DKE.523.36.2021

Na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2021 r. poz. 735), art. 60, art. 160 ust. 1, 2 i 3 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz.U. z 2019 r., poz. 1781) oraz art. 6 ust. 1, art. 17 ust. 3. lit. e), art. 57 ust. 1 lit. a) i lit. f) Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE, po przeprowadzeniu postępowania administracyjnego w sprawie skargi Pana C. W., zam. w S. przy ul. (…), dotyczącej nakazania R. sp. z o. o. z siedzibą w W. przy ul. (…), zaprzestania publikacji danych osobowych Skarżącego w wynikach wyszukiwarki internetowej portalu (…).pl, których treść obejmuje wyrok sądowy i dane dotyczące aresztowania Skarżącego w USA, Prezes Urzędu Ochrony Danych Osobowych

odmawia uwzględnienia wniosku.

UZASADNIENIE

Do Generalnego Inspektora Danych Osobowych (dalej także „GIODO”) aktualnie Prezesa Urzędu Ochrony Danych Osobowych (dalej także „Prezes UODO”) wpłynęła skarga Pana C. W., zam. w S. przy ul. (…), dotycząca nakazania R. sp. z o. o. z siedzibą w W. przy ul. (…), (zwanej dalej także „Spółką”) zaprzestania publikacji danych osobowych Skarżącego w wynikach wyszukiwania wyszukiwarki internetowej portalu (…).pl, których treść obejmuje wyrok sądowy i dane dotyczące aresztowania Skarżącego w USA, w zakresie następujących stron internetowych:

- (…)

- (…)

- (…)

Stan faktyczny

W toku przeprowadzonego postępowania Prezes Urzędu Ochrony Danych Osobowych ustalił następujący stan faktyczny.

1. Administratorem portalu internetowego (...).pl jest R.  sp. z o. o. z siedzibą w W. Portal (...).pl udostępnia użytkownikom wyszukiwarkę internetową, umożliwiającą przeszukiwanie zasobów zgromadzonych w Internecie. Dostęp do wyszukiwarki jest możliwy z poziomu głównej strony portalu (...).pl oraz pod adresem (...).pl. Operatorem wyszukiwarki jest G. Ltd. z siedzibą w Irlandii pod adresem (…), która dostarcza mechanizm wyszukiwarki oraz wyniki wyszukiwania.

2. Po wpisaniu imienia i/lub nazwiska Skarżącego, w konfiguracjach: „(…)”, „(…)” oraz „(…)” - w oknie wskazanej w pkt. 1. wyszukiwarki, wśród wyników wyszukiwania znajdują się odnośniki do stron internetowych, zwierających dane osobowe Skarżącego związane ze skazaniem w USA za przestępstwo (…):

- (…)

- (…)

- (…)

- (…)

3. Skarżący nie zwracał się do Spółki z wnioskiem o zaprzestanie przetwarzania jego danych osobowych w wynikach wyszukiwarki wskazanej w pkt. 1. W piśmie do organu z dnia 14 listopada 2019 r. Skarżący poinformował organ, że cyt.: „Informuję również ze nie występowałem z wnioskiem o usunięcie moich danych osobowych z wyników wyszukiwań wyszukiwarki (...) do podmiotu O. S.A. (…) W 2016 r. kiedy pisałem wnioski o usunięcie moich danych osobowych jedynie G. i M. udostępniały w tym celu formularze. Po odmownych odpowiedziach od G. i M. (…) zwątpiłem w podjęcie jakichkolwiek działań przez inne podmioty będące właścicielami wyszukiwarek, tym bardziej, ze zalecono mi rozwiązywanie sporów bezpośrednio z właścicielami witryn publikującymi moje dane osobowe.”

4. Powyższe ustalono na podstawie wyjaśnień oraz wydruków wyników wyszukiwania, przedstawionych przez Skarżącego, wyjaśnień R. sp. z o. o., oraz ustaleń własnych Organu, polegających na sprawdzeniu rezultatów wyszukiwania danych Skarżącego w wyszukiwarce wskazanej w pkt. 1. uzasadnienia.

Uzasadnienie prawne

5. Po przeanalizowaniu zgromadzonego w sprawie materiału dowodowego, Prezes Urzędu Ochrony Danych Osobowych stwierdza, co następuje.

Przepisy

6. Od dnia 25 maja 2018 r. zastosowanie ma rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych osobowych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1 oraz Dz. Urz. UE L 127 z 23.05.2018, str. 2), zwane dalej także „RODO”.
7. Z dniem 25 maja 2018 r. w życie weszły przepisy ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r., poz. 1781), zwana dalej także „ustawą o ochronie danych osobowych z 2018 r.”.
8. Zgodnie z art. 160 ust. 1-3 Ustawy o ochronie danych osobowych z 2018 r., postępowania prowadzone przez Generalnego Inspektora Ochrony Danych Osobowych, wszczęte i niezakończone przed dniem wejścia w życie niniejszej ustawy, prowadzone są przez Prezesa Urzędu Ochrony Danych Osobowych na podstawie ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz.U. z 2016 r. poz. 922 ze zm.), zgodnie z zasadami określonymi w Kodeksie postępowania administracyjnego. Jednocześnie, czynności dokonane w postępowaniach, wszczętych i niezakończonych przed dniem wejścia w życie przepisów ustawy o ochronie danych osobowych z 2018 r., pozostają skuteczne.
9. Zgodnie z art. 18 ust. 1 o ochronie danych osobowych (Dz.U. z 2016 r. poz. 922 ze zm.) w zw. z art. 160 ust. 1-3 Ustawy o ochronie danych osobowych z 2018 r., Prezes UODO z urzędu lub na wniosek osoby zainteresowanej, w drodze decyzji administracyjnej, nakazuje przywrócenie stanu zgodnego z prawem, a w szczególności usunięcie uchybień (pkt 1), uzupełnienie, uaktualnienie, sprostowanie, udostępnienie lub nieudostępnienie danych osobowych (pkt 2).
10. Przetwarzanie danych osobowych jest zgodne z prawem, gdy administrator danych legitymuje się co najmniej jedną z określonych w art. 6 ust. 1 RODO, materialnych przesłanek przetwarzania danych osobowych. Według wyżej wskazanego przepisu przetwarzanie danych osobowych jest zgodne z prawem wyłącznie, gdy zostanie spełniony jeden z wymienionych warunków: a) osoba, której dane dotyczą wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów; b) przetwarzanie jest niezbędne do wykonywania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy; c) przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze; d) przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej; e) przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi; f) przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem (art. 6 ust. 1 lit. f RODO).
11. Zgodnie z art. 17 ust. 1 RODO osoba, której dane dotyczą, ma prawo żądania od administratora niezwłocznego usunięcia dotyczących jej danych osobowych, a administrator ma obowiązek bez zbędnej zwłoki usunąć dane osobowe, m.in. jeżeli osoba, której dane dotyczą, wnosi sprzeciw na mocy art. 21 ust. 1 RODO wobec przetwarzania i nie występują nadrzędne prawnie uzasadnione podstawy przetwarzania lub osoba, której dane dotyczą, wnosi sprzeciw na mocy art. 21 ust. 2 wobec przetwarzania (lit. c).
12. Artykuł 21 ust. 1 RODO przyznaje osobie, której dane dotyczą prawo do tego, by w dowolnym momencie wnieść sprzeciw - z przyczyn związanych z jej szczególną sytuacją - wobec przetwarzania dotyczących jej danych osobowych opartego na art. 6 ust. 1 lit. e lub f, w tym profilowania na podstawie tych przepisów wskazując zarazem, że administratorowi nie wolno już przetwarzać tych danych osobowych, chyba że wykaże on istnienie ważnych prawnie uzasadnionych podstaw do przetwarzania, nadrzędnych wobec interesów, praw i wolności osoby, której dane dotyczą, lub podstaw do ustalenia, dochodzenia lub obrony roszczeń. W sytuacji, gdy żądanie przewidziane w art. 21 ust. 1 RODO jest zasadne, osoba, której dane dotyczą ma prawo skutecznie domagać się realizacji prawa do bycia zapomnianym (art. 17 ust. 1 lit. c RODO).
13. Przytaczając motyw 47 RODO należy wskazać, że podstawą prawną przetwarzania mogą być prawnie uzasadnione interesy administratora, w tym administratora, któremu mogą zostać ujawnione dane osobowe, lub strony trzeciej, o ile w świetle rozsądnych oczekiwań osób, których dane dotyczą, opartych na ich powiązaniach z administratorem nadrzędne nie są interesy lub podstawowe prawa i wolności osoby, której dane dotyczą. Taki prawnie uzasadniony interes może istnieć na przykład w przypadkach, gdy zachodzi istotny i odpowiedni rodzaj powiązania między osobą, której dane dotyczą, a administratorem, na przykład gdy osoba, której dane dotyczą, jest klientem administratora lub działa na jego rzecz. Należy uznać, że dochodzenie przez podmiot roszczeń finansowych jest prawnie uzasadnionym interesem administratora w rozumieniu RODO. Dochodzenie roszczeń i przetwarzanie w tym celu adekwatnych danych osobowych nie stanowi nieproporcjonalnego ograniczenia praw i wolności osoby, której dane dotyczą.

Ocena prawna

14. Odnosząc przytoczone wyżej przepisy i orzecznictwo do stanu faktycznego ustalonego w niniejszej sprawie należy w pierwszej kolejności ocenić, czy dane osobowe Skarżącego są przetwarzane zgodnie z prawem, tj. czy zostały spełnione przesłanki z art. 6 RODO. Istotne orzeczenie w tym zakresie w dniu 13 maja 2014 r. Trybunał Sprawiedliwości Unii Europejskiej, dalej jako „TSUE”, wydał wyrok sprawie C-131/12 Google Spain i Google Inc przeciwko Afencia Espanola de Pretección de Datos (AEPD) i Mario Costeja González, dalej jako „wyrok w sprawie Google Spain”, w którym uznano, że operatorzy wyszukiwarek przetwarzają dane osobowe w rozumieniu art. 2 dyrektywy 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w  zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych, dalej jako „dyrektywa 95/46/WE” (pkt. 27 i 28 wyroku w sprawie Google Spain). Operator wyszukiwarki internetowej określa bowiem cele i sposoby prowadzenia tej działalności, a więc przetwarzania w tych ramach danych osobowych i związku z tym na podstawie art. 2 lit. d dyrektywy 95/46/WE powinni oni zostać uznani za „administratora” przetwarzanych w ten sposób danych (pkt. 33 wyroku w sprawie Google Spain).
15. Istotne jest to, że przetwarzanie danych osobowych, które ma miejsce w ramach działania wyszukiwarki, różni się od tego dokonywanego przez wydawców stron internetowych i polegającego na zamieszczaniu tych danych na stronie internetowej oraz ma dodatkowy względem niego charakter (pkt. 35 wyroku w sprawie Google Spain). W wyroku TSUE w sprawie Google Spain, zasadnie, jako podstawę prawną w/w przetwarzania danych osobowych wskazano art. 7 lit. f dyrektywy 95/46/WE, czyli konieczność przetwarzania dla potrzeb wynikających z uzasadnionego interesu administratora lub stron trzecich, którym dane są ujawniane (pkt. 73 wyroku w sprawie Google Spain). Ustalenia dokonane przez Trybunał Sprawiedliwości w wyroku w sprawie Google Spain zachowują swoją aktualność pomimo uchylenia dyrektywy 95/46/WE. Artykuł 7 lit. f) dyrektywy 95/46/WE jest bowiem tożsamy z art. 6 ust. 1 lit. f) RODO. W wyroku w sprawie Google Spain TSUE wskazał, że prawa przewidziane w art. 7 i 8 Karty Praw Podstawowych są co do zasady nadrzędne wobec interesu, jaki odbiorcy mogą mieć w znalezieniu informacji w ramach wyszukiwania prowadzonego w przedmiocie imienia i nazwiska danej osoby. Jednak TSUE stwierdził jednocześnie, że nadrzędność prawa do prywatności i ochrony danych osobowych nie zachodzi, jeśli ze szczególnych powodów, takich jak rola odgrywana przez daną osobę w życiu publicznym, należy uznać, że ingerencja w prawa podstawowe tej osoby jest uzasadniona nadrzędnym interesem kręgu odbiorców, polegającym na posiadaniu dostępu do danej informacji, dzięki jej zawarciu na liście wyników wyszukiwania (zob. pkt 97 wyroku). Kryterium pełnienia roli w życiu publicznym jest wskazane także w wyroku TSUE w sprawie z dnia 24 września 2019 r. w sprawie C-136/17 GC, AF, BH, ED przeciwko Commision nationale de linformatique et des libertes (CNIL), dalej jako „wyrok w sprawie CNIL”, w odniesieniu do szczególnych kategorii danych (pkt 66 i 77 wyroku). Jak wskazuje Grupa Robocza Art. 29, TSUE uczynił tym samym wyjątek od zasady nadrzędności prawa do prywatności w przypadku wniosków o usunięcie linków z listy wyników wyszukiwania złożonych przez osoby, które odgrywają rolę w życiu publicznym, gdy istnieje interes ogółu społeczeństwa w posiadaniu dostępu do tych informacji. Grupa Robocza Artykuł 29 ds. Ochrony Danych w dniu 26 listopada 2014 r. przyjęła wytyczne dotyczące wykonania wyroku TSUE w sprawie Google Spain, dalej jako „wytyczne WP225”.
16. We wskazanych wytycznych WP225 została opracowana lista kryteriów, które mają być wykorzystywane przez organy ochrony danych przy ocenie zachowania zgodności z prawem ochrony danych osobowych odmowy uwzględnienia wniosków o usunięcie z listy wyników wyszukiwania przez operatorów wyszukiwarek. Wśród kryteriów, jakie należy wziąć pod uwagę przy ocenie wniosku o usunięcie danych osobowych są m.in. czy dotyczą osoby pełniącej funkcję publiczną, czy są prawdziwe, czy dotyczą działalności zawodowej, czy prywatnej, czy przetwarzanie danych wyrządza szkodę osobie, której dane dotyczą, czy dane mają nieproporcjonalnie negatywny wpływ na prywatność osoby, której dane dotyczą. Podkreślono, że dobrą zasadą przy ocenie interesu ogółu społeczeństwa w posiadaniu dostępu do określonych informacji udostępnianych w wynikach wyszukiwania na podstawie nazwiska osoby, której dane dotyczą jest ustalenie, czy posiadanie tych informacji mogłoby ochronić inne osoby przed niewłaściwym publicznym lub zawodowym zachowaniem osoby, której dane dotyczą.
17.  Z przedstawionej powyżej argumentacji wynika, że fakt przetwarzania danych osobowych przez wyszukiwarki internetowe nie oznacza jeszcze, że to przetwarzanie jest niezgodne z prawem. Podstawę prawną przetwarzania danych przez wyszukiwarki internetowe jest art. 6 ust. 1 lit. f) RODO tj. przetwarzanie niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem.
18. Rolą organu do spraw ochrony danych osobowych jest ocena zgodności z prawem przetwarzania danych osobowych. Warunkiem tej oceny jest - w przypadku przetwarzania tych danych przez wyszukiwarkę internetową – uprzednie skierowanie przez osobę, której dane dotyczą, wniosku do administratora wyszukiwarki, zawierającego sprzeciw wobec przetwarzania danych osobowych lub żądanie usunięcia tych danych. Dopiero informacja zwrotna od administratora, w postaci odrzucenia lub zignorowania tego wniosku, daje podstawy do kwestionowania zgodności z prawem takiego przetwarzania.
19. Skarżący nie występował do żadnego podmiotu z wnioskiem zawierającym sprzeciw wobec przetwarzania danych osobowych lub żądanie usunięcia tych danych z wyszukiwarki (...).pl. W niniejszym postępowaniu nie można zatem dokonać oceny zgodności z prawem przetwarzania danych Skarżącego w tej wyszukiwarce. Skarżący winien podjąć próbę realizacji swoich uprawnień, wynikających z art. 17 lub 21 RODO a dopiero na skutek ewentualnej odmowy lub braku odpowiedzi operatora wyszukiwarki, wnieść skargę do Prezesa UODO.
20. Wobec powyższego w rozpatrywanej sprawie brak jest podstaw do wydania przez Prezesa UODO jakiejkolwiek decyzji nakazującej przywrócenie stanu zgodności z prawem.
21. W tym stanie faktycznym i prawnym Prezes Urzędu Ochrony Danych Osobowych rozstrzygnął, jak w sentencji.

Pouczenie

Na podstawie art. 127 § 3 Kodeksu postępowania administracyjnego od decyzji przysługuje stronie prawo do wniesienia wniosku o ponowne rozpatrzenie sprawy w terminie 14 dni od dnia jej doręczenia stronie. Jeżeli strona nie chce skorzystać z prawa do złożenia wniosku o ponowne rozpatrzenie sprawy, ma prawo do wniesienia skargi na decyzję do Wojewódzkiego Sądu Administracyjnego w Warszawie w terminie 30 dni od dnia doręczenia jej stronie. Skargę wnosi się za pośrednictwem Prezesa Urzędu Ochrony Danych Osobowych (adres: ul. Stawki 2, 00- 93 Warszawa). Wpis od skargi wynosi 200 złotych. Strona ma prawo ubiegania się o prawo pomocy, w tym zwolnienie od kosztów sądowych.