II SA/Wa 1342/24

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Danuta Kania (spr.), Sędzia WSA Andrzej Góraj, Sędzia WSA Iwona Maciejuk, , po rozpoznaniu w trybie uproszczonym w dniu 11 lutego 2025 r. sprawy ze skargi M.K. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] maja 2024 r. nr [...] w przedmiocie umorzenia postępowania 1. uchyla zaskarżoną decyzję; 2. zasądza od Prezesa Urzędu Ochrony Danych Osobowych na rzecz M. K. kwotę 680 (słownie: sześćset osiemdziesiąt) złotych tytułem zwrotu kosztów postępowania. Przedmiotem skargi M. K. (dalej: "Skarżąca") jest decyzja Prezesa Urzędu Ochrony Danych Osobowych (dalej: "Prezes UODO", "organ") z dnia [...] maja 2024 r. nr [...] umarzająca postępowanie administracyjne na podstawie art. 105 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz.U. z 2024 r. poz. 572 ze zm.), dalej: "k.p.a.". W uzasadnieniu decyzji organ wskazał, że do UODO wpłynęła skarga M. K. na nieprawidłowości w procesie przetwarzania jej danych osobowych przez P. S.A. z siedzibą w [...] (dalej: "Spółka"), uprzednio działającą pod firmą P. S.A. z siedzibą w [...] (dalej: "P. S.A."). W treści skargi Skarżąca wskazała, że pismem z dnia 20 lutego 2019 r., na podstawie art. 14 ust. 2 lit. f, art. 15 ust. 1 lit. g oraz art. 15 ust. 3 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z dnia 4 maja 2016 r., s. 1, Dz. Urz. UE L 127 z dnia 23 maja 2018 r., s. 2 oraz Dz. Urz. UE L 74 z dnia 4 marca 2021r., s. 35), dalej: "RODO", zwróciła się do Spółki o: a) udzielnie informacji kto przekazał P. S.A. jako administratorowi danych (zgodnie z informacją zawartą w załączonym do pisma z dnia 20 lutego 2019 r. wzorze Formularza Przyjęcia Propozycji Nabycia Obligacji Serii P23 [...] S.A.), dane osobowe Skarżącej wraz z oświadczeniem wyrażającym zgodę na przetwarzanie jej danych osobowych przez ww. administratora danych osobowych w zakresie niezbędnym do przeprowadzenia Oferty Prywatnej Obligacji serii P23 a w szczególności, czy dane te i oświadczenie wyrażające zgodę na ich przetwarzanie zostały przekazane ww. administratorowi przez pracowników I. S.A. Oddział [...] z siedzibą w [...], a jeżeli tak, to przez których a w szczególności czy dane te i oświadczenie przekazał w imieniu Skarżącej P. K. - Dyrektor Oddziału [...] z siedzibą w [...] przy ul. [...], b) udzielenie informacji od kogo P. S.A. uzyskał dane osobowe Skarżącej w postaci adresu mailowego: [...], na który została przesłana z adresu mailowego: [...] Propozycja Nabycia Obligacji serii PZ3 spółki [...] S.A. (jak załączniku do pisma z dnia 20 lutego 2019 r.), zanim ww. adres mailowy Skarżącej został udostępniony P. S.A. w złożonym Formularzu Przyjęcia Propozycji Nabycia Obligacji Serii P23 [...] S.A., a w szczególności, czy adres mailowy Skarżącej do złożenia przez P. S.A. Propozycji Nabycia obligacji Serii PZ3 [...] S.A. został udostępniony P. S.A. przez pracowników I. S.A. Oddział [...] z siedzibą w [...] a jeżeli tak, to przez których, a w szczególności, czy adres mailowy Skarżącej został przekazany P. S.A. przez P. K. - Dyrektora Oddziału [...] z siedzibą w [...] przy ul. [...], c) przesłanie złożonego w imieniu Skarżącej do P. S.A. odpisu Formularza Przyjęcia Propozycji Nabycia Obligacji Serii PZ3 [...] S.A. zawierającego jej dane osobowe oraz oświadczenie wyrażające zgodę na przetwarzanie jej danych osobowych w zakresie niezbędnym do przeprowadzenia Oferty Prywatnej Obligacji serii PZ3 z podpisem Skarżącej, ewentualnie z podpisem osoby trzeciej upoważnionej przez Skarżącą do złożenia i podpisania ww. formularza zawierającego jej dane osobowe oraz oświadczenie wyrażające zgodę na ich przetwarzanie przez administratorów tych danych tj. [...] S.A. i P. S.A. wraz z odpisem podpisanego przez Skarżącą upoważnienia udzielonego osobie trzeciej, która podpisała ten formularz, do jego podpisania i złożenia, d) wskazanie wszelkich danych identyfikujących źródło pochodzenia danych osobowych Skarżącej zawartych w przekazanym P. S.A. Formularzu Przyjęcia Propozycji Nabycia Obligacji Serii PZ3 [...] S.A. w przypadku, gdy formularz ten został złożony w postaci elektronicznej, a w szczególności poprzez wskazanie adresu mailowego, z którego został wysłany ten formularz - zawierający dane osobowe Skarżącej - lub innych danych (np. adres IP) identyfikujących osobę, od której te dane osobowe zostały pozyskane przez P. S.A. i [...] S.A., która to osoba drogą elektroniczną, także inną niż poczta elektroniczna, mogła w imieniu i na rzecz Skarżącej złożyć tego rodzaju formularz zawierający dane osobowe Skarżącej oraz przesłanie z tymi informacjami odpisu podpisanego przez Skarżącą upoważnienia udzielonego osobie trzeciej, która złożyła ten formularz w postaci elektronicznej, do jego złożenia w imieniu Skarżącej. Skarżąca wskazała, że Spółka, pomimo wystosowania ww. pisma z dnia 20 lutego 2019 r., zawierającego ww. żądania, nie udzieliła informacji i nie przekazała żadnych dokumentów, czym naruszyła przepisy art. 7 ust. 1, art. 14 ust. 2 lit. f, art. 15 ust. 1 lit. g oraz art. 15 ust. 3 RODO. Ponadto Skarżąca wskazała, że Spółka - jako administrator danych osobowych Skarżącej - przetwarzała jej dane osobowe z tytułu nabycia przez nią obligacji [...] S.A. bez jej zgody i upoważnienia do ich przetwarzania przez Spółkę, przez co od dnia 25 maja 2018 r. Spółka przetwarzała dane osobowe z naruszeniem art. 6 ust. 1 lit. a RODO. W piśmie z dnia 15 lipca 2019 r. Spółka wyjaśniła, że Skarżąca nabyła za pośrednictwem Spółki, obligacje [...] S.A. serii PZ3. Objęcie obligacji przez Skarżącą nastąpiło w ramach usługi oferowania instrumentów finansowych świadczonej na rzecz Emitenta ([...]) przez Spółkę. Spółka zaznaczyła, że w procesie oferowania instrumentów finansowych proponuje się nabycie instrumentów finansowych pewnemu gronu odbiorców w imieniu Emitenta ([...]). Następuje wtedy przedstawienie propozycji nabycia potencjalnym inwestorom, a w odpowiedzi ten potencjalny inwestor składa formularz przyjęcia propozycji nabycia obligacji i opłaca obligacje. Spółka wskazała również, że cała korespondencja kierowana do Skarżącej była przekazywana przez Spółkę na adres mailowy podany przez Skarżącą, tj. [...]. Propozycja nabycia obligacji wraz z dokumentacją dotyczącą obligacji serii PZ3 została wysłana do Skarżącej w wiadomości mailowej z dnia 1 sierpnia 2017 r., o godz. 12:16. W treści ww. wiadomości Skarżącej przesłano również linki prowadzące do elektronicznego formularza przyjęcia propozycji nabycia obligacji (w treści formularza zawarty był cel przetwarzania danych oraz konieczne oświadczenia, w tym te wynikające z przepisów o ochronie danych osobowych), za pomocą którego potencjalni inwestorzy mogli zadeklarować chęć dokonania inwestycji w określoną liczbę i serię obligacji. Spółka wyjaśniła również, że odnotowała wpłynięcie drogą elektroniczną prawidłowo wypełnionego formularza przyjęcia propozycji nabycia obligacji, zawierającego dane osobowe Skarżącej oraz liczbę obligacji, których objęciem była ona zainteresowana. Wobec tego Spółka skierowała do Skarżącej wiadomość mailową, do której załączano nieedytowalny, automatycznie wygenerowany plik w formacie pdf, zawierający wszystkie wpisane dane potrzebne do złożenia zapisu. Taki formularz (potwierdzenie złożenia formularza przyjęcia propozycji nabycia) został przesłany do Skarżącej w wiadomości mailowej z dnia 1 sierpnia 2017 r., godz. 12:24. Spółka wskazała również, że nawet wypełnienie formularza nie rodziło jakichkolwiek obowiązków Skarżącej, w tym dokonania wpłaty tytułem objęcia obligacji i nie czyniło jej obligatariuszem. Zapis na obligacje uznawany był bowiem za skutecznie złożony dopiero w momencie opłacenia przez inwestora obligacji, według instrukcji podanej w ww. wiadomościach mailowych, a rezygnacja z dokonania opłaty nie rodziła po stronie inwestora żadnych kosztów. Skarżąca opłaciła obejmowane obligacje serii PZ3 w dniu 2 sierpnia 2017 r. Spółka wskazała również, że oświadczenie o przyjęciu propozycji nabycia obligacji mogło zostać złożone przez Skarżącą za pomocą środków komunikacji elektronicznej zgodnie z art. 42 ust. 1 in fine ustawy z dnia 15 stycznia 2015 r. o obligacjach (Dz. U. z 2018 r., poz. 483). Taka sytuacja miała miejsce w niniejszej sprawie - Skarżąca wypełniła dedykowany elektroniczny formularz. Ponadto Spółka wskazała, że przetwarzanie danych osobowych Skarżącej było niezbędne dla prawidłowego przeprowadzenia procesu subskrypcji obligacji. W ocenie Spółki była ona uprawniona do ich przetwarzania nawet bez uzyskania wyraźnej zgody Skarżącej. Spółka wskazała, że Skarżąca w formularzu przyjęcia propozycji nabycia obligacji wyraziła zgodę na przetwarzanie danych osobowych w zakresie niezbędnym do przeprowadzenia Oferty Prywatnej Obligacji serii PZ3. Spółka wskazała, że w dalszej kolejności, dane inwestora, czyli Skarżącej (tj. dane podane w formularzu przyjęcia propozycji nabycia obligacji) zostały również przekazane przez samego inwestora, z tą różnicą, że podstawą ich przetwarzania, oprócz upoważnienia ustawowego, była również wyraźna zgoda inwestora, wyrażona wraz z wypełnieniem formularza przyjęcia propozycji nabycia obligacji. Oświadczenie poniższej treści znajdowało się w otrzymanym formularzu przyjęcia propozycji nabycia obligacji skierowanym do Spółki w związku z obejmowaniem przez Skarżącą obligacji [...] S.A. serii PZ3. Skarżąca złożyła bowiem oświadczenia o następującej treści cyt.: "Wyrażam zgodę na przetwarzanie danych osobowych w zakresie niezbędnym do przeprowadzenia Oferty Prywatnej Obligacji serii PZ3. Oświadczam, że moje dane osobowe przekazuję Emitentowi i P. S.A. dobrowolnie oraz przyjmuję do wiadomości, że mam prawo wglądu do moich danych i prawo ich poprawiania zgodnie z ustawą z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. 2016 r., poz. 922, ze zm.)". Spółka wyjaśniła, że oprócz złożenia formularza zapisu na obligacje, elementem koniecznym do zakończenia procesu nabycia obligacji było dokonanie przez inwestora wpłaty odpowiedniej kwoty na nabywane obligacje. Jak wspomniano powyżej, kiedy do Spółki wpłynął formularz przyjęcia propozycji nabycia obligacji zawierający imię i nazwisko Skarżącej, Spółka odnotowała również wpłynięcie na właściwy rachunek bankowy środków pieniężnych w kwocie tożsamej z kwotą, która była wskazywana w wypełnianym formularzu przyjęcia propozycji nabycia obligacji. Przelewu dokonywano zgodnie z instrukcją wskazaną ww. osobie w wiadomości mailowej. Spółka zwróciła uwagę, że do momentu ujawnienia trudności [...], w związku z którymi pojawiła się możliwość zmaterializowania się ryzyka inwestycyjnego, Skarżąca nie wyrażała jakichkolwiek zastrzeżeń co do trybu, w jakim weszła w posiadanie obligacji. Skarżąca otrzymywała na rachunek bankowy okresowo odsetki z tytułu posiadania przedmiotowych obligacji. Zdaniem Spółki, tezy i wnioski Skarżącej wyrażają prawdopodobnie jedynie niechęć do poniesienia konsekwencji przyjętego ryzyka inwestycyjnego, nie wskazują natomiast na rzeczywiste uchybienia Spółki, również w zakresie procedury przetwarzania danych osobowych. W związku z decyzją Komisji Nadzoru Finansowego o cofnięciu zezwolenia na prowadzenie działalności maklerskiej, Spółka nie prowadzi żadnej działalności operacyjnej. Spółka przetwarza dane inwestorów zgodnie z art. 26 ust. 2 pkt 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz.U. z 2019 r., poz. 1781), w szczególności w celu wypełniania obowiązków wynikających z art. 90 ustawy z dnia 29 lipca 2005 r. o obrocie instrumentami finansowymi (Dz. U. z 2023 r. poz. 646), w celu dochodzenia przez inwestorów roszczeń wynikających z ustawy z dnia 23 kwietnia 1964 r. Kodeks cywilny (Dz.U. z 2023 r. poz. 1610). Pismem z dnia 13 sierpnia 2019 r. Prezes UODO zwrócił się do Spółki o złożenie dodatkowych wyjaśnień w sprawie poprzez udzielenie odpowiedzi na pytania m.in. o to, jaka była odpowiedź Spółki na żądanie Skarżącej, zgodne z art. 15 ust. 1 lit. g RODO i jakie były dalsze działania Spółki w tym zakresie, jak również jaka była odpowiedź Spółki na żądanie Skarżącej, zgodne z art. 15 ust. 3 RODO (proszę o przesłanie dotychczasowej korespondencji ze Skarżącą) i jakie były dalsze działania Spółki w tym zakresie. Spółka nie odebrała ww. korespondencji w terminie - przesyłka została zwrócona do nadawcy. Organ ponowił ww. korespondencję w piśmie z dnia 3 października 2019 r. Spółka, pomimo prawidłowego doręczenia ww. korespondencji, nie ustosunkowała się do wezwania organu. Następnie, pismem z dnia 22 lipca 2020 r. o tożsamej treści, organ ponownie wezwał Spółkę do złożenia wyjaśnień w sprawie. Spółka nie podjęła awizowanej przesyłki w terminie, wobec czego korespondencja wróciła do organu. Uwzględniając powyższe Prezes UODO wskazał, że prawa osoby, której dane dotyczą, zostały określone przede wszystkim w rozdziale III RODO. Przepisy te stanowią, iż osobie, której dane dotyczą, przysługuje prawo do przejrzystej komunikacji z administratorem danych (art. 12 RODO), prawo do informacji, o których mowa w art. 13 i 14 RODO, prawo dostępu do danych (art. 15 RODO), do ich sprostowania (art. 16 RODO), usunięcia (prawo do bycia zapominanym - art. 17 RODO), ograniczenia ich przetwarzania (art. 18 RODO), przeniesienia danych (art. 20 RODO) oraz wniesienia sprzeciwu wobec ich przetwarzania (art. 21 RODO). Stwierdził, iż obowiązkiem organu jest dokładne ustalenie, czego domaga się strona żądająca wszczęcia postępowania, bowiem treść żądania wyznacza przedmiot postępowania. Jeśli charakter lub treść wniesionego pisma budzi wątpliwości, organ administracji ma obowiązek wyjaśnić istotę żądania strony. Obowiązek ten wiąże się z ogólną zasadą udzielania niezbędnych wyjaśnień oraz informowania strony o okolicznościach faktycznych i prawnych, które mogą mieć wpływ na ustalenie ich praw i obowiązków. Organ administracji publicznej nie jest uprawniony do sprecyzowania treści żądania za stronę. Jest to niedopuszczalne chociażby dlatego, że mogłoby to doprowadzić do zmiany żądania wbrew intencji osoby wnoszącej podanie. O tym, jaki jest charakter i zakres żądania zawarty w piśmie wniesionym przez stronę w postępowaniu administracyjnym, decyduje ostatecznie strona, a nie organ, do którego pismo zostało skierowane. Zdaniem Prezesa UODO wskazywane przez Skarżącą żądania: spełnienia wobec niej obowiązku informacyjnego wynikającego z art. 14 i art. 15 RODO oraz usunięcia jej danych osobowych, które reguluje art. 17 RODO, są ze sobą sprzeczne i wykluczają się wzajemnie. Administrator musi przetwarzać dane, aby możliwe było spełnienie obowiązku informacyjnego. Tym samym w przypadku uwzględnienia żądania usunięcia danych, organ nie może jednocześnie uwzględnić żądania spełnienia obowiązku informacyjnego. Uwzględnienie żądania spełnienia obowiązku informacyjnego uniemożliwia zaś nakazanie usunięcia danych osobowych, gdyż usuwając je administrator nie mógłby wywiązać się ze spełnienia obowiązku informacyjnego. Uwzględniając powyższe organ stwierdził, że w sprawie niniejszej zaistniała przesłanka umorzenia postępowania zgodnie z art. 105 § 1 k.p.a. Postępowanie w sprawie stało się bowiem bezprzedmiotowe - nie można wydać decyzji załatwiającej sprawę przez rozstrzygnięcie jej co do istoty. Jak wynika ze zgromadzonego w sprawie materiału dowodowego, Skarżąca wystąpiła do Prezesa UODO z żądaniami wykluczającymi się wzajemnie, tj. żądaniem spełnienia wobec niej obowiązku informacyjnego oraz usunięcia jej danych osobowych. W sytuacji, gdy nie jest możliwe wydanie decyzji zgodnej z żądaniami Skarżącej, postępowanie jako bezprzedmiotowe podlegało umorzeniu. W skardze na powyższą decyzję M. K., reprezentowana przez pełnomocnika, zarzuciła: 1) naruszenie art. 17 RODO poprzez jego niewłaściwe zastosowanie i błędne uznanie, że Skarżąca wystąpiła w skardze skierowanej do Prezesa UODO z żądaniem usunięcia (nakazania usunięcia) administratorowi - (P. S.A.) jej danych osobowych w ramach przysługującego jej "prawa do bycia zapomnianym" - art.17 RODO, 2) naruszenie art. 58 ust. 2 lit. e RODO, poprzez jego niezastosowanie i nieustalenie czy zgodnie ze skargą doszło do naruszenia przez administratora – P. S.A. przepisów o ochronie danych osobowych i tym samym czy zachodzą przesłanki do nakazania ww. administratorowi zawiadomienia Skarżącej o naruszeniu przepisów o ochronie danych osobowych, 3) naruszenie art. 105 § 1 k.p.a. w związku z art. 7 ust. 1 i 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r., poz. 1781), dalej: "u.o.d.o.", poprzez ich nieprawidłowe zastosowanie i umorzenie postępowania w całości wskutek błędnego uznania przez organ, że Skarżąca w skardze wniesionej do organu żądała usunięcia (nakazania usunięcia) jej danych osobowych przez administratora oraz spełnienia wobec niej obowiązku informacyjnego przez administratora, które to żądania w ocenie organu wzajemnie się wykluczają i wobec tego wydanie decyzji zgodnej z tymi żądaniami nie jest możliwe, a tym samym postępowanie w sprawie było bezprzedmiotowe. W związku z powyższymi zarzutami Skarżąca wniosła o uchylenie zaskarżonej decyzji oraz zasądzenie od organu kosztów postępowania według norm przepisanych. W motywach skargi podniesiono w szczególności, że ani z treści załączonego do skargi pisma z dnia 20 lutego 2019 r. skierowanego do P. S.A., ani z ustaleń poczynionych przez Prezesa UODO w uzasadnieniu zaskarżonej decyzji nie wynika, że Skarżąca domagała się od administratora usunięcia jej danych osobowych na podstawie art. 17 RODO. Żądania nakazania administratorowi usunięcia jej danych osobowych na podstawie art. 58 ust. 2 lit. g RODO nie zawiera również skarga skierowana w dniu 15 maja 2019 r. do Prezesa UODO. W skardze tej Skarżąca wnioskowała jedynie o wszczęcie postępowania przez organ i ustalenie czy nie doszło do naruszenia przez administratora przepisów art. 7 ust. 1, art. 14 ust. 2 lit. f oraz art. 15 ust. 1 lit. g, ust. 3 RODO (w zakresie wypełnienia przez administratora wobec Skarżącej obowiązku informacyjnego) oraz art. 6 ust. 1 lit. a RODO (w zakresie nieuzyskania przez administratora od Skarżącej zgody na przetwarzanie przez administratora jej danych osobowych). Podkreślono, że skarga do Prezesa UODO zmierzała w swej treści do poczynienia przez organ ustaleń i wydania decyzji w oparciu o art. 58 ust. 2 lit. c RODO poprzez nakazanie administratorowi wykonania wobec Skarżącej obowiązku informacyjnego zgodnie z jej wnioskiem z dnia 20 lutego 2019 r. oraz do nakazania administratorowi, na podstawie art. 58 ust. 1 lit. e RODO, zawiadomienia Skarżącej o naruszeniu ochrony jej danych osobowych również z tego powodu, że na ich przetwarzanie nie uzyskał on zgody Skarżącej zgodnie z art. 6 ust. 1 lit. a RODO, w przypadku gdyby organ ustalił, że dane Skarżącej są przetwarzanie bez ww. zgody. Wskazano, że z powyższych względów nie zachodziła podstawa prawna do umorzenia postępowania na podstawie art. 105 § 1 k.p.a. Postępowanie nie było bowiem bezprzedmiotowe, a Skarżąca nie domagała się, jak ustalił organ, spełnienia wykluczających się żądań. Takie ustalenia organu umożliwiłyby Skarżącej podjęcie środków ochrony prawnej przewidzianych przepisami prawa nie tylko wobec administratora ale także wobec osób trzecich, które dane osobowe Skarżącej przekazały administratorowi (m.in. w zakresie dochodzenia odszkodowania od administratora i osób trzecich m.in. na podstawie art. 82 ust. 1 RODO). Pozytywna i ostateczna decyzja organu w tym zakresie stanowiłaby, zgodnie z treścią art. 97 u.o.d.o., "prejudykat" dla sądu w postępowaniu cywilnym w sprawie o odszkodowanie za naruszenie przepisów o ochronie danych osobowych. W odpowiedzi na skargę Prezes UODO wniósł o odrzucenie skargi jako wniesionej z uchybieniem terminu, ewentualnie o oddalenie skargi jako merytorycznie nieuzasadnionej. Podtrzymał jednocześnie stanowisko jak w uzasadnieniu zaskarżonej decyzji. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: Sprawa została rozpoznana na podstawie art. 119 pkt 2 i art. 120 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2024r. poz. 935 ze zm.), dalej: "p.p.s.a.". Przepisy te stanowią, że sprawa może być rozpoznana w trybie uproszczonym, jeżeli strona zgłosi wniosek o skierowanie sprawy do rozpoznania w tym trybie, a żadna z pozostałych stron w terminie czternastu dni od zawiadomienia o złożeniu wniosku nie zażąda przeprowadzenia rozprawy. Sąd rozpoznaje sprawę w trybie uproszczonym w składzie trzech sędziów. Przesłanka z art. 119 pkt 2 p.p.s.a. została spełniona, bowiem zarówno Skarżąca (w treści skargi), jak i Prezes UODO (w odpowiedzi na skargę) wnieśli o rozpoznanie sprawy w trybie uproszczonym. Sąd nie stwierdził podstaw do odrzucenia skargi na podstawie art. 58 § 1 pkt 2 p.p.s.a., tj. jako wniesionej z uchybieniem terminu do jej wniesienia. Zgodnie bowiem z art. 53 § 1 p.p.s.a. skargę wnosi się w terminie trzydziestu dni od dnia doręczenia skarżącemu rozstrzygnięcia w sprawie albo aktu, o którym mowa w art. 3 § 2 pkt 4a. Natomiast w myśl § 4 tego artykułu termin, o którym mowa w § 1 i 2, uważa się za zachowany także wtedy, gdy przed jego upływem strona wniosła skargę wprost do sądu administracyjnego. W takim przypadku sąd ten niezwłocznie przesyła skargę odpowiednio do organu, który wydał zaskarżone rozstrzygnięcie, wydał akt lub podjął inną czynność, będącą przedmiotem skargi. W niniejszej sprawie zaskarżona decyzja Prezesa UODO z dnia [...] maja 2024 r. została doręczona pełnomocnikowi Skarżącej w dniu 3 czerwca 2024 r., zaś skarga do Sądu na ww. decyzję została wniesiona w dniu 1 lipca 2024 r. Złożenie skargi bezpośrednio do Wojewódzkiego Sądu Administracyjnego w Warszawie nie skutkuje, stosownie do art. 53 § 4 p.p.s.a., uchybieniem terminu do jej wniesienia. Z tego względu wniosek Prezesa UODO o odrzucenie skargi nie podlegał uwzględnieniu. Przechodząc do merytorycznej oceny skargi wskazać należy, że zgodnie z art. 1 § 1 i § 2 ustawy z dnia 25 lipca 2002 r. - Prawo o ustroju sądów administracyjnych (Dz. U. z 2023 r., poz. 2492 ze zm.), dalej: "p.u.s.a." oraz art. 3 § 1 p.p.s.a., sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej. Kontrola ta polega na ocenie zgodności z prawem podjętego aktu administracyjnego według stanu faktycznego i prawnego obowiązującego w dacie jego wydania. W myśl art. 134 § 1 p.p.s.a., sąd rozstrzyga w granicach danej sprawy nie będąc związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną, z zastrzeżeniem art. 57a. Sąd nie może wydać orzeczenia na niekorzyść skarżącego, chyba że stwierdzi naruszenie prawa skutkujące stwierdzeniem nieważności zaskarżonego aktu lub czynności (§ 2). Uwzględniając powyższe kryteria Sąd stwierdził, że skarga zasługuje na uwzględnienie, bowiem Prezes UODO co najmniej przedwcześnie, z naruszeniem art. 105 § 1 k.p.a. w związku z art. 7 u.o.d.o., rozstrzygnął o umorzeniu postępowania na podstawie art. 105 § 1 k.p.a. Zgodnie z tym przepisem gdy postępowanie z jakiejkolwiek przyczyny stało się bezprzedmiotowe w całości albo w części, organ administracji publicznej wydaje decyzję o umorzeniu postępowania odpowiednio w całości albo w części. Bezprzedmiotowość postępowania administracyjnego oznacza, że brak jest któregoś z elementów materialnego stosunku prawnego, a wobec tego nie można wydać decyzji załatwiającej sprawę przez rozstrzygnięcie jej co do istoty. Przesłanka bezprzedmiotowości występuje, gdy brak jest podstaw prawnych do merytorycznego rozstrzygnięcia danej sprawy w ogóle, bądź nie było podstaw do jej rozpoznania w drodze postępowania administracyjnego. Rozstrzygnięcie o umorzeniu postępowania jest orzeczeniem formalnym, kończącym postępowanie bez jego merytorycznego rozstrzygnięcia (por. wyroki NSA: z dnia 21 lutego 2006 r., sygn. akt I OSK 967/05, z dnia 14 października 2014 r., sygn. akt I OSK 530/14; publ. CBOSA). Bezprzedmiotowość postępowania może wynikać z istnienia przesłanki podmiotowej bądź przedmiotowej. Przesłankę podmiotową stanowi brak legitymacji strony postępowania administracyjnego. Natomiast przesłanką przedmiotową jest brak - w znaczeniu prawnym - przedmiotu postępowania. Tym przedmiotem jest zaś konkretna sprawa, w której organ administracji jest władny i jednocześnie zobowiązany rozstrzygnąć, na podstawie przepisów prawa materialnego, o uprawnieniach lub obowiązkach indywidualnego podmiotu. Innymi słowy, brak przedmiotu postępowania ma miejsce wówczas, gdy stan faktyczny nie podlega uregulowaniu przepisami administracyjnymi, które dawałyby organowi administracyjnemu kompetencję do merytorycznego rozpatrzenia sprawy. W zaskarżonej decyzji organ stwierdził, że postępowanie w niniejszej sprawie jest bezprzedmiotowe, bowiem Skarżąca wystąpiła do Prezesa UODO z żądaniami wykluczającymi się wzajemnie, tj. z żądaniem spełnienia obowiązku informacyjnego (art. 14 i art. 15 RODO) oraz z żądaniem usunięcia danych osobowych (art. 17 RODO). Żądania te pozostają sprzeczne względem siebie i nie mogą być jednocześnie spełnione. Organ nie może zobowiązać administratora danych do spełnienia obowiązku informacyjnego i jednocześnie do usunięcia danych osobowych osoby, której dane dotyczą. Usuwając dane osobowe administrator nie mógłby spełnić obowiązku informacyjnego. Ze stanowiskiem organu nie sposób się zgodzić. Nie wiadomo bowiem na jakiej podstawie organ przyjął, że Skarżąca wystąpiła jednocześnie z żądaniem spełnienia wobec niej przez P. S.A. obowiązku informacyjnego oraz z żądaniem usunięcia przez tę Spółkę jej danych osobowych. Tak z uzasadnienia zaskarżonej decyzji, jak i z akt administracyjnych sprawy nie wynika, aby organ poczynił w tym zakresie jakiekolwiek ustalenia. Co istotne, nie wynika to również z treści skargi wniesionej do Prezesa UODO w dniu 15 maja 2024 r. W skardze tej złożono wyłącznie wniosek o "podjęcie postępowania w sprawie związanej z wnoszoną skargą". W uzasadnieniu skargi odwołano się natomiast do pisma skierowanego przez Skarżącą do P. S.A. w dniu 20 lutego 2019 r. wymieniając zawarte tam żądania: udzielenia informacji o sposobie pozyskania danych osobowych Skarżącej przez P. S.A. oraz o źródle pochodzenia tych danych, a także przesłania odpisu dokumentów złożonych w imieniu Skarżącej. Stwierdzono, że P. S.A. nie udzieliła Skarżącej żądanych informacji oraz nie przekazała dokumentów naruszając tym samym art. art. 7 ust. 1, art. 14 ust. 2 lit. f, art. 15 ust. 1 lit. g oraz art. 15 ust. 3 RODO. Wskazano również, że P. S.A. - jako administrator danych osobowych Skarżącej - przetwarzała jej dane osobowe bez jej zgody, a więc czyniła to z naruszeniem art. 6 ust. 1 lit. a RODO. Z powyższego wynika, że w ww. skardze, oprócz wniosku o podjęcie postępowania, nie sformułowano żadnego innego żądania, w szczególności co do podjęcia przez Prezesa UODO środków prawnych określonych w art. 58 ust. 2 RODO. Wskazać w związku z tym należy, że podstawę skargi z dnia 15 maja 2024 r. stanowił art. 77 ust. 1 RODO, zgodnie z którym bez uszczerbku dla innych administracyjnych lub środków ochrony prawnej przed sądem każda osoba, której dane dotyczą, ma prawo wnieść skargę do organu nadzorczego, w szczególności w państwie członkowskim swojego zwykłego pobytu, swojego miejsca pracy lub miejsca popełnienia domniemanego naruszenia, jeżeli sądzi, że przetwarzanie danych osobowych jej dotyczące narusza niniejsze rozporządzenie. Skarga do organu nadzorczego w trybie art. 77 ust. 1 RODO, jako pismo inicjujące postępowanie administracyjne w indywidualnej sprawie, stanowi "podanie" w rozumieniu art. 63 § 1 k.p.a. w związku z art. 7 u.o.d.o. Złożenie podania jest czynnością dyspozytywną wnioskodawcy. Obligatoryjnym elementem podania jest wskazanie żądania (art. 63 § 2 k.p.a.). Przy czym organ jest związany żądaniem, które wyznacza rodzaj i granice postępowania administracyjnego i nie jest uprawniony do swobodnego kształtowania treści żądania czy zmiany jego kwalifikacji prawnej. To wnioskodawcy przysługuje prawo do sprecyzowania czy też do modyfikacji pierwotnie złożonego wniosku (żądania), zaś zmiana treści wniosku w tym zakresie wiąże organ prowadzący postępowanie (por. wyroki NSA: z dnia 7 maja 2020 r., sygn. akt I OSK 214/2010; z dnia 30 stycznia 2013 r., sygn. akt II OSK 1812/11; z dnia 4 grudnia 2014r., sygn. akt II OSK 2607/14; z dnia 24 lutego 2020 r., sygn. akt II OSK 3795/18; prawomocny wyrok WSA w Warszawie z dnia 14 października 2020 r., sygn. akt II SA/Wa 2829/19; CBOSA). W niniejszej sprawie w sytuacji, gdy wniosek Skarżącej w istocie nie zawierał żądania określonego zachowania organu ochrony danych (w granicach uprawnień wynikających z art. 58 ust. 2 RODO), organ miał obowiązek - w oparciu o art. 64 § 2 k.p.a. - poczynić w tym zakresie stosowne ustalenia. Winien zatem wezwać Skarżącą do sprecyzowania treści żądania wniosku w zakreślonym terminie, pod rygorem pozostawienia wniosku bez rozpoznania, informując ją o przysługujących mu uprawnieniach naprawczych. Jak już wyżej wskazano, z akt sprawy nie wynika, aby organ takie działania podjął. Nie miał zatem podstaw do tego aby w zaskarżonej decyzji stwierdzić, iż w skardze zawarto zarówno żądanie spełnienia obowiązku informacyjnego przez P. S.A., jak i usunięcia danych osobowych przetwarzanych przez tę Spółkę. Twierdzenie to nie znajduje oparcia w treści skargi ani w pozostałym, zgromadzonym w sprawie materiale dowodowym. W odpowiedzi na skargę organ wskazał, iż "kwestionowanie przez Skarżącą procesu przetwarzania jej danych przez Spółkę było dla Prezesa UODO oczywiste i wiązało się z koniecznością zbadania legalności tego procesu, a w sytuacji uznania zasadności zarzutu Skarżącej oznaczało niezbędność wydania rozstrzygnięcia w oparciu o art. 17 ust. 1 RODO poprzez nakazanie Spółce usunięcia jej danych osobowych". Jednocześnie organ wskazał, że "nie może wyręczyć strony i zdecydować za nią w jakiej sprawie toczyć się będzie postępowanie zainicjowane jej wnioskiem. Organ nie mógł zatem (...) zdecydować za Skarżącą, czy jej wolą jest usunięcie jej danych osobowych przez Spółkę, czy też spełnienie wobec niej obowiązków informacyjnych, skoro te dwie kwestie były przedmiotem skargi". Powyższe twierdzenia organu dobitnie świadczą o tym, że organ nie ustalił przedmiotu żądania skargi, choć taki obowiązek spoczywał na organie w świetle treści skargi oraz dyspozycji art. 63 § 2 w związku z art. 64 § 2 k.p.a. Stanowisko organu, że tylko strona ma uprawnienie do określenia żądania nie oznacza, że organ może uchylić się od ww. obowiązku. Organ jest bowiem nie tylko uprawniony, ale i zobowiązany do rozpatrzenia skargi złożonej w trybie art. 77 ust. 1 RODO. Stanowi o tym art. 57 ust. 1 lit. f RODO, zgodnie z którym organ rozpatruje skargę, w odpowiednim zakresie prowadzi postępowanie w przedmiocie tej skargi i w rozsądnym terminie informuje skarżącego o postępach i wynikach tych postępowań (...). Zakres prowadzonego postępowania wyznacza treść skargi, do czego nawiązuje motyw 141 preambuły RODO, w którym wskazano, że "postępowanie wyjaśniające na podstawie skargi powinno być prowadzone - z zastrzeżeniem kontroli sądowej - w zakresie odpowiadającym konkretnej sprawie". Tę "konkretną sprawę" wyznacza żądanie skargi skierowanej do organu nadzorczego, tak w zakresie podmiotowym (poprzez wskazanie administratora, współadministratora, podmiotu przetwarzającego), jak i przedmiotowym (poprzez wskazanie przedmiotu żądania). Wobec zaniechania przez organ ustalenia przedmiotu żądania skargi z dnia 15 maja 2019 r. przedwczesnym jest ocena dalszych czynności podjętych przez organ w celu rozpatrzenia sprawy, a wskazanych w zaskarżonej decyzji. Na marginesie zauważyć jednak należy, iż wbrew stanowisku organu korespondencja z dnia 3 października 2019 r. (ponowne wezwanie P. S.A. do złożenia dodatkowych wyjaśnień) nie została prawidłowo doręczona tej Spółce (s. 5 decyzji), co wynika ze zwrotnego potwierdzenia odbioru przesyłki (k. 58 akt admin.). Podsumowując stwierdzić należy, że organ błędnie, z naruszeniem art. 105 § 1 k.p.a., uznał, że postępowanie zainicjowane skargą z dnia 15 maja 2019 r., jako bezprzedmiotowe, podlegało umorzeniu. W sposób nieuzasadniony przyjął bowiem, że Skarżąca zawarła żądania wzajemnie się wykluczające, podczas gdy kwestia żądania skargi nie została przez organ należycie wyjaśniona. W związku z powyższym ponownie rozpatrując sprawę organ uwzględni powyższą ocenę prawną i wyjaśni, w oparciu o art. 7, art. 77 § 1 oraz art. 64 § 2 k.p.a., jaki jest przedmiot żądania skargi. Weźmie pod uwagę, że określenie tego elementu skargi jest niezbędne do prawidłowego określenia przedmiotu i zakresu postępowania. Mając na względzie wszystko powyższe, Wojewódzki Sąd Administracyjny w Warszawie, na podstawie art. 145 § 1 pkt 1 lit. c p.p.s.a., orzekł jak w punkcie 1 sentencji wyroku. O kosztach postępowania obejmujących wpis od skargi (200 zł) oraz wynagrodzenie pełnomocnika Skarżącej w stawce minimalnej (480 zł) Sąd postanowił, w oparciu o art. 200 i art. 205 § 2 p.p.s.a., jak w punkcie 2 sentencji wyroku.