Na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2018 r., poz. 2096 ze zm.), art. 160 ust. 1 i 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2018 r., poz. 1000 ze zm.), art. 12 pkt 2 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r., poz. 922), art. 2 ust. 2 lit. c Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z 04.05.2016, str. 1 oraz Dz. Urz. UE L 127 z 23.05.2018, str. 2), po przeprowadzeniu postępowania administracyjnego w sprawie skargi Pana J.P., dotyczącej przetwarzania jego danych osobowych przez Pana K. J., – Prezes Urzędu Ochrony Danych Osobowych,
odmawia uwzględnienia wniosku.
UZASADNIENIE
Do Prezesa Urzędu Ochrony Danych Osobowych (poprzednio: Generalnego Inspektora Ochrony Danych Osobowych) wpłynęła skarga Pana J. P., zwanego dalej Skarżącym, dotycząca przetwarzania jego danych osobowych przez Pana K. J.
Skarżący zarzucał, iż Pan K. J. bezprawnie przetwarza jego dane osobowe, w tym kieruje na jego adres zamieszkania korespondencję.
Skarżący wniósł o nakazanie Panu K. J. usunięcia uchybień w procesie przetwarzania jego danych osobowych poprzez: a) trwałe usunięcie danych osobowych Skarżącego, z uwagi na brak stosownego oświadczenia o wyrażeniu zgody na przetwarzanie danych osobowych, jak i pozyskanie ich w sposób nieuprawniony; b) ustalenie w toku postępowania wyjaśniającego podmiotu, od którego K. J. pozyskał informację o danych osobowych Skarżącego, w szczególności w zakresie jego adresu, a nadto; c) przekazanie Skarżącemu informacji o poczynionych przez organ nadzorczy ustaleniach.
W toku postępowania administracyjnego przeprowadzonego w niniejszej sprawie Prezes Urzędu Ochrony Danych Osobowych (dalej: „Prezes UODO”) ustalił, co następuje.
1) Zarówno Skarżący, jak i Pan K. J. są wspólnikami spółki P. Sp. z o.o.
2) Skarżący, na swój adres zamieszkania, otrzymał adresowaną do niego imiennie korespondencję, której nadawcą był Pan K. J. Przedmiotowa korespondencja, nadana w placówce polskiego operatora pocztowego w dniu […] września 2016 r., skierowana była do wspólników spółki P. Sp. z o.o., jednym z których jest Skarżący (kopia pisma w aktach sprawy). Pan K. J. w przedmiotowym piśmie odniósł się do złej, jego zdaniem, kondycji finansowej spółki oraz zwrócił się do wspólników o podjęcie działań zmierzających do poprawy zaistniałej sytuacji.
3) W przesłanych do Prezesa Urzędu Ochrony Danych Osobowych wyjaśnieniach z dnia […] listopada 2016 r. Pan K. J. wskazał, iż w związku z planowanym spotkaniem wspólników, postanowił listownie poinformować ich o swoich obawach związanych z pogarszającą się sytuacją finansową spółki. List wysłany do Pana J. P. był listem prywatnym, zawierającym wyłącznie jego stanowisko w sprawie, która – jak sądził – powinna interesować wszystkich udziałowców, którzy zainwestowali w działalność spółki własne pieniądze. Jednocześnie Pan K. J. wyjaśnił, że wskazane pismo sporządził wyłącznie w celach osobistych, Skarżący nie występował zaś do niego z żądaniem usunięcia jego danych osobowych oraz zaprzestania kierowania na jego adres zamieszkania prywatnej korespondencji.
W tym stanie faktycznym Prezes Urzędu Ochrony Danych Osobowych zważył, co następuje.
Z dniem 25 maja 2018 r. w życie weszły przepisy ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2018 r., poz. 1000 ze zm.), zwanej dalej „u.o.d.o.”.
W myśl art. 160 ust. 1-3 ustawy, postępowania prowadzone przez Generalnego Inspektora Ochrony Danych Osobowych, wszczęte i niezakończone przed dniem wejścia w życie niniejszej ustawy, prowadzone są przez Prezesa Urzędu Ochrony Danych Osobowych na podstawie ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz.U. z 2016 r. poz. 922 ze zm.), zgodnie z zasadami określonymi w ustawie z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2018 r., poz. 2096 ze zm.), zwanej dalej „k.p.a”. Jednocześnie, czynności dokonane w postępowaniach, wszczętych i niezakończonych przed dniem wejścia w życie przepisów u.o.d.o., pozostają skuteczne.
Od dnia 25 maja 2018 r. zastosowanie ma również rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z 04.05.2016, str. 1 ze zm.), zwane dalej „Rozporządzeniem 2016/679”.
Uwzględniając powyższe stwierdzić zatem należy, iż niniejsze postępowanie, wszczęte i niezakończone przed dniem 25 maja 2018 r., prowadzone jest na podstawie ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (w zakresie dotyczącym przepisów regulujących procedurę administracyjną) oraz na podstawie Rozporządzenia 2016/679 (w zakresie rozstrzygającym o legalności procesu przetwarzania danych osobowych). Wynikający w przepisów prawa sposób prowadzenia postępowań w sprawach rozpoczętych i nie zakończonych przed dniem wejścia w życie nowych regulacji z zakresu ochrony danych osobowych koreluje z ugruntowanym stanowiskiem doktryny, zgodnie z którym „organ administracji publicznej ocenia stan faktyczny sprawy według chwili wydania decyzji administracyjnej. Reguła ta odnosi się także do oceny stanu prawnego sprawy, co oznacza, że organ administracji publicznej wydaje decyzję administracyjną na podstawie przepisów prawa obowiązujących w chwili jej wydania” (Komentarz do ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. 00.98.1071) M. Jaśkowska, A. Wróbel, Lex., el/2012).
Mając powyższe na uwadze, Prezes UODO dokonał na podstawie zgromadzonego w niniejszej sprawie materiału dowodowego, oceny przetwarzania danych osobowych Skarżącego w kontekście przepisów Rozporządzenia 2016/679.
Zdaniem Prezesa UODO, przepisy te nie dają w przedmiotowej sprawie podstawy do stwierdzenia, iż Skarżący może skorzystać z ochrony w nich przewidzianej. Stosownie bowiem do treści art. 2 ust. 2 lit. c) Rozporządzenia 2016/679, nie znajduje ono zastosowania m.in. w sytuacji przetwarzania danych osobowych przez osobę fizyczną, w ramach czynności o czysto osobistym lub domowym charakterze. Jednocześnie, jak wynika z rozwinięcia wskazanej normy, zawartego w motywie 18 preambuły Rozporządzenia 2016/679, przez „działalność o czysto osobistym lub domowym charakterze” należy rozumieć taką działalność, która pozostaje bez związku z działalnością zawodową lub handlową osoby fizycznej. Tym samym, działalność osobista lub domowa może polegać m.in. na korespondencji i przechowywaniu adresów, podtrzymywaniu więzi społecznych oraz działalności internetowej podejmowanej w ramach takiej działalności. Przytoczona definicja prowadzi do wniosku, iż przetwarzanie danych na własny użytek (np. w osobistych notatnikach, prywatnych komputerach czy innych prywatnych urządzeniach umożliwiających zautomatyzowane przetwarzanie danych), nie pozostające w związku z prowadzoną działalnością gospodarczą, bądź działaniami, które mogłyby przynieść jakiekolwiek korzyści majątkowe, nie jest objęte reżimem obecnie obowiązujących norm prawnych z zakresu ochrony danych osobowych.
Na marginesie należy wskazać, iż podobne rozwiązanie funkcjonowało w poprzednio obowiązującym stanie prawnym, na gruncie przepisów ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych. Zgodnie z art. 3 ust. 2 pkt 2 powołanego aktu prawnego, przepisy w nim zawarte znajdowały zastosowanie do osób fizycznych i osób prawnych oraz jednostek organizacyjnych niebędących osobami prawnymi, jeżeli przetwarzały one dane osobowe w związku z działalnością zarobkową, zawodową lub dla realizacji celów statutowych. Jednocześnie jednak, art. 3a ust. 1 pkt 1 wprowadzał wyłączenie, zgodnie z którym przepisów ustawy nie stosowało się do osób fizycznych, które przetwarzały dane wyłącznie w celach osobistych i domowych.
Przenosząc powyższe rozważania na grunt niniejszej sprawy należy stwierdzić, iż zgromadzony materiał dowodowy nie dał podstawy by przyjąć, że przetwarzanie danych osobowych Skarżącego przez Pana K. J. odbywało się w celach innych, aniżeli osobiste. W ocenie Prezesa UODO, proces przetwarzania danych osobowych Skarżącego nie był związany z działalnością zarobkową, zawodową czy statutową Pana K. J. Jak ustalono w toku postępowania, wyżej wymieniony – mając na względzie planowany termin spotkania udziałowców P. Sp. z o.o. oraz pogarszającą się sytuację finansową spółki – postanowił poinformować wspólników o swoich obawach z tym faktem związanych. Jednocześnie, jak wynika z wyjaśnień Pana K. J., pismo w którym kwestionował on sposób zarządzania spółką skierowane do Skarżącego, jak i pozostałych udziałowców, sporządził wyłącznie w celach osobistych, z czym nie sposób się nie zgodzić. Treść rzeczonej korespondencji nie wskazuje na to, aby charakter czynności polegającej na przygotowaniu pisma oraz jego wysyłce był inny, aniżeli czysto osobisty, Pan K. J. wyjawił bowiem w piśmie wyłącznie swoje obawy i prywatnie sformułowane wnioski dotyczące kondycji spółki, której jest wspólnikiem. Wbrew twierdzeniom Skarżącego, w skierowanym do niego piśmie brak jest elementów wskazujących na możliwość nakłaniania go do zbycia udziałów P. Sp. z o.o., co prowadzi do wniosku, iż Pan K. J. nie osiągnąłby żadnych korzyści majątkowych w związku z przetwarzaniem danych osobowych Skarżącego. Autor spornej korespondencji nie zasiadał też nigdy w organach spółki, co wyłącza, zdaniem Prezesa UODO, możliwość zakwalifikowania jego działania jako czynności o charakterze zawodowym. Nadto, w ocenie Prezesa UODO brak jest w przedmiotowym piśmie treści świadczących o tym, by Pan K. J. działał w imieniu i na rzecz innego podmiotu.
Zdaniem Prezesa UODO, z depozycji Skarżącego, jak i dowodów złożonych na ich poparcie nie wynika w sposób przekonywujący, aby działania Pana K. J., w powiązaniu z okolicznościami przetwarzania przez niego danych osobowych Skarżącego, stanowiły działania o charakterze innym niż osobisty. Z tego też powodu, opisywane w skardze przetwarzanie danych osobowych Skarżącego nie może korzystać z ochrony wynikającej z przepisów Rozporządzenia 2016/679. Brak możliwości stosowania przepisów o ochronie danych osobowych w tej konkretnej, indywidualnej sprawie, warunkuje konieczność wydania decyzji w przedmiocie odmowy uwzględnianie wniosku Skarżącego. Jednocześnie, wobec braku podstaw prawnych do dalszego procedowania, Prezes UODO odstąpił od badania sposobu pozyskania danych osobowych Skarżącego przez Pana K. J. Prowadzenie w tym zakresie dodatkowych czynności dowodowych nie miałoby wpływu na sposób rozstrzygnięcia niniejszej sprawy, powodując jedynie zbędne przedłużenie postępowania administracyjnego.
Prezes UODO wskazuje natomiast, iż ewentualną regulacją na gruncie, której Skarżący może poszukiwać ochrony prawnej oraz dochodzić swych roszczeń jest ustawa z dnia 23 kwietnia 1964 r. Kodeks cywilny (Dz. U. z 2019 r., poz. 1145) zwany dalej „k.c.”. Stosownie bowiem do treści art. 23 k.c. niezależnie od ochrony przewidzianej w innych przepisach, dobra osobiste człowieka, w tym również prawo do prywatności, pozostają pod ochroną prawa cywilnego. Przepis z art. 24 k.c. gwarantuje osobie, której dobro osobiste zostało zagrożone, uprawnienie do wystąpienia z żądaniem zaniechania działania naruszającego dobro osobiste, a w razie już dokonanego naruszenia żądania, ażeby osoba, która dopuściła się naruszenia, dopełniła czynności potrzebnych do usunięcia jego skutków, w szczególności ażeby złożyła oświadczenie odpowiedniej treści i w odpowiedniej formie. Jednocześnie w myśl art. 448 k.c., w razie naruszenia dobra osobistego sąd może przyznać temu, czyje dobro zostało naruszone odpowiednią sumę tytułem zadośćuczynienia za doznaną krzywdę lub na jego żądanie zasądzić odpowiednią sumę pieniężną na wskazany przez niego cel społeczny, niezależnie od innych środków potrzebnych do usunięcia skutków naruszenia.
W tym stanie faktycznym i prawnym Prezes Urzędu Ochrony Danych Osobowych rozstrzygnął, jak w sentencji.
Na podstawie art. 127 § 3 Kpa od niniejszej decyzji stronie przysługuje prawo do wniesienia wniosku o ponowne rozpatrzenie sprawy w terminie 14 dni od dnia doręczenia decyzji stronie. Jeżeli strona nie chce skorzystać z prawa do złożenia wniosku o ponowne rozpatrzenie sprawy, ma prawo do wniesienia skargi na decyzję do Wojewódzkiego Sądu Administracyjnego w Warszawie w terminie 30 dni od dnia doręczenia jej stronie. Skargę wnosi się za pośrednictwem Prezesa Urzędu Ochrony Danych Osobowych (adres: ul. Stawki 2, 00-193 Warszawa). Wpis od skargi wynosi 200 złotych. Strona ma prawo ubiegania się o prawo pomocy, w tym zwolnienie od kosztów sądowych.
