ZKE.440.37.2019

Na podstawie art. 105 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2018 r., poz. 2096 ze zm.), art. 160 ust. 1 i 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz.U. z 2019 r. poz. 1781) w zw. z art. 12 pkt 2 i art. 22 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r. poz. 922 ze zm.) oraz z art. 57 ust. 1 pkt a) i f) rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z 04.05.2016 r. str. 1 oraz Dz. Urz. UE L 127 z 23.05.2018 r. str. 2), po przeprowadzeniu postępowania administracyjnego w sprawie skargi Pana M. W., na przetwarzanie przez A. S.A., jego danych osobowych w zakresie wzrostu i koloru oczu, pozyskanych wskutek wykonania i przechowywania kserokopii jego dowodu osobistego, Prezes Urzędu Ochrony Danych Osobowych

umarza postępowanie.

UZASADNIENIE

Do Biura Generalnego Inspektora Ochrony Danych Osobowych (obecnie: Urzędu Ochrony Danych Osobowych) wpłynęła skarga Pana M. W., zwanego dalej „Skarżącym”, na przetwarzanie jego danych osobowych, w zakresie wzrostu i koloru oczu, przez B. S.A. (aktualnie: A. S.A.), zwane dalej „Towarzystwem”. Skarżący podniósł, że Towarzystwo, w związku z likwidacją szkody komunikacyjnej o numerze […], zgłoszonej Towarzystwu […] lutego 2015 r., pozyskało fotokopię jego dowodu osobistego zawierającą m.in. informacje o jego wzroście i kolorze oczu, które to informacje – w jego ocenie – nie są niezbędne w procedurze likwidacji szkody. Dodatkowo Skarżący wskazał, że Towarzystwo nie poinformowało go o celu przetwarzania tych danych, naruszając tym samym obowiązek informacyjny ciążący na administratorze danych osobowych w stosunku do osoby, której dane przetwarza. W związku z przedstawioną sytuacją Skarżący wniósł o:

1. usunięcie przez Towarzystwo jego danych osobowych w zakresie wzrostu i koloru oczu, oraz o
2. wypełnienie przez Towarzystwo w stosunku do niego obowiązku informacyjnego poprzez wskazanie w jakim celu Towarzystwo przetwarza jego dane osobowe w zakresie wzrostu i koloru oczu.

W toku postępowania przeprowadzonego w niniejszej sprawie Prezes Urzędu Ochrony Danych Osobowych ustalił następujący stan faktyczny:

1. W lutym 2015 r., tj. w okresie, w którym miały miejsce zdarzenia stanowiące podstawę zarzutów Skarżącego sformułowanych w treści jego skargi, Skarżącego łączyła z Towarzystwem umowa ubezpieczenia Autocasco, w myśl której Towarzystwo zobowiązane było do wypłaty Skarżącemu odszkodowania w przypadku wystąpienia szkody komunikacyjnej na jego pojeździe.
2. W związku z zawartą umową ubezpieczenia Autocasco Towarzystwo pozyskało dane osobowe Skarżącego niezbędne „w celu realizacji umowy w zakresie likwidacji szkody majątkowej na pojeździe klienta”. Jako podstawę prawną przetwarzania danych osobowych Skarżącego Towarzystwo wskazało art. 23 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r. poz. 922 ze zm.), zwanej dalej „u.o.d.o. 1997” – pkt 1 tego przepisu (zgoda Skarżącego), jego pkt 2 (realizacja uprawnienia lub spełnienie obowiązku wynikającego z przepisu prawa) oraz jego pkt 3 (realizacja umowy zawartej ze Skarżącym).
3. W dniu […] lutego 2015 r. Skarżący zgłosił Towarzystwu szkodę komunikacyjną na swoim pojeździe, oznaczoną następnie przez Towarzystwo sygnaturą […].
4. W trakcie oględzin pojazdu Skarżącego dokonanych, w związku z likwidacją szkody, w dniu […] lutego 2015 r., rzeczoznawca dokonujący w imieniu Towarzystwa tej czynności wykonał fotokopię dowodu osobistego Skarżącego, pozyskując i utrwalając tym sposobem m.in. dane o wzroście i kolorze oczu Skarżącego. W podpisanym przez Skarżącego protokole oględzin zawarta została informacja o pełnej nazwie i adresie siedziby Towarzystwa jako administratora danych Skarżącego, o celu przetwarzania tych danych, o dobrowolności ich podania oraz o prawie osoby, której dane dotyczą, do dostępu do treści swoich danych i ich poprawiania. W tym samym dokumencie Skarżący wyraził zgodę na „przetwarzanie przez B. S.A. jego danych osobowych, a w przypadku wystąpienia szkody osobowej – również danych na temat stanu jego zdrowia, w celu związanym z likwidacją zgłaszanej szkody”.
5. W piśmie reklamacyjnym z […] marca 2015 r., skierowanym drogą elektroniczną (e-mail) do Towarzystwa, Skarżący zwrócił się do Towarzystwa o informację w jakim celu i na jakiej podstawie Towarzystwo gromadzi jego dane osobowe, uzyskane poprzez „zeskanowanie” jego dowodu osobistego, w szczególności dane o wzroście i kolorze oczu. Skarżący jednocześnie wniósł o „zaprzestanie przetwarzania danych w tym zakresie”.
6. W piśmie Towarzystwa z […] kwietnia 2015 r., stanowiącym odpowiedź na reklamację Skarżącego z […] marca 2015 r., Towarzystwo nie odniosło się do wniosków Skarżącego w zakresie przetwarzania jego danych osobowych.
7. W wyjaśnieniach złożonych w ramach niniejszego postępowania […] maja 2015 r., Towarzystwo poinformowało, że „B. przychylił się do żądania Klienta, stąd dane takie jak m.in. wzrost i kolor oczu Klienta zostały trwale usunięte z fotografii dowodu osobistego, jako dane faktycznie zbędne w procesie ustalania odpowiedzialności B. i wysokości świadczenia ubezpieczeniowego”. Pismem z […] października 2019 r. Towarzystwo przedstawiło dowód usunięcia kwestionowanych przez Skarżącego danych – kopię dowodu osobistego Skarżącego, z której usunięto wizerunek Skarżącego oraz informacje o jego wzroście i kolorze oczu.
8. Pismem z […] czerwca 2015 r. Towarzystwo poinformowało Skarżącego o usunięciu z posiadanej przez siebie fotokopii jego dowodu osobistego danych o jego wzroście i kolorze oczu.

Po zapoznaniu się z całością zgromadzonego w sprawie materiału dowodowego, Prezes Urzędu Ochrony Danych Osobowych zważył, co następuje.

Z dniem wejścia w życie ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781), zwanej dalej „u.o.d.o. 2018”, tj. z dniem 25 maja 2018 r., Biuro Generalnego Inspektora Ochrony Danych Osobowych stało się Urzędem Ochrony Danych Osobowych. Postępowania prowadzone przez Generalnego Inspektora Ochrony Danych Osobowych, wszczęte i niezakończone przed dniem 25 maja 2018 r. prowadzone są przez Prezesa Urzędu Ochrony Danych Osobowych, na podstawie ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r. poz. 922 ze zm.), zgodnie z zasadami określonymi w ustawie z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2018 r. poz. 2096 ze zm.), zwanej dalej „k.p.a.”. Wszelkie czynności podjęte przez Generalnego Inspektora Ochrony Danych Osobowych przed dniem 25 maja 2018 r. pozostają skuteczne (art. 160 ust. 1–3 u.o.d.o. 2018).

Stosownie do art. 57 ust. 1 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych osobowych) (Dz. U. UE L 119 z 4.05.2016, str. 1 oraz Dz. Urz. UE L 127 z 23.05.2018 str. 2), zwanego dalej „Rozporządzeniem 2016/679”, bez uszczerbku dla innych zadań określonych na mocy tego rozporządzenia, każdy organ nadzorczy na swoim terytorium monitoruje i egzekwuje stosowanie tego rozporządzenia (lit. a) oraz rozpatruje skargi wniesione przez osobę, której dane dotyczą, lub przez umocowany przez nią – zgodnie z art. 80 Rozporządzeniem 2016/679 – podmiot, organizację lub zrzeszenie, w odpowiednim zakresie prowadzi postępowania w przedmiocie tych skarg i w rozsądnym terminie informuje skarżącego o postępach i wynikach tych postępowań (lit. f).

W tym miejscu wskazać należy, że Prezes Urzędu Ochrony Danych Osobowych wydając decyzję administracyjną zobowiązany jest do rozstrzygania w oparciu o stan faktyczny istniejący w chwili wydania tej decyzji. Jak podnosi doktryna „organ administracji publicznej ocenia stan faktyczny sprawy według chwili wydania decyzji administracyjnej. Reguła ta odnosi się także do oceny stanu prawnego sprawy, co oznacza, że organ administracji publicznej wydaje decyzję administracyjną na podstawie przepisów prawa obowiązujących w chwili jej wydania (…). Rozstrzyganie w postępowaniu administracyjnym polega na zastosowaniu obowiązującego prawa do ustalonego stanu faktycznego sprawy administracyjnej. W ten sposób organ administracji publicznej realizuje cel postępowania administracyjnego, jakim jest urzeczywistnienie obowiązującej normy prawnej w zakresie stosunków administracyjno-prawnych, gdy stosunki te tego wymagają” (Komentarz do ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego, M. Jaśkowska, A. Wróbel, Lex., el/2012). Również Naczelny Sąd Administracyjny – w wyroku z dnia 7 maja 2008 r. w sprawie o sygn. akt I OSK 761/07 stwierdził, iż cyt.: „badając bowiem legalność przetwarzania danych osobowych, GIODO ma obowiązek ustalenia, czy na datę wydawania rozstrzygnięcia w sprawie dane konkretnego podmiotu są przetwarzane oraz czy czynione to jest w sposób zgodny z prawem”.

Odnosząc powyższe do ustalonego stanu faktycznego, stwierdzić należy, że w toku prowadzonego postępowania wyjaśniającego Prezes Urzędu Ochrony Danych Osobowych ustalił, iż obecnie dane osobowe Skarżącego w zakresie jego wzrostu i koloru oczu, nie są przetwarzane przez Towarzystwo. Zostały one usunięte ze znajdującej się w posiadaniu Towarzystwa kopii dowodu osobistego Skarżącego nie później niż […] maja 2015 r., to jest przed dniem złożenia przez Towarzystwo – w ramach niniejszego postępowania – oświadczenia o dokonaniu tej czynności.

Z powyższych względów postępowanie stało się bezprzedmiotowe i w związku z tym należało je umorzyć na podstawie art. 105 § 1 k.p.a., wobec jego bezprzedmiotowości.

Zgodnie z wyżej wskazanym przepisem, gdy postępowanie z jakiejkolwiek przyczyny stało się bezprzedmiotowe w całości lub w części, organ administracji publicznej wydaje decyzję o umorzeniu postępowania odpowiednio w całości lub w części. Brzmienie powołanego przepisu nie pozostawia wątpliwości, iż w razie stwierdzenia bezprzedmiotowości postępowania organ prowadzący to postępowanie obligatoryjnie je umarza. Jednocześnie w literaturze przedmiotu wskazuje się, że bezprzedmiotowość postępowania administracyjnego, o której stanowi art. 105 § 1 k.p.a. oznacza, że brak jest któregoś z elementów materialnego stosunku prawnego, a wobec tego nie można wydać decyzji załatwiającej sprawę przez rozstrzygnięcie jej co do istoty. Przesłanka umorzenia postępowania może istnieć jeszcze przed wszczęciem postępowania, co zostanie ujawnione dopiero w toczącym się postępowaniu, a może ona powstać także w czasie trwania postępowania, a więc w sprawie już zawisłej przed organem administracyjnym (B. Adamiak, J. Borkowski „Kodeks postępowania administracyjnego. Komentarz”, 14. Wydanie, Wydawnictwo C.H. Beck, Warszawa 2016 r., str. 491). Takie samo stanowisko zajął Wojewódzki Sąd Administracyjny w Krakowie w wyroku z dnia 27 lutego 2008 r. w sprawie o sygn. akt III SA/Kr 762/2007, w którym to stwierdził, że „postępowanie staje się bezprzedmiotowe, gdy brak któregoś z elementów stosunku materialnoprawnego, co powoduje, że nie można załatwić sprawy przez rozstrzygnięcie co do istoty”.

W niniejszej sprawie tym elementem stosunku materialnoprawnego, który przestał istnieć w trakcie postępowania, jest fakt przetwarzania przez administratora danych osobowych Skarżącego (w zakresie – ograniczonym treścią skargi i sformułowanymi w niej żądaniami – danych o wzroście i kolorze oczu Skarżącego). Stwierdzenie istnienie tego faktu pozwoliłoby dopiero rozstrzygnąć o jego legalności (istnieniu podstawy prawnej przetwarzania) i zgodności z przepisami o ochronie danych osobowych (w tym o wywiązaniu się przez administratora z ciążącego na nim obowiązku informacyjnego wobec Skarżącego).

Ustalenie przez organ administracji publicznej istnienia przesłanki, o której mowa w art. 105 § 1 k.p.a. zobowiązuje go, jak podkreśla się w doktrynie i orzecznictwie, do umorzenia postępowania, albowiem brak jest podstaw do rozstrzygnięcia sprawy co do istoty, zaś dalsze prowadzenie postępowania w takim przypadku stanowiłoby o jego wadliwości, mającej istotny wpływ na wynik sprawy.

W tym stanie faktycznym i prawnym Prezes Urzędu Ochrony Danych Osobowych rozstrzygnął, jak w sentencji.

Na podstawie art. 127 § 3 k.p.a. od decyzji przysługuje stronie prawo do wniesienia wniosku o ponowne rozpatrzenie sprawy w terminie 14 dni od dnia jej doręczenia stronie. Jeżeli strona nie chce skorzystać z prawa do złożenia wniosku o ponowne rozpatrzenie sprawy, ma prawo do wniesienia skargi na decyzję do Wojewódzkiego Sądu Administracyjnego w Warszawie w terminie 30 dni od dnia doręczenia jej stronie. Skargę wnosi się za pośrednictwem Prezesa Urzędu Ochrony Danych Osobowych (adres: ul. Stawki 2, 00-193 Warszawa). Wpis od skargi wynosi 200 złotych. Strona ma prawo ubiegania się o prawo pomocy, w tym zwolnienie od kosztów sądowych.