III OSK 684/22

Naczelny Sąd Administracyjny w składzie: Przewodniczący: sędzia NSA Olga Żurawska-Matusiak Sędziowie sędzia NSA Rafał Stasikowski (spr.) sędzia del. WSA Kazimierz Bandarzewski Protokolant sekretarz sądowy Paulina Gromulska po rozpoznaniu w dniu 20 maja 2025 r. na rozprawie w Izbie Ogólnoadministracyjnej skargi kasacyjnej Prezesa Urzędu Ochrony Danych Osobowych od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 1 grudnia 2021 r. sygn. akt II SA/Wa 974/21 w sprawie ze skargi T. sp. z o.o. w W. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia 27 stycznia 2021 r. nr DS.523.2690.2020.PR.AG w przedmiocie przetwarzania danych osobowych 1. oddala skargę kasacyjną; 2. zasądza od Prezesa Urzędu Ochrony Danych Osobowych na rzecz T. sp. z o.o. w W. kwotę 360 (słownie: trzysta sześćdziesiąt) złotych tytułem zwrotu kosztów postępowania kasacyjnego. Wyrokiem z 1 grudnia 2021 r., II SA/Wa 974/21, Wojewódzki Sąd Administracyjny w Warszawie po rozpoznaniu skargi T. sp. z o.o. w W. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z 27 stycznia 2021 r., nr DS.523.2690.2020.PR.AG w przedmiocie przetwarzania danych osobowych: 1. uchylił zaskarżoną decyzję; 2. zasądził od Prezesa UODO na rzecz skarżącego kwotę 697 zł tytułem zwrotu kosztów postępowania. Wyrok zapadł w następujących okolicznościach faktycznych i prawnych. Decyzją z 27 stycznia 2021 r. Prezes UODO, przywołując art. 58 ust. 2 lit. c rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz.Urz. UE L. nr 119. str. 1, ze zm.; dalej "RODO"), po rozpatrzeniu skargi M. M. na nieprawidłowości w procesie przetwarzania jego danych osobowych przez T. sp. z o.o. w W., polegające na przetwarzaniu jego danych osobowych bez podstawy prawnej oraz na nieuwzględnieniu żądania usunięcia jego danych osobowych, nakazał spółce usunięcie danych osobowych wnioskodawcy, w zakresie obejmującym jego imię i nazwisko, numer PESEL, serię i numer dowodu osobistego, adres zamieszkania oraz adres e-mail. Organ ustalił, że spółka pozyskała dane osobowe wnioskodawcy 27 marca 2020 r. - w zakresie imienia, nazwiska, numeru PESEL, serii i numeru dowodu osobistego, adresu zamieszkania oraz adresu e-mail - w toku czynności dokonanych bezpośrednio przez wnioskodawcę w ramach procesu rejestracji na portalu [...].pl. W skardze wnioskodawca wskazał, że - po założeniu profilu - nie brał udział w żadnym zakładzie wzajemnym ani nie wykonywał transakcji za pomocą portalu. 27 marca 2020 r. wnioskodawca zwrócił się do spółki o usunięcie jego danych osobowych, ta jednakże odmówiła spełnienia żądania. Spółka wskazała, że jest obowiązana prowadzić archiwizację wszelkich danych, związanych z urządzaną grą hazardową - w tym wymienianych między tym podmiotem a uczestnikiem gier hazardowych, pozwalających na ustalenie przebiegu i wyniku gier hazardowych oraz przeprowadzanych transakcji, wynikających z tych gier oraz danych niezbędnych do identyfikacji uczestnika gier hazardowych. Aktualnie spółka przetwarza dane osobowe wnioskodawcy, powołując się na przepisy: ustawy z dnia 19 listopada 2009 r. o grach hazardowych (Dz. U. z 2020 r. poz. 2094 ze. zm.), rozporządzenia Ministra Finansów z dnia 18 maja 2017 r. w sprawie sposobu oraz zakresu archiwizacji danych związanych z urządzanymi grami hazardowymi przez sieć Internet (Dz.U. poz. 1018), ustawy z dnia 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu (Dz.U. z 2020 r. poz. 971 ze zm.). Organ podniósł, że w myśl RODO, aby przetwarzanie danych osobowych było zgodne z prawem, administrator jest zobowiązany czynić to na podstawie przesłanek określonych w art. 6 tego aktu, zgodnie z którym przetwarzanie jest zgodne z prawem m.in. gdy: jest niezbędne do wypełnienia ciążącego na administratorze obowiązku prawnego (art. 6 ust. 1 lit. c). Zgoda osoby, której dotyczą dane, nie jest więc jedyną podstawą uprawniającą do przetwarzania jej danych osobowych. Proces przetwarzania danych będzie zatem zgodny z przepisami również, gdy administrator danych wykaże spełnienie innej z przesłanek RODO - w tym np. dotyczącej ciążącego na administratorze obowiązku prawnego. Organ wskazał, że podjęcie czynności przez wnioskodawcę - rejestracja konta na portalu - miało charakter techniczny, nie może być to uznane za podjęcie gry hazardowej. Zwrócił uwagę na art. 15d ust. 3 ustawy o grach hazardowych, który zdaniem organ stanowi wprost i jedynie o gromadzeniu danych dotyczących uczestnika gry hazardowej, nie zaś osoby, która zamierza takim uczestnikiem zostać. Zdaniem Prezesa UODO podstawy przetwarzania danych osobowych wnioskodawcy nie stanowi również art. 35 ust. 1 pkt 1, 2a, 4, 5 i 6 ustawy o przeciwdziałaniu praniu pieniędzy, bowiem nie nawiązał on ze spółką stosunków gospodarczych, nie przeprowadził transakcji okazjonalnej, nie obstawiał stawek. Nie można też mówić o możliwości podejrzenia prania pieniędzy czy wątpliwości co do prawdziwości uzyskanych danych. Organ nie podzielił również stanowiska spółki, jakoby przesłanką przetwarzania danych wnioskodawcy było rozporządzenie o archiwizacji - zwłaszcza jego § 3 ust. 3 pkt 1 i § 6 pkt 3, bowiem wnioskodawca nie był uczestnikiem gry hazardowej. Organ podniósł, że zgodnie z art. 5 ust. 1 lit. b RODO dane osobowe muszą być zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach i nieprzetwarzane dalej w sposób niezgodny z tymi celami. Administrator (spółka) pozyskał dane wnioskodawcy w celu identyfikacji uczestnika gry hazardowej. Cel ten ustał z dniem żądania usunięcia przetwarzanych danych, wobec tego nie ma jakichkolwiek podstaw do przetwarzania danych. W ocenie organu przetwarzanie danych osobowych wnioskodawcy przez spółkę nie znajduje prawnego uzasadnienia w przepisach RODO i stanowi naruszenie art. 6 ust. 1 i art. 17 ust. 1 RODO. W sprawie zaistniała zatem przesłanka do wydania decyzji o nakazie usunięcia danych osobowych wnioskodawcy. Skargę na powyższą decyzję do Wojewódzkiego Sądu Administracyjnego w Warszawie wniosła skarżąca spółka. W odpowiedzi na skargę Prezes UODO wniósł o jej oddalenie oraz podtrzymał dotychczasowe stanowisko. Uwzględniając skargę, sąd I instancji wskazał na wstępie, że bezsporne są okoliczności faktyczne sprawy, które sprowadzają się do przetwarzania przez spółkę danych osobowych wnioskodawcy, który zarejestrował się, jako uczestnik gry, lecz nie brał udziału w żadnej rozgrywce, a następnie żądał usunięcia jego danych osobowych (wobec wcześniejszego zreferowania za organem administracji, jego ponowne opisywanie byłoby bezzasadne). Zdaniem sądu chybiony jest przez to zarzut skargi naruszenia przepisów postępowania w zakresie obowiązku właściwego wyjaśnienia okoliczności faktycznych sprawy, co nie obejmuje kwestii nieprawidłowego rozumienia treści regulacji normatywnych. W ocenie sądu I instancji w istocie spór pomiędzy stronami sprowadza się do tego, czy spółka - w myśl obowiązujących przepisów - była obowiązana do dalszego przetwarzania danych osobowych wnioskodawcy pozyskanych na etapie rejestracji, bądź też był on uprawniony do skorzystania z tzw. "prawa bycia zapomnianym" – z uwzględnieniem ram art. 17 RODO. Zdaniem sądu w rozpoznawanej sprawie - wbrew stanowisku organu - istniała podstawa przetwarzania danych osobowych wnioskodawcy, którego spółka zasadnie określa mianem "uczestnika gry" (gracza), w rozumieniu ustawy o grach hazardowych. Mianowicie - w myśl § 3 ust. 3 pkt 1 rozporządzenia o archiwizacji, stanowiącego akt wykonawczy do ustawy - archiwizacji, z uwzględnieniem numeru kolejności operacji, podlegają także dane o samym założeniu konta na portalu – tak sformułowanie: "urządzenie archiwizujące oraz jego oprogramowanie w szczególności: 1) zapewniają ciągłą, niemodyfikowalną i jednoznacznie identyfikującą każde zdarzenie niepowtarzalną numerację dla każdego typu archiwizowanych zdarzeń, w szczególności założenia konta, [...]". Sąd wskazał, że niepodobna uznać, aby - wobec tak jednoznacznej treści wypowiedzi prawodawcy – jego wolą był zapis i chronologiczna archiwizacja (w tym z użyciem ciągłej numeracji) wyłącznie zdarzeń rejestracji, dotyczących osób, które wpierw zarejestrowały się, a następnie dokonały operacji - w ramach konkretnej rozgrywki. Z treści wskazanego zapisu nie sposób też domniemywać takiej intencji. Przepisy aktu wykonawczego - wiążące spółkę, co do zakresu obowiązków archiwizacji danych uczestników gier hazardowych przez sieć Internet, w rozumieniu art. 15d ust. 3 i 7 ustawy o grach hazardowych - są więc w danym zakresie jednoznaczne. Nie mogą być przez obowiązany podmiot interpretowane dowolnie, np. dla zapewnienia domniemanej zgodności z treścią aktu wyższego rzędu. Uprawnienia takie nie przysługują także wyspecjalizowanemu organowi administracji - nawet, gdyby dostrzegł w istocie oczywistą niezgodność aktu wykonawczego z ustawą. Kompetencje do oceny w danym zakresie przysługują bowiem - w świetle reguł Konstytucji RP wyłącznie Trybunałowi Konstytucyjnemu (art. 188 pkt 3). W doktrynie i judykaturze wskazuje się wprawdzie na możliwość wykładnia regulacji dla zapewnienia zgodności ich treści z aktami wyższego rzędu. Może być to jednak czynione wyłącznie, gdy proste rozumienie tekstu nastręcza wątpliwości. Zdaniem sądu przypadek taki nie występuje w rozpoznawanej sprawie. Zdaniem sądu mylne są przy tym wywody organu, jakoby wynikający z rozporządzenia o archiwizacji zakres obowiązków archiwizacji danych osobowych - gdy dotyczy to osób, które jeszcze nie podjęły gry - pozostawał w oczywistej sprzeczności z treścią ustawy o grach hazardowych, gdzie ustanowiono obowiązek archiwizowania danych o "uczestnikach" gier hazardowych przez sieć Internet. Wskazana ustawa nie zawiera legalnej definicji danego pojęcia, zaś - na co trafnie zwrócono uwagę na rozprawie - na gruncie zmian technologicznych, technicznych i organizacyjnych, wobec oferowania gier hazardowych online - nie sposób wykluczyć, aby ustawodawca - posługując się w ustawie o grach hazardowych pojęciem uczestnika gry przez sieć Internet nie miał na uwadze także osób, które wyłącznie zrealizowały procedurę rejestracji, skoro jej elementem jest m.in. weryfikacja danych - np. o wieku graczy (tak art. 15i ust. 1 pkt 2 i 3). W tym kontekście nie sposób a priori zakładać, aby przechowywanie danych, dotyczących samej rejestracji - prawidłowości organizacji procesu w pojedynczych przypadkach - nie było także wolą prawodawcy, uwzględniając też powołane przez spółkę uwarunkowania przyjęcia noweli. W ocenie sądu I instancji w danym zakresie przekonywująca jest argumentacja spółki sformułowana zarówno w skardze, jak i w trakcie rozprawy. Dodatkowo sąd zauważył, że system archiwizacji danych o uczestnikach gry przez sieć Internet, rozumianych jako osoby spełniające formalne warunki jej rozpoczęcia (dokonanie rejestracji – utworzenie konta), jest spójny z wyrażoną wprost na szczeblu ustawy o grach hazardowych zasadą archiwizacji rejestru gości w stacjonarnych ośrodkach gry, gdzie bez znaczenia jest czy wchodząca do obiektu osoba w istocie weźmie udział w rozgrywkach (tak art. 15 ust. 1 i 6). Wobec powyższego, nawet gdyby wedle koncepcje organu była dopuszczalna wykładnia przezeń aktu wykonawczego, wbrew jego brzmieniu, dla zapewnienia zgodności z ustawą - merytorycznie nie zachodziły przesłanki takiego sposobu odkodowania znaczenia stosownych norm prawnych rozporządzenia o archiwizacji. Zdaniem sądu organ mylnie wywiódł, jakoby nie było podstaw prawnych dla dalszego przetwarzania przez spółkę danych osobowych wnioskodawcy. Naruszenie przepisów prawa materialnego przez błędną wykładnię stosownych regulacji miało istotny na wpływ na wynik sprawy. Nie było bowiem przesłanek dla nałożenia na spółkę obowiązku usunięcia danych osobowych wnioskodawcy na podstawie art. 58 ust. 2 lit. c RODO. W ocenie sądu bez znaczenia jest sporna kwestia, czy w istocie obowiązek dalszego przetwarzania danych wnioskodawcy przez spółkę wynika również z ustawy o przeciwdziałaniu praniu pieniędzy. Nie jest istotne dla wyniku sprawy także to, czy spółka - w toku postępowania, bądź przed jego wszczęciem przywoływała w istocie, jako podstawę nieuwzględnienia "wniosku o bycie zapomnianym", konkretną jednostkę redakcyjną - art. 17 ust. 3 lit. b RODO. Niezależnie, czy tak było, wyspecjalizowany organ administracji obowiązany był oceniać zasadność żądań wnioskodawcy z uwzględnieniem brzmienia wszystkich regulacji. W ocenie sądu – wbrew wywodom skargi - tak zresztą było w kontekście brzmienia art. 17 RODO. Powoływane w skardze stwierdzenie zawarte w uzasadnieniu zaskarżonego aktu, co do nieprzywołania przez spółkę przesłanek wyłączających, wskazanych w art. 17 ust. 3 RODO, było wyłącznie wypowiedzią skrótową - służyło potwierdzeniu braku takowych, wykraczających poza wskazaną pod lit. b, co do której organ wypowiedział się wprost. Uznał mianowicie, że nie występuje, gdyż mylnie przyjął jakoby obowiązek przetwarzania danych osobowych wnioskodawcy nie wynikał z przepisów dotyczących organizacji gier hazardowych online. Z przytoczonych wyżej przyczyn, na podstawie art. 145 § 1 pkt 1 lit. a ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (Dz.U. z 2019 r., poz. 2325 ze zm.; dalej "p.p.s.a."), sąd I instancji uchylił zaskarżoną decyzję. O zwrocie kosztów postępowania w myśl art. 200 w zw. z art. 205 § 2 p.p.s.a. Skargę kasacyjną od powyższego wyroku wywiódł Prezes UODO, zaskarżając wyrok w całości. Wniósł o uchylenie zaskarżonego wyroku w całości i rozpoznanie skargi ewentualnie o uchylenie zaskarżonego wyroku w całości i przekazanie sprawy do ponownego rozpoznania sądowi I instancji. Nadto wniósł o rozpoznanie sprawy na rozprawie i o zasądzenie zwrotu kosztów postępowania. Zaskarżonemu wyrokowi zarzucił naruszenie prawa materialnego tj. art. 15d ust. 3 ustawy z dnia 19 listopada 2009 r. o grach hazardowych (Dz, U. z 2020 r. poz. 2094 ze zm.) w związku z § 3 ust. 3 pkt 1 rozporządzenia Ministra Rozwoju i Finansów z dnia 18 maja 2017 r. w sprawie sposobu oraz zakresu archiwizacji danych związanych z urządzanymi grami hazardowymi przez sieć Internet (Dz.U. z 2017 r. poz. 1018) przez błędną wykładnię polegającą na uznaniu, że uczestnikiem gry hazardowej w rozumieniu ww. ustawy jest ten, kto nie wziął udziału w grze hazardowej, co skutkowało prawem administratora do przetwarzania danych osobowych takiej osoby pomimo złożenia przez nią wniosku o usunięcie danych osobowych. W odpowiedzi na skargę kasacyjną skarżąca spółka wniosła o jej oddalenie oraz o zasądzenie zwrotu kosztów postępowania. Naczelny Sąd Administracyjny zważył, co następuje. Stosownie do treści art. 183 § 1 p.p.s.a. Naczelny Sąd Administracyjny rozpoznaje sprawę w granicach skargi kasacyjnej, z urzędu biorąc pod uwagę jedynie nieważność postępowania. Granice te determinują kierunek postępowania Naczelnego Sądu Administracyjnego. Wobec niestwierdzenia przesłanek nieważności postępowania, Naczelny Sąd Administracyjny dokonał oceny podstaw i zarzutów kasacyjnych. Skarga kasacyjna organu jest nieuzasadniona. Została ona oparta na jednym zarzucie naruszenia prawa materialnego. W swej istocie zarzut ten sprowadza się do błędnej wykładni wyrażenia językowego "uczestnika gier hazardowych", użytego w przepisie art. 15d ust. 3 ustawy o grach hazardowych, zgodnie z którym podmiot urządzający gry hazardowe przez sieć Internet jest obowiązany prowadzić, w czasie rzeczywistym, w urządzeniu archiwizującym usytuowanym na terytorium Rzeczypospolitej Polskiej lub państwa członkowskiego Unii Europejskiej lub państwa członkowskiego Europejskiego Stowarzyszenia Wolnego Handlu (EFTA) - strony umowy o Europejskim Obszarze Gospodarczym, archiwizację wszelkich danych związanych z urządzaną grą hazardową, w tym wymienianych między tym podmiotem a uczestnikiem gier hazardowych, pozwalających na ustalenie przebiegu i wyniku gier hazardowych oraz przeprowadzanych transakcji wynikających z tych gier oraz danych niezbędnych do identyfikacji uczestnika gier hazardowych. Różnica w rozumieniu tego wyrażenia językowego sprowadza się do przyjęcia przez sąd I instancji, że uczestnikiem gry hazardowej jest każdy podmiot, który zarejestrował się, tj. założył konto na portalu. Z kolei organ nadzoru uznał, że za gracza uznać można podmiot, który nie tylko dokonał rejestracji na portalu, lecz następnie dokonał operacji w ramach konkretnej rozgrywki. Ustawa o grach hazardowych nie zawiera definicji legalnej uczestnika gry hazardowej. Z jej treści wynika, że prowadzenie gier hazardowych możliwe jest stacjonarnie w ośrodkach gier lub w Internecie. W przypadku gier prowadzonych w ośrodkach gier uczestnikami są podmioty, które przystępują do konkretnej rozgrywki i dokonuję w jej ramach określonych operacji. Istotne jest jednak podkreślenie, iż w przypadku gier stacjonarnych obowiązkiem rejestracji danych i dalszemu ich przetwarzaniu podlegają nie tylko osoby formalnie biorące udział w skonkretyzowanej grze, lecz także wszyscy goście ośrodka gier bez względu na cele ich wizyty w ośrodku gier. Podyktowane jest to koniecznością zapewnienia bezpieczeństwa i uczciwości prowadzonych gier hazardowych, w tym wykluczenia współpracy między aktywnym uczestnikiem gry a zwykłym gościem ośrodka gier. Konieczne jest zatem zwrócenie uwagi, iż samo zainteresowanie się osoby fizycznej grami hazardowymi, obecność w ośrodkach gier hazardowych jest istotną informacją z punktu widzenia podmiotu, który prowadzi tego rodzaju działalność w ramach monopolu państwa, jak i również szeregu organów państwa, które mogą ze względu na realizowane przez siebie zadania pozyskiwać informacje przetwarzane przez podmioty prowadzące gry hazardowe. Całość regulacji prawnych ustawy hazardowej w tym zakresie jest istotna z punktu widzenia wykładni wyrażenia językowego uczestnika gry hazardowej prowadzonej on-line. Zastosowanie dyrektyw wykładni językowej nie prowadzi do jednoznacznych rezultatów, czego przykładem są stanowiska organu nadzoru i sądu I instancji. W takiej sytuacji konieczne jest zastosowanie dyrektyw wykładni systemowej. Użycie w tym zakresie argumentum a rubrica nie prowadzi do istotnych wyników, gdyż żadne elementy strukturalne ustawy hazardowej nie pozwalają na poczynienie ważnych dla rozstrzygnięcia ustaleń interpretacyjnych. Z kolei zastosowanie reguły systemowej związanej z analizą celów ustawy oraz aksjologii realizowanej przez nią prowadzi do istotnych i ważkich ustaleń. Naczelny Sąd Administracyjny wskazał już wyżej, że ustawa hazardowa reguluję sferę aktywności ludzkiej, która objęta została monopolem państwa i pozostaje pod głębokim i ograniczającym wpływem przepisów prawa. Osoby biorące udział w grach hazardowych, jak i goście ośrodków gier nie są piętnowani przez prawo, gdyż ustawa dopuszcza tego typu legalną działalność, a tym samym i możliwość korzystania z tego rodzaju usług, lecz ustawodawca dostrzega szereg zagrożeń, mogących wynikać dla państwa i innych ludzi z tego rodzaju form rozrywki. Ochrona bezpieczeństwa i innych dóbr policyjnych stanowi ratio legis szeregu policyjno-reglamentacyjnych, restrykcyjnych i ograniczających przepisów ustawy o grach hazardowych. Cele te zostały zresztą prawidłowo odczytane przez organ upoważniony do wydania aktów do niej wykonawczych, w tym rozporządzenie o archiwizacji. Przepisy wykonawcze zostały sformułowane w duchu realizacji tych celów ustawowych, czego przykładem jest choćby kwestionowany przepis § 3 ust. 3 pkt 1 rozporządzenia archiwizacyjnego. Prowadzić to musi do konkluzji, iż w przypadku gier hazardowych prowadzonych on-line uczestnikiem gry jest nie tylko podmiot, który dokonał swojej rejestracji i założył konto, a następnie faktycznie wziął udział w konkretnej grze dokonując skonkretyzowanej operacji, lecz również podmiot, który dokonał swojej rejestracji, założył konto, a tym samym złożył oświadczenie, że chce lub może być uczestnikiem skonkretyzowanych gier hazardowych w przyszłości. W tym znaczeniu podmiot zarejestrowany i posiadający swoje konto jest uczestnikiem gier losowych. Podkreślenia wymaga, iż na gruncie semantycznym uczestnikiem gry losowej jest ten kto zadeklarował się jako uczestnik danej gry, jak i ten, kto poza deklaracją faktycznie bierze udział w danej grze. Użycie dyrektyw systemowo-aksjologicznych na gruncie ustawy o grach hazardowych i reguły wybory musi prowadzić tym samym do przyjęcia szerokiego ujęcia uczestnika gry hazardowej. Naczelny Sąd Administracyjny podziela tym samym wykładnię przyjętą przez sąd I instancji, co czyni podniesiony zarzut naruszenia prawa materialnego przez jego błędną wykładnię za nieuprawniony. Naczelny Sąd Administracyjny, działając na podstawie art. 184 p.p.s.a., orzekł o oddaleniu skargi kasacyjnej. O kosztach postępowania kasacyjnego orzeczono na podstawie art. 204 pkt 2 p.p.s.a.