Decyzja

Na podstawie art. 105 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2018 r. poz. 2096 ze zm.) w zw. z art. 160 ust. 1 i 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz.U. z 2019 r., poz. 1781) w zw. z art. 12 pkt 2, art. 22 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r., poz. 922 ze zm.) oraz art. 57 ust. 1 lit. a) i h) rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 4.05.2016, str. 1 oraz Dz. Urz. UE L 127 z 23.05.2018 str. 2), po przeprowadzeniu postępowania administracyjnego w sprawie skargi Pana K. S., na przetwarzanie przez R. Sp. z o.o. danych osobowych małoletniej A. S., Prezes Urzędu Ochrony Danych Osobowych

umarza postępowanie

Uzasadnienie

Do Biura Generalnego Inspektora Ochrony Danych Osobowych (obecnie: Urząd Ochrony Danych Osobowych) wpłynęła skarga Pana K. S. (dalej także: Skarżący), na przetwarzanie przez R. Sp. z o.o. (zwanej dalej także „Spółką” lub R. ) danych osobowych małoletniej A. S. polegające na sprostowaniu jej danych osobowych w zakresie daty urodzenia.

W związku z powyższym Skarżący wniósł o:

1. Sprostowanie danych osobowych małoletniej A. S. w zakresie jej daty urodzenia.

2. W przypadku stwierdzenia, że dane osobowe dziecka nie są już przez Spółkę przetwarzane ze względu na wygaśnięcie daty ważności karty, ponowne ich udostępnienie (przetwarzanie) w celu kontynuacji uczestnictwa w programie […].

3. Zmianę § 5 ust. 2 lit. g) regulaminu programu […], zgodnie, z którym aktualizacja danych osobowych dziecka w zakresie jego daty urodzenia mogła nastąpić jedynie w ciągu 7 dni od daty rejestracji uczestnika w programie, co zdaniem Skarżącego ograniczało prawo do sprostowania danych, o którym mowa w art. 32 ust. 1 pkt 6 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r., poz. 922 ze zm.), dalej także: ustawa o ochronie danych osobowych z 1997 r.

Prezes UODO po przeprowadzeniu postępowania wyjaśniającego w niniejszej sprawie ustalił następujący stan faktyczny:

1. W R. obowiązuje regulamin programu lojalnościowego […], który skierowany jest do rodziców lub prawnych opiekunów dzieci w wieku od 0-3 lat oraz do osób oczekujących na narodzenie się ich dziecka.

2. Uczestnik programu […] akceptując regulamin jest związany jego postanowieniami, które służą weryfikacji, czy dana osoba spełnia warunki uczestnictwa. Jednym z warunków jest status rodzica lub prawnego opiekuna dzieci w wieku od 1 dnia życia do ukończenia 36 miesiąca życia lub spodziewającego się urodzenia dziecka. Status weryfikowany jest na podstawie podanej przez uczestnika daty urodzenia dziecka lub planowanej daty porodu, ponieważ do programu mogą przystąpić także osoby, które spodziewają się urodzenia dziecka.

3. Na podstawie zadeklarowanej w procesie rejestracji w programie […] daty urodzenia dziecka ustalana jest data wygaśnięcia ważności karty uczestnika. W przypadku Skarżącego przystąpienie do programu miało miejsce […] marca 2012. Przez około 24 miesiące Skarżący korzystał z uprawnień, jednak pod koniec lutego 2014 r. zauważył mylnie wcześniej wprowadzoną przez siebie do systemu rejestracji datę urodzenia dziecka, zamiast miesiąca grudnia do systemu wprowadzony został miesiąc marzec (dzień i rok urodzenia były prawidłowe).

4. Z uwagi na to, że data urodzenia ma wpływ na okres uczestnictwa w programie, Skarżący zgłosił się do Spółki z prośbą o skorygowanie błędnie wcześniej wprowadzonej do systemu informatycznego daty urodzenia dziecka. Spółka jednak nie uwzględniła żądania Skarżącego powołując się na zapis regulaminu programu […], który nie przewidywał możliwości dokonania zmiany daty urodzenia po upływie 7 dni od daty rejestracji w systemie, o czym Skarżący wiedział akceptując ten regulamin przed wprowadzeniem do systemu zarówno swoich jak i dziecka danych osobowych.

5. Pismem z […] września 2019 r. Spółka poinformowała Prezesa Urzędu Ochrony Danych Osobowych, że obecnie nie przetwarza danych osobowych Skarżącego i małoletniej A. S. ponieważ nastąpiło wygaśnięcie uczestnictwa w programie, które spowodowało automatyczne wygaśnięcie przypisanych do karty przywilejów. Wobec tego spełnienie żądań Skarżącego w przedmiocie sprostowania przez R. danych w zakresie daty urodzenia małoletniej A. S. było bezprzedmiotowe już w dniu […] września 2014 r.

6. Obecnie regulamin programu lojalnościowego […] zapewnia możliwość wprowadzenia przez uczestnika programu zmiany wcześniej wprowadzonej do systemu informatycznego tego programu daty urodzenia dziecka (oraz adekwatnie planowanej daty porodu). Zgodnie z § 3 ust. 3 regulaminu, organizator zastrzega, że w celu zapewnienia bezpiecznego funkcjonowania programu oraz zapobieżeniu nadużyciom, aktualizacja danych osobowych dziecka w zakresie jego daty urodzenia po upływie 7 dni od daty rejestracji albo zmiany przez uczestnika statusu w programie może nastąpić po wysłaniu przez uczestnika zgłoszenia w tym zakresie. Zgłoszenie należy wysłać za pośrednictwem formularza kontaktowego znajdującego się na stronie www.[...].

Po zapoznaniu się z całością zgromadzonego w sprawie materiału dowodowego, Prezes Urzędu Ochrony Danych Osobowych zważył, co następuje:

Z dniem 25 maja 2018 r. w życie weszły przepisy ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781), zwanej dalej również „ustawa o ochronie danych osobowych z 2018 r.”.

W myśl art. 160 ust. 1-3 ustawy o ochronie danych osobowych z 2018 r., postępowania prowadzone przez Generalnego Inspektora Ochrony Danych Osobowych, wszczęte i niezakończone przed dniem wejścia w życie niniejszej ustawy, prowadzone są przez Prezesa Urzędu Ochrony Danych Osobowych na podstawie ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz.U. z 2016 r. poz. 922 ze zm.), zwanej dalej również „ustawa o ochronie danych osobowych z 1997 r.”, zgodnie z zasadami określonymi w Kpa. Jednocześnie, czynności dokonane w postępowaniach, wszczętych i niezakończonych przed dniem wejścia w życie przepisów ustawy o ochronie danych osobowych z 2018 r., pozostają skuteczne.

Od dnia 25 maja 2018 r. zastosowanie ma również Rozporządzenie 2016/679. Uwzględniając powyższe stwierdzić zatem należy, iż niniejsze postępowanie, wszczęte i niezakończone przed dniem 25 maja 2018 r., prowadzone jest na podstawie ustawy o ochronie danych osobowych z 1997 r. (w zakresie dotyczącym przepisów regulujących procedurę administracyjną) oraz na podstawie Rozporządzenia 2016/679 (w zakresie rozstrzygającym o legalności procesu przetwarzania danych osobowych).

Prezes UODO jest organem właściwym w sprawie ochrony danych osobowych i organem nadzorczym w rozumieniu Rozporządzenia 2016/679 (art. 34 ust. 1 i 2 ustawy o ochronie danych osobowych z 2018 r.). Prezes UODO prowadzi postępowania w sprawie naruszenia przepisów o ochronie danych osobowych (art. 60 ustawy o ochronie danych osobowych z 2018 r.), przy czym w sprawach nieuregulowanych w ustawie o ochronie danych osobowych z 2018 r., do postępowań administracyjnych przed Prezesem UODO, w szczególności unormowanych w rozdziale 7 ustawy – postępowań w sprawie naruszenia przepisów o ochronie danych osobowych, stosuje się przepisy Kpa (art. 7 ust. 1 ustawy o ochronie danych osobowych z 2018 r.). Stosownie do art. 57 ust. 1 Rozporządzenia 2016/679, bez uszczerbku dla innych zadań określonych na mocy niniejszego rozporządzenia każdy organ nadzorczy na swoim terytorium monitoruje i egzekwuje stosowanie niniejszego rozporządzenia (lit. a) oraz prowadzi postępowania w sprawie stosowania niniejszego rozporządzenia, w tym na podstawie informacji otrzymanych od innego organu nadzorczego lub innego organu publicznego (lit. h). Instrumentami realizacji zadań przewidzianych w art. 57 ust. 1 Rozporządzenia 2016/679 są w szczególności określone w art. 58 ust. 2 Rozporządzenia 2016/679, uprawnienia naprawcze, w tym możliwość: wydawania ostrzeżeń administratorowi lub podmiotowi przetwarzającemu dotyczących możliwości naruszenia przepisów niniejszego rozporządzenia poprzez planowane operacje przetwarzania (lit. a), udzielania upomnień administratorowi lub podmiotowi przetwarzającemu w przypadku naruszenia przepisów niniejszego rozporządzenia przez operacje przetwarzania (lit. b), nakazania administratorowi lub podmiotowi przetwarzającemu dostosowania operacji przetwarzania do przepisów niniejszego rozporządzenia, a w stosownych przypadkach wskazanie sposobu i terminu (lit. d).

Fakt, iż wedle stanu na dzień wydania niniejszego rozstrzygnięcia, w procesie przetwarzania przez Spółkę danych osobowych nie dochodzi do nieprawidłowości, o których poinformował Skarżący i w oparciu, o które Prezes Urzędu Ochrony Danych Osobowych wszczął postępowanie w przedmiotowej sprawie, ma decydujące znaczenie z punktu widzenia jej rozstrzygnięcia. W tej bowiem sytuacji niniejsze postępowanie podlega obligatoryjnemu umorzeniu na podstawie art. 105 § 1 Kpa – wobec jego bezprzedmiotowości. Zgodnie z ww. przepisem, gdy postępowanie z jakiejkolwiek przyczyny stało się bezprzedmiotowe, organ administracji publicznej wydaje decyzję o umorzeniu postępowania. Brzmienie powołanej regulacji nie pozostawia wątpliwości, iż w razie stwierdzenia bezprzedmiotowości postępowania organ prowadzący to postępowanie obligatoryjnie je umarza. Jednocześnie w literaturze przedmiotu wskazuje się, że bezprzedmiotowość postępowania administracyjnego, o której stanowi art. 105 § 1 Kpa oznacza, że brak jest któregoś z elementów materialnego stosunku prawnego, a wobec tego nie można wydać decyzji załatwiającej sprawę przez rozstrzygnięcie jej, co do istoty (B. Adamiak, J. Borkowski „Kodeks postępowania administracyjnego. Komentarz” 7 wydanie Wydawnictwo C.H. Beck, Warszawa 2005 r., str. 485). W literaturze i orzecznictwie akcentuje się również, że cyt.: „(…) Bezprzedmiotowość postępowania może być (…) wynikiem zmiany stanu faktycznego sprawy. Postępowanie musi być uznane za bezprzedmiotowe wskutek ustania stanu faktycznego podlegającego uregulowaniu przez organ administracji w drodze decyzji (…)” (por.: M. P. Przybysz „Kodeks postępowania administracyjnego. Komentarz aktualizowany” Opublikowano: LEX/el. 2019 oraz przytoczony tam wyrok Naczelnego Sądu Administracyjnego z dnia 29 września 1987 r. sygn. akt: IV SA 220/87 opubl.: ONSA z 1987 r. nr 2, poz. 67).

Istotnym przymiotem decyzji administracyjnej jest tzw. podwójna konkretność oznaczająca, że decyzja określa konsekwencje stosowania normy prawnej w indywidualnej sprawie konkretnego adresata (strony) (por. Wróbel Andrzej, Jaśkowska Małgorzata, Wilbrandt-Gotowicz Martyna „Komentarz aktualizowany Kodeksu postępowania administracyjnego” LEX/el. 2018 - komentarz, stan prawny: 13 grudnia 2018 r., inne wydania (25)). Zmiany stanu faktycznego lub stanu prawnego sprawy, które nastąpiły już po wszczęciu postępowania, muszą być uwzględnione przy rozstrzyganiu sprawy – w przeciwnym bowiem wypadku, rozstrzygnięcie to byłoby rażąco sprzeczne z zasadą prawdy materialnej (por. j.w. za W. Siedlecki, Postępowanie cywilne, 1972, s. 371). W konsekwencji, jak podkreśla się w literaturze przedmiotu, organ administracji publicznej ocenia stan faktyczny sprawy według chwili wydania decyzji administracyjnej. Powyższa zasada odnosi się także do oceny stanu prawnego sprawy, zatem organ administracji publicznej wydaje decyzję administracyjną na podstawie przepisów prawa obowiązujących w chwili jej wydania (por. j.w.). Również Naczelny Sąd Administracyjny w Warszawie w wyroku z dnia 4 października 2000 r. sygn. akt: V SA 283/00) podkreślił, że cyt.: „(…) Należy wskazać (…) na potrzebę stosowania norm prawa materialnego obowiązującego w dniu wydania decyzji. Zaznaczyć wyraźnie należy, że przepisy kodeksu postępowania administracyjnego nie wiążą z datą wszczęcia postępowania podstawy faktycznej i prawnej rozpoznania sprawy. Miarodajny w tym zakresie jest stan obowiązujący w dacie wydania decyzji (vide B. Adamiak, Komentarz, Warszawa 1998, s. 363) (…)”.

Uwzględniając poczynione dotychczas uwagi wskazać należy, że impulsem do wszczęcia postępowania w przedmiotowej sprawie stała się skarga wniesiona przez Pana K. S. na temat ewentualnych nieprawidłowości w procesie przetwarzania danych osobowych czynionych przez Spółkę. Zainicjowane w związku z tym postępowanie służyło weryfikacji prawdziwości ww. doniesień oraz doprowadzeniu do wyeliminowania uchybienia w obszarze przetwarzania danych osobowych – w razie potwierdzenia, że istotnie mają one miejsce wedle stanu na dzień orzekania. Innymi słowy, potwierdzenie istnienia zarzucanej nieprawidłowości, stanowiłoby dla Prezesa UODO podstawę dla dokonania ich prawnej oceny i skorzystania – w celu ich eliminacji – z instrumentów prawnych o charakterze naprawczym przewidzianych w art. 58 ust. 2 Rozporządzenia 2016/679. Tymczasem, mając na uwadze, że zasygnalizowana Prezesowi UODO nieprawidłowość w procesie przetwarzania danych osobowych przez Spółkę, nie ma miejsca wedle stanu na dzień orzekania, brak jest podstaw dla dokonania ich prawnej oceny, w kontekście ewentualnego skorzystania z instrumentów przewidzianych w art. 58 ust. 2 Rozporządzenia 2016/679 – tj. instrumentów służących ich wyeliminowaniu.

W tym stanie faktycznym i prawnym Prezes UODO rozstrzygnął, jak w sentencji.

Na podstawie art. 127 § 3 Kpa od niniejszej decyzji stronie przysługuje prawo do wniesienia wniosku o ponowne rozpatrzenie sprawy w terminie 14 dni od dnia doręczenia decyzji stronie. Jeżeli strona nie chce skorzystać z prawa do złożenia wniosku o ponowne rozpatrzenie sprawy, ma prawo do wniesienia skargi na decyzję do Wojewódzkiego Sądu Administracyjnego w Warszawie w terminie 30 dni od dnia doręczenia jej stronie. Skargę wnosi się za pośrednictwem Prezesa Urzędu Ochrony Danych Osobowych (adres: ul. Stawki 2, 00-193 Warszawa). Wpis od skargi wynosi 200 złotych. Strona ma prawo ubiegania się o prawo pomocy, w tym zwolnienie od kosztów sądowych.