Wyrok WSA w Warszawie, sygn. akt II SA/Wa 1055/21
Wojewódzki Sąd Administracyjny w Warszawie
Data orzeczenia: 2022-01-21 00:00:00+01:00 (orzeczenie prawomocne)
Symbol z opisem: 647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne: Ochrona danych osobowych
Skarżony organ: Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku: Uchylono zaskarżoną decyzję
Powołane przepisy: article: art. 2 ust. 1
journal: Dz.U. 2018 poz 1000
law: Ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych
journal: Dz.U.UE.L 2016 nr 119 poz 1 art. 85 ust. 1
law: Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z  przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE

SENTENCJA

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Ewa Kwiecińska, Sędzia WSA Agnieszka Góra-Błaszczykowska, Sędzia WSA Karolina Kisielewicz (spr.), Protokolant referent stażysta Edyta Brzezicka po rozpoznaniu na rozprawie w dniu 21 stycznia 2022 r. sprawy ze skargi R. M. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] grudnia 2020 r. nr [...] w przedmiocie umorzenia postępowania uchyla zaskarżoną decyzję


UZASADNIENIE

Prezes Urzędu Ochrony Danych Osobowych decyzją z [...] grudnia 2020 r. (nr [...]), wydaną na podstawie 105 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2020 r. poz. 256 ze zm.) oraz art. 85 ust. 1 i art. 58 ust. 2 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE w zw. z art. 2 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781), umorzył jako bezprzedmiotowe postępowanie zainicjowane skargą R. M. na nieprawidłowości w procesie przetwarzania jego danych osobowych przez B. M. - redaktora naczelnego "Tygodnika [...]", którego wydawcą jest [...] Sp. z o.o. z siedzibą w [...]. R. M. zarzucił wymienionemu podmiotowi niezgodne z prawem (rozporządzeniem z 27 kwietnia 2016 r.) przetwarzanie jego danych osobowych (imienia i nazwiska) w artykułach znajdujących się na dwóch stronach internetowych (wymienionych w skardze) oraz nieuzasadnioną odmowę realizacji żądania usunięcia jego danych osobowych w tym zakresie.

W uzasadnieniu decyzji Prezes Urzędu Ochrony Danych Osobowych podał, że proces przetwarzania danych osobowych skarżącego polegający na udostępnianiu jego danych rozpoczął się w momencie publikacji artykułu prasowego w czasopiśmie (w dniu [...] kwietnia 2018 r.), a więc pod rządami ustawy z 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r. poz. 922 ze zm.), w związku z czym do oceny zgodności z prawem tej sytuacji mają zastosowanie przepisy tej ustawy. Udostępnione dane osobowe są opublikowane w internetowym serwisie prasowym "Tygodnik [...]", w związku z czym obecnie ma również zastosowanie obowiązujące rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r.

Organ odwołał się do definicji prasy zawartej w art. 7 ust. 1 ustawy z dnia 24 stycznia 1984 r Prawo prasowe (Dz. U z 2018r. poz. 1914) i podniósł, że internetowy serwis prasowy "Tygodnik [...]" należy uznać za prasę. Zgodnie z art. 3a ust. 2 ustawy o ochronie danych osobowych z 1997 r. (obowiązującej w dniu publikacji), regulacje w niej zawarte (z wyjątkiem przepisów art. 14-19 oraz art. 36 ust. 1) nie miały zastosowania do prasowej działalności dziennikarskiej w rozumieniu ustawy prawo prasowe oraz do działalności literackiej lub artystycznej, chyba że wolność wyrażania swoich poglądów i rozpowszechniania informacji istotnie naruszała prawa i wolności osoby, której dane dotyczą. Oznacza to, że powołana ustawa z 1997 r. nie miała zastosowania do prasowej działalności dziennikarskiej, w rozumieniu ustawy prawo prasowe (a więc do zbierania, opracowywania i przygotowywania, a także publikacji materiałów w prasie), chyba że wolność wyrażania swoich poglądów i rozpowszechniania informacji istotnie naruszała prawa i wolności osoby, której dane dotyczą. Organ dodał, że pogląd ten został zaaprobowany przez Wojewódzki Sąd Administracyjny w Warszawie w wyroku z 10 maja 1997 r. II SA/Wa 1933/06. W powołanym wyroku Sąd podkreślił, że nie można przyjmować, że właściwym dla oceny istotności naruszeń praw i wolności, o których mowa w art. 3a ust. 2 ustawy z 1997 r. powinien być GIODO, bowiem wśród kompetencji GIODO nie ma uprawnień do badania istotności naruszeń praw i wolności, a zgodnie z zasadą wyrażoną w art. 7 Konstytucji RP kompetencji nie można domniemywać. To zaś oznacza, że postępowanie w tym zakresie podlega umorzeniu jako bezprzedmiotowe.

W dalszej części uzasadnienia Prezes Urzędu Ochrony Danych Osobowych powołał się na art. 85 ust. 1 rozporządzenia 2016/679 (prawodawca krajowy ma możliwość przyjęcia przepisów, które godzą w prawo do ochrony danych osobowych z przetwarzaniem ich na potrzeby działalności dziennikarskiej, akademickiej, artystycznej i literackiej) oraz art. 2 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych, który zwiera wyłączenie art. 5-9, art. 11, art. 13-16, art. 18-22, art. 27, art. 28 ust. 2-10 oraz art. 30 rozporządzenia 2016/679 w stosunku do działalności polegającej na redagowaniu, przygotowywaniu, tworzeniu lub publikowaniu materiałów prasowych w rozumieniu ustawy z dnia 26 stycznia 1984 r. – Prawo prasowe. Organ wskazał, że artykuł, zawierający dane skarżącego jest materiałem prasowym w rozumieniu art. 7 ust. 1 pkt 4 ustawy Prawo prasowe.

W konkluzji organ stwierdził, że nie ma możliwości dokonania merytorycznej oceny udostępnienia danych osobowych skarżącego na stronie internetowej "Tygodnika [...]" pod wskazanymi w skardze linkami, w oparciu o obowiązujące przepisy o ochronie danych osobowych, w konsekwencji postępowanie jako bezprzedmiotowe umorzył (art. 105 § 1 k.p.a.).

R. M. w skardze na decyzję Prezesa Urzędu Ochrony Danych Osobowych z [...] grudnia 2020 r. zarzucił, że wydana została z naruszeniem art. 7, art. 77 § 1 k.p.a. przez niedostateczne wyjaśnienie okoliczności faktycznych sprawy i w konsekwencji pominięcie, że skarżący kontaktował się telefonicznie oraz korespondencyjnie z redakcją Tygodnika [...], żądając zaprzestania przetwarzania jego danych osobowych oraz ich usunięcia ze stron internetowych. Skarżący wniósł o uchylenie zaskarżonej decyzji.

Prezes Urzędu Ochrony Danych Osobowych w odpowiedzi na skargę wniósł o jej oddalenie.

Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje:

Skarga jest uzasadniona.

Kontrolowaną decyzją Prezes Urzędu Ochrony Danych Osobowych umorzył jako bezprzedmiotowe postępowanie zainicjowane skargą R. M. na nieprawidłowości w procesie przetwarzania jego danych osobowych przez redaktora naczelnego "Tygodnika [...]", którego wydawcą jest [...] Sp. z o.o. z siedzibą w [...], polegające na : a) przetwarzaniu jego danych osobowych w zakresie imienia i nazwiska w artykułach znajdujących się na wymienionych w skardze stronach internetowych oraz 2) odmowie realizacji żądania usunięcia jego danych w tym zakresie.

W ocenie Sądu stanowisko organu nie znajduje oparcia w stanie faktycznym sprawy oraz w obowiązujących w tym zakresie przepisach prawa.

Przepis art. 85 ust. 1 rozporządzenia 2016/679 stanowi, że państwa członkowskie przyjmują przepisy pozwalające pogodzić prawo do ochrony danych osobowych na mocy niniejszego rozporządzenia z wolnością wypowiedzi i informacji, w tym prawem do przetwarzania danych dla potrzeb dziennikarskich oraz do celów wypowiedzi akademickiej, artystycznej lub literackiej. Dla przetwarzania do celów dziennikarskich lub do celów wypowiedzi akademickiej, artystycznej lub literackiej państwa członkowskie określają odstępstwa lub wyjątki od rozdziału II (Zasady), rozdziału III (Prawa osoby, której dane dotyczą), rozdziału IV (Administrator i podmiot przetwarzający), rozdziału V (Przekazywanie danych osobowych do państw trzecich lub organizacji międzynarodowych), rozdziału VI (Niezależne organy nadzorcze), rozdziału VII (Współpraca i spójność) oraz rozdziału IX (Szczególne sytuacje związane z przetwarzaniem danych), jeżeli są one niezbędne, by pogodzić prawo do ochrony danych osobowych z wolnością wypowiedzi i informacji (art. 85 ust. 2 rozporządzenia).

W oparciu o te przepisy prawodawca krajowy w art. 2 ust. 1 ustawy z 10 maja 2018 r. o ochronie danych osobowych, wyłączył stosowanie części przepisów unijnego rozporządzenia w zakresie m. in. działalności dziennikarskiej.

Powołany przepis stanowi, że m. in. do działalności polegającej na redagowaniu, przygotowywaniu, tworzeniu lub publikowaniu materiałów prasowych w rozumieniu ustawy z dnia 26 stycznia 1984 r. - Prawo prasowe (Dz. U. z 2018 r. poz. 1914), nie stosuje się przepisów art. 5-9, art. 11, art. 13-16, art. 18-22, art. 27, art. 28 ust. 2-10 oraz art. 30 rozporządzenia 2016/679 (tzw. klauzula prasowa). Do działalności prasowej nie mają zatem zastosowania następujące przepisy unijnego rozporządzenia: art. 5 - zasady dotyczące przetwarzania danych osobowych, art. 6 - podstawy dopuszczalności przetwarzania danych osobowych; art. 7 - warunki wyrażania zgody przez osobę, której dane dotyczą; art. 8 - warunki wyrażania zgody przez dziecko w przypadku usług społeczeństwa informacyjnego; art. 9 - przetwarzanie szczególnych kategorii danych osobowych; art. 11 - przetwarzanie niewymagające identyfikacji; art. 14 - informacje podawane w przypadku pozyskiwania danych osobowych w sposób inny niż od osoby, której dane dotyczą; art. 15 ust. 1 i 2 - prawo dostępu przysługujące osobie, której dane dotyczą; art. 16 - prawo do sprostowania danych; art. 18 - prawo do ograniczenia przetwarzania; art. 19 - obowiązek powiadomienia odbiorcy danych o sprostowaniu lub usunięciu danych osobowych lub o ograniczeniu przetwarzania; art. 20 - prawo do przenoszenia danych; art. 21 - prawo do sprzeciwu; art. 22 - zautomatyzowane podejmowanie decyzji w indywidualnych sprawach, w tym profilowanie; art. 27 - przedstawiciele administratorów lub podmiotów przetwarzających niemających jednostki organizacyjnej w Unii ; art. 28 ust. 2-10 - obowiązki podmiotu przetwarzającego; art. 30 - rejestrowanie czynności przetwarzania.

W powyższym katalogu nie znalazł się jednakże art. 17 rozporządzenia, który przewiduje prawo do usunięcia danych (tzw. "prawo do bycia zapomnianym"). Zgodnie z brzmieniem art. 17 ust. 1 rozporządzenia, osoba, której dane dotyczą, ma prawo żądania od administratora niezwłocznego usunięcia dotyczących jej danych osobowych, a administrator ma obowiązek bez zbędnej zwłoki usunąć dane osobowe, jeżeli zachodzi jedna z okoliczności, o których mowa w ust. 1 lit. a – f tego przepisu. Dodać należy, że w motywie 65 preambuły RODO wskazano, że każda osoba fizyczna powinna mieć prawo do sprostowania danych osobowych jej dotyczących oraz prawo do "bycia zapomnianym", jeżeli zatrzymywanie takich danych narusza RODO, prawo Unii lub prawo państwa członkowskiego, któremu podlega administrator. Osoba, której dane dotyczą, powinna w szczególności mieć prawo do tego, by jej dane osobowe zostały usunięte i przestały być przetwarzane, jeżeli dane te nie są już niezbędne do celów, w których były zbierane lub w inny sposób przetwarzane, jeżeli osoba, której dane dotyczą, cofnęła zgodę, jeżeli wniosła sprzeciw wobec przetwarzania danych osobowych jej dotyczących, lub jeżeli przetwarzanie jej danych osobowych nie jest z innego powodu zgodne z niniejszym rozporządzeniem. Prawo to ma znaczenie, np. w przypadkach, gdy osoba, której dane dotyczą, wyraziła zgodę na ich przetwarzanie jako dziecko, wówczas gdy nie była w pełni świadoma ryzyka związanego z przetwarzaniem, a w późniejszym czasie chce usunąć takie dane osobowe, w szczególności z Internetu. Niemniej dalsze przetwarzanie (zatrzymywanie) danych osobowych powinno być uznane za zgodne z prawem, jeżeli jest niezbędne do korzystania z wolności wypowiedzi i informacji, do wywiązania się z obowiązku prawnego, do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi, z uwagi na względy interesu publicznego w dziedzinie zdrowia publicznego, do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych lub do ustalenia, dochodzenia lub obrony roszczeń (por. wyrok NSA z 7 września 2021 r. sygn. akt III OSK 2883/21, LEX nr 3279192).

Przedstawione przepisy prawne i uwagi poczynione na ich tle prowadzą do wniosku, że nie jest prawidłowe zapatrywanie Prezesa Urzędu Ochrony Danych Osobowych co do tego, że postępowanie dotyczące usunięcia danych osobowych (imienia i nazwiska) skarżącego z artykułów znajdujących się w Internecie jest bezprzedmiotowe. Jak już powiedziano, tzw. prawo do bycia zapomnianym nie zostało wyłączone na podstawie tzw. klauzuli prasowej (art. 2 ust.1 u.o.d.o.). Organ powinien zatem odnieść się merytorycznie do skargi R. M. i rozstrzygnąć sprawę co do istoty. Należy dodać, że z zaskarżonej decyzji nie wynika, że skarżący nie zwracał się do organu z wnioskiem o usunięcie danych osobowych, jak twierdzi organ w odpowiedzi na skargę.

Z tych wszystkich względów Sąd stwierdził, że zaskarżona decyzja wydana została z naruszeniem art. 105 § 1 k.p.a., w związku z art. 17 ust. 1-3 rozporządzenia 2016/679, w związku z art. 2 ust. 1 u.o.d.o. i art. 58 ust. 2 lit a)-f) powołanego rozporządzenia.

Mając powyższe na uwadze, Wojewódzki Sąd Administracyjny w Warszawie na podstawie art. 145 §. 1 pkt 1 lit. a i c ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (Dz.U. z 2019 r., poz. 2325 ze zm.), uchylił zaskarżoną decyzję.