Dalsze losy zdjęcia opublikowanego w NK: tym razem GIODO wnosi o kasację wyroku

WSA w Warszawie orzekał już w sprawie sygn. II SA/Wa 1495/08 (por. Podpis pod zdjęciem w NK - uzasadnienie wyroku WSA w Warszawie (sygn. II SA/Wa 1495/08)), a od tego wyroku kasację składała społka. Kasacja ta została przez NSA oddalona (sygn. OSK 667/09) (w pierwszej wersji notatki błędnie podałem wówczas, że kasację składał GIODO). W dalszej kolejności i po wydaniu ww. wyroków GIODO wydał kolejną decyzję, a tam (również) odmówił uwzględnienia wniosku osoby, której wizerunek był przedstawiony na zdjęciu. Ta decyzja została również zaskarżona i w ten sposób WSA w Warszawie po raz kolejny orzekał w tej sprawie (sygn. II SA Wa 1212/10). 13 stycznia Generalny Inspektor Ochrony Danych Osobowych postanowił wnieść do NSA skargę kasacyjną od tego ostatniego wyroku WSA w Warszawie. Przypomnijmy, że wyrok WSA w Warszawie dotyczy klasowego zdjęcia umieszczonego w serwisie nasza-klasa.

Przyjrzyjmy się sytuacji po oddaleniu skargi kasacyjnej NK i po wydaniu decyzji przez GIODO. Otóż GIODO w swojej decyzji uchylił swoją wcześniejszą decyzję i odmówił uwzględnienia wniosku skarżącego. GIODO uzasadniał decyzję w ten sposób, że dane osobowe skarżącego w zakresie utrwalonym na fotografii (po wyroku omówionym w tekście WSA w Warszawie: podpis pod zdjęciem w Naszej Klasie to jednak dane osobowe wiemy, że to jednak dane osobowe) publikowanej w serwisie oraz podpisie tego zdjęcia "nie są aktualnie podawane przez Spółkę do publicznej wiadomości, ponieważ zostały one usunięte z podanego adresu i nie podlegają upublicznieniu". GIODO zaznaczył wówczas również, że spółka nadal przetwarza te dane w celach dowodowych, ponieważ zachowała je na serwerze oraz w pamięci systemu. GIODO uznał wreszcie, że spółka jako administrator danych (zdjęcie, podpis pod nim) przetwarza je na podstawie art. 23 ust 1 pkt 5 ustawy o ochronie danych osobowych, tj. przetwarzanie danych skarżącego jest dopuszczalne ponieważ jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą. Wśród powodów uzasadniających możliwość przetwarzania danych GIODO wymienił wówczas możliwość ustalenia odpowiedzialności usługobiorcy za naruszenie regulaminu usługodawcy.

Decyzja ta, jak wspomniałem, została zaskarżona przez osobę, której dane dotyczą (wizerunek na fotografii i podpis) i WSA oceniając ją stwierdził:

Istota sporu w niniejszej sprawie sprowadza się do ustalenia, czy administrator portalu [...] jest administratorem danych osobowych T. W., a w związku z tym, czy jest uprawniony do przetwarzania jego danych na podstawie art. 23 ust 1 pkt 5 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (DZ. U. z 2002 r. Nr 101, poz. 926 ze zm.).

Wyrok WSA w Warszawie (sygn. II SA/Wa 1212/10) dostępny jest w Centralnej Bazie Orzeczeń Sądów Administracyjnych. W tym wyroku WSA uchylił zaskarżoną decyzję oraz poprzedzającą ją decyzję GIODO. Co istotne - WSA w Warszawie stwierdza tam, w uzasadnieniu (wytłuszczenie moje):

...należy wskazać, iż N. Sp. z o.o. z siedzibą w W., właściciel strony internetowej [...] jest administratorem danych osobowych T. W., ponieważ przetwarza je, poprzez przechowywanie.

Należy jednak pamiętać, iż ochrona danych osobowych polega przede wszystkim na określeniu kiedy dozwolone, a kiedy zabronione jest ich przetwarzanie.

(...)

W niniejszej sprawie organ wskazał, iż Spółka przetwarza dane osobowe skarżącego na podstawie art. 23 ust 1 pkt 5 cytowanej powyżej ustawy, stąd też przesłanka ta wymaga bliższej analizy.

Powyższa przesłanka legalizacyjna przetwarzanie danych osobowych wprowadza klauzule o charakterze ogólnym, w ramach której ustawodawca dla przyjęcia, że przetwarzanie danych osobowych bez zgody osoby, której dane dotyczą jest dopuszczalne w przypadku zaistnienia łącznie następujących okoliczności:

a) przetwarzanie jest niezbędne dla wypełnienia prawnie usprawiedliwionych celów administratora danych lub odbiorcy danych,

b) przetwarzanie danych nie narusza praw i wolności osoby, której dane dotyczą (por. P. Barta, P. Litwiński Ustawa o ochronie danych osobowych. Komentarz, Wydawnictwo C.H. BECK, Warszawa 2009 r., str. 228 i nast.)

Termin "prawnie usprawiedliwione cele" jest pojęciem niedookreślonym, które daje administratorowi pewien luz decyzyjny, a z drugiej strony nakłada nań obowiązek i ryzyko oceny czy jego działalność jest prawnie dopuszczalna. Natomiast Generalny Inspektor Ochrony Danych Osobowych oceniając występowanie tej podstawy legalizacyjnej obowiązany jest kierować się oceną indywidualną konkretnej sytuacji, a także pewnymi zasadami nie skonkretyzowanymi przepisami prawa (tamże). Ponadto w literaturze podnosi się, iż ocenie powinien podlegać cel, który administrator zamierza osiągnąć – czy jest usprawiedliwiony, tj. czy znajduje swoje gospodarcze i prawne uzasadnienie. Ponadto ustawodawca w ust. 4 art. 23 ustawy wskazuje, że za prawnie usprawiedliwiony cel, o którym mowa w ust. 1 pkt 5, uważa się w szczególności:

1) marketing bezpośredni własnych produktów lub usług administratora danych,

2) dochodzenie roszczeń z tytułu prowadzonej działalności gospodarczej.

Z kolei mówiąc o naruszeniu praw i wolności obywatelskich należy odnieść się do katalogu tych praw i wolności szeroko uwzględnionych w Konstytucji RP.

Kończąc analizę przesłanki art. 23 ust 1 pkt 5 ustawy należy wskazać, iż sprowadza się ona do wyważenia interesów administratora danych i osoby, której dane dotyczą, związanych z jednej strony z realizacją prawnie usprawiedliwionych celów administratora, z drugiej natomiast z ochroną prywatności osoby, której dane dotyczą.

W niniejszej sprawie, organ podniósł, iż skarżący kierował pod adresem spółki zastrzeżenia odnośnie legalności przetwarzania jego danych i zapowiedzi skierowania sprawy na drogę sądową. Stąd też spółka uprawniona była do utrwalenia danych skarżącego i zachowania ich dla celów dowodowych na wypadek dochodzenia przez skarżącego ewentualnych roszczeń. Zdaniem Sądu, powyższe okoliczności nie wypełniają przesłanki prawnie usprawiedliwionych celów przetwarzania danych skarżącego. Należy bowiem zwrócić uwagę, iż przesłanka z art. 23 ust 1 pkt 5 ustawy dotyczy sytuacji już istniejącej i pewnej, a więc przypadku, gdy istnieje potrzeba udowodnienia, potrzeba dochodzenia roszczenia z tytułu prowadzonej działalności gospodarczej, nie zaś sytuacji, gdy dane są przetwarzane na wypadek ewentualnego procesu i ewentualnej potrzeby udowodnienia, iż dane osobowe pozyskane bez zgody osoby, której dotyczą są przetwarzane zgodnie z prawem. Należy również podkreślić, iż skarżący jedynie zapowiedział i nie zrealizował swoich zapowiedzi odnośnie skierowania sprawy na drogę sądową. Stąd też spółka, zdaniem Sądu, nie może przetwarzać danych osobowych skarżącego tylko w celu zabezpieczenia się przed ewentualnym przyszłym i niepewnym roszczeniem skarżącego. W przeciwnym bowiem razie może pojawić się wątpliwość jak długo należy przetwarzać dane osobowe skarżącego jeżeli nie zrealizuje on swoich zapowiedzi.
(...)

W dalszej części uzasadnienia WSA w Warszawie wskazuje:

Odnosząc się natomiast do twierdzenia organu, iż dane skarżącego spółka przechowuje dla celów wskazanych w art. 21 ust 1 ustawy z dnia 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną (Dz. U. Nr 144, poz. 1204), tj. dla określenia odpowiedzialność usługobiorcy, należy wskazać, iż również w tym wypadku zdaniem Sądu nie zachodzą przesłanki usprawiedliwiające przetwarzanie danych osobowych skarżącego. Zgodnie z art. 21 ust 1 cytowanej ustawy w przypadku uzyskania przez usługodawcę wiadomości o korzystaniu przez usługobiorcę z usługi świadczonej drogą elektroniczną niezgodnie z regulaminem lub z obowiązującymi przepisami (niedozwolone korzystanie), usługodawca może przetwarzać dane osobowe usługobiorcy w zakresie niezbędnym do ustalenia odpowiedzialności usługobiorcy, pod warunkiem, że utrwali dla celów dowodowych fakt uzyskania oraz treść tych wiadomości. Powyższe uregulowane wyraźnie określa krąg podmiotów, który dotyczy – usługodawcę i usługobiorcę. Tymczasem skarżący w tym kręgu się nie mieści, nie jest bowiem usługobiorcą spółki, przeciwnie jego dane osobowe znalazły się na portalu wbrew jego woli i wiedzy. Z tego powodu powyższe uregulowanie nie może mieć zastosowania do przetwarzania danych skarżącego. Zdaniem Sądu nie można też przyjąć, iż dane osobowe skarżącego z uwagi na treść wskazanego powyżej przepisu są przechowywane jako "dowód naruszenia regulaminu przez usługobiorcę". Dla powyższego celu – w ocenie Sądu, wystarczający jest sam fakt zamieszczenia danych osoby bez jej zgody i wiedzy np. z opisaniem okoliczności zdarzenia, daty i miejsca, bez przechowywania samych danych osobowych.

Reasumując, przytoczone okoliczności świadczą o zaniedbaniu organu w ustaleniu rzeczywistego stanu faktycznego w sprawie. Stąd też ponownie rozpoznając sprawę organ uwzględni rozważania Sądu w zakresie przetwarzania danych osobowych skarżącego przez Spółkę.

O. I taki byłby stan sprawy, gdyby nie wspomniana wyżej skarga kasacyjna GIODO z 13 stycznia.

Skarga ta została złożona, a w niej GIODO zaskarża w całości wyrok z 1 grudnia 2010 r. (sygn. II SA Wa 1212/10), zarzucając mu naruszenie przepisów postępowania mające istotny wpływ na wynik sprawy, a polegające na:

naruszeniu art 145 § 1 pkt 1 lit. c) ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (...) poprzez jego niewłaściwe zastosowanie skutkujące niezasadnym uchyleniem decyzji Generalnego Inspektora Ochrony Danych Osobowych z dnia 29 czerwca 2010 r. (znak: DOLiS/DEC-835/10/26031,26035) i poprzedzającej ją decyzji z dnia 27 maja 2008 r. (znak: DOLiS/DEC-314/08/13239,13245) wobec błędnego przyjęcia, że Generalny Inspektor Ochrony Danych Osobowych dokonał nieprawidłowej wykładni art 23 ust. 1 pkt 5 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (...), w konsekwencji czego bezpodstawnie ocenił proces kwestionowanego przetwarzania danych osobowych Pana Tomasza W. (...), przez spółkę Nasza Klasa sp. z o.o. (...), za uprawniony w świetle ww. przepisu, przy jednoczesnym błędnym przyjęciu, że Generalny Inspektor Ochrony Danych Osobowych naruszył obowiązek dokładnego zbadania i wyjaśnienia przedmiotowej sprawy z uwzględnieniem całokształtu istotnych jej okoliczności - a to na skutek bezpodstawnego ograniczenia się do przeprowadzenia w niej postępowania wyłącznie w zakresie określonym w inicjującej to postępowanie skardze.

Dalej zaś, na 15 stronach, następuje uzasadnienie.

A więc, jak widać, historia zdjęcia opublikowanego w serwisie NK jeszcze się nie kończy.