ZKE.440.13.2019

Na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2020 r., poz. 256) w związku z art. 160 ust. 1 i 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r., poz. 1781), art. 18 ust. 1 ustawy z dnia 29 sierpnia 1997 o ochronie danych osobowych (Dz. U. z 2016 r. poz. 922 ze zm.) oraz art. 5 ust. 1 lit. a) i art. 6 ust. 1 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z 04.05.2016, str. 1 oraz Dz. Urz. UE L 127 z 23.05.2018, str. 2), po przeprowadzeniu postępowania administracyjnego ze skargi L. B., na przetwarzanie jego danych osobowych przez P. Sp. z o.o., Prezes Urzędu Ochrony Danych Osobowych

nakazuje P. Sp. z o.o. przywrócenie stanu zgodnego z prawem przez usunięcie z serwisu internetowego […] danych osobowych Pana L. B. w zakresie jego imienia i nazwiska, sprawowanej przez niego funkcji, miejscowości zamieszkania oraz podpisu.

                                                                       Uzasadnienie

Do Generalnego Inspektora Ochrony Danych Osobowych (obecnie Prezesa Urzędu Ochrony Danych Osobowych) wpłynęła skarga Pana L. B. (zwanego dalej „Skarżącym”) na przetwarzanie przez spółkę P. Sp. z o.o. (zwaną dalej „Spółką”) jego danych osobowych, bez jego zgody, na portalu internetowym […]. Skarżący załączył do skargi kopię swojego pisma skierowanego […] marca 2014 r. do Spółki, zawierającego wniosek o usunięcie jego danych osobowych z tego portalu, oraz kopię odpowiedzi Redaktora Naczelnego pisma […], w którym informuje on Skarżącego, że cyt.: „nie jest nam wiadomym, żebyśmy przetwarzali w dzienniku […] dane Pana osoby”. W swojej skardze skierowanej do Generalnego Inspektora Ochrony Danych Osobowych Skarżący wniósł o „spowodowanie usunięcia” jego danych osobowych przetwarzanych na portalu internetowym […].

W toku postępowania administracyjnego przeprowadzonego w niniejszej sprawie Prezes Urzędu Ochrony Danych Osobowych (dalej: „Prezes UODO”) ustalił, co następuje.

1. Spółka jest właścicielem portalu internetowego o adresie […] oraz wydawcą funkcjonującego w ramach tego portalu (subdomena o adresie [...]) dziennika (tytułu prasowego) […]. Tytuł ten zarejestrowany został – zgodnie z Ustawą z dnia 26 stycznia 1984 r. – Prawo prasowe (Dz. U. z 2018 r. poz. 1914), zwaną dalej „Prawem prasowym” – przez Sąd Okręgowy w Gdańsku pod nr Rej. Pr. […]. Dziennik dostępny jest nieodpłatnie wyłącznie w formie elektronicznej na stronie […].
2. Jedną z sekcji portalu […] stanowi forum dyskusyjne ([…]), na którym zarejestrowani użytkownicy portalu mogą prowadzić dyskusje dotyczące […]. Osoba rejestrująca się na portalu zobowiązana jest podać co najmniej następujące dane o sobie: identyfikator, adres poczty elektronicznej oraz imię i nazwisko. Prawdziwość podanych danych osoba dokonująca rejestracji potwierdza akceptując stosowne oświadczenie. Spośród podanych danych Spółka weryfikuje wyłącznie adres poczty elektronicznej wysyłając na podany adres wiadomość z linkiem, za pomocą którego finalizowany jest proces rejestracji w portalu.
3. Wpisy na forum dyskusyjnym portalu […] moderowane są na żądanie; każdy zarejestrowany użytkownik portalu może zgłosić kwestionowany wpis do usunięcia. Spółka ocenia zasadność zgłoszenia i może odmówić usunięcia wpisu, informując o tym zgłaszającego, albo może usunąć wpis, informując o tym autora i występującego z żądaniem usunięcia. Spółka nie otrzymuje wpisu od jego autora i nie akceptuje jego treści przed opublikowaniem przez autora na forum dyskusyjnym. 
4. W ramach dyskusji prowadzonych przez użytkowników forum dyskusyjnego portalu […] opublikowane zostały dane osobowe Skarżącego w postaci jego imienia i nazwiska wraz z oznaczeniem – w niektórych przypadkach – sprawowanej przez niego funkcji Granicznego Lekarza Weterynarii w B. Ustalono, że dane te zostały użyte (i pozostają publicznie dostępne na dzień wydania niniejszej decyzji) w:
1. poście użytkownika o nicku […] z […] października 2012 r. opublikowanym w wątku dyskusji zatytułowanym […],
2. poście użytkownika o nicku […] z […] listopada 2012 r. opublikowanym w wątku dyskusji zatytułowanym […],
3. poście użytkownika o nicku […] z […] marca 2013 r. opublikowanym w wątku dyskusji zatytułowanym […]
4. poście użytkownika o nicku [...] z […] marca 2013 r. opublikowanym w wątku dyskusji zatytułowanym […],
5. poście użytkownika o nicku […] z […] kwietnia 2013 r. opublikowanym w wątku dyskusji zatytułowanym […]
6. poście użytkownika o nicku […] z […] lutego 2014 r. opublikowanym w wątku dyskusji zatytułowanym […],
7. poście użytkownika o nicku […] z […] stycznia 2015 r. opublikowanym w wątku dyskusji zatytułowanym […],
8. poście użytkownika o nicku […] z […] marca 2015 r. opublikowanym w wątku dyskusji zatytułowanym […],
9. poście użytkownika o nicku […] z […] lipca 2015 r. opublikowanym w wątku dyskusji zatytułowanym […].

5. Ustalono ponadto, że do dwóch postów z […] maja 2014 r. (z godz. 16.15 i godz. 16.34), opublikowanych w wątku dyskusji zatytułowanym […], użytkownik o nicku […] załączył fotokopie dwóch pism Skarżącego skierowanych do Generalnego Inspektora Ochrony Danych Osobowych, na których widnieje czytelny podpis Skarżącego, i w których wskazana jest miejscowość zamieszkania Skarżącego. Oba posty aktualnie również są publicznie dostępne na forum dyskusyjnym portalu.
6. Pismem z […] marca 2014 r. Skarżący zwrócił się do Spółki z prośbą o usunięcie jego danych osobowych z „portalu internetowego […] ([…]), informując jednocześnie, że jego dane osobowe przetwarzane są na tym portalu bez jakiejkolwiek jego zgody.
7. Pismem z […] marca 2014 r. Redaktor Naczelny dziennika […] (jednocześnie Prezes Zarządu Spółki) poinformował Skarżącego, że cyt.: „nie jest nam wiadomym, żebyśmy przetwarzali w dzienniku […] dane Pana osoby”, w związku z czym „nie wiemy jakie dane i skąd mielibyśmy usunąć”.
8. W ocenie Spółki – wyrażonej w wyjaśnieniach Redaktora Naczelnego dziennika […] (jednocześnie Prezesa Zarządu Spółki) złożonych w toku kontroli przeprowadzonej w Spółce w dniach […] września 2015 r. (sygn. akt kontroli […]) – wpisy zamieszczane na forum dyskusyjnym portalu […], w tym wpisy dotyczące Skarżącego, mają charakter listów do redakcji, i stanowią w związku z tym materiał prasowy w rozumieniu przepisów Prawa prasowego. Jako takie – w związku z tym, że nie naruszają istotnie praw i wolności Skarżącego – nie podlegają rygorom ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r. poz. 922 ze zm.), zwanej dalej „u.o.d.o. 1997” (stosownie do brzmienia jej art. 3a ust. 2).
9. Aktualnie Skarżący nie pełni funkcji Granicznego Lekarza Weterynarii w B. W związku z połączeniem Granicznego Inspektoratu Weterynarii w B. z Granicznym Inspektoratem Weterynarii w G., z dniem […] stycznia 2018 r. organem Inspekcji Weterynaryjnej właściwym dla przejścia granicznego w B. stał się Graniczny Lekarz Weterynarii w G.

Po zapoznaniu się z całością materiału dowodowego zebranego w sprawie Prezes Urzędu Ochrony Danych Osobowych zważył, co następuje.

Z dniem 25 maja 2018 r. w krajach członkowskich Unii Europejskiej zaczęły być stosowane w przedmiocie ochrony danych osobowych przepisy Rozporządzenia Parlamentu Europejskiego i Rady UE 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z dnia 04.05.2016, str. 1, ze zmianą ogłoszoną w Dz. Urz. UE L 127 z dnia 23.05.2018, str. 2), zwane dalej „Rozporządzeniem 2016/679”. Również z dniem 25 maja 2018 r. weszła w życie na terytorium Rzeczpospolitej Polskiej ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r., poz. 1781), zwana dalej „u.o.d.o. 2018”, wdrażająca na terytorium Rzeczpospolitej Polskiej Rozporządzenie 2016/679 i uzupełniająca regulacje w tym akcie prawnym przewidziane.

W myśl art. 160 ust. 1 i 2 u.o.d.o. 2018, postępowania prowadzone przez Generalnego Inspektora Ochrony Danych Osobowych, wszczęte i niezakończone przed dniem wejścia w życie tej ustawy, prowadzone są przez Prezesa Urzędu Ochrony Danych Osobowych na podstawie u.o.d.o. 1997, zgodnie z zasadami określonymi w ustawie z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2020 r., poz. 256), zwanej dalej „k.p.a.”. Jednocześnie, zgodnie z art. 160 ust. 3 u.o.d.o. 2018, czynności dokonane w postępowaniach wszczętych i niezakończonych przed dniem wejścia w życie jej przepisów, pozostają skuteczne.

Uwzględniając powyższe regulacje prawne stwierdzić zatem należy, iż niniejsze postępowanie, wszczęte i niezakończone przed dniem 25 maja 2018 r., prowadzone jest – w zakresie obejmującym przepisy regulujące procedurę postępowania – w oparciu o przepisy u.o.d.o. 1997 oraz k.p.a. Natomiast materialnoprawna ocena legalności i zgodności z prawem procesu przetwarzania danych osobowych powinna nastąpić w oparciu o przepisy Rozporządzenia 2016/679. Powyższe stwierdzenie zgodne jest z ugruntowanym stanowiskiem doktryny, zgodnie z którym „organ administracji publicznej ocenia stan faktyczny sprawy według chwili wydania decyzji administracyjnej. Reguła ta odnosi się także do oceny stanu prawnego sprawy, co oznacza, że organ administracji publicznej wydaje decyzję administracyjną na podstawie przepisów prawa obowiązujących w chwili jej wydania” (Komentarz do ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. 00.98.1071) M. Jaśkowska, A. Wróbel, Lex., el/2012).

W chwili zaistnienia okoliczności stanowiących przedmiot skargi w niniejszej sprawie obowiązywała u.o.d.o. 1997. W jej artykułach od 2 do 5 określony został przedmiotowy, podmiotowy i terytorialny zakres jej zastosowania. Od ogólnej zasady stosowania jej przepisów do wszystkich procesów przetwarzania danych osobowych prowadzonych przez osoby fizyczne i prawne, organy i podmioty publiczne oraz inne wszelkie inne podmioty mające siedzibę lub miejsce zamieszkania na terytorium Rzeczpospolitej Polskiej, albo w państwie trzecim, o ile przetwarzają dane osobowe przy wykorzystaniu środków technicznych znajdujących się na terytorium Rzeczypospolitej Polskiej, przewidziano szereg wyjątków i ograniczeń, z których istotnym dla oceny stanu faktycznego w niniejszej sprawie było wyłączenie przewidziane dla prasowej działalności dziennikarskiej. Art. 3a ust. 2 u.o.d.o. 1997 stanowił: „Ustawy, z wyjątkiem przepisów art. 14-19 i art. 36 ust. 1, nie stosuje się również do prasowej działalności dziennikarskiej w rozumieniu ustawy z dnia 26 stycznia 1984 r. – Prawo prasowe”, co oznaczało, że w odniesieniu do przetwarzania danych osobowych, dokonywanego w ramach prasowej działalności dziennikarskiej, wyłączono m.in. regulacje dotyczące zasad przetwarzania danych osobowych (Rozdział 3 u.o.d.o. 1997), praw osób, których dane dotyczą (Rozdział 4 u.o.d.o. 1997), w tym prawa żądania usunięcia swoich danych osobowych. Wyłączenie objęło także regulacje dotyczące kompetencji Generalnego Inspektora Ochrony Danych Osobowych do rozstrzygania w przedmiocie naruszeń praw osób, których dane przetwarzane były w związku z działalnością szeroko rozumianej prasy oraz w celu realizacji jej zadań i roli w społeczeństwie. Ochrona praw osób dotkniętych działalnością prasową realizowana była – ze względu na specyfikę tej działalności – w oparciu o przepisy Prawa prasowego.

Aktualnie obowiązujące w zakresie ochrony danych osobowych Rozporządzenie 2016/679 dało państwom członkowskim Unii Europejskiej uprawnienie do przyjęcia krajowych przepisów pozwalających pogodzić pozostające ze sobą w konflikcie prawo do ochrony danych osobowych (określone i chronione przepisami tego rozporządzenia) z wolnością wypowiedzi i informacji, w tym w zakresie przetwarzania danych osobowych dla potrzeb dziennikarskich (art. 85 ust. 1 Rozporządzenia 2016/679). W celu realizacji tego uprawnienia państwa członkowskie Unii Europejskiej uzyskały, sformułowane w art. 85 ust. 2 Rozporządzenia 2016/679,  prawo do określenia w swoim ustawodawstwie odstępstw lub wyjątków od przepisów Rozporządzenia 2016/679 dotyczących: zasad przetwarzania danych (rozdział II), praw osoby, której dane dotyczą (rozdział III), obowiązków administratora i podmiotu przetwarzającego (rozdział IV), przekazywania danych osobowych do państw trzecich lub organizacji międzynarodowych (rozdział V), niezależnych organów nadzorczych (rozdział VI), współpracy i spójności (rozdział VII) oraz szczególnych sytuacji związanych z przetwarzaniem danych (rozdział IX).

Korzystając z powyższych uprawnień ustawodawca krajowy, w art. 2 ust. 1 u.o.d.o. 2018, wyłączył stosowanie szeregu przepisów Rozporządzenia 2016/679, w tym m.in. zasad przetwarzania danych osobowych (w szczególności zasady zgodności przetwarzania z prawem – art. 5 ust. 1 lit. a – i związanych z tą zasadą przesłanek dopuszczalności przetwarzania danych – art. 6) oraz przepisów dotyczących praw osoby, której dane dotyczą (m.in. prawa do żądania usunięcia swoich danych czyli „prawa do bycia zapomnianym” – art. 17), do „działalności polegającej na redagowaniu, przygotowywaniu, tworzeniu lub publikowaniu materiałów prasowych w rozumieniu ustawy z dnia 26 stycznia 1984 r. – Prawo prasowe (…)”.

W niniejszej sprawie zasadniczą okolicznością wymagającą rozstrzygnięcia jest określenie czy w aktualnym (na dzień wydania niniejszej decyzji) stanie prawnym dane osobowe Skarżącego przetwarzane są przez Spółkę w ramach działalności polegającej na redagowaniu, przygotowywaniu, tworzeniu lub publikowaniu materiałów prasowych w rozumieniu Prawo prasowego, co wyłączyłoby – na mocy art. 2 ust. 1 u.o.d.o. 2018 – stosowanie przepisów Rozporządzenia 2016/679 w niniejszej sprawie i możliwość udzielenia przez Prezesa Urzędu Ochrony Danych Osobowych ochrony prawnej żądanej przez Skarżącego. W ocenie Spółki wpisy zamieszczane na forum dyskusyjnym portalu […], w tym wpisy dotyczące Skarżącego, mają charakter listów do redakcji, i stanowią w związku z tym materiał prasowy w rozumieniu przepisów Prawa prasowego.

W ocenie Prezesa Urzędu Ochrony Danych Osobowych wpisy na forum dyskusyjnym portalu […], nawet jeśli uznać, że są one listami do redakcji, nie stanowią materiału prasowego w rozumieniu przepisów Prawa prasowego.

Materiałem prasowym jest – zgodnie z art. 7 ust. 2 pkt 4 Prawa prasowego – każdy opublikowany lub przekazany do opublikowania w prasie tekst albo obraz o charakterze informacyjnym, publicystycznym, dokumentalnym lub innym, niezależnie od środków przekazu, rodzaju, formy, przeznaczenia czy autorstwa.

Jak wskazał Sąd Najwyższy w wyroku z 28 września 2000 r., wydanym w sprawie V KKN 171/98 (OSNKW 2001/3-4/31, LEX nr 45463), „w świetle Prawa prasowego listy do redakcji stanowią materiał prasowy pod warunkiem, że przesłane zostały do redakcji w celu ich opublikowania. Za publikacje materiałów prasowych odpowiedzialność ponosi redaktor naczelny. Opublikowanie listu do redakcji poprzedzać więc musi wymagane w art. 12 ust. 1 Prawa prasowego szczególnie staranne i rzetelne sprawdzenie informacji zawartych w liście do redakcji”. Podkreślenia wymaga w powyższej tezie konieczność uprzedniego przekazania materiału redakcji tytułu prasowego celem zapoznania się z nim oraz jego weryfikacji (co stanowi nie tyle prawo ile obowiązek redakcji). Taka procedura jest konieczna jeśli redakcja czy też wydawca ma wziąć pełną odpowiedzialność za opublikowany list lub za inny materiał pochodzący od osoby nie będącej członkiem redakcji. Jak ustalono w niniejszej sprawie, weryfikacja materiałów zamieszczanych na forum dyskusyjnym portalu […], miała charakter jedynie następczy (dotyczyła opublikowanych już wpisów) i fragmentaryczny (stanowiła reakcję na zgłoszenia użytkowników dotyczące konkretnych, kwestionowanych wpisów).

Jak słusznie ponadto zauważył w analogicznej (choć rozpatrywanej na gruncie prawa cywilnego) sytuacji Sąd Apelacyjny w Warszawie w wyroku z dnia 11 października 2012 r. w sprawie o sygn. VI A Ca 2/12 (LEX 1281135), „należy (…) odróżnić dwie świadczone przez stronę pozwaną usługi w sieci: nieodpłatnego udostępnienia przez nią informacji w formie dziennika w wersji elektronicznej (...). oraz usługę nieodpłatnego udostępnienia portalu dyskusyjnego (…). Internetowy portal dyskusyjny charakteryzuje powszechna dostępność i możliwość zamieszczania przez użytkowników sieci własnych opinii czy informacji, bez uprzedniego uzyskania zgody redakcji czy też wydawcy dziennika internetowego (...), jak i bez uzyskania uprzedniej zgody administratora serwisu internetowego. Jest to wynikiem szczególnego charakteru takiego komunikatora jakim jest Internet. Ten brak jakiegokolwiek wpływu ze strony redakcji na samą możliwość opublikowania komentarzy, nie mówiąc już o jakiejkolwiek ich uprzedniej weryfikacji powoduje, że tego rodzaju swobodnych wypowiedzi użytkowników sieci nie można traktować jako materiału prasowego. W szczególności nie są to jak twierdził powód listy do redakcji dziennika wydawanego w formie elektronicznej. (…) Użytkownicy portalu internetowego (...) nie przesyłają redakcji dziennika (...) swoich opinii i komentarzy w celu ich opublikowania na istniejącym na tymże portalu forum dyskusyjnym, tylko sami decydują o takiej publikacji. Redaktor naczelny wydawanego w powyższej formie dziennika nie może zatem odpowiadać za publikacje dokonane przez osoby trzecie, na umieszczenie których, ani na treść których nie miał wpływu”. W niniejszej sprawie oddzielenie – o którym mowa powyżej – usługi udostępnienia elektronicznego dziennika […] od usługi udostępnienia użytkownikom forum dyskusyjnego, wzmacnia jeszcze umieszczenie go na wydzielonej subdomenie portalu ([…] – adres email zarejestrowany dla tego tytułu prasowego). Forum dyskusyjne ([…]) funkcjonuje zaś w ramach głównej domeny portalu […].   

Podsumowując powyższe rozważania stwierdzić należy, że wpisy na forum dyskusyjnym portalu […] zawierające dane osobowe Skarżącego, nie stanowią materiału prasowego w świetle definicji zamieszczonej w art. 7 ust. 2 pkt 4 Prawa prasowego. Nie ma więc zastosowania w niniejszej sprawie wyłączenie stosowania przepisów Rozporządzenia 2016/679, o którym mowa w art. 2 ust. 1 u.o.d.o. 2018. Skarga Skarżącego wymaga rozpatrzenia na gruncie przepisów Rozporządzenia 2016/679, w tym przede wszystkim ustalenia legalności (istnienia podstawy prawnej) przetwarzania przez Spółkę danych osobowych Skarżącego. Przy tym ocena legalności przetwarzania przez Spółkę danych osobowych Skarżącego dokonana powinna być zgodnie ze stanem faktycznym i prawnym istniejącym w dniu wydania decyzji. Jak stwierdził bowiem Naczelny Sąd Administracyjny w wyroku wydanym w sprawie o sygn. akt I OSK 761/07, „badając […] legalność przetwarzania danych osobowych, GIODO ma obowiązek ustalenia, czy na datę wydawania rozstrzygnięcia w sprawie dane konkretnego podmiotu są przetwarzane oraz czy czynione to jest w sposób zgodny z prawem”.

W aktualnym stanie prawnym przetwarzanie danych osobowych, w tym ich udostępnianie, jest zgodne z prawem wówczas, gdy administrator danych legitymuje się jedną z przesłanek wymienionych w art. 6 ust. 1 Rozporządzenia 2016/679. Przesłanki te odnoszą się do wszelkich form przetwarzania danych wymienionych w art. 4 pkt 2 Rozporządzenia 2016/679, w tym do ich udostępniania. Warunki te są względem siebie równoprawne, co oznacza, że dla legalności procesu przetwarzania danych wystarczające jest spełnienie jednej z nich. Zgodnie z wyżej wskazanym przepisem „przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy - i w takim zakresie, w jakim - spełniony jest co najmniej jeden z poniższych warunków:

a) osoba, której dane dotyczą wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów;

b) przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy;

c) przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze;

d) przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej;

e) przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi;

f) przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem.”

Spółka nie wskazała żadnej przesłanki legalizującej przetwarzanie przez nią danych osobowych Skarżącego, ani na gruncie obowiązującej przed dniem 25 maja 2018 r. u.o.d.o. 1997, ani na gruncie obowiązującego po tej dacie Rozporządzenia 2016/679. Jest to konsekwencją przyjętego przez nią (błędnego, jak zostało to wyżej wykazane) stanowiska, że wpisy na forum internetowym zawierające dane osobowe Skarżącego są materiałem prasowym opublikowanym w ramach jej prasowej działalności dziennikarskiej, i jako takie nie podlegają regulacjom z zakresu ochrony danych osobowych.

Odnosząc przytoczony powyżej przepis art.  6 ust. 1 Rozporządzenia 2016/679 do stanu faktycznego niniejszej sprawy  stwierdzić należy, że oczywistym i bezspornym jest że, Spółka nie legitymuje się podstawami określonymi w lit. a)-d) tego przepisu (nie dysponuje zgodą Skarżącego na przetwarzanie jego danych, przetwarzanie to nie jest niezbędne do wykonania lub zawarcia umowy, nie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na Spółce i nie jest niezbędne do ochrony żywotnych interesów Skarżącego lub innej osoby fizycznej).

W ocenie Prezesa Urzędu Ochrony Danych Osobowych przetwarzanie przez Spółkę danych osobowych Skarżącego nie jest również przetwarzaniem niezbędnym do wykonania zadania realizowanego w interesie publicznym (art. 6 ust. 1 lit. e) Rozporządzenia 2016/679. Za takie zadanie można by uznać sformułowane w art. 1 Prawa prasowego funkcje i cele prasy polegające na „urzeczywistnieniu prawa obywateli do ich rzetelnego informowania, jawności życia publicznego oraz kontroli i krytyki społecznej”. Jednak aby uznać rozpatrywane w niniejszej sprawie działanie Spółki za działanie w interesie publicznym, musiałoby ono spełniać rygory Prawa prasowego gwarantujące prawidłową realizację tego zadania, w szczególności rygorów odnoszących się do wymogu szczególnej staranności i rzetelności przy zbieraniu i wykorzystaniu materiałów prasowych, o którym mowa w art. 12 ust. 1 pkt 1 Prawa prasowego, wymogu weryfikacji tekstu przekazanego do opublikowania stanowiącej – zgodnie z art. art. 7 ust. 2 pkt 4 Prawa prasowego – warunek uznania tego tekstu za materiał prasowy, a także rygoru odpowiedzialności redakcji i wydawcy tytułu prasowego za naruszenie prawa spowodowane opublikowaniem materiału prasowego, przewidzianej w art. 38 Prawa prasowego. W niniejszej sprawie, jak zostało to wyżej wykazane, rygory te nie zostały przez Spółkę zachowane, w związku z czym nie można uznać działania Spółki, w ramach którego przetwarzane są dane osobowe Skarżącego, za realizację zadania realizowanego w interesie publicznym.  

Spośród przesłanek legalizujących przetwarzanie danych osobowych, wymienionych w art. 6 Rozporządzenia 2016/679, Spółka mogłaby ewentualnie dopatrywać się podstawy prawnej przetwarzania danych osobowych Skarżącego w ostatniej przesłance, określonej w art. 6 ust. 1 lit f) Rozporządzenia 2016/679, to jest w swoim prawnie uzasadnionym interesie, którym mogłoby być prowadzenie działalności gospodarczej polegającej na wydawaniu elektronicznego dziennika […] oraz prowadzeniu portalu internetowego […] świadczącego dla swoich użytkowników m.in. usługę nieodpłatnego udostępnienia platformy dyskusyjnej. Jednakże należy podkreślić, że przesłanka ta nie ma charakteru bezwzględnego, ponieważ skonstruowana jest na zasadzie ważenia interesów. „Na jednej szali nakazuje umieścić prawnie uzasadniony interes administratora danych (lub osoby trzeciej), a na drugiej – wymagające ochrony podstawowe prawa i wolności osoby, której dane dotyczą. Jeżeli wynik tego ważenia interesów będzie wskazywał, że za przeważające należy uznać wymagające ochrony prawa podmiotu danych, to administrator nie powinien opierać przetwarzania danych na omawianej tu podstawie prawnej” (P. Fajgielski, Komentarz do art. 6 [w:] red. P. Fajgielski, Ogólne rozporządzenie o ochronie danych. Ustawa o ochronie danych osobowych. Komentarz. Wolters Kluwer Polska, 2018). W ocenie Prezesa Urzędu Ochrony Danych Osobowych trudno nie uznać nadrzędności prawa osoby fizycznej (nie pełniącej aktualnie funkcji publicznej) do ochrony swoich danych osobowych, które to prawo stanowi narzędzie realizacji konstytucyjnego prawa do ochrony życia prywatnego, czci i dobrego imienia (art. 47 Konstytucji Rzeczypospolitej Polskiej z dnia 2 kwietnia 1997 r. (Dz. U. z 1997 r., nr 78, poz. 483)), nad interesem gospodarczym Spółki. Dodatkowo wskazać należy, że przetwarzanie danych osobowych Skarżącego (nie pełniącego aktualnie funkcji publicznej) w postach użytkowników forum dyskusyjnego sprzed 8-5 lat (a więc mających wartość praktycznie tylko archiwalną) nie jest niezbędne do realizacji celów związanych z funkcjonowaniem dziennika […] i portalu internetowego […]. A tylko taka „niezbędność”, o której mowa w art. 6 ust. 1 lit f) Rozporządzenia 2016/679, czyli warunek od realizacji którego uzależniona jest realizacja interesu Spółki, upoważnia do powołania się na tę przesłankę legalizującą przetwarzanie danych osobowych. W ocenie Prezesa Urzędu Ochrony Danych Osobowych, prawnie uzasadniony interes Spółki nie doznałby w żadnym stopniu uszczerbku w wyniku zaprzestania przetwarzania danych osobowych Skarżącego.

Podsumowując stwierdzić należy, że – w ocenie Prezesa Urzędu Ochrony Danych Osobowych – Spółka nie dysponuje żadną ze wskazanych w art. 6 ust. 1 lit f) Rozporządzenia 2016/679 podstaw przetwarzania danych osobowych Skarżącego. Tym samym przewarzanie tych danych polegające na ich publikacji w portalu […] (w szczególności na forum dyskusyjnym tego portalu) stanowi naruszenie przepisu art. 5 ust. 1 lit. a) (zasady zgodności przetwarzania z prawem) w związku z art. 6 (zawierającym zamknięty katalog przesłanek legalizujących przetwarzanie danych osobowych) Rozporządzenia 2016/679. Stosownie zaś do art. 18 ust. 1 pkt 6 u.o.d.o. 1997, w przypadku naruszenia przepisów o ochronie danych osobowych, Prezes Urzędu Ochrony Danych Osobowych działając z urzędu lub na wniosek osoby zainteresowanej, zobligowany jest nakazać, w drodze decyzji administracyjnej, przywrócenie stanu zgodnego z prawem przez usunięcie danych osobowych przetwarzanych bez podstawy prawnej.

W tym stanie faktycznym i prawnym Prezes Urzędu Ochrony Danych Osobowych rozstrzygnął, jak w sentencji.

Na podstawie art. 127 § 3 k.p.a. od decyzji przysługuje stronie prawo do wniesienia wniosku o ponowne rozpatrzenie sprawy w terminie 14 dniod dnia jej doręczenia stronie. Jeżeli strona nie chce skorzystać z prawa do złożenia wniosku o ponowne rozpatrzenie sprawy, ma prawo do wniesienia – za pośrednictwem Prezesa Urzędu Ochrony Danych Osobowych (adres: ul. Stawki 2, 00-193 Warszawa) – skargi na decyzję do Wojewódzkiego Sądu Administracyjnego w Warszawie w terminie 30 dni od dnia doręczenia jej stronie. Jednakże w związku z obowiązującym w dniu wydania decyzji stanem epidemii, zgodnie z art. 15zzr ust. 1 pkt 1 ustawy z dnia 2 marca 2020 r. o szczególnych rozwiązaniach związanych z zapobieganiem, przeciwdziałaniem i zwalczaniem COVID-19, innych chorób zakaźnych oraz wywołanych nimi sytuacji kryzysowych (Dz. U. z 2020 r. poz. 374), bieg wyżej wskazanych terminów aktualnie nie rozpocznie się; zaczną one biec w dniu następującym po ostatnim dniu obowiązywania stanu epidemii lub następującego po nim bezpośrednio ewentualnego stanu zagrożenia epidemicznego.

Wpis od skargi wynosi 200 złotych. Strona ma prawo ubiegania się o prawo pomocy, w tym zwolnienie od kosztów sądowych.