II SA/Wa 1425/20

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Agnieszka Góra-Błaszczykowska, Sędzia WSA Tomasz Szmydt (spr.), Sędzia WSA Karolina Kisielewicz, po rozpoznaniu na posiedzeniu niejawnym w dniu 7 lipca 2021 r. sprawy ze skargi A. O. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] maja 2020 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę A. O. wniósł do Wojewódzkiego Sądu Administracyjnego w Warszawie skargę na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] maja 2020 r. Do Biura Generalnego Inspektora Ochrony Danych Osobowych (obecnie: Urząd Ochrony Danych Osobowych) wpłynęła skarga A. O., zwanego dalej "Skarżącym", na przetwarzanie jego danych osobowych przez I. S. A. (dalej jako: "Spółka" lub "I. S.A." ) w tym na ich udostępnienie Krajowemu Rejestrowi Długów Biuro Informacji Gospodarczej S. A. (dalej jako: "KRD"). W treści skargi Skarżący wskazał, że otrzymał pismo z informacją o wpisaniu danych jego i jego firmy do Krajowego Rejestru Długów. Wskazał nadto, że nie ma wiedzy, aby posiadał jakiekolwiek długi i zobowiązania wobec I. S.A. i nie wie, na jakiej podstawie są jego wierzycielami. Skarżący wyjaśnił nadto, że zwracał się z pismami o podanie podstawy wpisania przez I. S.A. jego danych osobowych do KRD, ale nie otrzymał żadnej odpowiedzi. Skarżący podkreślił jednocześnie, że jego zdaniem I. S.A. nie ma podstawy prawnej, aby rozpowszechniać jego dane osobowe. Na podstawie materiału dowodowego zgromadzonego w toku niniejszego postępowania Prezes Urzędu Ochrony Danych Osobowych [...] listopada 2019 r. wydał decyzję administracyjną (nr: [...]), na mocy której umorzył postępowanie w niniejszej sprawie. Prezes Urzędu Ochrony Danych Osobowych ustalił, że Spółka pozyskała dane osobowe Skarżącego w związku z nabyciem jego wierzytelności od spółki N. S.A. z siedzibą w [...] na podstawie umowy sprzedaży wierzytelności. Zgodnie z art. 23 ust. 1 pkt 5 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r., poz. 922 z późn. zm.), dalej jako: "ustawa", przetwarzanie danych osobowych, w tym ich udostępnianie, jest dopuszczalne, jeśli jest niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą. Ze względu na to, że stosownie do art. 23 ust. 4 pkt 2 ustawy, za prawnie usprawiedliwiony cel uważa się dochodzenie roszczeń z tytułu prowadzonej przez administratora danych działalności gospodarczej, przetwarzanie danych w takim przypadku jest prawnie dopuszczalne. W kontekście legalności udostępniania danych osobowych podmiotom trudniącym się windykacją należności Prezes Urzędu zwrócił również uwagę na przepisy Kodeksu cywilnego, a szczególnie na art. 509 odnoszący się do cesji wierzytelności. Przepis ten stanowi, iż wierzyciel może bez zgody dłużnika przenieść wierzytelność na osobę trzecią (przelew), chyba że sprzeciwiałoby się to ustawie, zastrzeżeniu umownemu albo właściwości zobowiązania (§ 1). Wraz z wierzytelnością przechodzą na nabywcę wszelkie związane z nią prawa, w szczególności roszczenie o zaległe odsetki (§ 2 ww, artykułu). Postępowanie przeprowadzone przez Prezesa Urzędu Ochrony Danych Osobowych wykazało ponadto, że dane Skarżącego zostały z kolei przekazane do Krajowego Rejestru Długów przez I. S.A. na podstawie art. 23 ust. 1 pkt 2 ustawy, zgodnie z którym przetwarzanie danych osobowych jest dopuszczalne, jeżeli jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa. Takim przepisem jest art. 15 ustawy z dnia 9 kwietnia 2010 r. o udostępnianiu informacji gospodarczych i wymianie danych gospodarczych, który stanowi, że wierzyciel może przekazać do biura informacje gospodarcze o zobowiązaniu dłużnika niebędącego konsumentem wyłącznie wówczas, gdy są spełnione łącznie następujące warunki: 1) zobowiązanie powstało w związku z określonym stosunkiem prawnym, w szczególności z tytułu umowy związanej z wykonywaniem działalności gospodarczej; 2) łączna kwota wymagalnych zobowiązań dłużnika niebędącego konsumentem wobec wierzyciela wynosi co najmniej 500 złotych oraz są one wymagalne od co najmniej 30 dni; 3) upłynął co najmniej miesiąc od wysłania przez wierzyciela listem poleconym albo doręczenia dłużnikowi niebędącemu konsumentem do rąk własnych, na adres do doręczeń wskazany przez dłużnika niebędącego konsumentem, a jeżeli nie wskazał takiego adresu na adres siedziby dłużnika lub miejsca wykonywania działalności gospodarczej, wezwania do zapłaty, zawierającego ostrzeżenie o zamiarze przekazania danych do biura, z podaniem firmy i adresu siedziby tego biura. Prezes Urzędu wskazał także, że z uwagi na wystąpienie przesłanek wskazanych w art. 15 ustawy o udostępnianiu informacji gospodarczych i wymianie danych gospodarczych. Spółka miała podstawy prawne, aby przekazać dane osobowe Skarżącego do KRD. Mając na uwadze powyższe. Prezes Urzędu Ochrony Danych Osobowych zważył, że Spółka pozyskała dane osobowe Skarżącego legalnie i w taki też sposób je przetwarza. Kwestionowane przez Skarżącego przekazanie danych do KRD także mieściło się w przesłance legalizującej proces przetwarzania danych określonej w art. 23 ust. 1 pkt 2 ustawy o ochronie danych osobowych. W ocenie organu, wobec powyższego postępowanie administracyjne wszczęte ze skargi A. O. stało się bezprzedmiotowe i wydana została decyzja z [...] listopada 2019 r. umarzająca postępowanie. Skarżący pismem z 16 grudnia 2019 r., złożył wniosek o ponowne rozpatrzenie sprawy rozpatrzonej decyzją Prezesa Urzędu Ochrony Danych Osobowych z [...] listopada 2019r. Po ponownej analizie zebranego w sprawie materiału dowodowego Prezes Urzędu Ochrony Danych Osobowych podtrzymał stanowisko wyrażone w zaskarżonym rozstrzygnięciu w decyzji z [...] maja 2020 r. Organ wskazał, iż we wniosku o ponowne rozpatrzenie sprawy Skarżący nie przedstawił żadnych okoliczności, które mogłyby stanowić podstawę do zmiany rozstrzygnięcia, zaś argumenty podniesione we wniosku sprowadzały się jedynie do polemiki Skarżącego z prawidłowymi ustaleniami poczynionymi w toku postępowania administracyjnego przeprowadzonego w niniejszej sprawie. A. O. wniósł do Wojewódzkiego Sądu Administracyjnego w Warszawie skargę na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] maja 2020 r. Skarżący podnosił, iż o dnia dzisiejszego nikt nie udowodnił że faktura wystawiona na jego rzecz została wystawiona zasadnie i w związku z tym wykup tej faktury, jak również wpis do KRD, nastąpiły niezgodnie z obowiązującym prawem. Ponadto płatność uległa przedawnieniu bardzo długi czas temu. W odpowiedzi na skargę Prezes Urzędu Ochrony Danych Osobowych wniósł o jej oddalenie, podtrzymując swoje dotychczasowe argumenty faktyczne i prawne. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: Zgodnie z art. 1 § 1 i 2 ustawy z dnia 25 lipca 2002 r. – Prawo o ustroju sądów administracyjnych (t.j. Dz. U. z 2019 r. poz. 2167), sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej. Kontrola sprawowana jest pod względem zgodności z prawem, jeżeli ustawy nie stanowią inaczej. Stosownie do treści art. 3 § 1 i 2 pkt 1 ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (t.j. Dz. U. z 2019 r. poz. 2325, z późn. zm.); zwanej dalej p.p.s.a. sądy administracyjne sprawują kontrolę działalności administracji publicznej i stosują środki określone w ustawie. Kontrola działalności administracji publicznej obejmuje, między innymi orzekanie w sprawach skarg na decyzje administracyjne. Tylko zatem stwierdzenie, że zaskarżona decyzja została wydana z naruszeniem prawa materialnego, które miało wpływ na wynik sprawy, z naruszeniem prawa dającym podstawę do wznowienia postępowania administracyjnego lub z innym naruszeniem przepisów postępowania, jeżeli mogło mieć ono istotny wpływ na wynik sprawy, może skutkować uchyleniem przez Sąd zaskarżonej decyzji (art. 145 § 1 pkt. 1 lit. a, b, c p.p.s.a.). Sąd uwzględniając skargę stwierdza nieważność decyzji lub postanowienia w całości lub części, jeżeli zachodzą przyczyny określone w art. 156 Kodeksu postępowania administracyjnego lub w innych przepisach (art. 145 § 1 pkt 2 p.p.s.a.). Badając zgodność z prawem zaskarżonej decyzji sąd nie jest związany zarzutami i wnioskami skargi oraz powołaną podstawą, ale rozstrzyga w granicach danej sprawy, stosownie do treści art. 134 § 1 p.p.s.a. Sąd wydaje wyrok na podstawie akt sprawy (art. 133 § 1 p.p.s.a) i stosuje przewidziane ustawą środki w celu usunięcia naruszenia prawa w stosunku do aktów lub czynności wydanych lub podjętych we wszystkich postępowaniach prowadzonych w granicach sprawy, której dotyczy skarga, jeżeli jest to niezbędne do jej załatwienia (art. 135 p.p.s.a.). Przeprowadzone w określonych na wstępie ramach badanie zgodności z prawem zaskarżonej decyzji wykazało, że skarga nie zasługuje na uwzględnienie, bowiem nie można organowi skutecznie zarzucić, że przy rozstrzyganiu sprawy naruszył obowiązujące przepisy prawa. W ocenie Sądu, stan faktyczny sprawy został ustalony w sposób prawidłowy, a interpretacja powołanych przez organy przepisów materialnych jest prawidłowa. Prezes Urzędu Ochrony Danych Osobowych prawidłowo ustalił, że Spółka pozyskała dane osobowe Skarżącego w związku z nabyciem jego wierzytelności od spółki N.S.A. z siedzibą w [...] na podstawie umowy sprzedaży wierzytelności. Zgodnie z art. 23 ust. 1 pkt 5 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r., poz. 922 z późn. zm.), dalej jako: "ustawa", "u.o.d.o." przetwarzanie danych osobowych, w tym ich udostępnianie, jest dopuszczalne, jeśli jest niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą. Ze względu na to, że stosownie do art. 23 ust. 4 pkt 2 ustawy, za prawnie usprawiedliwiony cel uważa się dochodzenie roszczeń z tytułu prowadzonej przez administratora danych działalności gospodarczej, przetwarzanie danych w takim przypadku jest prawnie dopuszczalne. W kontekście legalności udostępniania danych osobowych podmiotom trudniącym się windykacją należności Prezes Urzędu zwrócił również uwagę na przepisy Kodeksu cywilnego, a szczególnie na art. 509 odnoszący się do cesji wierzytelności. Przepis ten stanowi, iż wierzyciel może bez zgody dłużnika przenieść wierzytelność na osobę trzecią (przelew), chyba że sprzeciwiałoby się to ustawie, zastrzeżeniu umownemu albo właściwości zobowiązania (§ 1). Wraz z wierzytelnością przechodzą na nabywcę wszelkie związane z nią prawa, w szczególności roszczenie o zaległe odsetki (§ 2 ww, artykułu). Zauważyć też należy, iż w znacznej części argumentacja skarżącego dotyczy de facto sprawy cywilnej (kwestionowanie zasadności wystawienia faktury). W tym zakresie organ administracji publicznej nie ma możliwości prawnej badania ani wysokości ani nawet faktu istnienia bądź nieistnienia wierzytelności. Nie posiada też uprawnienia do jakiejkolwiek ingerencji w tym zakresie. Przepisy u.o.d.o. z 1997 r. określały zasady postępowania przy przetwarzaniu danych osobowych przez osoby fizyczne i osoby prawne oraz jednostki organizacyjne niebędące osobami prawnymi, jeżeli przetwarzały dane osobowe w związku z działalnością zarobkową, zawodową lub dla realizacji celów statutowych. Przetwarzaniem danych były wszelkie operacje wykonywane na danych osobowych, takie jak zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie, a zwłaszcza te, które wykonuje się w systemach informatycznych. Z kolei za dane osobowe uważało się wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej (art. 6 ust. 1 u.o.d.o. z 1997 r.). Aby przetwarzanie danych osobowych było zgodne z prawem administrator był obowiązany przetwarzać dane osobowe na podstawie przesłanek określonych w art. 23 ust. 1 pkt 1 - 5 (w przypadku tzw. danych zwykłych) lub w oparciu o art. 27 ust. 2 pkt 1-10 u.o.d.o. z 1997 r. (w przypadku tzw. danych szczególnie chronionych). Stosownie do przepisów art. 31 u.o.d.o. z 1997 r., administrator danych mógł powierzyć innemu podmiotowi, w drodze umowy zawartej na piśmie, przetwarzanie danych (ust. 1). Podmiot, o którym mowa w ust. 1, mógł przetwarzać dane wyłącznie w zakresie i celu przewidzianym w umowie (ust. 2). Ponadto podmiot, o którym była mowa w ust. 1, był obowiązany przed rozpoczęciem przetwarzania danych podjąć środki zabezpieczające zbiór danych, o których była mowa w art. 36-39, oraz spełnić wymagania określone w przepisach, o których była mowa w art. 39a. W zakresie przestrzegania tych przepisów podmiot ponosił odpowiedzialność jak administrator danych (ust. 3). W przypadkach, o których była mowa w ust. 1-3, odpowiedzialność za przestrzeganie przepisów niniejszej ustawy spoczywała na administratorze danych, co nie wyłączało odpowiedzialności podmiotu, który zawarł umowę, za przetwarzanie danych niezgodnie z tą umową (ust. 4). Do kontroli zgodności przetwarzania danych przez podmiot, o którym mowa w ust. 1, z przepisami o ochronie danych osobowych stosowało się odpowiednio przepisy art. 14-19 u.o.d.o. z 1997 r. (ust. 5). Z akt administracyjnych sprawy wynika, że dnia 6 sierpnia 2014 r. Spółka zawarła z N.S.A. z siedzibą w Warszawie (NIP [...]) umowę sprzedaży wierzytelności (dalej jako: "umowa cesji"). Wierzytelność przysługująca N.S.A. z tytułu świadczonych przez nią usług telekomunikacyjnych została przelana na rzecz Spółki na gruncie tejże umowy. Przedmiotem umowy cesji była między innym wierzytelność w stosunku do Skarżącego A. O. prowadzącego działalność gospodarczą pod firmą FIRMA [...] A. O. Wskazano, że Skarżący już w sierpniu 2014 r. został w formie pisemnej powiadomiony przez N.S.A. o fakcie zawarcia umowy sprzedaży wierzytelności skutkującej przelaniem na rzecz I.S.A. określonej pismem wierzytelności. Dodatkowo fakt ten został potwierdzony przez Spółkę także w odpowiedzi na pismo sygn. [...] z [...] sierpnia 2017 r. W piśmie tym (wystosowanym w odpowiedzi na pismo Skarżącego z [...] czerwca 2017 r., doręczonym 5 lipca 2017 r.) I. S.A. wyjaśniła także Skarżącemu z tytułu jakiej należności, na jakiej podstawie i od jakiego podmiotu nastąpiło nabycie należności. Wpisanie danych osobowych Skarżącego do Krajowego Rejestru Długów nastąpił w związku z brakiem spłaty należności wynikającej z Faktury VAT nr [...] nabytej na podstawie umowy przelewu wierzytelności od N.S.A. z siedzibą w [...] (kopia zawiadomienia o przelewie wierzytelności z [...] sierpnia 2014 r. przekazaną przez N.S.A., kopia odpowiedzi z [...] sierpnia 2017 r. na pismo Skarżącego z [...] czerwca 2017 r., sygn. [...] oraz kopia książki nadawczej z [...] sierpnia 2017 r.). Pełnomocnik Spółki wyjaśnił jednocześnie, że wszelkie adresy na jakie była kierowana korespondencja są adresami przekazanymi przez wierzycieli, wskazanymi na fakturze VAT, a także widniejącymi zarówno aktualnie jak i uprzednio w Centralnej Ewidencji i Informacji o Działalności Gospodarczej jako adres głównego miejsca wykonywania działalności jako adres do doręczeń. Pełnomocnik wyjaśnił następnie, że wobec braku uregulowania przez Skarżącego należności wynikającej z faktury VAT [...] I. S.A. skierowała do niego wezwanie do zapłaty z [...] października 2015 r., zawierające zastrzeżenie o możliwości wpisania do KRD informacji o nieuregulowanych zobowiązaniach. W wezwaniu tym wskazano podstawę kierowania roszczenia o uregulowanie zobowiązania (między innymi wskazany został numer faktury obejmującej nabytą należność, kwota faktury VAT, umowa cesji jako podstawa nabycia oraz podmiot, od którego nabycie nastąpiło). Na dowód powyższego. Pełnomocnik przedstawił kopię faktury VAT [...], kopię wezwania do zapłaty z [...] października 2015 r. oraz kopię książki nadawczej z [...] października 2015 r. Wobec powyższego udostępnienie danych Skarżącego na rzecz KRD przez B. S.A. jako administratora danych osobowych nastąpiło na podstawie przepisów prawa, zaś przetwarzanie danych odbywa się w tym przypadku na podstawie art. 509 i nast. kodeksu cywilnego w zw. z art. 23 ust. 1 pkt 5 w zw. z art. 23 ust. 4 pkt 2 ustawy o ochronie danych osobowych. W myśl art. 509 § 1 k.c. wierzyciel może bez zgody dłużnika przenieść wierzytelność na osobę trzecią (przelew), chyba że sprzeciwiałoby się to ustawie, zastrzeżeniu umownemu albo właściwości zobowiązania. W świetle art. 23 ust. 1 pkt 5 u.o.d.o. z 1997 r. przetwarzanie danych jest dopuszczalne, gdy jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą. Z kolei przepis art. 23 ust. 4 u.o.d.o. z 1997 r. precyzuje, że za prawnie usprawiedliwiony cel, o którym mowa w ust. 1 pkt 5, uważa się w szczególności dochodzenie roszczeń z tytułu prowadzonej działalności gospodarczej. Zgodnie ze stanowiskiem NSA zaprezentowanym w składzie w 7 sędziów w wyroku z 6 czerwca 2005 r., sygn. I OPS 2/05, prawnie usprawiedliwiony cel, o którym mowa w art. 23 ust. 1 pkt 5 u.o.d.o. z 1997 r. o ochronie danych osobowych może być oparty także na przepisach prawa cywilnego. Taka właśnie sytuacja miała miejsce w rozpoznawanej sprawie, bowiem Spółka przetwarzała dane osobowe Skarżącego w ramach dochodzenia roszczeń i zarządzania wierzytelnościami. Reasumując, organy prawidłowo stwierdziły, że dane osobowe skarżącego były przetwarzane w sposób zgodny z przepisami u.o.d.o. z 1997 r., wobec czego nie było podstaw do wydania decyzji nakazującej przywrócenie stanu zgodnego z prawem. Mając na uwadze powyższe, Wojewódzki Sąd Administracyjny w Warszawie na podstawie art. 151 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2019 r. poz. 2325 z późn. zm.) orzekł jak w sentencji wyroku.