II SA/Wa 1582/20

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Izabela Głowacka-Klimas (spr.), Sędzia WSA Agnieszka Góra-Błaszczykowska, Sędzia WSA Janusz Walawski, po rozpoznaniu na posiedzeniu niejawnym w dniu 2 lutego 2021 r. sprawy ze skargi K. S.A. z siedzibą we W. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] czerwca 2020 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę Pani E. W. wniosła do Generalnego Inspektora Ochrony Danych Osobowych (aktualnie Prezesa Urzędu Ochrony Danych Osobowych), skargę z dnia [...] czerwca 2014 r. na przetwarzanie jej danych osobowych przez Wspólnotę Mieszkaniową przy ul. [...] w W. (dalej również jako: "Wspólnota"), w sposób polegający na ich przekazaniu do Skarżącej. Zgodnie z wyjaśnieniami Wspólnoty, pani E. W. pozostawała jej dłużnikiem: "(...) w związku ze stosunkiem prawnym służebności istniejącej na nieruchomości Wspólnoty (nieruchomości obciążonej), a służącej nieruchomości, której właścicielem jest {była} p. E. W. Służebność ta sprowadza się do istnienia na nieruchomości obciążonej basenu dostępnego dla członków sąsiednich wspólnot mieszkaniowych, w tym p. E. W. Basen ten utrzymywany jest na bieżąco staraniem Wspólnoty, a od właścicieli nieruchomości władnących Wspólnota pobiera stosunkowo rozłożone opłaty z tytułu utrzymania służebności. W toku jest szereg spraw przed warszawskimi sądami powszechnymi, w których Wspólnota domaga się zasądzenia na jej rzecz kwot przypadających na poszczególnych właścicieli nieruchomości władnących z tytułu utrzymania służebności basenowej. Pani E. W. nie uregulowała dotąd żadnej kwoty odpowiadającej stopniowi jej partycypacji w kosztach utrzymania służebności (...)". Wspólnota podkreślała także, że: "(...) kwota zobowiązania p. E. W. przekracza kwotę 200,00 zł i jest wymagalna ponad 60 dni (...) upłynął miesiąc od wysłania przez Wspólnotę Mieszkaniową listem poleconym na adres doręczeń wskazany Wspólnocie przez p. E. W. wezwania do zapłaty zawierającego ostrzeżenie o zamiarze przekazania jej danych do [...] S.A. (...)". Wspólnota wskazała ponadto, że do przekazania danych osobowych pani E.W. do [...] S.A. (dalej: Skarżąca, [...] S.A.) doszło [...] marca 2014 r. Zakres przekazanych danych obejmował: jej imię i nazwisko, adres oraz numer ewidencyjny PESEL. Wspólnota wyjaśniła również, że źródłem, z którego pozyskała kwestionowane dane osobowe Skarżącej była księga wieczysta lokalu mieszkalnego nr [...] mieszczącego się w W. przy ul. [...] o Nr [...] (wydruk fragmentów ww. księgi wieczystej oraz pismo Wspólnoty z dnia [...] listopada 2014 r. zawierające wyjaśnienia w sprawie - w aktach sprawy. Wspólnota dołączyła zarazem do swoich wyjaśnień kopię kolejnych pism: z dnia [...] listopada 2012 r. i z dnia [...] grudnia 2013 r. stanowiących adresowane do Skarżącej "wezwanie do zapłaty" i "ostateczne wezwanie do zapłaty" odpowiednio kwot: 1287,04 zł i 1633,45 zł tytułem "uregulowanie niedopłaty za basen", zawierających zarazem informację następującej treści: "(...) Informacje o nieuregulowanych zobowiązaniach, zgodnie z Ustawą o udostępnianiu informacji gospodarczych i wymianie danych gospodarczych (...) będą przekazywane do: [...] S.A., ul. [...], (...)" (kopie pism - w aktach sprawy). W pismach: z dnia [...] lutego 2019 r. i z dnia [...] marca 2019 r. Wspólnota potwierdziła aktualność swoich dotychczasowych wyjaśnień dodając zarazem, cyt.: "(...) Wspólnota nadal pozostaje wierzycielem Skarżącej. Łączna zaległość wyniosła (solidarnie ze współmałżonkiem) na dzień [...] czerwca 2018 r. 3.842,09 zł i została skierowana na drogę sądową. Nakazem zapłaty z dnia [...] września 2018 r. (...) {nakazano} małżonkom E. i J. W. zapłacić solidarnie na rzecz Wspólnoty w/w kwotę wraz z odsetkami i kosztami postępowania (...)" (kopia nakazu zapłaty - w aktach sprawy). Wspólnotę ze Skarżącą łączy "Umowa o współpracy z [...] S.A." z dnia [...] lipca 2012 r. Na jej podstawie Skarżąca zobowiązała się względem Wspólnoty do odpłatnego świadczenia usług, o których mowa w Ustawie OUIG. Na podstawie Aneksu Nr [...] z dnia [...] stycznia 2013 r., umowa ta została przedłużona na czas nieokreślony. Skarżąca w korespondencji z dnia [...] marca 2019 r., zajęła stanowisko w sprawie wskazując, że w chwili obecnej w dalszym ciągu przetwarza pozyskane od Wspólnoty dane osobowe pani E. W. obejmujące jej imię, nazwisko, numer PESEL, obywatelstwo, adres zamieszkania, kwotę należności, podstawę zadłużenia wraz z informacją o wezwaniu do zapłaty. W przedmiocie przetwarzania danych osobowych pani E. W. w zakresie dotyczącym jej obywatelstwa, w korespondencji z dnia [...] lipca 2019 r. Skarżąca wskazała że: "z przepisu art. 2 ust. 1 pkt 2 ustawy z dnia 9 kwietnia 2010 r. o udostępnianiu informacji gospodarczych i wymianie danych gospodarczych (Dz. U. z 2019 r. ,poz.681 ze zm.) dalej uouig wprost nie wynika możliwość przekazania do biura informacji gospodarczej (...) danych dotyczących obywatelstwa (...) podstawowym identyfikatorem osoby będącej konsumentem oraz będącej obywatelem polskim jest numer PESEL, zaś w przypadku osób niebędących obywatelami polskimi jest to inny numer potwierdzający tożsamość. Zatem [...] S.A. dodało pole w systemie informatycznym określające obywatelstwo, aby w kolejnym kroku wskazać podmiotowi przekazującemu informacje gospodarcze, jaki identyfikator winien być w ramach treści informacji gospodarczej dopisany czy numer PESEL w przypadku obywatela polskiego czy inny numer identyfikacyjny w przypadku obcokrajowca (...) w systemie informatycznym wprowadzona została odpowiednia walidacja numeru PESEL, która jest aktywna tylko w przypadku przekazania informacji gospodarczej o zobowiązaniu obywatela polskiego. Jeśli bowiem wierzyciel podczas przekazywania informacji gospodarczej wskaże, że przekazuje informacje o zobowiązaniu konsumenta nie będącego obywatelem polskim walidacja nie będzie aktywna, co pozwoli na przekazanie informacji gospodarczej o zobowiązaniu konsumenta posiadającego inny numer identyfikacyjny (...) brak powyższej walidacji mógłby doprowadzić do ujawniania przez biuro nieprawdziwych i nieaktualnych informacji co byłoby niezgodne z przepisami (...)". Ponadto Skarżąca podkreśliła, że: "(...) biuro nie przyjmuje danych dotyczących obywatelstwa jako treści informacji gospodarczej, która następnie jest ujawniana na zasadach określonych w art. 22 i następne uouig (...) podmioty, którym biuro ujawnia informacje gospodarcze na zasadach określonych w art. 22 i następne uouig uzyskują jedynie treść informacji gospodarczej (...) nie uzyskują natomiast informacji o obywatelstwie, jako danych pomocniczych względem procesu przekazywania informacji gospodarczych (...)". Skarżąca podnosiła również, że nie zaistniały okoliczności przewidziane przepisami uouig, które zobligowałyby ją do usunięcia danych osobowych pani E. W. Ponadto, w korespondencji z dnia [...] kwietnia 2019 r. Skarżąca wskazała, że: "(...) nie upłynęło 3 lata od ostatniej aktualizacji informacji gospodarczej, zatem nie została spełniona przesłanka wskazana w art. 31 pkt 8 uouig. Z tego względu Skarżąca wyraziła stanowisko, że przedmiotowa sprawa nie podlega ocenie w kontekście art. 31 pkt 9 uouig. Powołując się na treść art. 20 uouig Skarżąca wyraziła przekonanie, że: "(...) w sytuacji gdy w momencie wejścia w życie nowelizacji (13 listopada 2017 r.) w systemie Biura ujawniana była informacja gospodarcza o danym konsumencie, stosuje się do tej informacji przepisy dotychczasowe, tzn. nakazujące biuru usunąć informację gospodarczą po upływie 10 lat od dnia wpisu a nie od dnia wymagalności (...)". Decyzją z dnia [...] października 2019 r., nr [...]., Prezes Urzędu Ochrony Danych Osobowych ("Prezes UODO") nakazał Skarżącej przywrócenie stanu zgodnego z prawem w procesie przetwarzania pozyskanych od Wspólnoty danych osobowych pani E. W., poprzez usunięcie jej danych osobowych w zakresie dotyczącym obywatelstwa. W pozostałym zakresie Prezes UODO odmówił uwzględnienia wniosku. Skarżąca pismem z dnia [...] października 2019 r. wniosła o ponowne rozpatrzenie przez Prezesa Urzędu Ochrony Danych Osobowych sprawy prowadzonej pod nr [...], zakończonej ww. decyzją administracyjną z dnia [...] października 2019 roku. Skarżąca wskazała, że przetwarza dane osobowe E. W. także w oparciu o art. 6 ust. 1 lit. c) oraz e) RODO. Decyzją z dnia [...] czerwca 2020 r. nr [...] Prezes UODO utrzymał w mocy zaskarżona decyzję. Jako podstawę rozstrzygnięcia wskazano art. 138 § 1 pkt 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2020 r. poz. 256) dalej k.p.a. oraz art. 160 ust. 1 i 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz.U. z 2018 r. poz. 1000), a także art. 6 ust. 1 lit. f, art. 5 ust. 1 lit. c rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych (Dz. Urz. UE L 119 z 04.05.2016, str. 1 oraz Dz. Urz. UE L 127 z 23.05.2018, str. 2). W uzasadnieniu powyższej decyzji Prezes UODO wskazał m.in., że proces przetwarzania danych osobowych przez Skarżącą odbywa się wyłącznie w oparciu o przepis art. 6 ust. 1 lit. f RODO. Prawnie uzasadnione interesy Skarżącej polegają zaś na prowadzeniu przez nią legalnej działalności komercyjnej w zakresie udostępniania informacji gospodarczej. Jednocześnie Prezes UODO nie uznał twierdzenia Skarżącej, że przetwarza ona dane osobowe także w oparciu o podstawy prawne wyrażone w przepisach art. 6 ust. 1 lit. c) i e) RODO. Organ argumentował, że oparcie się na tych przesłankach wymaga istnienia podstawy prawnej określonej w prawie Unii Europejskiej lub prawie państwa członkowskiego, któremu podlega administrator. Dodatkowo wskazał, że cel przetwarzania musi być określony w tej podstawie prawnej lub, w przypadku przetwarzania, o którym mowa w art. 6 ust. 1 lit. e) RODO - musi być ono niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi. W ocenie Prezesa UODO, w związku z treścią przepisów art. 2 uouig, art. 6 ust. 1 lit. c) oraz e) RODO nie stanowią przesłanek legalizujących przetwarzanie przez Skarżącą danych osobowych Podmiotu Danych. Ponadto w zakresie obywatelstwa nie stanowi jej żadna inna przesłanka określona w art. 6 ust. 1 RODO. Prezes UODO stwierdził, że przetwarzanie przez Skarżącą danych osobowych we wskazanym zakresie stanowi naruszenie przepisu art. 5 ust. 1 lit. c) RODO, który statuuje wymóg przetwarzania danych adekwatnych, stosownych i ograniczonych do tego, co niezbędne do celów, w których są przetwarzane ("minimalizacja danych"). Ponadto Spółka w swoim wniosku o ponowne rozpatrzenie sprawy powołała się na art. 27 uouig, który zobowiązuje ją do prowadzenia rejestru zapytań. Spółka w swojej argumentacji podniosła, że prowadzenie tego rejestru uprawnia ją do przetwarzania danych osobowych każdej osoby, o którą złożono do biura zapytanie (w tym danych osobowych Skarżącej) i dane te przetwarza w oparciu o art. 6 ust. 1 lit. c) RODO. W związku z powyższym należy wskazać, że zgodnie z art. 27 ust. 2 uouig rejestr zapytań obejmuje: datę ujawnienia informacji gospodarczych, oznaczenie podmiotu, któremu ujawniono informacje gospodarcze oraz wskazanie ujawnionych danych. W związku z tym, że dane o obywatelstwie osób fizycznych nie stanowią informacji gospodarczych w rozumieniu art. 2 ust. 1 pkt. 2 i 3 uouig, należy stwierdzić, że nie zawierają się one w katalogu określonym artykule 27 ust. 2 uouig i w związku z tym powyższy przepis nie uprawnia Spółki do ich przetwarzania. Mając na uwadze powyższe należy stwierdzić, że przesłanka określona w art. 6 ust. 1 lit. c) RODO nie jest w niniejszym przypadku spełniona. W ocenie Prezesa UODO, powyżej jasno wykazano, że nie zaistniała żadna z przesłanek przetwarzania danych wymienionych enumeratywnie w art. 6 ust. 1 RODO, która uprawniałaby Spółkę do przetwarzania informacji o obywatelstwie E. W. Omawiane przetwarzanie informacji na temat obywatelstwa E. W. narusza zarazem art. 5 ust. 1 lit. c) RODO - statuujący wymóg przetwarzania danych adekwatnych, stosownych i ograniczonych do tego, co niezbędne do celów, w których są przetwarzane ("minimalizacja danych"). Skargę na powyższą decyzję do Wojewódzkiego Sądu Administracyjnego w Warszawie wywiodła skarżąca spółka – [...] S.A. Zaskarżonej decyzji zarzuciła: 1) naruszenie przepisów postępowania, które miało istotny wpływ na wynik sprawy, tj. art. 7 w związku z art. 77 i art. 80 k.p.a. polegające na niewyczerpującym zebraniu i rozpatrzeniu całego materiału dowodowego i niepodjęciu wszelkich kroków niezbędnych do dokładnego wyjaśnienia stanu faktycznego i załatwienia sprawy, co skutkowało przyjęciem błędnej podstawy prawnej przetwarzania danych osobowych E. W. (dalej również jako: "Podmiot Danych") w zakresie wskazanym w zaskarżonej decyzji; 2) naruszenie prawa materialnego, które miało wpływ na wynik sprawy, tj. art. 6 ust. 1 lit. e) rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z 04.05.2016, str. 1, ze zm., dalej: "RODO") w związku z art. 4 i 7 ust. 1 ustawy z dnia 9 kwietnia 2010 r. o udostępnianiu informacji gospodarczych i wymianie danych gospodarczych (t.j. Dz.U. z 2020 r. poz. 389, dalej: "Ustawa OUIG"), polegające na ich niezastosowaniu i przyjęciu, że Skarżąca nie legitymuje się przesłanką przetwarzania danych wynikającą z art. 6 ust. 1 lit. e) RODO w związku z art. 4 i 7 ust. 1 Ustawy OUIG, podczas gdy przepisy te nakładają na Skarżącą obowiązek przetwarzania danych osobowych w związku z realizacją zadania publicznego; 3) naruszenie prawa materialnego, które miało wpływ na wynik sprawy, tj. art. 6 ust. 1 lit. c) RODO w związku z art. 27 Ustawy OUIG, polegające na ich niezastosowaniu i przyjęciu, że Skarżąca nie legitymuje się przesłanką przetwarzania danych wynikającą z art. 6 ust. 1 lit. c) RODO w związku z art. 27 Ustawy OUIG, podczas gdy przepisy te nakładają na Skarżącą obowiązek przetwarzania danych osobowych w związku z prowadzeniem rejestru zapytań. W świetle powyższych zarzutów, na podstawie art. 145 § 1 pkt 1 lit. a) i c) ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (t.j. Dz. U. z 2019 r. poz. 2325, dalej "p.p.s.a."), domagała się uchylenie zaskarżonej decyzji w całości i zasądzenia kosztów postępowania. W uzasadnieniu skargi podkreślono, że Prezes UODO zawęził w sposób nieuprawniony katalog podstaw prawnych, na podstawie których Skarżąca, działając jako biuro informacji gospodarczej na zasadach i w granicach określonych w uouig, przetwarza dane osobowe dłużników - do przesłanki określonej w przepisie art. 6 ust. 1 lit. f) RODO. Rozstrzygnięcie to należy uznać za bezpodstawne i wywierające istotny wpływ na stosowanie przepisów uouig przez Skarżącą, ale także przez wszystkie podmioty prowadzące działalność gospodarczą w zakresie udostępniania informacji gospodarczych. Podkreślono, że skarżąca przetwarza dane podmiotów również w oparciu o przepis art. 6 ust. 1 lit. c) oraz e) RODO. Skarżąca wskazuje w pierwszej kolejności, że organ nie ustalił w sposób prawidłowy, że na Skarżącej, będącej biurem informacji gospodarczej, spoczywają obowiązki wynikające z przepisów prawa, które wiążą się z przetwarzaniem danych osobowych Podmiotu Danych. Do obowiązków tych należy m.in. prowadzenie rejestru zapytań, o którym mowa w art. 27 uouig. Pomimo, że sprawa, którą rozpatrywał Prezes UODO, dotyczy określonego zakresu przetwarzania danych przez Skarżącą, skutek decyzji, w której organ wskazał, że Skarżąca przetwarza dane osobowe (inne niż dotyczące obywatelstwa) na podstawie przesłanki prawnie uzasadnionego interesu (art. 6 ust. 1 lit. f RODO), nie zaś (także) na podstawie przesłanki realizacji zadania wykonywanego w interesie publicznym (art. 6 ust. 1 lit. e RODO) oraz przesłanki niezbędności do wypełnienia obowiązku prawnego ciążącego na administratorze (art. 6 ust. 1 lit. c RODO), wywoła negatywne konsekwencje prawne dla Skarżącej. Z tego względu Skarżąca uważa, że Prezes UODO wydał wadliwą decyzję na skutek nierozpatrzenia sprawy w pełni. Wprowadzenie ograniczenia swobody działalności, z jednej strony wobec samych biur, z drugiej wobec osób nieuczciwie lub nierzetelnie uczestniczących w obrocie gospodarczym zostało przyjęte ze względu na ważny interes publiczny, tj. bezpieczeństwo obrotu i w oparciu o cytowany wcześniej przepis art. 22 Konstytucji RP. Stanowisko takie potwierdzono zarówno w orzecznictwie jak i w doktrynie. Z uwagi na użycie przez ustawodawcę konstytucyjnej przesłanki ważnego interesu publicznego, w ocenie Skarżącej, podstawą przetwarzania danych w ramach głównej działalności biur informacji gospodarczych powinien być przepis art. 6 ust. 1 lit. e) RODO, tj. kiedy przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi. Dodatkowym potwierdzeniem możliwości powołania się na przesłankę z przepisu art. 6 ust. 1 lit. e) RODO jest fakt, że biura informacji gospodarczych wykonują zadanie zlecone przez państwo. Tezę o wykonywaniu przez biura ważnych interesów publicznych potwierdził Sąd Najwyższy w wyroku z dnia 26 października 2011 r., sygn. akt III CSK 16/11. Podkreślono, że działanie biur informacji gospodarczej służy zapewnieniu bezpieczeństwa obrotu gospodarczego i stanowi element polityki państwa w tym zakresie, co zostało potwierdzone w kolejnych uzasadnieniach do przepisów Ustawy OUIG i UOIG 2003 oraz w doktrynie. W odpowiedzi na skargę organ wniósł o jej oddalenie. Wojewódzki Sąd Administracyjny zważył, co następuje: Skarga nie zasługuje na uwzględnienie. Przed przystąpieniem do rozważań ściśle związanych z niniejszą sprawa należy w ocenie Sądu, dla lepszego zobrazowania sprawy, przywołać przepisy praw mające w tej sprawie zastosowanie. Zgodnie z art. 18 ust. 1 ustawy o ochronie danych osobowych z 1997 r., w przypadku naruszenia przepisów o ochronie danych osobowych Generalny Inspektor (aktualnie Prezes Urzędu) z urzędu lub na wniosek osoby zainteresowanej, w drodze decyzji administracyjnej, nakazuje przywrócenie stanu zgodnego z prawem, a w szczególności m.in. usunięcie uchybień. Jednocześnie, w przypadku stwierdzenia naruszenia przepisów o ochronie danych osobowych, Prezes Urzędu może skorzystać z uprawnień naprawczych, przyznanych mu na podstawie art. 58 ust. 2 RODO. Zgodnie z przepisem art. 6 ust. 1 lit. c) RODO, przetwarzanie danych jest zgodne z prawem, gdy jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze. Przetwarzanie danych osobowych jest zgodne z prawem jedynie wówczas, gdy administrator danych legitymuje się posiadaniem co najmniej jednej spośród wymienionych w art. 6 ust. 1 RODO przesłanek przetwarzania danych zwykłych, do których zaliczane są: a) zgoda osoby, której dane dotyczą, obejmująca przetwarzanie w jednym lub większej liczbie celów; b) niezbędność przetwarzania do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na wniosek tej osoby przed zawarciem umowy; c) niezbędność przetwarzania do wypełnienia obowiązku prawnego ciążącego na administratorze; d) niezbędność przetwarzania do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej; e) niezbędność przetwarzania do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi; f) niezbędność przetwarzania do celów wynikających z uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem. Katalog ww. przesłanek jest zamknięty, są one co do zasady równoprawne, każda ma charakter autonomiczny i niezależny, co oznacza, że spełnienie jednej z nich stanowi o zgodnym z prawem przetwarzaniu danych osobowych. Nie można więc przy braku zgody osoby, której dane dotyczą, uznać że administrator danych przetwarza jej dane osobowe bez podstawy prawnej, naruszając obowiązujące przepisy w zakresie ochrony danych osobowych, w szczególności RODO, bo ustawodawca dopuścił możliwość przetwarzania danych także na mocy innych przesłanek. Aktem prawnym zawierającym szczegółowe regulacje dotyczące procesu przetwarzania danych osobowych E. W., przez [...] S.A., z siedzibą w W., jest przede wszystkim ustawa z dnia 9 kwietnia 2010 r. o udostępnianiu informacji gospodarczych i wymianie danych gospodarczych (tekst jedn.: Dz.U. 2019 r., poz. 681 ze zm.) (zwana dalej także uouig) i w związku z tym ocena legalności przetwarzania danych osobowych Skarżącej musi być dokonywana w powiązaniu z przepisami wyżej wymienionej ustawy. Podkreślenia wymaga, że [...] są uprawnione do przetwarzania informacji gospodarczych zawierających dane osobowe dłużników w zakresie ściśle określonym w art. 2 tej ustawy. Zgodnie z art. 2 ust. 1 pkt 2) tej ustawy, jeżeli chodzi o osobę fizyczną nieprowadzącą działalności gospodarczej, są to dane dotyczące wyłącznie: a) imion i nazwiska, b) adresu miejsca zamieszkania lub adresu do doręczeń, c) numeru PESEL lub innego numeru potwierdzającego tożsamość, d) serii i numeru dowodu osobistego lub innego dokumentu potwierdzającego tożsamość. Zgodnie natomiast z art. 14 ust. 1 uouig, wierzyciel może przekazać do biura informacje gospodarcze o zobowiązaniu dłużnika będącego konsumentem wyłącznie wówczas, gdy są spełnione łącznie następujące warunki: 1) zobowiązanie powstało w związku z określonym stosunkiem prawnym, w szczególności z tytułu umowy o kredyt konsumencki oraz umów, o których mowa w art. 1871 ustawy z dnia 17 listopada 1964 r. - Kodeks postępowania cywilnego (Dz. U. z 2018 r. poz. 1360, z późn. zm.); 2) łączna kwota wymagalnych zobowiązań dłużnika będącego konsumentem wobec wierzyciela wynosi co najmniej 200 złotych oraz są one wymagalne od co najmniej 30 dni (wedle stanu na dzień kwestionowanego przekazania danych osobowych E. W. przez Wspólnotę do Spółki, zobowiązanie musiało być wymagalne od co najmniej 60 dni); 3) upłynął co najmniej miesiąc od wysłania przez wierzyciela listem poleconym albo doręczenia dłużnikowi będącemu konsumentem do rąk własnych, na adres do doręczeń wskazany przez dłużnika będącego konsumentem, a jeżeli nie wskazał takiego adresu - na adres miejsca zamieszkania, wezwania do zapłaty, zawierającego ostrzeżenie o zamiarze przekazania danych do biura, z podaniem firmy i adresu siedziby tego biura; 4) nie upłynęło 6 lat od dnia wymagalności zobowiązania, a w przypadku roszczeń stwierdzonych prawomocnym orzeczeniem sądu lub innego organu powołanego do rozpoznawania spraw danego rodzaju albo orzeczeniem sądu polubownego, jak również roszczeń stwierdzonych ugodą zawartą przed sądem albo sądem polubownym albo ugodą zawartą przed mediatorem i zatwierdzoną przez sąd nie upłynęło 6 lat od dnia stwierdzenia roszczenia (wymóg ten nie obowiązywał wedle stanu na dzień kwestionowanego przekazania danych osobowych E. W. przez Wspólnotę do Spółki). W niniejszej sprawie zobowiązanie powstało w związku ze stosunkiem prawnym odpłatnej służebności istniejącej na nieruchomości Wspólnoty (nieruchomości obciążonej-basen), na rzecz nieruchomości władnącej, której właścicielem jest (była) E. W. W związku z tą służebnością E. W. zobowiązana jest do partycypacji w kosztach utrzymania służebności. Jak słusznie zauważył organ w niniejszej sprawie spełnione zostały wszystkie warunki z art. 14 ust. 1 uouig, co do przekazania do Skarżącej informacji na temat Pani E. W. W myśl art. 14 ust. 2 uouig, w przypadku określonym w ust. 1 wierzyciel może przekazać do biura wyłącznie informacje gospodarcze dotyczące: 1) siebie - określone w art. 2 ust. 1 pkt 1 albo 3; 2) dłużnika będącego konsumentem - określone w art. 2 ust. 1 pkt 2; 3) zobowiązania - określone w art. 2 ust. 1 pkt 4. Zgodnie z brzmieniem art. 2 ust. 1 pkt 2 ustawy o udostępnianiu informacji gospodarczych, przez informacje gospodarcze rozumie się dane dotyczące osoby fizycznej w zakresie: a) imion i nazwiska, b) adresu miejsca zamieszkania lub adresu do doręczeń, c) numeru PESEL lub innego numeru potwierdzającego tożsamość, d) serii i numeru dowodu osobistego lub innego dokumentu potwierdzającego tożsamość. Art. 2 ust. 1 pkt 4 omawianego aktu prawnego zalicza do informacji gospodarczych dane dotyczące zobowiązania pieniężnego w zakresie: a) tytułu prawnego, b) kwoty i waluty, c) kwoty zaległości, d) daty powstania zaległości, e) informacji o postępowaniach dotyczących zobowiązania, f) informacji o kwestionowaniu przez dłużnika istnienia całości lub części zobowiązania, g) daty wysłania listem poleconym albo doręczenia dłużnikowi do rąk własnych wezwania do zapłaty, zawierającego ostrzeżenie o zamiarze przekazania danych do biura informacji gospodarczej, z podaniem firmy i adresu siedziby tego biura, h) informacji o zbyciu wierzytelności, i) innych informacji przekazanych w trybie i na zasadach określonych w art. 18, j) informacji w przedmiocie przedawnienia roszczenia. Z wyjaśnień [...] S.A. wynika, że zakres udostępnionych przez Wspólnotę danych obejmował imiona i nazwisko, adres, numer PESEL, obywatelstwo, kwotę zadłużenia i podstawę zadłużenia (pismo [...] S.A. z dnia [...] marca 2019 r. - w aktach sprawy). Powyższe pismo skarżącej spółki pozostaje w sprzeczności z danymi E. W. przekazanymi do [...] S.A. w dniu [...] marca 2014 r. przez Wspólnotę. Zakres przekazanych danych obejmował: jej imię i nazwisko, adres oraz numer ewidencyjny PESEL. Wspólnota wyjaśniła również, że źródłem, z którego pozyskała kwestionowane dane osobowe E. W. była księga wieczysta lokalu mieszkalnego nr [..] mieszczącego się w W. przy ul. [...] o Nr [...] (wydruk fragmentów ww. księgi wieczystej oraz pismo Wspólnoty z dnia [...] listopada 2014 r. zawierające wyjaśnienia w sprawie - w aktach sprawy). Tak więc Wspólnota nie przekazała danych na temat obywatelstwa uczestniczki postępowania E. W.- pismo z [...] września 2014 r. Artykuł 21 uouig stanowi, że biuro ujawnia tylko aktualne informacje gospodarcze (ust. 1), określa zasady aktualizacji tych informacji (w ust. 2) oraz warunki przechowywania informacji o charakterze archiwalnym (ust. 3-5). Z powyższego przepisu wynika zatem, że Skarżąca mogła ujawnić tylko aktualne informacje gospodarcze o E. W. w zakresie określonym w art. 2 ust. 1 pkt 2 ustawy o udostępnianiu informacji gospodarczych, powyższy przepis w żadnym wypadku nie stanowi podstawy do ujawnienia obywatelstwa E. W., co słusznie zauważył organ. W tym miejscu należy wskazać, że Sąd podziela stanowisko organu, iż dane osobowe E. W. zostały udostępnione przez Wspólnotę w sposób legalny (za wyjątkiem dotyczącym informacji na temat obywatelstwa). Sąd podziela również stanowisko organu, że oceny legalności tego postępowania należało dokonać w oparciu o przepisy ustawy o ochronie danych osobowych z 1997 r., gdyż do udostępnienia doszło w marcu 2014 r. (art. 23 ust. 1 pkt 2). Również zdaniem Sądu organ prawidłowo przyjął, że kontynuowany przez Spółkę skarżącą proces przetwarzania danych (poza obywatelstwem jest legalny) Podstawy tego przetwarzania należy upatrywać w art. 6 ust.1 lit. f) RODO. Zgodnie z tym przepisem przetwarzanie danych jest zgodne z prawem, w sytuacji gdy przetwarzanie danych jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią. W niniejszej sprawie zarówno Skarżąca, jak i Wspólnota, zdaniem Sądu, taki uzasadniony interes posiadają. Skarżąca spółka prowadzi legalną działalność komercyjną w zakresie udostępniania informacji gospodarczych, natomiast interesu Wspólnoty należy upatrywać w wywarciu presji na dłużniku w celu odzyskania należności. Skarżąca uzasadniając przetwarzanie danych w postaci obywatelstwa powołała się na art. 6 ust. 1 lit. c) i e) RODO zgodnie z tym przepisem przetwarzanie jest uprawnione: - jeżeli jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze (lit. c); - jeżeli jest niezbędne do wykonywania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi (lit. e). Przepis ten jest ściśle powiązany z art. 6 ust. 3 RODO, z którego wynika, że: "Podstawa przetwarzania, o którym mowa w ust. 1 lit. c) i e), musi być określona: a) w prawie Unii; lub b) w prawie państwa członkowskiego, któremu podlega administrator. Cel przetwarzania musi być określony w tej podstawie prawnej lub, w przypadku przetwarzania, o którym mowa w ust. 1 lit. e) – musi być ono niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi. Podstawa prawna może zawierać przepisy szczegółowe dostosowujące stosowanie przepisów niniejszego rozporządzenia, w tym: ogólne warunki zgodności z prawem przetwarzania przez administratora; rodzaj danych podlegających przetwarzaniu; osoby, których dane dotyczą; podmioty, którym można ujawnić dane osobowe; cele, w których można je ujawnić; ograniczenia celu; okresy przechowywania; oraz operacje i procedury przetwarzania, w tym środki zapewniające zgodność z prawem i rzetelność przetwarzania, w tym w innych szczególnych sytuacjach związanych z przetwarzaniem, o których mowa w rozdziale IX. Prawo Unii lub prawo państwa członkowskiego muszą służyć realizacji celu leżącego w interesie publicznym, oraz być proporcjonalne do wyznaczonego, prawnie uzasadnionego celu." Zdaniem Sądu z powyższej regulacji wynika wprost, że przetwarzanie danych określone w art. 6 ust. 1 lit. c) i e) RODO jest możliwe po wskazaniu podstawy prawnej tego przetwarzania. Jak wyżej wskazano podstawą prawną przetwarzania danych osobowych E. W. były przepisy ustawy o udostępnianiu informacji gospodarczych i wymianie danych gospodarczych. Zdaniem Sądu właśnie w tej ustawie należy szukać ewentualnych podstaw prawnych przetwarzania danych o obywatelstwie. Spółka w złożonej skardze powołała się na art. 4 i 7 ust. 1 uouig jako podstawę przetwarzania tych danych. W ocenie Skarżącej biura informacji gospodarczej wykonują zadania zlecone przez państwo, gdyż dbają o bezpieczeństwo obrotu gospodarczego oraz odciążają niewydolny wymiar sprawiedliwości. W art. 4 uouig została określona zasada wyłączności biura informacji gospodarczych na udostępnianie informacji gospodarczych, za wyjątkiem sytuacji, gdy przepisy prawa przewidują inny tryb udostępniania danych. Zgodnie natomiast z art. 7 ust. 1 uouig przedmiotem działalności gospodarczej biura jest pośrednictwo w udostępnianiu informacji gospodarczych, polegające na przyjmowaniu informacji gospodarczych od wierzycieli, przechowywaniu i ujawnianiu tych informacji. Zdaniem Sądu żaden z powyższych przepisów nie daje podstaw do przetwarzania danych w postaci obywatelstwa, katalog danych, których przetwarzanie dopuszcza ustawa został wskazany w art. 2 ust. 1 pkt 2 uouig. Z powyższego wynika, że dane o obywatelstwie nie stanowią informacji gospodarczej w rozumieniu 2 ust. 1 uouig i nie podlegają przetwarzaniu. Podkreślenia wymaga również fakt, że sama Spółka skarżąca w swoich wyjaśnieniach z dnia [...] lipca 2019 r., wskazała, że "z powołanego (...) (przepisu art. 2 ust. 1 pkt 2 ustawy o udostępnianiu informacji gospodarczych) wprost nie wynika możliwości przekazania do biura informacji gospodarczej (...) danych dotyczących obywatelstwa (...) podstawowym identyfikatorem osoby będącej konsumentem oraz będącej obywatelem polskim jest numer PESEL, zaś w przypadku osób niebędących obywatelami polskimi jest to inny numer potwierdzający tożsamość. Zatem [...] S.A. dodało pole w systemie informatycznym określające obywatelstwo, aby w kolejnym kroku wskazać podmiotowi przekazującemu informacje gospodarcze, jaki identyfikator winien być w ramach treści informacji gospodarczej dopisany czy numer PESEL w przypadku obywatela polskiego czy inny numer identyfikacyjny w przypadku obcokrajowca (...) w systemie informatycznym wprowadzona została odpowiednia walidacja numeru PESEL, która jest aktywna tylko w przypadku przekazania informacji gospodarczej o zobowiązaniu obywatela polskiego." W ocenie Sądu modyfikacja w systemie informatycznym określająca obywatelstwo, w celu ułatwienia prowadzenia własnej działalności gospodarczej, nie jest również podstawą do przetwarzania takich danych. Sąd nie podziela również stanowiska Skarżącej, że podstawy prawnej przetwarzania danych można poszukiwać w art. 27 ustawy o udostępnianiu informacji gospodarczych, który to przepis stanowi o powierzeniu biurom informacji gospodarczych prowadzenia rejestru zapytań, który obejmuje informacje w zakresie daty ujawnienia informacji gospodarczej, oznaczenia podmiotu, któremu ujawniono informacje gospodarcze oraz wskazania ujawnionych danych. Należy podkreślić, że dane, które podlegają ujawnieniu ujęte zostały w ww. przepisie w sposób enumeratywny. Katalog tych danych jest zamknięty, a Skarżąca nie jest uprawniona do jego rozszerzenia. W katalogu powyższym brak jest danych o obywatelstwie, gdyż nie stanowią one informacji gospodarczych w rozumieniu art. 2 ust. 1 ustawy o udostępnianiu informacji gospodarczych. Sąd nie podziela również stanowiska Skarżącej, że wykonuje ona zadania publiczne. Skarżąca jest przedsiębiorcą posiadającym wyłączność na prowadzenie działalności gospodarczej w zakresie pośrednictwa w udostępnianiu informacji gospodarczych. Zgodnie z zasadą, przyjętą w ustawie o udostępnianiu informacji gospodarczych i wymianie danych gospodarczych, ujawnianie informacji jest odpłatne. [...] S.A. nie jest instytucją państwową, tylko podmiotem gospodarczym funkcjonującym na rynku jako prywatna firma, której celem jest osiąganie zysku. W ocenie Prezesa UODO Skarżąca posiada interes w prowadzeniu legalnej działalności komercyjnej, dzięki czemu możliwe jest funkcjonowanie systemu wymiany informacji gospodarczych. W niniejszej sprawie w ocenie Sądu nie doszło również do naruszenia wskazanych w skardze przepisów postępowania, gdyż organ zebrał w sposób prawidłowy materiał dowodowy w sprawie, następnie dokonał jego oceny, ocena ta w żadnym razie nie nosi charakteru oceny dowolnej. Reasumując w ocenie Sądu uprawnione jest stanowisko organu, co do braku podstaw do przetwarzania danych E. W. w zakresie obywatelstwa zaś przetwarzanie przez Spółkę informacji o jej obywatelstwie jest sprzeczne z zasadą minimalizacji danych wyrażoną w ww. art. 5 ust. 1 lit. c) RODO. Zdaniem Sądu zbędnym jest (nieadekwatnym do celu) zbieranie informacji o obywatelstwie Pani E. W. i może powodować naruszenie jej prawa do prywatności. Biorąc powyższe pod rozwagę, działając na podstawie art. 151 ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (Dz.U. z 2019 r., poz. 2325 z późn. zm.) Sąd skargę oddalił. ----------------------- 12