II SA/Wa 2028/20

SENTENCJA Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Ewa Kwiecińska, Sędzia WSA Agnieszka Góra-Błaszczykowska (spr.), Sędzia WSA Andrzej Góraj, Protokolant referent stażysta Adrianna Siniarska po rozpoznaniu na rozprawie w dniu 8 października 2021 r. sprawy ze skargi P. D. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] lipca 2020 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę UZASADNIENIE Przedmiotem rozpoznania w niniejszej sprawie była skarga P. D. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] lipca 2020 r. znak [...] w przedmiocie przetwarzania danych osobowych. Skarga została złożona w następującym stanie faktycznym sprawy: Pismem z dnia [...] września 2018 r. (data wpływu do organu – [...] września 2018 r.) P. D. (zwany dalej: skarżący, wnioskodawca), reprezentowany przez profesjonalnego pełnomocnika, skierował do Prezesa Urzędu Ochrony Danych Osobowych (zwany dalej: PUODO, organ) skargę na bezprawne przetwarzanie jego danych osobowych po zgłoszeniu przez niego sprzeciwu w wynikach wyszukiwarki [...] w związku z 36 adresami URL (wskazanymi szczegółowo w skardze) przez [...] z siedzibą w [...] ([...] USA, zwany dalej: [...]), "i/lub" przez [...] Sp. z o. o. z siedzibą w W. przy ul. przy ul. [...] (zwany dalej: [...]). W uzasadnieniu skargi skarżący wskazał, że przetwarzanie jego danych osobowych przez [...] "i/lub" [...] polega na odsyłaniu (przetwarzaniu danych osobowych i przetwarzaniu metadanych, zawierających dane osobowe) do 36 stron internetowych po wpisaniu w wyszukiwarce imienia i nazwiska skarżącego. Podał, że w dniu [...] lipca 2018 r. złożył sprzeciw wobec przetwarzania jego danych osobowych w wyszukiwarce [...] w postaci: imienia i nazwiska występujących łącznie lub osobno z jego wizerunkiem, doświadczeniem zawodowym, jednoznacznie go identyfikującym, stanem zdrowotnym, orientacją seksualną (preferencjami seksualnymi), danymi ujawniającym pochodzenie rasowe (kolor skóry oraz przynależność do narodowości), a także danymi dotyczącymi wyroków skazujących i czynów zabronionych. Skarżący wskazał, że [...] "i/lub" [...] przetwarzają jego dane osobowe pomimo wyrażenia skutecznego sprzeciwu wobec takiego przetwarzania i pomimo występowania po jego stronie ważnego interesu prawnego. Skarżący podkreślił, że przetwarzanie jego danych osobowych w ramach wyszukiwarki [...] narusza interesy, prawa i wolności jego oraz jego najbliższej rodziny, w szczególności w postaci: prawa do prywatności, prawa do wykonywania zawodu [...], prawa do czci, prawa do godności, prawa do życia bez uzasadnionej obawy pozbawienia życia lub zdrowia. Wskazał także, że operator wyszukiwarki [...] odmówił wykonania jego wniosku, powołując się na przetwarzanie danych osobowych ze względu na interes publiczny. W ocenie wnioskodawcy, [...] "i/lub" [...] przetwarzają jego dane osobowe w sposób bezprawny. Skarżący wniósł o wydanie decyzji stwierdzającej naruszenie przepisów rozporządzenia Parlamentu Europejskiego i Rady UE 2016/679 z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 04,05.2016, str. 1, ze zmianą ogłoszoną w Dz. Urz. UE L 127 z 23.05.2018, str. 2, zwane dalej: rozporządzeniem 2016/679) i ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r., poz. 1781, zwana dalej: u.o.d.o.), o ochronie danych osobowych przez [...] "i/lub" [...] oraz zobowiązującej [...] "i/lub" [...] do niezwłocznego zaprzestania przetwarzania danych jego osobowych w wyszukiwarce [...]". Ponadto wniósł o wydanie postanowienia zobowiązującego [...] do tymczasowego ograniczenia przetwarzania jego danych osobowych. Tymczasowe ograniczenie powinno polegać na tymczasowym zablokowaniu przetwarzania danych przez wyszukiwarkę [...] lub uniemożliwienie użytkownikom dostępu do danych osobowych skarżącego. Decyzją znak [...] z dnia 29 lipca 2020 r. organ, działając na podstawie art. 104 § 1 i art. 105 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2020 r., poz. 256, zwana dalej: k.p.a.), w związku z art. 7 ust. 1 i 2 u.o.d.o. w związku z art. 6 ust. 1 lit. f, art. 9 ust. 2 lit. g oraz art. 58 ust. 2 rozporządzenia 2016/679, orzekł: w pkt 1) o umorzeniu postępowania w zakresie przetwarzania danych osobowych skarżącego, po zgłoszeniu przez niego sprzeciwu, w wynikach wyszukiwarki [...] w związku z adresami URL: - https:[...], - http:[...], - http:[...], - http:[...], -http:[...], -http:[...], - http;[...]. w pkt 2) o odmowie uwzględnienia wniosku w pozostałym zakresie. W uzasadnieniu podjętej decyzji organ wskazał, że w stosunku do wnioskodawcy toczyło się postępowanie sądowe w [...], które zakończyło się wydaniem w dniu [...] października 2016 r. wyroku przez the [...] (znak sprawy [...]). Skarżący został skazany na 9 miesięcy w zawieszeniu na 2 lata za przestępstwo posiadania treści pornograficznych z udziałem małoletniego. Przestępstwo to skarżący popełnił w latach 2012-2015. Ponadto orzeczono wobec niego 10-letni środek karny (obowiązujący do [...] listopada 2026 r.). Adresy URL, których usunięcia z wyszukiwarki [...] żąda skarżący, prowadzą do stron zawierających artykuły prasowe, dotyczące okoliczności popełnienia przez niego opisanego przestępstwa oraz adresy URL, prowadzące do stron w serwisie [...].pl, które z kolei zawierają linki do artykułów prasowych o skarżącym. Istota funkcjonowania wyszukiwarki [...] opiera się na zbieraniu informacji, dostarczanych przez serwery stron osób trzecich, w drodze przeglądania (skanowania) i indeksowania przeszukiwalnych części internetu przez [...]. Jeżeli administrator strony (webmaster) chce umożliwić [...] lub innemu operatorowi wyszukiwarki przeglądanie i indeksowanie niektórych lub wszystkich informacji na swojej stronie, może zastosować standardowe mechanizmy kontroli. Informacje, w tym dane osobowe skarżącego, przetwarzane w indeksie wyszukiwarki [...] oraz w procesie prezentowania (wyświetlania) wyników wyszukiwania, pochodzą ze stron internetowych podmiotów trzecich, wcześniej istniejących i dostępnych w internecie. [...] podniosła, że nie świadczy za pośrednictwem wyszukiwarki [...], jak również strony www.[...] oraz www.[...] usługi wyszukiwarki internetowej. [...] prowadzi działalność reklamową oraz usługi marketingu reklam internetowych, i to tylko wyłącznie na rzecz innych spółek swojej grupy kapitałowej. Tym samym [...] nie jest administratorem danych osobowych przetwarzanych w indeksie wyszukiwarki o nazwie [...] ani w procesie wyświetlania wyników wyszukiwania. Zdaniem [...] jedynym podmiotem, który może ustosunkować się skargi wnioskodawcy, jest administrator danych przetwarzanych w indeksie wyszukiwarki internetowej i w procesie wyświetlania wyników wyszukiwania, czyli spółka [...] z siedzibą w Stanach Zjednoczonych. [...] poinformowało, że jest jedynym administratorem danych przetwarzanych w ramach indeksu wyszukiwarki [...], w tym w zakresie przetwarzania danych osobowych w kontekście skanowania stron internetowych, indeksowania i wyboru wyników wyszukiwania wyświetlanych w następstwie zapytania. [...] przetwarza dane osobowe, które są publicznie udostępniane przez wydawców stron internetowych, indeksowanych w wyszukiwarkach. Dane takie są uwzględniane w wynikach wyszukiwania [...] wyświetlanych użytkownikom w odpowiedzi na ich zapytania. [...] wskazała, że podstawą prawną pozyskiwania i przetwarzania informacji ogólnodostępnych w internecie (w tym danych osobowych skarżącego) jest prawnie uzasadniony interes, o którym mowa w art. 6 ust. 1 lit. f rozporządzenia 2016/679. W przypadku szczególnych kategorii danych, podstawą tą również jest prawnie uzasadniony interes, o którym mowa w art. 6 ust. 1 lit. f rozporządzenia 2016/679 w związku z warunkiem dopuszczalności przetwarzania szczególnych kategorii danych, określonym w art. 9 ust. 2 lit. g rozporządzenia 2016/679, tj. ważnym interesem publicznym. Wyjaśniła dalej, że celem gromadzenia i przetwarzania przez [...] informacji dostępnych w internecie (w tym danych skarżącego) jest dostarczanie wyników wyszukiwania przez wyszukiwarkę internetową [...]. Świadczenie usługi wyszukiwarki internetowej, zdaniem [...], zaspokaja interes użytkowników internetu w zakresie przekazywania informacji i posiadania dostępu do informacji za pośrednictwem wyszukiwarek, który chroniony jest na mocy art. 11 Karty Praw Podstawowych Unii Europejskiej oraz art. 10 Konwencji o ochronie praw człowieka i podstawowych wolności. Takie stanowisko zostało również potwierdzone przez Grupę Roboczą Art. 29 ds. Ochrony Danych z dnia 26 listopada 2014 r. WP 225. Jest to również niezbędne w uzasadnionym interesie prawnym [...], polegającym na prezentowaniu wyników wyszukiwania. Skarżący zwracał się do [...] o usunięcie jego danych osobowych z wyników wyszukiwania wyszukiwarki internetowej [...] poprzez formularz internetowy udostępniony przez [...] specjalnie w tym celu. Skarżący zwrócił się w tej sprawie do [...] w lipcu 2018 r. [...] odpowiedziała na żądanie skarżącego w sierpniu 2018 r. [...] przeprowadziło ocenę prawnie uzasadnionego interesu w przetwarzaniu danych osobowych skarżącego po otrzymaniu od niego wniosku o usunięcie linków z wyników wyszukiwania. Analizę przeprowadzono w odniesieniu do każdego linku, wskazanego przez skarżącego w jego wniosku. [...] nie uwzględniła sprzeciwu skarżącego wobec przetwarzania jego danych osobowych z uwagi na, jej zdaniem, ważny interes publiczny w dalszym przetwarzaniu danych, tj. wyświetlaniu spornych linków w wynikach wyszukiwania poprzez imię i nazwisko skarżącego. Przyczyną odmowy usunięcia powyższych linków z wyników wyszukiwania był przede wszystkim fakt, że skarżący pełnił i nadal pełni rolę w życiu publicznym jako [...] (wykonuje zawód zaufania publicznego), a informacje dostępne na spornych stronach internetowych o popełnionym przez niego przestępstwie posiadania treści pornograficznych z udziałem małoletnich mogą być przedmiotem zainteresowania opinii publicznej. Istotne znaczenie ma również fakt, że większość informacji o skarżącym została opublikowana w kontekście celów dziennikarskich (w prasie). Poza tym [...] podkreśliła, że dane osobowe skarżącego i informacje o nim, zawarte w spornych artykułach, są prawdziwe i dotyczą poważnego przestępstwa, za które skarżący został skazany. Wpływ dostępności informacji na prawo do prywatności skarżącego jest proporcjonalny do interesu publicznego w posiadaniu tych informacji. Adresy URL wskazane w pkt 29 i 31-36 wezwania skarżącego nie są obecnie wyświetlane w wynikach wyszukiwania wyszukiwarki [...] po wpisaniu hasła odpowiadającego imieniu i nazwisku, czyli imienia i nazwiska skarżącego. Tym samym [...] nie przetwarza danych osobowych skarżącego w tym zakresie w ramach prezentowania wyników wyszukiwania. Linki te nie prowadzą też do stron internetowych, które nie zawierają danych osobowych skarżącego. [....] wniosła o nieuwzględnienie wniosku skarżącego o zobowiązanie [...] i/lub [...] na podstawie art. 70 ust. 1 u.o.d.o. do tymczasowego ograniczenia przetwarzania danych osobowych skarżącego. Oceniając ustalony w sprawie stan faktyczny organ stwierdził, że wydając decyzję administracyjną, zobowiązany jest do rozstrzygania sprawy w oparciu o stan faktyczny istniejący w chwili jej wydania. Wskazał, że żądanie skarżącego w zakresie wyników wyszukiwania wskazanych w pkt 29 i 31-36, w odpowiedzi na zapytanie na podstawie imienia i nazwiska skarżącego, zostało przez [...] uwzględnione. [...] zaprzestało udostępniania danych osobowych skarżącego w wynikach wyszukiwania wyszukiwarki [...]. W tej sytuacji postępowanie w zakresie wyników wyszukiwania wskazanych w pkt 29 i 31-36, w odpowiedzi na zapytanie na podstawie imienia i nazwiska skarżącego, podlega umorzeniu na podstawie art. 105 § 1 k.p.a. z uwagi na jego bezprzedmiotowość. Powołując treść art. 6 ust. 1 lit. f oraz art. 9 ust. 2 lit. g rozporządzenia 2016/679 PUODO wskazał, iż przetwarzanie danych jest zgodne z prawem wyłącznie w przypadkach, gdy - i w takim zakresie, w jakim - spełniony jest m. in. warunek, że przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem. Szczególne kategorie danych osobowych mogą być przetwarzane między innymi ze względów związanych z ważnym interesem publicznym, na podstawie prawa Unii lub prawa państwa członkowskiego, które są proporcjonalne do wyznaczonego celu. Organ stwierdził, iż w wyszukiwarce internetowej [...] przetwarzane są dane osobowe, które zostały publicznie udostępnione przez wydawców stron internetowych. Dane te, w tym dane skarżącego, są udostępniane w celu realizacji podstawowej funkcji wyszukiwarki internetowej, tj. wskazywania linków do stron internetowych zawierających informacje na temat skarżącego w odpowiedzi na zapytania dokonane przez użytkownika w wyszukiwarce na podstawie imienia i nazwiska skarżącego. Świadczenie usługi wyszukiwarki internetowej ma na celu również zapewnienie ogółowi społeczeństwa realizacji jednego z praw podstawowych, tj. prawa dostępu do informacji, chronionego na mocy art. 11 Karty Praw Podstawowych Unii Europejskiej oraz art. 10 Konwencji o ochronie praw człowieka i podstawowych wolności. W stosunku do skarżącego toczyło się postępowanie sądowe w Irlandii Północnej, które zakończyło się wydaniem w dniu [...] października 2016 r. wyroku. Skarżący został skazany na 9 miesięcy w zawieszeniu na 2 lata za przestępstwo posiadania treści pornograficznych z udziałem małoletniego. Przestępstwo to popełnił w latach 2012-2015. Ponadto orzeczono wobec niego 10-letni środek karny, obowiązujący do 2026 roku. Adresy URL, których usunięcia z wyszukiwarki [...] żąda skarżący, prowadzą do stron, zawierających artykuły prasowe opublikowane na brytyjskich internetowych portalach prasowych (BBC News, ITV News, The Irish News, Belfast Live, The News Letter, Belfast Telegraph, CorelaineTimes, Ballymoney Times, oraz na stronach zawierających informacje o osobach skazanych za przestępstwa na tle seksualnym z udziałem małoletnich (strona the UK Database oraz strona Tedteamsite w serwisie wordpress.com), dotyczące okoliczności popełnienia przez skarżącego ww. przestępstwa (pkt 10-28 i pkt 30) oraz adresy URL prowadzące do stron w serwisie wykop.pl, które z kolei zawierają linki do artykułów prasowych o skarżącym (pkt 1-9). W wyszukiwarce internetowej [...] prezentowane są więc dane osobowe skarżącego, które zostały publicznie udostępnione przez wydawców stron internetowych, na których zostały opublikowane ww. artykuły prasowe o nim. Organ stwierdził również, że z uwagi na charakter oraz wagę popełnionego przez wnioskodawcę przestępstwa oraz fakt, że w.w. czynnie wykonuje zawód [...], tj. zawód zaufania publicznego, istnieje interes ogółu społeczeństwa w posiadaniu dostępu do informacji, zawartych w spornych adresach URL, wobec ciążącego na osobie wykonującej zawód [...] obowiązku prezentowania nienagannej postawy etycznej. W stosunku do skarżącego orzeczono bowiem 10-letni środek karny, którego okres obowiązywania upłynie dopiero w 2026 r. Istotny jest także fakt, że większość informacji zawartych w spornych adresach URL została opublikowana w celach dziennikarskich. Adresy wskazane w pkt 10-28 i pkt 30 prowadzą do stron z artykułami prasowymi, dotyczącymi okoliczności popełnienia przez skarżącego przestępstwa posiadania treści pornograficznych z udziałem małoletniego. W artykułach tych zawarte są informacje o karze, orzeczonej wobec skarżącego oraz o jej konsekwencjach dla jego kariery zawodowej, cytowane są wypowiedzi obrońcy skarżącego, przytaczane jest również ustne uzasadnienie wyroku w przedmiocie kary orzeczonej w stosunku do skarżącego, wygłoszone przez sędziego orzekającego w sprawie. Artykuły te zostały opublikowane na brytyjskich internetowych portalach prasowych. Adresy wskazane w pkt 1-9 prowadzą do serwisu [...].pl oraz [...].pl. Adresy URL wskazane w pkt 1,4,5,7,8 i 9 prowadzą do stron w serwisie [...].pl., na których zawarty jest link do artykułu dotyczącego popełnienia przez skarżącego w.w przestępstwa. Artykuł ten był opublikowany w serwisie [...].uk i nie jest już dostępny. Adres URL wskazany w pkt 3 prowadzi do strony w serwisie [...].pl, na której zawarty jest link do artykułu dotyczącego popełnienia przez skarżącego opisanego przestępstwa, artykuł ten opublikowany został w brytyjskim serwisie prasowym [...]. Adres URL wskazany w pkt 6 prowadzi do strony w serwisie [...].pl, na której zawarte są linki dodane do serwisu przez użytkownika o nazwie "[...]". Wśród tych linków są linki do dwóch artykułów dotyczących popełnienia przez skarżącego ww. przestępstwa. Artykuły te opublikowane są w brytyjskich serwisach prasowych [...]. Adres URL wskazany w pkt 2 prowadzi do strony w serwisie [...].pl, na której zawarty jest link do artykułu dotyczącego popełnienia przez skarżącego ww. [...]. Artykuł ten był opublikowany w serwisie na [...].uk i nie jest już dostępny. Zdaniem organu, wynikające z art. 17 rozporządzenia 2016/679 "prawo do bycia zapomnianym" musi pozostać w sprawiedliwej równowadze z innymi ważnymi interesami publicznymi, takimi jak dziennikarska wolność wyrażania opinii w demokratycznym społeczeństwie oraz prawo demokratycznego społeczeństwa do informacji na ważne tematy publiczne. Ustęp 3 ww. przepisu również wyraźnie wskazuje na konieczność ochrony prawa do wolności wypowiedzi i informacji. PUODO ocenił, iż wbrew twierdzeniom skarżącego, informacje zawarte w artykułach dostępnych w adresach URL wskazanych w pkt 1-9, nie są ewidentnie nieprawdziwe. Zwrot "made an indecent photograph of a child" może oznaczać różne czynności, dotyczące obrazów pornograficznych. Sam skarżący potwierdza bowiem, że został skazany za "pobieranie zdjęcia na dysk twardy komputera", "posiadanie wizerunku o pornograficznym charakterze, niezwiązanym z osobami nieletnimi", "posiadanie wizerunków dzieci niezgodnych z przepisami, tj. albo o charakterze pornograficznym, albo o charakterze erotycznym, które jednocześnie są ofensywne, obrzydzające lub mające innego rodzaju obsceniczny charakter". Organ podkreślił, że przestępstwo, za które został skazany skarżący jest poważne, chociażby z uwagi na jego wysoką szkodliwość społeczną, oraz zostało popełnione przez osobę wykonującą zawód zaufania publicznego. Przestępstwo było popełnione stosunkowo niedawno, bo w latach 2012-2015, wyrok został wydany w 2016 r. Wobec skarżącego został wydany 10-letni środek karny, którego okres obowiązywania jeszcze nie upłynął. Tym samym informacje te są nadal istotne z punktu widzenia ogółu społeczeństwa. Organ uznał, że jakkolwiek prezentowanie w wynikach wyszukiwania poprzez imię i nazwisko skarżącego wskazanych przez niego adresów URL może mieć negatywny wpływ na jego prawo do prywatności, jednak interes ogółu społeczeństwa w posiadaniu dostępu do ww. informacji na temat skarżącego stanowi dobro wyższe, niż ów wpływ. Zaznaczył przy tym, że skarżący nie wykazał, aby przetwarzanie jego danych osobowych w publikacjach dostępnych pod spornymi adresami URL mogło zagrażać jego życiu lub zdrowiu. Uznał również, że dane osobowe skarżącego przetwarzane są w wyszukiwarce [...] na podstawie art. 6 ust. 1 lit f w zw. z art. 9 ust. 2 lit. g rozporządzenia 2016/679, tj. na podstawie prawnie uzasadnionego interesu, powiązanego z interesem publicznym w posiadaniu dostępu do informacji. Tym samym nie została spełniona pierwsza przesłanka wskazana w ww. przepisie, tj. w toku postępowania nie zostało uprawdopodobnione, że przetwarzanie danych osobowych skarżącego w wyszukiwarce [...] narusza przepisy o ochronie danych osobowych. Ponadto wnioskodawca w żaden sposób nie wykazał, że przetwarzanie jego danych osobowych może spowodować poważne i trudne do usunięcia skutki. Na marginesie organ wskazał, że skarżący obecnie wykonuje zawód [...] w Polsce, więc nie można uznać, że przetwarzanie jego danych osobowych w wynikach wyszukiwania wyszukiwarki [...], miało negatywny wpływ na jego karierę zawodową. Tym samym nie została spełniona druga przesłanka wskazana w w.w. przepisie, tj. przetwarzanie, mogące spowodować poważne i trudne do usunięcia skutki. Z tych względów organ nie mógł uwzględnić wniosku skarżącego w zakresie zobowiązania "[...] sp. z o. o. i/lub [...]" do tymczasowego ograniczenia przetwarzania jego danych osobowych, polegającego na tymczasowym zablokowaniu przetwarzania danych przez wyszukiwarkę [...] lub uniemożliwienie użytkownikom dostępu do danych skarżącego. W konsekwencji PUODO stwierdził, że przetwarzanie danych osobowych skarżącego odbywa się zgodnie z przepisami rozporządzenia 2016/679. W skardze na powołane rozstrzygnięcie do sądu administracyjnego skarżący wniósł o uchylenie zaskarżonej decyzji w zakresie pkt 2 i wskazanie sposobu załatwienia sprawy poprzez uznanie skargi skarżącego w całości. Nadto z ostrożności procesowej wniósł o ewentualne uznanie skargi skarżącego w zakresie w jakim dotyczy wyników wyszukiwania na terytorium Polski. Wydanej decyzji skarżący zarzucił naruszenie: 1. art. 107 § 1 pkt 3 k.p.a. poprzez nieoznaczenie stron decyzji, co miało istotny wpływ na wynik sprawy, albowiem nie można ustalić, kogo organ uznał za stronę postępowania, a zatem jaki podmiot przetwarza dane osobowe skarżącego; 2. art. 6 ust. 1 lit. f w zw. z art. 9 ust. 2 lit. g rozporządzenia 2016/679 poprzez uznanie, że przetwarzanie danych osobowych skarżącego przez [...] lub [...] stanowi przetwarzanie niezbędne do celów, wynikających z prawnie uzasadnionych interesów, realizowanych przez [...] lub [...], a w zakresie danych wrażliwych w postaci informacji o wyrokach skazujących jest niezbędne ze względów związanych z ważnym interesem publicznym, na podstawie prawa Unii lub prawa państwa członkowskiego, które są proporcjonalne do wyznaczonego celu, nie naruszają istoty prawa do ochrony danych i przewidują odpowiednie i konkretne środki ochrony praw podstawowych i interesów skarżącego; 3. art. 45 rozporządzenia 2016/679 w zw. z art. 12 k.p.a. poprzez niezbadanie, czy [...] jest uprawniony do przetwarzania danych osobowych skarżącego poza terytorium Unii Europejskiej, w sytuacji gdy 16 lipca 2020 r. Trybunał Sprawiedliwości Unii Europejskiej w sprawie C-311/18 unieważnił Tarczę Prywatności (tzw. Privacy Shield), będącą podstawą do przekazywania danych osobowych obywateli Unii Europejskiej na terytorium Stanów Zjednoczonych Ameryki. Uzasadniając złożoną skargę skarżący wskazał na niezasadność twierdzeń organu, że przetwarzanie danych przez wyszukiwarkę [...] ma nadrzędny charakter wobec interesów lub podstawowych praw i wolności wnioskodawcy. Wywód organu w tym zakresie opiera się na następujących tezach: (a) większość adresów URL zawierających dane osobowe skarżącego, których usunięcia żąda skarżący została opublikowana w kontekście celów dziennikarskich; (b) wykonywanie przez skarżącego zawodu [...] i zakwalifikowanie go jako zawodu zaufania publicznego; (c) dane zawarte na stronach internetowych, do których odsyła wyszukiwarka [...] są prawdziwe, bądź nie można stwierdzić, że dane te są ewidentnie nieprawdziwe; (d) niewielki upływ czasu i wysoka szkodliwość przestępstwa popełnionego przez skarżącego; (e) brak wykazania, że przetwarzanie danych osobowych mogło zagrażać życiu lub zdrowiu skarżącego; (f) niewykazanie przez skarżącego, że dalsze przetwarzane danych osobowych może spowodować poważne i trudne do usunięcia skutki. Skarżący zarzucił, że przyjęte przez organ ww. tezy są albo nieprawdziwe albo tylko częściowo prawdziwe a ocena ich całokształtu prowadzi do wniosku, że przetwarzanie danych osobowych skarżącego, po złożeniu sprzeciwu przez niego, jest bezprawne, ponieważ interes i prawa skarżącego w tym konkretnym przypadku przeważa nad interesem społeczeństwa, w szczególności nad prawem do informacji. Wskazał w tym zakresie, że adresy stron internetowych w pkt 1 - 9,16, 23 nie stanowią informacji opublikowanych w kontekście dziennikarskim, co organ zdaje się pomijać w swojej decyzji. Istotnie, część danych osobowych (adresy internetowe wskazane w pkt 10-15, 17-22, 24-28, 30) mogła zostać opublikowana w kontekście celów dziennikarskich, przy czym przedmiotem skargi skarżącego nie jest skarga skierowana do tychże administratorów stron, lecz bezpośrednio do operatora wyszukiwarki. By ocenić, czy dane osobowe zostały opublikowane w kontekście dziennikarskim, PUODO musiałby dokonać analizy przedmiotu działalności poszczególnych administratorów stron internetowych. Podmioty te nie prowadzą działalności ani na terytorium Polski ani na terytorium Unii Europejskiej (Wielka Brytania od 2020 r. nie jest członkiem Unii Europejskiej) a zatem nie są znane podstawy i przesłanki, które legły u podstawy stwierdzenia, że BBC News, ITV News, The Irish News, Belfast Live, The News Letter, Belfast Telegraph, CorelaineTimese, Ballymoney Times stanowią portale prasowe. Ponadto skarżący nie kieruje swojej skargi (i sprzeciwu) w odniesieniu do polskiej prasy, lecz tylko i wyłącznie wobec zagranicznych portali, spoza Unii Europejskiej. W wyniku działań wyszukiwarki [...] dane osobowe, kierujące do informacji spoza Unii Europejskiej, są indeksowane i przetwarzane na terytorium Polski po wpisaniu imienia i nazwiska skarżącego przez polskich użytkowników. Wyszukiwarka [...] jest wyszukiwarką komercyjną, której model przychodowy opiera się na reklamie. W tym zakresie organ nie wziął pod uwagę, że dane osobowe skarżącego są przetwarzane w rejestrze o charakterze stricte komercyjnym, a dodatkowo wniósł on sprzeciw wobec takiego przetwarzania. Skarżący wykonuje zawód [...] [...], ale przetwarzanie danych osobowych przez wyszukiwarkę [...] nie dotyczy wykonywania tego zawodu, nie ma więc znaczenia z punktu widzenia interesu społeczeństwa, albowiem skazanie na terytorium Wielkiej Brytanii nie dotyczy działalności [...] i nie jest z taką działalnością w żaden sposób związane. Gdyby uznać twierdzenia organu za słuszne, to skarżący nie mógłby wykonywać zawodu [...]. Z twierdzeniem tym nie można się w żaden sposób zgodzić. Nie jest również rolą wyszukiwarki [...] ocena, czy dana osoba kwalifikuje się do zawodu [...], czy też nie - a taka teza wynika z wyjaśnień organu zawartych w decyzji. W orzecznictwie przyjmuje się, że przetwarzanie danych osobowych [...] podlega szczególnym rygorom, przede wszystkim ze względu na fakt, iż przetwarzanie ich danych osobowych dokonywane jest przez właściwe okręgowe [...]. Powyższe można odnieść do realiów niniejszej sprawy, z uwagi na fakt, iż wyszukiwarka [...] również przetwarza dane wnioskodawcy (choć nie związane z działalnością zawodową) w celach komercyjnych. Bezprawne przetwarzanie danych osobowych skarżącego przez wyszukiwarkę [...] skutkuje negatywną oceną pracy zawodowej i prowadzi do dotkliwych i negatywnych konsekwencji. Przetwarzanie to nie dotyczy sfery wykonywania zawodu [...], a jednak negatywnie wpływa na tę sferę, co skarżący podnosi od lipca 2018r. Dane, zawarte na stronach internetowych, są nieprawdziwe, w szczególności informacje zawarte na portalu [...].pl. Skarżący nie został skazany za przestępstwo określane jako "pedofilia". Zgodnie z przedstawionym w tym zakresie tłumaczeniem przysięgłym wyroku skazującego, został on skazany za wykroczenia m.in. związane z posiadaniem nieprzyzwoitych obrazów. Ponadto skarżący nigdy nie pracował na [...] w J. (jak stwierdza się w zakresie adresów wskazanych w pkt 1-9 skargi). Przedstawione na tę okoliczność dokumenty potwierdzają zatrudnienie na innym [...] (jako [...]). Zatem informacje zawarte na stronach [...].pl stanowią pomówienia. Wskazał, iż od popełnienia czynu, który nie miał nic wspólnego z działalnością [...], upłynęło już 5 lat. Czyny te, choć społecznie szkodliwe, nie stanowiły czynów, które można byłoby nazywać poważnymi przestępstwami, jak twierdzi organ. Skarżący nie został skazany na karę bezwzględnego pozbawienia wolności, przez cały czas współpracował z wymiarem sprawiedliwości i już poniósł karę za swoje czyny. Nie ma potrzeby ani interesu społeczeństwa w tym aby "karać" go ponownie na terytorium Polski, poprzez nieograniczone w czasie przetwarzanie danych osobowych na terytorium Polski. Polski organ nie powinien w swojej ocenie opierać się na wyrokach, które nie zostały wydane przez władze polskie lub, które nie zostały uznane przez władze polskie. Ponadto do popełnienia czynów i wydania wyroku doszło w zupełnie innym systemie prawnym i w innym kraju, który nie należy do Unii Europejskiej. PUODO nie wyjaśnił jakie są podstawy przetwarzania danych osobowych na terytorium Polski w zakresie, w jakim dotyczą informacji spoza Unii Europejskiej. W żaden sposób nie odniósł się też do tego, że wyrok skazujący nie został uznany przez władze polskie i w świetle prawa, oraz zgodnie z dostarczonym odpisem z Krajowego Rejestru Karnego, skarżący nigdy nie był skazany za jakiekolwiek przestępstwo. PUODO dokonał uznania wyroku zagranicznego na terytorium Polski, do czego nie był uprawniony. Wpisy na stronach internetowych portalu [...] zawierają stwierdzenia, poprzedzające słowną i fizyczną agresję. Organ pomija fakt, że każda informacja, przedstawiająca skarżącego jako niebezpiecznego pedofila, może prowadzić do negatywnych lub wręcz tragicznych skutków w życiu zawodowym i osobistym, w szczególności dla zdrowia i życia. Pomija także, że sąd w wyroku skazującym zastrzegł, właśnie ze względu na kierowane groźby do skarżącego, zakaz szczegółowych informacji dotyczących identyfikacji adresu pozwanego (w celu ochrony zdrowia i życia). Prezentowane informacje o zatrudnieniu w [...] w J. mogą sprowadzać zagrożenie na skarżącego. W przeszłości były kierowane groźby odebrania życia, wzbudzające uzasadnioną obawę u skarżącego i jego najbliższej rodziny. Groźby te co prawda nie zostały udokumentowane, ale ich potwierdzeniem jest dostarczone tłumaczenie przysięgłe wyroku, w którym wskazuje się, że sąd postanowił, iż żadne szczegółowe informacje dotyczące identyfikacji adresu pozwanego nie mogą zostać ogłoszone w żadnej publikacji. Organ w żaden sposób nie odniósł się do faktu niekaralności skarżącego według prawa polskiego, a także terytorialności przetwarzania danych przez wyszukiwarkę [...] w ramach oceny proporcjonalności przetwarzania i podstaw prawnych przetwarzania. Pominął fakt przetwarzania danych osobowych skarżącego, pochodzących z kraju spoza Unii Europejskiej na terytorium Polski. Analiza dokonana przez organ w żaden sposób nie odnosi się do tych kwestii, uznając bezkrytycznie, że administratorzy stron spoza Unii Europejskiej pełnią te same role i zadania co administratorzy danych z terenu Unii Europejskiej. Organ również nie wyjaśnił, dlaczego uznał, że niezasadne jest wydanie decyzji ograniczającej przetwarzanie danych osobowych skarżącego w wynikach wyszukiwarki na terytorium Polski, przez użytkowników znajdujących się na terytorium Polski, bądź na terytorium Unii Europejskiej. Ponadto wydając zaskarżoną decyzję PUODO w żaden sposób nie odniósł się do wyroku Trybunału Sprawiedliwości Unii Europejskiej w sprawie C-311/18, w którym unieważniano Tarczę Prywatności (tzw. Privacy Shield), czym naruszył normę zawartą w art. 12 k.p.a., zgodnie z którą organy zobowiązane są do wnikliwego rozpatrzenia sprawy. W wyroku tym TSUE uznał, że wymogi prawa krajowego Stanów Zjednoczonych, a w szczególności niektóre programy, umożliwiające amerykańskim władzom publicznym dostęp do danych osobowych, przekazywanych z Unii Europejskiej do Stanów Zjednoczonych do celów bezpieczeństwa narodowego, skutkują ograniczeniami w zakresie ochrony danych osobowych, które nie są ograniczone w sposób spełniający wymogi merytorycznie równoważne z wymogami prawa UE, oraz że przepisy te nie przyznają osobom, których dane dotyczą, praw, które mogłyby być egzekwowalne wobec władz amerykańskich przed sądami. W odpowiedzi na skargę organ wniósł o oddalenie skargi, podnosząc argumentację tożsamą z zaprezentowaną w zaskarżonej decyzji. Uczestnik postępowania, [...], ustosunkowując się do skargi, wniosła o jej oddalenie. Wskazano, że Prezes UODO nie dopuścił się naruszenia art. 6 ust. 1 lit. f) w zw. z art. 9 ust. 2 lit. g) rozporządzenia 2016/679 poprzez uznanie, że [...] może opierać swoje przetwarzanie danych osobowych Skarżącego na powyższych przepisach. Organ słusznie doszedł do wniosku, że interes ogółu społeczeństwa w dostępie do informacji, zawartych na spornych stronach internetowych, jest nadrzędny wobec praw i wolności skarżącego. Wskazano, że po otrzymaniu od Skarżącego sprzeciwu wobec przetwarzania jego danych osobowych w wynikach wyszukiwania wyszukiwarki [...], spółka [...] przeprowadziła ocenę prawnie uzasadnionego interesu w kontynuowaniu przetwarzania danych skarżącego. Zgodnie z art. 21 ust. 1 rozporządzenia 2016/679, [...] przeanalizowała treść przedmiotowych stron internetowych oraz wniosek skarżącego i uznała, że istnieje ważna prawnie uzasadniona podstawa do dalszego przetwarzania danych skarżącego, tj. wyświetlania spornych stron internetowych w wynikach wyszukiwania po haśle zawierającym imię i nazwisko skarżącego. Tą ważną prawnie i uzasadnioną podstawą jest interes ogółu społeczeństwa w posiadaniu dostępu do powyższych informacji poprzez wyszukiwarkę internetową. W ocenie uczestnika organ słusznie uznał, że przetwarzanie danych osobowych Skarżącego przez [...] w wynikach wyszukiwania nie narusza przepisów rozporządzenia 2016/679. Odnosząc się do stanowiska skarżącego, że adresy stron internetowych w pkt 1-9, 16, 23 decyzji nie stanowią informacji, opublikowanych w kontekście dziennikarskim, wskazano, że wolność wypowiedzi stanowi jedną z podstaw demokratycznego społeczeństwa. Jest ona szczególnie istotna w kontekście działalności i roli prasy, dlatego też fakt publikacji danych osobowych w kontekście celów dziennikarskich stanowi bardzo ważny argument przeciwko usuwaniu z wyników wyszukiwania linków do stron internetowych, zawierających dane osobowe. Pomimo że interes operatora wyszukiwarki (tu [...]) ma charakter gospodarczy, to interes użytkowników internetu w zakresie uzyskania dostępu do informacji za pomocą wyszukiwarki internetowej, ma charakter interesu publicznego i jest ściśle związany z wolnością otrzymywania i przekazywania informacji. Właśnie taki interes publiczny bierze się pod uwagę przy analizowaniu wniosków o usunięcie linków z wyników wyszukiwania dla wyszukiwania na podstawie imienia i nazwiska osoby fizycznej. Główną funkcją wyszukiwarki internetowej [...] jest wyszukiwanie informacji publicznie dostępnych w internecie, a zatem realizacja prawa do wolności wypowiedzi i informacji. Skarżący jako [...], czyli osoba wykonująca zawód zaufania publicznego, niewątpliwie pełni rolę w życiu publicznym. Dostęp ogółu społeczeństwa do informacji o skarżącym, zawartych na spornych stronach internetowych, w szczególności informacji o skazaniu skarżącego w Wielkiej Brytanii za przestępstwo posiadania treści pornograficznych z udziałem małoletnich, leży w interesie publicznym. Mimo że nie jest to informacja wprost związana z jego zachowaniem w ramach wykonywania zawodu [...], to i tak ma znaczenie dla opinii publicznej. Może to być informacja istotna dla pacjentów i potencjalnych pacjentów skarżącego, gdyż dotyczy wprost spełniania przez skarżącego standardów etycznych, których oczekuje się od [...]. Podkreślono, że przetwarzanie danych osobowych skarżącego przez [...] nie jest bezprawne, gdyż [...] ma podstawę prawną do przetwarzania tych danych osobowych. Jest nią prawnie uzasadniony interes administratora lub strony trzeciej, a konkretnie interes publiczny w utrzymywaniu dostępu do spornych artykułów za pośrednictwem wyszukiwarki internetowej [...]. O istnieniu tego interesu świadczą wszystkie kryteria, które w swojej decyzji wskazał Organ. Fakt, że [...] ma interes gospodarczy w świadczeniu usługi wyszukiwarki nie zmienia faktu, że wyszukiwarka służy interesowi publicznemu i realizacji prawa podstawowego, jakim jest wolność przekazywania i otrzymywania informacji. Co do podnoszonej przez skarżącego nieprawdziwości danych umieszczonych na witrynach internetowych [...] wskazała, że wszystkie informacje zawarte w artykułach i na stronach internetowych są prawdziwe. Dotyczy to w szczególności kluczowych informacji tam zawartych. Fakt, że część informacji może być nieścisła bądź nieprawdziwa - w sytuacji, w której kluczowe informacje dotyczące skarżącego zawarte w spornych artykułach są prawidłowe, nie powoduje, że Organ nie może powołać się na kryterium prawidłowości danych jako argument za dalszym wyświetlaniem informacji o skarżącym w wynikach wyszukiwania. Ponadto, wbrew twierdzeniom skarżącego, czyn zabroniony, którego dopuścił się za granicą - posiadanie treści pornograficznych z udziałem małoletniego, czyli tzw. pornografii dziecięcej - jest poważnym przestępstwem. Jednocześnie [...] wskazała, że za bezpodstawny należy uznać zarzut naruszenia przez Organ art. 107 § 1 pkt 3 k.p.a. Organ wskazał bowiem w Decyzji, że postępowanie dotyczy przetwarzania danych przez [...] sp. z o.o. i [...] -wskazał on zatem w sposób jednoznaczny strony postępowania. W ocenie uczestnika, również zarzut naruszenia art. 45 rozporządzenia 2016/679 w związku z art. 12 k.p.a. należy uznać za bezpodstawny, gdyż skarga inicjująca postępowanie administracyjne nie dotyczyła kwestii badania legalności przekazywania danych osobowych poza terytorium UE, podczas gdy organ administracji w zakresie rozpoznania danej sprawy jest związany żądaniem strony. [...] wniosła o oddalenie skargi powołując się na prawidłowość oceny organu zarówno w odniesieniu do poczynionych ustaleń w zakresie stanu faktycznego sprawy, jak i w kontekście obowiązujących przepisów prawa – rozporządzenia 2016/679. Odnosząc się szczegółowo do poszczególnych zarzutów skargi ww. uczestnik postępowania stwierdził ich niezasadność. Wojewódzki Sąd Administracyjny zważył, co następuje: Skarga nie zasługiwała na uwzględnienie. Stosownie do treści art. 3 § 1 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2019 r., poz. 2325 ze zm., zwana dalej: p.p.s.a), sądy administracyjne sprawują kontrolę działalności administracji publicznej i stosują środki określone w ustawie. Oznacza to, iż sąd rozpoznając skargę ocenia, czy zaskarżona decyzja nie narusza przepisów prawa materialnego bądź przepisów postępowania administracyjnego. Zgodnie z art. 134 p.p.s.a. Sąd rozstrzyga w granicach danej sprawy, nie będąc jednak związany zarzutami i wnioskami skargi oraz powołaną w niej podstawą prawną. Zgodnie z art. 151 p.p.s.a. w razie nieuwzględnienia skargi w całości albo w części sąd oddala skargę odpowiednio w całości albo w części. W niniejszej sprawie należało ocenić, czy zaskarżona decyzja jest prawidłowa, w szczególności czy [...] posiada uprawnienia do przetwarzania danych osobowych skarżącego, oraz czy po wezwaniu do ich usunięcia była uprawniona do odmowy podjęcia żądanych czynności. W świetle art. 5 ust. 1 rozporządzenia 2016/679 dane osobowe muszą być: a) przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą ("zgodność z prawem, rzetelność i przejrzystość"); b) zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach i nieprzetwarzane dalej w sposób niezgodny z tymi celami; dalsze przetwarzanie do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych nie jest uznawane w myśl art. 89 ust. 1 za niezgodne z pierwotnymi celami ("ograniczenie celu"); c) adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane ("minimalizacja danych"); d) prawidłowe i w razie potrzeby uaktualniane; należy podjąć wszelkie rozsądne działania, aby dane osobowe, które są nieprawidłowe w świetle celów ich przetwarzania, zostały niezwłocznie usunięte lub sprostowane ("prawidłowość"); e) przechowywane w formie umożliwiającej identyfikację osoby, której dane dotyczą, przez okres nie dłuższy, niż jest to niezbędne do celów, w których dane te są przetwarzane; dane osobowe można przechowywać przez okres dłuższy, o ile będą one przetwarzane wyłącznie do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych na mocy art. 89 ust. 1, z zastrzeżeniem, że wdrożone zostaną odpowiednie środki techniczne i organizacyjne wymagane na mocy niniejszego rozporządzenia w celu ochrony praw i wolności osób, których dane dotyczą ("ograniczenie przechowywania"); f) przetwarzane w sposób zapewniający odpowiednie bezpieczeństwo danych osobowych, w tym ochronę przed niedozwolonym lub niezgodnym z prawem przetwarzaniem oraz przypadkową utratą, zniszczeniem lub uszkodzeniem, za pomocą odpowiednich środków technicznych lub organizacyjnych ("integralność i poufność"). Ust. 2 wskazanego przepisu stanowi, że administrator jest odpowiedzialny za przestrzeganie przepisów ust. 1 i musi być w stanie wykazać ich przestrzeganie ("rozliczalność"). Odnosząc się do cytowanego przepisu wskazać należy, iż zawiera on sześć podstawowych zasad odnoszących się do sposobu przetwarzania danych. Prawodawca unijny wskazał w nim zasady: 1) legalności, rzetelności i przejrzystości; 2) celowości (ograniczenia celu); 3) adekwatności (minimalizacji danych); 4) merytorycznej poprawności (prawidłowości danych); 5) ograniczenia czasowego (ograniczenia przechowywania); 6) zabezpieczenia danych (integralności i poufności danych). Zasady te powinny być spełnione łącznie (por. Paweł Fajgielski, Komentarz do rozporządzenia, WKP 2018). Zgodnie z art. 6 ust. 1 rozporządzenia 2016/679 przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy - i w takim zakresie, w jakim - spełniony jest co najmniej jeden z poniższych warunków: a) osoba, której dane dotyczą wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów; b) przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy; c) przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze; d) przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej; e) przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi; f) przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem. Akapit pierwszy lit. f) nie ma zastosowania do przetwarzania, którego dokonują organy publiczne w ramach realizacji swoich zadań. W art. 6 ust. 1 pkt f unormowano tzw. klauzulę prawnie uzasadnionych interesów i określono trzy kumulatywne przesłanki legalności przetwarzania danych osobowych, a mianowicie: realizację uzasadnionych interesów przez administratora danych lub osobę trzecią, konieczność przetwarzania danych osobowych dla potrzeb wynikających z tych uzasadnionych interesów oraz przesłankę, aby prawa i wolności osoby objętej ochroną danych nie miały pierwszeństwa (por. wyrok Trybunału Sprawiedliwości UE z dnia 17 czerwca 2021 roku, sygn. C-597/19, Dz.U.UE.C.2021/310/2). Z kolei w świetle art. 9 ust. 1 rozporządzenia zabrania się przetwarzania danych osobowych ujawniających pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe, przynależność do związków zawodowych oraz przetwarzania danych genetycznych, danych biometrycznych w celu jednoznacznego zidentyfikowania osoby fizycznej lub danych dotyczących zdrowia, seksualności lub orientacji seksualnej tej osoby. Zgodnie natomiast z art. 9 ust. 2g rozporządzenia: ust. 1 nie ma zastosowania, jeżeli spełniony jest jeden z poniższych warunków: g) przetwarzanie jest niezbędne ze względów związanych z ważnym interesem publicznym, na podstawie prawa Unii lub prawa państwa członkowskiego, które są proporcjonalne do wyznaczonego celu, nie naruszają istoty prawa do ochrony danych i przewidują odpowiednie i konkretne środki ochrony praw podstawowych i interesów osoby, której dane dotyczą. Jednocześnie przytoczyć należy art. 17 ust. 1 rozporządzenia 2016/679, który reguluje tzw. prawo do bycia zapomnianym, zgodnie z którym osoba, której dane dotyczą, ma prawo żądania od administratora niezwłocznego usunięcia dotyczących jej danych osobowych, a administrator ma obowiązek bez zbędnej zwłoki usunąć dane osobowe, jeżeli zachodzi jedna z następujących okoliczności: a) dane osobowe nie są już niezbędne do celów, w których zostały zebrane lub w inny sposób przetwarzane; b) osoba, której dane dotyczą, cofnęła zgodę, na której opiera się przetwarzanie zgodnie z art. 6 ust. 1 lit. a) lub art. 9 ust. 2 lit. a), i nie ma innej podstawy prawnej przetwarzania; c) osoba, której dane dotyczą, wnosi sprzeciw na mocy art. 21 ust. 1 wobec przetwarzania i nie występują nadrzędne prawnie uzasadnione podstawy przetwarzania lub osoba, której dane dotyczą, wnosi sprzeciw na mocy art. 21 ust. 2 wobec przetwarzania; d) dane osobowe były przetwarzane niezgodnie z prawem; e) dane osobowe muszą zostać usunięte w celu wywiązania się z obowiązku prawnego przewidzianego w prawie Unii lub prawie państwa członkowskiego, któremu podlega administrator; f) dane osobowe zostały zebrane w związku z oferowaniem usług społeczeństwa informacyjnego, o których mowa w art. 8 ust. 1. Jednocześnie w myśl art. 17 ust. 3 ust. 1 i 2 rozporządzenia 2016/679 nie mają zastosowania, w zakresie w jakim przetwarzanie jest niezbędne: a) do korzystania z prawa do wolności wypowiedzi i informacji; b) do wywiązania się z prawnego obowiązku wymagającego przetwarzania na mocy prawa Unii lub prawa państwa członkowskiego, któremu podlega administrator, lub do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi; c) z uwagi na względy interesu publicznego w dziedzinie zdrowia publicznego zgodnie z art. 9 ust. 2 lit. h) oraz i) i art. 9 ust. 3; d) do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych zgodnie z art. 89 ust. 1, o ile prawdopodobne jest, że prawo, o którym mowa w ust. 1, uniemożliwi lub poważnie utrudni realizację celów takiego przetwarzania; lub e) do ustalenia, dochodzenia lub obrony roszczeń. W pierwszej kolejności należy odnieść się do kwestii, czy [...] jest uprawniona do przetwarzania danych osobowych skarżącego. Wyszukiwarka [...] zbiera informacje dostarczane przez serwery stron podmiotów trzecich. Informacje, w tym także dane osobowe, przetwarzane w indeksie wyszukiwarki [...] oraz podczas wyświetlania wyników wyszukiwania, pochodzą z serwerów podmiotów trzecich. Administratorem danych przetwarzanych w indeksie wyszukiwarki internetowej oraz w procesie prezentowania wyników wyszukiwania jest spółka [...] z siedzibą w Stanach Zjednoczonych. Zgodnie z art. 4 pkt 7 rozporządzenia 2016/679 "administrator" oznacza osobę fizyczną lub prawną, organ publiczny, jednostkę lub inny podmiot, który samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych osobowych; jeżeli cele i sposoby takiego przetwarzania są określone w prawie Unii lub w prawie państwa członkowskiego, to również w prawie Unii lub w prawie państwa członkowskiego może zostać wyznaczony administrator lub mogą zostać określone konkretne kryteria jego wyznaczania. Za orzecznictwem TSUE wskazać należy, że za przetwarzanie danych osobowych należy uznać prowadzoną przez wyszukiwarki internetowe działalność, która polega na zlokalizowaniu informacji opublikowanych lub zamieszczonych w Internecie przez osoby trzecie, indeksowaniu ich w sposób automatyczny, czasowym przechowywaniu takich informacji i wreszcie udostępnianiu ich internautom w sposób uporządkowany zgodnie z określonymi preferencjami, w sytuacji, gdy informacje takie zawierają dane osobowe. Za operatora wyszukiwarki internetowej należy uznać administratora odpowiedzialnego za przetwarzanie danych osobowych w rozumieniu art. 2 lit. d) omawianej dyrektywy 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. (zastąpionego art. 4 pkt 7 rozporządzenia 2016/679). Ze względu na to, że działalność wyszukiwarki internetowej może znacząco oddziaływać na prawa podstawowe do poszanowania prywatności i ochrony danych osobowych w dodatkowy w stosunku do działalności prowadzonej przez administratorów stron internetowych sposób, operator tej wyszukiwarki, jako osoba określająca cele i sposoby prowadzenia tej działalności, winien w ramach spoczywającej na nim odpowiedzialności zapewnić, by działalność ta spełniała określone w dyrektywie 95/46 (zastąpionej rozporządzeniem 2016/679) wymogi tak, aby przewidziane w niej gwarancje były w pełni skuteczne i aby można było rzeczywiście zrealizować jej cel polegający na pełnej ochronie objętych nią osób, w szczególności w odniesieniu do ich prawa do poszanowania ich prywatności. Przetwarzanie danych osobowych dokonywane przez operatora wyszukiwarki internetowej może znacząco oddziaływać na prawa podstawowe do poszanowania prywatności i ochrony danych osobowych w sytuacji, gdy przeszukiwanie zasobów internetowych za pomocą tej wyszukiwarki jest prowadzone z punktu wyjścia będącego imieniem i nazwiskiem osoby fizycznej - jeśli przetwarzanie to umożliwia wszystkim internautom otrzymanie mającego postać listy wyników wyszukiwania ustrukturyzowanego przeglądu dotyczących tej osoby informacji, jakie można znaleźć w internecie, dotyczących potencjalnie całego szeregu aspektów jej życia prywatnego i które to informacje, gdyby nie ta wyszukiwarka, nie mogłyby zostać ze sobą powiązane lub też byłoby to bardzo utrudnione, efektem czego niemożliwe lub bardzo utrudnione byłoby sporządzenie mniej lub bardziej szczegółowego profilu danej osoby. Jest tak tym bardziej, że internet i wyszukiwarki internetowe nadają zawartej na takiej liście informacji wszechobecny charakter. Biorąc pod uwagę potencjalną wagę tej ingerencji, nie może być ona uzasadniona jedynie interesem gospodarczym, jaki ma w tym przetwarzaniu danych operator wyszukiwarki internetowej. Powinna zostać zachowana właściwa równowaga pomiędzy uzasadnionym prawem internautów do informacji a prawami podstawowymi gwarantowanymi danej osobie na podstawie art. 7 i art. 8 Karty praw podstawowych Unii Europejskiej (por. wyrok TSUE z dnia 13 maja 2014 r., C-131/12, LEX nr 1455816). Zgodnie z art. 7 Karty praw podstawowych każdy ma prawo do poszanowania życia prywatnego i rodzinnego, domu i komunikowania się, z kolei w myśl art. 8 każdy ma prawo do ochrony danych osobowych, które go dotyczą. Dane te muszą być przetwarzane rzetelnie w określonych celach i za zgodą osoby zainteresowanej lub na innej uzasadnionej podstawie przewidzianej ustawą. Każdy ma prawo dostępu do zebranych danych, które go dotyczą, i prawo do dokonania ich sprostowania. Ochrona osób fizycznych w związku z przetwarzaniem danych osobowych jest zatem jednym z praw podstawowych. Tym samym operator wyszukiwarki internetowej, w tym przypadku [...], posiada status administratora danych osobowych, który obowiązany jest przestrzegać regulacji rozporządzenia 2016/679 oraz praw podstawowych obywateli. Na kanwie niniejszej sprawy podstawą prawną pozyskiwania i przetwarzania informacji ogólnodostępnych zamieszczonych w wyszukiwarce internetowej [...] jest prawnie uzasadniony interes, o którym mowa w art. 6 ust. 1 lit. f) rozporządzenia 2016/679. Trafnie pełnomocnik [...] wskazał, że świadczenie usługi wyszukiwarki internetowej zaspokaja interes użytkowników internetu w zakresie przekazywania informacji i posiadania dostępu do informacji za pośrednictwem wyszukiwarek, który chroniony jest na mocy art. 11 Karty Praw Podstawowych Unii Europejskiej oraz art. 10 Konwencji o ochronie praw człowieka i podstawowych wolności. Zgodnie z art. 11 Karty Praw podstawowych każdy ma prawo do wolności wypowiedzi. Z kolei art. 10 Konwencji o ochronie praw człowieka i podstawowych wolności stanowi, że każdy ma prawo do wolności wyrażania opinii. Prawo to obejmuje wolność posiadania poglądów oraz otrzymywania i przekazywania informacji i idei bez ingerencji władz publicznych i bez względu na granice państwowe. W tym miejscu dochodzi do kolizji pomiędzy prawami skarżącego a prawami potencjalnych użytkowników wyszukiwarki [...]. Z jednej strony osoba, której dane zostały opublikowane, ma prawo do poszanowania życia prywatnego i ochrony jej danych osobowych, z drugiej zaś każdy ma prawo do otrzymywania informacji. W tej konkretnej sytuacji należy rozstrzygnąć, które prawa i wolności mają wartość nadrzędną, a zatem, czy negatywny wpływ dostępności informacji na prawo do prywatności i ochrony danych osobowych skarżącego, jest proporcjonalny w stosunku do interesu publicznego w posiadaniu tych informacji. Z proporcjonalnością powiązane są bowiem trzy zasady: zasada adekwatności, zgodnie z którą ustala się, czy wprowadzenie danego środka będzie skuteczne dla uzyskania postawionego celu, zasada konieczności, zakładająca, żeby przedsięwzięte środki były w jak najmniejszym stopniu uciążliwe dla tego celu, oraz zasada proporcjonalności sensu stricto, która nakazuje rozważenie, czy stopień uciążliwości dla jednostki jest w odpowiedniej proporcji do ważności celu, którego realizacja podyktowana jest określonym ograniczeniem (por. wyrok TK z dnia 28 czerwca 2000 roku, sygn. K 34/99, Dz.U.2000/53/649). Co do zasady osoba, której dotyczą kwestionowane dane, ma prawo wystąpienia z żądaniem ich usunięcia z wyników wyszukiwarki internetowej, realizując tzw. prawo do bycia zapomnianym. Przedmiotowe prawo jest zazwyczaj nadrzędne w stosunku do interesu gospodarczego operatora wyszukiwarki internetowej oraz wobec interesu osób, uzyskujących dostęp do takiej informacji. Taka sytuacja nie ma jednak miejsca przy zaistnieniu szczególnych przyczyn, związanych z rolą odgrywaną przez daną osobę, której dane dotyczą, w życiu publicznym. W takim przypadku ingerencja w jej prawa podstawowe jest uzasadniona nadrzędnym interesem kręgu odbiorców, który przejawia się w prawie dostępu do danej informacji (por. wyrok TSUE z dnia 13 maja 2014 r., C-131/12, LEX nr 1455816). Trybunał Sprawiedliwości UE stoi na stanowisku, że przepisy dyrektywy 95/46 (zastąpionej rozporządzeniem 2016/679) należy interpretować w ten sposób, że w przypadku, gdy do operatora wyszukiwarki skierowano żądanie usunięcia linku do strony internetowej, na której są opublikowane dane osobowe, należące do szczególnych kategorii danych, o których mowa w art. 8 ust. 1 lub 5 tej dyrektywy (zastąpionym art. 9 rozporządzenia 2016/679), operator ten musi, na podstawie wszystkich istotnych elementów danego przypadku i uwzględniając powagę ingerencji w ustanowione w art. 7 i 8 Karty prawa podstawowe (do poszanowania życia prywatnego i ochrony danych osobowych przysługujące osobie, której dane dotyczą) sprawdzić, czy z uwagi na względy związane z ważnym interesem publicznym, umieszczenie linku do danej strony internetowej na wyświetlanej liście wyników wyszukiwania, mającego za punkt wyjścia imię i nazwisko osoby, której dane dotyczą, jest ściśle niezbędne do ochrony prawa do wolności informacji przysługującego internautom potencjalnie zainteresowanym uzyskaniem, dzięki takiemu wyszukiwaniu, dostępu do tej strony internetowej, która to wolność jest chroniona na mocy art. 11 Karty praw podstawowych. Operator może zatem w ściśle określonych przypadkach odmówić uwzględnienia żądania usunięcia linków (por. wyrok TSUE z dnia 24 września 2019 roku, C-136/17, Dz.U.UE.C.2019/399/2). Oceniając okoliczności niniejszej sprawy, Sąd nie ma wątpliwości, że wymienione prawa ogółu społeczeństwa mają nadrzędny charakter wobec interesu skarżącego, a przetwarzanie jest niezbędne do korzystania z prawa do wolności wypowiedzi i informacji. Analiza materiału dowodowego wskazuje bowiem, że zachodzi prawnie uzasadniony interes w przetwarzaniu danych osobowych P. D. przez [...] w odniesieniu do każdego z kwestionowanych adresów URL. Jest nim bowiem interes publiczny w dostępie do artykułów, dotyczących poważnego przestępstwa popełnionego przez osobę publiczną. Funkcją wyszukiwarki [...] jest bowiem zamieszczanie informacji dla nieokreślonego kręgu osób korzystających z sieci internet, a zatem realizacja prawa do wolności wypowiedzi i informacji. Wolność wypowiedzi stanowi jedną z podstaw demokratycznego państwa prawnego, szczególne znaczenie odgrywa w działalności dziennikarskiej. Wypełnia tym samym podwójną rolę, gdyż społeczeństwo ma prawo do otrzymywania informacji, w szczególności tych ważnych z punktu interesu publicznego – a za takie informacje należy uznać informacje dotyczące skarżącego, wykonującego zawód [...], jako osoby skazanej prawomocnym wyrokiem sądu za przestępstwo. Ponadto wypada przypomnieć, iż wolność prasy i innych środków społecznego przekazu jest przejawem wolności wypowiedzi, ustanowionej również w art. 54 ust. 1 Konstytucji RP. Podkreślenia wymaga, że informacje zawarte na stronach internetowych są prawdziwe. Prawdą jest bowiem, że skarżący wykonuje zawód [...], pracował w Wielkiej Brytanii, a w latach 2012-2015 popełnił przestępstwo posiadania treści pornograficznych z udziałem małoletnich i za to został skazany w Wielkiej Brytanii w 2016 roku na karę pozbawienia wolności w zawieszeniu oraz orzeczono wobec niego 10-letni środek karny, obowiązujący do roku 2026, czyli nadal; ujawnione zostały informacje, dotyczące przebiegu postępowania sądowego. Czyn, którego dopuścił się skarżący, jest również penalizowany na gruncie przepisów polskiego Kodeksu karnego. Przepis art. 202 § 4a Kodeksu karnego, stanowi, że kto przechowuje, posiada lub uzyskuje dostęp do treści pornograficznych z udziałem małoletniego, podlega karze pozbawienia wolności od 3 miesięcy do lat 5. Nie ma znaczenia fakt, że wyrok skazujący został wydany za granicą. Samo prawomocne skazanie, niezależnie od właściwości jurysdykcyjnej, potwierdza bowiem zaistnienie danej sytuacji faktycznej, a taka ma właśnie znaczenie w niniejszej sprawie. Nie może świadczyć na korzyść skarżącego fakt braku informacji o w.w. wyroku w Krajowym Rejestrze Karnym, gdyż rejestr ten dotyczy wyłącznie wyroków sądów polskich. Wyrok sądu brytyjskiego jest prawomocny, a środek karny obowiązuje jeszcze do 2026 roku. Nie może też skarżący kwestionować tego wyroku argumentem, że został wydany przez sąd spoza UE, bo po pierwsze w dacie wydania wyroku Wielka Brytania była jeszcze członkiem UE, a po drugie, przestępstwo, popełnione przez skarżącego jest penalizowane praktycznie we wszystkich krajach świata. Dla oceny wagi tego przestępstwa nie ma znaczenia, gdzie zostało popełnione ani który sąd (którego państwa) wydał orzeczenie skazujące. Opinia publiczna ma prawo wiedzieć o tym, że osoba, wykonująca zawód [...], zawód zaufania publicznego, była sprawcą przestępstwa, zwłaszcza tak powszechnie penalizowanego, ale i moralnie nagannego w każdej kulturze. Opinia publiczna ma prawo wiedzieć, że [...], skazany prawomocnym wyrokiem za opisane wyżej przestępstwo, nadal wykonuje swój zawód. Będąc [...], ma kontakt z pacjentami w różnym wieku, w tym z dziećmi. Prawo skarżącego do prywatności musi więc ustąpić przed prawem do informacji, dotyczącym skazania za tak poważne przestępstwo, jakie popełnił skarżący. Przetwarzanie danych osobowych w ramach wyszukiwarki [...] w kwestionowanym zakresie dotyczy co prawda praw i wolności skarżącego, ale takie przetwarzanie pozostaje proporcjonalne dla osiągnięcia zamierzonego celu, jakim jest ochrona praw i wolności innych osób. Interes użytkowników wyszukiwarki [...] w zakresie uzyskania dostępu do informacji ma bowiem charakter interesu publicznego i jest związany z wolnością otrzymywania i przekazywania informacji. Dostęp społeczeństwa do informacji o skarżącym, zawartych na stronach internetowych, a w szczególności informacji o skazaniu za przestępstwo posiadania treści pornograficznych z udziałem małoletnich, leży w interesie publicznym. Może mieć bowiem wpływ na decyzję w przedmiocie wyboru osoby udzielającej pomocy medycznej. Obecnie praktycznie wszyscy [...], jak i ogólnie- osoby, wykonujące usługi, są poddawane opiniowaniu społeczeństwa w internecie. [...] i potencjalny [..] ma prawo wiedzieć, że wykonujący wobec niego czynności [...] [...], został skazany prawomocnie za przestępstwo o tak negatywnym wydźwięku moralnym. Nie ma znaczenia miejsce popełnienia tego przestępstwa. Z uwagi na powyższe, w ocenie Sądu, słusznie zatem uznano, że dane osobowe Skarżącego przetwarzane są w wyszukiwarce [...] na podstawie art. 6 ust. 1 lit. f w zw. z art. 9 ust. 2 lit. g rozporządzenia 2016/679. Przetwarzanie danych jest niezbędne ze względów związanych z ważnym interesem publicznym, które to ograniczenie praw skarżącego jest proporcjonalne w stosunku do wyznaczonego celu i nie narusza istoty prawa do ochrony danych. Wszystkie adresy czasopism internetowych brytyjskich są adresami obsługujących je mediów. Wbrew twierdzeniom skargi, każdy przeciętny użytkownik internetu, nawet nie władający językiem angielskim, wie, że BBC News to portal mediowy- prasowy. Bez trudu można również ustalić, że także pozostałe, jak ITV News, The Irish News, Belfast Live, The News Letter, Belfast Telegraph, CorelaineTimese, Ballymoney Times stanowią portale prasowe. Dziwi więc kwesionowanie oczywistych faktów przez skarżącego. Reasumując, Sąd nie doszukał się naruszeń przepisów prawa materialnego, które skutkowałyby koniecznością uchylenia zaskarżonej decyzji. Wbrew zarzutowi skargi, nie doszło do naruszenia przepisu prawa procesowego, jakim jest art. 107 § 1 pkt 3 k.p.a. poprzez nieoznaczenie stron decyzji, Z treści decyzji, jej sentencji (na s.1) i uzasadnienia (na s.21-22), jasno wynika, kogo organ uznał za stronę postępowania, a zatem jaki podmiot przetwarza dane osobowe skarżącego. Wątpliwości w tym zakresie nie mieli zresztą uczestnicy postępowania, występujący w sprawie. Nie doszło również do naruszenia art.12 k.p.a., badanego w związku z art.45 rozporządzenia 2016/679. Skarżący w skardze do PUODO nie wnosił o badanie legalności ewentualnego przekazywania jego danych do USA, organ nie badał więc tej kwestii w toku prowadzonego przez siebie postępowania. Nieuzasadnione jest więc stawianie mu zarzutu w tej kwestii dopiero w skardze do Sądu, gdyż na podstawie art.61 §1 k.p.a., organ był związany żądaniem P. D. Z tych wszystkich względów Sąd oddalił skargę w całości na podstawie art. 151 ustawy z dnia 30 sierpnia 2002 roku Prawo o postępowaniu przed sądami administracyjnymi (t.j. Dz. U. z 2019 r. poz. 2325).