II SA/Wa 1157/24

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Ewa Radziszewska-Krupa, Sędzia WSA Łukasz Krzycki (spr.), Asesor WSA Dorota Kozub-Marciniak, , Protokolant specjalista Joanna Głowala po rozpoznaniu na rozprawie w dniu 14 marca 2025 r. sprawy ze skargi A. M. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] maja 2024 r. nr [...] w przedmiocie przetwarzania danych osobowych 1. uchyla zaskarżoną decyzję; 2. zasądza od Prezesa Urzędu Ochrony Danych Osobowych na rzecz skarżącego A. M. kwotę 697 (słownie: sześćset dziewięćdziesiąt siedem) złotych tytułem zwrotu kosztów postępowania. Zaskarżoną decyzją - przywołując, art. 6 ust. 1, art. 13 ust. 4, art. 12 ust. 3, art. 17 ust. 1 oraz art. 58 ust. 2 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy [...] (Dz.Urz. UE L. nr 119. str. 1, ze zm.), zwanego dalej "RODO", wobec skargi p. A. M. (zwanego dalej "Wnioskodawcą") na nieprawidłowości w procesie przetwarzania jego danych osobowych przez Doradztwo dla Polskich Przedsiębiorstw [...]., zwaną dalej "Spółką", polegające na czynieniu tego bez podstawy prawnej oraz niespełnieniu obowiązku informacyjnego – odmówiono uwzględnienia wniosku. W uzasadnieniu decyzji przywołano następujące okoliczności faktyczne i prawne uwarunkowania sprawy: - do organu wpłynęła skarga Wnioskodawcy; żądał m.in. "usunięcie (...) danych osobowych przetwarzanych bez podstawy prawnej, spełnienie (...) obowiązku informacyjnego, niezwłoczne udzielenie odpowiedzi na sprzeciw wobec przetwarzania danych osobowych dotyczących mojej osoby oraz ich usunięcia w pełnym dopuszczalnym przez prawo zakresie. Wnoszę również o nałożenie administracyjnej kary pieniężnej (...)", - decyzją administracyjną z [...] września 2020 r. organ odmówił uwzględnienia wniosku; Wojewódzki Sąd Administracyjny w Warszawie - prawomocnym wyrokiem z 26 listopada 2021 r., (sygn. akt II SA/Wa 2317/20) - uchylił to orzeczenie; w uzasadnieniu wskazał, że organ naruszył zasady, wynikające z RODO - przez ograniczenie zakresu rozpoznania sprawy do oceny stanu faktycznego z daty wydania decyzji; podniósł, że organ jest zobowiązany wydać decyzję dotyczącą okresu od dnia złożenia wniosku do wydania własnego orzeczenia; wskazano ponadto, że ocena pozostałych zarzutów jest przedwczesna - wobec danego naruszenia, - w toku ponownie przeprowadzonego postępowania wyjaśniającego ustalono następujący stan faktyczny: - Spółka pozyskała dane osobowe Wnioskodawcy bezpośrednio od niego; przetwarza je w zakresie: imienia, nazwiska, danych kontaktowych, adresu zamieszkania, numeru NIP, numeru PESEL, danych zawartych w prowadzonej przez Wnioskodawcę korespondencji, danych zawartych w statucie Spółki i innych dokumentach - w szczególności korporacyjnych, danych wymaganych przez ustawę z dnia 15 września 2000 r. - Kodeks spółek handlowych (obecnie opubl. w Dz.U. z 2024 r. poz. 18 ze zm.), zwaną dalej "K.s.h.", zawartych w sprawozdaniach finansowych, fakturach, deklaracjach podatkowych oraz w ofertach i umowach (tak wyjaśnienia Spółki: z [...] października 2018 r. - wraz z załącznikami - oraz z [...] lutego 2024 r.), - Wnioskodawcy jest akcjonariuszem Spółki oraz jej założycielem; w latach 2007-2017 był członkiem jej zarządu; Spółka przetwarza jego dane osobowe od momentu jej powstania - w 2007 roku (tak wyjaśnienia Spółki z [...] października 2018 r. oraz wydruk informacji, odpowiadający odpisowi pełnemu z Rejestru Przedsiębiorców KRS z [...] kwietnia 2024 r.), - Wnioskodawca - pismem z [...] czerwca 2018 r. - wystąpił do Spółki o usunięcie jego danych osobowych w pełnym zakresie, w tym w szczególności, ze strony internetowej (adres: [...]) – za wyjątkiem tych, które są przetwarzane w zakresie, w jakim jest to niezbędne do wywiązania się z prawnego obowiązku na mocy prawa Unii lub prawa państwa członkowskiego lub do wykonania realizowanego w interesie publicznym zadania lub w ramach sprawowania powierzonej administratorowi władzy publicznej; Wnioskodawca skierował jednocześnie sprzeciw wobec przetwarzania jego danych osobowych; wskazał na wystąpienie po jego stronie szczególnej sytuacji; zdaniem Wnioskodawcy, uzasadniał to wyrok Sądu Apelacyjnego w Gdańsku (z 22 marca 2016 r. o sygn. akt I ACa 730/15) oraz zasada z art. 5 ust. 1 lit. c RODO; Wnioskodawca wycofał ponadto zgodę na przetwarzanie jego danych osobowych (tak: wyjaśnienia Spółki z [...] października 2018 r., wraz z załącznikami, oraz pismo Wnioskodawcy z [...] lipca 2018 r., wraz z załącznikami), - Spółka odebrała żądanie Wnioskodawcy [...] lipca 2018 r.; następnie – [...] sierpnia 2018 r. - udzieliła Wnioskodawcy (załączono dowód nadania pisma); poinformowała Wnioskodawcę, że jego dane przetwarza na podstawie art. 6 ust. 1 lit. b, c oraz f RODO - nie zaś na podstawie zgody (tak: wyjaśnienia Spółki z [...] października 2018 r. - wraz z załącznikami - oraz z [...] stycznia 2019 r.), - Spółka wskazała, że przetwarza dane osobowe Wnioskodawcy na podstawie art. 6 ust. 1 lit. b RODO - wobec niezbędności do wykonania postanowień umowy oraz art. 6 ust. 1 lit. c RODO - wobec niezbędności do wypełnienia obowiązków prawnych, wynikających z ustawy – K.s.h, przepisów o Krajowym Rejestrze Sądowym, o obrocie instrumentami finansowymi, ustawy z dnia 29 sierpnia 1997 r. - Ordynacja podatkowa (obecnie publ. w Dz.U. z 2025 r. poz. 111 ze zm.), oraz przepisów o rachunkowości; wskazała ponadto, że dane osobowe Wnioskodawcy publikowano na stronie internetowej pod adresem [...] - w zakładce akcjonariusze/założyciele - na podstawie art. 6 ust. 1 lit. f RODO - ze względu na niezbędność ich przetwarzania do celów, wynikających z prawnie uzasadnionych interesów Spółki; uzasadniając istnienie prawnie uzasadnionego interesu wskazała: ,,[w] opinii Spółki, specyfikacja działalności Spółki jako domu maklerskiego opiera się na szczególnym zaufaniu pomiędzy Klientem a Spółką. Klienci powierzają domom maklerskim swoje środki finansowe (...). Zachowanie transparentności w zakresie tego, kto kontroluje dany dom maklerski leży zarówno w interesie domu maklerskiego, jak i Klienta. Wiarygodność akcjonariuszy decydujących o obsadzie organów danego podmiotu przekłada się na wiarygodność i zaufanie do danego podmiotu. Tym samym, w opinii Spółki, publikacja danych udziałowców domu maklerskiego na stronie internetowej mieści się w przesłance art. 6 ust. 1 lit. f) RODO."; Spółka podniosła też, że dane Wnioskodawcy widnieją jedynie w treści sprawozdań finansowych, zamieszczonych na stronie internetowej pod adresem [...]; jako dom maklerski jest do tego zobowiązana - na podstawie przepisów o obrocie instrumentami finansowymi (tak: wyjaśnienia Spółki z [...] października 2018 r. - wraz z załącznikami - oraz z [...] stycznia 2019 r.), - w toku czynności sprawdzających – [...] lipca 2020 r. na stronie internetowej pod adresem [...] – ustalono: dane osobowe Wnioskodawcy udostępniono w zakładce "o nas" - w zakresie imienia i nazwiska oraz pełnionej funkcji, w treści sprawozdań finansowych za okresy lat 2014-2016; dane osobowe Wnioskodawcy nie widnieją w zakładce "akcjonariusze/założyciele"; w toku czynności sprawdzających – [...] kwietnia 2024 r. – ustalono: ze strony internetowej pod adresem [...] usunięto sprawozdania finansowe, w których treści przetwarzano dane osobowe Wnioskodawcy; na stronie tej nie ma obecnie jego danych osobowych (tak: wydruk ze strony internetowej, dołączony do notatki służbowej z [...] lipca 2020 r. oraz wydruk ze strony internetowej, dołączony do notatki służbowej z [...] kwietnia 2024 r.), - przepisem uprawniającym administratora do przetwarzania danych osób fizycznych jest w art. 6 RODO; legalizuje on przetwarzanie danych, gdy spełniono co najmniej jedną z enumeratywnie wskazanych tam przesłanek; zgodnie z tym przepisem, przetwarzanie danych jest dopuszczalne m. in., gdy: przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy (ust. 1 lit. b), przetwarzanie jest niezbędne do wypełnienia ciążącego na administratorze obowiązku prawnego (ust. 1 lit. c), przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów, realizowanych przez administratora lub przez stronę trzecią - z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem (ust. 1 lit. f), - regulacje, dotyczące przesłanek powstania spółki akcyjnej zamieszczono w K.s.h.; zgodnie z art. 306 tej ustawy, do powstania spółki akcyjnej wymaga się: zawiązania spółki, w tym podpisania statutu przez założycieli, wniesienia przez akcjonariuszy wkładów na pokrycie całego kapitału zakładowego, ustanowienia zarządu i rady nadzorczej oraz wpisu do rejestru; zgodnie z art. 304 § 1 pkt 7 K.s.h., w statucie spółki akcyjnej należy określić m. in. nazwiska i imiona albo firmy (nazwy) założycieli; natomiast w art. 313 § 1 Kodeksu wskazano, że zgoda na zawiązanie spółki akcyjnej i brzmienie statutu oraz na objęcie akcji przez jedynego założyciela albo założycieli lub łącznie z osobami trzecimi należy wyrazić w jednym lub kilku aktach notarialnych; w aktach, o których mowa w § 1, należy wymienić w szczególności obejmujące akcje osoby, liczbę i rodzaj objętych przez każdą z nich akcji, wartość nominalną i cenę emisyjną akcji oraz terminy wpłat (art. 313 § 2 K.s.h.), - w toku postępowania ustalono, że Wnioskodawca był - w latach 2007-2017 - członkiem zarządu Spółki; stwierdzają to bezspornie obie strony postępowania administracyjnego; był on ponadto jednym z założycieli Spółki, a obecnie pozostaje jej akcjonariuszem; wobec tego jego dane są przetwarzane nieprzerwanie od 2007 roku; wobec przywołanych przepisów K.s.h. oraz w związku z funkcją, którą wciąż pełni w Spółce a także wobec dokumentów, które w toku swojej działalności w Spółce podpisał, jest bezsporne, że miała ona i wciąż ma podstawę prawną do przetwarzania jego danych osobowych – w celu wykonania postanowień statutu Spółki oraz wypełnienia ciążącego na niej obowiązku prawnego jako administratorze danych - w szczególności obowiązków, wynikających z K.s.h., przepisów o Krajowym Rejestrze Sądowym, oraz o obrocie instrumentami finansowymi, ustawy - Ordynacji podatkowa oraz przepisów o rachunkowości - wedle art. 6 ust. 1 lit. b oraz c RODO; Spółka nie przetwarza i nie przetwarzała danych osobowych Wnioskodawcy na podstawie zgody - wedle art. 6 ust. 1 lit. a RODO; wycofanie jej zatem było bezzasadne, - co do przetwarzania danych osobowych Wnioskodawcy - poprzez ich udostępnienie na stronie internetowej [...] w zakładce "akcjonariusze/założyciele" - Spółka wskazała, że czyniła to ze względu na istnienie prawnie uzasadnionego interesu Spółki, gdyż: "(...) specyfikacja działalności Spółki jako domu maklerskiego opiera się na szczególnym zaufaniu pomiędzy Klientem a Spółką. Klienci powierzają domom maklerskim swoje środki finansowe (...). Zachowanie transparentności w zakresie tego, kto kontroluje dany dom maklerski leży zarówno w interesie domu maklerskiego, jak i Klienta. Wiarygodność akcjonariuszy decydujących o obsadzie organów danego podmiotu przekłada się na wiarygodność i zaufanie do danego podmiotu. Tym samym, w opinii Spółki, publikacja danych udziałowców domu maklerskiego na stronie internetowej mieści się w przesłance art. 6 ust. 1 lit. f) RODO.", - Spółka ma więc niewątpliwe prawnie uzasadniony interes w przetwarzaniu danych Wnioskodawcy - poprzez udostępnienie jego danych jako swojego akcjonariusza na stronie internetowej; wyczerpująco to uzasadniła; Wnioskodawca nie wskazał interesów lub podstawowych praw i wolności, które takie przetwarzanie miałoby naruszać; przesłał on do organu wiele pism; w żadnym jednak nie wskazał interesu lub podstawowych praw i wolności, które wymagają ochrony; ograniczył się jedynie do wskazania, że wystąpiła szczególna sytuacja; polegała na tym, że nie wyraził zgody na przetwarzanie swoich danych do wskazanych celów i nie jest to niezbędne; zaznaczono, że funkcje członka zarządu i akcjonariusza są odrębnymi; ustępując zatem z zarządu Spółki i pozostając akcjonariuszem Wnioskodawca jest nadal związany z jej działalnością; wobec tego prawnie uzasadniony interes Spółki jest nadrzędny nad interesami lub podstawowymi prawami i wolnościami Wnioskodawcy, - Spółka udostępniała więc dane osobowe Wnioskodawcy na podstawie art. 6 ust. 1 lit. f RODO; Spółka uwzględniła żądanie Wnioskodawcy - w części dotyczącej usunięcia jego danych osobowych, udostępnionych w tejże zakładce (akcjonariusze/założyciele); nie była do tego zobowiązana, gdyż dane te przetwarzano zgodnie z obowiązującymi przepisami, - dane osobowe Wnioskodawcy przetwarzano także w treści sprawozdań finansowych za lata obrotowe 2014-2016 - opublikowanych na stronie internetowej [...].; Spółka jako podstawę prawną przetwarzania wskazała art. 6 ust. 1 lit. c RODO - niezbędność przetwarzania w celu wypełnienia wynikającego z przepisów o obrocie instrumentami finansowymi obowiązku prawnego; wedle powołanych regulacji szczególnych - prowadzący stronę internetową dom maklerski ogłasza na niej dane informacje, - przywołano również kompleks regulacji, dotyczących reguł przechowywania sprawozdań finansowych Spółki; wywiedziono, że była uprawniona - po upływie co najmniej 5 lat do nieprzechowywania tychże sprawozdań; literalne brzmienie stosownego przepisu stanowi, że jest to okres minimalny, - Spółka więc była i jest uprawniona do udostępniania danych osobowych Wnioskodawcy w treści sprawozdań finansowych - za okres obejmujący jego członkostwo w zarządzie; wskazano ponownie, że Spółka usunęła jego dane osobowe ze strony internetowej (pod adresem [...]); obecnie ich nie udostępnia; na marginesie zaznaczono, że sprawozdania finansowe podmiotów prawnych są publicznie dostępne na stronie Ministerstwa Sprawiedliwości - pod adresem https://ekrs.ms.gov.pl/; wystarczy tam wyszukać podmiot - za pomocą numeru KRS - by uzyskać dostęp do sprawozdań za ostatnie lata obrotowe, - uprawnienie wynikające z art. 17 ust. 1 RODO - przysługujące osobie, której dane są przetwarzane – tworzy po stronie administratora zobowiązanie do wynikającego z treści tego przepisu działania, dopiero gdy osoba ta zwróci się doń z żądaniem usunięcia dotyczących jej danych osobowych; organ może podjąć przysługujące mu działania naprawcze - wynikające z art. 58 ust. 2 RODO - gdy administrator nie ustosunkuje się do żądania tej osoby w wyznaczonym do tego terminie (określonym w art. 12 ust. 3 danego aktu) lub ustosunkuje się do otrzymanego żądania i odmówi jego spełnienia w pełnym zakresie danych, jakie przetwarza, - Wnioskodawca wystąpił do Spółki - pismem z [...] czerwca 2018 r. - o usunięcie jego danych osobowych; żądanie dotyczyło ich usunięcia w pełnym zakresie – w szczególności ze strony internetowej [...] z wyjątkiem przetwarzanych w zakresie w jakim przetwarzanie jest niezbędne do wywiązania się z prawnego obowiązku, wymagającego przetwarzania na mocy prawa Unii Europejskiej lub prawa państwa członkowskiego lub do wykonania realizowanego w interesie publicznym zadania lub w ramach sprawowania powierzonej administratorowi władzy publicznej, - administrator - zgodnie z art. 12 ust. 3 RODO - powinien udzielić osobie, której dane dotyczą, bez zbędnej zwłoki - a w każdym razie w terminie miesiąca od otrzymania żądania - informacji o działaniach podjętych wobec wniosku; Spółka otrzymała pismo Wnioskodawcy [...] lipca .2018 r., zaś odpowiedzi udzieliła [...] sierpnia 2018 r.; dochowała zatem terminu, - wedle art. 17 ust. 1 RODO osoba, której dane dotyczą, ma prawo żądania od administratora niezwłocznego usunięcia dotyczących jej danych osobowych, a administrator ma obowiązek - bez zbędnej zwłoki - usunąć dane osobowe, jeżeli zachodzi jedna z wymienionych w przepisie okoliczności; w rozpoznawanej sprawie, dane osobowe Wnioskodawcy są w dalszym ciągu niezbędne w kontekście realizowanych przez Spółkę celów - brak przesłanki z art. 17 ust. 1 lit. a RODO; podstawą ich przetwarzania jest m.in. prawnie uzasadniony realizowany przez administratora interes, a nie zgoda (brak przesłanki z art. 17 ust. 1 lit. b RODO); kwestionowany proces przetwarzania danych osobowych jest realizowany w sposób legalny (brak przesłanki z art. 17 ust. 1 lit. d RODO), nie istnieje przepis, który obligowałby Spółkę do usunięcia kwestionowanych danych (brak przesłanki z art. 17 ust. 1 lit. e RODO) i danych osobowych nie zebrano w związku z oferowaniem usług społeczeństwa informacyjnego (brak przesłanki z art. 17 ust. 1 lit. f RODO), - w rozpoznawanej sprawie nie można również przyjąć istnienia przesłanki do skutecznego żądania usunięcia danych, określonej w art. 17 ust. 1 lit. c RODO; nakazano tam usunąć dane w razie wniesienia - przez osobę, której one dotyczą - sprzeciwu m.in. na mocy art. 21 ust. 1 RODO; przepis ten dotyczy wprawdzie przetwarzania danych osobowych odpowiednio, gdy przetwarzanie jest realizowane na podstawie art. 6 ust. 1 lit. e lub f RODO; jak wyżej wskazano, nie można jednak stwierdzić, aby interesy lub prawa i wolności Wnioskodawcy były nadrzędne wobec prawnie uzasadnionych interesów Spółki, - w art. 21 ust. 1 RODO przyznano osobie, której dane dotyczą, prawo aby – w dowolnym momencie - wnieść sprzeciw z przyczyn związanych z jej szczególną sytuacją - wobec przetwarzania dotyczących jej danych osobowych opartego na art. 6 ust. 1 lit. e lub f RODO, w tym profilowania na podstawie tych przepisów; wskazano zarazem, że administratorowi nie wolno już przetwarzać tych danych osobowych chyba, że wykaże istnienie ważnych - prawnie uzasadnionych - podstaw przetwarzania - nadrzędnych wobec interesów, praw i wolności osoby, której dane dotyczą, lub podstaw do ustalenia, dochodzenia lub obrony roszczeń; w przedmiotowej sprawie nie ma jednak podstaw do uznania, że za uwzględnieniem sprzeciwu przemawia szczególna sytuacja Wnioskodawcy; jak podkreśla się w literaturze przedmiotu: "(...) szczególna sytuacja uzasadniająca zaprzestanie przetwarzania danych osobowych wnioskodawcy wiązać się może z groźbą ujawnienia przez takie przetwarzania danych związanych ze sferą prywatności lub życia rodzinnego, w przypadku gdy wykorzystywanie tych danych w konkretnej sytuacji nie jest bezwzględnie konieczne (...)" (tak: P. Fajgielski "Komentarz do rozporządzenia nr 2016/679 w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych), [w:j Ogólne rozporządzenie o ochronie danych. Ustawa o ochronie danych osobowych." WKP 2018); w niniejszej sprawie Wnioskodawca nie wykazał istnienia po jego stronie żadnej szczególnej sytuacji - uzasadniającej żądanie zaprzestania przetwarzania przez Spółkę danych osobowych; w żadnym razie nie wykazał istnienia po jego stronie szczególnej sytuacji - rozumianej przede wszystkim, jako możliwość ujawnienia (czy przetwarzania) zbędnych - w kontekście realizowanych przez Spółkę celów - jego danych osobowych, związanych ze sferą ściśle prywatną, rodzinną etc., - w niniejszym stanie faktycznym i prawnym nie ma zatem zastosowania żadna z przesłanek, na mocy której administrator byłby zobowiązany do usunięcia danych osobowych Wnioskodawcy, - odnosząc się do żądania Wnioskodawcy - nakazania Spółce spełnienia wobec niego wynikającego z RODO obowiązku informacyjnego - organ w toku postępowania ustalił, że Spółka pozyskała dane osobowe bezpośrednio od niego; w latach 2007-2017 był on członkiem zarządu - organu reprezentującego i prowadzącego sprawy Spółki; członkowie zarządu są obowiązani i uprawnieni do wspólnego prowadzenia spraw Spółki; przez prowadzenie spraw spółki rozumie się podejmowanie wszelkich czynności, związanych z funkcjonowaniem podmiotu, które nie są oświadczeniami woli wobec osób trzecich; jeżeli statut nie określa inaczej, do prowadzenia spraw spółki uprawnieni i zobowiązani są wszyscy członkowie zarządu; prowadząc jej sprawy zarząd spółki ustala m.in. cele i sposoby przetwarzania danych osobowych; pełni więc funkcję administratora danych; Wnioskodawcy jest ponadto nieprzerwanie - od 2007 roku - akcjonariuszem Spółki; w art. 13 RODO określono informacje, które administrator jest obowiązany podać osobie, której dane dotyczą, podczas pozyskiwania od niej danych osobowych; przepis ten nie ma zastosowania gdy - i w zakresie, w jakim - osoba, której dane dotyczą, dysponuje już tymi informacjami (art. 13 ust. 4); zebrany w sprawie materiał dowodowy wykazał, że art. 13 ust. 4 RODO ma zastosowanie w niniejszej sprawie; Wnioskodawca miał bowiem informacje o przetwarzaniu jego danych osobowych przez Spółkę - zwłaszcza, że był jednym z jej założycieli, - podsumowując - Spółka przetwarza dane osobowe Wnioskodawcy, w tym udostępniała je na stronie internetowej pod adresem [...], na podstawie przesłanek legalności przetwarzania, określonych w art. 6 ust. 1 lit. b, c oraz f RODO; nie doszło też do uchybień przetwarzania danych osobowych w związku z obowiązkami określonymi w art. 12 i 13 RODO; w świetle powyższego, nie ma podstaw do zastosowania art. 58 ust. 2 RODO - stanowiącego o uprawnieniach naprawczych organu; poczynione w sprawie ustalenia faktyczne oraz prawne wykazały, że przetwarzanie przez Spółkę danych osobowych Wnioskodawcy odbywa się zgodnie z przepisami, - podkreślono jednocześnie, że organ może nałożyć administracyjną karę pieniężną na administratora; czyni to jednak z urzędu, nie zaś wobec żądania Wnioskodawcy (art. 58 ust. 2 lit. i RODO). Wnioskodawca, reprezentowany przez pełnomocnika – adwokata, zarzucił wydanie skarżonego aktu z naruszeniem przepisów: - art. 8 ust. 1-2 Karty praw podstawowych Unii Europejskiej, w zw. z art. 16 ust. 1 Traktatu o funkcjonowaniu Unii Europejskiej, poprzez niezastosowanie - wobec dokonania oceny sposobu i zakresu przetwarzania danych osobowych Wnioskodawcy przez Spółkę, jako administratora danych osobowych, w sposób oderwany od rzeczywistego celu ich przetwarzania, a więc marketingu i promocji usług świadczonych przez Spółkę (i pozostałe podmioty z grupy DDPP), przy jednoczesnej faktycznej odmowie uznania dotychczasowych działań Wnioskodawcy, zmierzających do realizacji prawa żądania zaprzestania bezpodstawnego przetwarzania danych; pozbawiło to faktycznie Wnioskodawcę jakiegokolwiek wpływu na zakres i sposób ich przetwarzania - przez odmowę wykonania prawa do ochrony danych osobowych, - postępowania: - art. 10 § 1 ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego (Dz.U. z 2024 r., poz. 572 ze zm.), zwanej dalej "K.p.a.", wobec przedwczesnego wydania decyzji - przed upływem terminu, w którym Wnioskodawcy przysługiwało prawo wypowiedzenia się, co do zebranych dowodów i materiałów oraz zgłoszonych żądań; w konsekwencji decyzję wydano z naruszeniem gwarancji procesowej zasady czynnego udziału strony w postępowaniu; w myśl tymczasem owej zasady organ zobligowano do umożliwienia przedstawienia przez strony relewantnych dla sprawy twierdzeń i dowodów - na poprzedzającym wydanie rozstrzygnięcia etapie; - art. 104 § 1 w zw. z art. 6, 7 i art. 8 § 1 oraz art. 77 § 1 K.p.a. wobec z art. 153 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (Dz.U. z 2024 r. poz. 935 ze zm.); upatrywano tego w wydaniu decyzji, w której powtórzono stanowisko, oparte na ocenie dokonanej w orzeczeniu z [...] września 2020 r. - ze wskazaniem, że rozciągnięto ją na okres od dnia złożenia skargi z [...] lipca 2018 r. na niezgodne z prawem przetwarzanie danych osobowych przez Spółkę do dnia wydania decyzji; zaniechano zatem przeprowadzenia postępowania wyjaśniającego, zgodnie z wytycznymi, określonymi w wyroku o sygn. akt II SA/Wa 2317/20; w szczególności postępowanie dowodowe przeprowadzono z pominięciem zaoferowanego przez Wnioskodawcę materiału dowodowego; wyrażone w wyroku sądu administracyjnego ocena prawna i wskazania, co do dalszego postępowania wiążą tymczasem organ w sprawie; zobowiązano go do ponownego przeprowadzenia postępowania administracyjnego - w sposób zapewniający dokładne wyjaśnienie stanu faktycznego; - art. 7, w zw. z art. 77 § 1, art. 80 oraz art. 107 § 3 K.p.a., polegające na nieprawidłowym przeprowadzeniu postępowania dowodowego w sprawie i niepodjęciu niezbędnych do wyjaśnienia sprawy czynności: nieustaleniu, do kiedy Spółka miała prawo przetwarzać dane osobowe Wnioskodawcy i do kiedy faktycznie to czyniła, nieuwzględnieniu wycofania zgody na przetwarzanie danych Wnioskodawcy i jego wystąpienia z zarządu Spółki, braku wzięcia pod uwagę, że statut Spółki nie wymagał przetwarzania danych osobowych - poprzez publikację ich na stronie internetowej Spółki; spowodowało to nieprawidłowe uznanie, jakoby w sprawie znajdował zastosowanie art. 13 ust. 4 RODO w momencie wniesienia skargi z [...] lipca 2018 r. - na niezgodne z prawem przetwarzanie danych osobowych przez Spółkę, tymczasem Wnioskodawca: skutecznie wycofał zgodę na przetwarzanie swoich danych osobowych; nie był już członkiem zarządu Spółki; skutkowało to brakiem podstaw prawnych do podawania do publicznej wiadomości informacji, o których mowa w art. 13 ust. 1 RODO, w statucie Spółki nie wymagano przetwarzania danych osobowych – poprzez publikację ich na jej stronie internetowej - dodatkowo w sposób wprowadzający w błąd obecnych i potencjalnych kontrahentów Spółki, - 12 § 1 K.p.a., polegające na braku wnikliwego i szybkiego rozpoznania sprawy przez organ; od wniesienia skargi na niezgodne z prawem przetwarzanie danych osobowych przez Spółkę z [...] lipca 2018 r. do podjęcia pierwszych czynności w sprawie ([...] lipca 2020 r.) minęły ponad dwa lata; doprowadziło to do zmiany stanu faktycznego w sprawie oraz długotrwałego utrzymywania stanu, w którym Spółka przetwarzała dane osobowe Wnioskodawcy bez podstawy prawnej; ze względu na rodzaj i charakter naruszeń Spółki organ powinien tymczasem rozpoznać sprawę możliwie szybko - bez zbędnej zwłoki - oraz bez uszczerbku dla wyniku postępowania; tak długa bezczynność doprowadziła organ do oczywiście nietrafnych ustaleń - w konsekwencji do nieprawidłowego zastosowania przepisów prawa materialnego, odnoszących się do ochrony danych osobowych, - materialnego: - art. 6 K.p.a. w zw. z art. 7 Konstytucji Rzeczypospolitej Polskiej z dnia 2 kwietnia 1997 r. (Dz.U. Nr 78 poz. 483 ze zm.); polegało ono na wydaniu decyzji z pominięciem wytycznych określonych w sygn. akt II SA/Wa 2317/20; wyrażone tam ocena prawna i wskazania, co do dalszego postepowania, wiąże w sprawie organ działający na podstawie i w granicach prawa, - art. 6 ust. 1 lit. b, c, f RODO, polegające na jego błędnym zastosowaniu; doprowadziło to do uznania, że przetwarzanie przez Spółkę danych osobowych Wnioskodawcy jest zgodne z prawem i spełnia wymogi określone w powyższym przepisie - jest niezbędne do wykonania statutu, spełnienia nałożonych na Spółkę obowiązków prawnych oraz wynika z realizowanych przez nią prawnie uzasadnionych interesów; statut Spółki, na który powołuje się organ, nie wymaga tymczasem przetwarzania danych osobowych członka zarządu - poprzez ich publikację na stronie internetowej; od momentu, gdy Wnioskodawca przestał pełnić funkcję członka zarządu, Spółka nie miała dodatkowo prawnych podstaw do takich działań, - art. 17 ust. 1 w zw. z art. 21 ust. 1 RODO, poprzez ich niezastosowanie; wynikało to z uznania, że nie zaistniała szczególna sytuacja, uprawniająca Wnioskodawcę do żądania "bycia zapomnianym" i niezwłocznego usunięcia jego danych osobowych - nie zaistniała bowiem groźba ujawnienia – przez dalsze przetwarzanie – danych, związanych ze sferą prywatności lub życia rodzinnego; w konsekwencji odmówiono Wnioskodawcy prawa do wniesienia sprzeciwu wobec przetwarzania jego danych, podczas gdy: strona internetowa [...] służy zarządowi Spółki do komunikacji z obecnymi i potencjalnymi klientami i oferowania swoich usług, a także prezentowania danych kontaktowych osób, zaangażowanych w ich działalność; ma więc charakter promocyjny i marketingowy; oraz utrzymywanie danych osobowych Wnioskodawcy pozbawiało go prawa identyfikacji świadczonych przez siebie usług z ich wykonawcą – nim samym - oraz budowaną przezeń marką osobistą; z uwagi na uprzednią wieloletnią współpracę między Wnioskodawcą a Spółką (i pozostałymi podmiotami z grupy DDPP) odbierało mu to faktycznie możliwość wykonywania wolnego zawodu - na własny rachunek; stanowiło to o jego szczególnej sytuacji; - art. 58 ust. 2 lit. a-j RODO, poprzez jego niezastosowanie; doprowadziło to do nieskorzystania przez organ z uprawnień naprawczych względem Spółki - szczegółowo wskazanych w powołanych przepisach; wskazane wyżej naruszenia obligowały tymczasem organ do zastosowania uprawnień naprawczych. Wniesiono o uchylenie zaskarżonej decyzji oraz zasądzenie od organu na rzecz Wnioskodawcy zwrotu kosztów postępowania. W szerokim uzasadnieniu skargi rozwinięto przywołane wyżej zarzuty. W odpowiedzi na skargę organ wniósł o jej oddalenie, podtrzymując dotychczasową argumentację. Wskazywano, że - wedle ustaleń organu - Spółka usunęła dane osobowe Wnioskodawcy, z zachowaniem terminów gdy było to uzasadnione - także w kontekście wskazywania go jako członka zarządu. W dodatkowym piśmie procesowym (k. 60-61) Wnioskodawca podtrzymał zarzuty. Wywodził, że - jego zdaniem - z właściwych stron internetowych Spółki jego dane osobowe usunięto ze znacznym opóźnieniem. Winno było być to przedmiotem rozważań organu - wobec wytycznych, co do dalszego postępowania, zawartych w wyroku o sygn. akt II SA/Wa 2317/20. W replice (k. 93-106) Spółka wniosła o oddalenie skargi, formując szerszą argumentację, która przemawia - jej zdaniem - za uznaniem, że wszelkie czynności wobec żądań Wnioskodawcy podjęto niezwłocznie. Przedłożono wydruki dokumentów, które miałyby to potwierdzać. W trakcie rozprawy [...] marca 2024 r. Pełnomocnik Wnioskodawcy wskazywał, że kluczowa jest ocena legalności przetwarzania danych osobowych jego mandanta w okresie od [...]września 2017 r. do połowy października 2018 roku. Widniały one na stronie internetowej Spółki. Pełnomocnik Spółki wywodził, że od [...] września 2017 r. usunięto ze strony internetowej Spółki informację o Wnioskodawcy jako członku zarządu. Nie ma żadnych dowodów, aby informacja ta znajdowała się tam później - Spółka dysponuje dowodem usunięcia danych ze strony internetowej. Sąd zważył, co następuje. Skarga zasługuje na uwzględnienie, choć nie wszystkie jej zarzuty są zasadne. Trafnie jednak w niej wywiedziono, że zaskarżoną decyzję wydano z naruszeniem przepisów prawa procesowego, co do powinności wyjaśnienia sprawy w jej kluczowych aspektach (tak art. 7, 77 §. 1 art. 80 K.p.a.). Winno to znaleźć odzwierciedlenie w treści uzasadnienia (tak art. 107 § 3 wobec art. 8 § 1 i art. 11 K.p.a.). W uzasadnieniu skarżonego aktu nie wskazano – a więc w istocie nie ustalono prawidłowo – jaki stan faktyczny w sprawie uznano za ustalony w kluczowych kwestiach - przy uwzględnieniu oceny prawnej i wytycznych, co do dalszego postępowania, w myśl art. 153 ustawy - Prawo o postępowaniu przed sądami administracyjnymi - wobec uzasadnienia wyroku o sygn. akt II SA/Wa 2317/20. Wskazano tam m.in.: - "Organ przyjął jednak błędne założenie, iż jest zobowiązany do badania i oceny zgodności z prawem stanu faktycznego z dnia wydania decyzji. Należy w tym miejscu przypomnieć, iż wniosek został skierowany do organu pismem z dnia [...]czerwca 2018 r. a decyzja w sprawie została wydana w dniu [...] września 2020 r.", - "[...] organ nadzoru (Prezes UODO) ma obowiązek ocenić zdarzenie lub ciąg zdarzeń od dnia złożenia wniosku do dnia wydania decyzji. Przyjęcie innej wykładni powyższy zapis pozbawiałoby logiki i ograniczało w sposób istotny czynności naprawczo/kontrolne Organu. Organ w przedmiotowym postępowaniu naruszył podstawowe zasady wynikające z rozporządzenia 2016/679 ograniczając zakres rozpoznania sprawy do oceny stany faktycznego jedynie z daty wydania decyzji.", - "Organ nie zbadał zatem sprawy w zakresie w jakim był do tego zobowiązany, co skutkowało uchyleniem zaskarżonej decyzji.". Odnosząc powyższe wskazania Sądu do realiów stanu faktycznego, należy uznać za zasadne te wywody skargi, gdzie zarzucono organowi brak wyjaśnienia kluczowych w sprawie jej aspektów. W toku postępowania Wnioskodawca konsekwentnie podnosił, że bezpodstawnie – na dzień skierowania skargi do organu – zamieszczono na stronie internetowej Spółki informację, o pełnieniu przezeń funkcji członka zarządu, zaś żądanie usunięcia o tym informacji, Spółka winna była uwzględnić od daty kiedy przestał on pełnić funkcję w organach Spółki – także wobec jego szczególnej sytuacji, w tym wobec przewidzianej RODO instytucji sprzeciwu. Wnioskodawca kwestionował także pierwotnie zamieszczenie na stronach Spółki informacji o pozostawaniu przezeń udziałowcem (akcjonariuszem) Spółki. Wedle wskazań zawartych w uzasadnieniu wyroku o sygn. akt II SA/Wa 2317/20, rolą organu było ustalenie, jaki był w danym zakresie stan faktyczny na dzień skierowania doń skargi Wnioskodawcy, a następnie ocena, czy działania (ewentualnie zaniechania) Spółki w zakresie przetwarzania danych osobowych Wnioskodawcy znajdowały stosowną podstawę prawną – w szczególności w myśl art. 6 ust. 1 RODO - w kontekście zastosowania ewentualnie środków dyscyplinujących. Powinności w zakresie dokładnego ustalenia stanu faktycznego organ jednak uchybił – trafne są tu wywody skargi. Z uzasadnienia skarżonej decyzji wynika wyłącznie jednoznacznie, jakie były twierdzenia stron i poczynione przez organ ustalenia wedle daty po wpływie skargi (pismo z [...] czerwca 2018 r.) - tak część wstępna. Następnie wskazano, jakie są generalnie - zdaniem organu - ramy dopuszczalności przetwarzania danych osobowych członków organów oraz akcjonariuszy spółek, będących jednocześnie domami maklerskimi. Część z nich ma przy tym charakter ogólny - nie dotyczy wprost spornej, acz kluczowej kwestii - przetwarzania danych osobowych w formie ich upublicznienia na powszechnie dostępnej stronie internetowej podmiotu. Trafnie organ wprawdzie wywodził, że - z uwagi na szczególne uwarunkowania, np. budowanie zaufania podmiotu, uczestniczącego w obrocie finansowym (domu maklerskiego) - uzasadnione może być – wobec treści art. 6 ust. 1 lit. f RODO - zamieszczanie w pewnym zakresie informacji o pełniących funkcje w organach podmiotu osobach bądź udziałowcach spółki. Ci ostatni mają bowiem wpływ na obsadę jej organów. Nie może być przy tym kluczowe, czy stosowne ustalenia w danym zakresie wynikają bezpośrednio ze statutu Spółki – choć organ formułuje tu pewne wypowiedzi, nie odnosząc ich do konkretnych postanowień statutu. Upublicznienie danych udziałowców bądź członków zarządu nie musi znajdować bezpośrednio oparcia w postanowieniach statutu – reguły takiej nie sposób znikąd wywieść. Prawnie uzasadnionym interesem, realizowanym przez administratora, może być budowa zaufania do podmiotu realizującego działalność w określonej sferze. Kluczowe jest w jakim zakresie przetworzono dane – czy pozostaje to w związku z owym prawnie uzasadnionym interesem. Na etapie obecnie wniesionej do Sądu skargi, Wnioskodawca nie kwestionował w istocie generalnie upubliczniania informacji, że jest on wspólnikiem Spółki. Zresztą - wobec jego żądań - uprzednio ją usunięto. Sporne pozostaje jednak przetwarzanie danych osobowych Wnioskodawcy, przez wskazanie na stronie internetowej Spółki na dzień wniesienia skargi do organu, pełnienia przezeń funkcji członka zarządu, pomimo z niej ustąpienia. W danym zakresie na próżno poszukiwać w uzasadnieniu skarżonego aktu wypowiedzi, czy - zdaniem organu - zarzuty te są słuszne - jaki był w istocie stan faktyczny na dzień skierowania skargi. Organ wskazał wyłącznie na istnienie podstaw prawnych dla przetwarzania danych osobowych Wnioskodawcy w zakresie, gdzie występują on w dokumentach sprawozdań finansowych za lata, gdy pełnił daną funkcję. Pogląd ten zresztą jest trafny, zaś argumentacja organu w danym zakresie wyczerpująca. Nie poczyniono jednakże ustaleń, czy w istocie – na kontrolowanych przez Spółkę stronach internetowych - występowały inne informacje o Wnioskodawcy - z których wynikałoby, że pełni on funkcję w Spółce – na dzień skierowania skargi do organu. Kwestia ta ma kluczowe znaczenie w sprawie, jako nadal sporna. Z kolei ze stanowiska wyrażonego przez organ nie wynika, aby - jeżeli tak było - uznawał takie działania Spółki za przetwarzanie danych osobowych Wnioskodawcy, znajdujące legalną podstawę – np. w myśl art. 6 ust. 1 lit. f RODO. W kwestii powyższej zajmowali stanowisko w toku postępowania przed Sądem - w odpowiedzi na skargę oraz dalszych pismach procesowych, a także na rozprawie – Wnioskodawca, Spółka oraz organ. Formułowano twierdzenia w kwestii występującego wówczas stanu faktycznego oraz jego oceny. Nie może mieć to jednak znaczenia z perspektywy oceny legalności zaskarżonej decyzji. Przedmiotem kontroli przez sąd administracyjny jest bowiem prawidłowość ustalenia stanu faktycznego przez organ - odzwierciedlonego w treści akt a następnie w uzasadnieniu (tak art. 134 ust. 1 zd. 1 ustawy - Prawo o postępowaniu przed sądami administracyjnymi), Nie jest zaś jego rolą dokonywanie własnych ustaleń - na gruncie twierdzeń stron oraz przedkładanych dokumentów. Jedynie w nieznacznym zakresie dopuszczono dokonywanie własnych ocen na podstawie przedłożonych dowodów - tak art. 106 § 3 ustawy - Prawo o postępowaniu przed sądami administracyjnymi. Może to jednak służyć tylko weryfikacji prawidłowości ustalenia stanu faktycznego przez organ nie zaś dokonywania własnych - w istotnym zakresie. Prawidłowe ustalenie stanu faktycznego na dzień wniesienia skargi do organu (pismem z [...] czerwca 2018 r.), ma kluczowe znaczenie w sprawie w kontekście stosownej oceny, czy w sprawie zachodziły przesłanki zastosowania środków dyscyplinujących, wymienionych w art. 58 § 2 RODO. Do dokonania konkretnych konstatacji, w danym zakresie - co winno znajdować odzwierciedlenie w uzasadnieniu - zobowiązano organ wobec treści wytycznych, zawartych w wyroku o sygn. akt II SA/Wa 2317/20. Uchybienie tej powinności stanowi o naruszeniu przepisów postępowania - wymienionych w części wstępnej wywodów Sądu - mogącym mieć istotny wpływ na wynik sprawy. Nie rozpoznano jej bowiem w istotnym zakresie - wobec wpływu skargi Wnioskodawcy do organu. Uwzględniając powyższe uwarunkowania, przedwczesne byłoby odnoszenie się przez Sąd do zarzutów skargi w zakresie, gdzie wywodzono naruszenia przepisów prawa materialnego, co do reguł przetwarzania danych osobowych - w tym warunków uwzględniania sprzeciwu - jak i zakresu ochrony, przysługujące osobom, których prawa naruszono w świetle RODO oraz wymienionych w skardze aktów, stanowiących ramy funkcjonowania Unii Europejskiej. Bez znaczenia dla wyniki sprawy jest także zasadność zarzutów, dotyczących naruszenia przepisów postępowania - w kontekście braku możliwości wypowiedzenia się przez Wnioskodawcę na etapie, bezpośrednio poprzedzającym, wydanie decyzji. Odnotować jedynie wypada, że tego rodzaju uchybienia mogą mieć istotne znaczenie wyłącznie w razie wykazania ich bezpośredniego związku z określoną wadliwością rozstrzygnięcia. Poza oceną Sądu, co do legalności działania organu w danym postępowaniu, musi pozostać natomiast podnoszona w skardze kwestia czasu jego trwania. Bezczynność bądź przewlekłość w postępowaniu mogą być bowiem zwalczane jedynie przy wykorzystaniu odrębnych środków procesowych - stosownej skargi w danym przedmiocie - tak art. 3 § 2 pkt 8 ustawy - Prawo postępowaniu przed sądami administracyjnymi. Z przytoczonych wyżej przyczyn, na podstawie art. 145 § 1 pkt 1 lit. c ustawy - Prawo o postępowaniu przed sądami administracyjnymi, orzeczono jak w pkt 1 sentencji. O zwrocie kosztów postępowania rozstrzygnięto w pkt 2 sentencji, w myśl art. 200 w zw. z art. 205 § 2 powyższej ustawy oraz § 14 ust. 1 pkt 1 lit. c rozporządzenia Ministra Sprawiedliwości z dnia 22 października 2015 r. w sprawie opłat za czynności adwokackie (Dz.U. z 2023 r. poz. 2631). Do kosztów zaliczono wynagrodzenie pełnomocnika w kwocie 480 zł, wpis sądowy od skargi – 200 zł oraz 17 zł tytułem uiszczonej opłaty skarbowej od pełnomocnictwa. Rozpatrując ponownie sprawę organ administracji uwzględni ocenę prawną, sformułowaną w niniejszym uzasadnieniu. ----------------------- 19