II SA/Wa 2742/21

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Łukasz Krzycki (spr.), Sędzia WSA Izabela Głowacka-Klimas, Sędzia WSA Ewa Radziszewska-Krupa, po rozpoznaniu w trybie uproszczonym w dniu 20 maja 2022 r. sprawy ze skargi R. Z. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] maja 2021 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę Zaskarżoną decyzją - przywołując art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego (Dz.U. z 2021 r. poz. 735), zwanej dalej "K.p.a." - wobec skargi p. R. Z., zwanego dalej "Wnioskodawcą", dotyczącej nieprawidłowości w procesie przetwarzania jego danych osobowych przez V. S.A., zwaną dalej "Spółką I", oraz przez P. Sp. z o.o., zwaną dalej "Spółką II", polegające na: - przetwarzaniu danych osobowych bez podstawy prawnej, - nieuwzględnieniu sprzeciwu Wnioskodawcy względem przetwarzania jego danych osobowych, - niespełnieniu względem Wnioskodawcy obowiązku informacyjnego, wynikającego z art. 15 ust. 1 i 3 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz.Urz. UE L. nr 119. str. 1, ze zm.), zwanej dalej RODO, - udostępnieniu przez Spółkę I danych osobowych Wnioskodawcy podmiotowi posługującemu się adresem poczty elektronicznej [...], zwanemu dalej "Podmiotem", - udostępnianiu bez podstawy prawnej Spółce I, danych osobowych Wnioskodawcy przez Spółkę II orzeczono o: - udzieleniu Spółce II upomnienia za udzielenie Wnioskodawcy odpowiedzi na żądanie udostępnienia jego danych osobowych po upływie miesiąca od dnia złożenia wniosku (pkt 1); - umarzeniu postępowania w zakresie udostępnienia przez Spółkę I. danych osobowych Wnioskodawcy, Podmiotowi nieuprawnionemu (pkt 2), - odmowie uwzględnienia wniosku w pozostałym zakresie (pkt 3). W uzasadnieniu decyzji przywołano następujące okoliczności faktyczne i prawne uwarunkowania sprawy: - w toku postępowania, prowadzonego wobec wpływu skargi, ustalono następujący stan faktyczny: - wedle Wnioskodawcy, w maju 2019 roku zaczął on otrzymywać od Spółki I telefony na swój numer; dotyczyły zobowiązania wobec Spółki II; [...] maja 2019 r. Wnioskodawca skierował do Spółki I sprzeciw wobec przetwarzania jego danych osobowych; [...] maja 2019 r. skierował również do Spółki I "wniosek o udostępnienie informacji oraz kopii danych"; Spółka I nie odpowiedziała na te wnioski; [...] października 2019 r. Wnioskodawcy otrzymał wiadomość elektroniczną z adresu poczty elektronicznej Podmiotu, która była także skierowana na adres poczty elektronicznej [...]; w jej treści przywołano korespondencję Wnioskodawcy ze Spółką I; Wnioskodawca kwestionuje wobec tego legalność przetwarzania jego danych osobowych oraz żąda spełnienia przez Spółkę wobec niego obowiązku informacyjnego, wynikającego, z art 15 RODO oraz uwzględnienia sprzeciwu (tak: pismo Wnioskodawcy z [...] marca 2020 r. wraz z załącznikami); - Spółką II wskazała, że pozyskała dane osobowe Wnioskodawcy [...] marca 2019 r., działając jako [...] - za pośrednictwem serwisu internetowego; zarejestrowała dane osobowe Wnioskodawcy (w tym numer telefonu) w trakcie procesu składania wniosku o udzielenie kredytu konsumenckiego; zgodnie z wyjaśnieniami Spółki II, Wnioskodawca podał dane dobrowolnie - przy jednoczesnym podkreśleniu, że ich podanie jest konieczne do weryfikacji zdolności kredytowej, zawarcia umowy [...] i uzyskania wnioskowanych środków pieniężnych; Spółka II zawarła następnie z Wnioskodawcą umowę [...]; zakres pozyskanych danych osobowych Wnioskodawcy to: imię i nazwisko, numer PESEL, seria i nr dowodu tożsamości, data urodzenia, adres, nazwa pracodawcy, kwota miesięcznego dochodu, forma zatrudnienia, adres poczty elektronicznej, numer telefonu kontaktowego, numer rachunku bankowego, stan cywilny, wykształcenie, status posiadanej nieruchomości (tak: pismo Spółki II z [...] grudnia 2020 r. wraz z załącznikami); - Spółka II wskazała, że aktualnie przetwarza dane osobowe Wnioskodawcy na podstawie art. 6 ust. lit. f RODO w celu dochodzenia roszczeń w związku z udzieleniem [...] marca 2019 r. [...] (zdaniem Spółki II Wnioskodawca jej nie spłacił) oraz na podstawie art. 6 ust. 1 lit. c RODO w zw. z art. 74 ustawy z 29 września 1994 r. o rachunkowości (Dz.U. z 2021, poz. 217), zwana dalej ustawą o rachunkowości; zakres przetwarzanych danych osobowych Wnioskodawcy jest tożsamy ze wskazanym wcześniej (tak: pismo Spółki II z [...] grudnia 2020 r. wraz z załącznikami); - Spółka II wskazała, że [...] maja 2019 r. przekazała dane osobowe Wnioskodawcy Spółce I w celu polubownego dochodzenia roszczeń - kontaktu z nim, kierowania doń wezwań do dobrowolnego spełnienia świadczenia, negocjowania z nim warunków ugody, dotyczącej spłaty zadłużenia oraz ustalania z nim przyczyn powstania zaległości; ponieważ - zgodnie z wyjaśnieniami Spółki II - działania te okazały się bezskuteczne, [...] maja 2019 r. sprawa została wycofana z obsługi Spółki I, a następnie – [...] maja 2019 r. - skierowana na etap postępowania sądowego; zakres przekazanych Spółce I danych osobowych Wnioskodawcy to: imię i nazwisko, numer PESEL, adres zamieszkania i poczty elektronicznej, numer telefonu kontaktowego, dane dotyczące zadłużenia oraz umowy, z której wynika zadłużenie (tak: pismo Spółki II z [...] grudnia 2020 r. wraz z załącznikami); - zgodnie z wyjaśnieniami Spółki I i II, podstawą przekazania przez Spółkę II Spółce I danych osobowych Wnioskodawcy była umowa zlecenia z [...] lutego 2019 r., zwana dalej "Umową", zawarta pomiędzy Spółką II, a V. Sp. z o.o., zwana dalej Spółką III; zawierała ona postanowienia dotyczące powierzenia przetwarzania danych osobowych, w tym m.in. § 10 pkt 8, który upoważnia Spółki III do powierzenia przetwarzania danych osobowych Wnioskodawcy kolejnym podmiotom przetwarzającym; [...] października 2018 r. Spółka I zawarła ze Spółką III umowę powierzenia przetwarzania danych osobowych; Spółka II wskazała więc, że Spółka I jest dalszym podmiotem przetwarzającym dane osobowe Wnioskodawcy, na podstawie art. 28 ust. 3 RODO w zw. z § 10 pkt 8 Umowy; zgodnie z wyjaśnieniami Spółki II o powierzeniu przetwarzania danych podmiotom, prowadzącym w jej imieniu działań windykacyjnych, informowano Wnioskodawcę w polityce prywatności; jej treść zaakceptował przed dobrowolnym udostępnieniem danych Spółce II i zawarciem umowy [...] (tak: pismo Spółki II z [...] grudnia 2020 r. wraz z załącznikami oraz pismo Spółki I z [...] września 2020 r. wraz z załącznikami); - Spółka II wskazała, że [...] maja 2019 r. Wnioskodawca skierował do Spółki I sprzeciw wobec przetwarzania jego danych osobowych; [...] maja 2019 r. Spółka przekazała go Spółce II na podstawie § 10 pkt 13 w zw. z § 10 pkt 15 Umowy; Spółka II odpowiedziała na ten sprzeciw [...] maja 2019 r. (tak: pisma Spółki II z [...] grudnia 2020 r. wraz z załącznikami oraz za [...] stycznia 2021 r. wraz z załącznikami); - Spółka II wskazała, że [...] maja 2019 r. Wnioskodawca skierował do Spółki I "wniosek o udostępnienie informacji oraz kopii danych"; [...] maja 2019 r. Spółka przekazała go Spółce II na podstawie § 10 pkt 13 w zw. z § 10 pkt 15 Umowy; Spółka II nie odpowiedziała na ten wniosek; wskazała ponadto, że [...] czerwca 2020 r. Wnioskodawca złożył do niej bezpośrednio tożsamy wniosek; Spółka II odpowiedziała na ten wniosek [...] lipca 2019 r. (tak: pismo Spółki II z [...] grudnia 2020 r. wraz z załącznikami oraz z [...] stycznia 2021 r. wraz z załącznikami); - Spółka I wskazała, że aktualnie nie przetwarza danych osobowych Wnioskodawcy; zgodnie z jej wyjaśnieniami - na podstawie § 10 pkt 9 Umowy - była ona zobowiązana do usunięcia powierzonych danych osobowych w terminie między 200 a 230 dniem, od dnia, w którym zakończyło się ostatnie zlecenie; zdaniem Spółki I ostatnie zlecenie zakończyło się [...] lipca 2019 r.; w związku z tym anonimizacji dokonano zgodnie z wskazanym w umowie terminem – [...] lutego 2020 r. (tak: pisma Spółki I z [...] września 2020 r. wraz z załącznikami oraz z [...] października 2020 r.); - zgodnie z wyjaśnieniami Spółki I, [...] maja 2019 r. doszło w niej do naruszenia ochrony danych osobowych, zgłoszonego do Prezesa Urzędu Ochrony Danych Osobowych [...] maja 2019 r.; w wyniku przedmiotowego naruszenia adres email Wnioskodawcy mógł znaleźć się w posiadaniu przestępcy posługującego się m.in. wskazanym adresem Podmiotu; sprawca podszywał się w komunikacji pod pracownika Spółki I (tak: pismo Spółki i z [...] września 2020 r.), - zgodnie z art. 6 ust. 1 RODO, przetwarzanie danych jest dopuszczalne tylko, gdy jest spełniona jedna z wskazanych w tym przepisie przesłanek; katalog ten jest zamknięty; każda z przesłanek, legalizujących proces przetwarzania danych osobowych, ma charakter autonomiczny i niezależny; w konsekwencji zgoda osoby, której dane dotyczą nie jest jedyną podstawą przetwarzania danych osobowych; proces ich przetwarzania będzie zgodny z RODO również, gdy administrator danych wykaże spełnienie innej przesłanki; niezależnie od zgody osoby, której dane dotyczą (art. 6 ust. 1 lit. a RODO) przetwarzanie danych osobowych jest dopuszczalne m.in. gdy jest to niezbędne do wypełnienia obowiązku prawnego, ciążącego na administratorze (art. 6 ust. 1 lit. c RODO) lub do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią – poza przypadkiem, gdy nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem (art. 6 ust. 1 lit. f RODO); z kolei - zgodnie z art. 21 ust. 1 RODO - osoba, której dane dotyczą, ma prawo w dowolnym momencie wnieść sprzeciw - z przyczyn związanych z jej szczególną sytuacją - wobec przetwarzania dotyczących jej danych osobowych, zgodności przetwarzania z prawem, w tym profilowania; administratorowi nie wolno już przetwarzać tych danych osobowych chyba, że wykaże istnienie ważnych, prawnie uzasadnionych podstaw do przetwarzania - nadrzędnych wobec interesów, praw i wolności osoby, której dane dotyczą, lub podstaw do ustalenia, dochodzenia lub obrony roszczeń, - wobec zarzutu Wnioskodawcy przetwarzania przez Spółkę II jego danych osobowych bez podstawy prawnej oraz nieuwzględnienia przez nią sprzeciwu, dotyczącego przetwarzania jego danych osobowych, analiza materiału dowodowego wykazała, że dane osobowe przetwarzano na podstawie art. 6 ust. 1 lit. f RODO - w celu dochodzenia roszczeń, wynikających z zawartej [...] marca 2019 r. umowy [...]; przytaczając motyw 47 RODO wskazano, że podstawą prawną przetwarzania mogą być prawnie uzasadnione interesy administratora, w tym administratora, któremu mogą zostać ujawnione dane osobowe, lub strony trzeciej, o ile - w świetle rozsądnych oczekiwań osób, których dane dotyczą, opartych na ich powiązaniach z administratorem - nie są nadrzędne interesy lub podstawowe prawa i wolności osoby, której dane dotyczą; taki prawnie uzasadniony interes może istnieć, gdy zachodzi istotny i odpowiedni rodzaj powiązania między osobą, której dane dotyczą, a administratorem, np. gdy osoba, której dane dotyczą, jest klientem administratora lub działa na jego rzecz; należy uznać, że dochodzenie przez podmiot roszczeń finansowych jest prawnie uzasadnionym interesem - w tym sensie nadrzędnym nad prawami i wolnościami osoby, której dane dotyczą; dochodzenie roszczeń nie stanowi bowiem nieproporcjonalnego ograniczenia praw i wolności; przetwarzania danych osobowych Wnioskodawcy - w tym ich pozyskania, we wskazanym celu nie można postrzegać, jako naruszenia jego praw i wolności; przetwarzanie danych osobowych dłużnika - dla dochodzenia od niego zaspokojenia roszczeń - stanowi prawnie usprawiedliwiony cel oraz nie narusza jego praw i wolności; w pojęciu dochodzenia roszczeń natomiast, mieszczą się zarówno sądowe, jak i pozasądowe działania zmierzające do zaspokojenia wierzytelności przez wierzyciela, mieszczące się w granicach obowiązujących przepisów (tak również wyrok NSA o sygn. akt I OSK 1210/14, dostępny na stronie internetowej orzeczenia.nsa.gov.pl/cbo/query - w Centralnej Bazie Orzeczeń Sądów Administracyjnych, zwanej dalej "CBOSA"); obowiązujące przepisy nie określają katalogu, który przewidywałby możliwe sposoby postępowań służące dochodzeniu roszczeń; przepisy dotyczące ochrony danych osobowych nie mogą być zaś wykorzystywane, jako podstawa dla uchylania się przez dłużników od spełnienia zaległych zobowiązań; znajduje to również potwierdzenie w orzecznictwie sądowo administracyjnym; Wojewódzki Sąd Administracyjny w Warszawie - w wyroku z 30 listopada 2004 r. (sygn. akt: II SA/Wa 1057/04 – dostępny w CBOSA), stwierdził: "(...) zasadą powszechnie akceptowaną, wynikającą nie tylko z przepisów prawa cywilnego, lecz także z norm moralnych, zasad współżycia społecznego oraz dobrych obyczajów jest regulowanie zaciągniętych zobowiązań (zapłata długów). Zasada ta w pełni odnosi się do podmiotów prawa mających status konsumentów. (...) Dłużnik, który nie wywiązuje się ze swoich zobowiązań, musi liczyć się z konsekwencjami, wynikającymi z przepisów regulujących obrót gospodarczy. Gdyby generalnie uznać każdy wypadek przetwarzania danych osobowych dłużnika (będącego konsumentem) za godzący w jego prawa i wolności, doszłoby z jednej strony do niczym nieuzasadnionej ochrony osób niewywiązujących się ze swoich zobowiązań, z drugiej natomiast do naruszenia zasady swobody działalności gospodarczej, co z pewnością nie było zamiarem ustawodawcy przy uchwalaniu ustawy o ochronie danych osobowych"; Wnioskodawca - w treści sprzeciwu z [...] maja 2019 r., dotyczącego przetwarzania jego danych osobowych, wystosowanego do Spółki I, a przekazanego przez nią do Spółki II [...] maja 2019 r. - nie wskazał na przyczyny związane z jego szczególną sytuacją, które uzasadniałyby jego uwzględnienie; w związku z tym Spółka II przetwarza dane osobowe Wnioskodawcy zgodnie z prawem - na podstawie art. 6 ust. 1 lit. f RODO, zaś sprzeciw dotyczący przetwarzania tych danych nie zasługuje na uwzględnienie, - [...] marca 2021 r. Wnioskodawcy skierował do organu wniosek o "uzupełnienie postępowania dowodowego, poprzez zwrócenie się do Sądu Rejonowego w [...] o wydanie z akt sprawy [...] uwierzytelnionego odpisu dowodu spłaty [...] w P. Sp. z o.o. z dnia [...].04.2019 r., które zostało złożone w tym sądzie przy moim piśmie z dnia [...].01.2020 r. Wnoszę o dołączenie tego dokumentu do akt sprawy administracyjnej [...] na okoliczności zasadności mojego wniosku (skargi) i spłaty zobowiązania"; organ nie jest jednak właściwym do badania istnienia wierzytelności – szczególnie gdy okoliczność ta jest sporna; nie jest bowiem organem kontrolującym ani nadzorującym prawidłowość stosowania prawa materialnego i procesowego w sprawach, należących do właściwości innych organów, służb czy sądów, których orzeczenia podlegają ocenom w toku instancji, czy winny sposób określony odpowiednimi procedurami (tak wyrok NSA z 2 marca 2001 r. sygn. akt II SA 401/00); odnosząc się zatem do zarzutu spłacenia roszczenia pozostaje to poza zakresem kognicji organu; jest to bowiem sprawa cywilna, w rozumieniu art. 1 ustawy z dnia 17 listopada 1964 r. - Kodeks postępowania cywilnego (Dz.U. z 2020 r., poz. 1740); prowadzone postępowanie administracyjne służy wyłącznie kontroli zgodności przetwarzania danych z przepisami o ochronie danych osobowych i jest ukierunkowane na przywrócenie stanu zgodnego z prawem - przez wydanie decyzji administracyjnej na podstawie art. 58 ust. 2 RODO; zgodnie z poglądami doktryny, żądanie dotyczące przeprowadzenia dowodu należy uwzględnić tylko gdy dotyczy okoliczności mającej znaczenie dla sprawy; ocena, czy tak jest należy do uznania organu, który jest jednakże związany w tej mierze przepisami prawa materialnego, stanowiącymi podstawę rozstrzygnięcia (tak: Kodeks postępowania administracyjnego. Komentarz aktualizowany, Małgorzata Jaśkowska, Martyna Wilbrandt-Gotowicz, LEX/el. 2020); okoliczność, będąca przedmiotem wniosku dowodowego, nie ma znaczenia dla niniejszego postępowania; Spółka II jest bowiem uprawniona do przetwarzania danych osobowych Skarżącego na podstawie art. 6 ust. 1 lit. c RODO, w zw. z art. 74 ustawy o rachunkowości; zgodnie z nim dowody księgowe, dotyczące środków trwałych w budowie, pożyczek, kredytów oraz umów handlowych, roszczeń dochodzonych w postępowaniu cywilnym lub objętych postępowaniem karnym albo podatkowym przetwarza się przez 5 lat od początku roku następującego po roku obrotowym, w którym operacje, transakcje i postępowanie zostały ostatecznie zakończone, spłacone, rozliczone lub przedawnione, - odnosząc się do zarzutu Wnioskodawcy, udostępnienia Spółce I jego danych osobowych bez podstawy prawnej przez Spółkę II, analiza materiału dowodowego wykazała, że powyższe nastąpiło w myśl art. 28 ust. 3 RODO; zgodnie z nim przetwarzanie przez podmiot przetwarzający odbywa się na podstawie umowy lub innego instrumentu prawnego, które podlegają prawu Unii Europejskiej lub prawu państwa członkowskiego i wiążą podmiot przetwarzający i administratora, określają przedmiot i czas trwania przetwarzania, charakter i cel przetwarzania, rodzaj danych osobowych oraz kategorie osób, których dane dotyczą, obowiązki i prawa administratora; Spółka II zawarła ze Spółkę III Umowę, powierzając do przetwarzania dane osobowe Wnioskodawcy w celu polubownego dochodzenia roszczeń; Spółka III powierzyła następnie do przetwarzania dane osobowe Wnioskodawcy Spółce I - na podstawie umowy powierzenia przetwarzania danych osobowych, zawartej [...] października 2018 r. - w celu realizacji obowiązków, wynikających z Umowy; zgodnie z § 10 pkt 8 Umowy "Podmiot przetwarzający może powierzyć dane osobowe objęte niniejszą umową do dalszego przetwarzania podwykonawcom jedynie w celu wykonania Umowy po uzyskaniu uprzedniej pisemnej zgody Zleceniodawcy. Zdanie poprzedzające nie dotyczy podmiotów należących do jednej [...] V. S.A."; Spółka I jest więc uprawniona do przetwarzania danych osobowych Wnioskodawcy na podstawie art. 28 ust. 3 RODO - w związku z zawarciem ze Spółką III umowy powierzenia przetwarzania danych osobowych (z [...] października 2018 r.); zgodnie zaś z art. 28 ust. 4 RODO, jeżeli do wykonania w imieniu administratora konkretnych czynności przetwarzania podmiot przetwarzający korzysta z usług innego podmiotu przetwarzającego, na ten inny podmiot przetwarzający nałożone zostają - na mocy umowy lub innego aktu prawnego, które podlegają prawu Unii Europejskiej lub prawu państwa członkowskiego - te same obowiązki ochrony danych jak w umowie lub innym akcie prawnym między administratorem a podmiotem przetwarzającym, o których to obowiązkach mowa w ust. 3 - w szczególności obowiązek zapewnienia wystarczających gwarancji wdrożenia odpowiednich środków technicznych i organizacyjnych, by przetwarzanie odpowiadało wymogom RODO; o powierzeniu przetwarzania danych podmiotom prowadzącym w imieniu Spółki II działania windykacyjne informowano Wnioskodawcę w polityce prywatności, której treść zaakceptował przed dobrowolnym udostępnieniem danych Spółce II i zawarciem umowy [...]; celem powierzenia przetwarzania jego danych osobowych było polubowne dochodzenia roszczeń; w związku z tym Spółka II udostępniła dane osobowe zgodnie z prawem - na podstawie art. 28 ust. 3 RODO, - przywołano art. 12 ust. 3 RODO, zgodnie z którym administrator bez zbędnej zwłoki - a w każdym razie w terminie miesiąca od otrzymania żądania - udziela osobie, której dane dotyczą, informacji o działaniach podjętych w związku z żądaniem na podstawie art. 15-22; w razie potrzeby termin ten można przedłużyć o kolejne dwa miesiące z uwagi na skomplikowany charakter żądania lub liczbę żądań; w terminie miesiąca od otrzymania żądania administrator informuje osobę, której dane dotyczą o takim przedłużeniu terminu, z podaniem przyczyn opóźnienia; jeśli osoba, której dane dotyczą, przekazała swoje żądanie elektronicznie, w miarę możliwości informacje także są przekazywane elektronicznie, chyba że osoba, której dane dotyczą, zażąda innej formy, - w przedmiotowej sprawie, analiza materiału dowodowego wykazała, że Wnioskodawca [...] maja 2019 r. zwrócił się do Spółki I z żądaniem spełnienia względem niego obowiązku informacyjnego, wynikającego z art. 15 ust. 1 RODO - w zakresie art. 15 ust. 1 pkt a, b, c, d, g, f RODO - oraz z art. 15 ust. 3 RODO, Spółka I przekazała żądanie Spółce II [...] maja 2019 r., do czego była zobowiązana na podstawie § 10 pkt 13 i 15 Umowy; Wnioskodawca złożył [...] czerwca 2019 r. równolegle tożsame żądanie także do Spółki II; Spółka II spełniła względem Wnioskodawcy obowiązek informacyjny, wynikający z art. 15 ust. 1 RODO - w danym zakresie - oraz wynikający z art. 15 ust. 3 RODO - w zakresie żądania udostępnienia kopii danych osobowych – [...] lipca 2019 r.; zgodnie z art. 15 ust. 3 RODO, wykonanie obowiązku określonego w art. 15 ust. 3 RODO może być realizowane zarówno poprzez sporządzenie kopii lub odpisu dokumentu (nośnika), zawierającego dane osobowe oraz inne dane, jak i poprzez podanie uprawnionemu treści jego danych osobowych, z pominięciem znajdujących się w nośniku informacji, które nie są danymi osobowymi w rozumieniu art. 4 pkt 1 RODO; w razie zwrócenia się do administratora o kopię przetwarzanych danych osobowych, administrator każdorazowo podejmuje decyzję, w jaki sposób zrealizuje to uprawnienie; administrator może dokonać wyboru, czy udostępnia kopię dokumentów, czy też udostępnia kopię danych zawartych w tych dokumentach; Spółka II spełniła względem Wnioskodawcy obowiązek informacyjny, wynikający z art. 15 ust. 1 i 3 RODO z naruszeniem terminu określonego w art. 12 ust. 3 RODO; uzasadniało to udzielenie upomnienia, - odnosząc się zaś do zarzutu Wnioskodawcy, udostępnienia przez Spółkę I jego danych osobowych Podmiotowi, wskazano: [...] maja 2019 r. doszło w Spółce I do naruszenia ochrony danych osobowych, zgłoszonego do Prezesa Urzędu Ochrony Danych Osobowych [...] maja 2019 r.; zgodnie z wyjaśnieniami Spółki I, w wyniku przedmiotowego naruszenia adres poczty elektronicznej Wnioskodawcy mógł znaleźć się w posiadaniu Podmiotu; sprawca podszywał się w komunikacji pod pracownika Spółki I, do którego należy adres e-mail: [...].; zgodnie z art. 33 ust. 1 RODO, w razie naruszenia ochrony danych osobowych, administrator bez zbędnej zwłoki - w miarę możliwości, nie później niż w terminie 72 godzin po stwierdzeniu naruszenia - zgłasza je organowi nadzorczemu, chyba że jest mało prawdopodobne, by naruszenie to skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych; w postępowaniu wszczętym wskutek wniesienia tego zgłoszenia przez administratora danych osobowych naruszenia ochrony danych osobowych osoba, której te dane osobowe dotyczą nie jest stroną; dlatego też w tym zakresie - dotyczącym niespełnienia względem Wnioskodawcy obowiązku informacyjnego przez Spółkę I - niniejsze postępowania jest bezprzedmiotowe; przywołano pogląd prezentowany w doktrynie: "bezprzedmiotowość postępowania administracyjnego, o której stanowi art. 105 § 1 Kpa, oznacza, że brak jest któregoś z elementów materialnego stosunku prawnego, a wobec tego nie można wydać decyzji załatwiającej sprawę przez rozstrzygnięcie jej co do istoty. Przesłanka umorzenia postępowania może istnieć jeszcze przed wszczęciem postępowania, co zostanie ujawnione dopiero w toczącym się postępowaniu, a może ona powstać także w czasie trwania postępowania, a więc w sprawie już zawisłej przed organem administracyjnym." (B. Adamiak, J. Borkowski, Kodeks postępowania administracyjnego. Komentarz, C.H.Beck, Warszawa 2006, str. 489); ustalenie zaistnienia przesłanki, o której mowa w art. 105 § 1 K.p.a., obliguje do umorzenia postępowania; nie ma bowiem wówczas podstaw do rozstrzygnięcia sprawy, co do istoty, zaś dalsze prowadzenie postępowania w takim przypadku stanowiłoby o jego wadliwości, mającej istotny wpływ na wynik sprawy; - mając to na uwadze - zgodnie z art. 105 § 1 K.p.a. - organ był obowiązany umorzyć postępowanie w części dotyczącej nieprawidłowości w procesie przetwarzania danych osobowych Wnioskodawcy przez Spółkę I, polegającej na udostępnieniu danych osobowych Podmiotowi, - zgłoszenie przez administratora naruszenia ochrony danych osobowych nie jest przedmiotem postępowania administracyjnego wszczętego przez organ wskutek skargi indywidualnej osoby, której ochronę danych osobowych naruszono, - ocena dokonywana przez organ służy w każdym przypadku zbadaniu zasadności skierowania pod adresem określonego podmiotu nakazu odpowiadającego dyspozycji art. 58 ust. 2 RODO, służącego przywróceniu stanu zgodnego z prawem w procesie przetwarzania danych; jest więc ona uzasadniona i potrzebna tylko o tyle, o ile nieprawidłowości w procesie przetwarzania danych osobowych istnieją; w niniejszej sprawie nie ma podstaw do stwierdzenia, że proces przetwarzania danych osobowych Wnioskodawcy przez Spółki I i II jest bezprawny; legitymują się one przesłanką określoną, odpowiednio w art. 6 ust. 1 lit. c i f RODO oraz w art. 28 ust. 3 RODO, - nie zasługują również na uwzględnienie żądania Wnioskodawcy uwzględnienia sprzeciwu względem przetwarzania jego danych osobowych oraz spełnienia względem niego obowiązku informacyjnego, wynikającego z art. 15 ust. 1 i 3 RODO; Spółka II spełniła obowiązek informacyjny, wynikający z art. 15 ust. 1 i 3 RODO - w zakresie wskazanym przez Wnioskodawcę - z naruszeniem terminu określonego w art. 12 ust. 3 RODO; w związku z tym organ - korzystając z przysługującego mu uprawnienia, określonego w art. 58 ust. 2 lit. b RODO - udzielił upomnienia. Skarga objęto rozstrzygniecie decyzji w pkt 2 i 3. Zarzucono naruszenie przepisów: - art. 8 K.p.a., poprzez prowadzenie postępowania sprzecznie z zasadą pogłębiania zaufania do organów administracyjnych (władzy publicznej) oraz zasad proporcjonalności i równego traktowania, a także zasadny pewności prawa, - art. 77 w zw. z art. 80 K.p.a., poprzez naruszenie obowiązku wyczerpującego zebrania i rozpatrzenia materiału dowodowego - m.in. oparto się w głównej mierze na wyjaśnieniach Spółki II zaś pominięto wskazane w skardze Wnioskodawcy okoliczności, związanych ze spłatą zobowiązania wobec Spółki II; tym samy nie miała ona legitymacji do przekazania danych do Spółki I i dalszych konsekwencji z tym związanych; przyjęto, że Wnioskodawca otrzymał od Spółki II jakąkolwiek umowę i zaakceptował jakąkolwiek politykę prywatności; stan faktyczny jest zaś zupełnie inny; nie wyjasniono jak rzekomy przestępca miał wejść w posiadanie danych (maili) kierowanych na skrzynki należące do Spółki I, a nie na jakiekolwiek przypadkowe dane - brak danych dotyczących zgłoszenia przestępstwa przez Spółkę I, - art. 107 § 3 K.p.a., poprzez niewskazanie w uzasadnieniu decyzji, dlaczego organ nie wyjaśnił, jak ktoś wszedł rzekomo w posiadanie danych osobowych Wnioskodawcy po stronie Spółki I, z korespondencji kierowanej na jej oficjalne adresy e-mail; poprzestano na stwierdzeniu, że Spółka I dokonała zgłoszenia naruszenia wycieku danych - bez dalszego wyjaśnienia, - art. 28 ust. 3 RODO, poprzez przyjęcie, że Spółka II była uprawniony do powierzenia przetwarzania danych osobowych Spółce III, w celu prowadzenia działań windykacyjnych, gdy Wnioskodawca nie miał zobowiązań wobec Spółki II - spłacił [...]. W szerszym uzasadnieniu rozwinięto powyższe zarzuty. Podnoszono także, że w praktyce kwestionowana jest skuteczność umowy [...], w formie w jakiej zawarł ją Wnioskodawca ze Spółką II, czego organ także nie uwzględnił. Wnoszono o przeprowadzenie dowodu z dokumentów, których treść świadczy zdaniem Wnioskodawcy o braku jego zobowiązań wobec Spółki II. Wskazywano, że nie poinformowano Wnioskodawcy o przejęciu jego danych osobowych przez osobę nieuprawnioną ani o wynikach sprawy, prowadzonej wobec incydentu utraty danych. W odpowiedzi na skargę organ administracji wniósł o jej oddalenie, podtrzymując dotychczasową argumentację. W dodatkowym piśmie (k. 71-73) Spółka II podtrzymała stanowisko, co do braku spłaty kredytu przez Wnioskodawcę, co uzasadniało przetwarzanie jego danych osobowych. Wniosła o oddalenie skargi. Skargę rozpoznano w trybie uproszczonym, wobec treści art. 119 pkt 2 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (Dz.U. z 2022 r., poz. 329 ze zm.). Sąd zważył, co następuje. Skargę oddalono. Nie zasługuje ona na uwzględnienie, albowiem zaskarżone rozstrzygnięcie nie narusza prawa, w zakresie w jakim podlegało ono kontroli przez Sąd, wobec skutecznego zaskarżenia przez Wnioskodawcę (pk 2 i 3 decyzji). Trafne są konstatacje organu, zarówno w kwestii przywołania znajdujących w sprawie zastosowanie regulacji normatywnych jak i właściwego ich rozumienia oraz ustalenia istotnych w sprawie faktów. Wobec uprzedniego szczegółowego zreformowania stanowisko organu, ponownych przywoływanie jego argumentacji byłoby bezzasadne. Sąd przyjmuje ją za własną. Wobec wywodów skargi należy jedynie dodać, że sformułowane w niej zarzuty są bezzasadne z poniższych przyczyn. Wbrew twierdzeniom Wnioskodawcy - w świetle zgromadzonego przez organ materiału dowodowego - nie mogą budzić wątpliwości istotne uwarunkowania faktyczne sprawy: Wnioskodawca figurował w rejestrach Spółki II, jako osoba związana z nią umową [...], zaś spółka ta była związana Umową ze Spółką III. Ostatnia z wymienionych mogła natomiast dalej rozporządzać danymi Wnioskodawcy (tak treść Umowy). Nie ma też podstaw dla zakwestionowanie faktu dokonania [...] maja 2019 r., przez Spółkę I zgłoszenia naruszenia ochrony danych osobowych skoro informację tę potwierdza sam organ, do którego ono wpłynęło. Prowadzący w powyższym zakresie postępowanie wyjaśniające organ, dokonał ustaleń na podstawie zgromadzonego, przywołanego materiału dowodowego (oświadczenia Spółek oraz przedłożone przez nie dokumenty), zaś Wnioskodawca nie uprawdopodobnił nawet, aby ustalenia te były wadliwe. W szczególności, nie można uznać za przekonywające, twierdzeń Wnioskodawcy jakoby nie zapoznał się z polityką prywatności, skoro było to warunkiem umożliwiającym zawarcie umowy [...]. Spółka II wskazała, że Wnioskodawca "wyraził zgodę na przetwarzanie podanych przez siebie danych osobowych poprzez zaznaczenie odpowiednich zgód w dostępnym na serwisie formularzu oraz oświadczył, że zapoznał się z treścią Polityki Prywatności" (tak pismo z [...] grudnia 2020 r.). Przy uwzględnieniu powszechnej praktyki działania danego rodzaju platform (przejście do kolejnego etapu usługi uzależnione od wypełnienia konkretnych pól) informację tę można było uznać za wiarygodną. Wobec tak zarysowany do stanu faktycznego, trafne są konstatacje organu przy uwzględnieniu ram normatywnych jego działania. Zasadnie wskazał organ, że skuteczność zawarcia umowy miedzy Spółka II a Wnioskodawcą (wobec np. zamieszczenia w na stronie internetowej jedynie treści umowy) czy spór, co do ewentualnego spłacenia przezeń należności - przed przekazania jego danych osobowych innym spółkom do windykacji - nie może być przedmiotem niniejszej sprawy. Rolą wyspecjalizowanego organu administracji jest w danej sprawie jedynie ocena, czy administratorzy danych osobowych (podmioty zarządzające) dysponują system eliminującym przetwarzanie danych, które nie są niezbędne w kontekście prowadzonej działalności (tu udzielanie [...]) oraz czy realnie go stosują. Poza granicami sprawy musi pozostawać, czy zasadne jest stanowisko określonego podmiotu, co to wiążących go z konkretnym kontrahentem zobowiązań. Kwestie te mogą być rozstrzygane tylko w postępowaniach przed sądami powszechnymi. Nie mogły więc podlegać - niejako równolegle - ocenie w sprawie administracyjnej - w przedmiocie ochrony danych osobowych. Umożliwiałoby to wprost formułowanie odmiennych konstatacji, co do tych samych stanów faktycznych. Takie rozumienie kompetencji danego, wyspecjalizowanego organu administracji nie może być akceptowane w kontekście reguł praworządności (tu: zasada pewności prawa). Z tych przyczyn także Sąd nie prowadził postępowania wyjaśniającego z przedłożonych przez Wnioskodawcę dokumentów, w kwestii czy jego wierzytelność - na dzień przekazania danych na rzecz innych podmiotów (Spółek I i III) w celu prowadzenia działań windykacyjnych, było obiektywnie zasadne. W sprawie jest wyłącznie istotnym, że - wedle danych Spółki II - należność na ten dzień była wobec niej wymagalna (stanowisko potrzymane w toku postępowania przed Sądem). Uzasadniało to przetworzenie danych - przekazanie podmiotowi trzeciemu, związanemu ze Spółką II Umową, w myśl art. 28 w zw. z art. 6 ust. 1 pkt c i f RODO. O możliwości takiej informowano Wnioskodawcę dokumentem polityka prywatności na etapie zawierania umowy, która - wedle oceny Spółki II - jest wiążąca. Zasadnie również organ wywiódł, że kwestia udostępnienie danych Wnioskodawcy Podmiotowi nie może być, jako objęta odrębnym postępowaniem, przedmiotem danej sprawy. W myśl przepisów rozdziału IV sekcji 2 RODO, "naruszenie ochrony danych osobowych", w rozumieniu art. 4 punkt 4 danego rozporządzenia, stanowi szczególny przypadek przetwarzania danych osobowych, co nie jest zresztą czynnością zamierzoną administratora tych danych bądź je przetwarzającego, lecz może być skutkiem działania osoby nieuprawnionej. W danym przypadku - po realizacji obowiązku zgłoszenia, konkretnego zdarzenia przez administratora (trak art. 33 ust. 1) - to do kompetencji wyspecjalizowanego organu należy ocena, czy niezbędnym jest zawiadamianie osób, których dane mógłby zostać bezprawnie przetworzone, o ile nie dokonał tego z własnej inicjatywy administrator (tak art. 34 ust. 1 i 4, wobec art. 59 ust. 2 lit. e RODO). Reguła ta stanowi więc lex specialis wobec ogólnych obowiązków informacyjnych, opisach w innych częściach rozporządzenia. Skoro w rozpatrywanym przypadku - wobec zgłoszenia przez administratora - organ nie zobowiązał Spółki I do poinformowania Wnioskodawcy oraz innych zainteresowanych o fakcie bezprawnego przetworzenia danych, kwestia ta nie może być rozważana na etapie postępowania prowadzonego na żądanie Wnioskodawcy, wobec jego indywidualnej skargi, w oparciu o kompetencje organu z art. 57 ust. 1 lit. f RODO. Nie do zaakceptowania jest bowiem wykładnia regulacji oparta na założeniu występowania kilku konkurencyjnych procedur, gdzie może podlegać ocenię ta sama kwestia - np. realizacja obowiązku informacyjnego wobec bezprawnego przyjęcia danych. Skoro też, co słusznie wskazał organ postępowanie w przedmiocie naruszenia ochrony danych osobowych, jest prowadzone z urzędu, zaś osoby których dotyczą przejęte dane nie są w nich stronami - nie do akceptowanie jest koncepcja, aby to samo zdarzenie - naruszenie integralności danych, w następstwie czego nastąpiło ich nieuprawnione pozyskanie (przetworzenie przez osobę nieuprawnioną) - mogło być oceniane w odrębnych postępowaniach, prowadzonych wobec skarg osób, których dane przyjęto. Trafnie więc organ skonstatował, że wykracza poza granice sprawy, wszczętej skargą Wnioskodawcy, analiza konkretnego incydentu naruszenia ochrony danych osobowych, w tym np. zakresu działań, w tym informacyjnych, podjętych przez Spółkę I. Organ nie był także obowiązany zamieszczać w uzasadnieniu skarżonego aktu indywidualnego informacji w danym zakresie. Kwestia, czy uzyskanie co do tego przez Wnioskodawcę informacji jest jego prawem oraz ich zakres wykracza poza granice tej sprawy - zainicjowanej skargą do wyspecjalizowanego organu, załatwianą co do meritum w drodze decyzji. Wobec skazanych uwarunkowań zasadnie organ umorzył postępowanie w przedmiocie udostępnienia przez Spółkę I. danych osobowych Wnioskodawcy, Podmiotowi nieuprawnionemu. Z podanych wcześniej przyczyn, nie było także podstaw dla uwzględnienie skargi Wnioskodawcy w zakresie przetwarzania jego danych przez Spółkę I bądź II. Poza oceną Sądu pozostała zaś zasadność udzielenie upomnienia (pkt 1 decyzji). W danym zakresie decyzja, jako niezaskarżona, stała się ostateczna. Wobec powyższego Sąd nie dostrzegł – w świetle argumentacji skargi ani z urzędu – wad w zaskarżonym akcie, które przemawiałyby za jego wyeliminowaniem z obrotu prawnego. Organ trafnie skonstatował, że przetwarzanie danych osobowych Wnioskodawcy było legalne (także w zakresie ich udostępnienia Spółkom I i III), zaś częściowo postępowanie było bezprzedmiotowe. Jak wskazano, nie budzą wątpliwości także istotne uwarunkowania faktyczne sprawy. Czyni to chybionym zarzut naruszenia przepisów postępowania w zakresie obowiązku właściwego jej wyjaśnienia, czy wyczerpującego uzasadnienia stanowiska organu. Wyjaśniając sprawę wnikliwie – w zakresie gdzie było to istotne – nie naruszono też postulatu dbałości o pogłębianie zaufania obywateli do organów władzy oraz zasady proporcjonalności i równego traktowania, a także zasadny pewności prawa. Z przytoczonych wyżej przyczyn, na podstawie art. 151 ustawy - Prawo o postępowaniu przed sądami administracyjnymi, orzeczono jak w sentencji. ----------------------- 9