Decyzja

Na podstawie art. 105 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2018 r., poz. 2096 ze zm.), art. 160 ust. 1 i 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz.U. z 2019 r. poz. 1781) w zw. z art. 12 pkt 2 i art. 22 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r. poz. 922 ze zm.) oraz z art. 57 ust. 1 pkt a) i f) rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z 04.05.2016 r. str. 1 oraz Dz. Urz. UE L 127 z 23.05.2018 r. str. 2), po przeprowadzeniu postępowania administracyjnego w sprawie skargi Pani A. B., na przetwarzanie, bez podstawy prawnej i bez dopełnienia obowiązku informacyjnego, jej danych osobowych przez L. Sp. z o.o., Prezes Urzędu Ochrony Danych Osobowych

umarza postępowanie.

UZASADNIENIE

Do Biura Generalnego Inspektora Ochrony Danych Osobowych (obecnie: Urzędu Ochrony Danych Osobowych) wpłynęła skarga Pani A. B., zwanej dalej „Skarżącą”, dotycząca nieprawidłowości w przetwarzaniu jej danych osobowych przez L. Sp. z o.o. (zwaną dalej „L.”) oraz przez U. Sp. z o.o. (zwaną dalej „U.”). Skarżąca wskazała w skardze, że […] maja 2015 r. L. skierowała do niej pismo z wezwaniem do zapłaty „polubownego odszkodowania umownego” w sprawie, o której nie miała żadnej wiedzy. W związku z tym zdarzeniem Skarżąca zarzuciła L. przetwarzanie jej danych osobowych bez podstawy prawnej i bez dopełnienia wobec niej obowiązku informacyjnego, o którym mowa w art. 25 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r. poz. 922 ze zm.), zwanej dalej u.o.d.o. 1997, natomiast w odniesieniu do U. skarżąca zakwestionowała legalność udostępnienia jej danych osobowych przez tę spółkę spółce L. Postanowieniem z […] czerwca 2015 r., sygn.. […], Generalny Inspektor Ochrony Danych Osobowych wyłączył z akt sprawy do odrębnego postępowania materiał dotyczący zarzutów Skarżącej wobec U. Postępowanie w sprawie przetwarzania danych osobowych Skarżącej przez U. zostało zarejestrowane pod sygn. […], natomiast niniejsze postępowanie prowadzone było jedynie wobec L. W odniesieniu do L. Skarżąca wniosła o usunięcie jej danych osobowych z baz danych tej spółki oraz o wypełnienie wobec niej ciążącego na spółce obowiązku informacyjnego, o którym mowa w art. 25 u.o.d.o. 1997.

W toku postępowania przeprowadzonego w niniejszej sprawie (opierając się również na ustaleniach poczynionych w toku kompleksowych kontroli przeprowadzonych w L. – sygn. akt […] i […]) Prezes Urzędu Ochrony Danych Osobowych ustalił następujący stan faktyczny:

1. L. nabyła […] czerwca 2013 r. prawa autorskie do utworów audiowizualnych (filmów) zamieszczonych w serwisie […] na polu eksploatacji obejmującym korzystanie i rozpowszechnianie tych utworów w sieci […].
2. Przy użyciu aplikacji monitorującej naruszenia praw autorskich w sieci […], L. ustaliła, że […] czerwca 2014 r. w sieci […] rozpowszechniany był, przy użyciu adresu IP […], bez zgody L., utwór audiowizualny „[…]”, zwany dalej „Utworem”.
3. L. ustaliła, w oparciu o dane przekazane przez operatora telekomunikacyjnego U. Sp. z o.o. do akt dochodzenia o sygn. […], prowadzonego przez Komendę Miejską Policji w […] (w którym to postępowaniu L. była pokrzywdzonym), że abonentem łącza internetowego, którego użyto do rozpowszechniania Utworu, była Skarżąca. Z akt tego postępowania L. pozyskała dane osobowe Skarżącej w zakresie imienia i nazwiska, adresu zamieszkania lub pobytu, numeru PESEL oraz adresu IP jej komputera.
4. Jako podstawę prawną pozyskania danych osobowych Skarżącej L. wskazała art. 156 § 5 ustawy z dnia 6 czerwca 1997 r. Kodeks postepowania karnego (Dz. U. z 2018 r. poz. 1987 ze zm.) dający stronom postępowania przygotowawczego prawo dostępu do akt postępowania oraz prawo do sporządzania lub uzyskiwania z akt postępowania odpisów i kopii dokumentów. Jako podstawę prawną dalszego przetwarzania danych osobowych Skarżącej – w celu dochodzenia roszczeń cywilnoprawnych z tytułu naprawienia szkody wyrządzonej bezprawnym rozpowszechnianiem Utworu – L. przywołała art. 23 ust. 1 pkt 2 u.o.d.o. 1997.
5. Korzystając z danych pozyskanych z akt dochodzenia o sygn. […], L. skierowała do Skarżącej w dniu […] maja 2015 r. pismo zatytułowane „Przedsądowe wezwanie do zapłaty lub do złożenia wyjaśnień w sprawie popełnionego przestępstwa”, w którym wezwała Skarżącą do zapłaty „odszkodowania polubownego” w wysokości […] zł tytułem naprawienia szkody wyrządzonej w wyniku bezprawnego – w jej ocenie – rozpowszechnia w sieci […] Utworu lub do złożenia wyjaśnień co do okoliczności zdarzenia. Pismo doręczone zostało Skarżącej […] maja 2015 r.
6. W wyżej wskazanym piśmie L. poinformowała Skarżącą o swoim adresie i pełnej nazwie, o celu zbierania danych („realizacja wynikających z prawa roszczeń cywilnych i karnych”), o kategoriach odbiorców danych („Odbiorcami danych mogą być: sąd, policja, prokuratura, komornik sądowy, wybrana kancelaria adwokacka, firma windykacyjna oraz rejestr dłużników niewypłacalnych.”), o źródle danych („W wyniku zakończonego w fazie „in rem” dochodzenia przeprowadzonego przez Komendę Miejską Policji w […] [sygn. akt […]] ustalono […]”) oraz o prawie Skarżącej do dostępu do treści swoich danych i ich poprawiania. W piśmie tym brak natomiast pozostałych informacji przewidzianych w art. 25 ust. 1 u.o.d.o. 1997: o zakresie zbieranych danych oraz o przysługujących Skarżącej uprawnieniach wynikających z art. 32 ust. 1 pkt 7 i 8 u.o.d.o. 1997.
7. W dniu […] sierpnia 2018 r., na mocy postanowienia Sądu Rejonowego […] Wydział Gospodarczy KRS, nastąpiło wykreślenie spółki L. (nr KRS […]) z Rejestru Przedsiębiorców KRS. Wykreślenie uprawomocniło się […] września 2018 r. Rozwiązanie spółki bez przeprowadzenia postępowania likwidacyjnego, i w konsekwencji jej wykreślenie z KRS, nastąpiło na podstawie art. 25d ust. 1 ustawy z dnia 20 sierpnia 1997 r. o Krajowym Rejestrze Sądowym (Dz. U. z 2019 r. poz. 1500 ze zm.), który stanowi: „W przypadku ustalenia przez sąd rejestrowy w postępowaniu o rozwiązanie podmiotu wpisanego do Rejestru bez przeprowadzania postępowania likwidacyjnego, że podmiot ten nie posiada zbywalnego majątku i faktycznie nie prowadzi działalności, sąd rejestrowy orzeka o rozwiązaniu podmiotu bez przeprowadzania postępowania likwidacyjnego i zarządza jego wykreślenie z Rejestru”. Ogłoszenie o rozwiązaniu spółki bez przeprowadzenia postępowania likwidacyjnego zostało opublikowane w Monitorze Sądowym i Gospodarczym nr […] z […] sierpnia 2018 r., natomiast ogłoszenie o jej wykreśleniu z KRS – w monitorze Sądowym i Gospodarczym nr […] z […] listopada 2018 r.

Po zapoznaniu się z całością zgromadzonego w sprawie materiału dowodowego, Prezes Urzędu Ochrony Danych Osobowych zważył, co następuje.

Z dniem wejścia w życie ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781), zwanej dalej „u.o.d.o. 2018”, tj. z dniem 25 maja 2018 r., Biuro Generalnego Inspektora Ochrony Danych Osobowych stało się Urzędem Ochrony Danych Osobowych. Postępowania prowadzone przez Generalnego Inspektora Ochrony Danych Osobowych, wszczęte i niezakończone przed dniem 25 maja 2018 r. prowadzone są przez Prezesa Urzędu Ochrony Danych Osobowych, na podstawie u.o.d.o. 1997, zgodnie z zasadami określonymi w ustawie z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2018 r. poz. 2096 ze zm.), zwanej dalej „k.p.a.”. Wszelkie czynności podjęte przez Generalnego Inspektora Ochrony Danych Osobowych przed dniem 25 maja 2018 r. pozostają skuteczne (art. 160 ust. 1–3 u.o.d.o. 2018).

Stosownie do art. 57 ust. 1 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych osobowych) (Dz. U. UE L 119 z 4.05.2016, str. 1 oraz Dz. Urz. UE L 127 z 23.05.2018 str. 2, bez uszczerbku dla innych zadań określonych na mocy tego rozporządzenia, każdy organ nadzorczy na swoim terytorium monitoruje i egzekwuje stosowanie tego rozporządzenia (lit. a) oraz rozpatruje skargi wniesione przez osobę, której dane dotyczą, lub przez umocowany przez nią – zgodnie z art. 80 Rozporządzeniem 2016/679 – podmiot, organizację lub zrzeszenie, w odpowiednim zakresie prowadzi postępowania w przedmiocie tych skarg i w rozsądnym terminie informuje skarżącego o postępach i wynikach tych postępowań (lit. f).

W tym miejscu wskazać należy, że Prezes Urzędu Ochrony Danych Osobowych wydając decyzję administracyjną zobowiązany jest do rozstrzygania w oparciu o stan faktyczny istniejący w chwili wydania tej decyzji. Jak podnosi doktryna „organ administracji publicznej ocenia stan faktyczny sprawy według chwili wydania decyzji administracyjnej. Reguła ta odnosi się także do oceny stanu prawnego sprawy, co oznacza, że organ administracji publicznej wydaje decyzję administracyjną na podstawie przepisów prawa obowiązujących w chwili jej wydania (…). Rozstrzyganie w postępowaniu administracyjnym polega na zastosowaniu obowiązującego prawa do ustalonego stanu faktycznego sprawy administracyjnej. W ten sposób organ administracji publicznej realizuje cel postępowania administracyjnego, jakim jest urzeczywistnienie obowiązującej normy prawnej w zakresie stosunków administracyjno-prawnych, gdy stosunki te tego wymagają” (Komentarz do ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego, M. Jaśkowska, A. Wróbel, Lex., el/2012). Również Naczelny Sąd Administracyjny – w wyroku z dnia 7 maja 2008 r. w sprawie o sygn. akt I OSK 761/07 stwierdził, iż cyt.: „badając bowiem legalność przetwarzania danych osobowych, GIODO ma obowiązek ustalenia, czy na datę wydawania rozstrzygnięcia w sprawie dane konkretnego podmiotu są przetwarzane oraz czy czynione to jest w sposób zgodny z prawem”.

W toku niniejszego postępowania Prezes Urzędu Ochrony Danych Osobowych stwierdził, na podstawie wpisów do Rejestru KRS (objętych rękojmią wiary publicznej oraz domniemaniem prawdziwości) oraz ogłoszeń w Monitorze Sądowym i Gospodarczym, ustanie – z dniem […] sierpnia 2018 r. – bytu prawnego spółki L. Stwierdzenie tego faktu pociąga zaś za sobą konieczność uznania niniejszego postępowania za bezprzedmiotowe i jego umorzenia w oparciu o art. 105 § 1 k.p.a.

Zgodnie z wyżej wskazanym przepisem, gdy postępowanie z jakiejkolwiek przyczyny stało się bezprzedmiotowe w całości lub w części, organ administracji publicznej wydaje decyzję o umorzeniu postępowania odpowiednio w całości lub w części. Brzmienie powołanego przepisu nie pozostawia wątpliwości, iż w razie stwierdzenia bezprzedmiotowości postępowania organ prowadzący to postępowanie obligatoryjnie je umarza. Jednocześnie w literaturze przedmiotu wskazuje się, że bezprzedmiotowość postępowania administracyjnego, o której stanowi art. 105 § 1 k.p.a. oznacza, że brak jest któregoś z elementów materialnego stosunku prawnego, a wobec tego nie można wydać decyzji załatwiającej sprawę przez rozstrzygnięcie jej co do istoty. Przesłanka umorzenia postępowania może istnieć jeszcze przed wszczęciem postępowania, co zostanie ujawnione dopiero w toczącym się postępowaniu, a może ona powstać także w czasie trwania postępowania, a więc w sprawie już zawisłej przed organem administracyjnym (B. Adamiak, J. Borkowski „Kodeks postępowania administracyjnego. Komentarz”, 14. Wydanie, Wydawnictwo C.H. Beck, Warszawa 2016 r., str. 491). Takie samo stanowisko zajął Wojewódzki Sąd Administracyjny w Krakowie w wyroku z dnia 27 lutego 2008 r. w sprawie o sygn. akt III SA/Kr 762/2007, w którym to stwierdził, że „postępowanie staje się bezprzedmiotowe, gdy brak któregoś z elementów stosunku materialnoprawnego, co powoduje, że nie można załatwić sprawy przez rozstrzygnięcie co do istoty”. W orzecznictwie ukształtował się pogląd, że użyty w art. 105 § 1 k.p.a. zwrot „z jakiejkolwiek przyczyny” oznacza „każdą przyczynę powodującą brak jednego z elementów materialnego stosunku prawnego w odniesieniu do jego strony podmiotowej lub przedmiotowej” (wyrok NSA z 18 marca 1997 r., SA/Rz 258/96, LEX nr 58125). Stwarza to podstawę do wyróżnienia podmiotowych i przedmiotowych przyczyn bezprzedmiotowości postępowania. Do przyczyn podmiotowych należy zaliczyć śmierć strony (o ile nie zachodzi przypadek wymieniony w art. 97 § 1 pkt 1), utratę przez stronę niebędącą osobą fizyczną jej bytu prawnego, jak również brak interesu prawnego po stronie podmiotu domagającego się wydania decyzji, o ile organ stwierdzi to już po wszczęciu postępowania. (A. Krawczyk w: Kodeks postępowania administracyjnego. Komentarz do art. 105 [online], Wolters Kluwer Polska, 2019-10-30, https://sip.lex.pl/#/commentary /587785940/583380).

W niniejszej sprawie tym elementem stosunku materialnoprawnego, który przestał istnieć w trakcie postępowania jest element podmiotowy – istnienie osoby prawnej będącej stroną materialnego stosunku prawnego powstającego, który to stosunek powstaje między osobą, której dane są przetwarzane, a podmiotem te dane przetwarzającym (w tym przypadku administratorem). Stwierdzenie istnienie obu stron tego stosunku pozwoliłoby dopiero rozstrzygnąć o tym czy w rzeczywistości między stronami doszło do przetwarzania danych osobowych, a następnie o jego legalności (istnieniu podstawy prawnej przetwarzania) i zgodności z przepisami o ochronie danych osobowych (w tym o wywiązaniu się przez administratora z ciążących na nim obowiązków informacyjnych wobec Skarżącej).

W tym stanie faktycznym i prawnym Prezes Urzędu Ochrony Danych Osobowych rozstrzygnął, jak w sentencji.

Na podstawie art. 127 § 3 k.p.a. od decyzji przysługuje stronie prawo do wniesienia wniosku o ponowne rozpatrzenie sprawy w terminie 14 dni od dnia jej doręczenia stronie. Jeżeli strona nie chce skorzystać z prawa do złożenia wniosku o ponowne rozpatrzenie sprawy, ma prawo do wniesienia skargi na decyzję do Wojewódzkiego Sądu Administracyjnego w Warszawie w terminie 30 dni od dnia doręczenia jej stronie. Skargę wnosi się za pośrednictwem Prezesa Urzędu Ochrony Danych Osobowych (adres: ul. Stawki 2, 00-193 Warszawa). Wpis od skargi wynosi 200 złotych. Strona ma prawo ubiegania się o prawo pomocy, w tym zwolnienie od kosztów sądowych.