Decyzja DKE.561.36.2022

Na podstawie art. 105 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2024 r., poz. 572 t. j.), art. 7 ust. 1 i 2 oraz art. 60 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r., poz. 1781),

po przeprowadzeniu wszczętego z urzędu postępowania administracyjnego w sprawie nałożenia na Panią L. W., prowadzącą działalność gospodarczą pod firmą: „O (…)” z siedzibą w F. przy ul. (…), administracyjnej kary pieniężnej w związku z niewykonaniem nakazu decyzji Prezesa Urzędu Ochrony Danych Osobowych z 25 sierpnia 2021 r., sygn. DS.523.4113.2020.(…), Prezes Urzędu Ochrony Danych Osobowych,

umarza postępowanie

Uzasadnienie

Stan faktyczny

1.

Prezes Urzędu Ochrony Danych Osobowych, zwany dalej „Prezesem UODO”, decyzją administracyjną z 25 sierpnia 2021 r., sygn. DS.523.4113.2020.(…) – działając na podstawie art. 58 ust. 2 lit. c) rozporządzenia Parlamentu Europejskiego i Rady UE 2016/679 z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych (Dz. Urz. UE L 119 z 04.05.2016, str. 1; Dz. Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35), zwanego dalej: „rozporządzeniem 2016/679” – nakazał Pani L. W., prowadzącej działalność gospodarczą pod firmą: „O (…)” z siedzibą w F. przy ul. (…) (poprzednio: „V (…)”), dalej jako: „Zobowiązana”, usunąć dane osobowe Pani I. M., zamieszkałej w F. przy ul. (…), dalej jako: „Skarżąca”. Decyzja ta, skierowana na aktualny w dacie wysyłki korespondencji ww. adres stałego miejsca wykonywania działalności gospodarczej Zobowiązanej, ujawniony w Centralnej Ewidencji i Informacji o Działalności Gospodarczej, po dwukrotnej awizacji w dniach 30 sierpnia 2021 r. oraz 7 września 2021 r. została zwrócona do UODO z adnotacją: „ZWROT nie podjęto w terminie”. Pismo to, stosownie do treści art. 44 § 4 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2024 r., poz. 572 t. j.), dalej jako: „k.p.a.”, Prezes UODO uznał za prawidłowo doręczone Zobowiązanej z dniem 13 września 2021 r. Decyzja nie została zaskarżona przez strony postępowania do Wojewódzkiego Sadu Administracyjnego w Warszawie, w związku z czym stała się prawomocna z dniem 14 października 2021 r.

2.

Celem sprawdzenia czy nałożony ww. decyzją obowiązek został spełniony przez Zobowiązaną – pismem z 20 października 2021 r. (znak: DKE.560.137.2021.(…)) – Prezes UODO wezwał ją do złożenia wyjaśnień i przedstawienia dowodów potwierdzających wykonanie decyzji oraz pouczył Zobowiązaną, że stwierdzenie nieprzestrzegania nakazu nałożonego przez Prezesa UODO, może skutkować nałożeniem administracyjnej kary pieniężnej w wysokości do 20 000 000 euro, zgodnie z art. 83 ust. 6 rozporządzenia 2016/679. Do wezwania dołączono kopię decyzji podlegającej wykonaniu (vide pkt 1. uzasadnienia). Pismo to, wysłane ponownie na adres stałego miejsca wykonywania działalności gospodarczej Zobowiązanej, zostało odebrane 26 października 2021 r. przez dorosłego domownika. Mimo powyższego Zobowiązana nie odpowiedziała na to wezwanie.

3.

W związku z powyższym Prezes UODO raz jeszcze – pismem z 10 lutego 2022 r. (znak: DKE.560.137.2021.(…)) – wezwał Zobowiązaną do potwierdzenia wykonania nakazu przedmiotowej decyzji, w terminie 7 dni od daty doręczenia pisma. W treści wezwania ponownie zawarto pouczenie o sankcji finansowej grożącej Zobowiązanej z tytułu nieprzestrzegania nakazu nałożonego przez Prezesa UODO. Pismo to, dwukrotnie awizowane w dniach 14 lutego 2022 r. oraz 22 lutego 2022 r., zostało zwrócone do nadawcy z adnotacją: „ZWROT nie podjęto w terminie”. Uwzględniając treść art. 44 § 4 k.p.a. pismo to zostało uznane za prawidłowo doręczone Zobowiązanej z mocy prawa, w trybie doręczenia zastępczego. Zobowiązana nie podjęła żadnych działań celem wykazania wykonania nakazu decyzji.

4.

Pismem z 4 maja 2022 r. (znak: DKE.560.137.2021.(…)), Prezes UODO skierował do Zobowiązanej upomnienie, o którym mowa art. 15 § 1 ustawy z dnia 17 czerwca 1966 r. o postępowaniu egzekucyjnym w administracji (Dz. U. z 2023 r., poz. 2505 t. j.), zwanej dalej: „u.p.e.a.” W treści upomnienia Prezes UODO wezwał Zobowiązaną do wykonania nakazu ww. decyzji oraz do udokumentowania tego faktu w terminie 7 dni od daty doręczenia korespondencji. Pismo to, dwukrotnie awizowane w dniach: 6 maja 2022 r. oraz 16 maja 2022 r., zostało zwrócone do UODO z adnotacją: „ZWROT nie podjęto w terminie”. Brak odbioru korespondencji przez Zobowiązaną skutkował uznaniem doręczenia ww. pisma z mocy prawa z upływem 20 maja 2022 r. – na zasadzie doręczenia zastępczego zgodnie z brzmieniem art. 44 § 4 k.p.a. Zobowiązana i tym razem nie podjęła żądnych działań w celu spełnienia zadość żądaniu organu nadzorczego.

5.

Brak jakiejkolwiek odpowiedzi ze strony Zobowiązanej stanowił podstawę do stwierdzenia niewykonania przez nią nakazu decyzji administracyjnej Prezesa UODO z 25 sierpnia 2021 r., sygn. DS.523.4113.2020.(…). Wobec powyższego Prezes UODO wszczął z urzędu niniejsze postępowanie administracyjne o sygn. DKE.561.36.2022 w przedmiocie nałożenia na Zobowiązaną administracyjnej kary pieniężnej, w związku z nieprzestrzeganiem nakazu orzeczonego przez organ nadzorczy na podstawie art. 58 ust. 2 rozporządzenia 2016/679. Informacja o wszczęciu niniejszego postępowania została wysłana do Zobowiązanej pismem z 15 listopada 2022 r. (znak: DKE.561.36.2022.(…)). Pismem tym Zobowiązana wezwana została, celem ustalenia podstawy wymiaru kary w oparciu o art. 101a ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r., poz. 1781), dalej jako: „u.o.d.o.”, do przedstawienia sprawozdania finansowego za rok 2021 lub – w przypadku jego braku – oświadczenia o wyniku finansowym osiągniętym przez Zobowiązaną w 2021 r. Ponadto Zobowiązaną pouczono o tym, że jeśli przedstawi ona wyjaśnienia i dowody wykonania obowiązku nałożonego ww. decyzją Prezesa UODO, okoliczność ta może wpłynąć łagodząco na wymiar administracyjnej kary pieniężnej orzeczonej w niniejszym postępowaniu lub też może spowodować odstąpienie od jej nałożenia. Pismo to – skierowane na adres stałego miejsca wykonywania działalności gospodarczej Zobowiązanej – po dwukrotnej awizacji w dniach: 17 listopada 2022 r. oraz 25 listopada 2022 r. nie zostało odebrane przez Zobowiązaną. Zwrócone do UODO z adnotacją: „ZWROT nie podjęto w terminie”, stosownie do brzmienia art. 44 § 4 k.p.a., zostało uznane za doręczone Zobowiązanej na zasadzie fikcji doręczenia z upływem 1 grudnia 2022 r. Zobowiązana nie ustosunkowała się w żaden sposób do wzmiankowanej korespondencji.

6.

Według danych zawartych w Centralnej Ewidencji i Informacji o Działalności Gospodarczej Zobowiązana zaprzestała z dniem (…) wykonywania działalności. Wpis dotyczący Zobowiązanej został wykreślony z rejestru (…) Jednocześnie, jak wynika z informacji opublikowanych w Bazie Internetowej REGON, pod dotychczasowym adresem stałego miejsca wykonywania działalności gospodarczej Zobowiązanej, zarejestrowana jest obecnie firma R. (…). Nazwa oraz profil działalności ww. firmy – doradztwo w zakresie informatyki – wskazuje na brak jakichkolwiek powiązań z osobą Zobowiązanej.

7.

Wobec braku możliwości nawiązania kontaktu z Zobowiązaną, pracownik UODO udał się w dniu 20 września 2023 r. pod adres: ul. (…) w F. w celu podjęcia próby osobistego doręczenia Zobowiązanej informacji o wszczęciu niniejszego postępowania w przedmiocie nałożenia administracyjnej kary pieniężnej – jednak nikogo w nie zastał. Z rozmowy przeprowadzonej z użytkownikiem najbliższej położonego lokalu oznaczonego nr (…) wynikało, że Zobowiązana najprawdopodobniej sprzedała należące do niej mieszkanie, po czym wyprowadziła się z budynku. W lokalu nr (…) zamieszkują obecnie nowi lokatorzy. Organ ochrony danych osobowych nie ustalił aktualnego adresu do doręczeń lub miejsca pobytu Zobowiązanej. Zgodnie z danymi udostępnionymi w rejestrze PESEL Zobowiązania nie posiada adresu zameldowania na pobyt stały ani czasowy.

Po rozpatrzeniu całości materiału dowodowego zebranego w sprawie Prezes Urzędu Ochrony Danych Osobowych zważył, co następuje.

Uzasadnienie prawne

8.

Zgodnie z art. 57 ust. 1 lit. a) i lit. h) rozporządzenia 2016/679, Prezes UODO – jako organ nadzorczy w rozumieniu art. 51 rozporządzenia 2016/679 – na swoim terytorium monitoruje i egzekwuje stosowanie tego rozporządzenia oraz prowadzi postępowania w sprawie jego stosowania, w tym na podstawie informacji otrzymanych od innego organu nadzorczego lub innego organu publicznego.

9.

Dla umożliwienia realizacji tak określonych zadań, Prezesowi UODO przysługuje szereg określonych w art. 58 ust. 1 rozporządzenia 2016/679 uprawnień w zakresie prowadzonych postępowań, w tym uprawnienie do nakazania administratorowi spełnienia żądania osoby, której dane dotyczą, wynikającego z praw przysługujących jej na mocy niniejszego rozporządzenia (art. 58 ust. 2 lit. c) rozporządzenia 2016/679) oraz uprawnienie do zastosowania, oprócz lub zamiast innych środków, o których mowa w art. 58 ust. 2 rozporządzenia 2016/679, administracyjnej kary pieniężnej na mocy art. 83 tego rozporządzenia (art. 58 ust. 2 lit. i) rozporządzenia 2016/679).

10.

Naruszenie przepisów rozporządzenia 2016/679 polegające na nieprzestrzeganiu nakazu orzeczonego przez organ nadzorczy na podstawie art. 58 ust. 2 podlega zaś – zgodnie z art. 83 ust. 5 lit. e) in fine rozporządzenia 2016/679 – administracyjnej karze pieniężnej w wysokości do 20 000 000 EUR, a w przypadku przedsiębiorstwa w wysokości do 4% jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, przy czym zastosowanie ma kwota wyższa.

11.

Zgodnie z art. 44 k.p.a., w razie niemożności doręczenia pisma w sposób wskazany w art. 42 i 43 k.p.a., operator pocztowy w rozumieniu ustawy z dnia 23 listopada 2012 r. Prawo pocztowe przechowuje pismo przez okres 14 dni w swojej placówce pocztowej – w przypadku doręczania pisma przez operatora pocztowego (§ 1). Zawiadomienie o pozostawieniu pisma wraz z informacją o możliwości jego odbioru w terminie siedmiu dni, licząc od dnia pozostawienia zawiadomienia w miejscu określonym w § 1, umieszcza się w oddawczej skrzynce pocztowej lub, gdy nie jest to możliwe, na drzwiach mieszkania adresata, jego biura lub innego pomieszczenia, w którym adresat wykonuje swoje czynności zawodowe, bądź w widocznym miejscu przy wejściu na posesję adresata (§ 2). W przypadku niepodjęcia przesyłki w tym terminie, pozostawia się powtórne zawiadomienie o możliwości odbioru przesyłki w terminie nie dłuższym niż czternaście dni od daty pierwszego zawiadomienia (§ 3). Doręczenie uważa się za dokonane z upływem 14 dnia od daty pierwszej próby doręczenia a pismo pozostawia się w aktach sprawy (§ 1).

12.

Stosowanie do art. 60 u.o.d.o. postępowanie w sprawie naruszenia przepisów o ochronie danych osobowych jest prowadzone przez Prezesa UODO. Z kolei art. 7 ust. 1 u.o.d.o. stanowi, że w sprawach nieuregulowanych w tej ustawie do postępowań administracyjnych przed Prezesem UODO (w tym w postępowaniach w przedmiocie nałożenia administracyjnej kary pieniężnej, o których mowa w Rozdziale 11 u.o.d.o.) stosuje się przepisy k.p.a. Zgodnie z art. 7 ust. 2 u.o.d.o. postępowania te są postępowaniami jednoinstancyjnymi.

13.

Zgodnie z art. 105 § 1 k.p.a., gdy postępowanie z jakiejkolwiek przyczyny stało się bezprzedmiotowe w całości albo w części, organ administracji publicznej wydaje decyzję o umorzeniu postępowania odpowiednio w całości albo w części.

Ocena prawna

14.

Odnosząc wyżej wskazane przepisy do ustalonego w niniejszej sprawie stanu faktycznego w pierwszej kolejności należy podkreślić, że ciężar udowodnienia wykonania nakazu decyzji, dotyczącego przetwarzania danych osobowych w oparciu o przepisy rozporządzenia 2016/679, spoczywa na administratorze danych osobowych. Norma ta wynika wprost z art. 5 ust. 2 rozporządzenia 2016/679 statuującego zasadę rozliczalności, zgodnie z którą administrator – będąc odpowiedzialny za przestrzeganie zasad przetwarzania danych osobowych sformułowanych w art. 5 ust. 1 rozporządzenia 2016/679 (w tym m. in. zasady legalności, w myśl której przetwarzanie danych musi odbywać się „zgodnie z prawem”) – zobowiązany jest przestrzeganie tych zasad wykazać. Zastosowanie zasady rozliczalności w prowadzonym przez organ nadzorczy postępowaniu zmierzającym do ustalenia wykonania nakazu decyzji oznacza, że administrator zobowiązany jest przed Prezesem UODO udowodnić spełnienie obowiązku wskazanego w decyzji, które będzie równoznaczne z przywróceniem przez administratora procesów przetwarzania danych osobowych do stanu zgodnego z prawem. Taka interpretacja zasady rozliczalności znajduje potwierdzenie w doktrynie prawa ochrony danych osobowych, zgodnie z którą: „stwierdzenie, że administrator powinien być w stanie wykazać przestrzeganie zasad, odczytywać można jako nałożenie na administratora ciężaru dowodowego w zakresie przestrzegania zasad przetwarzania danych. W razie sporu z osobą, której dane dotyczą, albo z organem nadzorczym, administrator powinien być w stanie przedstawić dowody na to, że przestrzega zasad. Dowodami takimi mogą być przede wszystkim dokumenty dotyczące przetwarzania i ochrony danych” (tak: P. Fajgielski [w:] Komentarz do rozporządzenia nr 2016/679 w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) [w:] Ogólne rozporządzenie o ochronie danych. Ustawa o ochronie danych osobowych. Komentarz, Warszawa 2018).

15.

Tym samym w sprawie niniejszej to Zobowiązana – jako administrator danych osobowych Skarżącej oraz jednocześnie adresat decyzji Prezesa UODO z 25 sierpnia 2021 r. o sygn. DS.523.4113.2020.(…) – powinna była przedstawić wszelkie dowody i informacje niezbędne do ustalenia przez organ nadzorczy, że spełniła ona żądanie Pani I. M. dotyczące usunięcia jej danych osobowych, przetwarzanych przez Zobowiązaną w ramach prowadzonej przez nią działalności gospodarczej, co prowadziłoby do wniosku, że przetwarzanie danych osobowych przez ww. odbywa się obecnie zgodnie z przepisami rozporządzenia 2016/679.

16.

Jak wynika z ustalonego stanu faktycznego Zobowiązana nie podjęła wprawdzie żadnych działań w celu dowiedzenia przestrzegania nakazu orzeczonego wobec niej ww. decyzją administracyjną – i to pomimo kierowanych przez organ nadzorczy pisemnych wezwań, poprzedzających wszczęcie niniejszego postępowania w przedmiocie nałożenia administracyjnej kary pieniężnej. Należy jednak wskazać, że zgromadzony w toku postępowania o sygn. DKE.561.36.2022 materiał dowodowy, uzyskany na skutek czynności przeprowadzonych przez organ nadzorczy z urzędu, zezwolił Prezesowi UODO na ustalenie, iż Zobowiązana zaprzestała przetwarzania danych osobowych Skarżącej, albowiem odpadł cel tego przetwarzania, jakim był marketing usług własnych, świadczonych przez Zobowiązaną w ramach prowadzonej przez nią działalności gospodarczej. Jak wynika z informacji podlegających publikacji w Centralnej Ewidencji i Informacji o Działalności Gospodarczej wpis dotyczący Zobowiązanej, prowadzącej działalność pod firmą: „O (…)” z siedzibą w F. przy ul. (…) (poprzednio: „V (…)”), został wykreślony z rejestru z dniem (…) Jednocześnie pod dotychczasowym adresem stałego miejsca wykonywania działalności gospodarczej Zobowiązanej, równoznacznym z adresem jej zamieszkania, zarejestrowana jest obecnie firma innego przedsiębiorcy. Z ustaleń Prezesa UODO jednoznacznie wynika, że Zobowiązana w ww. miejscu nie świadczy żadnych usług, ani też nie przebywa.

17.

Po uprawomocnieniu się decyzji administracyjnej Prezesa UODO z 25 sierpnia 2021 r., sygn. DS.523.4113.2020.(…) do organu nadzorczego nie wpłynęły żadne sygnały wskazujące na to, iż dane osobowe Pani I. M. w dalszym ciągu przetwarzane są przez Zobowiązaną. W szczególności Skarżąca nie informowała o otrzymywaniu kolejnych – pochodzących od Zobowiązanej – niechcianych wiadomości sms lub połączeń telefonicznych zawierających treści reklamowe. W ocenie organu nadzorczego wyżej opisane okoliczności sprawy przemawiają za uznaniem, że po wszczęciu postępowania w przedmiocie nałożenia na Zobowiązaną administracyjnej kary pieniężnej, w związku z niewykonaniem nakazu usunięcia danych osobowych Pani I. M., nakaz ten uległ dezaktualizacji. W konsekwencji powyższego, postępowanie to stało się bezprzedmiotowe.

18.

Zgodnie z przepisem art. 105 § 1 k.p.a., stosowanym w postępowaniach administracyjnych przed Prezesem UODO na podstawie art. 7 ust. 1 u.o.d.o., w takiej sytuacji (gdy postępowanie z jakiejkolwiek przyczyny stało się bezprzedmiotowe w całości albo w części) postępowanie administracyjne podlega obligatoryjnemu umorzeniu. Przesłanka umorzenia postępowania może przy tym istnieć jeszcze przed jego wszczęciem, co zostanie ujawnione dopiero w toczącym się postępowaniu, a może ona zaistnieć także w czasie trwania postępowania,a więc w sprawie już zawisłej przed organem administracyjnym – jak miało to miejsce w analizowanym przypadku.

19.

W doktrynie wskazuje się, że „umorzenie postępowania nie jest zależne ani od woli organu administracji, ani tym bardziej pozostawione do uznania organu – organ ten jest zobowiązany do umorzenia postępowania w przypadku stwierdzenia jego bezprzedmiotowości. […] Okoliczności stanowiące podstawę do umorzenia postępowania mogą pojawić się zarówno przed wszczęciem postępowania, jak i w jego trakcie. […] Bezprzedmiotowość postępowania może być także wynikiem zmiany stanu faktycznego sprawy. Postępowanie musi być uznane za bezprzedmiotowe wskutek ustania stanu faktycznego podlegającego uregulowaniu przez organ administracji w drodze decyzji (por. uzasadnienie wyroku NSA z 29 września 1987 r., IV SA 220/87, ONSA 1987, nr 2, poz. 67).” (P. M. Przybysz [w:] Kodeks postępowania administracyjnego. Komentarz aktualizowany, LEX/el. 2022, komentarz do art. 105).

Mając powyższe na uwadze Prezes UODO orzekł jak w sentencji niniejszej decyzji.