Wyrok WSA w Warszawie, sygn. akt II SA/Wa 1261/16
Wojewódzki Sąd Administracyjny w Warszawie
Data orzeczenia: 2017-02-15 00:00:00+01:00 (orzeczenie prawomocne)
Symbol z opisem: 647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne: Ochrona danych osobowych
Skarżony organ: Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku: Uchylono zaskarżoną decyzję w części i poprzedzającą ją decyzję w części
Powołane przepisy: article: art. 7, art. 77 par. 1, art. 80, art. 107 par. 3
journal: Dz.U. 2016 poz 23
law: Ustawa z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego - tekst jednolity
article: art. 145 par. 1 pkt 1 lit. c, art. 151
journal: Dz.U. 2016 poz 718
law: Ustawa z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi - tekst jednolity
article: art. 12 pkt 2, art. 23 ust. 1 i 4
journal: Dz.U. 1997 nr 133 poz 883
law: Ustawa z dnia 29 sierpnia 1997 r. o ochronie danych osobowych.

SENTENCJA

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Ewa Kwiecińska (spr.), Sędziowie WSA Maria Werpachowska, Iwona Maciejuk, Protokolant specjalista Aleksandra Weiher, po rozpoznaniu na rozprawie w dniu 15 lutego 2017 r. sprawy ze skargi W.B. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] maja 2016 r. nr [...] w przedmiocie przetwarzania danych osobowych 1. uchyla zaskarżoną decyzję w zakresie, w jakim utrzymuje ona w mocy punkt 3 poprzedzającej ją decyzji z dnia [...] lipca 2015 r. oraz uchyla punkt 3 decyzji z dnia [...] lipca 2015 r., 2. w pozostałym zakresie oddala skargę, 1. zasądza od Generalnego Inspektora Ochrony Danych Osobowych na rzecz skarżącego W. B. kwotę 680 zł (słownie: sześćset osiemdziesiąt złotych), tytułem zwrotu kosztów postępowania.


UZASADNIENIE

Generalny Inspektor Ochrony Danych Osobowych decyzją z dnia [...] maja 2016 r. nr [...] dot. [...] wydaną na podstawie art. 138 § 1 pkt 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (t.j. Dz. U. z 2016 r. poz. 23 ze zm.) oraz art. 12 pkt 2, art. 22, art. 1 ust. 1, art. 2 ust. 1, art. 6 ust. 1, art. 23 ust. 1 pkt 5 i art. 25 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (t.j. Dz. U. z 2015 r. poz. 2135 ze zm.) utrzymał w mocy decyzję własną z dnia [...] lipca 2015 r. nr [...], w której w pkt 1 umorzył postępowanie w zakresie przetwarzania przez [...] Sp. z o.o. informacji o [...] Sp. z o.o., w pkt 2 umorzył postępowanie w zakresie spełnienia obowiązku informacyjnego, o którym mowa w art. 25 ust. 1 ustawy o ochronie danych osobowych, w pkt 3 odmówił uwzględnienia wniosku w pozostałym zakresie.

W uzasadnieniu decyzji wskazano, iż do Biura Generalnego Inspektora Ochrony Danych Osobowych wpłynęła skarga W. B. i [...] Sp. z o.o., z siedzibą w K. o nakazanie [...] Sp. z o.o., z siedzibą w W. usunięcia ich danych osobowych ze strony internetowej www.[...].pl. W treści skargi podniesiono, że wskazany portal przetwarza dane osobowe doktora W. B. i spółki [...] Sp. z o.o. bez podstawy prawnej oraz z naruszeniem obowiązków informacyjnych, o których mowa w ustawie. Zamieszczone na stronie serwisu www.[...].pl dane osobowe W. B. podane zostały bez jego wiedzy, a nadto zawierają nieaktualne treści, m.in. w zakresie miejsca prowadzonej przez niego działalności. Jednocześnie nie zachodzi żadna z wyżej powołanych przesłanek, która uprawniałaby administratora danych do przetwarzania danych osobowych doktora W. B. i spółki [...] Sp. z o.o., co narusza ich prawa i wolności, w tym prawo do ochrony prawnej życia prywatnego, czci i dobrego imienia oraz prawo do żądania sprostowania oraz usunięcia danych nieprawdziwych, niepełnych lub zebranych w sposób sprzeczny z ustawą. W. B. i spółka [...] Sp. z o.o., korzystając z przysługujących im uprawnień, zwracali się do administratora danych z żądaniem wykreślenia i usunięcia wszystkich danych osobowych oraz wpisów na ich temat, znajdujących się na stronie portalu www.[...].pl. Wezwanie nie okazało się skuteczne i administrator do tej pory nie uczynił zadość swoim obowiązkom. Ponadto administrator danych, pomimo przetwarzania danych osobowych, nie zrealizował ciążącego na nim obowiązku informacyjnego wynikającego z treści art. 25 ustawy.

Generalny Inspektor Ochrony Danych Osobowych ustalił następujący stan faktyczny:

‒ strona www.[...].pl jest serwisem internetowym, który umożliwia użytkownikom zamieszczanie informacji, komentarzy i opinii na temat lekarzy i zakładów opieki zdrowotnej.

‒ regulaminu świadczenia usług drogą elektroniczną przez [...].pl wynika, iż opinie i informacje o profesjonalistach mogą dotyczyć wyłącznie działalności zawodowej profesjonalisty (§ 4 pkt 2). Opinie i informacje o profesjonalistach mogą opierać się jedynie na osobistych doświadczeniach użytkownika.

Opinie i informacje nie mogą opierać się na relacjach osób trzecich. Wyjątek stanowi opisywanie leczenia dzieci, osób w podeszłym wieku, osób niezdolnych do samodzielnego wystawienia opinii lub zwierząt (§ 4 pkt 3). Niedozwolone jest wielokrotne zamieszczanie przez jednego użytkownika opinii dotyczących tego samego zdarzenia medycznego. Niedozwolone jest umieszczanie opinii przez profesjonalistów na własnych profilach oraz jakiekolwiek próby manipulacji opiniami, informacjami i ocenami.

Niedozwolone jest nadto umieszczanie opinii i komentarzy, które nie są zgodne z prawdą. Informacje, opinie i komentarze nie mogą naruszać prawa, dóbr osobistych ani zasad współżycia społecznego. W szczególności niedozwolone jest używanie wyrażeń wulgarnych, niecenzuralnych i obraźliwych, stosowanie przezwisk, odnoszenie się do sfery prywatnej i rodzinnej, oskarżanie o popełnienie przestępstwa, wzywanie do stosowania przemocy lub do nienawiści rasowej, wyznaniowej, etnicznej.

Pismem z dnia [...] października 2014 r. W. B. i [...] Sp. z o.o. wnieśli o niezwłoczne wykreślenie i usunięcie wszystkich danych osobowych oraz wpisów na ich temat znajdujących się na stronie portalu www.[...].pl. Zaznaczono ponadto, że zamieszczone na ww. stronie dane osobowe W. B. zawierają nieaktualne treści, m.in. w zakresie miejsca prowadzonej przez niego działalności.

Generalny Inspektor Ochrony Danych Osobowych w dniu [...] lipca 2015 r. wydał decyzję znak: [...] mocą której w pkt 1 umorzył postępowanie w zakresie przetwarzania przez [...] Sp. z o.o. informacji o [...] Sp. z o.o., w pkt 2 umorzył postępowanie w zakresie spełnienia obowiązku informacyjnego, o którym mowa w art. 25 ust. 1 ustawy o ochronie danych osobowych, w pkt 3 odmówił uwzględnienia wniosku w pozostałym zakresie.

Do GIODO wpłynął wniosek strony o ponowne rozpatrzenie rozstrzygniętej sprawy. Skarżący nie zgodził się z rozstrzygnięciem Generalnego Inspektora, według którego opublikowanie jego danych na stronie internetowej znajduje swe oparcie w art. 23 ust. 1 pkt 5 ustawy. Stwierdził, że każdej osobie przysługuje prawo do kontroli przetwarzania danych. Skarżący nie zgodził się z argumentami Generalnego Inspektora, iż wykonując zawód zaufania publicznego, musi się liczyć z tym, że jego dane osobowe podlegają słabszej ochronie. Podkreślił, iż zamieszone na stronie serwisu dane osobowe podane zostały bez jego wiedzy. Administrator danych ponosi odpowiedzialność za przetwarzanie danych zgodnie z prawem, zatem przetwarzanie jego danych osobowych bez jego zgody narusza jego prawa i wolności, w tym prawo do ochrony prawnej życia prywatnego, czci i dobrego imienia oraz prawo do żądania sprostowania oraz usunięcia danych nieprawdziwych, niepełnych lub zebranych w sposób sprzeczny z ustawą.

Po powtórnym rozpatrzeniu zgromadzonego w sprawie materiału dowodowego Generalny Inspektor Ochrony Danych Osobowych stwierdził, że rozstrzygnięcie zawarte w treści decyzji z dnia [...] lipca 2015 r. jest prawidłowe.

Z zebranego w sprawie materiału dowodowego, a w szczególności z regulaminu korzystania z serwisu www.[...].pl wynika, iż [...]Sp. z o. o. świadczy usługi drogą elektroniczną na rzecz użytkowników ww. serwisu internetowego, polegające na umożliwieniu użytkownikom serwisu wymiany informacji, komentarzy i opinii na temat lekarzy i zakładów opieki. Jednocześnie z postanowień regulaminu wynika, iż ww. podmiot decyduje o zamieszczeniu na stronie internetowej bądź też usunięciu z niej informacji, komentarzy lub opinii użytkowników. Spółka ta jest zatem administratorem danych osobowych W. B., bowiem decyduje o celach i środkach przetwarzania tych danych.

Przepisem uprawniającym administratorów danych do przetwarzania zwykłych danych osób fizycznych, w tym ich udostępniania, jest art. 23 ust. 1 ustawy, zgodnie z którym przetwarzanie danych jest dopuszczalne tylko wtedy, gdy spełniona jest jedna z przesłanek taksatywnie wskazanych w tym przepisie.

Katalog przesłanek wymienionych w art. 23 ww. aktu prawnego jest zamknięty. Każda z przesłanek legalizujących proces przetwarzania danych osobowych ma charakter autonomiczny i niezależny. Oznacza to, że przesłanki te są równoprawne, a wobec tego spełnienie co najmniej jednej z nich stanowi o legalności przetwarzania danych osobowych. Zgoda osoby, której dane dotyczą, nie jest jedyną podstawą przetwarzania danych osobowych, bowiem proces przetwarzania danych będzie zgodny z ustawą również wówczas, gdy administrator danych wykaże spełnienie innej z wyżej wymienionych przesłanek.

Termin usprawiedliwione cele, o którym mowa w przepisie art. 23 ust. 1 pkt 5 ustawy, jest zwrotem niedookreślonym i stanowi klauzulę generalną w znaczeniu funkcjonalnym. Daje w szczególności pewnego rodzaju luz decyzyjny, dzięki któremu organ stosujący prawo, może przy podejmowaniu decyzji, kierować się ocenami indywidualnymi konkretnej sytuacji, a także pewnymi zasadami postępowania niesformułowanymi w przepisach prawa.

Klauzula usprawiedliwionego celu powoduje, że administrator danych, który przy przetwarzaniu danych nie legitymuje się przesłankami wymienionymi w art. 23 ust. 1 pkt 1-4 ustawy, może powołać się na tę klauzulę, przy czym niezbędnym jest wykazanie przez niego, iż przetwarzanie danych jest mu niezbędne dla realizacji konkretnego celu i realizacja tego celu (zgodnego z prawem) bez przetworzenia danych będzie niemożliwa.

Z jednej strony cel przetwarzania danych musi być usprawiedliwiony prowadzoną działalnością administratora lub odbiorcy danych, a z drugiej strony działalność ta nie może być w jakiejkolwiek mierze niezgodna z prawem, zasadami współżycia społecznego czy dobrymi obyczajami.

Generalny Inspektor Ochrony Danych Osobowych ustalił, że zgodnie z informacją zawartą w Krajowym Rejestrze Sądowym przedmiotem zarejestrowanej przez Spółkę działalności gospodarczej jest między innymi działalność portali internetowych, przetwarzanie danych, zarządzanie stronami internetowymi (hosting) i podobna działalność. Powyższe, ogólne określenie przedmiotu działalności Spółki doprecyzowuje regulamin korzystania z serwisu www.[...].pl., z którego wynika, iż [...] Sp. z o. o. świadczy usługi elektroniczne na rzecz użytkowników ww. serwisu internetowego, polegające na umożliwieniu użytkownikom serwisu wymiany informacji, komentarzy i opinii na temat lekarzy i zakładów opieki. Przedmiotowy serwis internetowy w istocie umożliwia prowadzenie dyskusji pomiędzy pacjentami na temat świadczonych przez lekarzy usług medycznych.

Opublikowanie przez Spółkę ww. danych osobowych strony jest zgodne z przedmiotem działalności gospodarczej Spółki i znajduje swe oparcie w powołanym wyżej art. 23 ust. 1 pkt 5 ustawy. Cel przetwarzania, przez portal [...], danych osobowych jest usprawiedliwiony wyżej opisanym przedmiotem działalności Spółki. Nie można podawać w wątpliwość istnienia usprawiedliwionego celu tylko z tego powodu, że ma on – w całości lub części – charakter zarobkowy.

Celem funkcjonowania serwisu [...] jest umożliwienie wymiany opinii, komentarzy na temat lekarzy i zakładów opieki na rzeczonym portalu internetowym. Uniemożliwienie Spółce przetwarzania danych osobowych lekarzy w istocie uniemożliwiłoby prowadzenie działalności gospodarczej przez spółkę [...] Sp. z o.o. w obecnej postaci. W związku z powyższym, w ocenie Generalnego Inspektora Ochrony Danych Osobowych, przetwarzanie danych osobowych skarżącego przez ww. podmiot jest niezbędne dla realizacji prawnie usprawiedliwionych celów Spółki.

W ocenie Generalnego Inspektora w analizowanej sprawie nie doszło do naruszenia praw i wolności osoby, której dane dotyczą. Zdaniem organu ustawodawca nie miał na myśli "prawa do ochrony danych osobowych" czy też prawa do decydowania o przetwarzaniu informacji dotyczących danej osoby, gdyż chodzi tu o przesłankę legalizującą wkroczenie w sferę tych praw. Warunkiem dopuszczalności przetwarzania danych na gruncie powołanego przepisu jest to, aby przetwarzanie nie naruszało żadnego z praw czy wolności konstytucyjnych

Przetwarzanie danych osobowych przez administratora nie może zatem naruszać prawa do ochrony prawnej życia prywatnego, rodzinnego, czci i dobrego imienia oraz do decydowania o swoim życiu osobistym (art. 47 Konstytucji). Mając zatem na uwadze, iż dane osobowe strony udostępniane na ww. stronie internetowej dotyczą wyłącznie życia zawodowego, nie sposób uznać, iż doszło do naruszenia jego prawa do ochrony życia prywatnego, rodzinnego czy też prawa do decydowania o swoim życiu osobistym.

Stosownie do art. 32 ust. 1 pkt 7 ustawy, osobie, której dane są przetwarzane w przypadkach wymienionych w art. 23 ust. 1 pkt 4 i 5 ustawy, przysługuje prawo wniesienia pisemnego, umotywowanego żądania zaprzestania przetwarzania danych wyłącznie ze względu na szczególną sytuację. Natomiast w oparciu o zgromadzony materiał dowodowy, po raz kolejny należy wskazać, iż Skarżący, zwracając się do Spółki z żądaniem usunięcia ze strony internetowej jego danych osobowych, w żaden sposób nie wykazał swej szczególnej sytuacji, która mogłaby uzasadniać zaprzestanie przez Spółkę przetwarzania tych danych w ww. sposób. Tym samym nie jest możliwe przyjęcie przez organ, iż Spółka powinna usunąć jego dane w ww. zakresie z ww. strony internetowej.

Generalny Inspektor Ochrony Danych Osobowych podtrzymał swoje stanowisko, iż zważywszy na fakt, że Spółka spełniła obowiązek informacyjny, wynikający z art. 25 ust. 1 ustawy względem strony nie jest możliwe wydanie przez organ jakiegokolwiek z nakazów, o których mowa w art. 18 ust. 1 ustawy. Przesłanką wydania ww. nakazu jest stwierdzenie, że stan naruszenia przepisów o ochronie danych osobowych przez administratora w ww. zakresie istnieje w dacie wydania decyzji. Obowiązek informacyjny z art. 25 według ustaleń Generalnego Inspektora był spełniony na dzień wydania zaskarżonej decyzji.

Wskazane w treści art. 32 ust. 1 pkt 6 ustawy o ochronie danych osobowych uprawnienia nie dają podstaw do żądania usunięcia wszelkich danych względem administratora uprawnionego do przetwarzania danych, a jedynie tych danych, które są niekompletne, nieaktualne, nieprawdziwe lub zostały zebrane z naruszeniem ustawy. Uprawnienia te służą m.in. zapewnieniu, aby dane przetwarzane przez administratora, były poprawne, kompletne i legalne. Spółka wypełniając obowiązek z art. 25 ust. 1, poinformowała stronę o prawie dostępu do treści swoich danych oraz ich poprawiania. Jak wynika z zebranego materiału strona nie skorzystała z przysługujących uprawnień korekcyjnych względem zebranych danych i nie występowała do Spółki z wnioskiem o sprostowanie nieaktualnych danych, zażądała bowiem niezwłocznego usunięcia wszystkich danych.

Wynikający z art. 26 ust. 1 pkt 3 ustawy obowiązek merytorycznej poprawności danych nie jest uzależniony jedynie od aktywności administratora, ale także od osoby której dane dotyczą, prawo dostępu do treści swoich danych oraz ich poprawiania, niewątpliwie służy do zapewnienia, aby te dane były zgodne z prawdą, pełne i kompletne. Niewątpliwie rzetelne realizowanie i odnotowywanie w prowadzonych zbiorach danych stosownych żądań osoby, której dane są przetwarzane, w zakresie uzupełnienia, uaktualnienia lub sprostowania, zapewniłoby merytoryczną poprawność przetwarzanych danych.

Obowiązku merytorycznej poprawności danych nie można sprowadzić wyłącznie do nakazu regularnego przeglądu zbioru danych pod względem ich aktualności. Obowiązek ten przede wszystkim powinien być realizowany na etapie gromadzenia danych, wykonując go, administrator powinien dołożyć szczególnej staranności celem zbierania danych merytorycznie poprawnych, a więc odpowiadających rzeczywistemu stanowi rzeczy.

Zgodnie z zasadą adekwatności wyrażoną w art. 26 ust. 1 pkt 3 ustawy o ochronie danych osobowych administrator danych powinien przetwarzać tylko te dane, które są niezbędne dla realizacji określonego jej celu. Zakres danych strony przetwarzanych przez Spółkę na stronie internetowej www.[...].pl, w jakim obejmuje on imię i nazwisko oraz wykonywany zawód, w ocenie Generalnego Inspektora Ochrony Danych Osobowych, jest uzasadniony i adekwatny do rodzaju prowadzonej przez Spółkę działalności w rozumieniu art. 26 ust. 1 pkt 3 ustawy.

W. B. wniósł do Wojewódzkiego Sądu Administracyjnego w Warszawie skargę na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] maja 2016 r.[...], dot. [...].

Zaskarżonej decyzji skarżący zarzucił naruszenie przepisów:

‒ art. 23 ust 1 pkt 5 ustawy o ochronie danych osobowych poprzez błędne przyjęcie, że przetwarzanie danych osobowych skarżącego jest niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratora danych i nie narusza jego praw i wolności,

‒ art. 32 ust. 1 pkt 6 ustawy o ochronie danych osobowych poprzez całkowite zignorowanie uzasadnionego żądania skarżącego dotyczącego stałego usunięcia jego danych osobowych zebranych z naruszeniem ustawy,

‒ art. 8 ust. 1 ustawy z dnia 5 grudnia 1996 r. o zawodach lekarza i lekarza dentysty poprzez pominięcie niepodważalnego faktu, że jedynym regulowanym przez prawo rejestrem lekarzy, którzy uzyskali prawo wykonywania zawodu, jest rejestr prowadzony przez właściwą okręgową radę lekarską,

‒ art. 77 § 1 k.p.a. w zw. z art. 7 k.p.a. poprzez naruszenie zasady prawdy obiektywnej zawartej w tym przepisie i brak podjęcia wszelkich czynności niezbędnych do dokładnego wyjaśnienia stanu faktycznego oraz do załatwienia sprawy, mając na względzie interes społeczny i słuszny interes obywateli,

‒ art. 107 § 3 k.p.a. poprzez brak dokładnego uzasadnienia faktycznego i prawnego decyzji.

Skarżący wniósł o uchylenie zaskarżonej decyzji z dnia [...] maja 2016 r. całości i poprzedzającej ją decyzji oraz zasądzenie od organu kosztów postępowania według norm przepisanych.

Zdaniem skarżącego zamieszczone na portalu [...].pl dane osobowe (w szczególności pod adresem http://www.[...]) podane zostały bez jego wiedzy i zgody, co jest niedopuszczalne w świetle obowiązujących przepisów w zakresie ochrony danych osobowych. Skarżący podjął działania mające na celu usunięcia jego danych, jednak pozostały one bezskuteczne. Dane osobowe skarżącego są wykorzystywane bez jego wiedzy, zgody i umowy oraz przy udokumentowanym, pisemnym sprzeciwie do ogłaszania rodzaju i miejsca konsultacji, co jest niezgodne z zasadami współżycia społecznego.

W przedmiotowej sprawie organ, jako materialną przesłankę przetwarzania danych osobowych skarżącego, wskazał właśnie art. 23 ust. 1 pkt 5 ustawy. Uznał zatem, że przetwarzanie tych danych było niezbędne dla wypełnienia prawnie usprawiedliwionego celu realizowanego przez administratora danych, czyli spółkę [...] Sp. z o.o. Ocenił jednocześnie, że przetwarzanie tych danych nie narusza praw i wolności skarżącego.

Przyjęte przez organ stanowisko jest nieprawidłowe i niedopuszczalne w świetle obowiązujących przepisów. Organ dokonał błędnej wykładni art. 23 ust. 1 pkt 5 ustawy. Podniósł, że celem działania spółki [...] Sp. z o.o. jest umożliwienie wymiany opinii i komentarzy na temat lekarzy i zakładów opieki za pośrednictwem portalu www.[...].pl.

Cel ten, zdaniem organu, jest usprawiedliwiony przedmiotem działalności spółki [...] Sp. z o.o., co według skarżącego, jest całkowicie bezpodstawnym twierdzeniem. Organ ocenił także w sposób nieprawidłowy, że przy przetwarzaniu danych skarżącego nie doszło do naruszenia jego praw i wolności, gdyż dane te dotyczą wyłącznie życia zawodowego skarżącego i nie naruszają żadnego z praw i wolności konstytucyjnych. Organ nie zwrócił uwagi, że cel prowadzonej działalności przez administratora rzeczonego portalu wiąże się ze stricte komercyjnym charakterem.

Organ nie wyjaśnił, jakie prawnie usprawiedliwione cele realizuje spółka [...] Sp. z o.o. Organ nie wskazał także, czy przetwarzanie danych skarżącego jest niezbędne do wypełnienia prawnie usprawiedliwionych celów, które Spółka realizuje. Nie uzasadnił także należycie, czy jeżeli dwie powyższe przesłanki są spełnione, to czy mimo wszystko przetwarzanie danych skarżącego nie narusza jego praw i wolności, opierając się jedynie na gołosłownym twierdzeniu, że nie narusza ono praw i wolności konstytucyjnych. Organ w ogóle nie zbadał, czy w przedmiotowej sprawie rzeczywiście mamy do czynienia z przesłanką legalizującą określoną w art. 23 ust. 1 pkt 5 ustawy, a w rezultacie czy dla przetwarzania danych nie jest konieczne uzyskanie zgody skarżącego.

Dane osobowe skarżącego są przetwarzane w rejestrze o charakterze stricte komercyjnym, przy czym w przypadku skarżącego nie wyraził on zgody na przetwarzanie jego danych, a na stronie internetowej www.[...].pl znajdują się także dane osób, które zawarły stosowne umowy z podmiotem prowadzącym portal, jako przedsiębiorcą.

Jedynym regulowanym przez prawo rejestrem lekarzy, którzy uzyskali prawo wykonywania zawodu, jest rejestr prowadzony przez właściwą okręgową radę lekarską. W ocenie skarżącego to rejestr, o którym mowa w art. 8 ust. 1 ustawy o zawodzie lekarza i lekarza dentysty związany jest ściśle z istotą wykonywania zawodu lekarza. Wpis do tego rejestru jest dokonywany po złożeniu przez lekarza stosownych dokumentów i oświadczeń, a następnie po potwierdzeniu prawa lekarza do wykonywania zawodu, czyli po potwierdzeniu posiadania przez określoną osobę wymaganych kwalifikacji. Z tego wynika, że tylko rejestr prowadzony przez właściwą okręgową izbę lekarską pełni zarówno funkcję informacyjną, jak też ochronną i to nie tylko dla osób korzystających ze świadczeń medycznych, ale również i dla samych lekarzy. Rejestr ten nie ma zatem charakteru prywatnego i komercyjnego, nie służy celom marketingowym (reklamowym) usług medycznych. Natomiast w przedmiotowej sprawie w sposób bezsporny wynika, że ten ostatni charakter ma portal [...].pl.

Organ nie wziął pod uwagę, że jakakolwiek możliwość ingerencji skarżącego w kwestie przetwarzania jego danych osobowych na portalu www.[...].pl jest możliwa wyłącznie po jego zarejestrowaniu na portalu, w sytuacji gdy jego profil już istnieje. Wobec tego organ nie ustalił w istocie, czy w odniesieniu do skarżącego – lekarza rzeczywiście istnieje ww. przesłanka legalizacyjna, skoro dla zapewnienia ochrony swoich danych osobowych musi on spełnić dodatkowe i to pozaustawowe obowiązki w postaci zawarcia z administratorem portalu - spółką [...] Sp. z o.o. stosownej umowy cywilnoprawnej. Do tego zaś czasu uprawnień związanych z ochroną danych osobowych na tymże portalu skarżący w ogóle nie posiada, co jest całkowicie niezgodne i niedopuszczalne w świetle przepisów ustawy.

W niniejszej sprawie organ nie przeprowadził postępowania administracyjnego z poszanowaniem jego zasad. Postępowanie dowodowe sprowadziło się w zasadzie do wystąpienia do spółki [...] Sp. z o.o. o zajęcie stanowiska w przedmiocie wniosku skarżącego, a decyzja została wydana na podstawie odpowiedzi tejże Spółki. Co wielokrotnie jest podkreślane w orzecznictwie sądów administracyjnych, zaniechanie przez organ administracji publicznej podjęcia czynności procesowych zmierzających do zebrania pełnego materiału dowodowego, zwłaszcza gdy strona powołuje się na określone i ważne dla niej okoliczności (tak jak w przedmiotowej sprawie), jest uchybieniem przepisom postępowania administracyjnego, skutkującym wadliwością decyzji.

W przedmiotowej sprawie wątpliwości nie zostały wyjaśnione. Wyjaśnienie rozbieżności w stanowiskach stron postępowania administracyjnego było konieczne, bowiem pozwoliłoby odpowiedzieć na pytanie, czy zachowane zostały przesłanki z art. 23 ust. 1 pkt 5 ustawy, pozwalające na przetwarzanie przez spółkę [...] Sp. z o.o. danych osobowych skarżącego. Odróżnić bowiem należy uwagi i opinie wpisywane na stronę przez ew. pacjentów lekarza od bazy danych osobowych, które posiada Spółka w celach komercyjnych a nie społecznościowych.

W odpowiedzi na skargę organ podtrzymał twierdzenia zawarte w treści uzasadnienia zaskarżonej decyzji i wniósł o oddalenie skargi.

Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje:

Skarga jest zasadna.

W ocenie Sądu, w sprawie niniejszej, dotyczącej przetwarzania danych osobowych W. B., naruszone zostały przepisy postępowania, tj. przepis art. 7, art. 77 § 1, art. 80 i art. 107 § 3 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (t.j. Dz. U. z 2016 r. poz. 23), zwanej dalej k.p.a.,

w stopniu, który mógł mieć istotny wpływ na wynik sprawy. Nadto, wobec naruszenia powołanych przepisów, naruszony został także przepis art. 23 ust. 1 pkt 5 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (t.j. Dz. U. z 2015 r. poz. 2135), zwanej dalej u.o.d.o., albowiem wobec nieprawidłowo przeprowadzonego postępowania nie zostało wykazane przez organ spełnienie przesłanki określonej w tym przepisie, jako podstawy przetwarzania danych osobowych skarżącego. Zarzuty skargi Sąd uznał zatem za zasadne.

Zgodnie z powołanym przez organ w podstawie prawnej decyzji przepisem

art. 12 pkt 2 u.o.d.o., do zadań Generalnego Inspektora należy w szczególności wydawanie decyzji administracyjnych i rozpatrywanie skarg w sprawach wykonania przepisów o ochronie danych osobowych. Wykonując to zadanie GIODO – w świetle przepisów powołanej ustawy – obowiązany jest dokonać oceny zgodności z prawem przetwarzania danych osobowych wnoszącego skargę. Rolą organu powołanego do spraw ochrony danych osobowych jest zatem – w każdej indywidualnej sprawie – przede wszystkim ustalenie, czy dane osobowe konkretnego skarżącego przetwarzane są zgodnie z prawem. Ocena w tym zakresie determinuje bowiem rodzaj rozstrzygnięcia organu. Pamiętać przy tym należy, że przez przetwarzanie danych rozumie się m.in. ich zbieranie, utrwalanie, opracowywanie, udostępnianie (art. 7 pkt 2 u.o.d.o.). Badanie, czy dane przetwarzane są zgodnie z prawem, powinno opierać

się w pierwszej kolejności na dokonaniu przez GIODO – w ustalonym wcześniej

i niebudzącym wątpliwości stanie faktycznym – stwierdzenia, czy spełniona została jedna z przesłanek określonych w art. 23 ust. 1 pkt 1-5 u.o.d.o.

W rozpoznawanej sprawie GIODO za podstawę przetwarzania przez Spółkę [...] Sp. z o.o. z siedzibą w W. danych osobowych W. B. w zakresie jego imienia, nazwiska, miejsc pracy i informacji dotyczących życia zawodowego (wykonywania zawodu lekarza) uznał przepis art. 23 ust. 1 pkt 5 u.o.d.o., zgodnie z którym przetwarzanie danych osobowych jest dopuszczalne tylko wtedy, gdy jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą. Stosownie do art. 23 ust. 4 u.o.d.o. za prawnie usprawiedliwiony cel, o którym mowa w ust. 1 pkt 5, uważa się w szczególności: 1) marketing bezpośredni własnych produktów lub usług administratora danych; 2) dochodzenie roszczeń z tytułu prowadzonej działalności gospodarczej.

Zaznaczyć przy tym należy, że za dane osobowe w rozumieniu ustawy, zgodnie z jej art. 6 ust. 1, uważa się wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej. Osobą możliwą do zidentyfikowania jest osoba, której tożsamość można określić bezpośrednio lub pośrednio, w szczególności przez powołanie się na numer identyfikacyjny albo jeden lub kilka specyficznych czynników określających jej cechy fizyczne, fizjologiczne, umysłowe, ekonomiczne, kulturowe lub społeczne (art. 6 ust. 2).

W doktrynie prezentowany jest pogląd, że użycie zwrotu "wszelkie informacje" służy podkreśleniu, że w grę wchodzą informacje odnoszące się do każdego aspektu osoby, jej stosunków osobistych i rzeczowych, jej życia zawodowego, prywatnego, wykształcenia, wiedzy czy cech charakteru. Nie ma znaczenia, w jakiej roli występuje

w danym przypadku osoba (np. członka rodziny, członka grupy zawodowej

czy przedsiębiorcy). Danymi osobowymi są zarówno informacje już rozpowszechnione lub opublikowane (zamieszczone w publikowanych materiałach), jak i w ogóle jeszcze nieujawnione. Charakter danych osobowych mają informacje "z różnych dziedzin życia", o ile tylko istnieje możliwość powiązania ich z oznaczoną osobą; mogą to być informacje o charakterze obiektywnym lub subiektywnym, wymiernym lub ocennym,

o okolicznościach dawnych, obecnych lub przyszłych, trwałych lub przemijających. (v. Barta Janusz, "Ochrona danych osobowych. Komentarz", wyd. VI opublikowano: LEX 2015). Charakter danych osobowych mają informacje dotyczące przygotowania zawodowego i przebiegu pracy danej osoby, a także opinie na temat danej osoby.

Wszelkie przetwarzane przez Spółkę informacje dotyczące W. B.,

w tym dotyczące jego życia zawodowego, stanowią zatem dane osobowe. Pamiętać należy przy tym, że zgodnie z art. 1 ust. 1 u.o.d.o., każdy ma prawo do ochrony dotyczących go danych osobowych. Stosownie zaś do art. 1 ust. 2 u.o.d.o., przetwarzanie danych osobowych może mieć miejsce ze względu na dobro publiczne, dobro osoby, której dane dotyczą, lub dobro osób trzecich w zakresie i trybie określonym ustawą.

GIODO uzasadniając zgodność z prawem przetwarzania przez Spółkę danych osobowych skarżącego na podstawie art. 23 ust. 1 pkt 5 u.o.d.o. powołał się na przedmiot działalności gospodarczej Spółki (wskazano, że jest to m.in. działalność portali internetowych, przetwarzanie danych, zarządzanie stronami internetowymi i podobna działalność) i stwierdził, że cel przetwarzania danych – publikowanie danych osobowych skarżącego w Internecie – jest usprawiedliwiony tą działalnością Spółki. GIODO uznał jednocześnie, że przetwarzanie danych skarżącego nie narusza jego praw i wolności, bo dotyczy życia zawodowego. Nadto organ stwierdził, że świadczona przez lekarza praca, w szczególności sposób jej wykonywania i uzyskane efekty (GIODO nie sprecyzował jak rozumieć sformułowanie "uzyskane efekty"), podlegają społecznej kontroli.

Wyrażając to stanowisko i uznając jednocześnie, że nie ma podstaw do uwzględnienia wniosku W. B., organ powołany do spraw ochrony danych osobowych nie dokonał jednakże właściwie żadnych ustaleń stanu faktycznego, do czego zobowiązuje art. 7 k.p.a. Decyzja oparta jest na jednym piśmie spółki [...] Sp. z o.o. stanowiącym odpowiedź na wezwanie GIODO, w którym Spółka podała m.in., że dane osobowe skarżącego zostały dodane przez anonimowego użytkownika (pismo z dnia [...] listopada 2014 r.), co nie zostało przez organ zweryfikowane.

Organ nie zbadał, czy zbiór, w którym przetwarzane są dane osobowe W. B. (w tym dane dotyczące jego życia zawodowego), wykorzystywany jest w celu komercyjnym (a tym samym, czy w tym celu wykorzystywane są jego dane osobowe). Ma to o tyle istotne znaczenie, że skarżący, jak wynika z akt postępowania administracyjnego, twierdzi, że nigdy nie zawierał ze spółką [...] Sp. z o.o. żadnych umów o świadczenie na jego rzecz usług, nie logował się w serwisie internetowym, nie akceptował regulaminu tego portalu i nie wyrażał zgody na przetwarzanie jej danych osobowych przez Spółkę. GIODO rozpoznając sprawę, nie wziął powyższego pod uwagę, przede wszystkim nie dokonał żadnych ustaleń stanu faktycznego w tym zakresie, czym naruszono art. 7 k.p.a. Zgodnie z tym przepisem w toku postępowania organy administracji publicznej stoją na straży praworządności, z urzędu lub na wniosek stron podejmują wszelkie czynności niezbędne do dokładnego wyjaśnienia stanu faktycznego oraz do załatwienia sprawy, mając na względzie interes społeczny i słuszny interes obywateli.

Organ nie rozważył tych podnoszonych przez stronę okoliczności na gruncie całokształtu zapisów Regulaminu świadczenia usług drogą elektroniczną przez [...].pl., czym naruszono przepis art. 77 § 1 k.p.a. Zgodnie z tym przepisem, organ administracji publicznej jest obowiązany w sposób wyczerpujący zebrać i rozpatrzyć cały materiał dowodowy.

Z zamieszczonego na stronie internetowej https://[...].pl/ regulaminu świadczenia usług drogą elektroniczną przez [...].pl. wynika, że poprzez rejestrację w serwisie bezpośrednio lub za pomocą serwisu Facebooka następuje zawarcie umowy (§ 7 ust. 1). Rejestracja profesjonalisty (lekarza), oprócz danych wymaganych od użytkownika, wymaga podania m.in. numeru PESEL (§ 7 ust. 10 regulaminu). Stosownie do § 7 ust. 13 regulaminu przetwarzanie danych osobowych użytkownika i profesjonalisty zawartych w formularzu rejestracyjnym oraz danych udostępnionych w utworzonym przez niego profilu odbywa się za jego zgodą wyrażoną przy rejestracji w Serwisie. Profesjonalista, czyli lekarz, aby utworzyć swój profil (zweryfikowany) musi dokonać rejestracji (§ 5 ust. 5 regulaminu). Na profilu zweryfikowanym profesjonalista (lekarz) otrzymuje dodatkowe uprawnienia, w szczególności może odpowiadać na opinie wystawione przez użytkowników. Umowa zostaje zawarta na czas nieoznaczony (§ 7 ust. 4).

Z przedstawionych wyżej zapisów regulaminu wynika, że dane osobowe przetwarzane są na podstawie art. 23 ust. 1 pkt 3 i art. 23 ust. 1 pkt 1 u.o.d.o. (na podstawie umowy i za zgodą m.in. lekarza), oczywiście po zarejestrowaniu w serwisie Spółki.

Skoro skarżący wskazywał przed GIODO, że nie zawierał umowy ze spółką [...] Sp. z o.o. i nie chce świadczyć usług medycznych za pośrednictwem tej Spółki, wskazywał nadto, że dotychczas nie był stroną umowy ze Spółką, rozważenia przez GIODO wymagało, jaki – w tych okolicznościach – prawnie usprawiedliwiony cel uzasadnia przetwarzanie jego danych osobowych przez Spółkę. Fakt, że podmiot gospodarczy w przedmiocie działalności ujął "działalność portali internetowych", czy "przetwarzanie danych osobowych" nie może być traktowane jako automatyczna przesłanka legalizująca przetwarzanie danych osobowych skarżącego. Przedmiot działalności określa tylko dopuszczalny rodzaj prowadzonej działalności gospodarczej. Nie stanowi zaś sam w sobie na gruncie u.o.d.o. podstawy do przetwarzania (zbierania), posługiwania się danymi osobowymi skarżącego (udostępniania ich, w tym publikowania w Internecie) i nie wypełnia sam przez się przesłanki z art. 23 ust. 1 pkt 5 u.o.d.o. Pogląd zaprezentowany przez GIODO w tym zakresie w decyzji przeczy idei ochrony danych osobowych. Zasadnie w tych okolicznościach skarżący zarzucił, iż organ nie podjął wszelkich czynności niezbędnych do dokładnego wyjaśnienia stanu faktycznego sprawy. Na konieczność wyważenia przeciwstawnych interesów, gdy mowa o przesłance prawnie usprawiedliwionego celu administratora danych, wielokrotnie w swoim orzecznictwie wskazywał Trybunał Sprawiedliwości (v. wyrok Trybunału Sprawiedliwości z dnia 13 maja 2014 r. C-131/12 pkt 74).

Kwestia wyważenia interesów stron (skarżącego i spółki [...]Sp. z o.o.) nie może być dokonana bez uwzględnienia zapisów Regulaminu. Zgodnie z § 8 ust. 2 znajdującego się na ww. stronie internetowej Regulaminu, usługodawca (spółka [...] Sp. z o.o.) nie ponosi odpowiedzialności za treść i formę materiałów i informacji zamieszczonych w serwisie przez użytkownika lub profesjonalistę. Użytkownik lub profesjonalista ponosi pełną odpowiedzialność za szkodę wywołaną jego działaniami w serwisie, w szczególności podaniem nieprawdziwych danych (§ 8 ust. 3 regulaminu). W § 8 ust. 4 Regulaminu, usługodawca zastrzegł zaś, że korzystanie z serwisu i udostępnianych przez niego usług odbywa się na wyłączne ryzyko użytkownika lub profesjonalisty (lekarza), a wszelkie zamieszczone w nim informacje nie są objęte gwarancją co do ich wartości, przydatności, zupełności, kompletności czy użyteczności. GIODO nie dokonał w tej sprawie żadnych rozważań w świetle zapisów regulaminu dotyczących sposobu przetwarzania danych osobowych skarżącego w zakresie istnienia prawnie usprawiedliwionego celu, czym naruszono przepis art. 7, 77 § 1 i art. 80 k.p.a., a także art. 107 § 3 k.p.a., albowiem uzasadnienie decyzji nie zawiera wskazania faktów, które organ uznał za udowodnione i dowodów na których się oparł. Organ nie dokonał wnikliwej i wszechstronnej oceny, czy przetwarzanie przez Spółkę danych osobowych skarżącego nie narusza jego praw i wolności. Stwierdzenie organu zawarte w decyzji w tym zakresie nie zostało poparte żadną analizą, a tym samym jest dowolne i narusza art. 80 k.p.a. oraz art. 107 § 3 k.p.a.

Odnosząc się do stwierdzenia GIODO, że dane udostępniane na stronie internetowej dotyczą wyłącznie życia zawodowego skarżącego, wskazania wymaga,

iż powyższe nie oznacza, że skarżący pozbawiony jest ochrony. Przepis art. 30 Konstytucji Rzeczypospolitej Polskiej stanowi, że przyrodzona i niezbywalna godność człowieka stanowi źródło wolności i praw człowieka i obywatela. Jest ona nienaruszalna, a jej poszanowanie i ochrona jest obowiązkiem władz publicznych. Przepis art. 47 Konstytucji RP zapewnia każdemu prawo do ochrony prawnej życia prywatnego, rodzinnego, czci, a także dobrego imienia. Zgodnie z art. 1 ust. 1 u.o.d.o., jak wskazano to już wyżej, każdy ma prawo do ochrony dotyczących go danych osobowych.

Należy także zwrócić uwagę, iż GIODO w postępowaniu administracyjnym nie dokonał żadnych ustaleń – w świetle treści regulaminu – czy skarżący bez dokonania rejestracji (a zatem formalnego zawarcia umowy ze Spółką) ma w istocie możliwość samodzielnego zgłoszenia nadużycia. Uchybieniem tym organ naruszył art. 7, art. 77 § 1 i art. 80 k.p.a. Organ nie zbadał też, czy skarżący ma możliwość (nie będąc użytkownikiem serwisu) doprowadzenia do poprawienia swoich danych w sytuacji, gdy w jej ocenie są one nieprawdziwe.

Pamiętać należy, że zgodnie z art. 51 ust. 4 Konstytucji Rzeczypospolitej Polskiej, każdy ma prawo do żądania sprostowania oraz usunięcia informacji nieprawdziwych, niepełnych lub zebranych w sposób sprzeczny z ustawą. Samo poinformowanie przez administratora danych o uprawnieniach korekcyjnych względem zebranych danych – bez ustalenia, czy korekta ta jest faktycznie możliwa – nie stanowi o zgodności z prawem przetwarzania danych. Stanowi jedynie o wypełnieniu obowiązku informacyjnego wobec osoby, której dane są przetwarzane (art. 25 u.o.d.o.). Nadto, organ winien rozważyć, czy wobec spoczywającego na skarżącym jako lekarzu obowiązku zachowania w tajemnicy informacji związanych z pacjentem, a uzyskanych w związku z wykonywaniem zawodu (art. 40 ust. 1 ustawy z dnia 5 grudnia 1996 r. – t.j. Dz. U. z 2015 r., poz. 464 ze zm.), skarżący ma istotnie rzeczywistą możliwość wykazania (Spółce, z którą nie wiąże go – jak wskazywał – umowa) merytorycznej niepoprawności swoich danych osobowych (w tym informacji na swój temat jako lekarzu przedstawionych w opinii na stronie internetowej Serwisu).

Warto wskazać, iż w orzecznictwie sądowoadministracyjnym wyrażony został pogląd, że tylko rejestr prowadzony przez właściwą okręgową izbę lekarską pełni zarówno funkcję informacyjną, jak też ochronną (v. wyrok WSA w Warszawie z dnia 29 stycznia 2014 r., sygn. akt II SA/Wa 1819/13, orzeczenia.nsa.gov.pl).

Ponownie rozpatrując sprawę, GIODO dokona pełnych i niebudzących wątpliwości ustaleń stanu faktycznego w zakresie przetwarzania danych osobowych skarżącego przez spółkę [...] Sp. z o.o. Rozpatrując zebrany materiał dowodowy, organ dokona ponownej oceny zgodności z prawem przetwarzania danych osobowych skarżącego przez Spółkę, z uwzględnieniem rozważań poczynionych przez Sąd wyżej oraz przy uwzględnieniu Regulaminu świadczenia usług drogą elektroniczną przez Spółkę. w brzmieniu obowiązującym w dniu rozstrzygania tej sprawy przez organ.

Oceniając wszechstronnie zgromadzony materiał dowodowy, GIODO powoła

w uzasadnieniu decyzji fakty, które uznał za udowodnione i dowody, na których

się oparł, wskaże przyczyny, z powodu których innym dowodom odmówił wiarygodności i mocy dowodowej. Decyzja nie może pozostawiać wątpliwości, co do zasadności przesłanek, którymi organ kierował się, załatwiając sprawę w określony sposób (art. 11 k.p.a.). Z tych też powodów Sąd uchylił zaskarżoną decyzję oraz poprzedzającą ją decyzję z dnia [...] lipca 2015 r. w części, w której odmawiała uwzględnienia wniosku. W pozostałej części Sąd skargę oddalił, uznając za prawidłowe rozstrzygnięcie zawarte w pkt 1 i 2 decyzji z dnia [...] lipca 2015 r. oraz rozstrzygnięcie organu z dnia [...] maja 2016 r. utrzymujące w mocy decyzję z dnia [...] lipca 2015 r. w zakresie pkt 1 i 2. Nie ulega bowiem wątpliwości, iż ustawą o ochronie danych osobowych nie są objęte dane osób prawnych, w tym zakresie postępowanie należało umorzyć. Odnośnie pkt 2 decyzji z dnia [...] lipca 2015 r. stwierdzić należy, iż w sytuacji spełnienia obowiązku informacyjnego, o którym mowa w art. 25 ust. 1 ustawy o ochronie danych osobowych, co nastąpiło w niniejszej sprawie w dniu [...] listopada 2014 r., brak było podstaw do przypisania Spółce naruszenia prawa w tym zakresie w dacie podejmowania przez organ decyzji, a co za tym idzie nie było podstaw do wydania jakiegokolwiek nakazu, o którym mowa w art. 18 ust. 1 ustawy. Postępowanie w tym zakresie trafnie zostało ocenione jako bezprzedmiotowe i w rezultacie – umorzone.

Mając na względzie powyższe, Wojewódzki Sąd Administracyjny w Warszawie na podstawie art. 145 § 1 pkt 1 lit. c ustawy – Prawo o postępowaniu przed sądami administracyjnymi orzekł, jak w pkt 1 sentencji. Orzeczenie zawarte w pkt 2 sentencji wyroku oparto o przepis art. 151 P.p.s.a. W punkcie 3 wyroku Sąd orzekł o kosztach postępowania na podstawie art. 200 w zw. z art. 205 powołanej ustawy.