II SA/Wa 1735/19

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Agnieszka Góra-Błaszczykowska, Sędzia WSA Andrzej Góraj, Sędzia WSA Iwona Maciejuk (spr.), , Małgorzata Plichta, Protokolant starszy specjalista, po rozpoznaniu na rozprawie w dniu 9 lipca 2020 r. sprawy ze skargi A. D. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] maja 2019 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę

Prezes Urzędu Ochrony Danych Osobowych decyzją z dnia [...] maja 2019 r. nr [...], na podstawie art. 138 § 1 pkt 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2018 r. poz. 2096, ze zm.) zwanej dalej k.p.a. oraz art. 7 i art. 160 ust. 1 i 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2018 r. poz. 1000, ze zm.) w związku z art. 3 i art. 3a ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r. poz. 922 oraz z 2018 r. poz. 138)zwanej dalej ustawą o ochronie danych osobowych z 1997 r. oraz w związku z art. 2 ust. 2 lit.c rozporządzenia Parlamentu Europejskiego i Rady UE 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz.U.UE.L.2016.119.1 oraz Dz. Urz. L. 127 z dnia 23.05.2018 r., str. 2), zwanego dalej rozporządzeniem 2016/679, utrzymał w mocy decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] kwietnia 2018 r. nr [...] oddalającą wniosek A. D. na działanie R. S. W uzasadnieniu organ wskazał, że do Biura GIODO wpłynęła skarga A. D. na działanie R. S. ([...] s.c. z siedzibą w [...]). Skarżąca w korespondencji skierowanej do GIODO podniosła, że skarżony jest właścicielem oraz administratorem usługi poczty w ramach usługi [...]. W zakresie ww. usługi zostały utworzone skrzynki pocztowe skarżącej oraz jej dzieci: A. S. i E. S., do których nie ma ona obecnie dostępu (albowiem dostęp do nich został zablokowany przez skarżonego). Organ podał m.in., że skarżąca wskazała, iż.: "(...) w ramach posługiwania się tym kontem i dostępu do niego, na założonej w ten sposób elektronicznej skrzynce pocztowej przechowywałam kierowaną do mnie i wysyłaną korespondencję". GIODO wskazał, że w ocenie skarżącej zakres danych podlegających naruszeniu przez skarżonego obejmuje wszelkie informacje dostępne poprzez adres poczty elektronicznej [...] (utworzonej w ramach usługi [...]) jak również [...] oraz [...], w tym treść korespondencji, zapisanej jako wiadomości wysłane i odebrane, usunięte i wersje robocze wraz z wszelkimi załącznikami (...). Organ podniósł, że skarżąca wniosła o wydanie przez GIODO decyzji, w trybie art. 18 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r. poz. 922 oraz z 2018 r. poz. 138), w której GIODO nakaże skarżonemu przywrócenie stanu zgodnego z prawem, poprzez udostępnienie skarżącej wskazanych danych oraz poprzez zaprzestanie przetwarzania danych osobowych skarżącej oraz jej małoletnich dzieci. Prezes UODO wskazał, że w toku przeprowadzonego postępowania administracyjnego Generalny Inspektor Ochrony Danych Osobowych ustalił, że skarżony nie przetwarza danych osobowych skarżącej oraz małoletnich A.S. i E. S. w związku z prowadzoną przez niego działalnością gospodarczą. Skarżony oświadczył bowiem, że domena [...] jest przez niego wykorzystywana wyłącznie w celach osobistych i domowych. Decyzją z dnia [...] kwietnia 2018 r. GIODO, na podstawie art. 3 i art. 3a ust. 1 ustawy o ochronie danych osobowych z 1997 r., odmówił uwzględnienia wniosku skarżącej w zakresie nakazania skarżonemu udostępnienia wskazanych przez nią danych, zaprzestania przetwarzania przez niego danych osobowych skarżącej oraz małoletnich dzieci A. S. i E. S . Prezes UODO rozpatrując wniosek o ponowne rozpatrzenie sprawy stwierdził, że GIODO prawidłowo wyjaśnił okoliczności faktyczne i ustalił stan sprawy w takim stopniu, w jakim wymagało tego wydanie prawidłowego rozstrzygnięcia w sprawie, tj. decyzji z dnia [...] kwietnia 2018 r. GIODO po przeprowadzeniu postępowania dowodowego, co do okoliczności stanowiących fakty prawotwórcze, a więc takich, z którymi w świetle przepisów obowiązującego prawa związane są określone skutki prawne dokonał oceny na podstawie całokształtu materiału dowodowego, czy dana okoliczność została udowodniona. Generalny Inspektor Ochrony Danych Osobowych odnosząc się do rozpatrywanej sprawy stwierdził, że zgodnie z art. 3 ustawy o ochronie danych osobowych z 1997 r. ustawę stosuje się do organów państwowych, organów samorządu terytorialnego oraz do państwowych i komunalnych jednostek organizacyjnych (art. 3 ust. 1). Ustawę stosuje się również do podmiotów niepublicznych realizujących zadania publiczne oraz osób fizycznych i osób prawnych oraz jednostek organizacyjnych niebędących osobami prawnymi, jeżeli przetwarzają dane osobowe w związku z działalnością zarobkową, zawodową lub dla realizacji celów statutowych – które mają siedzibę albo miejsce zamieszkania na terytorium Rzeczypospolitej Polskiej, albo w państwie trzecim, o ile przetwarzają dane osobowe przy wykorzystaniu środków technicznych znajdujących się na terytorium Rzeczypospolitej Polskiej (art. 3 ust. 2). Jak zauważył GIODO - tylko w takim przypadku można mówić o tzw. administratorze danych osobowych, czyli o organie, jednostce organizacyjnej, podmiocie lub osobie, decydujących o celach i środkach przetwarzania danych osobowych (art. 7 pkt 4 ustawy o ochronie danych osobowych z 1997 r.), wobec którego ustawa przewiduje obowiązki i uprawnienia związane z ochroną danych osobowych. W sytuacji natomiast, gdy R. S. cechuje się statusem osoby fizycznej przetwarzającej dane osobowe skarżącej oraz małoletnich A. S. i E. S. wyłącznie w celach osobistych lub domowych, niewątpliwym jest, że w rozpatrywanej sprawie nie znajdują zastosowania przepisy ustawy o ochronie danych osobowych. Jak zauważył Generalny Inspektor Ochrony Danych Osobowych, z treści art. 3a ust 1 pkt 1 ustawy o ochronie danych osobowych z 1997 r. wynika bowiem, że ustawy nie stosuje się do osób fizycznych, które przetwarzają dane wyłącznie w celach osobistych lub domowych. Z uwagi na to, że w rozpatrywanej sprawie skarga została złożona na osobę fizyczną, a nie na podmiot czy instytucję, to jak podkreślił GIODO, przepisy ustawy o ochronie danych osobowych z 1997 r. można stosować do osób fizycznych pod warunkiem, że przetwarzają dane osobowe w związku z działalnością zarobkową, zawodową lub dla realizacji celów statutowych. Jednak zebrany materiał dowodowy wykazał, że R. S. nie przetwarza danych osobowych skarżącej oraz małoletnich A. S. i E. S. w związku z prowadzoną przez siebie działalnością zarobkową ani zawodową, w ramach której decydowałby o celach i środkach tego przetwarzania ww. danych. Tym samym, w ocenie GIODO, nie można uznać go za administratora danych, który w procesie przetwarzania danych podlega ustawie o ochronie danych osobowych z 1997 r. Generalny Inspektor Ochrony Danych Osobowych stwierdził ostatecznie, że w rozpatrywanej sprawie brak jest podstaw do wydania decyzji administracyjnej nakazującej przywrócenie stanu zgodności z prawem, stosownie do treści art. 18 ust. 1 w związku z art. 12 pkt 2 ustawy o ochronie danych osobowych z 1997 r. Ponownie zaznaczając przy tym, że za przyjęciem takiego stanowiska przemawia fakt, że R. S. przetwarza co prawda dane osobowe Skarżącej oraz małoletnich A. S. i E. S., niemniej przedmiotowy proces przetwarzania tych danych pozostaje w zakresie działań dokonywanych przez niego w celach wyłącznie osobistych lub domowych, a tym samym w rozpatrywanej sprawie nie mogą znaleźć zastosowania przepisy ustawy o ochronie danych osobowych. Prezes UODO wskazał, że do tak ustalonego stanu faktycznego sprawy, GIODO zastosował prawidłową normę prawa materialnego, tj. art. 3a ust 1 pkt 1 ustawy o ochronie danych osobowych z 1997 r. (obecnie art. 2 ust. 2 lit. c rozporządzenia 2016/679). Organ wskazał, że przepis artykułu 2 ust. 2 lit.c rozporządzenia 2016/679 statuuje wyłączenie z zakresu reżimu rozporządzenia przetwarzania danych przez osobę fizyczną w ramach czynności o czysto osobistym lub domowym charakterze. W motywie 18 rozporządzenia 2016/679 wyjaśniono, że działalność czysto osobista lub domowa to taka, która pozostaje bez związku z działalnością zawodową lub handlową. Polegać ona może na korespondencji i przechowywaniu adresów, podtrzymywaniu więzi społecznych oraz działalności internetowej podejmowanej w ramach takiej działalności. Prezes UODO stwierdził, że domena [...] - w kontekście przetwarzana danych osobowych skarżącej i małoletnich A. S. i E. S. - jest wykorzystywana przez skarżonego wyłącznie w celach osobistych i domowych, a w konsekwencji nie można uznać go za administratora Skarżącej oraz małoletnich A. S. i E. S. w związku z prowadzoną przez niego działalnością zarobkową i zawodową w ramach której ustalałby cele i sposoby (decydowałby o celach i środkach) tego przetwarzania ww. danych. Organ wskazał jednocześnie, że powyższej oceny nie zmienia także treść notatki urzędowej z dnia [...] sierpnia 2016 r., do której odwołuje się skarżąca we wniosku o ponowne rozpatrzenie sprawy. Prezes UODO zauważył, że przedmiotowa notatka stanowiła część materiału dowodowego (karta akt sprawy numer [...]), który został poddany ocenie przez Generalnego Inspektora Ochrony Danych Osobowych. W treści tej notatki skarżony poinformował, że na domenie [...] założył konta e-mail m.in. dla ,,jego małżonki" - skarżącej, która w dniu [...] lipca 2016 r. poinformowała go telefonicznie, że konto e-mail nie działa. Skarżący ustalił, że konto skarżącej zostało zawieszone i jak wyjaśnił, cyt.: "Nie pamiętam żebym ja tego dokonał, gdyż powodów zawieszenia konta może być kilka, również systemowe. Ja nie logowałem się na konto żony, gdyż nie mam takiej potrzeby oraz wiem, że wyciągnęłaby z tego konsekwencje. Jako administrator mam uprawnienia do odwieszenia tego konta. Nie chcę tego robić ze względu na nasze relacje. Ja nie kasowałem tego konta, nie czytałem wiadomości e-mail mojej żony i tych do niej zostały nadesłane i nie logowałem się na jej skrzynkę. " Zdaniem Prezesa Urzędu Ochrony Danych Osobowych powyższe wyjaśnienia świadczą, że czynności przetwarzania danych osobowych skarżącej związane z kontem e-mail założonym przez skarżonego na domenie [...] mają charakter "osobisty i domowy". Organ powołał się przy tym na opinię rzecznika generalnego zaprezentowaną w wyroku Trybunału Sprawiedliwości z dnia 11 grudnia 2014 r. (w sprawie C-212/13 František Ryneš v. Ūřad pro ochranu osobnich udaju). Prezes UODO wskazał, że w niniejszej sprawie odwoływanie się przez obydwie strony postępowania do relacji związanych z życiem prywatnym pomiędzy skarżącą a skarżonym oraz ich życiem rodzinnym dotyczącym ich małoletnich dzieci A. S. i E. S., przesądza o uznaniu, że przetwarzanie danych osobowych ma charakter osobisty i domowy. Dodatkowo organ wskazał, że skarga została złożona na R. S. (pismo skarżącej z dnia [...] lipca 2017 r. - karty akt sprawy numer 13, 21), skarżąca nie skierowała jej wobec [...] s.c. w [...]. Decyzja Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] maja 2019 r. nr [...] stała się przedmiotem skargi A. D. do Wojewódzkiego Sądu Administracyjnego w Warszawie. Skarżąca zarzuciła naruszenie przepisów postępowania, które miało istotny wpływ na wynik sprawy, tj. - art. 7, art. 77 § 1 oraz art. 80 k.p.a. poprzez ich niewłaściwe zastosowanie polegające na przekroczeniu przez organ administracyjny granicy swobodnej oceny dowodów, poprzez dokonanie oceny dowodów w sposób sprzeczny z zasadami logiki i doświadczenia i uznaniu twierdzeń R. S. za wiarygodne, w opozycji do twierdzeń skarżącej przy braku jakichkolwiek innych dowodów potwierdzających stanowisko R. S. oraz dowodach wskazujących, że w zależności od własnego interesu R. S. zeznaje odmiennie, - art. 80 k.p.a. poprzez jego niewłaściwe zastosowanie, skutkujące zaniechaniem zebrania w przedmiotowej sprawie w sposób wyczerpujący materiału dowodowego poprzez niezwrócenie się do [...] lub R. S. (ewentualnie do drugiego wspólnika spółki cywilnej [...] s.c. – P. S.) o załączenie ogólnych warunków użytkowania domeny [...] oraz poczty e-mail na tej domenie oraz umowy zawartej przez wspólnika/wspólników spółki cywilnej [...] s.c., w tym R. S., z [...] regulującą usługę założenia domeny internetowej oraz zasady korzystania z domeny i poczty e-mail świadczoną na rzecz spółki cywilnej [...] s.c., które to dokumenty w sposób jednoznaczny pozwoliłyby zweryfikować, że cel prowadzenia domeny miał charakter zawodowy i zarobkowy podobnie, jak sposób wykorzystywania domeny, poczty e-mail i danych osobowych skarżącej i jej dzieci, - art. 7 kpa, art. 77 § 1 oraz art. 80 k.p.a. poprzez ich niewłaściwe zastosowanie, polegające na przekroczeniu granic swobodnej oceny dowodów, w szczególności notatki urzędowej z postępowania karnego wskazującej, że R. S. zakupił domenę na spółkę i ponosił koszty z nią związane oraz dowolnym uznaniu przez organ administracyjny w sposób sprzeczny z zasadami logiki i doświadczenia życiowego, że ani R. S. jako wspólnik spółki cywilnej [...], ani drugi ze wspólników – P. S., ani sama spółka cywilna [...] (obaj wspólnicy) nie przetwarzali danych osobowych skarżącej oraz małoletnich A. S. i E. S. w związku z prowadzoną działalnością gospodarczą, a wyłącznie w celach osobistych i domowych, - art. 61 § 1 w zw. z art. 28 i art. 104 k.p.a. polegające na naruszeniu zasady skargowości wbrew interesowi prawnemu skarżącej wskazywanemu we wniosku inicjującym postępowanie poprzez ograniczenie zakresu rozpoznania sprawy administracyjnej wyłącznie do osoby R. S. z pominięciem ustalenia odpowiedzialności administracyjnej spółki cywilnej [...] (obu wspólników spółki prowadzących działalność gospodarczą w formie umowy spółki), - art. 138 § 1 pkt 2 k.p.a. poprzez jego niezastosowanie i zaniechanie uchylenia decyzji organu pierwszej instancji w całości oraz orzeczenia co do istoty zgodnie z wnioskiem strony skarżącej, mimo iż były ku temu podstawy. Skarżąca zarzuciła również naruszenie prawa materialnego: - art. 3 ust. 2 pkt 2 ustawy o ochronie danych osobowych z 1997 r. poprzez jego niezastosowanie skutkujące błędnym przyjęciem przez organ administracyjny, że w/w ustawa nie ma zastosowania do administratora R. S. jako osoby fizycznej przetwarzającej dane osobowe w związku z ich działalnością zarobkową i zawodową, - art. 3a ust. 1 pkt 1 ustawy o ochronie danych osobowych z 1997 r. poprzez jego zastosowanie i błędne przyjęcie, że ustawa o ochronie danych osobowych nie ma zastosowania do R. S. jako osoby fizycznej, która przetwarzała dane osobowe wyłącznie w celu osobistym i domowym, podczas gdy wniosek taki nie wynika z zebranego w sprawie materiału dowodowego, - art. 18 ust. 1 pkt 1 ustawy o ochronie danych osobowych z 1997 r. poprzez jego niezastosowanie i zaniechanie nakazania R. S. przywrócenia stanu zgodnego z prawem poprzez usunięcie uchybień. Skarżąca wniosła o dopuszczenie dowodów z załączonych do skargi dokumentów na okoliczność ustalenia zawodowej i zarobkowej podstawy przetwarzania danych osobowych przez R. S. i spółkę cywilną [...]. Skarżąca zwróciła się o zmianę decyzji Prezesa Urzędu Ochrony Danych Osobowych poprzez przywrócenie stanu zgodnego z prawem oraz zaprzestanie przetwarzania danych osobowych skarżącej i jej małoletnich dzieci, zgodnie z wnioskiem strony skarżącej inicjującym postępowanie, ewentualnie uchylenie zaskarżonej decyzji Prezesa Urzędu Ochrony Danych Osobowych oraz utrzymanej w mocy decyzji i przekazanie do ponownego rozpoznania Prezesowi Urzędu Ochrony Danych Osobowych. Skarżąca wniosła też o zasądzenie od organu zwrotu kosztów postępowania. W uzasadnieniu skarżąca rozszerzyła argumentację postawionych zarzutów. Podniosła m.in., że Prezes UODO bezpodstawnie wskazuje w uzasadnieniu zaskarżonej decyzji, że podmiotem, na działanie którego skarżyła się A. D., był wyłącznie R. S.. Podniosła, że - wbrew twierdzeniu organu administracyjnego - z jej wniosku wynika, że wskazywała ona na R. S. nie jako osobę fizyczną nieprowadzącą działalności gospodarczej, lecz na przedsiębiorcę, wspólnika spółki cywilnej [...], który w ramach usługi [...] założył internetową domenę oraz skrzynki pocztowe w celu gospodarczym i zarobkowym. Zarzuciła, że organ ograniczył zakres rozpoznania sprawy. Podniosła, że w konsekwencji zaniechania należytego ustalenia stanu faktycznego organ administracji publicznej błędnie zastosował przepisy prawa materialnego ustawy z 1997 r. o ochronie danych osobowych wskazane w zarzutach. Jako załączniki do skargi skarżąca wskazała m.in. wniosek o podjęcie przez Rzecznika Praw Obywatelskich czynności wyjaśniających, umowa [...], pismo do Kancelarii Prawnej reprezentującej [...]. Prezes Urzędu Ochrony Danych Osobowych w odpowiedzi na skargę wniósł o jej oddalenie, podtrzymując ustalenia dokonane w zaskarżonej decyzji. Wskazał nadto, że błędna jest ocena skarżącej, jakoby Prezes UODO w skarżonej decyzji, w ślad za GIODO, niewłaściwie odczytał treść wniosku skarżącej w zakresie podmiotu, przeciwko któremu skierowała skargę. Jak zostało to wskazane w decyzji z dnia [...] maja 2019 r,, R. S. został wskazany przez skarżącą jako strona postępowania w pismach z dnia [...] lipca 2017 r. (karty akt sprawy numer: 13 i 21, wpływ do Biura GIODO odpowiednio w dniu [...] lipca 2017 r. i w dniu [...] lipca 2017 r.) uzupełniających skargę. Okoliczność co do wskazania podmiotu skargi została wyjaśniona już na etapie postępowania pierwszo-instancyjnego właśnie, poprzez wezwanie skarżącej o doprecyzowanie skargi. Zatem zarzut, że Prezes UODO tego nie uczynił, należy uznać za chybiony. Wojewódzki Sąd Administracyjny w Warszawie na rozprawie w dniu 9 lipca 2020 r., na podstawie art. 106 § 3 ustawy – Prawo o postępowaniu administracyjnym, nie uwzględnił wniosku dowodowego zawartego w skardze. Przeprowadzenie dowodu uzupełniającego, o którym mowa w skardze nie było w niniejszej sprawie niezbędne do wyjaśnienia istotnych wątpliwości, jak wymaga tego art. 106 § 3 P.p.s.a. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje. Skarga nie podlegała uwzględnieniu. Wszystkie zarzuty skargi dotyczące naruszenia zarówno prawa materialnego, jak i procesowego Sąd uznał za niezasadne. Organ nie uchybił przepisom k.p.a., w tym art. 7, art. 61 § 1 w zw. z art. 28 i art. 104, art. 77 § 1, art. 80, art. 138 § 1 pkt 1 k.p.a. Organ nie naruszył też art. 107 § 3 k.p.a. Prawidłowo zastosował art. 3a ust.1 pkt 1 ustawy o ochronie danych osobowych z 1997 r. oraz art. 2 ust. 2 lit.c rozporządzenia 2016/679. W ocenie Sądu - w stanie faktycznym tej sprawy - ustalenie Prezesa UODO, a wcześniej Generalnego Inspektora Ochrony Danych Osobowych, że kwestionowane przez skarżącą przetwarzanie jej danych osobowych i danych osobowych jej dzieci przez R. S. odbywało się w celach osobistych i domowych jest prawidłowe. Ocena dokonana przez organ na podstawie wszystkich informacji zawartych w aktach sprawy i mających znaczenie dla jej rozstrzygnięcia nie była dowolna. Organ zebrał materiał dowodowy w sposób pozwalający dokonać niezbędnych ustaleń. Z akt sprawy nie wynika, aby kwestionowane przetwarzanie danych osobowych skarżącej i dzieci odbywało się w związku z działalnością zarobkową czy zawodową R. S. Z prawidłowo ustalonego przez organ stanu faktycznego w sposób jednoznaczny wynika, że przetwarzanie danych kwestionowane przez skarżącą miało miejsce w celach osobistych i domowych. Kwestie założenia internetowej domeny w ramach usługi [...] w celu gospodarczym i zarobkowym, na co skarżąca powoływała się w skardze, nie ma znaczenia dla rozstrzygnięcia niniejszej sprawy. Organ ochrony danych osobowych dokonał bowiem prawidłowej oceny, że to przetwarzanie danych osobowych skarżącej i dzieci przez R. S. nie miało związku z prowadzoną działalnością. Okoliczności tej sprawy wynikające z akt i ustalone przez organ bezspornie wskazują, że przetwarzanie danych skarżącej i dzieci związane było ściśle z życiem rodzinnym, osobistym, domowym, a nie w związku z prowadzoną przez R. S. działalnością zarobkową i zawodową. Prawidłowo w tej sytuacji organ ochrony danych osobowych stwierdził, że ustawa o ochronie danych osobowych z 1997 r. nie znajduje zastosowania w tej sprawie. Zgodnie bowiem z art. 3 tej ustawy, ustawę stosuje się do organów państwowych, organów samorządu terytorialnego oraz do państwowych i komunalnych jednostek organizacyjnych (art. 3 ust. 1). Ustawę stosuje się również do podmiotów niepublicznych realizujących zadania publiczne oraz osób fizycznych i osób prawnych oraz jednostek organizacyjnych niebędących osobami prawnymi, jeżeli przetwarzają dane osobowe w związku z działalnością zarobkową, zawodową lub dla realizacji celów statutowych – które mają siedzibę albo miejsce zamieszkania na terytorium Rzeczypospolitej Polskiej, albo w państwie trzecim, o ile przetwarzają dane osobowe przy wykorzystaniu środków technicznych znajdujących się na terytorium Rzeczypospolitej Polskiej (art. 3 ust. 2). Stosownie zaś do art. 3a ust 1 pkt 1 ustawy o ochronie danych osobowych z 1997 r., ustawy nie stosuje się do osób fizycznych, które przetwarzają dane wyłącznie w celach osobistych lub domowych. Także przepis art. 2 ust. 2 lit.c rozporządzenia 2016/679 stanowi, że nie ma ono zastosowania do przetwarzania danych osobowych przez osobę fizyczną w ramach czynności o czysto osobistym lub domowym charakterze. Trafnie też Prezes UODO powołał się w decyzji na motyw 18 rozporządzenia 2016/679, w którym wprost wskazano, że rozporządzenie nie ma zastosowania do przetwarzania danych osobowych przez osobę fizyczną w ramach działalności czysto osobistej lub domowej, czyli bez związku z działalnością zawodową lub handlową. Działalność osobista lub domowa może między innymi polegać na korespondencji i przechowywaniu adresów, podtrzymywaniu więzi społecznych oraz działalności internetowej podejmowanej w ramach takiej działalności. Niezasadny jest przy tym zarzut, że organ przeprowadził postępowanie z niewłaściwym podmiotem w sytuacji, gdy żądania skarżącej odnosiły się właśnie do R. S. Zarzuty skargi nie są trafne. Skarżąca jednoznacznie wskazywała R. S. jako osobę odpowiedzialną za istniejące, jej zdaniem, naruszenia na gruncie ochrony danych osobowych. Jednoznacznie też domagała się wydania przez GIODO nakazów wobec R. S. Twierdzenia skargi, że wbrew interesowi skarżącej organ ograniczył ustalenia do osoby R. S., z pominięciem ustaleń w zakresie odpowiedzialności spółki cywilnej [...], nie są trafne. Organ należycie rozpatrzył sprawę, prawidłowo kierując się żądaniami skarżącej. W sprawie tej organ nie był obowiązany do uzupełniania materiału dowodowego o materiały wskazane w skardze. Sprawa, z którą skarżąca zwróciła się do GIODO dotyczyła przetwarzania danych osobowych w celach osobistych i domowych, co potwierdza treść pism samej skarżącej do GIODO. Organ zasadnie odmówił uwzględnienia wniosku, a Prezes UODO trafnie zastosował art. 138 § 1 pkt 1 k.p.a. Z tych względów Wojewódzki Sąd Administracyjny w Warszawie, na podstawie art. 151 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (t.j. Dz. U. z 2019 r., poz. 2325), orzekł jak w wyroku.