II SA/Wa 3310/21

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Danuta Kania (spr.), Sędzia WSA Karolina Kisielewicz, Sędzia WSA Joanna Kube, po rozpoznaniu w trybie uproszczonym w dniu 27 kwietnia 2022 r. sprawy ze skargi S. J. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] lipca 2021 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę Decyzją z dnia [...] lipca 2021 r. nr [...] Prezes Urzędu Ochrony Danych Osobowych (dalej: "Prezes UODO", "organ"), działając na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2021 r., poz. 735 ze zm.), dalej: "k.p.a.", oraz art. 6 ust. 1 lit. f, art. 58 ust. 2 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z dnia 4 maja 2016, s. 1 oraz Dz. Urz. UE L 127 z dnia 23 maja 2018, s. 2), dalej: "ogólne rozporządzenie o ochronie danych", odmówił uwzględnienia wniosku S. J., prowadzącego działalność gospodarczą pod firmą [...] w [...] (dalej: "skarżący"), na nieprawidłowości w przetwarzaniu jego danych osobowych przez [...] Sp. z o.o. z siedzibą w [...] (dalej: "Spółka"), polegające na przetwarzaniu jego danych osobowych w celach marketingowych bez podstawy prawnej. W uzasadnieniu powyższej decyzji organ wskazał, że w dniu [...] grudnia 2019 r. do Urzędu Ochrony Danych Osobowych wpłynęła skarga S. J., prowadzącego działalność gospodarczą pod firmą [...], na nieprawidłowości w przetwarzaniu jego danych osobowych przez [...] Sp. z o.o. z siedzibą w [...], polegające na bezprawnym przetwarzaniu jego danych osobowych w celach marketingowych bez podstawy prawnej. Organ ustalił, że Spółka pozyskała dane osobowe skarżącego w zakresie wynikającym z prowadzonej przez niego działalności gospodarczej (imię, nazwisko, adres, nazwa firmy, numer telefonu) w 2017 r. ze źródeł ogólnodostępnych, tj. z należącej do niego strony internetowej, w celu przedstawienia oferty marketingowej. W toku postępowania Spółka wskazała: "W roku 2017 nasi pracownicy wykonali telefon do pana J.. Podczas rozmowy poprosił on o usunięcie jego danych z naszych baz, co też niezwłocznie zostało uczynione. Niestety system komputerowy, z którego wówczas korzystaliśmy umożliwiał trwałe skasowanie danych, ale nie jednoczesne ich zablokowanie. Oznacza to, że po roku 2017 danych pana J. nie posiadaliśmy, ale istniała teoretyczna możliwość, że kiedyś się pojawią, zostaną wprowadzone ponownie. Istniała taka techniczna możliwość". W listopadzie 2019 r. Spółka ponownie pozyskała numer telefonu skarżącego ze źródeł ogólnodostępnych, tj. z należącej do niego strony internetowej, w zakresie danych wynikających z prowadzonej przez niego działalności gospodarczej. Spółka prowadzi doradztwo biznesowe w zakresie możliwości pozyskiwania środków unijnych. Połączenie telefoniczne na wskazany na stronie internetowej skarżącego numer telefonu Spółka wykonała w celu - jak określiła - spełnienia obowiązku informacyjnego i nawiązania współpracy. W trakcie rozmowy telefonicznej skarżący zażądał usunięcia jego danych osobowych, co też Spółka niezwłocznie uczyniła. Spółka oświadczyła, że jej zdaniem strona internetowa skarżącego "zachęca do współpracy", co wynika z treści rodzaju: "znajdź nas" i podania przy tym numeru telefonu kontaktowego. Od listopada 2019 r. Spółka nie przetwarza danych osobowych skarżącego. Uwzględniając powyższe Prezes UODO stwierdził, że przedmiotowa sprawa dotyczy danych osobowych z zakresu tzw. "danych zwykłych", których przetwarzanie uregulowane jest w art. 6 ust. 1 ogólnego rozporządzenia o ochronie danych. Przepis ten stanowi, że przetwarzanie danych osobowych jest dopuszczalne tylko wtedy, gdy spełniona jest jedna z określonych w nim przesłanek legalizujących proces przetwarzania danych. Oznacza to, że przesłanki te co do zasady są równoprawne, a wobec tego spełnienie co najmniej jednej z nich stanowi o zgodnym z prawem przetwarzaniu danych osobowych. W myśl art. 6 ust. 1 lit. f ww. rozporządzenia przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy - i w takim zakresie, w jakim - jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych. Dalej organ wskazał, iż w listopadzie 2019 r. Spółka pozyskała numer telefonu skarżącego ze źródeł ogólnodostępnych, tj. z należącej do niego strony internetowej w zakresie danych, wynikających z prowadzonej przez niego działalności gospodarczej. Spółka prowadzi doradztwo biznesowe w zakresie możliwości pozyskiwania środków unijnych. Połączenie telefoniczne na wskazany na stronie internetowej skarżącego numer telefonu Spółka wykonała w celu nawiązania z nim współpracy biznesowej stosownie do treści zachęcających ku temu na jego stronie internetowej. W ocenie organu, za realizowany przez Spółkę - jako administratora - prawnie uzasadniony interes, o którym mowa w art. 6 ust. 1 lit. ogólnego rozporządzenia o ochronie danych, należy uznać prowadzenie działalności marketingowej. Potwierdza to również motyw 47 preambuły ww. rozporządzenia, który wskazuje, że za działanie wykonywane w prawnie uzasadnionym interesie można uznać przetwarzanie danych osobowych do celów marketingu bezpośredniego. Brak jest zatem podstaw do przyjęcia, że realizacja ww. prawnie uzasadnionego interesu Spółki, polegającego na wykonaniu połączenia telefonicznego w celu przedstawienia propozycji współpracy, musiała ustąpić wobec nadrzędnych w stosunku do niej interesów lub podstawowych praw i wolności skarżącego, w tym wymagających ochrony danych osobowych. Przetwarzane w kwestionowany przez skarżącego sposób dane osobowe, są bowiem danymi związanymi z prowadzoną przez niego działalnością gospodarczą i w związku z tym są przez niego udostępniane, do kontaktu. Wprawdzie Spółki i skarżącego w chwili wykonania do niego połączenia nie łączyły żadne relacje biznesowe, jednak wobec tak sformułowanej na jego stronie internetowej zachęty nie mógł on przyjmować, że ofert marketingowych drogą elektroniczną nie będzie otrzymywał. Spółka wykazała przy tym, że jej intencją było w pierwszej kolejności wypełnienie obowiązku informacyjnego, o którym mowa w art. 14 ogólnego rozporządzenia o ochronie danych. Uznać należy, że w przedmiotowych okolicznościach przetwarzanie przez Spółkę jawnych danych osobowych, dotyczących działalności gospodarczej i widniejących na należącej do skarżącego stronie internetowej jako jego dane kontaktowe, znajduje oparcie w przytoczonym art. 6 ust. 1 lit. f ww. rozporządzenia. Zatem ich pozyskanie i przetwarzanie, w ocenie organu, było zgodne z prawem. Organ wskazał również, że w trakcie rozmowy telefonicznej skarżący zażądał usunięcia jego danych osobowych, co też Spółka niezwłocznie uczyniła, w związku z czym od listopada 2019 r. nie przetwarza ww. danych. Podsumowując organ stwierdził, że pozyskanie i przetwarzanie przez Spółkę dostępnych na stronie internetowej danych osobowych skarżącego miało oparcie w powołanym art. 6 ust. 1 lit. f ogólnego rozporządzenia o ochronie danych. W ocenie organu nie ma podstaw, aby stwierdzić, że doszło w tym zakresie do naruszenia przepisów dotyczących ochrony danych osobowych. Nie ma także podstaw do zastosowania przepisu art. 58 ust. 2 ww. rozporządzenia stanowiącego o uprawnieniach naprawczych organu, a zatem rozstrzygnięcie o odmowie uwzględnienia wniosku skarżącego jest uzasadnione. Pismem z dnia 16 sierpnia 2021 r. S. J. wniósł do Wojewódzkiego Sądu Administracyjnego w Warszawie skargę na powyższą decyzję Prezesa UODO z dnia [...] lipca 2021 r. zarzucając naruszenie: - art. 21 ust. 3 ogólnego rozporządzenia o ochronie danych poprzez jego niezastosowanie pomimo, iż w postępowaniu ujawniono, iż administrator danych przetwarzał dane osobowe skarżącego pomimo wniesionego uprzednio sprzeciwu - co administrator wprost przyznał w postępowaniu, a tym samym objęty był dyspozycją ww. przepisu zakazującą jakiegokolwiek przetwarzania danych skarżącego w zakresie marketingu bezpośredniego, - art. 4 ust. 2 ww. rozporządzenia poprzez błędną wykładnię i niezastosowanie zasady rozliczalności, a to przez arbitralne przyjęcie, iż administrator danych spełnił obowiązki informacyjne wobec skarżącego, pomimo nieprzedstawienia przez administratora na tę okoliczność jakiegokolwiek dowodu poza twierdzeniem, - art. 12 ust. 3 ww. rozporządzenia poprzez pominięcie w rozpoznawanej sprawie oceny obowiązków administratora danych do podjęcia działań w wyniku wniesionego przez skarżącego sprzeciwu na przetwarzanie jego danych osobowych na podstawie art. 21 rozporządzenia, - art. 6 ww. rozporządzenia poprzez wadliwe przyjęcie, iż zachodzą podstawy uprawniające administratora danych do przetwarzania danych osobowych skarżącego, pomimo uprzedniego wniesienia przez skarżącego sprzeciwu wobec przetwarzania jego danych do celów marketingu bezpośredniego, - art. 73 k.p.a. w zw. z art. 10 k.p.a. poprzez uniemożliwienie stronie dostępu do akt postępowania wobec nierozpoznania wniosku strony z dnia [...] września 2020 r. zgłoszonego w toku postępowania celem zapoznania się z aktami sprawy, pomimo zapadłego już w dniu 16 czerwca 2021 r. wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie o sygn. II SA/Wa 2403/20, uchylającego postanowienie organu odmawiające dostępu do akt w sposób wybrany przez skarżącego, - art. 10 k.p.a. poprzez pozorne umożliwienie stronie zapoznania się z aktami postępowania pomimo, iż organ w okresie wyznaczonym skarżącemu nie dysponował faktycznie aktami administracyjnymi w okresie od zawiadomienia go o możliwości zapoznania się z aktami aż do chwili złożenia niniejszej skargi (również w dniu wydawania zaskarżonej decyzji). W związku z powyższymi zarzutami skarżący wniósł o uwzględnienie skargi i zwrócenie organowi postępowania do prawidłowego rozpoznania. W motywach skargi skarżący podniósł, że w dniu [...] września 2020 r. złożył wniosek o dostęp do akt postępowania. Postanowieniem z dnia [...] października 2020 r. Prezes UODO odmówił uwzględnienia wniosku. Wyrokiem z dnia 16 czerwca 2021 r. sygn. akt II SA/Wa 2403/20 Wojewódzki Sąd Administracyjny w Warszawie uchylił ww. postanowienie. Tuż po wydaniu ww. wyroku Sądu organ, zamiast rozpoznać ww. wniosek, w dniu [...] czerwca 2021 r. wystosował pospiesznie do skarżącego zawiadomienie o możliwości końcowego zapoznania się z aktami sprawy w terminie 7 dni od dnia otrzymania pisma. Zdaniem skarżącego, realizacja przedmiotowego uprawnienia w wyznaczonym terminie we wskazany przez organ sposób (tj. w siedzibie organu) nie była możliwa, bowiem akta administracyjne postępowania nadal znajdowały się w Sądzie i nie zostały zwrócone do organu w ww. terminie. Wskazuje to na pozorny charakter działania organu. Skarżący wskazał również, że w dacie wydania zaskarżonej decyzji wniosek skarżącego o dostęp do akt postępowania nie został rozpoznany. Stwierdził, że wydanie decyzji odmownej jest wyłącznie negatywną reakcją organu na skuteczne zaskarżenie postanowienia w sprawie dostępu do akt postępowania. Skarżący zarzucił, iż organ nie odniósł się do kwestii zaniechania spełnienia obowiązku informacyjnego przez Spółkę. Spółka nie wykazała, aby spełniła obowiązek informacyjny wobec skarżącego, nie przedstawiła na tę okoliczność żadnego dowodu. Organ natomiast przyjął arbitralnie prawdziwość twierdzeń podmiotu przetwarzającego, pomimo braku na tą okoliczność jakichkolwiek dowodów. Skarżący podniósł nadto, iż wbrew dyspozycji art. 21 ogólnego rozporządzenia o ochronie danych organ błędnie przyjął, że Spółka mogła dalej przetwarzać dane skarżącego pomimo wniesionego uprzednio sprzeciwu. Organ uznał bowiem, że zachowanie Spółki jest uzasadnione w świetle złożonych wyjaśnień, iż system wykorzystywany przez Spółkę nie był w stanie trwale blokować danych osób, które wniosły sprzeciw. Przyjęcie takiej interpretacji prowadziłoby wprost do zaprzeczenia uprawnienia strony do skutecznego złożenia sprzeciwu. Skarżący wskazał, iż jego dane były bezspornie wykorzystywane w celu marketingu bezpośredniego, przy czym prawo do sprzeciwu wobec przetwarzania danych osobowych do celów marketingu bezpośredniego, w tym związanego z nim profilowania, jest bezwzględnie skuteczne, tj. w każdym przypadku administrator musi uczynić mu zadość. Tym samym ponowne przetwarzanie danych skarżącego było bezpodstawne i nie mogło znajdować uzasadnienia w żadnej z podstaw przetwarzania danych osobowych ujętych w art. 6 ogólnego rozporządzenia o ochronie danych. Skarżący podkreślił, że każdorazowo podmiot danych osobowych winien respektować już pierwszy z wniesionych sprzeciwów skarżącego, niezależnie od swoich możliwości technicznych, bowiem to do podmiotu przetwarzającego należy odpowiednie zorganizowanie procesu przetwarzania danych. Już ta okoliczność, zdaniem skarżącego, stanowi podstawę do przyjęcia, iż Spółka dopuściła się naruszenia w procesie przetwarzania danych osobowych skarżącego, przetwarzając jego dane bez podstawy prawnej. Skarżący podniósł również, że organ nie poczynił żadnych ustaleń w zakresie zaniechania przez administratora danych obowiązków wynikających z art. 12 ogólnego rozporządzenia o ochronie danych, zobowiązujących administratora do poinformowania podmiotu danych o podjętych działaniach w wyniku żądań wynikających z art. 15 - 22 ww. rozporządzenia - w przedmiotowej sprawie ze złożonego przez skarżącego sprzeciwu na podstawie art. 21 ww. rozporządzenia. Ponadto organ nie rozpoznał wniosku skarżącego, złożonego w piśmie z dnia [...] grudnia 2019 r., o wydanie na czas niniejszego postępowania postanowienia ograniczającego przetwarzanie jego danych osobowych przez Spółkę. W odpowiedzi na skargę Prezes UODO wniósł o oddalenie skargi podtrzymując stanowisko jak w zaskarżonej decyzji. Dodatkowo wskazał, że postępowanie prowadzone w niniejszej sprawie wykazało, iż pierwotnie do procesu pozyskania i przetwarzania danych osobowych skarżącego doszło pod reżimem ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r., poz. 922). Skarżący skierował zaś skargę do Prezesa UODO w dniu [...] grudnia 2019r. i dotyczyła ona innego, nowego procesu przetwarzania rozpoczętego od pozyskania danych osobowych skarżącego w listopadzie 2019 r. Przepis art. 99 ust. 1 ogólnego rozporządzenia o ochronie danych wprost wskazuje, że rozporządzenie to ma zastosowanie od dnia 25 maja 2018 r. W związku z tym, przepisy rozporządzenia mają zastosowanie wyłącznie w sprawach, w których skargę wniesiono od dnia 25 maja 2018 r. i w tej dacie kwestionowany proces przetwarzania danych osobowych trwał. Z uwagi na fakt, iż kwestionowane działanie, tj. pierwotne pozyskanie i przetwarzanie danych osobowych skarżącego miało miejsce przed dniem 25 maja 2018 r. i przed tą datą zostało zakończone, a postępowanie administracyjne w niniejszej sprawie zostało zainicjowane po dniu 25 maja 2018 r., dla sprawy nie ma znaczenia wniesienie przez skarżącego sprzeciwu wobec istniejącego uprzednio (w czasie obowiązywania u.o.d.o. z 1997 r.). Do rozstrzygnięcia przedmiotowej sprawy w zakresie procesu pozyskania i przetwarzania danych, a także wniesionego przez skarżącego (nowego - złożonego w listopadzie 2019 r.) sprzeciwu mają zastosowanie jedynie przepisy ww. rozporządzenia. W związku z powyższym organ nie oceniał prawidłowości powołania się Spółki na brak możliwości technicznych wobec odnotowania sprzeciwu podmiotu, bowiem ograniczył zakres przedmiotowy postępowania jedynie do kwestionowanego procesu pozyskania i przetwarzania danych skarżącego (w tym złożenia przez niego sprzeciwu) w czasie obowiązywania przepisów ogólnego rozporządzenia o ochronie danych. W tym zakresie organ nie stwierdził nieprawidłowości. Spółka uwzględniła bowiem sprzeciw skarżącego w oparciu o art. 21 ust. 2 ww. rozporządzenia i usunęła jego dane zgodnie z art. 21 ust. 3 rozporządzenia. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje. Zgodnie z art. 1 § 1 i § 2 ustawy z dnia 25 lipca 2002 r. - Prawo o ustroju sądów administracyjnych (Dz. U. z 2019 r., poz. 2167) oraz art. 3 § 1 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2022 r., poz. 329), dalej: "p.p.s.a.", sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej. Kontrola ta polega na ocenie zgodności zaskarżonego aktu z przepisami postępowania administracyjnego, a także prawidłowości zastosowania i wykładni norm prawa materialnego. Kontrola ta jest dokonywana według stanu faktycznego i prawnego obowiązującego w dacie wydania zaskarżonego aktu. W myśl art. 134 § 1 i 2 p.p.s.a. sąd rozstrzyga w granicach danej sprawy nie będąc związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną, z zastrzeżeniem art. 57a, przy czym sąd nie może wydać orzeczenia na niekorzyść skarżącego, chyba że stwierdzi naruszenie prawa skutkujące stwierdzeniem nieważności zaskarżonego aktu lub czynności. Skarga oceniana w świetle powyższych kryteriów nie zasługuje na uwzględnienie, bowiem zaskarżone postanowienie nie narusza prawa. W pierwszej kolejności wskazać należy, iż od dnia 25 maja 2018 r. w polskim porządku prawnym obowiązuje ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781), dalej: "u.o.d.o.", oraz ogólne rozporządzenie o ochronie danych 2016/679, które stosuje się bezpośrednio. Zgodnie z art. 4 pkt 1 ww. rozporządzenia dane osobowe oznaczają informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej ("osobie, której dane dotyczą"). Możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora takiego jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej. Natomiast przetwarzanie danych osobowych, w myśl art. 4 pkt 2 ww. rozporządzenia, oznacza operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, taką jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie. Przetwarzanie danych osobowych uważa się za legalne, jeśli ich administrator spełni co najmniej jedną z przesłanek wskazanych w art. 6 ust. 1 ww. rozporządzenia, a mianowicie: a) osoba, której dane dotyczą wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów, b) przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy, c) przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze, d) przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej, e) przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi, f) przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem. Z akt sprawy wynika, że w listopadzie 2019 r. [...] Sp. z o.o. z siedzibą w [...] pozyskała numer telefonu skarżącego – S. J. z należącej do niego, ogólnodostępnej strony internetowej, w zakresie danych wynikających z prowadzonej przez niego działalności gospodarczej i w celu przedstawienia oferty współpracy. Spółka jest firmą doradczą i prowadzi doradztwo biznesowe w zakresie możliwości pozyskiwania środków unijnych (sporządza wnioski dla polskich przedsiębiorców). Realizacja ww. działalności była powodem przetwarzania danych skarżącego. Potwierdzają to zarówno wyjaśnienia Spółki złożone do organu w dniu [...] czerwca 2020 r. jak i załączone do nich wydruki ze stron internetowych wraz z wewnętrzną korespondencją Spółki (k. 16 i nast. akt admin, k. 39 - 40 akt admin.). Wprawdzie, jak trafnie zauważył organ, w chwili wykonania połączenia telefonicznego do skarżącego nie łączyły go ze Spółką żadne relacje gospodarcze czy biznesowe, jednak wobec sformułowanej na jego stronie internetowej "zachęty do kontaktu" skarżący nie mógł wykluczyć, że nie będzie otrzymywać ofert marketingowych drogą elektroniczną. Ponadto, z ww. materiału dowodowego wynika, że w trakcie rozmowy telefonicznej z pracownikiem Spółki skarżący zażądał usunięcia jego danych osobowych. Spółka dokonała niezwłocznie usunięcia ww. danych i od listopada 2019 r. nie przetwarza tychże danych. W świetle powyższego, zdaniem Sądu, organ prawidłowo uznał, że podstawę przetwarzania danych osobowych skarżącego stanowił art. 6 ust. 1 lit. f ogólnego rozporządzenia o ochronie danych, przy czym za realizowany przez Spółkę prawnie uzasadniony interes, o którym mowa w ww. przepisie, należało uznać prowadzenie działalności marketingowej. Prawidłowo również organ powołał się na motyw 47 ww. rozporządzenia, zgodnie z którym "za działanie wykonywane w prawnie uzasadnionym interesie można uznać przetwarzanie danych osobowych dla celów marketingu bezpośredniego". W konsekwencji organ zasadnie uznał, iż pozyskanie i przetwarzanie jawnych danych osobowych skarżącego było zgodne z prawem, a tym samym brak było podstaw do zastosowania przez organ uprawnień naprawczych określonych w art. 58 ust. 2 ww. rozporządzenia. Powyższej oceny, zdaniem Sądu, nie podważają zarzuty skargi. Odnośnie kwestii wypełnienia obowiązku informacyjnego wskazać należy, iż w wyjaśnieniach z dnia [...] czerwca 2020 r. Spółka stwierdziła, że "celem rozmowy w 2019 r. było spełnienie obowiązku informacyjnego, a następnie przedstawienie (...) oferty współpracy". Następnie, w wyjaśnieniach z dnia [...] października 2020 r., Spółka potwierdziła, że w dniu [...] listopada 2019 r. podczas rozmowy telefonicznej spełniła obowiązek podania informacji w przypadku zbierania danych w sposób inny niż od osoby, której dane dotyczą. Informacja ta obejmowała źródło pochodzenia oraz zakres posiadanych danych. Jednocześnie Spółka wyjaśniła, że nie posiada nagrania z rozmowy ze skarżącym, bowiem zostało ono skasowane zgodnie z jego prośbą. W świetle powyższego stwierdzić należy, że organ nie miał podstaw do tego aby kwestionować oświadczenie Spółki co do wypełnienia obowiązku informacyjnego przy pierwszym kontakcie z podmiotem danych, tj. podczas ww. rozmowy telefonicznej ze skarżącym. Wbrew twierdzeniom skargi organ, stosownie do wymogów art. 7, art. 77 § 1 i art. 80 k.p.a., w sposób wyczerpujący zebrał i ocenił zgromadzony w sprawie materiał dowodowy. Ocena ta nie ma charakteru arbitralnego. W aktach sprawy brak jest dowodów, które skutecznie podważałyby poczynione przez organ ustalenia oraz ich ocenę. Brak jest zatem podstaw aby przyjąć, że organ dopuścił się naruszenia zasady rozliczalności określonej w art. 4 ust. 2 ogólnego rozporządzenia o ochronie danych w kontekście oceny spełnienia przez Spółkę obowiązku informacyjnego względem skarżącego. Nie jest również trafny zarzut naruszenia art. 21 ust. 3 ww. rozporządzenia wobec - jak podnosił skarżący - przetwarzania jego danych osobowych do celów marketingu bezpośredniego pomimo wniesionego sprzeciwu. Z ustaleń poczynionych przez organ wynika bowiem, że do pozyskania i przetwarzania danych osobowych skarżącego przez Spółkę oraz do wniesienia przez skarżącego sprzeciwu doszło pierwotnie w 2017 r., kiedy to obowiązywała ustawa z dnia 29 sierpnia 1997 r. o ochronie danych osobowych. Proces ten nie był przedmiotem oceny organu ochrony danych osobowych. Natomiast skarga w niniejszej sprawie została skierowana przez skarżącego do organu w dniu [...] grudnia 2019 r. i dotyczyła odrębnego, nowego procesu przetwarzania danych osobowych skarżącego mającego miejsce w listopadzie 2019 r. pod rządami ogólnego rozporządzenia o ochronie danych, które ma zastosowanie od dnia 25 maja 2018 r. Zatem w zakresie pozyskania i przetwarzania danych skarżącego w listopadzie 2019 r., a także wniesienia przez niego sprzeciwu, miały zastosowanie wyłącznie przepisy ww. rozporządzenia. Natomiast pierwotny proces przetwarzania danych osobowych skarżącego został zakończony przed dniem 25 maja 2018 r., a więc dla rozstrzygnięcia niniejszej sprawy nie ma istotnego znaczenia wniesienie przez skarżącego sprzeciwu wobec mającego miejsce uprzednio (w czasie obowiązywania u.o.d.o. z 1997 r.) procesu przetwarzania danych. W związku z tym, jak wyjaśnił organ w odpowiedzi na skargę, zakres przedmiotowy niniejszego postępowania został ograniczony do procesu pozyskania i przetwarzania danych skarżącego (w tym złożenia przez niego sprzeciwu) w czasie obowiązywania przepisów ogólnego rozporządzenia o ochronie danych. W tym zakresie organ nie stwierdził nieprawidłowości. Uwzględnił bowiem wyjaśnienia Spółki, z których wynika, że wobec wniesienia przez skarżącego sprzeciwu w oparciu o art. 21 ust. 2 ww. rozporządzenia, Spółka niezwłocznie usunęła jego dane , a więc zaprzestała przetwarzania stosownie do art. 21 ust. 3 rozporządzenia. Nieuzasadniony jest wobec tego zarzut skarżącego dotyczący naruszenia art. 13 ust. 3 ww. rozporządzenia poprzez pominięcie w sprawie oceny obowiązków administratora danych do podjęcia działań w wyniku wniesionego przez skarżącego sprzeciwu. Organ ustalił bowiem w oparciu o wyjaśnienia Spółki, że wobec wniesienia przez skarżącego sprzeciwu, Spółka trwale zaprzestała przetwarzania jego danych osobowych. Sądowi z urzędu znana jest okoliczność, że prawomocnym postanowieniem z dnia 16 czerwca 2021 r. sygn. akt II SA/Wa 2403/20 Wojewódzki Sąd Administracyjny w Warszawie uchylił postanowienie Prezesa UODO z dnia [...] października 2020 r. nr [...] odmawiające uwzględnienia wniosku skarżącego z dnia [...] września 2020 r. o udostępnienie kopii stanowiska Spółki z dnia [...] czerwca 2020 r. Z akt sprawy wynika, że do dnia wydania zaskarżonej decyzji organ nie rozpoznał ww. wniosku skarżącego, jednakże okoliczność ta nie mogła mieć istotnego wpływu na wynik niniejszej sprawy. Organ bowiem prawidłowo uznał w zaskarżonej decyzji, że przetwarzanie danych osobowych skarżącego znajdowało oparcie w art. 6 ust. 1 lit. f ogólnego rozporządzenia o ochronie danych, a Sąd stanowisko to zaakceptował. Odnośnie argumentacji skarżącego, iż organ "pozornie" umożliwił skarżącemu zapoznanie się z zebranym materiałem dowodowym, bowiem "nie dysponował faktycznie aktami postępowania", które pozostawały w Wojewódzkim Sądzie Administracyjnym w Warszawie w związku z wydaniem ww. postanowienia z dnia [...] czerwca 2021 r., organ wyjaśnił w odpowiedzi na skargę, że kierując do skarżącego wezwanie z dnia [...] czerwca 2021 r. dysponował zarówno odwzorowaniem akt papierowych w systemie elektronicznym, jak i kopią całości akt postępowania, poświadczonych za zgodność z oryginałem, a więc całością materiału dowodowego na podstawie którego wydał zaskarżoną decyzję. Zatem przekazanie akt do Sądu nie stanowiło przeszkody w realizacji zasady czynnego udziału strony w postępowaniu. W świetle powyższej argumentacji oraz poglądów orzecznictwa (w tym powołanego przez organ wyroku NSA z dnia 6 czerwca 2017 r. sygn. akt II OSK 461/2017) zarzut naruszenia art. 73 oraz art. 10 k.p.a. nie mógł odnieść zamierzonego skutku. Odnośnie uprawnienia przez organ z art. 58 ust. 2 lit. f ogólnego rozporządzenia o ochronie danych wskazać należy, że jego realizacja ma miejsce przez organ z urzędu, nie zaś na wniosek strony postępowania, co zostało trafnie podniesione w odpowiedzi na skargę. Konkludując stwierdzić należy, że zaskarżone postanowienie nie narusza prawa, zaś zarzuty i wnioski skargi nie podlegają uwzględnieniu. Mając na względzie wszystko powyższe, Wojewódzki Sąd Administracyjny w Warszawie, działając na podstawie art. 151 p.p.s.a., orzekł jak w sentencji wyroku.