Source: https://orzeczenia.net/orzeczenie/xvp60xd7y
Timestamp: 2020-04-09 02:56:31
Legal References Found: art. 104
 art. 6
 art. 12
 art. 22
 art. 18
 art. 29
 art. 6
 art. 29
 art. 2
 art. 29
 art. 29
 art. 30
 art. 159
 art. 6
 art. 159
 art. 138
 art. 6
 art. 12
 art. 22
 art. 18
 art. 29
 art. 6
 art. 161
 art. 159
 art. 161
 art. 6
 art. 18
 art. 29
 art. 49
 art. 159
 art. 161
 art. 159
 art. 190
 art. 151

Document Content:
Wyrok WSA z 2010-02-03 (II SA/Wa 1598/09) - Orzeczenia.net
Wyrok WSA z dnia 03.02.2010 sygn. II SA/Wa 1598/09
Sygrantura: II SA/Wa 1598/09
Z dnia: 2010-02-03
Skład: Janusz Walawski (sprawozdawca, przewodniczący)
Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Ewa Grochowska-Jung, Sędziowie Anna Mierzejewska, Janusz Walawski (spr.), Protokolant Marek Kozłowski, po rozpoznaniu na rozprawie w dniu 27 stycznia 2010 r. sprawy ze skargi [...] Sp. z o.o. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] lutego 2009 r. nr [...] w przedmiocie ochrony danych osobowych oddala skargę
M. R., działając przez pełnomocnika, w dniu 1 lipca 2008 r. złożyła do Generalnego Inspektora Ochrony Danych Osobowych (zwanego dalej Generalnym Inspektorem) wniosek o nakazanie [...] Sp. z o.o. z siedzibą w W. przy ul. [...] (zwanej dalej Spółką) udostępnienia danych osobowych – numerów IP osób, które w dniu [...] lutego 2006 r. zalogowały się i dokonały wpisów na portalu [...] – forum: dyskusja ogólna, temat: dziecko M. pod nickami: "j." i "p.".
Powyżej określony wniosek został uzasadniony w ten sposób, iż "przedmiotowe dane są niezbędne do wypełnienia prawnie usprawiedliwionych celów skarżącej, w postaci wytoczenia powództwa o ochronę dóbr osobistych (...)".
Generalny Inspektor, po przeprowadzeniu postępowania administracyjnego, działając na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. – Kodeks postępowania administracyjnego (Dz. U. z 2000 r. Nr 98, poz. 1071 z późn. zm.) – zwanej dalej k.p.a., art. 6, art. 12 pkt 2, art. 22 i art. 18 ust. 1 pkt 2 w zw. z art. 29 ust. 2 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 z późn. zm.), w dniu [...] listopada 2008 r. wydał decyzję nr [...], którą nakazał Spółce udostępnienie wnioskodawczyni – M. R. informacji o osobach, które w dniu [...] lutego 2006 r. zalogowały się i dokonały wpisów na portalu internetowym [...], forum: dyskusja ogólna, temat: dziecko M., posługujących się nickami "j." i "p." – w zakresie obejmującym informację o numerach IP z powyżej określonej daty logowania.
W uzasadnieniu decyzji organ podał m.in., iż kluczową z punktu widzenia rozstrzygnięcia niniejszej sprawy była kwestia ustalenia, czy wnioskowane przez wnioskodawczynię informacje stanowią dane osobowe w rozumieniu art. 6 ustawy o ochronie danych osobowych, czy też nie mieszczą się w tym pojęciu.
Generalny Inspektor stwierdził, że powołany przepis, definiuje dane osobowe jako wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej (art. 6 ust. 1 powołanej ustawy). Osobą możliwą do zidentyfikowania jest przy tym osoba, której tożsamość można określić bezpośrednio lub pośrednio, w szczególności przez powołanie się na numer identyfikacyjny albo jeden lub kilka specyficznych czynników określających jej cechy fizyczne, fizjologiczne, umysłowe, ekonomiczne, kulturowe lub społeczne (ust. 2). Informacji nie uważa się za umożliwiającą określenie tożsamości osoby, jeżeli wymagałoby to nadmiernych kosztów, czasu lub działań (ust. 3). Określona w tym przepisie definicja odpowiada definicji zawartej w Dyrektywie 95/46 Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych.
Zatem Generalny Inspektor nie podzielił stanowiska Spółki odnośnie klasyfikacji wnioskowanych informacji, ponieważ uznał, że stanowią one dane osobowe osób, które w dniu [...] lutego 2006 r. zalogowały się na portalu internetowym [...] i dokonały na nim kwestionowanych wpisów.
Organ za bezzasadny uznał argument spółki, iż numeru IP nie można uznać za informację o osobie, a jedynie za "informację o numerze interfejsu lub sieci, przy wykorzystaniu którego lub której miała miejsce komunikacja polegająca na dokonaniu (...) kwestionowanych wpisów (...).
Dalej organ wyjaśnił, że ustawa definiuje dane osobowe jako informacje dotyczące osoby zidentyfikowanej bądź możliwej do zidentyfikowania, a zatem informacje, które wiążą się z określoną osobą – choćby pośrednio – niosą pewien komunikat o niej. W tym sensie informacją dotyczącą osoby jest zarówno informacja odnosząca się do niej wprost, jak i taka, która bezpośrednio odnosi się np. do przedmiotów, urządzeń, ich funkcjonowania itp., jednak z uwagi na możliwość ich powiązania z określoną osobą – pośrednio stanowi informację także o niej samej. W tym miejscu warto zwrócić uwagę na Opinię 4/2007 w sprawie pojęcia danych osobowych przyjętą w dniu 20 czerwca 2007 r. przez Grupę Roboczą ds. Ochrony Danych – powołaną na mocy art. 29 Dyrektywy 95/46. Grupa Robocza, jako organ wydający zalecenia we wszystkich sprawach dotyczących ochrony osób fizycznych w zakresie przetwarzania danych w państwach członkowskich Unii Europejskiej, w przedmiotowej opinii wskazała m.in., że "(...) w niektórych przypadkach dane przekazują przede wszystkim informacje o przedmiotach a nie o osobach. Przedmioty te należą zazwyczaj do kogoś, podlegają wpływowi działania pewnych osób lub wywierają na nie pewien wpływ lub też pozostają w pewnego rodzaju sąsiedztwie fizycznym lub geograficznym w stosunku do osób lub należących do nich przedmiotów. Można wtedy uznać, że informacje dotyczą tych osób lub przedmiotów jedynie pośrednio (...)". Jednocześnie Grupa Robocza uznała, że za informacje dotyczące osoby można uznać dane "(...) dotyczące w pierwszym rzędzie procesów lub zdarzeń, jak na przykład informacje o funkcjonowaniu pewnej maszyny wymagającej interwencji człowieka (...)" oraz podsumowała, iż "(...) dane dotyczą osoby, jeżeli odnoszą się do tożsamości, cech lub zachowania danej osoby lub też informacje te determinują lub też wpływają na sposób traktowania lub ocenę danej osoby (...).
Z powyższego wynika, iż nieuprawnione jest stanowisko Spółki, że numer IP – odnoszący się wprost do określonego urządzenia – nie może być uznany za informację dotyczącą osoby, a w konsekwencji w ogóle nie może być rozpatrywany w kontekście uznania go za dane osobowe.
W ocenie Generalnego Inspektora numery IP osób, które w dniu [...] lutego 2006 r. zalogowały się na portalu internetowym [...] i dokonały na nim kwestionowanych wpisów odnoszą się do osób możliwych do zidentyfikowania. Co więcej, w ocenie organu zasadniczym celem zbierania i przechowywania (przetwarzania) informacji o numerach IP jest możliwość ewentualnej identyfikacji posługujących się nimi osób.
Organ zwrócił również uwagę na to, że w niniejszej sprawie Spółka nie zanegowała możliwości dokonania identyfikacji osób, które w określonej dacie, posługując się pseudonimami, dokonały logowania na portalu [...] i zamieściły na nim kwestionowane wpisy – na podstawie ich numerów (adresów IP), lecz podkreśliła, że wnioskodawczyni nie może dokonać jej samodzielnie.
Generalny Inspektor podał, że Grupa Robocza, przyjmując, że numery IP należą do kategorii danych osobowych zaznaczyła, iż " (...) dostawcy dostępu do Internetu i administratorzy sieci lokalnych mogą, używając sposobów, jakimi można się posłużyć, zidentyfikować użytkowników Internetu, którym przydzieliły adresy IP, ponieważ systematycznie rejestrują oni w pliku datę, godzinę, czas trwania i dynamiczne adresy IP przydzielone użytkownikom Internetu. To samo można powiedzieć o dostawcach usług internetowych prowadzących rejestr na serwerze http. W takich przypadkach można niewątpliwie mówić o danych osobowych w sensie art. 2 lit. a dyrektywy. Zwłaszcza w przypadkach, gdy przetwarzanie adresów IP ma na celu zidentyfikowanie użytkowników komputera, (np. przez posiadaczy praw autorskich w celu ścigania użytkowników za pogwałcenie praw autorskich), administrator przewiduje, że sposoby, jakimi można się posłużyć, w celu zidentyfikowania osoby mogą stać się dostępne, np. na drodze sądowej (w przeciwnym razie gromadzenie danych nie miałoby sensu), i że w związku z tym informacje te należy uważać za dane osobowe (...). Generalny Inspektor podziela to stanowisko.
Odnosząc powyższe do okoliczności przedmiotowej sprawy, należy zwrócić uwagę, że wniosek o udostępnienie adresów IP został uzasadniony zamiarem dokonania identyfikacji osób, które posługując się nickami "j." i "p." dokonały w dacie logowania kwestionowanych wpisów, a następnie dochodzenia wobec nich, na drodze sądowej, roszczeń z tytułu naruszenia dóbr osobistych. Spółka nie zanegowała możliwości takiej identyfikacji, choć podkreśliła, iż sama nie może tego uczynić.
Skierowany do Spółki wniosek o udostępnienie przedmiotowych adresów IP, w ocenie Generalnego Inspektora, odpowiada wymogom określonym w art. 29 ust. 3 ustawy o ochronie danych osobowych. Podano w nim bowiem informacje umożliwiające wyszukanie wnioskowanych danych (poprzez wskazanie nicków, szczegółów daty logowania i tematu wpisów zamieszczonych na określonym portalu internetowym przez osoby posługującymi się tymi nickami), określono zakres wnioskowanych danych oraz ich przeznaczenie.
Zdaniem Generalnego Inspektora udostępnienie żądanych we wniosku informacji znajduje uzasadnienie w art. 29 ust. 2 ustawy o ochronie danych osobowych.
Według organu oczywistym jest, iż pozyskanie (przetwarzanie) danych osobowych w celu określonym w tym wniosku w każdym przypadku zostanie uznane przez osoby, których te dane dotyczą, za sprzeczne z ich interesem. Okoliczność ta – zwłaszcza mając na uwadze prawne gwarancje obrony przed roszczeniami strony przeciwnej – nie świadczy jednak o naruszeniu ich praw i wolności. Przyjęcie przeciwnego stanowiska skutkowałoby bezzasadną ochrona tego, kto mógł dopuścić się bezprawnej ingerencji w sferę prawnie chronionych interesów innej osoby. Z tych samych względów nie można zasadnie przyjąć, że udostępnienie wnioskowanych informacji wiązałoby się z naruszeniem dóbr osobistych osób, których dane dotyczą lub innych osób, ani – tym bardziej – że naruszenie to miałoby charakter istotny – a zatem, że zaistniała określona w art. 30 pkt 4 powołanej ustawy przeszkoda uzasadniająca odmowę udostępnienia danych.
Generalny Inspektor dodał, że Spółka, odmawiając udostępnienia wnioskowanych informacji podniosła dodatkowo, że zadośćuczynienie przedmiotowemu wnioskowi naraziłoby ją na zarzut naruszenia tajemnicy telekomunikacyjnej statuowaną w art. 159 ustawy z dnia 16 lipca 2004 r. Prawo telekomunikacyjne (Dz. U. Nr 171, poz. 1800 z późn. zm.). Generalny Inspektor nie podziela jednak tej obawy. Z powyższego przepisu wynika bowiem, iż tajemnica telekomunikacyjna nie ma charakteru bezwzględnego i zezwala na szeroko rozumiane wykorzystywanie danych osobowych użytkownika, znajdujących się w posiadaniu operatora, przez podmioty inne niż nadawca i odbiorca komunikatu, o ile jest to niezbędne z powodów określonych przepisami odrębnymi, natomiast – jak wykazano – w niniejszej sprawie warunek ten został spełniony.
Od decyzji Generalnego Inspektora z dnia [...] listopada 2009 r. zobowiązana Spółka złożyła do tego organu wniosek o ponowne rozpatrzenie sprawy.
We wniosku zobowiązana Spółka przedmiotowej decyzji zarzuciła błędną wykładnię i naruszenie:
1) art. 6 ustawy o ochronie danych osobowych, poprzez uznanie, iż informacje o numerach IP, z których określone osoby dokonały logowania do serwisu posługując się nickami "j." i "p.", następnie dokonały wpisów na portalu internetowym [...], stanowią dane osobowe w rozumieniu powołanej ustawy i w związku z tym błędnie zastosowano jej przepisy do stanu faktycznego niniejszej sprawy,
2) art. 159 ust. 2 pkt 4 ustawy – Prawo telekomunikacyjne, poprzez uznanie, iż w niniejszej sprawie zachodzą ustawowe przesłanki do udostępnienia danych stanowiących tajemnicę telekomunikacyjną w rozumieniu tej ustawy
Podnosząc powyższe zarzuty, zobowiązana Spółka zaskarżoną decyzją, wniosła o jej uchylenie w całości i zmianę poprzez oddalenie przedmiotowego wniosku, względnie o uchylenie decyzji w całości oraz umorzenie postępowania w zakresie nią objętym.
Generalny Inspektor, po rozpoznaniu wniosku o ponowne rozpatrzenie sprawy, na podstawie art. 138 § 1 pkt 1 k.p.a., art. 6, art. 12 pkt 2, art. 22 i art. 18 ust. 1 pkt 2 w zw. z art. 29 ust. 2 ustawy o ochronie danych osobowych, w dniu [...] lutego 2009 r. wydał decyzję nr [...], którą utrzymał w mocy zaskarżoną decyzję. W jej uzasadnieniu organ podtrzymał stanowisko przedstawione w uzasadnieniu poprzedzającej ją decyzji, jak również odniósł się do zarzutów podniesionych we wniosku o ponowne rozpatrzenie sprawy.
Zdaniem organu zarzut, jakoby numeru IP nie można było uznać za informację o osobie, a jedynie za "(...) informację o numerze interfejsu lub sieci, przy wykorzystaniu którego lub której miała miejsce komunikacja polegająca na dokonaniu (...) kwestionowanych wpisów (...)" jest bezzasadny. Ustawa o ochronie danych osobowych definiuje dane osobowe jako informacje dotyczące osoby zidentyfikowanej bądź możliwej do zidentyfikowania, a zatem informacje, które wiążąc się z określoną osobą – choćby pośrednio – niosą pewien komunikat o niej. Nieuprawnione jest zatem stanowisko, iż numer IP – odnoszący się wprost do określonego urządzenia – nie może być uznany za informację dotyczącą osoby, a w konsekwencji w ogóle nie może być rozpatrywany w kontekście uznania go za dane osobowe. Warto zauważyć, że nie budzi obecnie wątpliwości, że np. numer telefonu, czy numer kart sim telefonu komórkowego – również odnoszące się bezpośrednio do urządzenia, a nie do osoby – dotyczą jej jednak i mogą stanowić dane osobowe.
W związku z powyższym, Generalny Inspektor, wbrew twierdzeniu strony skarżącej podtrzymał stanowisko, iż wnioskowane informacje stanowią dane osobowe w rozumieniu art. 6 ustawy o ochronie danych osobowych.
Organ administracji nie podzielił nadto stanowiska strony skarżącej, iż udzielenie przedmiotowych informacji naraziłoby Spółkę na zarzut naruszenia tajemnicy telekomunikacyjnej. Prawo telekomunikacyjne dopuszcza bowiem zapoznawanie się, utrwalanie, przechowywanie, przekazywanie lub inne wykorzystywanie treści lub danych objętych tajemnicą telekomunikacyjną przez osoby inne niż nadawca i odbiorca komunikatu w sytuacji, gdy będzie to konieczne z innych powodów określonych ustawą lub przepisami odrębnymi. Stosownie do brzmienia art. 161 ust. 1 Prawa telekomunikacyjnego, z zastrzeżeniem ust. 2 treści lub dane objęte tajemnicą telekomunikacyjną mogą być zbierane, utrwalane, przechowywane, opracowywane, zmieniane, usuwane lub udostępniane tylko wówczas, gdy czynności te, zwane dalej "przetwarzaniem", dotyczą usługi świadczonej użytkownikowi albo są niezbędne do jej wykonania. Przetwarzanie w innych celach jest dopuszczalne jedynie na podstawie przepisów ustawowych.
Organ administracji stwierdził, że pomimo zaznaczenia przez stronę skarżącą, iż w jej ocenie "nie jest ona zobligowana do udostępnienia treści objętych tajemnicą telekomunikacyjną w oparciu o (...) ustawę o ochronie danych osobowych (...)", stanowisko to, poza powołaniem argumentów o charakterze prawnoporównawczym nie zostało właściwie uzasadnione. Brak natomiast przesłanek, które istotnie uzasadniałyby wyłączenie z kategorii "ustawy lub przepisów odrębnych", o których mowa w art. 159 ust. 2 pkt 4 Prawa telekomunikacyjnego, czy "przepisów ustawowych", o których mowa w art. 161 ust. 1 zd. 2 Prawa telekomunikacyjnego, regulacji ustawy o ochronie danych osobowych.
Decyzja Generalnego Inspektora, utrzymująca w mocy decyzję poprzedzającą, stała się przedmiotem skargi wniesionej przez Spółkę do Wojewódzkiego Sądu Administracyjnego w Warszawie.
Strona skarżąca w skardze zarzuciła, że zaskarżona decyzja została wydana z naruszeniem przepisów prawa materialnego, tj.:
1) art. 6 ustawy o ochronie danych osobowych, poprzez błędną wykładnię i niewłaściwe zastosowanie prowadzące do uznania, iż informacje o numerach IP, z których określone osoby w dniu [...] lutego 2006 r. dokonały logowań do serwisu [...] pod nickami "j." i "p." i – następnie – dokonały wpisów na jego forum stanowią dane osobowe w rozumieniu tej ustawy,
2) art. 18 powołanej ustawy, poprzez błędną wykładnię i zastosowanie w sytuacji, gdy strona skarżąca nie naruszyła przepisów ustawy o ochronie danych osobowych,
3) art. 29 ust. 2 ustawy o ochronie danych osobowych, poprzez błędną wykładnię i niewłaściwe zastosowanie polegające na przyjęciu, że zobowiązuje on stronę skarżącą do udostępnienia informacji osobom trzecim, w sytuacji gdy takie informacje nie mają charakteru danych osobowych,
4) art. 49 Konstytucji RP, poprzez jego niezastosowanie,
5) art. 159 ust. 2 i 3, art. 161 ust. 1 ustawy – Prawo telekomunikacyjne, poprzez błędną wykładnię i niewłaściwe zastosowanie, objawiające się uznaniem, iż udostępnienie przez stronę skarżącą żądanych informacji, spełnia przesłanki przetwarzania danych objętych tajemnicą telekomunikacyjną przez osoby inne niż odbiorca i nadawca komunikatu i nie narusza obowiązku zachowania tajemnicy telekomunikacyjnej w rozumieniu art. 159 tej ustawy.
Strona skarżąca, podnosząc powyższe zarzuty, wniosła o uchylenie zaskarżonej decyzji oraz decyzji ją poprzedzającej, wstrzymanie jej wykonania oraz o zasądzenie kosztów postępowania.
W uzasadnieniu skargi skarżąca Spółka podała m.in., że zaskarżona decyzja nie znajduje potwierdzenia we wskazanych w skardze przepisach prawa materialnego, a przedstawione w niej stanowisko zostało wyrażone w oderwaniu od okoliczności faktycznych sprawy. Wnioskodawczyni nie ma żadnej możliwości dokonania identyfikacji osób, które zalogowały się i dokonały wpisów na portalu, gdyż nie dysponuje jakimikolwiek informacjami, które taką identyfikację by jej umożliwiały, choćby nawet pośrednio. Numery IP odnoszą się do oznaczenia urządzeń, a nie osób i same w sobie nie niosą informacji o konkretnej osobie. Zdaniem strony skarżącej, powiązanie przez wnioskodawczynię numerów IP, czyli informacji o urządzeniach, za pomocą których następowało logowanie i umieszczanie wpisów na forum serwisu [...] z konkretną osoba fizyczną nie jest technicznie możliwe. W ocenie strony skarżącej ustalenia możliwości identyfikacji osoby nie można dokonywać w oderwaniu od sposobów i środków technicznych dostępnych administratorowi w czasie przetwarzania danych, przy czym jednocześnie nie powinny one wymagać nadmiernych kosztów, czasu lub działań. Czy dana informacja ma charakter danych osobowych, a więc czy umożliwia identyfikację konkretnej osoby fizycznej powinna być zawsze dokonywana w oparciu o aktualne w czasie przetwarzania możliwości administratora, nie zaś o potencjalną możliwość identyfikacji przy wykorzystaniu sposobów, które mogą stać się dostępne w przyszłości. Ustalenie przez wnioskodawczynię tożsamości osób, które zalogowały się na portalu i dokonały kwestionowanych wpisów nie tylko wymaga nadmiernych środków, czasu i działań, ale jest praktycznie niemożliwe.
W odpowiedzi na skargę Generalny Inspektor wniósł o jej odrzucenie w związku z uchybieniem terminu do jej wniesienia. Równocześnie, w przypadku nie uwzględnienia tego wniosku, organ wniósł o oddalenie skargi i podtrzymał stanowisko przedstawione w uzasadnieniu zaskarżonej decyzji.
M. R. (uczestnik postępowania), reprezentowana przez pełnomocnika, wniosła o oddalenie skargi.
Wojewódzki Sąd Administracyjny w Warszawie w dniu 14 maja 2009 r. sygn. akt II SA/Wa 567/09 wydał postanowienie o odrzuceniu skargi, od którego została wniesiona skarga kasacyjna.
Naczelny Sąd Administracyjny w dniu 16 września 2009 r. wydał postanowienie sygn. akt I OSK 1157/09, którym uchylił zaskarżone postanowienie.
Na wstępie należy wyjaśnić, że stosownie do treści art. 190 zd. 1 ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. Nr 153, poz. 1270 z późn. zm.) sąd. któremu sprawa została przekazana, związany jest wykładnią prawa dokonaną tej sprawie przez Naczelny Sąd Administracyjny.
Wobec uznania, że skarga została wniesiona z zachowaniem ustawowego terminu, sprawę należy rozpoznać merytorycznie.
Mając powyższe na uwadze, Wojewódzki Sąd Administracyjny w Warszawie, na podstawie art. 151 ustawy - Prawo o postępowaniu przed sądami administracyjnymi, orzekł jak w wyroku.
Orzeczenie WSA z dnia 11.02.2019, sygn. IV SAB/Wa 410/18
Orzeczenie WSA z dnia 10.02.2016, sygn. I SA/Wa 1764/15
Orzeczenie z dnia 05.10.2016, sygn. III RC 183/15
Orzeczenie WSA z dnia 27.10.2017, sygn. II SA/Ol 795/17