężna stanowiłaby dla osoby fizycznej nieproporcjonalne obciążenie, można zamiast tego udzielić upomnienia. Powinno się jednak zwrócić należytą uwagę na charakter, wagę oraz czas trwania naruszenia, na to, czy naruszenie nie było umyślne, na działania podjęte dla zminimalizowania szkody, na stopień odpowiedzialności lub wszelkie mające znaczenie wcześniejsze naruszenia, na sposób, w jaki organ nadzorczy dowiedział się o naruszeniu, na przestrzeganie środków nałożonych na administratora lub podmiot przetwarzający, na stosowanie kodeksów postępowania oraz wszelkie inne czynniki obciążające lub łagodzące".

W tej sytuacji, przyjmuje się więc, że z jednej strony nie powinno budzić wątpliwości, że skorzystanie z możliwości udzielenia upomnienia pozostawione zostało do uznania organu nadzorczego, z drugiej jednak pewną wskazówką, kiedy udzielenie upomnienia jest preferowaną formą załatwienia sprawy, jest wskazanie w przywołanym motywie preambuły dwóch sytuacji: gdy naruszenie zostało uznane za "niewielkie" lub gdy "grożąca kara pieniężna stanowiłaby dla osoby fizycznej nieproporcjonalne obciążenie" (por. Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych). Komentarz /w:/ Ogólne rozporządzenie o ochronie danych osobowych. Ustawa o ochronie danych osobowych. Wybrane przepisy sektorowe. Komentarz, pod red. dr Pawła Litwińskiego, Wydawnictwo C.H. Beck, Warszawa 2021, t. 12 komentarza do art. 58 RODO).

Zdaniem Sądu, stwierdzić należy, że Prezes UODO, wydając sporną decyzję z dnia [...] lutego 2023 r., uzasadnił w sposób klarowny, dlaczego przyjął, że wystarczające będzie udzielenie administratorowi danych upomnienia, a nie zastosowanie administracyjnej kary pieniężnej.

Mając powyższe na względzie, Wojewódzki Sąd Administracyjny w Warszawie uznał, że w ustalonych okolicznościach niniejszej sprawy stwierdzić należy, iż organ nadzorczy zastosował wystarczające uprawnienie naprawcze polegające na udzieleniu administratorowi danych upomnienia, o którym mowa w art. 58 ust. 2 lit. b RODO, precyzyjnie wskazując przy tym w uzasadnieniu zaskarżonej decyzji, jakie konkretne okoliczności wpłynęły na rodzaj zastosowanego uprawnienia naprawczego.

Biorąc powyższe pod uwagę, Wojewódzki Sad Administracyjny w Warszawie - działając na podstawie art. 151 P.p.s.a. - orzekł, jak w sentencji wyroku.

[pic][pic]