ZKE.440.45.2019

Na podstawie art. 105 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2018 r., poz. 2096 ze zm.), art. 160 ust. 1 i 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781) w związku z art. 12 pkt 2  i art. 22 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r., poz. 922 ze zm.) oraz z art. 57 ust. 1 pkt a) i f) rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z 04.05.2016 r. str. 1 oraz Dz. Urz. UE L 127 z 23.05.2018 r. str. 2), po przeprowadzeniu postępowania administracyjnego w sprawie skargi  Pani M. M. na nieprawidłowości w procesie przetwarzania jej danych osobowych, w tym niespełnienie wobec ww. obowiązku informacyjnego przez L. Sp. z o.o., Prezes Urzędu Ochrony Danych Osobowych

umarza postępowanie.

UZASADNIENIE

Do Prezesa Urzędu Ochrony Danych Osobowych (uprzednio: Generalnego Inspektora Ochrony Danych Osobowych) wpłynęła skarga Pani M. M., (zwanej dalej: Skarżącą), na nieprawidłowości w procesie przetwarzania jej danych osobowych, w tym niespełnienie wobec wyżej wymienionej obowiązku informacyjnego przez L. Sp. z o.o. (zwaną dalej także: Spółką) – administratora portalu internetowego: „[...]”.

Skarżąca w treści swojej skargi wskazała, iż w okresie kilku miesięcy poprzedzających moment złożenia skargi, wielokrotnie na swój prywatny numer telefonu otrzymywała  od podmiotu administrującego ww. witryną internetową wiadomości SMS zawierające materiały reklamowe. Opisane w skardze działania marketingowe podmiot prowadził, pomimo iż Skarżąca nigdy nie udostępniła mu swoich danych osobowych, ani też nie wyraziła zgody na ich przetwarzanie do celów związanych z promocją świadczonych przez niego usług. Korzystając z przysługujących jej uprawnień, Skarżąca skierowała na adres elektronicznej skrzynki pocztowej portalu „[…]” wiadomość e-mail z żądaniem spełnienia wobec niej obowiązku informacyjnego, wynikającego z art. 33 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych – wiadomość ta pozostała jednak bez odpowiedzi.

W związku z powyższym, Skarżąca wystąpiła do organu ochrony danych osobowych  z wnioskiem o podjęcie stosownych działań, celem zbadania legalności przetwarzania jej danych osobowych przez administratora portalu „[…]” oraz wyegzekwowania spełnienia przez niego obowiązku informacyjnego wobec Skarżącej.

W toku postępowania wyjaśniającego przeprowadzonego w niniejszej sprawie, Prezes Urzędu Ochrony Danych Osobowych ustalił następujący stan faktyczny:

1. Skarżąca w 2015 r. otrzymała na swój numer telefonu - […] - liczne wiadomości SMS, zawierające materiały o charakterze reklamowym, promujące działalność serwisu internetowego: „[…]”. Wiadomości tekstowe o treści, cyt.: „[…]” oraz „[…]”, pochodziły z różnych numerów telefonów, w tym: […], […]oraz […].
2. Wobec treści przesłanych do niej wiadomości, Skarżąca skontaktowała się telefonicznie  z podmiotem kierującym do niej kwestionowane treści marketingowe, celem ustalenia  na jakiej podstawie prawnej numer telefonu Skarżącej trafił do jego bazy danych oraz jest w niej przetwarzany - wskutek czego pozyskała jedynie lakoniczną informację, iż numer ten widnieje w ogólnodostępnej książce telefonicznej, z której został pozyskany i jako taki może być przetwarzany przez administratora do celów reklamowych.
3. W dniu […] listopada 2015 r. Skarżąca skierowała dodatkowo na adres elektronicznej skrzynki pocztowej portalu „[…]” wiadomość e-mail z żądaniem spełnienia wobec niej obowiązku informacyjnego, wynikającego z art. 33 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych. Pomimo upływu 30-dniowego terminu na ustosunkowanie się do wniosku Skarżącej, administrator portalu nie udzielił Skarżącej żadnej odpowiedzi.
4. Zgodnie z regulaminem serwisu, opublikowanym na stronie internetowej „[…], administratorem domeny jest obecnie Spółka L. Sp. z o.o. Przedmiotem działalności Spółki, zgodnie z wpisem do Krajowego Rejestru Sądowego (numer KRS: […]) jest m.in. naprawa i konserwacja komputerów i urządzeń peryferyjnych, naprawa, konserwacja i instalowanie maszyn i urządzeń oraz działalność związana z oprogramowaniem i doradztwem w zakresie informatyki. Spółka została zarejestrowana w KRS z dniem […] grudnia 2016 r.
5. Celem wszechstronnego zbadania okoliczności niniejszej sprawy, pismem z dnia […] maja 2017 r., Prezes Urzędu Ochrony Danych Osobowych zwrócił się do Spółki z żądaniem pisemnego ustosunkowania się do zarzutów podniesionych przez Skarżącą, w szczególności zaś o wskazanie: a) kiedy, z jakiego źródła oraz w jakim celu Spółka pozyskała dane osobowe Skarżącej; b) na jakiej podstawie prawnej, w jakim celu  (a zwłaszcza czy w celach marketingowych), w jakim zakresie i zbiorze Spółka przetwarza  obecnie ww. dane; c) czy Skarżąca występowała do Spółki z żądaniem usunięcia jej danych osobowych bądź składała sprzeciw wobec przetwarzania tych danych w celach marketingowych, a jeżeli tak, to w jaki sposób Spółka się do niego ustosunkowała oraz; d) czy Spółka wypełniła wobec Skarżącej obowiązek informacyjny, o którym mowa  w art. 24 lub art. 25 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych. Pismo, skierowane na adres siedziby Spółki ujawniony w KRS, pomimo dwukrotnej jego awizacji, zostało zwrócone do nadawcy, jako niepodjęte w terminie przez adresata.
6. W związku z powyższym, upoważnieni pracownicy Urzędu Ochrony Danych Osobowych dokonali czynności kontrolnych w miejscu faktycznego wykonywania działalności przez Spółkę, tj. […] (sygn. akt kontroli – […]). Zakresem kontroli objęto przetwarzanie przez Spółkę danych osobowych Skarżącej w celu marketingu produktów  i usług własnych, będące przedmiotem skargi rozpatrywanej w niniejszym postępowaniu.
7. Jak wykazały czynności kontrolne, Spółka nie przetwarzała nigdy oraz nie przetwarza obecnie danych osobowych Skarżącej, tak w systemie informatycznym, jak też w zapisie papierowym.

Po zapoznaniu się z całością zgromadzonego w sprawie materiału dowodowego, Prezes Urzędu Ochrony Danych Osobowych zważył, co następuje.

Na wstępie wskazać należy, iż z dniem 25 maja 2018 r. w życie weszły przepisy ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r., poz. 1781), zwanej dalej „u.o.d.o.”. W myśl art. 160 ust. 1-3 u.o.d.o., postępowania prowadzone przez Generalnego Inspektora Ochrony Danych Osobowych, wszczęte i niezakończone przed dniem wejścia w życie niniejszej ustawy, prowadzone są przez Prezesa Urzędu Ochrony Danych Osobowych  na podstawie ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r., poz. 922 ze zm.), zgodnie z zasadami określonymi w ustawie z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2018 r., poz. 2096 ze zm.). Jednocześnie, czynności dokonane w postępowaniach, wszczętych i niezakończonych przed dniem wejścia w życie przepisów u.o.d.o., pozostają skuteczne.

Od dnia 25 maja 2018 r. zastosowanie ma również rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z 04.05.2016, str. 1 oraz Dz. Urz. UE L 127 z 23.05.2018 r. str. 2.), zwane dalej „Rozporządzeniem 2016/679”.

Stosownie do art. 57 ust. 1 Rozporządzenia 2016/679, bez uszczerbku dla innych zadań określonych na mocy tego rozporządzenia, każdy organ nadzorczy na swoim terytorium monitoruje i egzekwuje stosowanie tego rozporządzenia (lit. a) oraz rozpatruje skargi wniesione przez osobę, której dane dotyczą, lub przez umocowany przez nią – zgodnie z art. 80 Rozporządzenia 2016/679 – podmiot, organizację lub zrzeszenie, w odpowiednim zakresie prowadzi postępowania w przedmiocie tych skarg i w rozsądnym terminie informuje skarżącego o postępach i wynikach tych postępowań (lit. f).

Uwzględniając powyższe stwierdzić zatem należy, iż niniejsze postępowanie, wszczęte i niezakończone przed dniem 25 maja 2018 r., prowadzone jest na podstawie ustawy  z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (w zakresie dotyczącym przepisów regulujących procedurę administracyjną) oraz na podstawie Rozporządzenia 2016/679 (w zakresie rozstrzygającym o legalności procesu przetwarzania danych osobowych). Wynikający  z przepisów prawa sposób prowadzenia postępowań w sprawach rozpoczętych i niezakończonych przed dniem wejścia w życie nowych regulacji z zakresu ochrony danych osobowych koreluje  z ugruntowanym stanowiskiem doktryny, zgodnie z którym „organ administracji publicznej ocenia stan faktyczny sprawy według chwili wydania decyzji administracyjnej. Reguła ta odnosi się także do oceny stanu prawnego sprawy, co oznacza, że organ administracji publicznej wydaje decyzję administracyjną na podstawie przepisów prawa obowiązujących w chwili jej wydania” (Komentarz do ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego  (Dz. U. 00.98.1071) M. Jaśkowska, A. Wróbel, Lex., el/2012).

Odnosząc powyższe do ustalonego stanu faktycznego podkreślić należy, że w toku prowadzonego postępowania wyjaśniającego Prezes Urzędu Ochrony Danych Osobowych ustalił,  iż obecnie dane osobowe Skarżącej nie są przetwarzane przez administratora portalu internetowego „[…]” – Spółkę L. Sp. z o.o. Co więcej, mając na względzie okres, w którym Skarżąca otrzymywała kwestionowane wiadomości SMS,  zawierające treści o charakterze marketingowym – przypadający zgodnie z twierdzeniami Skarżącej na rok 2015 – stwierdzić należy, iż Spółka nie mogła przetwarzać danych osobowych Skarżącej w zakresie objętym skargą. Jak wynika bowiem z informacji ujawnionych w Krajowym Rejestrze Sądowym, Spółkę zarejestrowano […] grudnia 2016 r., a zatem rok po zaistnieniu zdarzeń, będących przedmiotem skargi inicjującej postępowanie w niniejszej sprawie. Jednocześnie, przeprowadzone przez organ nadzorczy czynności dowodowe nie doprowadziły do ujawnienia innych aniżeli Spółka podmiotów, odpowiedzialnych za administrowanie stroną internetową: „[…]”.

Z powyższych względów przedmiotowe postępowanie należało umorzyć na podstawie  art. 105 § 1 k.p.a., wobec jego bezprzedmiotowości.

Zgodnie z wyżej powołanym przepisem, gdy postępowanie z jakiejkolwiek przyczyny stało się bezprzedmiotowe w całości lub w części, organ administracji publicznej wydaje decyzję o umorzeniu postępowania odpowiednio w całości lub w części. Jak wynika ze wskazanej regulacji, stwierdzenie bezprzedmiotowości postępowania stanowi obligatoryjną przesłankę jego umorzenia przez organ to postępowanie prowadzący. Jednocześnie w literaturze przedmiotu wskazuje się, że bezprzedmiotowość postępowania administracyjnego, o której stanowi  art. 105 § 1 k.p.a. oznacza, że brak jest któregoś z elementów materialnego stosunku prawnego,  a wobec tego nie można wydać decyzji załatwiającej sprawę przez rozstrzygnięcie jej co do istoty. Przesłanka umorzenia postępowania może istnieć jeszcze przed wszczęciem postępowania,  co zostanie ujawnione dopiero w toczącym się postępowaniu, a może ona powstać także w czasie trwania postępowania, a więc w sprawie już zawisłej przed organem administracyjnym (B. Adamiak, J. Borkowski „Kodeks postępowania administracyjnego. Komentarz”, 14. Wydanie, Wydawnictwo C.H. Beck, Warszawa 2016 r., str. 491). Takie samo stanowisko zajął Wojewódzki Sąd Administracyjny w Krakowie w wyroku z dnia 27 lutego 2008 r. w sprawie o sygn. akt  III SA/Kr 762/2007, w którym to stwierdził, że „postępowanie staje się bezprzedmiotowe, gdy brak któregoś z elementów stosunku materialnoprawnego, co powoduje, że nie można załatwić sprawy przez rozstrzygnięcie co do istoty”.

W niniejszej sprawie, elementem stosunku materialnoprawnego, który nie istniał w chwili wydania decyzji kończącej niniejsze postępowanie administracyjne, było przetwarzanie danych osobowych Skarżącej przez podmiot, którego skarga dotyczy. Stwierdzenie istnienia takiego przetwarzania pozwoliłoby dopiero rozstrzygnąć o jego legalności (istnieniu podstawy prawnej przetwarzania) i zgodności z przepisami o ochronie danych osobowych (w tym  o wywiązywaniu się przez administratora danych z ciążących na nim obowiązków wymienionych w art. 33 z dnia 29 sierpnia 1997 r. o ochronie danych osobowych, o zbadanie czego wnosiła Skarżąca).

Ustalenie przez organ administracji publicznej istnienia przesłanki, o której mowa  w art. 105 § 1 k.p.a. zobowiązuje go, jak podkreśla się w doktrynie i orzecznictwie, do umorzenia postępowania, albowiem brak jest podstaw do rozstrzygnięcia sprawy co do istoty, zaś dalsze prowadzenie postępowania w takim przypadku stanowiłoby o jego wadliwości, mającej istotny wpływ na wynik sprawy.

W tym stanie faktycznym i prawnym Prezes Urzędu Ochrony Danych Osobowych rozstrzygnął, jak w sentencji.

Na podstawie art. 127 § 3 Kpa od decyzji przysługuje stronie prawo do wniesienia wniosku o ponowne rozpatrzenie sprawy w terminie 14 dni od dnia jej doręczenia stronie. Jeżeli strona nie chce skorzystać z prawa do złożenia wniosku o ponowne rozpatrzenie sprawy, ma prawo do wniesienia skargi na decyzję do Wojewódzkiego Sądu Administracyjnego w Warszawie  w terminie 30 dni od dnia doręczenia jej stronie. Skargę wnosi się za pośrednictwem Prezesa Urzędu (adres: ul. Stawki 2, 00-193 Warszawa). Wpis od skargi wynosi 200 złotych. Strona  ma prawo ubiegania się o prawo pomocy, w tym zwolnienie od kosztów sądowych.