II SA/Wa 2186/20

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Andrzej Góraj, Sędzia WSA Izabela Głowacka-Klimas (spr.), Sędzia WSA Andrzej Wieczorek, po rozpoznaniu na posiedzeniu niejawnym w dniu 7 kwietnia 2021 r. sprawy ze skargi E. K. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] października 2020 r. nr [...] w przedmiocie umorzenia postępowania administracyjnego 1. uchyla zaskarżoną decyzję; 2. zasądza od Prezesa Urzędu Ochrony Danych Osobowych na rzecz skarżącej E. K. kwotę 200 zł (słownie: dwieście złotych), tytułem zwrotu kosztów postępowania.

Prezes Urzędu Ochrony Danych Osobowych działając na podstawie art. 105 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz.U. z 2020 r. poz. 256, z późn. zm.), art. 160 ust. 1 i 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz.U. z 2020 r. poz. 256, z późn. zm.), w zw. z art. 22 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r. poz. 922 oraz z 2018 r. poz. 138), po przeprowadzeniu postępowania administracyjnego w sprawie skargi Pani E. K. (dalej Skarżąca) na przetwarzanie jej danych osobowych przez Ośrodek Narciarski [...], z siedzibą w [...] zwany dalej Ośrodkiem, decyzją z [...] października 2020 r., znak [...], umorzył postępowanie. Do wydania przedmiotowego rozstrzygnięcia doszło w następującym stanie faktycznym i prawnym: Do Biura Generalnego Inspektora Ochrony Danych Osobowych (aktualnie Urząd Ochrony Danych Osobowych) w dniu [...] stycznia 2018 r. wpłynęła skarga Pani E. K., na przetwarzanie jej danych osobowych przez Ośrodek Narciarski [...], z siedzibą w [...]. Skarga została wniesiona z uwagi na fakt, że w czasie pobytu w Ośrodku pracownik wypożyczalni skserował dowód osobisty Skarżącej w celu wypożyczenia jej nart. Skarżąca podniosła zarzut, że Ośrodek bezprawnie przetwarza jej dane osobowe i z naruszeniem obowiązków informacyjnych. Skarżąca wniosła o wypełnienie wobec niej obowiązku informacyjnego z art. 24 ustawy o ochronie danych osobowych, usunięcie jej danych osobowych z bazy danych Ośrodka oraz przeprowadzenie kontroli w zakresie nieprawidłowości gromadzenia i zabezpieczania danych osobowych przez Ośrodek. W celu rozpatrzenia przedmiotowego wniosku Prezes Urzędu Ochrony Danych Osobowych wszczął postępowanie wyjaśniające, w toku którego ustalił, że Ośrodka Narciarskiego [...], z siedzibą w [...],[...] nie można znaleźć ani w Centralnej Ewidencji i Działalności Gospodarczej, ani w Krajowym Rejestrze Sądowym. Pismem z dnia [...] stycznia 2020 r. Prezes Urzędu Ochrony Danych Osobowych zwrócił się do Ośrodka o wyjaśnienia, czy Ośrodek przetwarza dane osobowe Skarżącej, tj. dane zawarte w kopii dowodu osobistego, jeśli tak, to jakie, na jakiej podstawie prawnej i w jakim celu; czy wszystkie dane zawarte w kopii dowodu osobistego Skarżącej są niezbędne do określonego celu z prośbą o uzasadnienie tej konieczności; jak długo dane osobowe Skarżącej zawarte w kopii jej dowodu osobistego, będą przetwarzane (w tym przechowywane) przez Ośrodek; czy Ośrodek spełnił wobec Skarżącej obowiązek informacyjny z art. 24 ustawy z 29 sierpnia 1997 r. o ochronie danych osobowych, jeśli tak, to proszę o wskazanie, kiedy i w jaki sposób oraz o ewentualne przesłanie dowodów na tą okoliczność. Pismo to zostało odebrane [...] stycznia 2019 r., jednak Ośrodek nie przesłał wyjaśnień. W związku z tym Prezes UODO kolejnym pismem z dnia [...] czerwca 2020 r. wysłał do Ośrodka ponaglenie i ponowił zadane wcześniej pytania. Pismo to zostało zwrócone do Kancelarii Biura UODO w dniu [...] lipca 2020 r., po dwukrotnym awizowaniu w dniach [...] czerwca 2020 r. i [...] czerwca 2020 r. z adnotacją: zwrot, nie podjęto w terminie. Pismem z dnia [...] lipca 2020 r. Prezes UODO ponownie zwrócił się do Ośrodka o wyjaśnienia w sprawie. Pismo to zostało także zwrócone w dniu [...] sierpnia 2020 r. po dwukrotnym awizowaniu w dniach [...] lipca 2020 r. i [...] sierpnia 2020 r., z adnotacją: zwrot - nie podjęto w terminie. Zgodnie z art. 44 § 1 pkt 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz.U. z 2020 r. poz. 256, z późn. zm.) pismo zostało uznane za doręczone z upływem dnia [...] sierpnia 2020 r. Po zapoznaniu się z całością zgromadzonego w sprawie materiału dowodowego, Prezes Urzędu Ochrony Danych Osobowych zważył, co następuje. Z dniem [...] maja 2018 r., wraz z wejściem w życie ustawy z dnia [...] maja 2018 r. o ochronie danych osobowych (Dz.U. z 2019 r., poz. 1781), Biuro Generalnego Inspektora Ochrony Danych Osobowych stało się Urzędem Ochrony Danych Osobowych. Postępowania prowadzone przez Generalnego Inspektora Ochrony Danych Osobowych, wszczęte i niezakończone przed [...] maja 2018 r. prowadzone są przez Prezesa Urzędu Ochrony Danych Osobowych, na podstawie ustawy z 29 sierpnia 1997 r. o ochronie danych osobowych (Dz.U. z 2016 r. poz. 922 ze zm.) zgodnie z zasadami określonymi w Kodeksie postępowania administracyjnego (Dz.U. z 2020 r. poz. 256 z późn. zm.). Wszelkie czynności podejmowane przez Generalnego Inspektora Ochrony Danych Osobowych przed [...] maja 2018 r. pozostają skuteczne (art. 160 ust. 1 i ust. 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych). Na wstępie wskazano, że Prezes Urzędu Ochrony Danych Osobowych wydając decyzję administracyjną zobowiązany jest do rozstrzygania w oparciu o stan faktyczny istniejący w chwili wydania tej decyzji. Jak podnosi doktryna "organ administracji publicznej ocenia stan faktyczny sprawy według chwili wydania decyzji administracyjnej. Reguła ta odnosi się także do oceny stanu prawnego sprawy, co oznacza, że organ administracji publicznej wydaje decyzję administracyjną na podstawie przepisów prawa obowiązujących w chwili jej wydania (...). Rozstrzyganie w postępowaniu administracyjnym polega na zastosowaniu obowiązującego prawa do ustalonego stanu faktycznego sprawy administracyjnej. W ten sposób organ administracji publicznej realizuje cel postępowania administracyjnego, jakim jest urzeczywistnienie obowiązującej normy prawnej w zakresie stosunków administracyjno-prawnych, gdy stosunki te tego wymagają" (Komentarz do ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego M. Jaśkowska, A. Wróbel, Lex" el/2012). Odnosząc powyższe do ustalonego stanu faktycznego, Prezes UODO podkreślił, że decydujące znaczenie dla rozstrzygnięcia w przedmiotowej sprawie, ma okoliczność, że podmiot o nazwie Ośrodek Narciarski [...], z siedzibą w [...],[...], nie figuruje ani w Centralnej Ewidencji i Działalności Gospodarczej, ani w Krajowym Rejestrze Sądowym, a zatem należy uznać, że podmiot ten nie prowadzi działalności gospodarczej, w tym nie przetwarza danych osobowych Skarżącej. W tej sytuacji Prezes UODO uznał, że niniejsze postępowanie podlega umorzeniu na podstawie art. 105 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz.U. z 2020 r. poz. 256, z późn. zm.), zwanej dalej Kpa, wobec jego bezprzedmiotowości. Zgodnie z ww. przepisem, gdy postępowanie z jakiejkolwiek przyczyny stało się bezprzedmiotowe w całości lub w części, organ administracji publicznej wydaje decyzję o umorzeniu postępowania odpowiednio w całości lub w części. Brzmienie powołanej regulacji nie pozostawia wątpliwości, iż w razie stwierdzenia bezprzedmiotowości postępowania organ prowadzący to postępowanie obligatoryjnie je umarza. Jednocześnie w literaturze przedmiotu wskazuje się, że bezprzedmiotowość postępowania administracyjnego, o której stanowi art. 105 § 1 Kpa oznacza, że brak jest któregoś z elementów materialnego stosunku prawnego, a wobec tego nie można wydać decyzji załatwiającej sprawę przez rozstrzygnięcie jej co do istoty (B. Adamiak, J. Borkowski "Kodeks postępowania administracyjnego. Komentarz" 7 wydanie Wydawnictwo C.H. Beck, Warszawa 2005 r., str. 485). Takie samo stanowisko zajął Wojewódzki Sąd Administracyjny w Krakowie w wyroku z dnia 27 lutego 2008 r. (III SA/Kr 762/2007): "Postępowanie staje się bezprzedmiotowe, gdy brak któregoś z elementów stosunku materialnoprawnego, co powoduje, że nie można załatwić sprawy przez rozstrzygnięcie co do istoty". Skargę na powyższe rozstrzygnięcie do Wojewódzkiego Sądu Administracyjnego w Warszawie wywiodła skarżąca. Zaskarżonej decyzji zarzuciła naruszenie : 1. art. 105 § 1 Kpa poprzez jego niezasadne zastosowanie w sprawie i umorzenie postępowania z powodu uznania jego bezprzedmiotowości, wyrażającej się w błędnej ocenie Organu, jakoby brak figurowania podmiotu o nazwie "Ośrodek Narciarski [...]" z siedzibą w [...] w CEiDG i KRS oznaczał brak prowadzenia działalności gospodarczej przez ten podmiot - w sytuacji gdy Skarżąca, jako konsument, posługiwała się nazwą podmiotu powszechnie dostępną w Internecie, której podmiot używał w kontaktach z klientami, zarówno na swojej stronie internetowej, a także w siedzibie Ośrodka, co nie powinno obciążać Skarżącej, gdyż Organ winien był samodzielnie dokonać ustaleń co do danych podmiotu prowadzącego Ośrodek, w oparciu o informacje przekazane przez Skarżącą, czego Organ przez okres 3 lat prowadzenia postępowania zaniechał; 2. art. 7, art. 77 § 1 oraz art. 80 w zw. z art. 75 ust. 1 Kpa w zw. z art. 11 w zw. z art. 15 w zw. z art. 107 Kpa, poprzez brak przeprowadzenia postępowania dowodowego w sposób pełny i wyczerpujący i wydanie zaskarżonej decyzji: a) bez dokonania przez Organ własnych ustaleń faktycznych co do podmiotu prowadzącego "Ośrodek Narciarski [...]" z siedzibą w [...], w oparciu o informacje przekazane przez Skarżącą; b) bez ewentualnego wzywania Skarżącej do sprecyzowania podmiotu, w stosunku do którego wniosła ona skargę, z uwagi na brak figurowania podmiotu o nazwie "Ośrodek Narciarski [...]" z siedzibą w [...] w CeiDG i KRS; c) z pominięciem faktu, że właśnie wskutek braku realizacji przez "Ośrodek Narciarski [...]" z siedzibą w [...] obowiązku informacyjnego, Skarżąca nie miała wiedzy o tym jaki konkretnie podmiot przetwarzał jej dane osobowe, co nie powinno obciążać procesowo Skarżącej. Ponadto Skarżąca domagała się przeprowadzenia dowodu z załączonych do skargi dokumentów: 1) wydruków ze strony internetowej [...] - na fakt: braku podania na oficjalnej stronie internetowej Ośrodka jakichkolwiek informacji o podmiocie go prowadzącym, choćby numerem NIP czy REGON, posługiwania się powszechnie oznaczeniem "Ośrodek Narciarski [...]"; 2) regulaminu korzystania z karnetów promocyjnych [...] - na fakt: identyfikacji podmiotu prowadzącego "Ośrodek Narciarski [...]" z siedzibą w [...], na podstawie § 11 ust. 1 pkt 2 regulaminu; 3) wydruku CEiDG H. H., prowadzącego działalność gospodarczą pod firmą: H. H. Wielobranżowe Przedsiębiorstwo Produkacyjno - Handlowo - Usługowe "[...]"; 4) wydruku z wyszukiwarki GUS podmiotu H. H. - dowody z pkt 4 i 5 na fakt: identyfikacji podmiotu prowadzącego "Ośrodek Narciarski [...]" z siedzibą w [...]. W świetle powyższych zarzutów domagała się uchylenie zaskarżonej decyzji Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] października 2020 r. w całości i dalsze procedowanie sprawy wobec podmiotu: H. H., prowadzącego działalność gospodarczą pod firmą: H. H. Wielobranżowe Przedsiębiorstwo Produkcyjno - Handlowo - Usługowe "[...]" ([...], NIP: [...], REGON: [...]) oraz zwrotu kosztów postępowania. W odpowiedzi na skargę organ wniósł o jej oddalenie, podkreślając, że obowiązkiem osoby składającej skargę do organu jest dokładne wskazanie podmiotu z nazwy i adresu siedziby bądź z imienia, nazwiska i adresu poczty tradycyjnej w przypadku osoby fizycznej. Skarżąca złożyła skargę na Ośrodek Narciarski [...], z siedzibą w [...] ([...]). Wskazać zatem należy, że Prezes Urzędu Ochrony Danych Osobowych jest organem administracyjnym i jego rolą nie jest poszukiwanie i ustalanie podmiotów za osoby wnoszące skargi, szczególnie, gdy nie można ich odszukać w źródłach powszechnie dostępnych. Wojewódzki Sąd Administracyjny zważył, co następuje: Sąd administracyjny wykonuje wymiar sprawiedliwości, poddając kontroli decyzje wydawane przez organy administracji publicznej pod względem ich zgodności z prawem, badając czy właściwie zastosowano przepisy prawa materialnego i przestrzegano przepisów proceduralnych w postępowaniu administracyjnym. Sąd jest władny wzruszyć zaskarżoną decyzję jedynie w przypadku stwierdzenia naruszenia prawa. Art. 145 ustawy Prawo o postępowaniu przed sądami administracyjnymi (dalej jako P.p.s.a.) określa w jakich sytuacjach decyzje lub postanowienia podlegają uchyleniu. Oceniając zaskarżoną decyzję w świetle powyższych kryteriów Sąd stwierdził, iż skarga zasługuje na uwzględnienie, albowiem w ocenie Sądu decyzja o umorzeniu postępowania jest co najmniej przedwczesna. Na podstawie art. 160 ust. 2 ustawy o ochronie danych osobowych z 10 maja 2018 roku (Dz.U. 2019 r.1781), postępowania wszczęte i niezakończone przed 25 maja 2018 r. są prowadzone przez Prezesa Urzędu Ochrony Danych Osobowych na podstawie ustawy o ochronie danych osobowych z 1997 roku, zgodnie z zasadami określonymi w Kpa. Ustawa o ochronie danych osobowych z 1997 roku stwarzała prawne podstawy stosowania ochrony państwowej w sytuacjach niezgodnego z prawem przetwarzania danych osobowych obywateli zarówno przez podmioty prawa publicznego, jak i podmioty prawa prywatnego; w celu jej realizacji wyposażono organ ochrony danych osobowych w kompetencje władcze; umożliwiały one sankcjonowanie stwierdzanych nieprawidłowości w procesie przetwarzania danych osobowych; organ ochrony danych osobowych - oceniając stan sprawy i dokonując subsumpcji - stwierdza więc, czy kwestionowane przetwarzanie danych osobowych znajduje oparcie choćby w jednej z przesłanek legalizujących przetwarzanie danych osobowych, wskazanej w art. 23 ust. 1 ustawy o danych z 1997 roku; w zależności od występujących w sprawie ustaleń - albo wydaje nakaz lub zakaz, albo odmawia uwzględnienia wniosku, ewentualnie umarza postępowanie; wydanie nakazu usunięcia danych w procesie przetwarzania danych osobowych następuje wówczas, gdy organ ochrony danych osobowych stwierdza naruszenie norm prawnych w zakresie przetwarzania danych osobowych. Zgodnie z art. 1 ustawy o danych z 1997 roku, każdy ma prawo do ochrony dotyczących go danych osobowych, a przetwarzanie tych danych – w znaczeniu, o którym mowa w art. 7 pkt 2 ustawy – jest dopuszczalne tylko ze względu na określone dobra – dobro publiczne, dobro osoby, której dane dotyczą lub dobro osoby trzeciej i tylko w zakresie oraz trybie określonym ustawą; stosując przepisy ustawy o danych z 1997 roku należy zatem za każdym razem wyważać dobra, które legły u jej podstaw. W przedmiotowej sprawie należy mieć na uwadze przede wszystkim treść art. 23 ust. 1 pkt 2 ustawy o danych z 1997 roku; zgodnie z tym przepisem przetwarzanie danych jest dopuszczalne tylko wtedy, gdy jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa lub jest niezbędne do wykonania określonych prawem zadań realizowanych dla dobra publicznego; z kolei – w myśl art. 18 ustawy o danych z 1997 roku – organ ochrony danych osobowych z urzędu lub na wniosek osoby zainteresowanej – w drodze decyzji administracyjnej – nakazuje przywrócenie stanu zgodnego z prawem poprzez określone działania lub zaniechania, jedynie w przypadku, gdy stwierdzi, że doszło do naruszenia przepisów o ochronie danych, Jak wynika z akt niniejszego postępowania Skarżąca wniosła skargę na przetwarzanie jej danych osobowych przez Ośrodek Narciarski [...], z siedzibą w [...]. Skarżąca wyjaśniła, że w czasie pobytu w Ośrodku pracownik wypożyczalni skserował należący do niej dowód osobisty w celu wypożyczenia jej nart. Skarżąca podniosła zarzut, że Ośrodek bezprawnie przetwarza jej dane osobowe oraz nie wypełnił wobec niej obowiązków informacyjnych z art. 24 ustawy z dnia 29 sierpnia 1997 r.. W toku postępowania, po upływie okresu 24 miesięcy od dnia złożenia skargi , organ kilkukrotnie zwrócił się do wskazanego podmiotu z prośbą o nadesłanie wyjaśnień w sprawie. Pierwsze pismo z dnia [...] stycznia 2020 r. zostało odebrane przez adresata w dniu [...] stycznia 2020 r., jednak Ośrodek nie przesłał wyjaśnień. Kolejne pismo z prośbą o wyjaśnienia i ponagleniem organ wystosował do Ośrodka w dniu [...] czerwca 2020 r. Pismo to zostało zwrócone do Kancelarii Biura UODO w dniu [...] lipca 2020 r., po dwukrotnym awizowaniu w dniach [...] czerwca 2020 r. i [...] czerwca 2020 r. z adnotacją: zwrot, nie podjęto w terminie. Pismem z dnia [...] lipca 2020 r. Prezes UODO ponownie zwrócił się do Ośrodka o wyjaśnienia w sprawie. Pismo to zostało także zwrócone w dniu [...] sierpnia 2020 r. po dwukrotnym awizowaniu w dniach [...] lipca 2020 r. i [...] sierpnia 2020 r., z adnotacją: zwrot - nie podjęto w terminie. Organ zgodnie z art. 44 § 1 pkt 1 Kpa pismo uznał za doręczone z upływem dnia [...] sierpnia 2020 r. Ponadto organ ustalił, że podmiot o nazwie Ośrodek Narciarski [...], z siedzibą w [...], [...] nie figuruje ani w Centralnej Ewidencji i Działalności Gospodarczej (organ błędnie wskazał nazwę winno być Centralna Ewidencja i Informacja o Działalności Gospodarczej), ani w Krajowym Rejestrze Sądowym, co doprowadziło organ do konkluzji, że podmiot ten nie prowadzi działalności gospodarczej, w tym nie przetwarza danych osobowych Skarżącej. W ocenie Sądu stanowisko organu w tym zakresie jest co najmniej przedwczesne. W pierwszej kolejności należy zauważyć, że Skarżąca posługiwała się nazwą podmiotu przetwarzającego jej dane osobowe, która była nazwą ogólnie dostępną w Internecie, wypożyczalni. Nazwa ogólnie dostępna nie koniecznie musi pokrywać się z nazwa podmiotu, pod którą prowadzi on działalność gospodarczą. Wnikliwa analiza akt postępowania doprowadziłaby organ do takich samych wniosków, gdyż z adnotacji poczty dokonanych na korespondencji wysyłanej do Ośrodka wynika, że korespondencja ta nie została odebrana w terminie, co prowadzi do prostego wniosku, że adresat jednak funkcjonuje w obrocie prawnym. Świadczy o tym również fakt, że pierwszy list został odebrany przez Ośrodek, co świadczy, że trafił do adresata. Jedynie listy opatrzone odpowiednimi komentarzami oraz stemplami przedstawiciela poczty, jak również pewność, że czynności związane z awizowaniem zostały dokonane prawidłowo, pozwalają przyjąć, że przesyłka trafiła lub miała szansę trafić do adresata, a właśnie z taką korespondencją mamy tu do czynienia. W sytuacji więc, gdy z jednej strony z informacji z rejestrów CEIDG i KRS wynika, że podmiot nie istnieje, z drugiej zaś prowadzona jest przez organ z Ośrodkiem korespondencja, co wskazuje, że podmiot prowadzi działalność, organ winien podjąć dalsze działania w celu ustalenia prawidłowej nazwy podmiotu przetwarzającego dane osobowe Skarżącej. W przypadku powzięcia jakichkolwiek wątpliwości co do tożsamości podmiotu, w stosunku do którego postępowanie jest prowadzone, Prezes UODO winien był albo wezwać Skarżącą do sprecyzowania skargi w tym zakresie, albo też samodzielnie dokonać stosownych ustaleń, w oparciu o informacje uzyskane od Skarżącej. Nie dopełniając powyższych czynności Prezes UODO naruszył art. 7 i 77 Kpa. W konsekwencji umorzenie postępowania z uwagi na jego bezprzedmiotowość było, w ocenie Sądu, co najmniej przedwczesne. Ponownie rozpoznając sprawę organ będzie miał na względzie powyższe wywody. Biorąc powyższe pod rozwagę, działając na podstawie art. 145 § 1 lit. c) P.p.s.a., Sąd uchylił zaskarżoną decyzję. O kosztach orzeczono w oparciu o art. 200 P.p.s.a. ----------------------- 9