ZKE.440.47.2019

Na podstawie art. 138 § 1 pkt 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2020 r., poz. 256) w zw. z art. 160 ust. 1 i 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r., poz. 1781) oraz art. 12 pkt 2 i art. 22 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r., poz. 922 ze zm.), po przeprowadzeniu postępowania administracyjnego w sprawie wniosku Pana K. C., o ponowne rozpatrzenie sprawy zakończonej decyzją Generalnego Inspektora Ochrony Danych Osobowych z 12 maja 2017 r. (sygn. DOLiS/DEC-570/17/38812,38814) w przedmiocie skargi Pana K. C. na przetwarzanie jego danych osobowych w celach marketingowych przez V. Sp. z o.o. Sp. k., Prezes Urzędu Ochrony Danych Osobowych

utrzymuje w mocy zaskarżoną decyzję.

Uzasadnienie

Do Generalnego Inspektora Ochrony Danych Osobowych (obecnie Prezesa Urzędu Ochrony Danych Osobowych) wpłynęła skarga Pana K. C. (zwanego dalej „Skarżącym”) na przetwarzanie jego danych osobowych w celach marketingowych przez V. Sp. z o.o. Sp. k. (zwaną dalej „Spółką”).

Skarżący złożył skargę na niezgodne z prawem przetwarzanie jego danych osobowych w postaci numeru jego telefonu przez lub na zlecenie Spółki. Przetwarzanie to miało polegać na wykonaniu lub zleceniu przez Spółkę wykonania na należący do niego numer telefonu połączeń telefonicznych mających miejsce w dniach […] marca 2016 r. o godz. 9.16 oraz […] marca 2016 r. o godz. 10.46. W ocenie Skarżącego działania te podejmowane były przez Spółkę lub na jej zlecenie ponieważ cyt. „konsultant wykonujący połączenie telefoniczne poinformował mnie, że działa w imieniu firmy akademia zdrowia i zachęcił mnie do odwiedzenia strony internetowej […]. Abonentem tej domeny jest zaś V.”.

Skarżący wniósł do Generalnego Inspektora Ochrony Danych Osobowych o cyt. „przeprowadzenie kontroli przetwarzania danych osobowych przez V., w tym o nakazanie V. zaprzestania przetwarzania moich danych osobowych”.

1. W toku postępowania o sygnaturze […], zainicjowanego skargą Skarżącego, Generalny Inspektor Ochrony Danych Osobowych dokonał następujących ustaleń.
2. Ze Skarżącym w dniach […] oraz […] marca 2016 r., kontaktowała się osoba podająca się za konsultanta, jak wskazał Skarżący cyt.: „(…) firmy akademia zdrowia i zachęcił mnie do odwiedzenia strony internetowej […]”.
3. Skarżący poinformował Generalnego Inspektora Ochrony Danych Osobowych, iż dokonał ustaleń, z których wynika, że abonentem strony internetowej […] jest Spółka. Zaznaczył również, iż zwracał się do Spółki o zaprzestanie przetwarzania jego danych osobowych.
4. Spółka, w wyjaśnieniach z dnia […] września 2016 r., poinformowała przez swojego  pełnomocnika Generalnego Inspektora Ochrony Danych Osobowych, iż nie przetwarza danych osobowych Skarżącego oraz nie udostępnia ich podmiotom trzecim; cyt.: „Dane Skarżącego nie są przechowywane i przetwarzane w żadnym zbiorze mojej Mandantki. V. sp. z o. o. sp. k. nie udostępnia danych Skarżącego żadnym osobom trzecim, ponieważ – jak zostało wcześniej wskazane – nie przechowuje danych Skarżącego”.
5. Pismem z dnia […] września 2016 r., pełnomocnik Spółki zaznaczył, iż cyt. „(…) żaden z pracowników Spółki nie wykonywał do niego [Skarżącego] żadnych połączeń telefonicznych, jak również [Spółka] nie przechowywała i nie przetwarzała jego [Skarżącego] danych w żadnym zbiorze”.
6. W wyjaśnieniach z dnia […] marca 2017 r., Spółka ponownie zaznacza, iż nie przetwarza i nie przetwarzała danych osobowych Skarżącego.
7. Spółka wyjaśnia, iż nie prowadzi działalności marketingowej; cyt.: „Spółka nie prowadzi działalności telemarketingowej (nie dzwoni do osób), nie organizuje spotkań sprzedażowych”.

Na podstawie zgromadzonego w sprawie materiału dowodowego Generalny Inspektor Ochrony Danych Osobowych uznał, że Spółka nie prowadzi wskazanej przez Skarżącego działalności marketingowej, w związku z czym nie przetwarzała oraz nie przetwarza danych osobowych Skarżącego w kwestionowany przez niego sposób. Wobec powyższego, decyzją administracyjną z dnia 12 maja 2017 r. (sygn. DOLiS/DEC-570/17/38812,38814), na podstawie art. 105 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2020 r., poz. 256), zwanej dalej „K.p.a.”, Generalny Inspektor Ochrony Danych Osobowych umorzył postępowanie w całości w związku z jego bezprzedmiotowością. Decyzja doręczona została Skarżącemu w dniu […] maja 2017 r., zaś pełnomocnikowi Spółki w dniu […] maja 2017 r. (zwrotne potwierdzenia odbioru w aktach sprawy).

W ustawowym terminie Skarżący złożył wniosek o ponowne rozpatrzenie sprawy zakończonej wyżej wskazaną decyzją. W uzasadnieniu wniosku Skarżący zarzucił decyzji, że Generalny Inspektor Ochrony Danych Osobowych cyt.: „ograniczył się do przyjęcia za prawdziwe oświadczeń naruszyciela – V. Sp. z o.o. Sp. k. w żaden sposób nie usiłując nawet ustalić stanu faktycznego w sprawie, w szczególności w żaden sposób nie odnosząc się do twierdzeń Skarżącego i przedstawionych przez Skarżącego wniosków dowodowych”. Skarżący dołączył do wniosku o ponowne rozpatrzenie sprawy: 1. wydruk ze strony internetowej […] zawierający wpisy (z […] kwietnia 2017 r. oraz […] maja 2017r.) anonimowej osoby podającej się za byłego pracownika Spółki opisujący sposób prowadzenia jej działań marketingowych, 2. wydruk z nieustalonej strony internetowej zawierający wpisy (z marca i kwietnia 2016 r.) anonimowych osób informujących, że za pomocą wskazanego przez Skarżącego numeru telefonu, z którego wykonano połączenia stanowiące przedmiot skargi, przedstawiane są im treści marketingowe Spółki. Skarżący podtrzymał swoje wnioski złożone uprzednio w postępowaniu, wnosząc ponadto o „skontrolowanie systemu informatycznego naruszyciela i przesłuchanie jego prezesa zarządu”.

Po ponownym przeanalizowaniu materiału dowodowego zgromadzonego w sprawie Prezes Urzędu Ochrony Danych Osobowych stwierdził, co następuje.

Z dniem 25 maja 2018 r. w krajach członkowskich Unii Europejskiej zaczęły być stosowane w przedmiocie ochrony danych osobowych przepisy Rozporządzenia Parlamentu Europejskiego i Rady UE 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z dnia 04.05.2016, str. 1, ze zmianą ogłoszoną w Dz. Urz. UE L 127 z dnia 23.05.2018, str. 2), zwane dalej „Rozporządzeniem 2016/679”. Również z dniem 25 maja 2018 r. weszła w życie na terytorium Rzeczpospolitej Polskiej ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r., poz. 1781), zwana dalej „u.o.d.o. 2018”, wdrażająca na terytorium Rzeczpospolitej Polskiej Rozporządzenie 2016/679 i uzupełniająca regulacje w tym akcie prawnym przewidziane.

W myśl art. 160 ust. 1 i 2 u.o.d.o. 2018, postępowania prowadzone przez Generalnego Inspektora Ochrony Danych Osobowych, wszczęte i niezakończone przed dniem wejścia w życie tej ustawy, prowadzone są przez Prezesa Urzędu Ochrony Danych Osobowych na podstawie ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r., poz. 922 ze zm.), zwanej dalej „u.o.d.o. 1997”, zgodnie z zasadami określonymi w ustawie z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego. Jednocześnie, zgodnie z art. 160 ust. 3 u.o.d.o. 2018, czynności dokonane w postępowaniach, wszczętych i niezakończonych przed dniem wejścia w życie jej przepisów, pozostają skuteczne.

Uwzględniając powyższe regulacje prawne stwierdzić zatem należy, iż niniejsze postępowanie, wszczęte i niezakończone przed dniem 25 maja 2018 r., prowadzone jest – w zakresie obejmującym przepisy regulujące procedurę postępowania – w oparciu o przepisy u.o.d.o. 1997 oraz K.p.a. Natomiast materialnoprawna ocena legalności i zgodności z prawem procesu przetwarzania danych osobowych powinna nastąpić w oparciu o przepisy Rozporządzenia 2016/679. Powyższe stwierdzenie zgodne jest z ugruntowanym stanowiskiem doktryny, zgodnie z którym „organ administracji publicznej ocenia stan faktyczny sprawy według chwili wydania decyzji administracyjnej. Reguła ta odnosi się także do oceny stanu prawnego sprawy, co oznacza, że organ administracji publicznej wydaje decyzję administracyjną na podstawie przepisów prawa obowiązujących w chwili jej wydania” (Komentarz do ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. 00.98.1071) M. Jaśkowska, A. Wróbel, Lex., el/2012). Jak stwierdził zaś Naczelny Sąd Administracyjny w wyroku z dnia 7 maja 2008 r. w sprawie o sygn. akt I OSK 761/07 cyt.: „badając […] legalność przetwarzania danych osobowych, GIODO ma obowiązek ustalenia, czy na datę wydawania rozstrzygnięcia w sprawie dane konkretnego podmiotu są przetwarzane oraz czy czynione to jest w sposób zgodny z prawem”. Ustalenie, że dane osobowe osoby szukającej ochrony swoich praw w postępowaniu przed organem ochrony danych osobowych nie są w chwili wydawania decyzji przetwarzane przez administratora, obliguje organ do zastosowania art. 105 § 1 K.p.a., tj. do umorzenia postepowania w związku z jego bezprzedmiotowością. Jak słusznie przy tym podkreślono w uzasadnieniu decyzji, której dotyczy wniosek Skarżącego o ponowne rozpatrzenie sprawy, „bezprzedmiotowość postępowania administracyjnego, o której stanowi art. 105 § 1 K.p.a. ma miejsce gdy brak jest któregoś z elementów materialnego stosunku prawnego”. Ustalenie braku takiego elementu (podmiotowego czy przedmiotowego) czyni niezasadnym dalsze prowadzenie postępowania ukierunkowanego na ocenę faktów mających miejsce w przeszłości i nie kontynuowanych w chwili orzekania. Dokonanie takiej oceny byłoby sprzeczne z charakterem decyzji administracyjnej jako aktu rozstrzygającego w sposób władczy o prawach i obowiązkach stron postępowania w ustalonym i aktualnym na chwilę jego wydania stanie faktycznym i prawnym. Możliwości dokonania takiej oceny w decyzji administracyjnej nie daje art. 18 ust 1 u.o.d.o. 1997 (mający, jako przepis proceduralny, zastosowanie w niniejszej sprawie na podstawie art. 160 ust. 2 u.o.d.o. 2018) dający Generalnemu Inspektorowi Ochrony Danych Osobowych (aktualnie Prezesowi Urzędu Ochrony Danych Osobowych) – w przypadku stwierdzenia naruszenia przepisów o ochronie danych osobowych – uprawnienie jedynie do nakazania przywrócenia stanu zgodnego z prawem (np. usunięcia nielegalnie przetwarzanych danych osobowych). Przepisy u.o.d.o. 1997 nie dają Prezesowi Urzędu Ochrony Danych Osobowych możliwości oceny naruszeń przeszłych, nie kontynuowanych w chwili orzekania, np. w celach represyjnych – mających na celu wyciągnięcie konsekwencji w związku z takimi naruszeniami. 

W niniejszej sprawie zasadniczą okolicznością stanu faktycznego i powodem umorzenia postępowania jest fakt, że Spółka w chwili wydania decyzji administracyjnej nie przetwarzała danych osobowych Skarżącego. Brakującym elementem stosunku prawnego łączącego Skarżącego ze Spółką, pozwalającym na rozstrzygnięcie sprawy co do jej istoty (o którym mowa powyżej), jest fakt przetwarzania przez Spółkę danych Skarżącego. Generalny Inspektor Ochrony Danych Osobowych ustalił brak tego elementu (faktu przetwarzania danych osobowych Skarżącego) w oparciu o kilkukrotne, konsekwentne, oświadczenia pełnomocnika Spółki złożone w postępowaniu (pismami z dni […] września 2016 r., […] września 2016 r. oraz […] marca 2017 r.). Wyjaśnienia pełnomocnika Spółki w tym zakresie (nieprzetwarzania aktualnie danych osobowych Skarżącego) Generalny Inspektor Ochrony Danych Osobowych uznał za wiarygodne, w szczególności w świetle faktu, że Skarżący ani w trakcie postępowania zakończonego wydaniem zaskarżonej decyzji (np. w swoim piśmie, które wpłynęło do Biura Generalnego Inspektora Ochrony Danych Osobowych […] maja 2017 r.), ani we wniosku o ponowne rozpatrzenie sprawy, ani także w toku niniejszego postępowania, nie wskazał na jakiekolwiek, mające miejsce po dacie […] marca 2016 r. (czyli dacie ostatniego z dwóch połączeń telefonicznych stanowiących przedmiot skargi), przesłanki wskazujące na przetwarzanie jego danych osobowych przez Spółkę. W szczególności Skarżący nie podniósł, że ze strony Spółki miały miejsce kolejne połączenia telefoniczne na jego numer telefonu. W tym miejscu wskazać należy, że dowody przedstawione przez Skarżącego w postępowaniu (wydruki wpisów anonimowych osób w serwisach internetowych, przedstawione w piśmie Skarżącego, które wpłynęło do Biura Generalnego Inspektora Ochrony Danych Osobowych […] maja 2017 r., oraz w załączeniu wniosku o ponowne rozpatrzenie sprawy) dotyczą ogólnie sposobu działania Spółki (nie konkretnie przetwarzania danych Skarżącego) w przeszłości (vide wpis osoby podającej za byłego pracownika Spółki). Za uznaniem, że Spółka aktualnie (według stanu na dzień wydania decyzji) nie prowadzi działalności, z którą związane mogło być przetwarzanie danych osobowych Skarżącego, przemawia również ustalona w toku niniejszego postępowania okoliczność, że strona internetowa Spółki o adresie […] aktualnie nie funkcjonuje.

Odnosząc się do zarzutu nieuwzględnienia wniosków dowodowych Skarżącego (przeprowadzenia kontroli systemu informatycznego Spółki oraz przesłuchania Prezesa Zarządu Spółki), za słuszne należy uznać wskazaną w uzasadnieniu Spółki niecelowość przeprowadzenia tych dowodów na okoliczność aktualnego przetwarzania przez Spółkę danych osobowych Skarżącego. Oczywistym jest, że dane osobowe Skarżącego, o ile znajdowały się w systemie informatycznym Spółki, w każdej chwili mogły zostać z niego usunięte; oświadczenie osób reprezentujących Spółkę o aktualnym nieprzetwarzaniu danych Skarżącego, złożone osobiście przed Prezesem Urzędu Ochrony Danych Osobowych, potwierdziłoby w takiej sytuacji jedynie okoliczność już ustaloną (na podstawie pisemnych oświadczeń pełnomocnika Spółki). Wobec takiego oświadczenia dalsze prowadzenie postępowania dowodowego, nakierowanego na ocenę stanu faktycznego mającego miejsce w przeszłości (badanie, czy w systemie informatycznym Spółki w przeszłości dane osobowe Skarżącego były przetwarzane, przesłuchanie osób reprezentujących Spółkę celem ustalenia okoliczności zdarzenia, które miało miejsce w przeszłości), byłoby już niezasadne. Ograniczenie uprawnienia strony postępowania administracyjnego do składania wniosków dowodowych względami celowości potwierdzone jest w orzecznictwie sądów administracyjnych, np. w przytoczonym w uzasadnieniu zaskarżonej decyzji wyroku NSA z 1 lipca 2016 r., sygn. akt II GSK 470/15.

Podsumowując stwierdzić należy, że w ocenie Prezesa Urzędu Ochrony Danych Osobowych, Generalny Inspektor Ochrony Danych Osobowych w postępowaniu zainicjowanym skargą Skarżącego wyjaśnił okoliczności faktyczne w takim stopniu, w jakim wymagało tego rozstrzygnięcie sprawy. W konsekwencji prawidłowego ustalenia stanu faktycznego sprawy Generalny Inspektor Danych Osobowych wydał prawidłowe rozstrzygnięcie zawarte w skarżonej decyzji administracyjnej z 12 maja 2017 r. o sygn. DOLiS/DEC-570/17/38812,38814.

W zaistniałym stanie faktycznym i prawnym Prezes Urzędu Ochrony Danych Osobowych rozstrzygnął jak w sentencji.

Decyzja jest ostateczna. Zgodnie z art. 53 § 1 ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2019 r. poz. 2325 ze zm.), od decyzji stronie przysługuje prawo wniesienia skargi do Wojewódzkiego Sądu Administracyjnego w Warszawie, w terminie 30 dni od dnia jej doręczenia, za pośrednictwem Prezesa Urzędu Ochrony Danych Osobowych (adres: ul. Stawki 2, 00 - 193 Warszawa). Jednakże w związku z obowiązującym w dniu wydania decyzji stanem epidemii, zgodnie z art. 15zzr ust. 1 pkt 1 ustawy z dnia 2 marca 2020 r. o szczególnych rozwiązaniach związanych z zapobieganiem, przeciwdziałaniem i zwalczaniem COVID-19, innych chorób zakaźnych oraz wywołanych nimi sytuacji kryzysowych (Dz. U. z 2020 r. poz. 374), bieg tego terminu aktualnie nie rozpocznie się; zacznie on biec w dniu następującym po ostatnim dniu obowiązywania stanu epidemii lub następującego po nim bezpośrednio ewentualnego stanu zagrożenia epidemicznego.

Wpis od skargi wynosi 200 zł. Strona ma prawo ubiegania się o prawo pomocy, w tym zwolnienie od kosztów sądowych.