II SA/Wa 1874/20

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Piotr Borowiecki (spr.), Sędzia WSA Janusz Walawski, Sędzia WSA Joanna Kruszewska-Grońska, po rozpoznaniu w trybie uproszczonym w dniu 8 kwietnia 2021 r. sprawy ze skargi M. L. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] czerwca 2020 r. nr [...] w przedmiocie przetwarzania danych osobowych 1) uchyla zaskarżoną decyzję; 2) zasądza od Prezesa Urzędu Ochrony Danych Osobowych na rzecz skarżącego M. L. kwotę 200 (słownie: dwieście) złotych tytułem zwrotu kosztów postępowania sądowego. Zaskarżoną decyzją z dnia [...] czerwca 2020 r., nr [...], Prezes Urzędu Ochrony Danych Osobowych (dalej także: "Prezes UODO" lub "organ nadzorczy"), działając na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego (tekst jednolity Dz. U. z 2020 r., poz. 256 ze zm. - dalej: "k.p.a.") w związku z art. 7 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (tekst jednolity Dz. U. z 2019 r., poz. 1781 - dalej także: "u.o.d.o.") w związku z art. 15 ust. 1 i ust. 3 w związku z art. 58 ust. 2 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z dnia 4 maja 2016 r., str. 1, ze zmianą ogłoszoną w Dz. Urz. UE L 127 z dnia 23 maja 2018 r., str. 2 ze zm. - zwane dalej także: "RODO"), po przeprowadzeniu postępowania administracyjnego w sprawie skargi M.L. (dalej także: "skarżący" lub "strona skarżąca") na nieprawidłowości w procesie przetwarzania jego danych osobowych przez spółkę I. sp. z o.o. z siedzibą w W., przy [...] (dalej także: "uczestnik postępowania", "administrator danych" lub "spółka") - odmówił uwzględnienia wniosku. Zaskarżona decyzja Prezesa UODO została wydana w następującym stanie faktycznym. W dniu [...] grudnia 2019 r. do Urzędu Ochrony Danych Osobowych wpłynęło pismo z dnia [...] grudnia 2019 r. zawierające skargę M.L. na niezgodne z prawem przetwarzanie jego danych osobowych przez spółkę I. sp. z o.o. z siedzibą w W.. W treści skargi skarżący wskazał, że spółka I. sp. z o.o. z siedzibą w W., jako administrator danych, przetwarza jego dane osobowe z naruszeniem przepisów prawa, a mianowicie prawa dostępu do danych. Skarżący podniósł, że jest klientem wspomnianej spółki, która serwisuje jego samochód marki [...]. Skarżący zauważył, że dwukrotnie zwracał się do spółki z wnioskami o realizację przysługujących mu praw, ale nie otrzymał zapisów dźwiękowych nagrywanych rozmów telefonicznych, które zostały zrealizowane w okresie między dniem [...] marca 2019 r. a dniem [...] kwietnia 2019 r., zapisów dźwiękowych nagrywanych rozmów telefonicznych, które zostały zrealizowane w dniu [...] czerwca 2019 r., a także kopii dokumentów rzeczoznawcy P.H. w sprawie awarii samochodu skarżącego. W konsekwencji, skarżący wniósł o nakazanie spółce I. sp. z o.o. z siedzibą w W. dostarczenia kopii ww. zapisów dźwiękowych oraz kopii ww. dokumentacji ekspertyzy rzeczoznawcy. Ponadto, skarżący wniósł o nałożenie na spółkę stosownej kary administracyjnej w związku z naruszeniami, jakich administrator danych dopuścił się przetwarzając jego dane osobowe. W związku z powyższym, organ nadzorczy wszczął z urzędu postępowanie wyjaśniające w sprawie nieprawidłowości przetwarzania danych osobowych skarżącego przez spółkę I. sp. z o.o. z siedzibą w W.. Prezes Urzędu Ochrony Danych Osobowych, przeprowadzając stosowne postępowanie wyjaśniające, podjął czynności zmierzające do zgromadzenia odpowiedniego materiału dowodowego, ustalając stan faktyczny konieczny do wydania rozstrzygnięcia. Przede wszystkim Prezes UODO zwrócił się o wyjaśnienia do spółki I. sp. z o.o. Z przesłanego przez spółkę I. sp. z o.o. pisma wyjaśniającego z dnia [...] stycznia 2020 r. wynikało, że przetwarza ona dane osobowe skarżącego w związku z obsługą sprzedaży i obsługą posprzedażową pojazdu marki [...], który zostały przez skarżącego zakupiony w formie leasingu, a także w związku z trwającym ze skarżącym sporem. Spółka poinformowała organ nadzorczy, że pozyskała dane osobowe skarżącego bezpośrednio od skarżącego, na etapie zapytania ofertowego, przygotowania do zawarcia umowy, podczas rozmów telefonicznych i w celu realizacji zawartych umów, a także w zakresie zapytania dotyczącego naprawy grzecznościowej pojazdu pogwarancyjnego. Spółka podniosła, że otrzymała wnioski skarżącego w dnia [...] lipca 2019 r., z dnia [...] lipca 2019 r., z dnia [...] sierpnia 2019 r., z dnia [...] sierpnia 2019 r., a także z dnia [...] sierpnia 2019 r. Ponadto, spółka zapewniła, że w dniu [...] sierpnia 2019 r. przekazała skarżącemu do rąk własnych pendrive z kopią jego danych osobowych, zawierającą historię napraw samochodu oraz treść rozmów telefonicznych z pracownikami spółki. Niestety jednak, jak wskazał administrator danych, pracownicy spółki wydali skarżącemu kopię danych osobowych, ale nie odebrali od niego pisemnego potwierdzenia otrzymania wspomnianego wyżej pendrive’a z jego danymi osobowymi. Jednocześnie, spółka zauważyła, że kopia ta nie mogła być przekazana za pomocą poczty elektronicznej, ponieważ przesyłane pliki miały zbyt dużą objętość. Administrator danym zapewnił, że pendrive zawierał ponadto kopię danych otrzymanych od [...] w zakresie naprawy grzecznościowej, kopię danych w zakresie informacji o stanowisku spółki w zakresie braku odpowiedzialności za usterkę samochodu oraz stanowisko zewnętrznego eksperta technicznego dotyczące braku odpowiedzialności spółki za usterkę. Ponadto, spółka wskazała, że opinia rzeczoznawcy, o której mowa w skardze, nie zawiera informacji innych, niż te przekazane w piśmie z dnia [...] lipca 2019 r. Administrator danych podniósł, że dokument ten jest technicznym dokumentem wewnętrznym spółki, który nie zawiera żadnych danych osobowych skarżącego. Spółka poinformowała, że w związku z roszczeniem skarżącego dotyczącym wydania ww. opinii rzeczoznawcy, spółka przekazała skarżącemu pismo będące odpowiedzią na wystosowane w tym zakresie roszczenia. Spółka zauważyła także, iż wnioski skarżącego z dnia [...] lipca 2019 r., z dnia [...] lipca 2019 r., z dnia [...] sierpnia 2019 r., z dnia [...] sierpnia 2019 r., z dnia [...] sierpnia 2019 r. oraz z dnia [...] września 2019 r. zawierały ten sam zakres żądań. W tej sytuacji, jak podniósł administrator danych, pracownicy spółki, z uwagi na fakt osobistego wręczenia skarżącemu kopii jego danych osobowych oraz rozmowy w salonie spółki, poprzestali na ustanym udzieleniu stosownych informacji. Spółka poinformowała organ nadzorczy, iż pouczyła pracowników o konieczności przestrzegania procedur w zakresie ochrony danych osobowych. W skierowanym do organu nadzorczego piśmie z dnia [...] marca 2020 r. skarżący wskazał, że - pomimo zapewnień ze strony spółki I. sp. z o.o. - podmiot ten nie udostępnił dotychczas kluczowych rozmów, których dotyczył wniosek skarżącego o udostępnienie nagrań. Jednocześnie, skarżący zarzucił, że administrator danych nie udostępnił również ekspertyzy technicznej sporządzonej przez rzeczoznawcę bez jego wiedzy i udziału. Ponadto, skarżący wyjaśnił, iż spółka I. sp. z o.o., jako administrator danych, nie odbierała od skarżącego oświadczenia o zgodzie na przetwarzanie jego danych osobowych, w tym w szczególności na nagrywanie jego rozmów telefonicznych. Zdaniem skarżącego, spółka nie wyjaśniła również, jaki był cel zbierania tychże nagrań. W wyniku analizy zgromadzonego materiału dowodowego, Prezes Urzędu Ochrony Danych Osobowych - działając na podstawie art. 104 § 1 k.p.a. w zw. z art. 7 ust. 1 u.o.d.o. oraz w zw. z art. 15 ust. 1 i ust. 3 w zw. z art. 58 ust. 2 RODO – odmówił uwzględnienia wniosku strony skarżącej. W uzasadnieniu wydanej decyzji Prezes UODO zauważył na wstępie, że organ nadzorczy, wydając decyzję administracyjną, zobowiązany jest do rozstrzygania w oparciu o stan faktyczny istniejący w chwili wydania tej decyzji. Reguła ta, jak podniósł organ nadzorczy, odnosi się także do oceny stanu prawnego sprawy, co oznacza, że organ administracji publicznej wydaje decyzję administracyjną na podstawie przepisów prawa obowiązujących w chwili jej wydania. W tej sytuacji, Prezes UODO uznał, że badając legalność przetwarzania danych osobowych, organ nadzorczy ma obowiązek ustalenia, czy na datę wydawania rozstrzygnięcia w sprawie dane konkretnego podmiotu są przetwarzane oraz czy czynione to jest w sposób zgodny z prawem. Odnosząc się do zarzutu skarżącego dotyczącego niezrealizowania przez spółkę I. sp. z o.o. przysługującego skarżącemu prawa dostępu do danych oraz prawa do kopii danych, Prezes UODO wskazał, że art 15 ust. 1 RODO stanowi, że osoba, której dane dotyczą, jest uprawniona do uzyskania od administratora potwierdzenia, czy przetwarzane są dane osobowe jej dotyczące, a jeżeli ma to miejsce, jest uprawniona do uzyskania dostępu do nich oraz informacji dotyczących: celów przetwarzania (art. 15 ust. 1 lit. a), kategorii danych osobowych (art. 15 ust. 1 lit. b), odbiorców lub kategorii odbiorców, którym dane osobowe zostały lub zostaną ujawnione (art. 15 ust. 1 lit. c), planowanego okresu przechowywania danych osobowych, a gdy nie jest to możliwe, kryteriów ustalania tego okresu (art. 15 ust. 1 lit. d), prawa do żądania od administratora sprostowania, usunięcia lub ograniczenia przetwarzania danych osobowych dotyczącego osoby, której dane dotyczą, oraz prawa do wniesienia sprzeciwu wobec takiego przetwarzania (art. 15 ust. 1 lit. e), prawa do wniesienia skargi do organu nadzorczego (art. 15 ust. 1 lit. f), jeżeli dane osobowe nie zostały zebrane od osoby, której dane dotyczą - wszelkich dostępnych informacje o ich źródle (art. 15 ust. 1 lit. g) oraz zautomatyzowanego podejmowania decyzji, w tym profilowania (art. 15 ust. 1 lit. h). Ponadto, organ nadzorczy wskazał, że zgodnie z art. 15 ust. 3 RODO, administrator dostarcza osobie, której dane dotyczą, kopię danych osobowych podlegających przetwarzaniu. Za wszelkie kolejne kopie, o które zwróci się osoba, której dane dotyczą, administrator może pobrać opłatę w rozsądnej wysokości wynikającej z kosztów administracyjnych. Jeżeli osoba, której dane dotyczą, zwraca się o kopię drogą elektroniczną i jeżeli nie zaznaczy inaczej, informacji udziela się w powszechnie stosowanej formie elektronicznej. Prezes UODO zauważył, iż w trakcie prowadzonego postępowania ustalono, że spółka I. sp. z o.o. udostępniła skarżącemu informacje na temat przetwarzania jego danych osobowych, a także systematycznie realizowała wnioski skarżącego w zakresie art. 15 ust. 1 i ust. 3 RODO. Organ nadzorczy uznał, że spółka przekazała skarżącemu kopię jego danych osobowych, w tym rozmów telefonicznych, w formie plików zapisanych na nośniku, jakim jest pendrive. Prezes UODO zauważył jednocześnie, że spółka nie przekazała natomiast kopii ekspertyzy sporządzonej przez rzeczoznawcę P.H., wskazując, że dokument ten nie zawiera danych osobowych skarżącego oraz stanowi wewnętrzny dokument spółki. Prezes UODO podkreślił, że udostępnienie kopii danych, zgodnie z art. 15 ust. 3 RODO, nie jest równoznaczne z obowiązkiem udostępnienia kopii dokumentów. Według organu nadzorczego, administrator danych nie ma bowiem obowiązku udostępniania osobie zainteresowanej nośnika, na którym przetwarzane są dane osobowe oraz danych, które nie stanowią danych osobowych, w rozumieniu art. 4pkt 1 RODO. Organ nadzorczy wskazał, że realizując obowiązek wynikający z art. 15 ust. 3 RODO, administrator danych może poprzestać na wskazaniu treści danych dotyczących osoby, z wyłączeniem pozostałych informacji zawartych na nośniku. Organ nadzorczy podniósł, że wykonanie obowiązku określonego w art. 15 ust. 3 RODO może być zatem realizowane zarówno poprzez sporządzenie kopii lub odpisu dokumentu (nośnika) zawierającego dane osobowe oraz inne dane, jak i poprzez podanie uprawnionemu treści jego danych osobowych, z pominięciem informacji znajdujących się w nośniku, które nie są danymi osobowymi, w rozumieniu art. 4 pkt 1 RODO. Prezes UODO uznał zatem, że nie ma konieczności udostępniania każdego z posiadanych dokumentów, jeżeli zakres danych, który jest w nich zawarty jest taki sam. Organ nadzorczy podkreślił również, że w przypadku zwrócenia się do administratora danych o kopię przetwarzanych danych osobowych, administrator danych każdorazowo podejmuje decyzję, w jaki sposób zrealizuje to uprawnienie. Zdaniem Prezesa UODO, administrator danych może dokonać wyboru, czy udostępnia kopię dokumentów, czy też udostępnia kopię danych zawartych w tych dokumentach. Mając powyższe na uwadze, Prezes UODO stwierdził, iż spółka I. sp. z o.o. w prawidłowy sposób wypełniła wobec skarżącego obowiązek informacyjny określony w art. 15 ust. 1 oraz ust. 3 RODO. Prezes Urzędu Ochrony Danych Osobowych podkreślił, że ocena dokonywana przez niego w każdym przypadku służy zbadaniu zasadności skierowania pod adresem określonego podmiotu rozstrzygnięcia odpowiadającego dyspozycji art. 58 ust. 2 RODO, służącego przywróceniu stanu zgodnego z prawem w procesie przetwarzania. Mając powyższe na względzie, Prezes UODO uznał, że w przedmiotowej sprawie spółka zrealizowała jednak prawa skarżącego, w związku z czym organ nadzorczy nie może nakazać przywrócenia stanu zgodnego z prawem. W piśmie z dnia [...] lipca 2020 r. skarżący, działając za pośrednictwem organu nadzorczego, wniósł do Wojewódzkiego Sądu Administracyjnego w Warszawie skargę na powyższą decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] czerwca 2020 r. Wnosząc w petitum skargi o uchylenie zaskarżonej decyzji Prezesa UODO, a także o zasądzenie od organu nadzorczego na rzecz strony skarżącej zwrotu kosztów postępowania sądowego, skarżący zarzucił organowi nadzorczemu: I. naruszenie przepisów postępowania, które miało istotny wpływ na wynik sprawy, tj.: 1) naruszenie art. 7 i art. 77 § 1 k.p.a. - poprzez wydanie decyzji na podstawie niewystarczającego materiału dowodowego zebranego w sprawie w sposób niepozwalający na dokładne wyjaśnienie stanu faktycznego oraz na prawidłowe rozpoznanie złożonej przez stronę skarżącą skargi, 2) naruszenie art. 80 k.p.a. - poprzez dowolną ocenę całokształtu zebranego materiału dowodowego z pominięciem stanowiska skarżącego oraz w wyniku błędnego rozkładu ciężaru dowodu dotyczącego wykazania spełnienia obowiązku przez administratora danych osobowych, 3) naruszenie art. 6 k.p.a. - na skutek przeprowadzenia nierzetelnego postępowania dowodowego, ograniczającego się głównie do odebrania wyjaśnień od pełnomocnika administratora danych; II. naruszenie przepisów prawa materialnego, tj.: 1) naruszenie art. 6 ust. 1 lit. a RODO - poprzez brak sprawdzenia zakresu zgody skarżącego na przetwarzanie jego danych osobowych oraz zgody dotyczącej celu przetwarzania tych danych osobowych, 2) art. 13 ust. 3 RODO - poprzez przyjęcie, iż spółka I. sp. z o.o. w prawidłowy sposób wypełniła obowiązek informacyjny w zakresie udostępnienia przetwarzanych danych osobowych. W uzasadnieniu skargi skarżący zauważył na wstępie, że jako klient w/w spółki wnosił o udostępnienie nagranych zapisów dźwiękowych z przeprowadzonych rozmów telefonicznych z należących do niego numerów, których jest abonentem, a które zrealizowane zostały z ASO [...] w S. oraz kopii dokumentów ekspertyzy rzeczoznawcy P.H. powołanego przez spółkę I. sp. z o.o. Skarżący podkreślił, że są to istotne dane, do których nie posiada cały czas dostępu. Skarżący stwierdził, że spółka nie udostępniając ich, powołuje się obecnie również na ich treść, która rzekomo uzasadniać miała moją odpowiedzialność za awarię silnika pojazdu, która była w istocie konsekwencją jego wady fabrycznej. Zdaniem skarżącego, powyższa manipulacja danymi osobowymi, których nie udostępniono stronie dotychczas, ma niewątpliwie na celu uniknięcie przez spółkę odpowiedzialności za sprzedaż auta z pękniętym korpusem silnika. Ponadto, skarżący zarzucił, że administrator danych uchybił również względem jego osoby w zakresie dopełnienia prawnych obowiązków podczas pozyskiwania danych osobowych, w tym przysługującego skarżącemu - zgodnie z art. 13 RODO - prawa do uzyskania informacji o przetwarzaniu danych osobowych oraz jego celu. Skarżący zauważył, iż wniósł skargę do Prezesa UODO dotyczącą nieprawidłowego przetwarzaniem jego danych osobowych przez firmę I. sp. z o.o. po upływie terminu przysługującego administratorowi na udzielenie odpowiedzi osobie, której dane osobowe dotyczą, a której dane osobowe przetwarza. Skarżący wskazał bowiem, że zgodnie z motywem 59 preambuły do RODO, administrator zobowiązany jest udzielić odpowiedzi na żądania osób, których dane dotyczą, bez zbędnej zwłoki - najpóźniej w terminie miesiąca, a jeżeli nie zamierza spełnić takiego żądania - podać tego przyczyny. Skarżący zauważył, że Prezes UODO, uzasadniając swoje stanowisko w spornej decyzji z dnia [...] czerwca 2020 r., przyjął, że spółka prawidłowo wywiązała się z obowiązków wynikających z RODO, opierając się przy tym wyłącznie na piśmie wyjaśniającym spółki z dnia [...] stycznia 2020 r., które w istocie stanowi jedyny materiał dowodowy przedstawiony przez administratora danych w niniejszej sprawie. W tej sytuacji, skarżący stwierdził, że uzasadniony jest zarzut naruszenia art. 77 § 1 w zw. z art. 7 k.p.a., albowiem sporna decyzja wydana została na podstawie niewystarczającego materiału dowodowego zebranego w sprawie w sposób nie pozwalający na dokładne wyjaśnienie stanu faktycznego i w konsekwencji prawidłowego rozpoznania złożonej przez skarżącego skargi. W ocenie skarżącego, organ nadzorczy pominął szereg okoliczności istotnych do rozpatrzenia złożonej przez niego skargi, w tym kwestię braku zgody na nagrywanie rozmów telefonicznych, a także kwestię braku udostępnienia zapisów dźwiękowych nagrywanych rozmów telefonicznych z numeru [...], którego skarżący jest abonentem, a które zostały zrealizowane z ASO [...] w S. w okresie między dniem [...] marca 2019 r., a dniem [...] kwietnia 2019 r. Ponadto, według skarżącego organ nadzorczy zignorował fakt nieudostępnienia przez spółkę zapisów dźwiękowych nagrywanych rozmów telefonicznych z numeru [...], którego skarżący jest abonentem, a które zostały zrealizowane z ASO [...] w S. w dniu [...] czerwca 2019 r., a także fakt braku udostępnienia kopii ekspertyzy rzeczoznawcy P.H. powołanego przez spółkę I. sp. z o.o. w sprawie awarii posiadanego przez skarżącego auta marki [...], o nr rejestracyjnym [...]. Skarżący podniósł, że Prezes UODO swoje ustalenia faktyczne w zakresie wskazanych wyżej nagrań dźwiękowych oprał jedynie na wyjaśnieniach spółki, gdy tymczasem w rzeczywistości spółka do dnia wniesienia skargi do WSA w Warszawie nie udostępniła nagrań kluczowych dla odpowiedzialności jej pracowników. Skarżący zarzucił, że organ nadzorczy, opierając się wyłącznie na wyjaśnieniach spółki, nie dostrzegł, iż zapis dźwiękowy na urządzeniu przenośnym pendrive, na który organ powołał się w uzasadnieniu spornej decyzji, nie obejmował kluczowych nagrań (tj. nagrań z okresu od dnia [...] marca do dnia [...] kwietnia 2019r. oraz nagrania z dnia [...] czerwca 2019r.), co było przecież powodem wniesienia skargi do Prezesa UODO. Ponadto, skarżący zarzucił, że organ nadzorczy bezpodstawnie przyjął również założenie oparte wyłącznie na wyjaśnieniach spółki, iż ekspertyza rzeczoznawcy P.H. nie obejmuje danych osobowych. Tymczasem, jak wskazał skarżący, w istocie dane są w niej zawarte w zakresie dotyczącym sposobu eksploatacji auta, zapisów komputera pokładowego dotyczącego użytkowania auta i miejsc nim odwiedzanych, czy też korespondencji skarżącego zapisanej w komputerze pokładowym. W konsekwencji, zdaniem skarżącego, oczywistym jest więc, że w/w ekspertyza rzeczoznawcy dotyczyła danych osobowych skarżącego. Mając powyższe na względzie, organ nadzorczy - naruszając art. 77 § 1 k.p.a. w związku z art. 7 k.p.a. - wydał sporną decyzję wyłącznie na podstawie wspomnianego pisma spółki z dnia [...] stycznia 2020 r., pomijając zupełnie fakt, iż okoliczności uzasadniające skargę nie ustały na dzień wydania decyzji. Skarżący stwierdził, że wyjaśnienia spółki nie mogą zastępować dowodu w sprawie administracyjnej. Według skarżącego, wspomniane wyjaśnienia stanowią jedynie ustosunkowanie się drugiej strony, bez przedłożenia konkretnych dowodów wskazujących na prawidłowość procesu przetwarzania danych osobowych. Ponadto, skarżący zauważył, że ze spornej decyzji Prezesa UODO wynika, iż nośnik zawierający dane osobowe, o które skarżący wnioskował, został wydany w ograniczonym zakresie przez pracowników spółki bez zidentyfikowania osoby, która go odebrała. W tej sytuacji, skarżący zarzucił, że niniejszym brak jest dowodu w postaci pisemnego potwierdzenia otrzymania przez skarżącego nośnika zawierającego należące do jego osoby dane osobowe, tj. nagrania z okresu od dnia [...] marzec do dnia [...] kwiecień 2019 r. oraz z dnia [...] czerwca 2019 r. Skarżący uznał, że ciężar dowodu ich udostępnienia spoczywał w niniejszym postępowaniu na spółce, która w niniejszym postępowaniu tych wymagań nie spełniła. Jednocześnie, skarżący podkreślił, iż w skardze do Prezesa UODO z dnia [...] grudnia 2019 r. wnosił również o kontrolę procesu przetwarzania danych osobowych przez spółkę, gdyż istnieje duże prawdopodobieństwo zaniedbań i braku stosowania się do regulacji przewidzianych w celu ochrony danych osobowych. Tymczasem, jak zauważył skarżący, pomimo, iż na podstawie art. 68 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych, organ nadzorczy jest uprawniony do przeprowadzenia postępowania kontrolnego w celu uzupełnienia materiału dowodowego, to jednak wydając zaskarżoną decyzję, organ ten nie przeprowadził kontroli w siedzibie administratora danych, dając wiarę jedynie dowodom przestawionym w postaci pisma wyjaśniającego spółki. Mając na uwadze powyższe, skarżący uznał, że uzasadniony jest zarzut naruszenia art. 80 k.p.a., z uwagi na dowolną ocenę całokształtu zebranego materiału dowodowego, z pominięciem stanowiska skarżącego oraz poprzez błędne rozłożenie ciężaru dowodu dotyczącego wykazania spełnienia obowiązku przez administratora danych osobowych. Skarżący, powołując się na stanowisko wyrażone przez Naczelny Sąd Administracyjny w wyroku z dnia 13 grudnia 2019 r., sygn. akt II OSK 315/18 - stwierdził, że organ nadzorczy z nieznanych skarżącemu powodów przyjął okoliczności sprzeczne z danymi uzasadniającymi złożenie skargi, opierając się wyłącznie na pisemnych wyjaśnieniach spółki, które - według skarżącego - takiego stanowiska nie uzasadniały, w szczególności w zakresie zarzutu braku udostępnienia rozmów telefonicznych za okres [...] marca - [...] kwietnia 2019 r. oraz z dnia [...] czerwca 2020 r. Skarżący uznał ponadto, że uzasadniony jest również zarzut naruszenie art. 6 k.p.a., z uwagi na przeprowadzenie nierzetelnego postępowania dowodowego, w ramach którego organ nadzorczy ograniczył się wyłącznie do odebrania wyjaśnień od administratora danych. Według skarżącego, uchybienia dokonane przez Prezesa UODO w toku postępowania w postaci zebrania niewystarczającego materiału dowodowego oraz jego błędnej oceny, a także błędnego rozłożenia ciężaru dowodu w postępowaniu, doprowadziły w konsekwencji do braku możliwości dokonania oceny całokształtu materiału dowodowego istotnego do rozstrzygnięcia sprawy. Uzasadniając z kolei zarzut naruszenia art. 6 ust. 1 lit a RODO, skarżący stwierdził, że organ nadzorczy nie sprawdził w toku postępowania zakresu zgody skarżącego oraz celu przetwarzania danych osobowych. Tymczasem, jak zauważył skarżący, spółka nigdy nie odbierała od niego zgody na nagrywanie rozmów telefonicznych oraz ich późniejsze przetwarzania, a także nie poinformowała skarżącego o przetwarzaniu nagrywanych rozmów telefonicznych oraz o celu tej czynności. Ponadto, podnosząc zarzut naruszenia art. 13 ust. 3 RODO, skarżący wskazał, że organ nadzorczy przyjął, iż spółka w prawidłowy sposób wypełniła obowiązek informacyjny w zakresie udostępnienia przetwarzanych danych osobowych. Tymczasem, jak podniósł skarżący, organ nadzorczy błędnie ustalił, iż doszło do udostępnienia skarżącemu nagrań za okres od dnia [...] marca do dnia [...] kwietnia 2019 r. oraz z dnia [...] czerwca 2020 r. Skarżący zauważył, że - wbrew ustaleniom organu nadzorczego - spółka celowo odmówiła udostępnienia spornych nagrań rozmów, ponieważ potwierdzają one okoliczności obciążające jej pracowników za awarię silnika pojazdu oraz nieskuteczne naprawy. W tej sytuacji, skarżący podkreślił, że nadal nie zostały mu udostępnione wspomniane nagrania, co w konsekwencji uzasadnia wniosek, iż spółka, jako administrator danych, w rozumieniu RODO, nie spełniła obowiązku udostępnienia danych osobowych określonego w art. 13 ust. 3 RODO. W odpowiedzi na skargę Prezes Urzędu Ochrony Danych Osobowych wniósł o jej oddalenie, podtrzymując swoje dotychczasowe stanowisko wyrażone w uzasadnieniu zaskarżonej decyzji. Ustosunkowując się do zarzutów strony skarżącej dotyczących naruszenia art. 7, art. 77 i art. 80 k.p.a., Prezes UODO uznał, że sporna decyzja z dnia [...] czerwca 2020 r. wydana była w oparciu o materiał dowodowy wystarczający do ustalenia stanu faktycznego sprawy. Organ nadzorczy - powołując się na stanowisko wyrażone w uzasadnieniu wyroku Naczelnego Sądu Administracyjnego z dnia 27 kwietnia 2020 r., sygn. akt II OSK 445/19 - stwierdził, że uchybienie przez organy normom zawartym w przepisach art. 7 i art. 77 § 1 k.p.a. ma miejsce jedynie wówczas, gdy wbrew obowiązkowi należytego wyjaśnienia sprawy nie ustalają one faktów, czy też zdarzeń, które mają znaczenie dla załatwienia sprawy, czyli mają znaczenie dla zastosowania określonej normy prawa materialnego, przyznającej stronie konkretne uprawnienie lub przewidującej jej obowiązek publicznoprawny. Tymczasem, jak stwierdził organ nadzorczy, skarżący w swojej skardze nie wykazał, jakie dodatkowe, konkretne fakty oraz zdarzenia, które przeczyłyby przyjętym ustaleniom, zostały pominięte przez Prezesa UODO. Według organu nadzorczego, w analizowanej sprawie brak jest dowodów mogących świadczyć o tym, że rozstrzygnięcie w sprawie nastąpiło wbrew ustaleniom materiału dowodowego. Odnosząc się z kolei do zarzutu dotyczącego naruszenia art. 6 k.p.a., Prezes UODO wskazał, że w trakcie postępowania uwzględnił nie tylko wyjaśnienia spółki, ale również informacje otrzymane od skarżącego. Ponadto, organ nadzorczy za bezpodstawne uznał również zarzuty skarżącego dotyczące naruszenia art. 6 ust. 1 lit. a oraz art. 13 ust. 3 RODO. Organ nadzorczy zauważył bowiem, iż w skardze z dnia [...] grudnia 2019 r. skarżący poinformował o naruszeniu praw wynikających z art. 15 ust. 1 oraz ust. 3 RODO, polegającym na niezrealizowaniu przez spółkę prawa dostępu do danych oraz nieprzekazania kopii danych osobowych skarżącego. Organ nadzorczy stwierdził natomiast, że skarżący w swoim żądaniu nie odnosił się do kwestii naruszenia art. 6 ust. 1 lit. a oraz art. 13 ust. 3 RODO, w związku z czym Prezes UODO nie prowadził postępowania administracyjnego w tym zakresie. Prezes UODO wskazał, że w trakcie prowadzonego postępowania ustalono, że spółka udostępniła skarżącemu informacje na temat przetwarzania jego danych osobowych, a także systematycznie realizowała wnioski skarżącego w zakresie art. 15 ust. 1 i ust. 3 RODO. Organ nadzorczy stwierdził, że spółka przekazała skarżącemu kopię jego danych osobowych, w tym rozmów telefonicznych, w formie plików zapisanych na nośniku zewnętrznym, jakim jest pendrive. Spółka nie przekazała jednak kopii ekspertyzy rzeczoznawcy P.H., wskazując, że dokument ten nie zawiera danych osobowych skarżącego oraz stanowi wewnętrzny dokument spółki. W tym miejscu, organ nadzorczy zauważył, że udostępnienie kopii danych, zgodnie z art. 15 ust. 3 rozporządzenia nr 2016/679, nie jest równoznaczne z obowiązkiem udostępnienia kopii dokumentów. Zdaniem organu nadzorczego, administrator danych nie ma bowiem obowiązku udostępniania osobie zainteresowanej nośnika, na którym przetwarzane są dane osobowe oraz danych, które nie stanowią danych osobowych, w rozumieniu art. 4 pkt 1 RODO. W tej sytuacji, jak stwierdził organ nadzorczy, realizując obowiązek wynikający z art. 15 ust. 3 RODO, administrator danych może poprzestać na wskazaniu treści danych dotyczących osoby, z wyłączeniem pozostałych informacji zawartych na nośniku. Prezes UODO uznał, że wykonanie obowiązku określonego w art. 15 ust. 3 rozporządzenia nr 2016/679 może być zatem realizowane zarówno poprzez sporządzenie kopii lub odpisu dokumentu (nośnika) zawierającego dane osobowe oraz inne dane, jak i poprzez podanie uprawnionemu treści jego danych osobowych, z pominięciem informacji znajdujących się w nośniku, które nie są danymi osobowymi, w rozumieniu art. 4 pkt 1 RODO. Według Prezesa UODO, nie ma zatem konieczności udostępniania każdego z posiadanych dokumentów, jeżeli zakres danych, który jest w nich zawarty, jest taki sam. Organ nadzorczy podkreślił również, że w przypadku zwrócenia się do administratora o kopię przetwarzanych danych osobowych, administrator każdorazowo podejmuje decyzję, w jaki sposób zrealizuje to uprawnienie. W konsekwencji, zdaniem organu nadzorczego, administrator może dokonać wyboru, czy udostępnia kopię dokumentów, czy też udostępnia kopię danych zawartych w tych dokumentach. Mając powyższe na uwadze, Prezes UODO stwierdził, iż spółka w prawidłowy sposób wypełniła wobec skarżącego obowiązek informacyjny określony w art. 15 ust. 1 oraz ust. 3 RODO. Reasumując, Prezes Urzędu Ochrony Danych Osobowych uznał, iż skarga powinna zostać oddalona, jako całkowicie bezzasadna. W przesłanym do Sądu piśmie procesowym z dnia [...] października 2020 r. uczestnik postępowania - spółka I. sp. z o.o., reprezentowana przez radcę prawnego, wniosła o oddalenie skargi, uznając ją za bezzasadną. W uzasadnieniu pisma procesowego uczestnik postępowania, podtrzymując swoje dotychczasowe stanowisko zaprezentowane w toku postępowania wyjaśniającego, stwierdził, że zrealizował wszystkie żądania skarżącego w granicach przewidzianych przez RODO oraz udostępnił nagrania wszystkich rozmów telefonicznych, składając je również do akt sprawy. Natomiast, jak wskazał uczestnik postępowania, spółka nie udostępniła kopii dokumentu wewnętrznego, natomiast udostępniła wszystkie dane w tym dokumencie zawarte. W tym miejscu, spółka zauważyła, że RODO nie przewiduje udostępniania kopii dokumentów, a udostępnienie kopii danych osobowych. Tym samym, spółka uznała, że udostępniając kopię danych osobowych zawartych w dokumencie wewnętrznym, w pełni zrealizowała zobowiązanie do udostępnienia kopii danych osobowych określone w art. 15 ust. 3 RODO, o którą to kopię wnioskował skarżący. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje. Zgodnie z art. 1 § 1 i 2 ustawy z dnia 25 lipca 2002 r. - Prawo o ustroju sądów administracyjnych (tekst jednolity Dz. U. z 2021 r., poz. 137), sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej, przy czym kontrola ta sprawowana jest pod względem zgodności z prawem, jeżeli ustawy nie stanowią inaczej. W świetle powołanych przepisów cyt. ustawy, Wojewódzki Sąd Administracyjny w Warszawie, w zakresie swojej właściwości, ocenia zaskarżoną decyzję administracyjną, postanowienie, czy też inny akt lub czynność z zakresu administracji publicznej dotyczącą uprawnień lub obowiązków wynikających z przepisów prawa, z punktu widzenia ich zgodności z prawem materialnym i przepisami postępowania administracyjnego, według stanu faktycznego i prawnego obowiązującego w dacie wydania tego aktu lub podjęcia spornej czynności. Chodzi więc o kontrolę aktów lub czynności z zakresu administracji publicznej dokonywaną wyłącznie pod względem ich zgodności z prawem materialnym i przepisami procesowymi, nie zaś według kryteriów słuszności, czy też zgodności z zasadami współżycia społecznego. Ponadto, co wymaga podkreślenia, Sąd rozstrzyga w granicach danej sprawy, nie będąc jednak związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną (vide: art. 134 § 1 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi - tekst jednolity Dz. U. z 2019 r., poz. 2325 ze zm. - dalej także: "P.p.s.a."). Należy jednocześnie wyraźnie zaznaczyć, że od dnia wejścia w życie Traktatu Akcesyjnego z dnia 16 kwietnia 2003 r. (Dz. U. z 2004 r. Nr 90, poz. 864), na mocy którego Polska stała się państwem członkowskim Unii Europejskiej, kontrola sądu administracyjnego obejmuje również zgodność rozstrzygnięć organów administracji publicznej z prawem europejskim (prawem Unii Europejskiej), rozumianym, jako całokształt dorobku prawnego Unii Europejskiej (acquis communautaire), w tym zasad ogólnych prawa europejskiego, interpretowanych oraz stosowanych w sposób jednolity na całym obszarze Unii Europejskiej. Należy zauważyć, że zgodnie z zasadą pierwszeństwa, prawo Unii Europejskiej ma wartość nadrzędną nad prawem krajowym państw członkowskich Unii Europejskiej. Nie ulega wątpliwości, że zasada pierwszeństwa dotyczy wszystkich aktów wspólnotowych, które mają moc wiążącą. W konsekwencji, państwa członkowskie UE nie mogą więc stosować przepisu krajowego, który jest niezgodny z prawem Unii Europejskiej, albowiem zasada pierwszeństwa gwarantuje jednolitą ochronę prawną obywateli na całym terytorium Unii Europejskiej. Jednocześnie, należy wyraźnie podkreślić, że sądy krajowe, będące zarazem sądami unijnymi, muszą czuwać nad przestrzeganiem wspomnianej zasady pierwszeństwa, gdyż stanowi ona istotę funkcjonowania wspólnoty europejskiej w ramach jednego porządku prawnego ustalonego prawem traktatowym UE. Warto również zwrócić uwagę na zasadę bezpośredniego skutku prawa Unii Europejskiej, która umożliwia podmiotom indywidualnym powoływanie się bezpośrednio na prawo unijne przed sądami i to niezależnie od tego, czy w prawie krajowym istnieją podobne regulacje prawne. W ten sposób zasada bezpośredniego skutku gwarantuje stosowanie i skuteczność prawa unijnego w państwach członkowskich UE. Zasada bezpośredniego skutku dotyczy nie tylko prawa pierwotnego zawartego w Traktatach UE, ale także aktów prawa wtórnego, a więc aktów przyjętych przez instytucje UE na podstawie wspomnianego prawa traktatowego. W tym miejscu, należy jednak wyraźnie zauważyć, że zakres bezpośredniego skutku zależy od rodzaju danego aktu. W świetle zarówno przepisów traktatowych, jak i dotychczasowego orzecznictwa Trybunału Sprawiedliwości Unii Europejskiej, pełny skutek bezpośredni mają przepisy rozporządzeń, które są bezpośrednio stosowane w państwach członkowskich UE. W tej sytuacji, Wojewódzki Sąd Administracyjny w Warszawie, dokonując oceny legalności zaskarżonej decyzji Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] czerwca 2020 r., zobowiązany był zbadać jej zgodność przede wszystkim z przepisami prawa europejskiego, w tym w szczególności z regulacjami zawartymi w rozporządzeniu Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych - zwane także: "RODO"). W ocenie Wojewódzkiego Sądu Administracyjnego w Warszawie, analizowana pod tym kątem skarga M.L. zasługuje na uwzględnienie, albowiem zaskarżona decyzja Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] czerwca 2020 r. odmawiająca uwzględnienia wniosku skarżącego w sprawie zainicjowanej jego skargą na nieprawidłowości w procesie przetwarzania danych osobowych skarżącego przez spółkę I. sp. z o.o. z siedzibą w W. - narusza w sposób istotny obowiązujące przepisy prawa. Sąd uznał, że Prezes UODO, wydając sporną decyzję z dnia [...] czerwca 2020 r., dopuścił się naruszenia zarówno wiążących Polskę przepisów prawa europejskiego, jak i regulacji prawa krajowego, w stopniu mającym istotny wpływ na końcowy wynik sprawy zakończonej wydaniem wspomnianej decyzji administracyjnej. Analizując niniejszą sprawę, Sąd doszedł do wniosku, że organ nadzorczy, wydając przedmiotową decyzję z dnia [...] czerwca 2020 r., dopuścił się przede wszystkim - mogącego mieć zasadniczy wpływ na wynik sprawy - naruszenia przepisów procedury administracyjnej, a w szczególności art. 7 k.p.a., art. 77 § 1 k.p.a., art. 80 k.p.a., a także art. 107 § 3 k.p.a. w zw. z art. 7 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych, polegającego przede wszystkim na przekroczeniu granic swobodnej oceny dowodów i w konsekwencji błędnym przyjęciu, że z zebranego w sprawie materiału dowodowego wynika jednoznacznie, że spółka I. sp. z o.o. z siedzibą w W., jako administrator danych, spełniła obowiązek, o którym mowa w art. 15 ust. 3 RODO, udostępniając skarżącemu kopię wnioskowanych przez niego danych osobowych podlegających przetwarzaniu. Jednocześnie, Sąd uznał, że - wbrew stanowisku organu nadzorczego - przyjąć należy również, iż wydając sporną decyzję administracyjną kończącą postępowanie zainicjowane skargą M.L. z dnia [...] grudnia 2019 r., Prezes UODO w sposób nieprawidłowy ocenił całość zarzutów strony skarżącej, ograniczając się jedynie do zbadania kwestii wywiązania się przez administratora danych z obowiązku, o którym mowa w art. 15 ust. 3 RODO, bez sprawdzenia tym samym, czy w rozpatrywanej sprawie nie doszło do podnoszonego przez skarżącego naruszenia polegającego na przetwarzaniu jego danych osobowych bez zgody osoby, której dane dotyczą, a więc bez ustalenia w toku postępowania sprawdzającego, czy nie doszło do naruszenia art. 6 ust. 1 lit. a RODO. Tym samym, Sąd uznał, że Prezes Urzędu Ochrony Danych Osobowych, wydając sporną decyzję administracyjną - dopuścił się w powyższym zakresie istotnego naruszenia zasady praworządności wyrażonej w przepisach art. 6 k.p.a. i art. 7 in principio k.p.a. oraz art. 7 Konstytucji RP. Przechodząc do oceny legalności zaskarżonej decyzji, należy zauważyć na wstępie, że przedmiotem sporu była zarówno kwestia prawidłowości ustaleń organu nadzorczego w zakresie samego zakwalifikowania działań podjętych przez spółkę I. sp. z o.o. z siedzibą w W., będącą administratorem danych, jako działań wypełniających obowiązek, o którym mowa w art. 15 ust. 3 RODO, jak również kwestia prawidłowości objęcia postępowaniem wyjaśniającym organu nadzorczego wszystkich stawianych przez skarżącego zarzutów dotyczących działań wskazanego administratora, a w konsekwencji ocena zasadności odmowy uwzględnienia wniosku skarżącego o podjęcie wobec wskazanej wyżej spółki prawnie wiążącego środka naprawczego, o którym mowa w art. 58 RODO, czy też nałożenia na wspomnianą spółkę stosownej kary pieniężnej, o której mowa w art. 83 RODO. W niniejszej sprawie Prezes UODO, wydając zaskarżoną decyzję, stwierdził, iż w trakcie prowadzonego postępowania ustalono, że spółka I. sp. z o.o., będąca administratorem danych, udostępniła skarżącemu informacje na temat przetwarzania jego danych osobowych, a także systematycznie realizowała wnioski skarżącego w zakresie art. 15 ust. 1 i ust. 3 RODO. Organ nadzorczy uznał, że spółka przekazała skarżącemu kopię jego danych osobowych, w tym rozmów telefonicznych, w formie plików zapisanych na nośniku, jakim jest pendrive. Jednocześnie, Prezes UODO zauważył, że spółka nie przekazała natomiast kopii ekspertyzy sporządzonej przez rzeczoznawcę P.H., wskazując, że dokument ten nie zawiera danych osobowych skarżącego oraz stanowi wewnętrzny dokument spółki. Natomiast, dopiero w odpowiedzi na skargę organ nadzorczy, odnosząc się do zarzutu skarżącego dotyczącego naruszenia art. 6 ust. 1 lit. a RODO, zauważył, iż skarżący w skardze z dnia [...] grudnia 2019 r. ograniczył się wyłącznie do podniesienia zarzutu naruszenia praw wynikających z art. 15 ust. 1 oraz ust. 3 RODO, polegającym na niezrealizowaniu przez spółkę prawa dostępu do danych oraz nieprzekazania kopii danych osobowych skarżącego, co - zdaniem organu nadzorczego - uzasadniało brak prowadzenia jakiegokolwiek postępowania wyjaśniającego w zakresie kwestii naruszenia art. 6 ust. 1 lit. a RODO. Organ nadzorczy uznał w konsekwencji, że skoro w procesie przetwarzania danych osobowych przez administratora nie doszło do naruszeń przepisów RODO, to tym samym w przedmiotowej sprawie nie było podstaw prawnych do spełnienia żądania strony skarżącej w zakresie wydania wobec administratora danych któregokolwiek z nakazów, o których mowa w art. 58 RODO, czy też do nałożenia na niego kary pieniężnej, o której mowa w art. 83 RODO. W ocenie Sądu, uznać należy jednak, iż dokonując powyższych ustaleń, organ nadzorczy dopuścił się istotnego naruszenia prawa. Należy wyraźnie wskazać, że Prezes Urzędu Ochrony Danych Osobowych jest organem właściwym w sprawie ochrony danych osobowych (art. 34 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych) i jednocześnie organem nadzorczym, w rozumieniu rozporządzenia 2016/679 (art. 34 ust. 2 u.o.d.o.). Jak stanowi art. 57 ust. 1 lit. a i lit. f RODO, bez uszczerbku dla innych zadań określonych na mocy niniejszego rozporządzenia, każdy organ nadzorczy na swoim terytorium monitoruje i egzekwuje stosowanie niniejszego rozporządzenia, a także rozpatruje skargi wniesione przez osobę, której dane dotyczą. Nie ulega wątpliwości, że rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) stanowi kompleksową regulację dotyczącą ochrony danych osobowych, która nie wymaga implementacji ustawą krajową, aby mogła być stosowana w danym państwie. Jednocześnie, państwom członkowskim Unii Europejskiej pozostawiono jednak pewien zakres swobody w zakresie regulacji na poziomie krajowym, aby niektóre zagadnienia doprecyzować (np. w przypadku organu nadzorczego, czy odpowiedzialności za naruszenie zasad ochrony danych osobowych), czy też dostosować zasady wprowadzone przez RODO do innych obowiązujących w danym porządku prawnym zasad. Ze wskazanych wyżej przepisów art. 57 ust. 1 lit. a i lit. f RODO wynika m.in., iż procedura, w ramach której prowadzone są postępowania zainicjowane skargą wniesioną przez osobę, której dane dotyczą, określana jest przez poszczególne państwa członkowskie Unii Europejskiej. Pozostawienie w tym zakresie państwom członkowskim autonomii jest wyrazem realizacji zasady autonomii proceduralnej państw członkowskich. W tej sytuacji, skargi są wnoszone i rozpatrywane na podstawie przepisów proceduralnych obowiązujących w danym państwie członkowskim UE. Art. 60 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych stanowi, że postępowanie w sprawie naruszenia przepisów o ochronie danych osobowych, zwane dalej "postępowaniem", jest prowadzone przez Prezesa Urzędu. Nie ulega wątpliwości, że postępowanie w sprawie naruszenia przepisów o ochronie danych jest jednym z postępowań administracyjnych przed Prezesem Urzędu Ochrony Danych Osobowych. O takim jego charakterze rozstrzyga art. 7 ust. 1 ustawy o ochronie danych osobowych, który postępowanie z rozdziału 7 kwalifikuje jako administracyjne i przewiduje w sprawach w niej nieuregulowanych stosowanie do tego postępowania Kodeksu postępowania administracyjnego. Warto przy tym zauważyć, że ustawodawca w art. 7 ust. 1 cyt. ustawy nie przewiduje stosowania odpowiedniego, oznacza to zatem stosowanie przepisów ogólnej procedury administracyjnej wprost, z modyfikacjami wynikającymi z regulacji ustawy o ochronie danych osobowych. Użyte w art. 60 u.o.d.o. określenie "naruszenie przepisów o ochronie danych osobowych" ma zakres szeroki i obejmuje naruszenia wszystkich przepisów o ochronie danych, zarówno zawartych w unijnym rozporządzeniu, jak i w przepisach krajowych, które uzupełniają lub modyfikują regulacje unijne. Zgodnie z art. 7 ust. 1 u.o.d.o., w sprawach nieuregulowanych w ustawie do postępowań administracyjnych przed Prezesem Urzędu Ochrony Danych Osobowych, o których mowa w rozdziale 4-7 i 11 (a więc również w rozdziale 7 dotyczącym postępowania w sprawie naruszenia przepisów o ochronie danych osobowych), stosuje się przepisy Kodeksu postępowania administracyjnego. Zdaniem Sądu, nie ulega wątpliwości, że związanie rygorami procedury administracyjnej oznacza, iż Prezes UODO jest obowiązany m.in. do przestrzegania zasady pogłębiania zaufania obywateli do organów praworządnego Państwa (art. 8 § 1 k.p.a.). W tej sytuacji, organ nadzorczy, uwzględniając powyższą zasadę, zobowiązany jest przede wszystkim dokładnie wyjaśnić okoliczności sprawy, konkretnie ustosunkować się do żądań i twierdzeń strony skarżącej oraz uwzględnić w decyzji zarówno interes społeczny, jak i słuszny interes strony skarżącej. Organ nadzorczy jest ponadto obowiązany w sposób wyczerpujący zebrać i ocenić cały materiał dowodowy (art. 7, art. 77 § 1 i art. 80 k.p.a.) oraz uzasadnić swoje rozstrzygnięcie według wymagań określonych w przepisie art. 107 § 3 k.p.a. Jeżeli zatem określona osoba zgłasza Prezesowi Urzędu Ochrony Danych Osobowych nieprawidłowości w zakresie przetwarzania swoich danych osobowych, organ ten jest zobligowany do wszczęcia postępowania wyjaśniającego, którego zadaniem jest ustalenie, czy dane osobowe są w istocie przetwarzane, a jeżeli tak, to w jakim celu i czy proces ten następuje z poszanowaniem przepisów zarówno RODO, jak i ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych. Taka sytuacja miała miejsce w rozpoznawanej sprawie. Otóż, Prezes Urzędu Ochrony Danych Osobowych, rozpatrując skargę M.L. z dnia [...] grudnia 2019 r., zobowiązany był dokonać oceny, czy w sprawie doszło w ogóle do przetwarzania danych osobowych skarżącego, a w konsekwencji, czy ewentualnie sporne przetwarzanie - o ile do niego rzeczywiście doszło - było zgodne z prawem, przy jednoczesnym uwzględnieniu okoliczności przetwarzania tych danych, jeśli miało ono miejsce, a także przy uwzględnieniu całokształtu zgromadzonego w sprawie materiału dowodowego oraz w kontekście odpowiednio zastosowanych przepisów prawa, w tym przede wszystkim przepisów RODO oraz ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych. Należy zauważyć, iż w świetle przepisu art. 4 pkt 2 RODO, przez "przetwarzanie" rozumie się operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, takie jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie. W tej sytuacji, mając na względzie powyższą definicję przetwarzania, Prezes Urzędu Ochrony Danych Osobowych, jako organ nadzorczy, zobowiązany był, analizując wniesioną w dniu [...] grudnia 2019 r. skargę, przeprowadzić stosowne postępowanie wyjaśniające i na podstawie całokształtu zgromadzonego materiału dowodowego ustalić, czy powoływane przez skarżącego naruszenia praw wynikających z RODO zostały udowodnione. Z uwagi na fakt, iż zarówno RODO, jak i ustawa o ochronie danych osobowych nie regulują kwestii postępowania dowodowego i powinności organu nadzorczego związanych z czynieniem ustaleń faktycznych, zastosowanie w tym zakresie znajdują reguły i zasady określone w Kodeksie postępowania administracyjnego. Organ nadzorczy, rozstrzygając sprawę zainicjowaną wspomnianą skargą M.L., zobowiązany był więc uwzględnić fakt, iż dowodami w postępowaniu mogą być w szczególności dokumenty, zeznania świadków, opinie biegłych oraz oględziny (art. 75 § 1 k.p.a.). Celem postępowania administracyjnego jest rozstrzygnięcie sprawy administracyjnej dotyczącej konkretnie wskazanego adresata. Jednym ze stadiów postępowania jest stadium wyjaśniające - pozwalające ustalić dokładny stan faktyczny w danej sprawie. W wyniku postępowania wyjaśniającego organ administracji publicznej ma dojść do wskazanej w art. 7 k.p.a. prawdy obiektywnej, co czyni za pomocą środków dowodowych. Warto przy tym zauważyć, że Kodeks postępowania administracyjnego nie wskazuje dowodów "mocniejszych" oraz "słabszych", przyjmując zasadę równej mocy środków dowodowych. Kodeks postępowania administracyjnego nie określa również zamkniętego katalogu środków dowodowych, jakie mogą być stosowane w toku postępowania administracyjnego. Ustawodawca posłużył się jedynie przykładowym wyliczeniem, wskazując, że w szczególności mogą nimi być dokumenty, zeznania świadków, opinie biegłych oraz oględziny. Jako dowód może natomiast posłużyć wszystko, co jest zgodne z prawem i może przyczynić się do wyjaśnienia sprawy. Należy podkreślić, że chodzi tu o sprzeczność zarówno z prawem materialnym, jak i proceduralnym. Przyjęta w art. 75 § 1 k.p.a. koncepcja wskazuje, że wymienione przykładowo w tym przepisie dowody powinny zostać uznane za podstawowe i najczęściej stosowane w postępowaniu administracyjnym. Warto jednocześnie zauważyć, że o ile postępowanie w sprawie naruszenia przepisów o ochronie danych osobowych, którego dotyczy rozdział 7 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych, jest postępowaniem administracyjnym, do którego na podstawie art. 7 ust. 1 u.o.d.o. znajdują zastosowanie przepisy Kodeksu postępowania administracyjnego i w ramach którego to postępowania prowadzący je organ jest związany kodeksowymi standardami prowadzenia postępowania wyjaśniającego, o tyle Prezes UODO, jako organ nadzorczy, może ponadto skorzystać z możliwość posłużenia się w procesie gromadzenia dowodów takim instrumentem, jakim jest przeprowadzenie kontroli przestrzegania przepisów, o której mowa w art. 68 ust. 1 u.o.d.o. Zgodnie z art. 68 ust. 1 u.o.d.o., jeżeli w toku postępowania zajdzie konieczność uzupełnienia dowodów, Prezes Urzędu może przeprowadzić postępowanie kontrolne. Wspomniany przepis art. 68 ust. 1 u.o.d.o. pozwala organowi nadzorczemu dopuścić, jako dowód, materiały uzyskane w rezultacie przeprowadzonej kontroli. W ramach tego postępowania, kontrolujący ustala stan faktyczny na podstawie dowodów zabranych w postępowaniu kontrolnym, a w szczególności dokumentów, przedmiotów, oględzin oraz ustnych lub pisemnych wyjaśnień i oświadczeń (art. 87 u.o.d.o.). Kontrolujący może także przesłuchać w charakterze świadka pracownika kontrolowanego (art. 86 ust. 1 u.o.d.o.). W tym miejscu, należy oczywiście wyraźnie zauważyć, że postępowanie kontrolne jest postępowaniem odrębnie uregulowanym w ustawie, nie mają do niego zastosowania przepisy Kodeksu postępowania administracyjnego, albowiem art. 7 ust. 1 u.o.d.o. nie wymienia postępowania uregulowanego w rozdziale 9 cyt. ustawy. Niemniej jednak, wskazać trzeba, że zebrany w toku kontroli materiał dowodowy będzie materiałem podlegającym ocenie w postępowaniu, dla potrzeb którego został zebrany, czyli postępowaniu o charakterze administracyjnym, do którego zastosowanie znajdują przepisy Kodeksu postępowania administracyjnego i zgodnie z kodeksowymi zasadami oceny materiału dowodowego (tak również: Iwona Bogucka /w:/ Ustawa o ochronie danych osobowych. Komentarz, pod red. dr. Dominika Lubasza, WKP 2019, teza 4 komentarza do art. 68 u.o.d.o.). Mając na względzie powyższe, należy zauważyć, że Prezes UODO, przeprowadzając sporne postępowanie wyjaśniające bez wykorzystania wszelkich możliwych instrumentów prawnych, jakie dawała mu ustawa o ochronie danych osobowych, uzasadniając swoje stanowisko w decyzji z dnia [...] czerwca 2020 r., przyjął, że spółka prawidłowo wywiązała się z obowiązków wynikających z RODO, opierając się przy tym wyłącznie na piśmie wyjaśniającym administratora danych z dnia [...] stycznia 2020 r., które w istocie stanowi jedyny materiał dowodowy przedstawiony przez administratora danych w niniejszej sprawie. Tymczasem, skarżący wskazał wyraźnie w skierowanej do Sądu skardze, że organ nadzorczy pominął szereg okoliczności istotnych do rozpatrzenia złożonej przez niego w dniu [...] grudnia 2019 r. skargi, w tym kwestię braku zgody na nagrywanie rozmów telefonicznych, a także kwestię braku udostępnienia zapisów dźwiękowych nagrywanych rozmów telefonicznych z numeru, którego skarżący jest abonentem, a które zostały zrealizowane z ASO [...] w S. w okresie między dniem [...] marca 2019 r., a dniem [...] kwietnia 2019 r., a także w dniu [...] czerwca 2019 r. Ponadto, skarżący zarzucił, że organ nadzorczy bezpodstawnie przyjął również założenie oparte wyłącznie na wspomnianych wyżej pisemnych wyjaśnieniach spółki (administratora danych), iż ekspertyza rzeczoznawcy P.H. nie obejmuje danych osobowych, gdy tymczasem, jak wskazał skarżący, przedmiotowa ekspertyza rzeczoznawcy dotyczyła danych osobowych skarżącego. W tej sytuacji, w ocenie Sądu, uznać należy, iż Prezes UODO nie powinien dokonywać swoich ustaleń faktycznych opierając się wyłącznie na wyjaśnieniach jednej strony (administratora danych), skoro - wbrew tym ustaleniom - skarżący twierdzi, że w rzeczywistości spółka I. sp. z o.o. do dnia wniesienia skargi do WSA w Warszawie nie udostępniła kluczowych nagrań (tj. nagrań z okresu od dnia [...] marca do dnia [...] kwietnia 2019r. oraz nagrania z dnia [...] czerwca 2019r.), co było głównym powodem wniesienia skargi do Prezesa UODO. Warto jednocześnie zauważyć, iż organ nadzorczy, opierając się wyłącznie na wyjaśnieniach wskazanej wyżej spółki, zignorował również fakt, iż brak jest jednoznacznych dowodów na okoliczność przekazania kopii danych osobowych (rzekomo przekazanych skarżącemu w postaci zapisu dźwiękowego na urządzeniu przenośnym pendrive, na który organ powołał się w uzasadnieniu spornej decyzji). W tej sytuacji, Sąd uznał, iż uzasadniony jest zarzut naruszenia art. 77 § 1 w zw. z art. 7 k.p.a., albowiem sporna decyzja wydana została na podstawie niewystarczającego materiału dowodowego zebranego w sprawie w sposób niepozwalający na dokładne wyjaśnienie stanu faktycznego i w konsekwencji prawidłowego rozpoznania złożonej przez skarżącego skargi z dnia [...] grudnia 2019 r. Zgodzić się należy z zarzutem strony skarżącej, że w sytuacji wyraźnego sporu pomiędzy stronami, wyjaśnienia spółki nie mogą zastępować jednoznacznego dowodu w sprawie administracyjnej, skoro wspomniane wyjaśnienia stanowią jedynie ustosunkowanie się drugiej strony, bez przedłożenia konkretnych dowodów wskazujących na prawidłowość procesu przetwarzania danych osobowych. Ponadto, skarżący słusznie zauważył, że brak jest dowodu w postaci pisemnego potwierdzenia otrzymania przez skarżącego nośnika zawierającego należące do jego osoby dane osobowe, tj. nagrania z okresu od dnia [...] marzec do dnia [...] kwiecień 2019 r. oraz z dnia [...] czerwca 2019 r. Nie ulega tymczasem wątpliwości, że ciężar dowodu ich udostępnienia spoczywał w niniejszym postępowaniu przede wszystkim na spółce, jako administratorze danych. W tej sytuacji, uznać trzeba, że uzasadniony jest zarzut naruszenia art. 80 k.p.a., z uwagi na dowolną ocenę całokształtu zebranego materiału dowodowego, z pominięciem stanowiska skarżącego oraz poprzez błędne rozłożenie ciężaru dowodu dotyczącego wykazania spełnienia przez administratora danych osobowych obowiązku, o którym mowa w art. 15 ust. 3 RODO. Nie sposób zgodzić się również ze stanowiskiem organu nadzorczego, który odnosząc się do zarzutu braku sprawdzenia (wyjaśnienia) zarzut naruszenia art. 6 ust. 1 lit a RODO, ograniczył się do wskazania w odpowiedzi na skargę, że rzekomo skarżący nie podnosił tego zarzutu w swojej skardze inicjującej postępowanie. Tymczasem, zarówno z treści skargi z dnia [...] grudnia 2019 r., jak z treści pisma skarżącego z dnia [...] marca 2021 r. wynika, że skarżący zarzucał wyraźnie, iż spółka nigdy nie odbierała od niego zgody na nagrywanie rozmów telefonicznych oraz ich późniejsze przetwarzanie. Wojewódzki Sąd Administracyjny w Warszawie uznał tym samym, że Prezes UODO, wydając sporną decyzję, dopuścił się - mogącego mieć zasadniczy wpływ na wynik sprawy - naruszenia przepisów procedury administracyjnej, a w szczególności art. 7 k.p.a., art. 77 § 1 k.p.a., art. 80 k.p.a., a także art. 107 § 3 k.p.a. w zw. z art. 7 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych, polegającego przede wszystkim na przekroczeniu granic swobodnej oceny dowodów i w konsekwencji - błędnym przyjęciu, że z zebranego w sprawie materiału dowodowego wynika jednoznacznie, iż spółka I. sp. z o.o. z siedzibą w W., jako administrator danych, spełniła obowiązek, o którym mowa w art. 15 ust. 3 RODO, udostępniając skarżącemu kopię wnioskowanych przez niego danych osobowych podlegających przetwarzaniu. Jednocześnie, Sąd uznał, że wydając zaskarżoną decyzję administracyjną, Prezes UODO w sposób nieprawidłowy ograniczył się jedynie do zbadania kwestii wywiązania się przez administratora danych z obowiązku, o którym mowa w art. 15 ust. 3 RODO, bez sprawdzenia tym samym, czy w rozpatrywanej sprawie nie doszło do podnoszonego przez skarżącego zarówno w skardze z dnia [...] grudnia 2019 r., jak i piśmie z dnia [...] marca 2020 r. naruszenia polegającego na przetwarzaniu jego danych osobowych bez zgody osoby, której dane dotyczą, a więc bez ustalenia w toku postępowania sprawdzającego, czy nie doszło do naruszenia art. 6 ust. 1 lit. a RODO. W tej sytuacji, Sąd uznał, że Prezes Urzędu Ochrony Danych Osobowych, wydając sporną decyzję administracyjną - dopuścił się w powyższym zakresie istotnego naruszenia zasady praworządności wyrażonej w przepisach art. 6 k.p.a. i art. 7 in principio k.p.a. oraz art. 7 Konstytucji RP. Analizowane działanie Prezesa UODO w sposób istotny naruszało także zasadę zaufania obywateli do organów praworządnego państwa i stosowanego przez nie prawa, wyrażonej w art. 8 § 1 k.p.a. Nie ulega bowiem wątpliwości, że zasada zaufania wyrażona w przepisie art. 8 § 1 k.p.a. ma kontekst konstytucyjny i unijny, zaś organy administracji publicznej są obowiązane, w ramach wykładni zgodnej z prawem UE i Konstytucją RP, uwzględniać, że zasada zaufania, również w aspekcie procesowym, jest zasadniczym elementem zasady demokratycznego państwa prawa i jako taka ma swoje umocowanie i źródło w art. 2 Konstytucji RP. W związku z powyższym, skoro działanie organu nadzorczego nie spełniało w sposób ewidentny powyższych warunków, stanowiło to podstawę do wyeliminowania z obrotu prawnego zaskarżonej decyzji Prezesa UODO z dnia [...] czerwca 2020 r. Biorąc powyższe pod uwagę, Wojewódzki Sad Administracyjny w Warszawie - działając na podstawie art. 145 § 1 pkt 1 lit. a i c P.p.s.a. - orzekł, jak w pkt. 1 sentencji wyroku. Zasądzając jednocześnie od Prezesa Urzędu Ochrony Danych Osobowych na rzecz skarżącego kwotę 200 (dwieście) złotych tytułem zwrotu kosztów postępowania sądowego, Sąd działał na podstawie przepisów art. 200 w związku z art. 209 P.p.s.a. [pic][pic]