WSA uchyla decyzję Prezesa UODO dotyczącą usunięcia danych

W marcu 2021 r. Prezes Urzędu Ochrony Danych Osobowych wydał decyzję, którą umorzył postępowanie w sprawie skargi obywatela na nieprawidłowości w procesie przetwarzania jego danych osobowych przez najpopularniejszą wyszukiwarkę internetową.

Obywatel ten w uzasadnieniu swojej skargi, że:

przetwarzanie jego danych osobowych przez G. i G1. polega na odsyłaniu do ww. strony internetowej po wpisaniu w wyszukiwarce jego imienia i nazwiska. Przetwarzanie danych skarżącego w ramach wyszukiwarki G. ma negatywny wpływ na jego karierę zawodową oraz prowadzoną działalność gospodarczą. Organ wskazał, że w związku z powyższym, skarżący wniósł o nakazanie Prezesa UODO usunięcia jego danych osobowych, w zakresie imienia i nazwiska z w/w adresu URL.

Organ nadzorczy zareagował na skargę i ustalił następujący stan faktyczny:

Adres URL, z którego usunięcia swoich danych żąda skarżący prowadzi do strony internetowej zawierającej informacje dotyczące projektu […], w ramach którego prowadzono wykopaliska archeologiczne w […]. Jednym z uczestników badań wykopaliskowych był jej sponsor K. S. (dowód: wyjaśnienia G. z dnia […] lipca 2020 r.).

Skarżący podkreślił, że informacje zawarte na stronie internetowej pod ww. adresem URL są nieprawdziwe i nie dotyczą jego osoby (dowód: pismo Skarżącego z dnia […] lutego 2020 r.).

Istota funkcjonowania wyszukiwarki G. opiera się na zbieraniu informacji dostarczanych przez serwery stron osób trzecich, w drodze przeglądania (skanowania) i indeksowania przeszukiwalnych części Internetu przez G1. Jeżeli administrator strony (webmaster) chce umożliwić G. lub innemu operatorowi wyszukiwarki przeglądanie i indeksowanie niektórych lub wszystkich informacji na swojej stronie, może zastosować standardowe mechanizmy kontroli (dowód: wyjaśnienia G1. z dnia […] lipca 2020 r,).

W odpowiedzi na żądanie skarżącego z dnia […] października 2019 r. G1 w dniu […] października 2019 r. odmówiła uwzględnienia wniosku skarżącego z uwagi na fakt, że opublikowane treści dotyczą działalności zawodowej skarżącego (dowód: wyjaśnienia G1 z dnia […] lipca 2020 r., kopia korespondencji e-mail z dnia […] i […] października 2019 r.).

W takich okolicznościach Prezes UODO wskazał dalej, powołując się na wyrok TSUE z dnia 5 czerwca 2018 r. w sprawie C-210/16, że w przypadku, gdy przedsiębiorstwo z siedzibą poza Unią Europejską ma kilka oddziałów w różnych państwach członkowskich, organ nadzorczy państwa członkowskiego może wykonywać uprawnienia w stosunku do oddziału tego przedsiębiorstwa, znajdującego się na terytorium tego państwa członkowskiego.

Działalność G. jest związana z działalnością G1. Organ stwierdził, że w związku z tym zarówno G. jak i G1 należy uznać za podmioty mające interes prawny w tym postępowaniu w rozumieniu art. 28 k.p.a. Zatem oba te podmioty są jego stronami.

Argumentem Prezesa UODO przemawiającym za wydaniem decyzji umarzającej postępowanie w omawianej skargi było okoliczność, że:

informacje zawarte na stronie internetowej znajdującej się pod adresem URL […] nie dotyczą skarżącego, tylko innej osoby o tym samym imieniu i nazwisku, na co – jak podkreślił organ – wskazał sam skarżący w treści skargi. Tym samym zdaniem organu do spraw ochrony danych osobowych skarżący nie jest uprawniony na podstawie art. 17 ust. 1 RODO do żądania niezwłocznego usunięcia danych osobowych z ww. adresu URL. Nie jest zatem możliwe zbadanie procesu przetwarzania danych osobowych skarżącego, gdyż daniem Prezesa UODO skarżony proces przetwarzania jego danych osobowych nie istnieje.

Wojewódzki Sąd Administracyjny w Warszawie, w orzeczeniu z listopada 2021 r. ,nie zgodził się z takim stanowiskiem i uchylił decyzję.

Zdaniem Sądu Prezes UODO umarzając zaskarżoną decyzją postępowanie administracyjne z uwagi na brak interesu prawnego skarżącego nie wykazał na tym etapie postępowania, że skarżący istotnie tego interesu prawnego w sprawie nie ma.

WSA w Warszawie odniósł się także do art. 28 k.p.a.:

Na gruncie RODO, interes prawny, o którym mowa w art. 28 k.p.a. wywodzić należy z faktu przetwarzania przez administratora danych osobowych osoby, która żąda podjęcia przez Prezesa UODO czynności przewidzianych w RODO w celu ochrony jej praw (w tym przypadku zdaniem strony naruszonych w związku z odmową usunięcia jej danych osobowych ze wskazanej w sprawie strony internetowej).

Twierdzenie organu, że w sprawie niniejszej skarżący nie ma interesu prawnego w dochodzeniu swoich praw na gruncie RODO, w zakresie zakwestionowanym w skardze do Prezesa UODO z dnia […] lutego 2020 r., Sąd uznał za dowolne i naruszające w związku z tym art. 80 k.p.a.

Zgodzić należało się z zarzutami skargi, że organ wyciągnął z materiału dowodowego wnioski z niego niewynikające. Jednocześnie Sąd nie stwierdził, na tym etapie postępowania, w jakim rozstrzygał organ, naruszenia art. 86 k.p.a., jak również art. 89 § 2 k.p.a.

Organ powołany do spraw ochrony danych osobowych przyjął w sprawie stanowisko, jak zaprezentowane przez G1, twierdząc w punkcie 4 ustaleń faktycznych zaskarżonej decyzji, że G1 nie przetwarza danych osobowych skarżącego i że informacje zawarte na wskazywanej przez niego stronie internetowej nie dotyczą skarżącego, tylko innej osoby o tym samym imieniu i nazwisku. W decyzji nie ma jednakże żadnych ustaleń, kogo (innego niż skarżący) miałyby dotyczyć dane osobowe, których przetwarzanie skarżący kwestionuje.

Nadto, wbrew twierdzeniu Prezesa UODO zawartemu w zaskarżonej decyzji, skarżący w treści skargi do Prezesa UODO nie wskazywał, że dane osobowe nie dotyczą jego osoby. Twierdzenie to nie znajduje oparcia w skardze skarżącego do Prezesa UODO z lutego 2020 r.

W zakresie tego, że dane osobowe wskazywane w wyniku wyszukiwania nie odnoszą się do osoby skarżącego Sąd przedstawił inny pogląd:

Twierdzenie skarżącego w skardze do Prezesa UODO, że informacje zawarte we wskazywanym w sprawie linku, odnoszące się do jego osoby są nieprawdziwe, albowiem jak twierdził nie miał nic wspólnego z Projektem […] i nie był jego sponsorem nie dawały podstaw do twierdzenia przez organ, że kwestionowane przetwarzanie danych osobowych nie dotyczy osoby skarżącego. Właśnie z uwagi na zarzucaną “nieprawdziwość informacji” skarżący dążył do usunięcia danych osobowych z wyszukiwarki G. pod wskazywanym linkiem.

Prezes UODO nie wyjaśnił dokładnie stanu faktycznego sprawy przez co rozumieć należy także ustalenia w zakresie uprawnienia skarżącego do żądania usunięcia danych osobowych ze wskazanego przez niego adresu URL. Twierdzenie organu o braku interesu prawnego skarżącego, które było podstawą do zastosowania art. 105 k.p.a., uznać należało tym samym za dowolne, albowiem niepoparte bezspornymi ustaleniami faktycznymi. Danie przez organ wiary stwierdzeniom G1 bez ich wszechstronnego rozważenia w decyzji, z jednoczesnym całkowitym zanegowaniem twierdzeń skarżącego, że chodzi o jego dane osobowe, przy których zdaniem skarżącego widnieją nieprawdziwe informacje, nakazywało stwierdzić, że organ uchylił się od należytego wypełnienia nałożonego na niego przez RODO zadania.

Prezes UODO umarzając postępowanie z uwagi na brak interesu prawnego skarżącego, nie wykazał, że dane osobowe, których skarżący domagał się usunięcia, nie dotyczą jego osoby.

Ponownie rozpatrując sprawę organ dopuści jako dowód wszystko, co może przyczynić się do wyjaśnienia sprawy. W przypadku wątpliwości, co do interesu prawnego skarżącego organ może zwrócić się do skarżącego o niezbędne wyjaśnienia, czy przedłożenie posiadanych dowodów. Prowadzenie postępowania przez Prezesa UODO w sprawach z zakresu ochrony danych osobowych, zwłaszcza w przypadku wątpliwości co do interesu prawnego wnioskodawcy lub zakresu żądania skierowanego do organu, powinno opierać się na współdziałaniu z osobą kwestionującą zgodność z prawem przetwarzania jej danych osobowych, przez co należy rozumieć dopuszczalność zwrócenia się przez organ do wnioskodawcy o doprecyzowanie, czy uzupełnienie informacji niezbędnych w danym postępowaniu. Tego rodzaju postępowanie uwzględniać będzie nie tylko zasadę prawdy obiektywnej (art. 7 k.p.a.), ale też zasadę prowadzenia postępowania w sposób budzący zaufanie uczestnika postępowania do władzy publicznej, w tym zasadę bezstronności i równego traktowania (art. 8 k.p.a.).

Pamiętać należy bowiem, że RODO chroni podstawowe prawa i wolności osób fizycznych, w szczególności ich prawo do ochrony danych osobowych (art. 1 ust. 2 RODO), zatem pozbawienie osoby fizycznej tej ochrony – poprzez stwierdzenie braku interesu prawnego – nie może opierać się na dowolności.