DKE.523.30.2021

Na podstawie art. 105 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2018 r., poz. 2096 ze zm.), art. 160 ust. 1 i 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz.U. z 2019 r. poz. 1781) w zw. z art. 12 pkt 2 i art. 22 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r. poz. 922 ze zm.) oraz z art. 57 ust. 1 pkt a) i f) rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679  z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z 04.05.2016 r. str. 1 oraz Dz. Urz. UE L 127 z 23.05.2018 r. str. 2), po przeprowadzeniu postępowania administracyjnego w sprawie skargi Pani H. P. na nieprawidłowości w procesie przetwarzania jej danych osobowych przez L. Sp. z o.o., Prezes Urzędu Ochrony Danych Osobowych

umarza postępowanie.

UZASADNIENIE

Do Biura Generalnego Inspektora Ochrony Danych Osobowych (obecnie: Urzędu Ochrony Danych Osobowych) wpłynęła skarga Pani H. P., zwaną dalej „Skarżącą”, na przetwarzanie jej danych osobowych przez L. Sp. z o.o., zwaną dalej ,,Spółką”.

Z treści skargi wynika, że Skarżąca otrzymywała za pośrednictwem Spółki, z adresu mailowego [...], wiadomości e-mail o charakterze marketingowym, które dotyczyły możliwości skorzystania z zakładów [...]. Mimo złożonego sprzeciwu na przetwarzanie jej danych do tychże celów tożsame wiadomości były nadal wysyłane jednakże z innego adresu mailowego: [...].

W związku z przedstawioną sytuacją Skarżąca wniosła o usunięcie jej danych z baz danych Spółki i o zaprzestanie ich przetwarzania.

W toku postępowania przeprowadzonego w niniejszej sprawie Prezes Urzędu Ochrony Danych Osobowych ustalił następujący stan faktyczny.

1. Skarżąca [...] sierpnia 2015 r. otrzymała od Spółki wiadomości e-mail  o charakterze marketingowym. Nadawcą wiadomości był Pan R. R. z L. Wiadomość została wysyłana z adresu mailowego [...] i zawierała informacje marketingowe dotyczące możliwości skorzystania z 50 %  rabatu na 10 zakładów [...] w cenie 5. Skarżąca złożyła do Spółki, która jest administratorem serwisu [...], sprzeciw wobec przetwarzania jej danych osobowych do celów marketingowych. Mimo złożonego sprzeciwu Skarżąca ponownie otrzymała w dniu [...] sierpnia 2015 r. wiadomość marketingową o możliwości skorzystania z zakładów [...] o, której nadawcą był Pan R. R. z L., jednakże wiadomość ta została wysyłana z innego adresu mailowego, tj. [...].
2. Z § 9 pkt 4 Rozdziału 2 regulaminu korzystania z Prawniczego Serwisu Internetowego z dnia [...] maja 2018 r. wynika, że Spółka będąca operatorem ww. serwisu (cyt.): ,,może wypowiedzieć umowę o świadczenie usług drogą elektroniczną jeżeli Użytkownik nie wykazywał aktywności w Serwisie, w szczególności nie złożył zamówienia lub nie logował się na Konto Użytkownika w ciągu 2 lat od ostatniej aktywności (dowód: załącznik nr 7 do wyjaśnień [...] listopada 2019 r., link do aktualnego regulaminu: [...].
3. W wyjaśnieniach z [...] listopada 2019 r. złożonych w ramach niniejszego postępowania, Spółka poinformowała, że dotychczas przetwarzała dane osobowe Skarżącej w zbiorze o nazwie ,,U.” (Nr zgłoszenia [...], nr księgi [...]) w celu realizacji usług świadczonych przez Spółkę w serwisie [...], na które to przetwarzanie Skarżąca wyraziła zgodę akceptując regulamin usługi i regulamin serwisu oraz wyrażając stosowną zgodę na przetwarzanie swoich danych w celu wykonania zobowiązań. Skarżąca wyraziła również zgodę na otrzymywanie informacji handlowej na podany podczas rejestracji adres poczty elektronicznej. Spółka poinformowała, że w sierpniu 2015 r., po otrzymaniu sprzeciwu Skarżącej wobec dalszego przetwarzania jej  danych osobowych, niezwłocznie usunęła wszystkie zgormadzone dane, a także wykreśliła konto pocztowe Skarżącej z bazy subskrybentów. Spółka wyjaśniła, że nie jest w stanie stwierdzić czy rzeczywiście wysłała Skarżącej mail marketingowy Spółki L., jednakże wydaje się to mało prawdopodobne, gdyż mail ten nie miał stopki informującej o nadawcy tego maila, a wszystkie mailingi reklamowe wysyłane przez Spółkę miały zawsze stosowną stopkę wraz z informacją o możliwości wykreślenia swojego adresu mailowego z listy subskrybentów. Spółka dodała, że jeżeli ów mail marketingowy rzeczywiście został przez nią wysłany, to było to wynikiem jednorazowej usterki technicznej związanej z synchronizacją bazy wysyłkowej. Spółka poza przypadkiem Skarżącej nigdy nie otrzymała żadnej informacji wskazującej na to, że któryś klient otrzymał jakąkolwiek wiadomość po wykreśleniu jego danych. Spółka poinformowała, że dane osobowe Skarżącej nie zostały przekazane do L. Działalność portalu [...] nie obejmuje przekazywania danych osobowych takim podmiotom, natomiast do użytkowników były przekazywane reklamy na zlecenie klientów Spółki. Spółka domniemuje, że mail od L. mógł być wynikiem podania danych przez Skarżącą innemu serwisowi, który organizował mailingi reklamowe dla tego podmiotu. W dniu [...] kwietnia 2019 r., tj. 9 miesięcy po zaprzestaniu przetwarzania danych osobowych Skarżącej, Skarżąca ponownie skorzystała z usług Spółki, wyrażając stosowną zgodę na przetwarzanie jej danych z ograniczeniem tylko do korzystania z serwisu. Zgody wyrażono 2016-04-[...] [...] z adresu IP: [...], natomiast w kwietniu 2018 r. Spółka na podstawie § 9 pkt 4 regulaminu korzystania z Prawniczego Serwisu Internetowego [...] z dnia [...] maja 2018 r., który stanowi, że (cyt.): ,,Operator może wypowiedzieć umowę o świadczenie usług drogą elektroniczną jeżeli Użytkownik nie wykazywał aktywności w Serwisie, w szczególności nie złożył zamówienia lub nie logował się na Konto Użytkownika w ciągu 2 lat od ostatniej aktywności” – usunęła dane osobowe Skarżącej i aktualnie nie przetwarza ich w żadnym zakresie.

Po zapoznaniu się z całością zgromadzonego w sprawie materiału dowodowego, Prezes Urzędu Ochrony Danych Osobowych zważył, co następuje.

Z dniem wejścia w życie ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781), zwanej dalej „u.o.d.o. 2018”, tj. z dniem 25 maja 2018 r., Biuro Generalnego Inspektora Ochrony Danych Osobowych stało się Urzędem Ochrony Danych Osobowych. Postępowania prowadzone przez Generalnego Inspektora Ochrony Danych Osobowych, wszczęte i niezakończone przed dniem 25 maja 2018 r. prowadzone są przez Prezesa Urzędu Ochrony Danych Osobowych, na podstawie ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r. poz. 922 ze zm.), zgodnie z zasadami określonymi w ustawie z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2018 r. poz. 2096 ze zm.), zwanej dalej „k.p.a.”. Wszelkie czynności podjęte przez Generalnego Inspektora Ochrony Danych Osobowych przed dniem 25 maja 2018 r. pozostają skuteczne (art. 160 ust. 1–3 u.o.d.o. 2018).

Stosownie do art. 57 ust. 1 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku  z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych osobowych) (Dz. U. UE L 119 z 4.05.2016, str. 1 oraz Dz. Urz. UE L 127 z 23.05.2018 str. 2), zwanego dalej „Rozporządzeniem 2016/679”, bez uszczerbku dla innych zadań określonych na mocy tego rozporządzenia, każdy organ nadzorczy na swoim terytorium monitoruje i egzekwuje stosowanie tego rozporządzenia (lit. a) oraz rozpatruje skargi wniesione przez osobę, której dane dotyczą, lub przez umocowany przez nią – zgodnie z art. 80 Rozporządzeniem 2016/679 – podmiot, organizację lub zrzeszenie, w odpowiednim zakresie prowadzi postępowania w przedmiocie tych skarg i w rozsądnym terminie informuje skarżącego o postępach i wynikach tych postępowań (lit. f).

W tym miejscu wskazać należy, że Prezes Urzędu Ochrony Danych Osobowych wydając decyzję administracyjną zobowiązany jest do rozstrzygania w oparciu o stan faktyczny istniejący w chwili wydania tej decyzji. Jak podnosi doktryna „organ administracji publicznej ocenia stan faktyczny sprawy według chwili wydania decyzji administracyjnej. Reguła ta odnosi się także do oceny stanu prawnego sprawy, co oznacza, że organ administracji publicznej wydaje decyzję administracyjną na podstawie przepisów prawa obowiązujących w chwili jej wydania (…). Rozstrzyganie w postępowaniu administracyjnym polega na zastosowaniu obowiązującego prawa do ustalonego stanu faktycznego sprawy administracyjnej. W ten sposób organ administracji publicznej realizuje cel postępowania administracyjnego, jakim jest urzeczywistnienie obowiązującej normy prawnej w zakresie stosunków administracyjno-prawnych, gdy stosunki te tego wymagają” (Komentarz do ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego, M. Jaśkowska, A. Wróbel, Lex., el/2012). Również Naczelny Sąd Administracyjny – w wyroku z dnia 7 maja 2008 r. w sprawie o sygn. akt I OSK 761/07 stwierdził, iż cyt.: „badając bowiem legalność przetwarzania danych osobowych, GIODO ma obowiązek ustalenia, czy na datę wydawania rozstrzygnięcia w sprawie dane konkretnego podmiotu są przetwarzane oraz czy czynione to jest w sposób zgodny z prawem”.

Odnosząc powyższe do ustalonego stanu faktycznego, stwierdzić należy, że w toku prowadzonego postępowania wyjaśniającego Prezes Urzędu Ochrony Danych Osobowych ustalił, iż obecnie dane osobowe Skarżącej nie są przetwarzane przez Spółkę. Zostały one trwale usunięte w kwietniu 2018 r. na podstawie § 9 pkt 4 regulaminu korzystania z Prawniczego Serwisu Internetowego [...] maja 2018 r. – na skutek braku aktywności Skarżącej w serwisie.

Z powyższych względów postępowanie stało się bezprzedmiotowe i w związku z tym należało je umorzyć na podstawie art. 105 § 1 k.p.a., wobec jego bezprzedmiotowości.

Zgodnie z wyżej wskazanym przepisem, gdy postępowanie z jakiejkolwiek przyczyny stało się bezprzedmiotowe w całości lub w części, organ administracji publicznej wydaje decyzję o umorzeniu postępowania odpowiednio w całości lub w części. Brzmienie powołanego przepisu nie pozostawia wątpliwości, iż w razie stwierdzenia bezprzedmiotowości postępowania organ prowadzący to postępowanie obligatoryjnie je umarza. Jednocześnie w literaturze przedmiotu wskazuje się, że bezprzedmiotowość postępowania administracyjnego, o której stanowi art. 105 § 1 k.p.a. oznacza, że brak jest któregoś z elementów materialnego stosunku prawnego, a wobec tego nie można wydać decyzji załatwiającej sprawę przez rozstrzygnięcie jej co do istoty. Przesłanka umorzenia postępowania może istnieć jeszcze przed wszczęciem postępowania, co zostanie ujawnione dopiero w toczącym się postępowaniu, a może ona powstać także w czasie trwania postępowania, a więc w sprawie już zawisłej przed organem administracyjnym (B. Adamiak, J. Borkowski „Kodeks postępowania administracyjnego. Komentarz”, 14. Wydanie, Wydawnictwo C.H. Beck, Warszawa 2016 r., str. 491). Takie samo stanowisko zajął Wojewódzki Sąd Administracyjny w Krakowie w wyroku z dnia 27 lutego 2008 r. w sprawie o sygn. akt III SA/Kr 762/2007, w którym to stwierdził, że „postępowanie staje się bezprzedmiotowe, gdy brak któregoś z elementów stosunku materialnoprawnego, co powoduje, że nie można załatwić sprawy przez rozstrzygnięcie co do istoty”.

W niniejszej sprawie tym elementem stosunku materialnoprawnego, który przestał istnieć w trakcie postępowania, jest fakt przetwarzania przez Spółkę danych osobowych Skarżącej (w zakresie – ograniczonym treścią skargi i sformułowanymi w niej żądaniami). Stwierdzenie istnienia tego faktu pozwoliłoby dopiero rozstrzygnąć o jego legalności (istnieniu podstawy prawnej przetwarzania) i zgodności z przepisami o ochronie danych osobowych.

Ustalenie przez organ administracji publicznej istnienia przesłanki, o której mowa w art. 105 § 1 k.p.a. zobowiązuje go, jak podkreśla się w doktrynie i orzecznictwie, do umorzenia postępowania, albowiem brak jest podstaw do rozstrzygnięcia sprawy co do istoty, zaś dalsze prowadzenie postępowania w takim przypadku stanowiłoby o jego wadliwości, mającej istotny wpływ na wynik sprawy.

W tym stanie faktycznym i prawnym Prezes Urzędu Ochrony Danych Osobowych rozstrzygnął, jak w sentencji.

Na podstawie art. 127 § 3 k.p.a. od decyzji przysługuje stronie prawo do wniesienia wniosku o ponowne rozpatrzenie sprawy w terminie 14 dni od dnia jej doręczenia stronie. Jeżeli strona nie chce skorzystać z prawa do złożenia wniosku o ponowne rozpatrzenie sprawy, ma prawo do wniesienia skargi na decyzję do Wojewódzkiego Sądu Administracyjnego w Warszawie w terminie 30 dni od dnia doręczenia jej stronie. Skargę wnosi się za pośrednictwem Prezesa Urzędu Ochrony Danych Osobowych (adres: ul. Stawki 2, 00-193 Warszawa). Wpis od skargi wynosi 200 złotych. Strona ma prawo ubiegania się o prawo pomocy, w tym zwolnienie od kosztów sądowych.