II SA/Wa 328/17

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Sławomir Antoniuk (spr.), Sędziowie WSA Andrzej Góraj, Danuta Kania, , Protokolant specjalista Maria Zawada, po rozpoznaniu na rozprawie w dniu 16 listopada 2017 r. sprawy ze skargi R. Z. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] grudnia 2016 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę Generalny Inspektor Ochrony Danych (dalej jako GIODO) decyzją z dnia [...] grudnia 2016 r. nr [...], wydaną na podstawie art. 138 § 1 pkt 1 k.p.a. oraz art. 12 pkt 2 w zw. z art. 22 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (tekst jedn. Dz. U. z 2016 r. poz. 922), utrzymał w mocy własną decyzję z dnia [...] lipca 2016 r. nr [...] umarzającą postępowanie w sprawie przetwarzania danych osobowych R. Ż., w tym niewykonania obowiązku informacyjnego wynikającego z art. 32 ust. 1 pkt 1-5a w zw. z art. 33 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r. poz. 922), przez [...] Sp. z o. o. z siedzibą w W. (dalej jako Spółka). W uzasadnieniu powyższej decyzji GIODO wskazał, iż do organu Ochrony Danych Osobowych wpłynęła skarga R. Z. na przetwarzanie jego danych osobowych przez Spółkę [...], w tym niewykonanie obowiązku informacyjnego wynikającego z art. 32 ust. 1 pkt 1-5a w zw. z art. 33 ustawy o ochronie danych osobowych. Skarżący wskazał, że w marcu 2015 r. padł ofiarą zgłoszonego Policji przestępstwa dotyczącego wyłudzenia danych osobowych, w tym skanów dowodu osobistego. Jego dane osobowe zaczęły krążyć po Internecie, a także były udostępnione we wnioskach, zapytaniach i wiadomościach do różnych banków i instytucji pożyczkowych (pozabankowych). Skarżący dowiedział się, że jego dane osobowe pochodzą z portalu [...].com należącego do spółki działającej pod firmą [...] Sp. z o. o. z siedziba w W. Zwrócił się zatem do tej Spółki z wnioskiem o informację, w trybie art. 32 ust. 1 pkt 1-5a ustawy o ochronie danych osobowych, o udostępnienie danych osoby, która udostępniła dane skarżącego Spółce. W tym samym wniosku zainteresowany zawarł sprzeciw dotyczący przetwarzania jego danych osobowych. Przedmiotowy wniosek został skutecznie doręczony Spółce w dniu [...] listopada 2015 r. i od tego czasu nie otrzymał odpowiedzi na swe żądanie. W związku z zaistnieniem sytuacji opisanych w skardze skarżący zawnioskował do GIODO o nakazanie Spółce udzielenia informacji na wniosek skarżącego z dnia [...] listopada 2015 r. w zakresie wskazanym art. 32 ust. 1. pkt 1-5a w zw. z art. 33 powołanej ustawy oraz w zakresie żądania udostępnienia danych osobowych: imienia, nazwiska, adresu, nr lP komputera - osoby, która wprowadziła jego dane osobowe na portalu [...], nakazania zaprzestania przetwarzania jego danych osobowych w celach innych niż archiwalne i/lub rachunkowe. Organ wszczął postępowanie wyjaśniające w sprawie, w toku którego dokonał następujących ustaleń: W wyjaśnieniach z dnia [...] maja 2016 r. Spółka oświadczyła, iż po analizie zbioru danych osobowych użytkowników serwisu [...] brak jest danych osobowych skarżącego w danym zbiorze. Zatem nie jest prawdziwe twierdzenie skarżącego, jakoby jakaś osoba wprowadziła jego dane do strony internetowej [...]. Skarżący w dniu [...] września 2015 r. akceptując regulamin serwisu [...] podał swoje dane osobowe (imię, nazwisko, nr PESEL, e-mail, nr telefonu) i za pośrednictwem serwisu [...] złożył wniosek o udzielenie pożyczki. Spółka przetwarzała dane osobowe skarżącego, ze względu na to, iż dane te podał on dobrowolnie w serwisie [...], akceptując regulamin, którego integralną częścią jest polityka prywatności, określająca szczegółowe zasady przetwarzania danych osobowych użytkownika i wyraził zgodę na przetwarzanie danych osobowych. Spółka zgodnie z żądaniem skarżącego usunęła jego dane osobowe z bazy [...]. Odnosząc się do wniosku skarżącego z dnia [...] listopada 2015 r. Spółka w wyjaśnieniach z dnia [...] maja 2016 r. wskazała, iż udzieliła odpowiedzi na wniosek pismem [...] grudnia 2015 r. wysłanym na adres podany we wniosku ([...]). Jednocześnie Spółka zaznaczyła, iż otrzymała cyt.: "wniosek osoby, która we wniosku tym podała następujące dane osobowe R. Z. zam. [...] (...). Tymczasem na pismach Generalnego Inspektora pojawia się osoba oznaczona jako R. Z., zam. w [...] przy ul. [...], w tym momencie nie mamy pewności czy chodzi o tę samą osobę (...)". Spółka załączyła pismo skierowane do skarżącego z dnia [...] grudnia 2015 r., w którym radca prawny [...] reprezentujący Spółkę oświadczył, iż "Spółka przeanalizowała zbiory danych adresowych i brak jest w nich danych Pana osoby, które Pan wskazał (imię, nazwisko, adresu zamieszkania, numeru telefonu). Mój klient nie przypomina sobie także jakiegokolwiek przypadku, aby ktokolwiek posługiwał się w jego bazach wskazanymi przez Pana danymi. W przypadku jeśli dysponuje Pan bardziej szczegółowymi danymi (np. nr dowodu osobistego, PESEL), prosimy o ich podanie w celu zweryfikowania, czy znajdują się one lub znajdowały kiedykolwiek w bazach Spółki". Spółka w wyjaśnieniach z dnia [...] maja 2016 r. wskazała, iż skarżący nie udzielił jakiejkolwiek odpowiedzi na ww. pismo i dopiero po otrzymaniu kompletnego materiału od GIODO Spółka mogła dokładnie ustalić, jakie dane znajdowały się w jej bazach i dokonać ich usunięcia. W związku z powyższym Spółka, pismem z dnia [...] grudnia 2015 r., udzieliła odpowiedź na wniosek skarżącego o udzielenie informacji w sprawie przetwarzanych jego danych osobowych. Po przeprowadzeniu postępowania administracyjnego GIODO w dniu [...] lipca 2016 r. wydał decyzję administracyjną, mocą której umorzył przedmiotowe postępowanie. W uzasadnieniu tej decyzji organ wskazał, że Spółka usunęła dane osobowe skarżącego ze swoich baz, a co za tym idzie aktualnie ich nie przetwarza. Tym samym dalsze prowadzenie postępowania ukierunkowanego na wydanie decyzji administracyjnej w kwestionowanym zakresie stało się bezprzedmiotowe. We wniosku o ponowne rozpatrzenie sprawy skarżący podniósł, że GIODO pominął ważne w sprawie informacje i błędnie ocenił materiał dowodowy sprawy. Skarżący wniósł o nakazanie Spółce udostępnienia mu "adresu lP i/lub innych danych" osoby, która wprowadziła jego dane osobowe na portalu [...] oraz nakazanie Spółce udzielenia mu odpowiedzi na wniosek złożony w trybie art. 32 - 33 ustawy o ochronie danych osobowych. W postępowaniu z wniosku o ponowne rozpatrzenie sprawy GIODO wystąpił do Spółki o przesłanie dowodu potwierdzającego usunięcie danych osobowych skarżącego, w zakresie wskazanym w jego skardze. W odpowiedzi na żądanie organu Spółka przesłała protokół usunięcia danych osobowych skarżącego ze zbioru danych z dnia [...] maja 2016 r. Po powtórnym rozpatrzeniu zgromadzonego w sprawie materiału dowodowego GIODO uznał zarzuty wniosku odwoławczego za niezasadne i rozstrzygnięciem z dnia [...] grudnia 2016 r. orzekł jak na wstępie. W motywach rozstrzygnięcia organ przybliżył instytucję umorzenia postępowania z art. 105 § 1 k.p.a. oraz podniósł, że ze zgromadzonego w sprawie materiału dowodowego wynika w sposób nie budzący wątpliwości, iż Spółka usunęła dane osobowe skarżącego ze swoich baz, a co za tym idzie aktualnie ich nie przetwarza. Zatem dalsze prowadzenie przez GIODO postępowania, zainicjowanego skargą na nieprawidłowości w przetwarzaniu danych osobowych skarżącego przez Spółkę, ukierunkowanego na wydanie decyzji administracyjnej na podstawie art. 18 ust. 1 ustawy o ochronie danych osobowych, stało się niezasadne. Z brzmienia art. 18 ust. 1 ustawy, a zarazem z definicji decyzji administracyjnej - jako aktu rozstrzygającego w sposób władczy o prawach i obowiązkach stron postępowania w ustalonym i aktualnym na chwilę jego wydania stanie faktycznym i prawnym – wynika bowiem, że organ ochrony danych osobowych nie dokonuje oceny zdarzeń przeszłych, nie kontynuowanych w chwili orzekania. Generalny Inspektor wydając decyzję administracyjną zobowiązany jest do rozstrzygania w oparciu o stan faktyczny istniejący w chwili wydania tej decyzji. Skoro zatem decyzja GIODO jest instrumentem służącym przywróceniu stanu zgodnego z prawem w procesie przetwarzania danych realizowanym w chwili wydania decyzji, to obecnie nie ma podstaw dla sformułowania nakazu, o którym mowa w art. 18 ust. 1 ustawy, albowiem dane skarżącego, zostały usunięte przez Spółkę. GIODO wskazał także, iż przetwarzanie danych osobowych skarżącego przez Spółkę w związku z jego wnioskiem z dnia [...] listopada 2015 r. oraz z toczącym się niniejszym postępowaniem przed GIODO, nie jest tożsame z zakresem przetwarzanych danych kwestionowanym w treści jego skargi, w której nie kwestionuje on przetwarzania jego danych w powyższym zakresie przez Spółkę. Spółka usunęła zaś dane osobowe skarżącego w związku z przetwarzaniem ich w bazie [...]. Na tym etapie niniejszego postępowania, tj. po rozstrzygnięciu sprawy decyzją administracyjną rozszerzenie jego zakresu przedmiotowego i podmiotowego jest niedopuszczalne. Respektując zasadę dwuinstancyjności postępowania administracyjnego, na skutek wniosku o ponowne rozpatrzenie sprawy, Generalny Inspektor Ochrony Danych Osobowych zobligowany jest do ponownego rozpatrzenia tej samej (zarówno w aspekcie podmiotowym, jak i przedmiotowym) sprawy, która była przedmiotem jego rozpoznania w ramach postępowania w pierwszej instancji. W związku z tym organ nie ma możliwości na tym etapie rozdzielenia postępowania i wydania odrębnej decyzji. Z tej też przyczyny wpływu na treść niniejszej decyzji nie mógł mieć podnoszony we wniosku o ponowne rozpatrzenie sprawy zarzut, dotyczący udostępnienia danych osobowych skarżącego podmiotowi, który zamieścił jego dane na stronie internetowej [...]. Podczas gdy w skardze inicjującej postępowanie zakończone decyzją pierwszej instancji, jak również we wniosku z dnia [...] listopada 2015 r. kierowanym do Spółki skarżący domagał się udostępnienia mu danych podmiotu, który udostępnił jego dane osobowe na stronie internetowej [...]. Jak wynika z wyjaśnień Spółki skarżący w dniu [...] września 2015 r. akceptując regulamin serwisu [...] dobrowolnie podał swoje dane osobowe (imię, nazwisko, nr PESEL, e-mail, nr telefonu). Ponadto, mając na uwadze powyższe ustalenia, iż Spółka weszła w posiadanie danych osobowych skarżącego na skutek podania przez niego swoich danych osobowych w serwisie [...] za bezzasadny należało uznać zarzut ponoszony we wniosku o ponowne rozpatrzenie sprawy, dotyczący pozyskanie jego danych osobowych przez Spółkę ze strony internetowej [...]. Za niezasługujący na uwzględnienie organ uznał zarzut podnoszony we wniosku o ponowne rozpatrzenie, a dotyczący nieudzielenia skarżącemu przez Spółkę odpowiedzi na jego wniosek z dnia [...] listopada 2015 r., złożony w trybie art. 32 ust. 1 pkt 1-5a w zw. z art. 33 ustawy o ochronie danych osobowych. Jak wynika bowiem z akt przedmiotowej sprawy pismem z dnia [...] grudnia 2015 r. (tj. w terminie 30 dni od dnia otrzymania wniosku, określonym w art. 33 ustawy o ochronie danych osobowych), Spółka udzieliła skarżącemu odpowiedzi na jego wniosek z dnia [...] listopada 2015 r. W powyższym piśmie Spółka wskazała skarżącemu, że nie przetwarza jego danych osobowych w jej bazach danych. Pismo z dnia [...] grudnia 2015 r. Spółka skierowała na adres skarżącego podany w jego wniosku z dnia [...] listopada 2015 r. (tj. [...]), z którego treści nie wynika aby podawał on inny adres do korespondencji (w szczególności [...]), na który żądałby on przesłania odpowiedzi na jego podanie. Jednocześnie z uwagi na fakt, iż Spółka w swoich bazach nie przetwarzała danych osobowych skarżącego w zakresie jego adresu, innego aniżeli podanego we wniosku z dnia [...] listopada 2015 r nie sposób uznać, że przesłanie na ten adres odpowiedzi na powyższy wniosek było nieskuteczne. Wobec powyższego zarzut podnoszony przez skarżącego w tym przedmiocie we wniosku o ponowne rozpatrzenie sprawy nie miał wpływu na treść niniejszego rozstrzygnięcia. Reasumują GIODO stwierdził, iż postępowanie w niniejszej sprawie jako bezprzedmiotowe podlegało umorzeniu na podstawie art. 105 § 1 k.p.a. Decyzja GIODO z dnia [...] grudnia 2016 r. stała się przedmiotem skargi wniesionej przez R. Z. do Wojewódzkiego Sądu Administracyjnego w Warszawie. Wnosząc o uchylenie zaskarżonej oraz poprzedzającej ją decyzji z dnia [...] lipca 2016 r. oraz zasądzenie zwrotu kosztów postępowania skarżący zarzucił kwestionowanej decyzji jej wydanie z naruszeniem: 1. art. 105 § 1 k.p.a. w zw. z art. 1 pkt 1 k.p.a., poprzez błędną wykładnię i zastosowanie oraz przyjęcie, że w sprawie zachodzą przesłanki do umorzenia postępowania administracyjnie oraz przyjęcie, że administrator danych usunął dane osobowe skarżącego w myśl art. 7 pkt 3 ustawy o ochronie danych osobowych, 2. art. 80 k.p.a. w zw. z art. 77 § 1 k.p.a., poprzez dobrowolne, oderwane od wiedzy i doświadczenia życiowego, rozpatrzenie materiału dowodowego i przyjęcie, że administrator danych osobowych wykonał obowiązek informacyjny z art. 32-33 ustawy o ochronie danych osobowych oraz przyjęcie, jakoby Spółka usunęła dane osobowe skarżącego, podczas gdy brak jest jakiegokolwiek potwierdzenia na okoliczność odebrania przez skarżącego pisma Spółki z dnia [...] grudnia 2015 r., zaś sama Spółka przetwarza dane osobowe skarżącego choćby w formie papierowej, 3. art. 7 i art. 8 k.p.a., poprzez pominięcie obowiązku podejmowania czynności z urzędu, w celu dokładnego wyjaśnienia stanu faktycznego sprawy oraz prowadzenie postępowania w sposób niebudzący zaufania do władzy publicznej, 4. art. 7 pkt 2 ustawy o ochronie danych osobowych, poprzez jego błędną interpretację i wąskie rozumienie oraz przyjęcie, że administrator danych osobowych nie przetwarza danych osobowych skarżącego, co skutkowało umorzeniem postępowania administracyjnego, 5. art. 7 pkt 3 w zw. z art. 18 ust. 1 pkt 1 ww. ustawy, poprzez błędne rozumienie usunięcia danych osobowych i przyjęcie, że nie zachodzą przesłanki do wydania decyzji nakazującej usunięcie uchybień w procesie przetwarzania danych osobowych. W uzasadnieniu skargi skarżący podniósł, iż nigdy nie podawał i nie udostępniał swoich danych osobowych na stronie [...], a także nie wyrażał żadnych zgód na przetwarzanie jego danych osobowych przez Spółkę [...]. GIODO pominął, że zgoda na przetwarzanie danych osobowych (w rozumieniu art. 7 pkt 2 ustawy o ochronie danych osobowych) w tym ich udostępnianie, nie może być domniemana lub dorozumiana z oświadczenia innej treści – tu z akceptacji regulaminu. Sama akceptacja regulaminu jakiegokolwiek serwisu nie może być jednoznaczna ze zgodą na przetwarzanie danych osobowych. W analizowanym przypadku Spółka sprzedała dane osobowe skarżącego m.in. P. U. (umową sprzedaży leadów kredytowych) prowadzącemu działalność gospodarczą w [...]. Spółka nie poinformowała skarżącego o prawach i obowiązkach z art. 24 i art. 25 powołanej ustawy. GIODO z urzędu powinien zbadać ten aspekt sprawy. Spółka finalnie przyznała, że przetwarzała dane osobowe skarżącego i że zostały one wprowadzone za pośrednictwem strony [...], dlatego usprawiedliwiony jest wniosek, że Spółka przechowuję logi dotyczące osoby, która dane te wprowadziła na tej stronie i kiedy to miało miejsce. Nadto Spółka w swoich wyjaśnieniach wskazała, że jest możliwe sprawdzenie czy dane są lub kiedykolwiek znajdowały się w bazach Spółki. Zdaniem skarżącego jest to możliwe przy pomocy podania numeru PESEL lub numer dowodu osobistego. Skarżący podkreślił, iż nie otrzymał pisma Spółki, które miałoby stanowić odpowiedź na jego wniosek złożony w trybie art. 32 ust. 1 pkt 1-5a i art. 33 ustawy o ochronie danych osobowych (pismo z dnia [...] grudnia 2015 r.). Brak jest w tym względzie dowodu nadania tego pisma, aby móc mówić choćby o domniemaniu doręczenia i zapoznania się z tym pismem. W ocenie strony skarżącej, Spółka dalej przetwarza dane osobowe skarżącego w formie papierowej w zakresie objętym m.in. wnioskiem skarżącego z dnia [...] listopada 2015 r., pism GIODO przesyłanych w sprawie [...], odpowiedzi Spółki kierowanych do GIODO w przedmiotowej sprawie (w tym odpowiedzi z dnia [...] grudnia 2015 r.), która miała być adresowana do skarżącego, decyzji GIODO z dnia [...] lipca 2016 r. i z dnia [...] grudnia 2016 r. Wobec tego Spółka w dalszym ciągu może udzielić odpowiedzi na wniosek skarżącego i stawiane żądania, a postępowanie administracyjne nie powinno zostać umorzone. W odpowiedzi na skargę GIODO wniósł o jej oddalenie oraz w całości podtrzymał stanowisko przedstawione w uzasadnieniu zaskarżonej decyzji. W piśmie procesowym z dnia [...] marca 2017 r. uczestnik postępowania - Spółka [...] przyłączyła się w całości do stanowiska GIODO wyrażonego w odpowiedzi na skargę i wniosła o jej oddalenie w całości. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: Zgodnie z treścią art. 1 § 1 i 2 ustawy z dnia 25 lipca 2002 r. – Prawo o ustroju sądów administracyjnych (tekst jedn. Dz. U. z 2016 r. poz. 1066 ze zm.), sąd administracyjny sprawuje wymiar sprawiedliwości poprzez kontrolę pod względem zgodności z prawem zaskarżonej decyzji administracyjnej i to z przepisami obowiązującymi w dacie jej wydania. Rozpatrywana pod tym względem skarga nie zasługuje na uwzględnienie. Na wstępie należy wskazać, że podstawę prawną zaskarżonych decyzji stanowi art. 105 § 1 k.p.a. Zgodnie z tym przepisem organ administracji wydaje decyzję o umorzeniu, gdy postępowanie z jakiejkolwiek przyczyny stało się bezprzedmiotowe. Bezprzedmiotowość postępowania oznacza, że brak jest któregoś z elementów materialnego stosunku prawnego, a wobec tego nie można wydać decyzji załatwiającej sprawę przez rozstrzygniecie jej co do istoty. Stosownie natomiast do art. 18 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (tekst jedn. Dz. U. z 2016 r. poz. 23 ze zm.), w przypadku naruszenia przepisów o ochronie danych osobowych Generalny Inspektor z urzędu lub na wniosek osoby zainteresowanej, w drodze decyzji administracyjnej, nakazuje przywrócenie stanu zgodnego z prawem, a w szczególności: 1) usunięcie uchybień, 2) uzupełnienie, uaktualnienie, sprostowanie, udostępnienie lub nieudostępnienie danych osobowych, 3) zastosowanie dodatkowych środków zabezpieczających zgromadzone dane osobowe, 4) wstrzymanie przekazywania danych osobowych do państwa trzeciego, 5) zabezpieczenie danych lub przekazanie ich innym podmiotom, 6) usunięcie danych osobowych. Powyższe oznacza, że aby mogło dojść do wydania decyzji merytorycznej na podstawie wskazanego przepisu, dane osobowe osoby zainteresowanej – która złożyła do organu wniosek dotyczący przetwarzania jej danych osobowych – muszą znajdować się w posiadaniu podmiotu, którego wniosek ten dotyczy. Decyzja nakazująca przywrócenie stanu zgodnego z prawem nie może bowiem zostać wydana w sytuacji, gdy organ stwierdzi dokonanie w przeszłości naruszeń ustawy o ochronie danych osobowych, jeśli dane te zostały następnie usunięte. W literaturze przedmiotu podkreśla się, że decyzja Generalnego Inspektora wydawana na podstawie powyższego przepisu ma służyć przywróceniu stanu zgodnego z prawem. Ustawodawca nie wprowadza żadnych dodatkowych wskazówek w zakresie wyboru konkretnego nakazu, pozostawiając to organowi wydającemu decyzję. Biorąc pod uwagę systematykę przepisu, przyjąć należy, że mamy do czynienia ze stopniowaniem sankcji administracyjnych (w zależności od rodzaju uchybienia), a Generalny Inspektor powinien stosować konkretne nakazy z uwzględnieniem charakteru stwierdzonego naruszenia, tj. adekwatnie (współmiernie) do stopnia naruszenia i zagrożenia praw osoby, której dane dotyczą. Pośrednio wynika to również z samego celu nakazu, którym jest przywrócenie stanu zgodnego z prawem ochrony danych osobowych, bez niepotrzebnego nakładania zbędnych obowiązków na administratora danych (por. G. Sibiga, Postępowanie w sprawach ochrony danych osobowych, Dom Wydawniczy ABC, Warszawa 2003, str. 153). Przesłanką wydania nakazu jest zatem stwierdzenie naruszenia przepisów o ochronie danych osobowych, tj. z zebranego w postępowaniu materiału dowodowego musi wynikać, że swoim działaniem lub zaniechaniem administrator naruszył przepisy prawa. Co ważne, stwierdzony przez organ stan naruszenia przepisów o ochronie danych osobowych powinien istnieć w dacie wydania decyzji. Przewidziana zaś w art. 18 pkt 1 ust. 1 ustawy o ochronie danych osobowych sankcja w postaci usunięcia uchybień obejmuje czynności przywracające stan zgodny z prawem, inne niż wymienione w pozostałych punktach tego przepisu. Przenosząc powyższe rozważania na grunt rozpoznawanej sprawy należy uznać, że organ zasadnie dopatrzył się ziszczenia przesłanki bezprzedmiotowości postępowania zainicjowanego wnioskiem skarżącego z dnia [...] stycznia 2016 r., dotyczącym nakazania przez GIOGO Spółce [...] udzielenia informacji o zakresie przetwarzania danych osobowych skarżącego oraz zaprzestania przetwarzania jego danych osobowych w celach innych niż archiwalne czy rachunkowe. W sprawie ustalono, iż Spółka dysponuje zbiorami danych osobowych osób zainteresowanych, korzystających z usługi przyznania pożyczki pieniężnej, tj.: 1) [...], w którym dane skarżącego nigdy nie występowały, 2 [...], w którym osoba podającą dane skarżącego (imię, nazwisko, nr PESEL, e-mail, nr telefonu) w dniu [...] września 2015 r. zaakceptowała regulamin tego serwisu i złożyła wniosek o udzielenie pożyczki. Usunięcie danych osobowych skarżącego z serwisu "[...]" zostało potwierdzone "Protokołem usunięcia danych osobowych ze zbioru danych" z dnia [...] maja 2016 r. (k. – 47 akt administracyjnych). Nie przesądzając zatem, czy przedmiotowe dane zostały udostępnione Spółce [...] przez skarżącego, czy też osobę która się pod niego podszywała, co jest wysoce prawdopodobne w sytuacji zgłoszonego organom ścigania wyłudzenia tych danych (postanowienie o umorzeniu dochodzenia z dnia [...] września 2015 r. nr [...] akt administracyjnych), należy stwierdzić, iż Spółka wykazała fakt usunięcia, w rozumieniu art. 7 pkt 3 ustawy o ochronie danych osobowych, danych osobowych skarżącego z ww. zbioru danych. Odpadła więc podstawa do wydania władczego rozstrzygnięcia mającego na celu przywrócić stan zgodny z prawem, w tym wypadku tożsamy z żądaniem strony – nakazaniem usunięcia danych osobowych ze zbioru. Co zaś się tyczy spełnienia przez Spółkę obowiązku informacyjnego z art. 32 ust. 1 pkt 1-5 w zw. z art. 33 ustawy o ochronie danych osobowych, należy stwierdzić, iż w piśmie z dnia [...] listopada 2015 r. skierowanym do Spółki zainteresowany zawnioskował o podanie zakresu i sposobu przetwarzania jego danych w zbiorze [...]. oraz adresu IP oraz danych osobowych osoby, która wprowadziła dane osobowe skarżącego do zbioru [...]. Zgodnie z postanowieniami art. 32 ust. 1 powołanej ustawy zakres informacyjny obejmuje: 1) uzyskania wyczerpującej informacji, czy taki zbiór istnieje, oraz do ustalenia administratora danych, adresu jego siedziby i pełnej nazwy, a w przypadku gdy administratorem danych jest osoba fizyczna - jej miejsca zamieszkania oraz imienia i nazwiska; 2) uzyskania informacji o celu, zakresie i sposobie przetwarzania danych zawartych w takim zbiorze; 3) uzyskania informacji, od kiedy przetwarza się w zbiorze dane jej dotyczące, oraz podania w powszechnie zrozumiałej formie treści tych danych; 4) uzyskania informacji o źródle, z którego pochodzą dane jej dotyczące, chyba że administrator danych jest zobowiązany do zachowania w tym zakresie w tajemnicy informacji niejawnych lub zachowania tajemnicy zawodowej; 5) uzyskania informacji o sposobie udostępniania danych, a w szczególności informacji o odbiorcach lub kategoriach odbiorców, którym dane te są udostępniane; 5a) uzyskania informacji o przesłankach podjęcia rozstrzygnięcia, o którym mowa w art. 26a ust. 2; 6) żądania uzupełnienia, uaktualnienia, sprostowania danych osobowych, czasowego lub stałego wstrzymania ich przetwarzania lub ich usunięcia, jeżeli są one niekompletne, nieaktualne, nieprawdziwe lub zostały zebrane z naruszeniem ustawy albo są już zbędne do realizacji celu, dla którego zostały zebrane; 7) wniesienia, w przypadkach wymienionych w art. 23 ust. 1 pkt 4 i 5, pisemnego, umotywowanego żądania zaprzestania przetwarzania jej danych ze względu na jej szczególną sytuację; 8) wniesienia sprzeciwu wobec przetwarzania jej danych w przypadkach, wymienionych w art. 23 ust. 1 pkt 4 i 5, gdy administrator danych zamierza je przetwarzać w celach marketingowych lub wobec przekazywania jej danych osobowych innemu administratorowi danych; 9) wniesienia do administratora danych żądania ponownego, indywidualnego rozpatrzenia sprawy rozstrzygniętej z naruszeniem art. 26a ust. 1. Powyższy katalog nie jest zamknięty, co oznacza, iż wnioskodawca może żądać od administratora danych innych niż wymienione w pkt 1 – 5a informacji obrazujących pozyskanie i przetwarzanie danych osobowych zainteresowanego podmiotu. Jednakże żądanie ujawnienia danych osobowych pracownika wykonującego czynności techniczne (lub zatrudnianego na innej podstawie niż stosunek pracy) u administratora danych osobowych, wykracza poza obowiązek informacyjny, o którym mowa powyżej. Przestrzeganie przepisów ustawy o ochronie danych osobowych w odniesieniu do osoby, której dane osobowe ów administrator przetwarza, spoczywa na administratorze danych osobowych i ponosi on odpowiedzialność za przetwarzanie danych osobowych w sposób zgodny z obowiązującymi w tym zakresie przepisami prawnymi. Ujawnienie przyjętych u administratora danych osobowych rozwiązań organizacyjnych (kto i za realizację jakich obowiązków odpowiada), a do tego sprowadza się druga część żądania zawarta w piśmie z dnia [...] listopada 2015 r., niewątpliwie nie mieści się w regulacji art. 32 ustawy o ochronie danych osobowych. Jak ustalił organ, odpowiedź Spółki na żądanie zawarte w powyższym wniosku została przesłana na adres do korespondencji podany w piśmie z dnia [...] listopada 2015 r.: [...]. Skarżącego poinformowano o nieprzetwarzaniu jego danych osobowych w podanym w piśmie zbiorze danych osobowych. Zatem należy przyjąć, iż obowiązek informacyjny został wobec zainteresowanego spełniony. Trzeba mieć na uwadze, że przepisy ustawy o ochronie danych osobowych nie przewidują szczególnej formy spełnienia obowiązku informacyjnego. Wysłanie pisma listem zwykłym mieści się w dopuszczalnej formie informowania zainteresowanego o celu i zakresie przetwarzania danych osobowych przez administratora danych osobowych. Ciężar dowodu spoczywa na osobie, która z tego faktu będzie wywodzić określone skutki prawne. Ma przy tym słuszność skarżący wskazując, iż GIODO nie ustalał kiedy i komu przedmiotowe pismo informacyjne dostało doręczone. Niemniej, zdaniem Sądu, nie ma podstaw do nakazywania Spółce ponownego informowania skarżącego o celu i zakresie przetwarzania jego danych osobowych w zbiorze wymienionym w piśmie z dnia [...] listopada 2015 r. skoro w toku postępowania przed GIODO strona uzyskała informację o sposobie przetwarzania jej danych osobowych we wszystkich zbiorach i zostały one finalnie usunięte. Skarżący podnosi, iż Spółka nadal przetwarza jego dane osobowe w wersji papierowej, choćby z uwagi na postępowanie prowadzone przez GIODO. Postępowanie to zostało wszczęte na wniosek skarżącego. Przebieg postępowania GIODO jest stronie znany. Znany jest też zakres przetwarzania danych osobowych przez Spółkę, która poza przedmiotowym postępowaniem, nie wykorzystuje danych osobowych w celach związanym z działalnością Spółki. Z tego też względu żądanie skarżącego o spełnienie obowiązku informacyjnego nie ma usprawiedliwionych podstaw. Reasumując, analiza zgromadzonego przez organ materiału dowodowego, w tym argumentów i zarzutów podnoszonych przez Skarżącego, nie pozwala zakwestionować udzielonych w tym zakresie wyjaśnień Spółki. Zatem w sytuacji, gdy w niniejszej sprawie dane osobowe skarżącego zostały usunięte, Sąd uznał, że zasadne było stanowisko GIODO o bezprzedmiotowości postępowania, a co za tym idzie decyzja o umorzeniu postępowania podjęta została zgodnie z prawem. Analogiczny pogląd wyraził Naczelny Sąd Administracyjny w wyroku z dnia 10 listopada 2011 r. sygn. akt I OSK 1974/10 (publik. www.orzeczenia.nsa. gov.pl). Mając powyższe ustalenia na uwadze, na podstawie art. 151 ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (tekst jedn. Dz. U. z 2017 r. poz. 1369 ze zm.), Sąd orzekł jak w sentencji.