II SA/Wa 974/21

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Izabela Głowacka-Klimas, Sędzia WSA Andrzej Wieczorek, Sędzia WSA Łukasz Krzycki (spr.), Protokolant referent stażysta Edyta Brzezicka po rozpoznaniu na rozprawie w dniu 1 grudnia 2021 r. sprawy ze skargi T.S. Sp. z o.o. z siedzibą w [...] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] stycznia 2021 r. nr [...] w przedmiocie przetwarzania danych osobowych 1. uchyla zaskarżoną decyzję; 2. zasądza od Prezesa Urzędu Ochrony Danych Osobowych na rzecz T.S. Sp. z o.o. z siedzibą w [...] kwotę 697 zł (słownie: sześćset dziewięćdziesiąt siedem) złotych tytułem zwrotu kosztów postępowania. Zaskarżoną decyzją - przywołując, art. 58 ust. 2 lit. c rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz.Urz. UE L. nr 119. str. 1, ze zm.), zwanego dalej "RODO" – wobec skargi p. M. M., zwanego dalej "Wnioskodawcą" - na nieprawidłowości w procesie przetwarzania jego danych osobowych przez T. Sp. z o.o, zwaną dalej Spółką", polegające na przetwarzaniu jego danych osobowych bez podstawy prawnej oraz na nieuwzględnieniu żądania usunięcia jego danych osobowych - nakazano Spółce usunięcie danych osobowych Wnioskodawcy, w zakresie obejmującym jego imię i nazwisko, numer PESEL, serię i numer dowodu osobistego, adres zamieszkania oraz adres e-mail. W uzasadnieniu postanowienia przywołano następujące okoliczności faktyczne i prawne uwarunkowania sprawy: - do organu wpłynęła skarga Wnioskodawcy z 11 maja 2020 r., - w toku postępowania wyjaśniającego organ ustalił następujący stan faktyczny: - Spółka pozyskała dane osobowe Wnioskodawcy [...] marca 2020 r. - w zakresie imienia, nazwiska, numeru PESEL, serii i numeru dowodu osobistego, adresu zamieszkania oraz adresu e-mail - w toku czynności, dokonanych bezpośrednio przez Wnioskodawcę w ramach procesu rejestracji na portalu [...], zwanym dalej "Portalem" (tak: wyjaśnienia Spółki z 6 sierpnia 2020 r.), - w skardze Wnioskodawca wskazał, że - po założeniu profilu - nie brał udział w żadnym zakładzie wzajemnym ani nie wykonywał transakcji za pomocą Portalu, - 27 marca 2020 r., Wnioskodawca zwrócił się do Spółki o usunięcie jego danych osobowych; ta jednakże odmówiła spełnienia żądania; wskazała, że jest obowiązana prowadzić archiwizację wszelkich danych, związanych z urządzaną grą hazardową - w tym wymienianych między tym podmiotem a uczestnikiem gier hazardowych, pozwalających na ustalenie przebiegu i wyniku gier hazardowych oraz przeprowadzanych transakcji, wynikających z tych gier oraz danych niezbędnych do identyfikacji uczestnika gier hazardowych (tak: wyjaśnienia Spółki z 6 sierpnia 2020 r.), - aktualnie Spółka przetwarza dane osobowe Wnioskodawcy - jak twierdzi na podstawie przepisów: ustawy z dnia 19 listopada 2009 r. o grach hazardowych (Dz. U. z 2020 r. poz. 2094 ze. zm.), zwanej dalej "ustawą o grach", rozporządzenia Ministra Finansów z dnia 18 maja 2017 r. w sprawie sposobu oraz zakresu archiwizacji danych związanych z urządzanymi grami hazardowymi przez sieć Internet (Dz.U. poz. 1018), zwanego dalej "rozporządzeniem o archiwizacji" oraz ustawy z dnia 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu (Dz.U. z 2020 r. poz. 971 ze zm.), zwanej dalej "ustawą o przeciwdziałaniu praniu pieniędzy" (tak: wyjaśnienia Spółki z [...] sierpnia 2020 r.), - w myśl RODO, aby przetwarzanie danych osobowych było zgodne z prawem, administrator jest zobowiązany czynić to na podstawie przesłanek określonych w art. 6 tego aktu; stanowi on, że przetwarzanie jest zgodne z prawem m.in. gdy: jest niezbędne do wypełnienia ciążącego na administratorze obowiązku prawnego (art. 6 ust. 1 lit. c); zgoda osoby, której dotyczą dane, nie jest więc jedyną podstawą uprawniającą do przetwarzania jej danych osobowych; proces przetwarzania danych będzie zatem zgodny z przepisami również, gdy administrator danych wykaże spełnienie innej z przesłanek RODO - w tym np. dotyczącej ciążącego na administratorze obowiązku prawnego, - podjęcie czynności przez Wnioskodawcę - rejestracja konta na Portalu - miało charakter techniczny; nie może być to uznane za podjęcie gry hazardowej; co wskazano w doktrynie: "aktualnie zatem, aby dana gra została uznana za hazardową, musi cechować się wystąpieniem w niej zależności wyniku od przypadku, możliwością wygrania przez gracza nagrody pieniężnej lub rzeczowej oraz posiadaniem cech charakterystycznych dla którejś z gier wskazanych w art. 2 u.g.h. [ustawy o grach hazardowych] Jak już powyżej wspomniano, ustawodawca w art. 2 u.g.h. uregulował cztery rodzaje gier hazardowych. Oprócz omówionych już gier w karty są to gry losowe, gry na automatach i zakłady wzajemne." (S. Radowicki, K. Budnik [w:] Ustawa o grach hazardowych. Komentarz, red. M. Wierzbowski, Warszawa 2019, art. 14.); organ podziela to stanowisko, - zgodnie z art. 15d ust. 3 ustawy o grach, podmiot urządzający gry hazardowe przez sieć Internet musi prowadzić - w czasie rzeczywistym, w stosownym urządzeniu - archiwizację wszelkich danych, związanych z urządzaną grą hazardową, w tym wymienianych między tym podmiotem a uczestnikiem gier hazardowych, pozwalających na ustalenie przebiegu i wyniku gier hazardowych oraz przeprowadzanych transakcji, wynikających z tych gier, oraz danych niezbędnych do identyfikacji uczestnika gier hazardowych; przepis ten stanowi więc wprost i jedynie o gromadzeniu danych, dotyczących uczestnika gry hazardowej, nie zaś osoby, która zamierza takim uczestnikiem zostać, - jako podstawę przetwarzania danych osobowych Spółka wskazała art. 35 ust. 1 pkt 1, 2a, 4, 5 i 6 ustawy o przeciwdziałaniu praniu pieniędzy; podkreślała, że - na podstawie powszechnie obowiązujących przepisów - jest zobowiązana do stosowania środków bezpieczeństwa finansowego w ściśle określonych sytuacjach; we wskazanym. art. 35 ustawodawca jednak wskazał, że są to przypadki dotyczące nawiązywania stosunków gospodarczych, przeprowadzania transakcji okazjonalnej o równowartości 15 000 euro lub większej, bez względu na to, czy transakcja jest przeprowadzana, jako pojedyncza operacja, czy kilka operacji, które wydają się ze sobą powiązane, obstawiania stawek oraz odbioru wygranych o równowartości 2000 euro lub większej, bez względu na to, czy transakcja jest przeprowadzana, jako pojedyncza operacja, czy kilka operacji, które wydają się ze sobą powiązane, podejrzenia prania pieniędzy lub finansowania terroryzmu i wątpliwości, co do prawdziwości lub kompletności dotychczas uzyskanych danych identyfikacyjnych klienta; zamiaru uczestnictwa w grze Wnioskodawcy nie można jednak przypisać do dyspozycji przepisów powołanych przez Spółkę; nie nawiązał on z nią stosunków gospodarczych, nie przeprowadził transakcji okazjonalnej, nie obstawiał stawek; nie można też mówić o możliwości podejrzenia prania pieniędzy czy wątpliwości, co do prawdziwości uzyskanych danych, - nie zgodzono się ze stanowiskiem i argumentacją Spółki, jakoby przesłanką przetwarzania danych Wnioskodawcy było rozporządzenie o archiwizacji - zwłaszcza jego § 3 ust. 3 pkt 1 i § 6 pkt 3; w myśl § 6 pkt 3 Spółka winna przetwarzać dane niezbędne do identyfikacji uczestnika gry; natomiast w § 3 ust. 3 pkt 1 tego aktu wskazano, że urządzenie archiwizujące oraz jego oprogramowanie zapewniają w szczególności ciągłą, niemodyfikowalną i jednoznacznie identyfikującą każde zdarzenie niepowtarzalną numerację dla każdego typu archiwizowanych zdarzeń, w szczególności założenia konta; nie można jednak tych przepisów rozpatrywać w oderwaniu od całości danego aktu, jak również ustawy o grach; akty te stanowią o zasadach prowadzenia gier hazardowych; kluczowe dla rozstrzygnięcia sprawy jest więc, że Wnioskodawca nie był uczestnikiem takiej gry, - zgodnie z art. 5 ust. 1 lit. b RODO dane osobowe muszą być zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach i nieprzetwarzane dalej w sposób niezgodny z tymi celami; administrator pozyskał dane Wnioskodawcy w celu identyfikacji uczestnika gry hazardowej; cel ten ustał z dniem żądania usunięcia przetwarzanych danych; wobec tego nie ma jakichkolwiek podstaw do przetwarzania danych, - przetwarzanie danych osobowych Wnioskodawcy przez Spółkę nie znajduje prawnego uzasadnienia w przepisach RODO; stanowi naruszenie art. 6 ust. 1 i art. 17 ust. 1 danego aktu; zgodnie z art. 17 ust. 1 lit. a osoba, której dane dotyczą, ma prawo żądania od administratora niezwłocznego ich usunięcia, a administrator ma obowiązek bez zbędnej zwłoki usunąć dane osobowe, m.in., jeżeli nie są one już niezbędne do celów, w których je zebrano lub w inny sposób są przetwarzane; wyłączenia od zastosowania art. 17 ust. 1 określono w ust. 3; żadna z określonych tam przesłanek nie ma jednak zastosowania w tej sprawie; na żadną z nich Spółka w toku postępowania również się nie powołała, - istnieją zatem podstawy do zastosowania art. 58 ust. 2 lit. c RODO; w jego myśl - w razie naruszenia przepisów o ochronie danych osobowych - organ nakazuje administratorowi lub podmiotowi przetwarzającemu spełnienie żądania osoby, której dane dotyczą, wynikającego z praw przysługujących jej na mocy RODO; zaistniała zatem przesłanka do wydania decyzji o nakazie usunięcia danych osobowych Wnioskodawcy. W skardze Spółka, reprezentowana przez pełnomocnika – radcę prawnego, zarzuciła naruszenie przepisów: - postępowania - art. 7, art. 77 § 1 i art. 80 ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego (Dz. U. z 2020 r. poz. 256 ze zm.); polegało ono na niewyczerpującym rozpatrzeniu materiału dowodowego oraz na jego dowolnej ocenie wobec uznania, że Spółka winna zrealizować prawo do usunięcia danych Wnioskodawcy ("prawo do bycia zapomnianym"); tymczasem przetwarzanie danych jest dla Spółki niezbędne do wywiązania się z prawnego obowiązku - wymagania przetwarzania na mocy prawa państwa członkowskiego, któremu jako administrator podlega Spółka; wykazano to w piśmie z [...] marca 2020 r.; podniesiono tam, że przetwarzanie danych osobowych we wskazanym zakresie jest niezbędne do wypełnienia obowiązku prawnego, ciążącego na administratorze; mimo to uznano, jakoby Spółka dopuściła się naruszenia przepisów o ochronie danych osobowych; w konsekwencji nakazano jej usunięcie danych, - prawa materialnego: - art. 17 ust. 3 lit. b RODO poprzez jego niezastosowanie i przyjęcie, że Spółka jest zobowiązana usunąć dane w warunkach art. 17 ust. 1 lit a tego aktu; może ona tymczasem przetwarzać dane dla wywiązania się z prawnego obowiązku, wymagającego przetwarzania na mocy prawa państwa członkowskiego, któremu podlega administrator; nie dopuścił się on naruszenia przepisów nie usuwając danych wobec żądania Wnioskodawcy; - art. 6 ust. 1 lit. c RODO, w zw. z art. 15d ust. 3 ustawy o grach oraz w zw. z art. 36 ust. 1 pkt 1 ustawy o przeciwdziałaniu praniu brudnych pieniędzy i § 3 ust. 3 pkt 1 oraz § 6 pkt 3 rozporządzenia o archiwizacji, poprzez jego niezastosowanie i przyjęcie, że - z dniem zażądania usunięcia danych Wnioskodawcy - Spółka utraciła podstawę do przetwarzania danych i nie była dalej do tego uprawniona; - art. 58 ust. 2 lit. c RODO, poprzez jego zastosowanie i nakazania Spółce usunięcia danych Wnioskodawcy mimo, że nie dopuściła się naruszenia prawa. W uzasadnieniu skargi rozwinięto powyższe zarzuty. Wskazano m.in.: - odnosząc się do konstrukcji prawa do usunięcia danych ("prawa do bycia zapomnianym") wskazano: prawo to może być zrealizowane tylko tam, gdzie brak jest jakiejkolwiek przesłanki, uprawniającej administratora do przetwarzania danych; Spółka dysponuje jednak ważną przesłanką przetwarzania danych osobowych Wnioskodawcy, - nie był uprawniony zarzut organu, że Spółka nie powołała się w toku postępowania na żadną z przesłanek wskazanych w art. 17 ust. 3 RODO; w ramach odpowiedzi - udzielanej Wnioskodawcy [...] kwietnia 2020 r. - Spółka wyraźnie wskazała, że podstawę prawną do przetwarzania danych osobowych w omawianym zakresie stanowi art. 6 ust. 1 lit. c RODO - niezbędność przetwarzania do wypełnienia obowiązku prawnego, ciążącego na administratorze danych; następnie Spółka wskazała, że prawo do bycia zapomnianym (usunięcia danych) nie jest prawem bezwzględnym i zawiera szereg ograniczeń; indywidualizując uwagi na temat prawa do bycia zapomnianym do przypadku Wnioskodawcy wskazano dalej: "Jednak w wypadku Pana żądania nadal istnieją wynikające bezpośrednio z przepisów UGH podstawy prawnego do tego, aby można było kontynuować przetwarzanie Pana danych."; skoro wskazano, że przetwarzanie danych we wskazanym zakresie jest niezbędne do wywiązania się z prawnego obowiązku - wymagania przetwarzania na mocy przepisów prawa członkowskiego (identyfikując wskazane przepisy), któremu podlega administrator (posłużono się brzmieniem art. 6 ust. 1 lit. c oraz art. 17 ust. 3 lit. b RODO) - bezzasadne jest przyjęcie, że Spółka nie powołała się na żadną ze wskazanych przesłanek; analogicznie - w piśmie z [...] sierpnia 2020 r. - Spółka omówiła poszczególne podstawy prawne, uprawniające ją do przetwarzania danych oraz wskazała: "pozyskiwane dane osobowe są przetwarzane w celu wypełnienia obowiązków prawnych określonych w powyższych aktach prawnych oraz w zakresie w nich wskazanym."; nie jest zatem uprawniony zarzut, że Spółka nie powołała się na art. 17 ust. 3 RODO; nie wskazanie wprost numeru jednostki redakcyjnej w komunikacji z Wnioskodawcą lub organem - przy jednoczesnym wielokrotnym powołaniu się przez Spółkę w ramach prowadzonej z oboma podmiotami komunikacji na treść art. 17 ust. 3 lit. b RODO, w postaci stosowanego w formie słownej uzasadnienia wskazującego wprost na niezbędność przetwarzania danych osobowych do wywiązania się z prawnego obowiązku, któremu podlega administrator - nie może być traktowane jako całkowity brak przywołania art. 17 ust. 3 lit. b RODO, - w odniesieniu do podstawy przetwarzania danych przez Spółkę błędnie uznano, że czynność Wnioskodawcy, jaką była rejestracja konta na Portalu, miała charakter techniczny i nie może być uznana za podjęcie gry hazardowej; w uzasadnieniu orzeczenia przytoczono przesłanki uznania danej gry za hazardową (co nie jest kwestionowane w sprawie) oraz uznano, że art. 15d ust. 3 ustawy o grach stanowi jedynie wprost o gromadzeniu danych dotyczących uczestnika gry hazardowej, nie zaś osoby, która zamierza takim uczestnikiem zostać; poczyniono zatem rozróżnienie, które nie znajduje podstaw w treści obowiązujących przepisów; aktualne brzmienie art. 15d wynika z wejścia w życie ustawy z dnia 15 grudnia 2016 r. o zmianie ustawy o grach hazardowych oraz niektórych innych ustaw (Dz.U. z 2017 r. poz. 88), zwanej dalej "Nowelą"; przyjęte w Noweli rozwiązania odzwierciedlają proponowane przez Komisję Europejską zasady, które mogą wdrożyć poszczególne państwa członkowskie dla zapewnienia jak najwyższego poziomu ochrony graczy i osób niepełnoletnich w odniesieniu do usług hazardowych online; ujęto je w zaleceniu Komisji Europejskiej z 14 lipca 2014 r. w sprawie zasad ochrony konsumentów i graczy, korzystających z usług hazardowych online i w sprawie ochrony nieletnich przed grami hazardowymi online; zgodnie z pkt 15 powyższych zaleceń: państwa członkowskie powinny zadbać, by korzystanie z usługi hazardowej online było możliwe tylko po zarejestrowaniu się, jako gracz i pod warunkiem posiadania konta na stronie podmiotu oferującego gry hazardowe; analogicznie - zgodnie z uzasadnieniem Noweli - w jej projekcie przewidziano wprowadzenie konieczności stosowania - przed przystąpieniem do gier - odpowiedniej procedury rejestracji gracza, oraz mechanizmów umożliwiających uczestnikom gier kontrolę swojej aktywności na stronie internetowej czy uniemożliwiających uczestniczenie w grze po wyczerpaniu środków na koncie gracza; wskazuje to, że dana osoba fizyczna otrzymuje status "gracza" - czyli uczestnika gry hazardowej - już w chwili zakończenia procesu rejestracji a - do uznania jej za gracza - nie jest konieczne przystąpienie przez tę osobę do udziału w jakiejkolwiek grze; osoba taka otrzymuję status gracza bezpośrednio po zarejestrowaniu się jako gracz - czyli już przed przystąpieniem do gier; przepisy nie wprowadzają rozróżnienia osoby, która wyłącznie dokonała rejestracji - jako gracz w ramach Portalu - od osoby, która rozpoczęła tam grę hazardową; graczem - uczestnikiem gry hazardowej - jest zatem każda osoba fizyczna, która zakończyła pozytywnie proces rejestracji i posiada konto gracza na Portalu oraz potencjalnie może brać udział w grach liczbowych lub loteriach pieniężnych, urządzanych przez Spółkę przez sieć Internet; tym samym o kwalifikacji osoby, jako gracz nie przesądza moment podjęcia przez nią jakiejkolwiek czynności, wynikającej z czynnego udziału w grze, ale już samo dokonanie rejestracji i posiadanie aktywnego konta na Portalu, - rejestracja pozyskiwanych w procesie założenia konta danych następuje wyłącznie w celu udziału w grze hazardowej; jest to rejestracja wieloetapowa, pracochłonna i czasochłonna - od uczestnika gry hazardowej wymaga podania szeregu danych oraz weryfikacji (autoryzacji) konta; rejestracja graczy oraz weryfikacja danych - w tym - wieku jest jednocześnie narzędziem ochrony graczy; tym samym celowościowe rozróżnienie procesu rejestracji konta oraz rozpoczęcia udziału w grze hazardowej pozbawione jest znaczenia; gracz nie może bowiem zarejestrować konta w innym celu niż jako warunek udziału w grze hazardowej; co więcej, w procesie rejestracji gracz jest zobowiązany ustanowić następujące limity: - środków wydawanych w okresie dobowym i miesięcznym na gry liczbowe oraz loterie pieniężne urządzane przez Spółkę przez sieć Internet, - limit czasu spędzanego w okresie dobowym oraz miesięcznym na grze w gry liczbowe oraz loterie pieniężne, urządzane przez Spółkę przez sieć Internet; zakres informacji (danych osobowych) pozyskiwany podczas rejestracji jest zatem nieodłącznie powiązany z identyfikacją gracza oraz uczestnictwem w grze hazardowej; procesu rejestracji nie można rozpatrywać w oderwaniu od kontekstu czynności, do których zmierza rejestracja, - Portal nie oferuje osobom, które dokonały rejestracji i założyły konto, żadnych innych usług niż polegających na możliwości wzięcia udziału w grze; tym trudniej uznać, że podjęcie decyzji o przejściu skomplikowanego procesu rejestracji na Portalu - dedykowanym do organizacji gier - miałoby służyć komuś jakimkolwiek innym celom niż czynnościom, zmierzającym do podjęcia udziału w grach, - sposób archiwizacji danych, w tym wymagania dotyczące urządzeń archiwizujących oraz ich oprogramowania - przy uwzględnieniu potrzeby zapewnienia bezpieczeństwa, integralności i kompletności przechowywanych i udostępnianych danych oraz możliwości ich uzyskiwania z podziałem na gry hazardowe, prowadzone na różnych stronach internetowych i w ramach poszczególnych zezwoleń - a także zakres danych, które podmiot, urządzający gry hazardowe przez sieć Internet, jest obowiązany archiwizować, uwzględniając konieczność zapewnienia prawidłowej kontroli i zapobiegania oszustwom oraz zapewnienia weryfikacji przestrzegania przez ten podmiot przepisów regulujących ten rodzaj działalności, określono w przepisach rozporządzenia o archiwizacji; jego § 6 wymienia rodzaje, podlegających archiwizacji danych osobowych w odniesieniu do gier hazardowych innych niż zakłady wzajemne: - pozwalające na ustalenie przebiegu i wyniku gier hazardowych (pkt 1), - pozwalające na ustalenie przeprowadzonych transakcji związanych z grą, dotyczące przepływów finansowych, wynikających z działań wykonanych przez uczestnika gry w ramach poszczególnych gier (pkt 2), - niezbędne do identyfikacji uczestnika gry (pkt 3) - związane z funkcjonowaniem urządzeń archiwizujących oraz ich oprogramowania (pkt 3); dane niezbędne do identyfikacji uczestnika gry obejmują: - imię (imiona) i nazwisko, - adres zamieszkania oraz adres poczty elektronicznej, - identyfikator pozwalający na dostęp do konta gry (login), - pseudonim - nazwę uczestnika gry, jeżeli jest inna niż login, - dane teleinformatyczne o połączeniu uczestnika gry ze stroną podmiotu urządzającego gry hazardowe, - profile uczestników gry aktywowane w chwili założenia konta gry i zawierające historię gier danego uczestnika i ich przebieg; katalog ten wyraźnie wskazuje, że zakres danych pozyskiwanych na tej podstawie przez Spółkę ma zastosowanie do gracza już od momentu rejestracji na Portalu - w szczególności w zakresie profili uczestników gry aktywowanych w chwili założenia konta gry; potwierdza to, że "uczestnikiem gry" – graczem - staje się dany użytkownik już z momentem rejestracji i założenia konta - bez względu na status danego konta i faktyczne wzięcie czynnego udziału w jakiejkolwiek grze, - w § 3 ust. 3 pkt 1 rozporządzenia o archiwizacji przewidziano dodatkowo wymóg, aby urządzenie archiwizacyjne oraz jego oprogramowanie zapewniały ciągłą, niemodyfikowalną i jednoznacznie identyfikującą każde zdarzenie niepowtarzalną numerację dla każdego typu archiwizowanych zdarzeń, w szczególności założenia konta; przepisy rozporządzenia o archiwizacji wyraźnie wyodrębniają zatem założenie konta, jako samodzielne zdarzenie i odrębny typ podlegającego archiwizacji zdarzenia - bez względu na późniejsze działania gracza, - słusznie wskazano w uzasadnieniu skarżonego aktu, że przepisów rozporządzenia o archiwizacji nie można rozpatrywać w oderwaniu od całości, jak również ustawy o grach; w tym miejscu sformułowano jednak błędną konkluzję - bezpodstawnie rozróżniono zarejestrowanego użytkownika oraz uczestnika gry; wniosek płynący z interpretacji przywołanych przepisów rozporządzenia o archiwizacji - w kontekście całości przepisów dotyczących gier hazardowych - jest bowiem skrajnie odmienny; utworzenie konta jest zdarzeniem podlegającym samodzielnej archiwizacji, - zgodnie z art. 15 ust. 7 ustawy o grach, dane, o których mowa w ust. 3 - podlegające archiwizacji - związane z urządzaną grą hazardową w tym wymieniane między podmiotem urządzającym gry hazardowe przez sieć Internet a uczestnikiem gier hazardowych, pozwalające na ustalenie przebiegu i wyniku gier hazardowych oraz przeprowadzanych transakcji wynikających z tych gier oraz dane niezbędne do identyfikacji uczestnika gier hazardowych - są jednocześnie przechowywane przez 5 lat - licząc końca roku kalendarzowego, w którym dokonano ich archiwizacji; przepisy identyfikują zatem moment rozpoczęcia biegu terminu przechowywania danych od momentu archiwizacji (która z kolei rozpoczyna się już w momencie założenia konta), a nie od momentu rozpoczęcia udziału w grze hazardowej i nie rozróżniają zakresu i terminu archiwizacji od okoliczności, czy uczestnik gier hazardowych usunął swoje konto, czy nie, - dalej sformułowano argumentację, która - zdaniem Spółki - przemawiała za obowiązkiem przetwarzania danych osobowych Wnioskodawcy, wobec regulacji ustawy o praniu pieniędzy, - reasumując stwierdzono, że organ nieprawidłowo wyłożył przepisy ustawy o grach, rozporządzenia o archiwizacji oraz ustawy o przeciwdziałaniu praniu pieniędzy; w rezultacie błędnie skonkludował, że cel przetwarzania danych identyfikujących Wnioskodawcę, jako uczestnika gry hazardowej, ustał wraz z dniem otrzymania przez Spółkę żądania usunięcia przetwarzania danych; przywołane wcześniej przepisy stanowią natomiast źródło ciążących na Spółce, jako administratorze, obowiązków prawnych a dalsze przetwarzanie danych osobowych Wnioskodawcy jest niezbędne do ich wypełnienia; Spółka pozostaje zatem uprawniona do przetwarzania danych Wnioskodawcy, wobec art. 6 ust. 1 lit. c RODO; w tym stanie rzeczy błędnie uznano, że doszło do naruszenia przepisów danego aktu i zastosowano jego art. 58 ust. 2 lit. c - mimo braku podstaw do takiego działania. Wniesiono o uchylenie zaskarżonej decyzji oraz zasądzenie zwrotu kosztów postępowania sądowego (oczywistą pomyłkę stanowiło użycie określenia "administracyjnego"). W odpowiedzi na skargę organ administracji wniósł o jej oddalenie, podtrzymując dotychczasową argumentację. W trakcie rozprawy (k. 107) pełnomocnik Spółki wywodził, że organ administracji - definiując pojęcie gracza - posługuje się historycznym znaczeniem tego słowa. Nie uwzględnia zaś zmian uwarunkowań, wynikających z prowadzenia systemu gry online. W jego ramach, graczem nie można zostać poprzez dokonanie operacji, związanej z samą grą - jak to było uprzednio - lecz trzeba się zarejestrować, podając szczegółowe dane. Rejestracja służy wyłącznie wzięciu udziału w grze hazardowej. W witrynie tej brak jest jakichkolwiek innych usług np. obserwatora. Samo nawiązanie relacji gospodarczych z podmiotem - przez rejestrację - nakłada na Spółkę obowiązek rejestracji danych, w ramach przepisów dotyczących przeciwdziałaniu praniu brudnych pieniędzy - niezależnie od przyszłych kwot transakcji. Sąd zważył, co następuje. Skarga zasługuje na uwzględnienie, choć nie wszystkie zawarte w niej zarzuty są trafne. Zasadne są te, dotyczące naruszenie przepisów prawa materialnego, zakreślających granice obowiązku przechowywania przez organizatora gier hazardowych online danych osobowych dotyczących osób, rejestrujących się, jako uczestnicy gry (Spółka zamiennie używa tu określenia "gracz"). Na wstępie wypada wskazać, że bezsporne są okoliczności faktyczne danej sprawy - przetwarzanie przez Spółkę danych osobowych Wnioskodawcy, który zarejestrował się, jako uczestnik gry, lecz nie brał udziału w żadnej rozgrywce a następnie żądał usunięcia jego danych osobowych (wobec wcześniejszego zreferowania za organem administracji, jego ponowne opisywanie byłoby bezzasadne). Chybiony jest przez to zarzut skargi, naruszenia przepisów postępowania, w zakresie obowiązku właściwego wyjaśnienia okoliczności faktycznych sprawy, co nie obejmuje kwestii nieprawidłowego rozumienia treści regulacji normatywnych. W istocie spór pomiędzy stronami sprowadza się do tego, czy Spółka - w myśl obowiązujących przepisów - była obowiązana do dalszego przetwarzania danych osobowych Wnioskodawcy, pozyskanych na etapie rejestracji, bądź też był on uprawniony do skorzystania z tzw. "prawa bycia zapomnianym" – z uwzględnieniem ram art. 17 RODO. W istocie jest bezsporne, że w myśl obowiązujących regulacji - powołanych zarówno w zaskarżonym orzeczenie jak i w skardze (wobec wcześniejszego zreferowania ich ponowne przywoływanie byłoby bezzasadne) - gdyby istniała podstawa przetwarzania danych osobowych Wnioskodawcy - organ administracji nie byłby uprawniony do orzekania o nakazie ich usunięcia przez Spółkę. W rozpoznawanej sprawie - wbrew stanowisku organu administracji - istniała podstawa przetwarzania danych osobowych Wnioskodawcy, którego Spółka zasadnie określa mianem "uczestnika gry" (gracza), w rozumieniu ustawy o grach. Mianowicie - w myśl § 3 ust. 3 pkt 1 rozporządzenia o archiwizacji, stanowiącego akt wykonawczy do danej ustawy - archiwizacji, z uwzględnieniem numeru kolejności operacji, podlegają także dane o samym założeniu konta na portalu – tak sformułowanie: "urządzenie archiwizujące oraz jego oprogramowanie w szczególności: 1) zapewniają ciągłą, niemodyfikowalną i jednoznacznie identyfikującą każde zdarzenie niepowtarzalną numerację dla każdego typu archiwizowanych zdarzeń, w szczególności założenia konta, [...]". Wbrew stanowisku organu, niepodobna uznać, aby - wobec tak jednoznacznej treści wypowiedzi prawodawcy – jego wolą był zapis i chronologiczna archiwizacja (w tym z użyciem ciągłej numeracji) wyłącznie zdarzeń rejestracji, dotyczących osób, które wpierw zarejestrowały się a następnie dokonały operacji - w ramach konkretnej rozgrywki. Z treści wskazanego zapisu nie sposób też domniemywać takiej intencji. Przepisy aktu wykonawczego - wiążące Spółkę, co do zakresu obowiązków archiwizacji danych uczestników gier hazardowych przez sieć Internet, w rozumieniu art. 15d ust. 3 i 7 ustawy o grach - są więc danym zakresie jednoznaczne. Nie mogą być przez obowiązany podmiot interpretowane dowolnie, np. dla zapewnienia domniemanej zgodności z treścią aktu wyższego rzędu. Uprawnienia takie nie przysługują także wyspecjalizowanemu organowi administracji - nawet, gdyby dostrzegł w istocie oczywistą niezgodność aktu wykonawczego z ustawą. Kompetencje do oceny w danym zakresie przysługują bowiem - w świetle reguł Konstytucji Rzeczypospolitej Polskiej z dnia 2 kwietnia 1997 r. (Dz. U. Nr 78, poz. 483 ze zm.) - wyłącznie Trybunałowi Konstytucyjnemu (tak jej art. 188 pkt 3). W doktrynie i judykaturze, wskazuje się wprawdzie na możliwość wykładnia regulacji, dla zapewnienia zgodności ich treści z aktami wyższego rzędu. Może być to jednak czynione wyłącznie, gdy proste rozumienie tekstu nastręcza wątpliwości. Przypadek taki nie występuje w rozpoznawanej sprawie. Mylne są przy tym wywody organu, jakoby wynikający z rozporządzenia o archiwizacji zakres obowiązków archiwizacji danych osobowych - gdy dotyczy to osób, które jeszcze nie podjęły gry - pozostawał w oczywistej sprzeczności z treścią ustawy o grach, gdzie ustanowiono obowiązek archiwizowania danych o "uczestnikach" gier hazardowych przez sieć Internet. Wskazana ustawa nie zawiera legalnej definicji danego pojęcia, zaś - na co trafnie zwrócono uwagę na rozprawie - na gruncie zmian technologicznych, technicznych i organizacyjnych, wobec oferowania gier hazardowych online - nie sposób wykluczyć, aby ustawodawca - posługując się w ustawie o grach pojęciem uczestnika gry przez sieć Internet, nie miał na uwadze także osób, które wyłącznie zrealizowały procedurę rejestracji, skoro jej elementem jest m.in. weryfikacja danych - np. o wieku graczy (tak art. 15i ust. 1 pkt 2 i 3). W tym kontekście nie sposób a priori zakładać, aby przechowywanie danych, dotyczących samej rejestracji - prawidłowości organizacji procesu w pojedynczych przypadkach - nie było także wolą prawodawcy, uwzględniając też powołane przez Spółkę uwarunkowania przyjęcia Noweli. W danym zakresie przekonywująca jest argumentacja Spółki sformułowana zarówno w skardze, jak i w trakcie rozprawy. Wobec uprzedniego szerokiego przywołania, powtarzanie jej byłoby bezzasadne. Wypada dodatkowo zauważyć, że system archiwizacji danych o uczestnikach gry przez sieć Internet, rozumianych jako osoby spełniające formalne warunki jej rozpoczęcia (dokonanie rejestracji – utworzenie konta), jest spójny z wyrażoną wprost na szczeblu ustawy o grach zasadą archiwizacji rejestru gości w stacjonarnych ośrodkach gry, gdzie bez znaczenia jest czy wchodząca do obiektu osoba w istocie weźmie udział w rozgrywkach (tak art. 15 ust. 1 i 6). Wobec wskazanych uwarunkowań - nawet gdyby wedle koncepcje organu, było dopuszczalne wykładnie przezeń aktu wykonawczego, wbrew jego brzmieniu, dla zapewnienia zgodności z ustawą - merytorycznie nie zachodziły przesłanki takiego sposobu odkodowania znaczenia stosownych norm prawnych rozporządzenia o archiwizacji. Reasumując, organ mylnie wywiódł, jakoby nie było podstaw prawnych dla dalszego przetwarzania przez Spółkę danych osobowych Wnioskodawcy, w myśl stosownych regulacji RODO - wobec treści art. 15d ust. 3 ustawy o grach, przy uwzględnieniu regulacji szczególnej § 3 ust. 3 pkt 1 rozporządzenia o archiwizacji. Naruszenie przepisów prawa materialnego, przez błędną wykładnię stosownych regulacji, miało istotny na wpływ na wynik sprawy. Nie było bowiem przesłanek dla nałożenia na Spółkę obowiązku usunięcia danych osobowych Wnioskodawcy na podstawie art. 58 ust. 2 lit. c RODO. Wobec wskazanych uwarunkowań prawnych, bez znaczenia jest sporna kwestia, czy w istocie obowiązek dalszego przetwarzania danych Wnioskodawcy przez Spółkę wynika również z ustawy o przeciwdziałaniu praniu pieniędzy. Nie jest istotne dla wyniku sprawy także to, czy Spółka - w toku postępowania, bądź przed jego wszczęciem - przywoływała w istocie - jako podstawę nie uwzględnienia "wniosku o bycie zapomnianym" - konkretną jednostka redakcyjna - art. 17 ust. 3 lit. b RODO. Niezależnie, czy tak było, wyspecjalizowany organ administracji obowiązany był oceniać zasadność żądań Wnioskodawcy z uwzględnieniem brzmienia wszystkich regulacji. W ocenie Sądu – wbrew wywodom skargi - tak zresztą było w kontekście brzmienia art. 17 RODO. Powoływane w skardze stwierdzenie, zawarte w uzasadnieniu zaskarżonego aktu - co do nie przywołania przez Spółkę przesłanek wyłączających, wskazanych w art. 17 ust. 3 RODO - było wyłącznie wypowiedzią skrótową - służyło potwierdzeniu braku takowych, wykraczających poza wskazaną pod lit. b, co, do której organ wypowiedział się wprost. Uznał mianowicie, że nie występuje, gdyż mylnie przyjął jakoby obowiązek przetwarzania danych osobowych Wnioskodawcy nie wynikają z przepisów dotyczących organizacji gier hazardowych online. Z przytoczonych wyżej przyczyn, na podstawie art. 145 §. 1 pkt 1 lit. a ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (Dz.U. z 2019 r., poz. 2325 ze zm.), orzeczono jak w pkt 1 sentencji. O zwrocie kosztów postępowania Sąd orzekł jak w pkt 2 sentencji. W myśl art. 200 w zw. z art. 205 § 2 powyższej ustawy oraz § 14 ust. 1 pkt 1 lit. c rozporządzenia Ministra Sprawiedliwości z dnia 22 października 2015 r. w sprawie opłat za czynności radców prawnych (Dz. U. z 2018 r., poz. 265 ze zm.) do kosztów na rzecz Wnioskodawcy zaliczono wynagrodzenie jego pełnomocnika w kwocie 480 zł, wpis sądowy od skargi w kwocie 200 zł oraz 17 zł tytułem opłaty skarbowej od pełnomocnictwa. Rozpatrując ponownie sprawę organ administracji uwzględni ocenę prawną, sformułowaną w niniejszym uzasadnieniu. ----------------------- 7