Decyzja

Na podstawie art. 105 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2018 r., poz. 2096 ze zm.), art. 160 ust. 1 i 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz.U. z 2019 r. poz. 1781) w zw. z art. 12 pkt 2 i art. 22 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r. poz. 922 ze zm.) oraz z art. 57 ust. 1 pkt a) i f) rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679  z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z 04.05.2016 r. str. 1 oraz Dz. Urz. UE L 127 z 23.05.2018 r. str. 2), po przeprowadzeniu postępowania administracyjnego w sprawie skargi Pana S. H na przetwarzanie przez I. Sp. z o.o. (dawniej: In. Sp. z o.o.) jego danych osobowych w zakresie imienia, nazwiska oraz adresu zamieszkania do celów windykacji należności, Prezes Urzędu Ochrony Danych Osobowych

umarza postępowanie.

UZASADNIENIE

Do Biura Generalnego Inspektora Ochrony Danych Osobowych (obecnie: Urzędu Ochrony Danych Osobowych) wpłynęła skarga Pana S. H., zwanego dalej „Skarżącym”, na przetwarzanie jego danych osobowych przez In. Sp. z o.o. (obecnie: I. Sp. z o.o.), zwaną dalej „Spółką”.

Z treści skargi wynika, że Spółka rozpowszechniała jego dane osobowe w zakresie imienia, nazwiska i adresu zamieszkania w związku powzięciem uzasadnionego podejrzenia popełnienia przestępstwa, tj. o czyn z art. 116 ust. 1 ustawy z dnia 4 lutego 1994 r. o prawie autorskim.  W związku z przedstawioną sytuacją Skarżący wniósł o (cyt.): ,,zaniechanie działań” podejmowanych przez Spółkę.

W toku postępowania przeprowadzonego w niniejszej sprawie Prezes Urzędu Ochrony Danych Osobowych ustalił następujący stan faktyczny:

1. Skarżący otrzymał od Spółki pismo z [...] czerwca 2015 r. wzywające go do zapłaty kwoty [...] zł w związku powzięciem uzasadnionego podejrzenia popełnienia przestępstwa o czyn z art. 116 ust. 1 ustawy z dnia 4 lutego 1994 r. o prawie autorskim i prawach pokrewnych, tj. iż jako końcowy użytkownik łącza rozpowszechniał w sieci Internet za pomocą programu komputerowego uTorrent 3.1.2 utwór audiowizualny pod tytułem [...], do którego wyłączne majątkowe prawa autorskie posiada F. Sp. z o.o. Wezwanie zawierało dane osobowe Skarżącego w zakresie imienia i nazwiska oraz adresu zamieszkania. W wezwaniu do zapłaty Spółka poinformowała, że dane osobowe Skarżącego zostały pozyskane przez F. Sp. z o.o. z akt postępowania prowadzonego przez Prokuratora Rejonowego w O. pod sygn. [...], w sprawie podejrzenia popełnienia przestępstwa z art. 116 ust. 1 o prawie autorskim i prawach pokrewnych, który – na podstawie danych takich jak między innymi adres IP z którego doszło do bezprawnego rozpowszechnienia w sieci Internet ww. utworu (nazwa rozpowszechnianego linku to: [...] – ustalił, iż Skarżący jest końcowym użytkownikiem łącza.
2. W wyjaśnieniach z [...] czerwca 2020 r. złożonych w ramach niniejszego postępowania, Spółka poinformowała, że:
1. F. Sp. z o.o. (przetwarzając dane osobowe Skarżącego na podstawie art. 23 ust. 1 pkt 5 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r. poz. 922 ze zm.), zwaną dalej ustawą z 1997 r., na mocy umowy powierzenia z [...] lipca 2014 r. przekazała Spółce dane osobowe Skarżącego  w zakresie jego imienia, nazwiska, adresu zamieszkania oraz danych dotyczących zobowiązania. Na mocy ww. umowy Spółka podejmowała działania w celu zaspokojenia roszczenia przysługującego F. Sp. z o.o. w związku z odpowiedzialnością przewidzianą w art. 79 ustawy z dnia 4 lutego 1994 r.  o prawie autorskim i prawach pokrewnych, która jest odpowiedzialnością deliktową z tytułu bezprawnego (bez podstawy ustawowej lub umownej) wkroczenia w cudze prawo wyłączne. Podstawą przetwarzania danych osobowych Skarżącego był więc art. 31 § 1 ustawy z 1997 r. w związku z art. 95 § 1 oraz art. 734 § 1 ustawy z dnia 23 kwietnia 1964 r. Kodeks cywilny. Po wejściu w życie Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku  z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z 04.05.2016 r. str. 1 oraz Dz. Urz. UE L 127 z 23.05.2018 r. str. 2), zwanego dalej ,,Rozporządzeniem 2016/17”, Spółka przetwarzała dane osobowe Skarżącego na podstawie art. 6 ust. 1 lit. c) i f) w związku z art. 74 ust. 4 ustawy z dnia 29 września 1994 r. o rachunkowości, celem spełnienia obowiązków podatkowych  i księgowych. W związku ze spłatą [...] czerwca 2015 r. roszczenia przysługującego F. Sp. z o.o. względem Skarżącego Spółka obecnie nie przetwarza danych osobowych Skarżącego (dane osobowe Skarżącego zostały trwale usunięte z dniem [...] stycznia 2020 r.). 

Po zapoznaniu się z całością zgromadzonego w sprawie materiału dowodowego, Prezes Urzędu Ochrony Danych Osobowych zważył, co następuje.

Z dniem wejścia w życie ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781), zwanej dalej „u.o.d.o. 2018”, tj. z dniem 25 maja 2018 r., Biuro Generalnego Inspektora Ochrony Danych Osobowych stało się Urzędem Ochrony Danych Osobowych. Postępowania prowadzone przez Generalnego Inspektora Ochrony Danych Osobowych, wszczęte i niezakończone przed dniem 25 maja 2018 r. prowadzone są przez Prezesa Urzędu Ochrony Danych Osobowych, na podstawie ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r. poz. 922 ze zm.), zgodnie z zasadami określonymi w ustawie z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2018 r. poz. 2096 ze zm.), zwanej dalej „k.p.a.”. Wszelkie czynności podjęte przez Generalnego Inspektora Ochrony Danych Osobowych przed dniem 25 maja 2018 r. pozostają skuteczne (art. 160 ust. 1–3 u.o.d.o. 2018).

Stosownie do art. 57 ust. 1 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku  z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych osobowych) (Dz. U. UE L 119 z 4.05.2016, str. 1 oraz Dz. Urz. UE L 127 z 23.05.2018 str. 2), zwanego dalej „Rozporządzeniem 2016/679”, bez uszczerbku dla innych zadań określonych na mocy tego rozporządzenia, każdy organ nadzorczy na swoim terytorium monitoruje i egzekwuje stosowanie tego rozporządzenia (lit. a) oraz rozpatruje skargi wniesione przez osobę, której dane dotyczą, lub przez umocowany przez nią – zgodnie z art. 80 Rozporządzeniem 2016/679 – podmiot, organizację lub zrzeszenie, w odpowiednim zakresie prowadzi postępowania w przedmiocie tych skarg i w rozsądnym terminie informuje skarżącego o postępach i wynikach tych postępowań (lit. f).

W tym miejscu wskazać należy, że Prezes Urzędu Ochrony Danych Osobowych wydając decyzję administracyjną zobowiązany jest do rozstrzygania w oparciu o stan faktyczny istniejący w chwili wydania tej decyzji. Jak podnosi doktryna „organ administracji publicznej ocenia stan faktyczny sprawy według chwili wydania decyzji administracyjnej. Reguła ta odnosi się także do oceny stanu prawnego sprawy, co oznacza, że organ administracji publicznej wydaje decyzję administracyjną na podstawie przepisów prawa obowiązujących w chwili jej wydania (…). Rozstrzyganie w postępowaniu administracyjnym polega na zastosowaniu obowiązującego prawa do ustalonego stanu faktycznego sprawy administracyjnej. W ten sposób organ administracji publicznej realizuje cel postępowania administracyjnego, jakim jest urzeczywistnienie obowiązującej normy prawnej w zakresie stosunków administracyjno-prawnych, gdy stosunki te tego wymagają” (Komentarz do ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego, M. Jaśkowska, A. Wróbel, Lex., el/2012). Również Naczelny Sąd Administracyjny – w wyroku z dnia 7 maja 2008 r. w sprawie o sygn. akt I OSK 761/07 stwierdził, iż cyt.: „badając bowiem legalność przetwarzania danych osobowych, GIODO ma obowiązek ustalenia, czy na datę wydawania rozstrzygnięcia w sprawie dane konkretnego podmiotu są przetwarzane oraz czy czynione to jest w sposób zgodny z prawem”.

Odnosząc powyższe do ustalonego stanu faktycznego, stwierdzić należy, że w toku prowadzonego postępowania wyjaśniającego Prezes Urzędu Ochrony Danych Osobowych ustalił, iż obecnie dane osobowe Skarżącego w zakresie jego imienia, nazwiska i adresu zamieszkania nie są przetwarzane przez Spółkę. Zostały one trwale usunięte z dniem [...] stycznia 2020 r.

Z powyższych względów postępowanie stało się bezprzedmiotowe i w związku z tym należało je umorzyć na podstawie art. 105 § 1 k.p.a., wobec jego bezprzedmiotowości.

Zgodnie z wyżej wskazanym przepisem, gdy postępowanie z jakiejkolwiek przyczyny stało się bezprzedmiotowe w całości lub w części, organ administracji publicznej wydaje decyzję o umorzeniu postępowania odpowiednio w całości lub w części. Brzmienie powołanego przepisu nie pozostawia wątpliwości, iż w razie stwierdzenia bezprzedmiotowości postępowania organ prowadzący to postępowanie obligatoryjnie je umarza. Jednocześnie w literaturze przedmiotu wskazuje się, że bezprzedmiotowość postępowania administracyjnego, o której stanowi art. 105 § 1 k.p.a. oznacza, że brak jest któregoś z elementów materialnego stosunku prawnego, a wobec tego nie można wydać decyzji załatwiającej sprawę przez rozstrzygnięcie jej co do istoty. Przesłanka umorzenia postępowania może istnieć jeszcze przed wszczęciem postępowania, co zostanie ujawnione dopiero w toczącym się postępowaniu, a może ona powstać także w czasie trwania postępowania, a więc w sprawie już zawisłej przed organem administracyjnym (B. Adamiak, J. Borkowski „Kodeks postępowania administracyjnego. Komentarz”, 14. Wydanie, Wydawnictwo C.H. Beck, Warszawa 2016 r., str. 491). Takie samo stanowisko zajął Wojewódzki Sąd Administracyjny w Krakowie w wyroku z dnia 27 lutego 2008 r. w sprawie o sygn. akt III SA/Kr 762/2007, w którym to stwierdził, że „postępowanie staje się bezprzedmiotowe, gdy brak któregoś z elementów stosunku materialnoprawnego, co powoduje, że nie można załatwić sprawy przez rozstrzygnięcie co do istoty”.

W niniejszej sprawie tym elementem stosunku materialnoprawnego, który przestał istnieć w trakcie postępowania, jest fakt przetwarzania przez Spółkę danych osobowych Skarżącego (w zakresie – ograniczonym treścią skargi i sformułowanymi w niej żądaniami – imienia i nazwiska oraz adresu zamieszkania). Stwierdzenie istnienia tego faktu pozwoliłoby dopiero rozstrzygnąć o jego legalności (istnieniu podstawy prawnej przetwarzania) i zgodności z przepisami o ochronie danych osobowych.

Ustalenie przez organ administracji publicznej istnienia przesłanki, o której mowa w art. 105 § 1 k.p.a. zobowiązuje go, jak podkreśla się w doktrynie i orzecznictwie, do umorzenia postępowania, albowiem brak jest podstaw do rozstrzygnięcia sprawy co do istoty, zaś dalsze prowadzenie postępowania w takim przypadku stanowiłoby o jego wadliwości, mającej istotny wpływ na wynik sprawy.

W tym stanie faktycznym i prawnym Prezes Urzędu Ochrony Danych Osobowych rozstrzygnął, jak w sentencji.

Na podstawie art. 127 § 3 k.p.a. od decyzji przysługuje stronie prawo do wniesienia wniosku o ponowne rozpatrzenie sprawy w terminie 14 dni od dnia jej doręczenia stronie. Jeżeli strona nie chce skorzystać z prawa do złożenia wniosku o ponowne rozpatrzenie sprawy, ma prawo do wniesienia skargi na decyzję do Wojewódzkiego Sądu Administracyjnego w Warszawie w terminie 30 dni od dnia doręczenia jej stronie. Skargę wnosi się za pośrednictwem Prezesa Urzędu Ochrony Danych Osobowych (adres: ul. Stawki 2, 00-193 Warszawa). Wpis od skargi wynosi 200 złotych. Strona ma prawo ubiegania się o prawo pomocy, w tym zwolnienie od kosztów sądowych.