Portal Orzeczeń Sądu Apelacyjnego w Krakowie

WYROK

W IMIENIU RZECZYPOSPOLITEJ POLSKIEJ

Dnia 9 stycznia 2025 r.

Sąd Apelacyjny w Krakowie, I Wydział Cywilny w składzie:

Przewodniczący: SSA Paweł Czepiel

Sędziowie: SSA Wojciech Żukowski

SSA Regina Kurek

Protokolant: Edyta Sieja

po rozpoznaniu w dniu 9 stycznia 2025 r. w Krakowie na rozprawie

sprawy z powództwa T. G.

przeciwko Gminie (...)

o nakazanie

na skutek apelacji strony pozwanej od wyroku Sądu Okręgowego w Krakowie

z dnia 14 lipca 2022 r. sygn. akt IX GC 492/21

uchyla zaskarżony wyrok i sprawę przekazuje Sądowi Okręgowemu
w Krakowie do ponownego rozpoznania i orzeczenia o kosztach postępowania apelacyjnego.

I AGa 313/22

UZASADNIENIE

wyroku Sądu Apelacyjnego w Krakowie

z dnia 9 stycznia 2025 r.

Powód T. G. wniósł o nakazanie stronie pozwanej Gminie (...) , aby dokonała anonimizacji jego danych osobowych opublikowanych na wskazanej stronie internetowej pozwanej. Powód wskazał, że uprzednio – w wyniku wyłonienia jego oferty w drodze innego przetargu – wykonywał roboty na rzecz strony pozwanej na podstawie umowy od której strona pozwana odstąpiła, zarzucając mu nienależyte wykonanie prac. W rezultacie strona pozwana ogłosiła kolejne postępowanie przetargowe, umieszczając na stronie internetowej warunki przetargu, w których to dokumentach zostały zawarte dane osobowe powoda w postaci imienia i nazwiska oraz firmy, przy czym w ekspertyzach technicznych, stanowiących część dokumentów przetargowych wskazano, że powód nienależycie wykonał prace. Tymczasem twierdzenia te są sporne i godzą w jego dobre imię; toczy się spór sądowy dotyczący odpowiedzialności z tytułu awarii prac w postaci odchylenia muru oporowego.

Strona pozwana Gmina (...) wniosła o oddalenie powództwa, wskazując, iż w przeważającej części nie jest autorem dokumentów wskazanych przez powoda, a ponadto zasadnie podnosi, iż powód nienależycie wykonał zobowiązanie umowne do zaprojektowania i wykonania robót, bowiem awaria muru wynikała z błędów wykonawczych powoda. Strona pozwana podniosła, iż spoczywają na niej obowiązki związane z transparentnością i jawnością działań, a ujawnienie informacji o toczącym się sporze nie narusza dóbr osobistych strony sporu. Strona pozwana zarzuciła, że nie ma możliwości ograniczania dostępu do informacji związanych z przetargiem publicznym, nie jest możliwe zmienianie treści SIWZ, a protokół z postępowania przetargowego z załącznikami jest jawny. Strona pozwana podniosła, że była uprawniona do krytyki działań powoda, a ujawnienie jej stanowiska było niezbędne, choćby z racji zapisów prawa zamówień publicznych. Strona pozwana podkreśliła, że ww. przetarg został unieważniony w dniu 9 lutego 2021 r., a jego utrzymywanie na stronach (...) ma charakter porządkowy i archiwalny.

W piśmie procesowym z 7 września 2021 r. powód powołał się na niezgodne z prawem przetwarzanie jego danych osobowych jako dodatkową podstawę prawną żądania, a strona pozwana na rozprawie w dniu 22 marca 2022 r. podniosła, że zgodność przetwarzania danych z prawem wynika z art. 6 ust. 1 lit. c, e, f rozporządzenia PE i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych), dalej jako rozporządzenie RODO. Szczegółowa argumentacja, dotycząca uprawnienia, a nawet obowiązku publikacji ww. danych, została zaprezentowana przez stronę pozwaną w piśmie procesowym z 29 marca 2022 r. (k.224). Strona pozwana podniosła, że dalsze przetwarzanie danych stanowi realizację ważnych celów, leżących w ogólnym interesie publicznym, a protokół z postępowania o udzielenie zamówienia publicznego jest jawny i podlega obowiązkowi publikacji na stronie internetowej zamawiającego, co dotyczy również całej specyfikacji istotnych warunków zamówienia.

W piśmie procesowym z dnia 20 czerwca 2022 r. powód wskazał, że kilkukrotnie składał sprzeciw wobec przetwarzania jego danych osobowych przez stronę pozwaną.

Sąd Okręgowy w Krakowie wydał wyrok, w którym nakazał pozwanej, aby ograniczyła przetwarzanie danych osobowych powoda poprzez anonimizację (usunięcie widoczności) danych w postaci imienia i nazwiska, oraz firmy powoda lub jej poszczególnych członów w treści dokumentów opisanych w wyroku i opublikowanych na stronie internetowej: (...),a, (...),(...) i zasądził od strony pozwanej na rzecz powoda kwotę 1337 zł tytułem zwrotu kosztów procesu.

Sąd Okręgowy wskazał, że bezsporne w sprawie było, że:

- ogłoszenie o przetargu, w ramach którego doszło do publikacji ww. danych, nastąpiło 23 grudnia 2020 r.;

- na stronie (...) Gminy (...), pod adresem(...) (...) opublikowano pełną dokumentację przetargu nieograniczonego inwestycji (...) , w ramach której opublikowano dokumenty objęte żądaniem pozwu i opisane w uzasadnieniu, w których

znalazły się dane osobowe powoda w postaci imienia i nazwiska lub członu firmy powoda, to jest (...);

- ww. przetarg został unieważniony w dniu 9 lutego 2021 r. – w jego wyniku nie doszło do zawarcia umowy, na podstawie której wykonywane byłyby jakiekolwiek roboty;

- powód został wyłoniony jako wykonawca we wcześniejszym przetargu inwestycji pn.(...)w wyniku czego strony w dniu 28 kwietnia 2017 r. zawarły umowę nr (...).(...). Kolejny przetarg, unieważniony 9 lutego 2021 r., dotyczył prac naprawczych w pracach wykonanych przez powoda w oparciu o umowę z 28 kwietnia 2017 r., przy czym strony pozostają w sporze co do przyczyn uszkodzenia robót wykonanych przez powoda, a spór ten nie został na dzień zamknięcia rozprawy zakończony prawomocnym wyrokiem sądowym.

Sąd Okręgowy ustalił, że w pismach z 4 stycznia i 5 lutego 2021 r. powód wezwał stronę pozwaną do zaprzestania ujawniania jego danych osobowych w ramach publikacji ww. dokumentów przetargowych, wskazując na naruszenie dóbr osobistych.

Sąd Okręgowy oddalił wnioski dowodowe dotyczące przesłuchania świadków i stron oraz wniosek o zobowiązanie do przedłożenia dokumentów na mocy art. 235 ² § 1 pkt 5 k.p.c., uznając, że ich prowadzenie zmierzać będzie jedynie do przedłużenia postępowania, bowiem niezależnie od prawidłowości wykonania prac przez powoda oraz niezależnie od prawdziwości tez powołanych w dokumentach opublikowanych na stronie pozwanej, powództwo podlegało uwzględnieniu z uwagi na brak podstaw po stronie pozwanej do przetwarzania danych osobowych powoda poprzez ich publikację w sposób opisany w żądaniu. Wobec uwzględniania żądania dotyczącego anonimizacji danych osobowych w oparciu o zasady dotyczące ich przetwarzania, zbędne i prowadzące jedynie do przedłużenia postępowania było ustalanie przyczyn, dla których konieczna była naprawa prac wykonanych uprzednio przez powoda. Okoliczności te były istotne z punktu widzenia żądania dotyczącego częściowego usunięcia danych wobec naruszenia dobra osobistego w postaci renomy / dobrego imienia, ale wobec wydania rozstrzygnięcia zgodnie z żądaniem już w oparciu o przepisy dotyczące ochrony dobra osobistego w postaci danych osobowych, dalsze prowadzenie postępowania Sąd Okręgowy uznał za zbędne jako prowadzące jedynie do wydłużenia czasu trwania postępowania i jego kosztów. Badanie merytorycznej poprawności prac nie miało więc znaczenia dla rozstrzygnięcia, skoro uwzględnienie powództwa było uzasadnione już na gruncie zasad rządzących ochroną danych osobowych.

Sąd Okręgowy uznał powództwo za uzasadnione.

Sąd Okręgowy wskazał, że przetarg w ramach którego doszło do opublikowania dokumentów zawierających dane osobowe powoda, został ogłoszony w dniu 23 grudnia 2020r., a zatem podlegał przepisom ustawy z dnia 29 stycznia 2004 r. Prawo zamówień publicznych (publ. Dz. U. 2019 r. poz. 1843 t.j.), a to na mocy art. 90 ust. 1 ustawy z dnia 11 września 2019r. Przepisy wprowadzające ustawę – Prawo zamówień publicznych w rezultacie czego Sąd Okręgowy przywołał poszczególne przepisy ww. ustawy, a to art.8a, art.11, art.13, art.40, art.41, art.42 ust.1 i art.96 ustawy pzp.

Sąd Okręgowy odwołał się też do przepisów rozporządzenia PE i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE – dalej jako rozporządzenie lub rozporządzenie RODO.

I tak, Sąd Okręgowy odwołał się do art.4 rozporządzenia RODO, a w szczególności do definicji pojęć danych osobowych i przetwarzania.

Następnie Sąd Okręgowy odwołał się do art.6 ust.1 przywołując przesłanki zgodnego z prawem przetwarzania danych osobowych i podkreślając konieczność spełnienia przesłanki niezbędności danej przyczyny przetwarzania i do art.6 ust.4 rozporządzenia podkreślając, że jeżeli przetwarzanie w celu innym niż cel, w którym dane osobowe zostały zebrane, nie odbywa się na podstawie zgody osoby, której dane dotyczą, ani prawa Unii lub prawa państwa członkowskiego stanowiących w demokratycznym społeczeństwie niezbędny i proporcjonalny środek służący zagwarantowaniu celów, o których mowa w art. 23 ust. 1, administrator - aby ustalić, czy przetwarzanie w innym celu jest zgodne z celem, w którym dane osobowe zostały pierwotnie zebrane - bierze pod uwagę między innymi wskazane w tym przepisie przesłanki, a przetwarzanie danych osobowych do celów innych niż cele, w których dane te zostały pierwotnie zebrane, powinno być dozwolone wyłącznie w przypadkach, gdy jest zgodne z celami, w których te dane zostały pierwotnie zebrane (pkt 50 motywów rozporządzenia).

W myśl art. 7 ust. 1 rozporządzenia jeżeli przetwarzanie odbywa się na podstawie zgody, administrator musi być w stanie wykazać, że osoba, której dane dotyczą, wyraziła zgodę na przetwarzanie jej danych osobowych. Jednocześnie, jeżeli przetwarzanie służy różnym celom, potrzebna jest zgoda na wszystkie te cele (pkt 32 motywów rozporządzenia RODO). Jeżeli osoba, której dane dotyczą, wyrażą zgodę w pisemnym oświadczeniu, które dotyczy także innych kwestii, zapytanie o zgodę musi zostać przedstawione w sposób pozwalający wyraźnie odróżnić je od pozostałych kwestii, w zrozumiałej i łatwo dostępnej formie, jasnym i prostym językiem. Część takiego oświadczenia osoby, której dane dotyczą, stanowiąca naruszenie rozporządzenia nie jest wiążąca (ust. 2). Osoba, której dane dotyczą, ma prawo w dowolnym momencie wycofać zgodę. Wycofanie zgody nie wpływa na zgodność z prawem przetwarzania, którego dokonano na podstawie zgody przed jej wycofaniem. Osoba, której dane dotyczą, jest o tym informowana, zanim wyrazi zgodę. Wycofanie zgody musi być równie łatwe jak jej wyrażenie (ust. 3). Oceniając, czy zgodę wyrażono dobrowolnie, w jak największym stopniu uwzględnia się, czy między innymi od zgody na przetwarzanie danych nie jest uzależnione wykonanie umowy, w tym świadczenie usługi, jeśli przetwarzanie danych osobowych nie jest niezbędne do wykonania tej umowy (ust. 4).

Sąd Okręgowy odwołał się do pkt 47 motywów rozporządzenia i wskazał, że podstawą prawną przetwarzania mogą być prawnie uzasadnione interesy administratora, o ile w świetle rozsądnych oczekiwań osób, których dane dotyczą, opartych na ich powiązaniach z administratorem nadrzędne nie są interesy lub podstawowe prawa i wolności osoby, której dane dotyczą. Taki prawnie uzasadniony interes może istnieć na przykład w przypadkach, gdy zachodzi istotny i odpowiedni rodzaj powiązania między osobą, której dane dotyczą, a administratorem, na przykład gdy osoba, której dane dotyczą, jest klientem administratora lub działa na jego rzecz. Aby stwierdzić istnienie prawnie uzasadnionego interesu, należałoby w każdym przypadku przeprowadzić dokładną ocenę, w tym ocenę tego, czy w czasie i w kontekście, w którym zbierane są dane osobowe, osoba, której dane dotyczą, ma rozsądne przesłanki by spodziewać się, że może nastąpić przetwarzanie danych w tym celu. Interesy i prawa podstawowe osoby, której dane dotyczą, mogą być nadrzędne wobec interesu administratora danych w szczególności w przypadkach, gdy dane osobowe są przetwarzane w sytuacji, w której osoby, których dane dotyczą, nie mają rozsądnych przesłanek, by spodziewać się dalszego przetwarzania. Ponieważ dla organów publicznych podstawę prawną przetwarzania danych osobowych powinien określić ustawodawca, prawnie uzasadniony interes administratora nie powinien mieć zastosowania jako podstawa prawna do przetwarzania, którego dokonują organy publiczne w ramach realizacji swoich zadań. Prawnie uzasadnionym interesem administratora, którego sprawa dotyczy, jest również przetwarzanie danych osobowych bezwzględnie niezbędne do zapobiegania oszustwom. Za działanie wykonywane w prawnie uzasadnionym interesie można uznać przetwarzanie danych osobowych do celów marketingu bezpośredniego.

Sąd Okręgowy odwołał się do art. 17 ust. 1 i 2 rozporządzenia określającego przesłanki usunięcia danych osobowych na żądanie osoby, której te dane dotyczą oraz wskazał, kiedy ww. przepisy nie znajdują zastosowania.

Sąd Okręgowy odwołał się do art.18 rozporządzenia określającego kiedy osoba, której dane dotyczą może żądać od administratora ograniczenia przetwarzania danych osobowych.

Sąd Okręgowy podkreślił, że zgodnie z art.21 rozporządzenia osoba, której dane dotyczą, ma prawo w dowolnym momencie wnieść sprzeciw, a wówczas administratorowi nie wolno już przetwarzać tych danych osobowych, chyba że wykaże on istnienie ważnych prawnie uzasadnionych podstaw do przetwarzania, nadrzędnych wobec interesów, praw i wolności osoby, której dane dotyczą, lub podstaw do ustalenia, dochodzenia lub obrony roszczeń.

Zgodnie z mot. 14 rozporządzenia ochrona powinna mieć zastosowanie do osób fizycznych w związku z przetwarzaniem ich danych osobowych. Niniejsze rozporządzenie nie dotyczy przetwarzania danych osobowych dotyczących osób prawnych, w szczególności przedsiębiorstw będących osobami prawnymi, w tym danych o firmie i formie prawnej oraz danych kontaktowych osoby prawnej. Konsekwentnie, a contrario, należy przyjąć, że ochrona dotyczy danych osób fizycznych, będących przedsiębiorcami, w tym danych przedsiębiorstwa pozwalających na zidentyfikowanie dalszych danych osoby fizycznej, w tym jej imienia i nazwiska, co zresztą potwierdza pkt 26 motywów rozporządzenia, zgodnie z którym zasady ochrony danych powinny mieć zastosowanie do wszelkich informacji o zidentyfikowanych lub możliwych do zidentyfikowania osobach fizycznych.

Sąd Okręgowy odwołał się także do art.79 rozporządzenia, bez uszczerbku dla dostępnych administracyjnych lub pozasądowych środków ochrony prawnej, w tym prawa do wniesienia skargi do organu nadzorczego zgodnie z art. 77, każda osoba, której dane dotyczą, ma prawo do skutecznego środka ochrony prawnej przed sądem, jeżeli uzna ona, że prawa przysługujące jej na mocy niniejszego rozporządzenia zostały naruszone w wyniku przetwarzania jego danych osobowych z naruszeniem niniejszego rozporządzenia.

Sąd Okręgowy odwołał się także do przepisów ustawy z dnia 6 września 2001 r. o dostępie do informacji publicznej (Dz. U. Dz.U.2022.902 t.j.), w tym do art. 4 ust. 1 , w którym wymienione zostały podmioty obowiązane do udostępniania informacji publicznej, do art. 5 ust. 2, który ogranicza prawo do informacji publicznej ze względu na prywatność osoby fizycznej lub tajemnicę przedsiębiorcy, do art.6 ust.1, w którym wskazano jakie informacje publiczne podlegają udostępnieniu oraz do art. 92 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych, w zakresie nieuregulowanym rozporządzeniem 2016/679, do roszczeń z tytułu naruszenia przepisów o ochronie danych osobowych, o których mowa w art. 79 i art. 82 tego rozporządzenia, stosuje się przepisy Kodeksu cywilnego.

Sąd Okręgowy przywołał też treść art. 23 k.c. i art. 24 k.c.

Sąd Okręgowy nakazał ograniczenie przetwarzania danych osobowych w postaci imienia i nazwiska oraz elementu firmy powoda, poprzez usunięcie widoczności tych danych w opublikowanych na stronie internetowej Gminy dokumentach (dokonanie anonimizacji danych), uwzględniając następujące okoliczności:

- dla rozstrzygnięcia pozwu nie było konieczne dokonywanie ustaleń dotyczących odpowiedzialności z tytułu nienależytego wykonania umowy; Sąd Okręgowy miał na uwadze, że strony znajdują się w sporze, który dotychczas nie został rozstrzygnięty (o czym była mowa wyżej – przy uzasadnieniu postanowienia o oddaleniu wniosków dowodowych);

- powód wyraził zgodę na przetwarzanie danych osobowych na potrzeby pierwszego przetargu, w którym został wyłoniony jako wykonawca, a przetwarzanie danych na potrzeby wykonania tej umowy (nr (...) (...)), w tym prowadzenia sporu sądowego, jest uzasadnione na gruncie art. 6 ust. 1 lit. a i b rozporządzenia RODO;

- zgoda wyrażona w tamtym postępowaniu przetargowym, zakończonym zawarciem umowy z 28 kwietnia 2017 r., oraz podstawa przetwarzania wyrażona w art. 6 ust. 1 lit. b rozporządzenia nie uzasadniały przetwarzania danych powoda w ramach kolejnego przetargu, tym bardziej, że przetwarzanie w postaci ujawnienia danych identyfikujących w dokumentach opublikowanych przez stronę pozwaną (dotyczących innego przetargu), nastąpiło w zupełnie w innym celu niż pierwotnie zakładany w ramach procedury o udzielenie zamówienia publicznego – w celu (m.in.) poinformowania potencjalnych oferentów o nienależytym wykonaniu poprzedniej umowy przez powoda;

- przetwarzanie tych danych nie było więc przedmiotem zgody powoda, nie miało też na celu wykonania umowy, jednocześnie brak było podstaw do uznania, że przetwarzanie to było wymagane na gruncie obowiązującego prawa wewnętrznego lub prawa UE, lub było dozwolone w oparciu o zapisy rozporządzenia RODO;

- przetwarzanie danych w zakwestionowany sposób nie było uprawnione w świetle art.6 ust. 1 lit. c, d, e, f rozporządzenia, bowiem ujawnienie i publikacja danych powoda nie była niezbędna do przeprowadzenia kolejnego przetargu, jako że również anonimizując te dane pozwany mógł osiągnąć cel w postaci wyłonienia kolejnego wykonawcy – potencjalni oferenci nie musieli znać danych poprzedniego wykonawcy dla złożenia oferty;

- najpóźniej wnosząc pozew, a także w pismach wysyłanych przed wszczęciem procesu, w tym w ramach postępowania zabezpieczającego, powód zgłosił sprzeciw wobec przetwarzania jego danych przez ujawnianie danych w kolejnych dokumentach przetargowych, ze wskazaniem na nienależyte wykonanie robót, co oznacza, że strona pozwana na podstawie art. 17 rozporządzenia powinna była zaprzestać przetwarzania tych danych co najmniej od tej chwili, tym bardziej, że po unieważnieniu przetargu brak było podstaw do twierdzenia, że ich przetwarzanie jest niezbędne z uwagi na uzasadniony interes pozwanej;

- najpóźniej wnosząc pozew powód wyraził też sprzeciw wobec dalszego przetwarzania jego danych, a zatem zgodnie z art. 21 rozporządzenia to na stronie pozwanej spoczywał ciężar dowodu wykazania istnienia ważnych prawnie uzasadnionych podstaw do przetwarzania, nadrzędnych wobec interesów, praw i wolności osoby, której dane dotyczą, lub podstaw do ustalenia, dochodzenia lub obrony roszczeń;

- mając na uwadze dyskredytujący kontekst ujawnionych danych (w zakresie oceny wykonawstwa), unieważnienie przetargu i publikację danych dla celów już wyłącznie archiwalnych oraz brak wykazania innych nadrzędnych interesów pozwanej wobec praw i interesów powoda, związanych z nieujawnianiem dyfamujących informacji, brak było podstaw do przetwarzania danych w postaci opublikowania ich na stronie pozwanej, bez dodatkowych środków, uniemożliwiających identyfikację powoda;

- specyfikację istotnych warunków zamówienia udostępnia się na stronie internetowej od dnia zamieszczenia ogłoszenia o zamówieniu w Biuletynie Zamówień Publicznych albo publikacji w Dzienniku Urzędowym Unii Europejskiej do upływu terminu składania ofert (art.42 ust. 1 poprz. pzp) – żaden przepis nie nakazuje dalszego utrzymywania SIWZ na stronie internetowej, w szczególności po unieważnieniu przetargu;

- protokół z postępowania przetargowego jest jawny (art. 96 ust. 3 pzp), a załącznikiem do niego są wszelkie opinie (ust. 2), ale brak jest podstaw do stwierdzenia, że zamawiający ma obowiązek jego publikacji na stronie internetowej, ponadto a fortiori – skoro uczestnik danego przetargu może domagać się ograniczenia przetwarzania jego danych co wyłącza częściowo jawność protokołu, to tym bardziej osoba, której dane są przetwarzane, a która nie była uczestnikiem przetargu, a zamawiający nie legitymuje się zgodą na przetwarzanie w tym postępowaniu, może domagać się zaprzestania / ograniczenia przetwarzania swoich danych, bowiem kolizję pomiędzy zasadą jawności przetargu a ochroną danych osobowych przesądza art. 96 ust. 3b pzp; zasada ta powtórzona została w art. 74 nowej ustawy pzp;

- obowiązku publikacji protokołu przetargowego nie przewiduje również ustawy z dnia z dnia 6 września 2001 r. o dostępie do informacji publicznej (Dz. U. Dz.U.2022.902 t.j.);

- osoba domagająca się ochrony danych osobowych może domagać się ograniczenia przetwarzania danych, nawet jeśli służy jej uprawnienie do żądania usunięcia danych, co przesądza art. 18 ust. 1 lit. b rozporządzenia, a Sąd Okręgowy był związany zakresem żądania;

- dane osobowe podlegają również ochronie jako dobra osobiste osoby fizycznej na gruncie art. 23 k.c.;

- w konsekwencji powód wykazał, że doszło do przetwarzania danych osobowych w dokumentacji przetargowej poprzez ich zamieszczenie w tej dokumentacji i opublikowanie na stronach internetowych strony pozwanej, a strona pozwana nie wykazała, by przetwarzanie to było uzasadnione na gruncie rozporządzenie RODO;

Mając powyższe na uwadze, Sąd Okręgowy uwzględnił żądanie na mocy art. 24 § 1 k.c. w zw. z art. 6 i 4 w zw. z art. 78 rozporządzenia RODO i art. 92 ustawy z dnia 10 maja 2018r. o ochronie danych osobowych.

Sąd Okręgowy zasądził koszty procesu na rzecz powoda wygrywającego sprawę, na mocy art. 98 § 1 k.p.c., a na koszty te złożyła się opłata od pozwu w kwocie 600 zł oraz koszty zastępstwa procesowego w kwocie 720 zł (§ 8 ust. 1 pkt 2 rozporządzenia Ministra Sprawiedliwości z dnia 22 października 2015 r. w sprawie opłat za czynności radców prawnych (Dz.U. 2018 poz. 265), powiększone o opłatę skarbową od pełnomocnictwa.

Apelację od wyroku wniosła strona pozwana, zaskarżając wyrok w całości i zarzucając naruszenie przepisów prawa materialnego, to jest:

a) art. 6 ust. 1 pkt a), b), d), e) oraz f) rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE poprzez ich niewłaściwe zastosowanie i nieustalenie, że pozwana - w zakresie przetwarzania danych osobowych powoda - posiadała podstawę prawną wynikającą ze statuowanych powyżej przepisów, w zakresie:

- dochodzenia swoich prawnie uzasadnionych roszczeń związanych z wykonawstwem zastępczym robót wadliwie uprzednio zrealizowanych przez powoda (w ramach konsorcjum);

- istnienia obowiązku prawnego, do którego wykonania niezbędne było przetworzenie danych powoda,

- niezbędności przetworzenia tych danych do wykonania zadania realizowanego w interesie publicznym, a to w związku z koniecznością pełnego i prawidłowego opisu przedmiotu zamówienia, jako projektu naprawczego, związanego z wcześniej powstałymi - na skutek zachowania powoda - wadami.

- niezbędności przetworzenia tych danych do ochrony żywotnych interesów pozwanej;

b) art. 21 ust. 1 rozporządzenia, w zakresie w jakim Sąd I instancji pominął - po myśli tego przepisu - konieczności wykazania przez podmiot danych (powoda) uzasadnienia dla zgłoszenia sprzeciwu w postaci szczególnej sytuacji, której powód nie wykazał;

c) art. 21 ust. 1 rozporządzenia, w zakresie w jakim Sąd I instancji zastosował ten przepisy w sytuacji, gdy administrator uzyskał zgodę osoby, której dane dotyczą, wykonuje umowę, istnieje obowiązek prawny, do którego wykonania niezbędne jest przetwarzanie danych, oraz gdy przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, a takie podstawy w niniejszym procesie wykazała pozwana;

d) art. 8 ust. 1 w zw. z art. 18 ust. 1, art. 42 ust. 1 oraz art. 96 ust. 1 ustawy z dnia 29 stycznia 2004 r. Prawo zamówień publicznych (tj. Dz.U. z 2019 r. poz. 1843 z późn. zm) poprzez ich błędne zastosowanie i przyjęcie, że nie wyczerpuje przesłanki niezbędności statuowanej w art.6 ust.1 lit.b),d),e), f) rozporządzenia obowiązek pozwanej do jednoznacznego i wyczerpującego określenia przedmiotu zamówienia, a także udzielenia wykonawcom prawa wglądu do wszelkiej dokumentacji związanej z przedmiotem zamówienia, a także zachowania pełnej jawności tegoż postępowania, z nielicznymi i wąsko ujętymi wyjątkami.

W rezultacie strona pozwana wniosła o zmianę zaskarżonego wyroku poprzez oddalenie powództwa i zasądzenie kosztów procesu ewentualnie o uchylenie zaskarżonego wyroku i przekazanie sprawy Sądowi Okręgowemu do ponownego rozpoznania oraz zasądzenie kosztów postępowania apelacyjnego.

Powód wniósł odpowiedź na apelację, w której domagał się oddalenia apelacji i zasądzenia kosztów postępowania apelacyjnego.

Sąd Apelacyjny zważył:

Apelacja jest uzasadniona z przyczyn,które nie zostały bezpośrednio w niej przywołane, a mają kluczowe znaczenie dla oceny zasadności roszczenia.

Otóż przypomnieć należy, iż istota rozstrzygnięcia Sądu Okręgowego sprowadza się do oceny, że strona pozwana naruszyła przepisy rozporządzenia RODO dotyczące zasad publikacji danych osobowych powoda, w szczególności w obliczu żądania przez powoda usunięcia tych danych, co uzasadnia roszczenie powoda.

Sąd Okręgowy wskazując prawną podstawę uwzględnienia roszczenia co prawda odwołuje się do art.24 kc, ale stoi na stanowisku, iż dla oceny zasadności powództwa wystarczająca jest analiza przepisów rozporządzenia RODO (oraz ważnych z punktu widzenia przedmiotu sporu przepisów ustaw Pzp i o ochronie danych osobowych) i tym samym zbędna jest analiza art.24 kc – por. fragment, w którym Sąd Okręgowy wyjaśnia przyczyny, dla których pominął wnioski dowodowe zmierzające do ustalenia oceny sprzecznych twierdzeń stron co do prawidłowości/wadliwości wykonania prac przez powoda, zwracając uwagę, iż powództwo podlegało uwzględnieniu z uwagi na brak podstaw po stronie pozwanej do przetwarzania danych osobowych powoda poprzez ich publikację w sposób opisany w pozwie.

W rezultacie kwestią podstawową w sprawie była ocena stanowiska Sądu Okręgowego co do postaci roszczeń przysługujących osobom, które – tak jak powód – twierdzą, że ich dane osobowe są przetwarzane w sposób naruszający przepisy rozporządzenia RODO.

I tak, prawidłowo Sąd Okręgowy odwołał się do art.79 rozporządzenia (omyłkowo określając go jako art.78), przy czym o ile zastosowanie w sprawie ww. przepisu nie ulega wątpliwości, o tyle należy rozważyć, czy przepis ten stanowi autonomiczny tryb dochodzenia roszczeń w razie stwierdzenia naruszenia praw danej osoby wywołanych przetwarzaniem danych osobowych z naruszeniem przepisów rozporządzenia, czy też jest to jedynie norma kompetencyjna odsyłająca do innych przepisów regulujących podstawy dochodzenia roszczeń z tego tytułu, a odpowiedź na tak postawione pytanie determinuje dalszą ocenę wyroku.

Stosownie do art.79 ust.1 rozporządzenia każda osoba, której dane dotyczą ma prawo do skutecznego środka ochrony prawnej przed sądem. Skoro art.79 rozporządzenia nie wprowadza konkretnych rozwiązań co do przysługujących środków ochrony, a jedynie nakazuje państwu członkowskiemu zapewnienie skutecznego środka ochrony to powstaje pytanie w jaki sposób ustawodawca polski zrealizował ten cel. Z tego punktu widzenia istotny jest art.92 ustawy o ochronie danych osobowych, zgodnie z którym w zakresie nieuregulowanym rozporządzeniem do roszczeń z art.79 i art.82 rozporządzenia stosuje się przepisy KC. Art.82 rozporządzenia nie znajdzie zastosowania w niniejszej sprawie, dlatego Sąd Apelacyjny przywołuje ww. przepis jedynie w celu pokazania, że prawodawca unijny w odmienny sposób uregulował kwestię zapewnienia ochrony w razie naruszenia praw jednostki w wyniku niezgodnego z przepisami rozporządzenia przetwarzania danych osobowych - art.79, w którym wskazano jedynie, że dana osoba ma prawo do skutecznego środka ochrony oraz kwestię roszczeń odszkodowawczych w razie wystąpienia takich stanów faktycznych - art.82, w którym zostały uregulowane zasady odpowiedzialności odszkodowawczej.

Skoro zatem w przypadkach objętych zakresem art.79 rozporządzenia prawodawca unijny poprzestaje na konieczności zapewnienia skutecznego środka ochrony prawnej, a ustawodawca krajowy w art.92 ustawy o danych osobowych odsyła do przepisów KC, to uzasadniony jest pogląd, że przepisami, które stanowią skuteczny środek ochrony prawnej w rozumieniu art.79 rozporządzenia są przepisy dotyczące ochrony dóbr osobistych – z punktu widzenia przedmiotu sporu - art.24 kc.

Tym samym uznać należy, że art.79 rozporządzenia, w przeciwieństwie do art.82 rozporządzenia nie stanowi samodzielnej podstawy dochodzenia roszczeń, a stanowi jedynie normę kompetencyjną. Uzasadniony wydaje się być wniosek, że w taki właśnie sposób postrzega znaczenie art.79 rozporządzenia ustawodawca krajowy, który w projekcie do ustawy o ochronie danych osobowych wskazał, iż ww. przepis nie wymaga wprowadzenia do systemu prawa państwa członkowskiego nowego środka na płaszczyźnie prawa materialnego, jeżeli obowiązujące przepisy mogą stanowić skuteczną podstawę roszczeń związanych z naruszeniem ogólnego rozporządzenia (por. s.41 uzasadnienia do ww.projektu). Dodatkowym argumentem na rzecz takiego stanowiska jest treść projektu ustawy o danych osobowych z 12 września 2017r., który w art.78 przewidywał możliwość wystąpienia z powództwem o zaniechanie działania i o dopełnienie czynności niezbędnych do usunięcia skutków prawnych naruszenia – por. w szczególności s.38 uzasadnienia do ww. projektu, w którym wskazano, że rozumienie dobra osobistego tj. prywatności rodzi ryzyko wąskiego ujęcia w jej ramach danych osobowych (…). W związku z tym projektodawca zdecydował się na wprowadzenie regulacji odrębnej w art. 78 ust. 1 projektu, dającej wyraźną cywilnoprawną podstawę roszczeń o charakterze niemajątkowym. […] W ten sposób, bez potrzeby definiowania dobra osobistego (danych osobowych) skonstruowano podstawę dochodzenia cywilnoprawnych roszczeń niemajątkowych w razie naruszenia praw przysługujących na podstawie przepisów o ochronie danych osobowych. Rezygnacja przez ustawodawcę z takiego rozwiązania – por. obecnie obowiązującą ustawę o ochronie danych osobowych, stanowi kolejny argument na rzecz przyjęcia, że art.79 rozporządzenia stanowi jedynie normę kompetencyjną, a nie samodzielną podstawę roszczeń.

Przyjęcie takiego rozwiązania wywołuje daleko idące skutki, z których podstawowym jest konieczność zastanowienia się nad wzajemną relacją danych osobowych i dóbr osobistych, a w szczególności, czy ustalenie naruszenia danych osobowych i zasad ich przetwarzania jest tożsame z naruszeniem dóbr osobistych. Pomocne w udzieleniu odpowiedzi na tak postawione pytanie jest orzecznictwo Sądu Najwyższego. I tak, Sąd Najwyższy w wyrokach z 24 czerwca 2014 r., I CSK 532/13 i z 11 lutego 2015 r., I CSK 868/14 wskazał, że naruszenie przepisów dotyczących danych osobowych może skutkować naruszeniem dóbr osobistych, ale podkreślił w wyroku z 13 grudnia 2018 r., I CSK 690/17, że dane osobowe nie są tożsame z dobrami osobistymi. W rezultacie fakt przetworzenia danych osobowych bez zgody zainteresowanego nie przesądza jeszcze o naruszeniu dóbr osobistych i nie stanowi podstawy do uzyskania ochrony na podstawie art.23 i art.24 kc (por. wyrok Sądu Najwyższego z 28 kwietnia 2004 r., III CK 442/02), a warunkiem udzielenia ochrony dobrom osobistym, chociażby żądanie ochrony pozostawało w związku z przetworzeniem danych osobowych, jest stwierdzenie wystąpienia przesłanek warunkujących tę ochronę w świetle art.24 kc (…) – por. wyrok Sądu Najwyższego z 13 grudnia 2018 r., I CSK 690/17. Oczywiście, należy wziąć pod uwagę, że część ww. orzeczeń została wydana jeszcze przed uchwaleniem rozporządzenia RODO, ale w zakresie istotnym dla rozstrzygnięcia tego sporu za aktualny należy uznać pogląd, że naruszenie przepisów o danych osobowych nie jest tożsame z naruszeniem przepisów o ochronie dóbr osobistych (na temat relacji pomiędzy art.79 i art.82 rozporządzenia i art.23 i art.24 kc por. P.Barta nb 4 i 5 komentarza do art.92 ustawy o ochronie danych osobowych w Komentarz do ustawy o ochronie danych osobowych, red. P. Litwiński, Legalis, wydanie 1, 2021).

W rezultacie należy uznać, że dla skutecznego domagania się usunięcia danych osobowych niezbędne jest wykazanie wystąpienia przesłanek z art.24 kc. Nie można zatem poprzestać na analizie naruszenia przepisów rozporządzenia RODO, a należy dokonać oceny, czy przedstawione przez powoda postaci zachowania strony pozwanej naruszają art.24 kc, to jest czy naruszają dobra osobiste powoda, a jeżeli naruszają, to czy do tego naruszenia doszło w warunkach bezprawności, czy też w stanie faktycznym sprawy występują przesłanki wyłączające bezprawność ewentualnego naruszenia dóbr osobistych powoda.

Dodać także należy, że strony przedstawiały stanowiska procesowe w tym zakresie oraz oferowały materiał dowodowy na ich poparcie.

Odstąpienie przez Sąd Okręgowy od analizy sporu z tego punktu widzenia prowadzi do wniosku, iż Sąd Okręgowy zaniechał zbadania materialnej podstawy żądania pozwu i zarzutów merytorycznych przeciwstawionych zgłoszonemu roszczeniu, a tym samym nie rozpoznał istoty sprawy (por. postanowienie Sądu Najwyższego z 27 czerwca 2014 r., V CZ 41/14), a to z kolei prowadzi do uchylenia zaskarżonego wyroku na podstawie art.386 § 4 kpc.

O kosztach postępowania apelacyjnego orzeknie Sąd Okręgowy w orzeczeniu kończącym postępowanie w sprawie.