Decyzja

Na podstawie art. 105 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2018 r., poz. 2096 ze zm.), art. 160 ust. 1 i 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz.U. z 2018 r. poz. 1000 ze zm.) w zw. z art. 12 pkt 2 i  art. 22 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r. poz. 922 oraz z 2018 r. poz. 138) oraz z art. 57 ust. 1 pkt a) i f) rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z 04.05.2016, str. 1, ze zm.) po przeprowadzeniu postępowania administracyjnego w sprawie skargi Państwa B. i M. F. zam. Z., na przetwarzanie ich danych osobowych przez Spółdzielnię Mieszkaniową „M.” z siedzibą Z., Prezes Urzędu Ochrony Danych Osobowych

umarza postępowanie.

Uzasadnienie

Do Prezesa Urzędu Ochrony Danych Osobowych, dalej jako Prezes UODO, wpłynęła skarga Pana B. F. i Pani M. F., zam. Z., dalej jako Skarżący, na przetwarzanie ich danych osobowych przez Spółdzielnię Mieszkaniową „M.” z siedzibą Z., dalej jako Spółdzielnia.

Skarżący w treści skargi wskazali, że Spółdzielnia przetwarza ich dane osobowe bez podstawy prawnej wywieszając obwieszczenie komornika sądowego o licytacji ze wskazaniem lokalu (numer bloku oraz mieszkania) Skarżących, cyt.: „Spółdzielnia Mieszkaniowa wywiesiła w moim oraz w sąsiednich blokach na tablicy ogłoszeń xero obwieszczenia komorniczego o licytacji mieszkania przez komornika. W ogłoszeniu ukryto nasze imiona i nazwisko ale pozostawiono numer bloku oraz mieszkania co dla lokatorów nie stanowiło problemu o ustalenie o kogo chodzi.(…)”.

Na podstawie zebranego materiału dowodowego Prezes UODO, ustalił następujący stan faktyczny:

Spółdzielnia Mieszkaniowa „M.” w złożonych wyjaśnieniach z dnia […] czerwca 2015 r., sygnatura […], potwierdziła, cyt.: (…)wyjaśniamy, że na budynkach w zasobie Spółdzielni zostało udostępnione obwieszczenie Komornika […] w sprawie […] z dnia […] lutego 2015 r. o pierwszej licytacji prawa do lokalu położonego w Z., dodatkowo zanonimizowane w zakresie danych dłużnika obejmujących jego imię i nazwisko oraz adres zamieszkania, który nie musi być tożsamy z adresem licytowanego prawa do lokalu (…)”. „(…) Aktualnie Spółdzielnia nie przetwarza danych osobowych Skarżących oraz nie udostępnia w żaden sposób na tablicach ogłoszeń lub w innych miejscach danych osobowych Skarżących (…)”.

Po zapoznaniu się z całością zgromadzonego w sprawie materiału dowodowego, Prezesem UODO zważył, co następuje.

Na wstępie wskazać należy, iż z dniem 25 maja 2018 r., wraz z wejściem w życie ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2018 r. poz. 1000 ze zm.), Biuro Generalnego Inspektora Ochrony Danych Osobowych stało się Urzędem Ochrony Danych Osobowych. Postępowania prowadzone przez Generalnego Inspektora Ochrony Danych Osobowych, wszczęte i niezakończone przed 25 maja 2018 r. prowadzone są przez Prezesa Urzędu Ochrony Danych Osobowych, na podstawie ustawy z dnia 29 sierpnia 1997 r.o ochronie danych osobowych (Dz.U. z 2016 r. poz. 922 ze zm.) zgodnie z zasadami określonymi w Kodeksie postępowania administracyjnego. Wszelkie czynności podjęte przez Generalnego Inspektora Ochrony Danych Osobowych przed 25 maja 2018 r. pozostają skuteczne (art. 160 ust. 1- 3 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych).

Zgodnie z art. 18 ust. 1 ustawy z 29 sierpnia 1997 r. Generalny Inspektor w przypadku naruszenia przepisów o ochronie danych osobowych z urzędu lub na wniosek osoby zainteresowanej, w drodze decyzji administracyjnej, nakazuje przywrócenie stanu zgodnego z prawem, a w szczególności: 1) usunięcie uchybień, 2) uzupełnienie, uaktualnienie, sprostowanie, udostępnienie lub nieudostępnienie danych osobowych, 3) zastosowanie dodatkowych środków zabezpieczających zgromadzone dane osobowe, 4) wstrzymanie przekazywania danych osobowych do państwa trzeciego, 5) zabezpieczenie danych lub przekazanie ich innym podmiotom, 6) usunięcie danych osobowych.

Stosownie do art. 57 ust. 1 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz.U.UE.L.2016.119.1 z 04.05.2016, str. 1, ze zm.), zwanego dalej RODO, bez uszczerbku dla innych zadań określonych na mocy niniejszego rozporządzenia każdy organ nadzorczy na swoim terytorium monitoruje i egzekwuje stosowanie niniejszego rozporządzenia (lit. a) oraz rozpatruje skargi wniesione przez osobę, której dane dotyczą, lub przez podmiot, organizację lub zrzeszenie zgodnie z art. 80, w odpowiednim zakresie prowadzi postępowania w przedmiocie tych skarg i w rozsądnym terminie informuje skarżącego o postępach i wynikach tych postępowań, w szczególności jeżeli niezbędne jest dalsze prowadzenie postępowań lub koordynacja działań z innym organem nadzorczym (lit. f).

Zgodnie z art. 5 ust. 1 RODO, dane osobowe muszą być: a) przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą ("zgodność z prawem, rzetelność i przejrzystość"); b) zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach i nieprzetwarzane dalej w sposób niezgodny z tymi celami; dalsze przetwarzanie do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych nie jest uznawane w myśl art. 89 ust. 1 za niezgodne z pierwotnymi celami ("ograniczenie celu").

Zgodnie z art. 6 ust. 1 RODO, przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy - i w takim zakresie, w jakim - spełniony jest co najmniej jeden z poniższych warunków: a) osoba, której dane dotyczą wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów; b) przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy; c) przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze; d) przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej; e) przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi; f) przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem.

Katalog ww. przesłanek jest zamknięty, są one co do zasady równoprawne, każda ma charakter autonomiczny i niezależny, co oznacza, że spełnienie jednej z nich stanowi o zgodnym  z prawem przetwarzaniu danych osobowych. Nie można więc przy braku zgody osoby, której dane dotyczą, uznać, że administrator danych przetwarza jej dane osobowe bez podstawy prawnej, naruszając obowiązujące przepisy w zakresie danych osobowych, w szczególności RODO, ponieważ ustawodawca dopuścił możliwość przetwarzania danych także na mocy innych przesłanek. Należy jednak pamiętać, że ocena dopuszczalności przetwarzania danych musi być dokonywana każdorazowo w sposób zindywidualizowany z uwzględnieniem konkretnych okoliczności i celów przetwarzania danych.

Po rozpatrzeniu w całości zgromadzonego w sprawie materiału dowodowego Prezes Urzędu stwierdza, że Spółdzielnia  udostępniła dane osobowe Skarżących poprzez wywieszenie na ogólnodostępnych tablicach ogłoszeń znajdujących się w budynkach należących do zasobów Spółdzielni informacji zawierającej dane Skarżących w zakresie numeru ich bloku i mieszkania Skarżących bez podstawy prawnej, tj. bez spełnienia którejkolwiek z przesłanek legalności przetwarzania danych osobowych, określonych w art. 6 RODO. Informacje zawarte ww. ogłoszeniu stanowiły dane osobowe i pozwalały na identyfikacje osób, których te dane dotyczyły, gdyż osobom zamieszkującym w tym samym budynku łatwo było powiązać numer bloku i mieszkania z konkretną osobą.

Zgodnie z art. 953 ustawy z dnia 17 listopada 1964 r. Kodeks postepowania cywilnego (Dz. U. z 2018 r., poz. 1360 ze zm.) komornik ogłasza licytację przez publiczne obwieszczenie, w którym wymienia m. in. nieruchomość, która ma być sprzedana, ze wskazaniem miejsca jej położenia i przeznaczenia gospodarczego, imienia i nazwiska dłużnika wraz z podaniem księgi wieczystej i miejsca jej przechowania lub z oznaczeniem zbioru dokumentów i sądu, w którym zbiór ten jest prowadzony (§  1 pkt. 1). Na podstawie art. 955 Kodeksu postepowania cywilnego obwieszczenie o licytacji należy co najmniej dwa tygodnie przed jej terminem ogłosić publicznie na stronie internetowej oraz tablicy ogłoszeń sądu sprawującego nadzór nad egzekucją z nieruchomości, w lokalu organu gminy właściwego ze względu na miejsce położenia nieruchomości oraz na stronie internetowej Krajowej Rady Komorniczej (§  1). Na wniosek i koszt strony komornik może zarządzić ogłoszenie również w inny wskazany przez nią sposób, w szczególności w dzienniku poczytnym w danej miejscowości (§ 2).  W wymienionych przepisach brak podstawy prawnej do zamieszczania obwieszczeń o licytacji przez Spółdzielnię na budynkach będących w jej zasobach.

Odnosząc się do kwestionowanego udostępnienia danych Skarżących polegającego na wywieszeniu na ogólnodostępnej tablicy ogłoszeń informacji zawierającej dane Skarżących w zakresie numeru ich bloku i mieszkania Skarżących wskazać należy, iż proces ten obecnie nie występuje, bowiem jak oświadczyła Spółdzielnia obwieszczenia te zostały usunięte. Obecnie zatem stan naruszenia przepisów o ochronie danych  nie zachodzi.

Wobec powyższego należy wskazać, że zgodnie z art. 105 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz.  U. z 2018 r., poz. 2096 ze zm.), dalej Kpa, gdy postępowanie z jakiejkolwiek przyczyny stało się bezprzedmiotowe w całości albo w części, organ administracji publicznej wydaje decyzję o umorzeniu postępowania odpowiednio w całości albo w części.

W doktrynie prawa administracyjnego wskazuje się, że bezprzedmiotowość postępowania administracyjnego, o której mowa w art. 105 § 1 Kpa, oznacza że w danym postępowaniu administracyjnym brak jest któregoś z elementów materialnego stosunku, co w konsekwencji prowadzi do uniemożliwienia organowi administracji wydania decyzji rozstrzygającej daną sprawę co do istoty. Podkreśla się również, że ww. przesłanka umorzenia postępowania administracyjnego może powstać także w trakcie już toczącego się postępowania, a więc w sprawie już zawisłej przed danym organem [1].

Z kolei w orzecznictwie sądów administracyjnych wskazuje się, że bezprzedmiotowość postępowania oznacza powstanie sytuacji, w której sprawa administracyjna przestaje istnieć. Aby taki stan rzeczy zaistniał nastąpić musi takie zdarzenie prawne lub faktyczne, które spowodowałoby, że przestała istnieć ta szczególna relacja między faktem (sytuacją faktyczną danego podmiotu) a prawem (sytuacją prawną danego podmiotu), z którą prawo materialne łączy obowiązek konkretyzacji normy w postaci wydania decyzji administracyjnej[2].

Odnosząc powyższe uwagi do stanu faktycznego niniejszej sprawy należy wskazać, że Prezes Urzędu działając na podstawie i w granicach kompetencji przyznanych mu przepisami RODO, wydając decyzję w konkretnej sprawie bada stan faktyczny i prawny na dzień wydania danej decyzji. Z ustaleń Prezesa Urzędu wynika, że Spółdzielnia dokonała usunięcia obwieszczenia komornika sądowego, wywieszonego na ogólnodostępnych tablicach ogłoszeń, znajdujących się w budynkach należących do zasobów Spółdzielni, zawierającego dane Skarżących w zakresie numeru ich bloku i mieszkania. Mając na względzie, że obecnie Spółdzielnia nie przetwarza już danych osobowych Skarżących w zakwestionowany przez nich sposób, dalsze prowadzenie postępowania w niniejszej sprawie należy uznać za bezprzedmiotowe. Wobec powyższego, podlega ono umorzeniu na podstawie art. 105 § 1 Kpa.

W tym stanie faktycznym i prawnym Prezes Urzędu rozstrzygnął, jak w sentencji.

Na podstawie art. 160 ust. 1 i 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz.U. z 2018 r. poz. 1000) w zw. z art. 21 ust. 1 i art. 22 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r. poz. 922 oraz z 2018 r. poz. 138) w zw. z  art. 129 § 2 i art. 127 § 3 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2017 r. poz. 1257 oraz z 2018 r. poz. 149), stronie niezadowolonej z niniejszej decyzji przysługuje, w terminie 14 dni od dnia jej doręczenia, prawo złożenia do Prezesa Urzędu Ochrony Danych Osobowych wniosku o ponowne rozpatrzenie sprawy (adres: Urząd Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa). Jeżeli strona nie chce skorzystać z prawa do złożenia wniosku o ponowne rozpatrzenie sprawy, ma prawo na podstawie art. 52 § 3 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2016 r. poz. 718 ze zm.) do wniesienia skargi na decyzję do Wojewódzkiego Sądu Administracyjnego w Warszawie w terminie 30 dni od dnia doręczenia jej stronie. Skargę wnosi się za pośrednictwem Prezesa Urzędu Ochrony Danych Osobowych. Wpis od skargi wynosi 200 złotych. Strona ma prawo ubiegania się o zwolnienie od kosztów sądowych.