II SA/Wa 1583/20

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Izabela Głowacka-Klimas, Sędzia WSA Agnieszka Góra-Błaszczykowska (spr.), Sędzia WSA Janusz Walawski, po rozpoznaniu na posiedzeniu niejawnym w dniu 2 lutego 2021 r. sprawy ze skargi [...] z siedzibą we W. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] czerwca 2020 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę Przedmiotem rozpoznania w niniejszej sprawie jest skarga [...] z siedzibą we W. na decyzję Prezesa Urzędu Ochrony Danych Osobowych znak [...] z dnia [...] czerwca 2020 r. w przedmiocie przetwarzania danych osobowych. Skarga została złożona w następującym stanie faktycznym sprawy: W dniu [...] czerwca 2018 r. (data wpływu do organu) J. W. (zwany dalej: wnioskodawca), wniósł do Generalnego Inspektora Ochrony Danych Osobowych (aktualnie Prezes Urzędu Ochrony Danych Osobowych, zwany dalej: PUODO, organ), skargę na nieprawidłowości w procesie przetwarzania jego danych osobowych przez Wspólnotę Mieszkaniową w W. przy ul. [...] (zwana dalej: WM), polegające na ich przekazaniu do [...] z siedzibą w W. (zwana dalej: spółka, skarżąca). W treści skargi wnioskodawca wskazał, że wspólnie z żoną, w dniu [...] kwietnia 2006 r., aktem notarialnym [...] nabył lokal mieszkalny nr [...] mieszczący się w W. przy ul. [...]. W ww. akcie notarialnym został umieszczony zapis, że opłaty związane z utrzymaniem basenu, który zostanie wybudowany na terenie [...], będą rozłożone na wszystkich właścicieli lokali na całym osiedlu i będą stanowiły składnik czynszu związanego z użytkowaniem lokalu mieszkalnego. Ich lokal mieszkalny należy do Wspólnoty Mieszkaniowej w W. przy ul. [...] (zwana dalej: Wspólnota), która prowadzi procesy sądowe w związku z nie wyrażeniem zgody na ponoszenie kosztów, związanych z eksploatacją basenu. Według wnioskodawcy nie było podstaw do ujawnienia w [...] zobowiązania (w tym przekazania jego danych osobowych), gdyż nie ma prawomocnego tytułu wykonawczego, którego WM jak dotąd nie uzyskała. Nie ma też żadnych umów podpisanych między nim a WM, nie udostępniał on ww. również danych o swojej osobie. Decyzją z dnia [...] października 2019 r. organ w pkt 1 nakazał przywrócenie przez spółkę stanu zgodnego z prawem w procesie przetwarzania pozyskanych od WM danych osobowych wnioskodawcy, poprzez usunięcie jego danych osobowych w zakresie dotyczącym obywatelstwa; w pkt 2 odmówił uwzględnienia wniosku w pozostałym zakresie. Podstawa prawną był art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2018 r., poz. 2096 ze zm., zwana dalej: k.p.a.), art. 160 ust. 1 i 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r., poz. 17181, zwana dalej: u.o.d.o.) w związku z art. 18 ust. 1 pkt 6 i art. 22 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r., poz. 922 ze zm., zwana dalej: u.o.d.o. z 1997 r.), a także art. 5 ust. 1 lit. a) i lit. c), art. 6 ust. 1 lit. f) i art. 57 ust. ł lit. a) i lit. f) rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz.U.UE.L.2016.119.1 i Dz.U.UE.L.2018,127.2, zwane dalej: rozporządzeniem 2016/679). Postawę powyższego stanowiło ustalenie organu, że przetwarzanie danych osobowych wnioskodawcy o obywatelstwie nie jest niezbędne dla funkcjonowania systemu wymiany informacji gospodarczej. Tym samym proces przetwarzania ww. kategorii danych osobowych nie znajduje oparcia w przesłance z art. 6 ust. 1 lit. f rozporządzenia 2016/679. W sprawie oczywiste jest, że nie zaistniała też żadna z pozostałych przesłanek przetwarzania danych, wymienionych enumeratywnie w art. 6 ust. 1 rozporządzenia 2016/679. Przetwarzanie informacji na temat obywatelstwa wnioskodawcy narusza zarazem art. 5 ust. 1 lit. a i lit. c rozporządzenia 2016/679 - statuujący wymóg przetwarzania danych zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą ("zgodność z prawem, rzetelność i przejrzystość") oraz adekwatnych, stosownych i ograniczonych do tego, co niezbędne do celów, w których są przetwarzane ("minimalizacja danych"). Odnosząc się do przetwarzania przez spółkę pozostałych danych osobowych wnioskodawcy, organ nie stwierdził naruszeń. We wniosku o ponowne rozpatrzenie sprawy złożonym wobec w.w. decyzji skarżący, reprezentowany przez profesjonalnego pełnomocnika, zarzucił organowi niewłaściwe przyjęcie, że przetwarzanie danych osobowych wnioskodawcy przez spółkę odbywa się na podstawie art. 6 ust. 1 lit. f rozporządzenia 2016/679, podczas gdy prawidłowa wykładnia przepisów powinna prowadzić do wniosku, że jest to tylko jedna z podstaw prawnych, w oparciu o którą spółka przetwarza dane osobowe dłużników, w tym dane osobowe wnioskodawcy. Wbrew stanowisku Prezesa UODO, spółka przetwarza dane osobowe wnioskodawcy także w oparciu o art. 6 ust. 1 lit. c oraz lit. e rozporządzenia 2016/679. Decyzją z dnia [...] czerwca 2020 r. organ, działając na podstawie art. 138 § 1 pkt 1 k.p.a. oraz art. 160 ust. 1 i 2 u.o.d.o., a także art. 6 ust. 1 lit. f, art. 5 ust. 1 lit. c rozporządzenia 2016/679 po rozpoznaniu wniosku skarżącej, orzekł o utrzymaniu w mocy zaskarżonej decyzji. W uzasadnieniu podjętego rozstrzygnięcia organ wskazał na następujące ustalenia stanu faktycznego sprawy. Wnioskodawca był wspólnie z żoną właścicielem lokalu mieszkalnego nr [...] w W. przy ul. [...], a zarazem członkiem Wspólnoty. Dla nieruchomości, na której znajduje się budynek mieszkalny, w którym wnioskodawca kupił ww. lokal, prowadzona jest księga wieczysta [...] dotycząca działek nr [...] i [...]. W Dziale I-SP "Spis praw związanych z własnością", Lp. 5 znajduje się wpis o następującej treści: "Odpłatna służebność gruntowa na działce [...] objętej księgą wieczystą Nr [...] na rzecz każdoczesnego użytkownika wieczystego działek Nr [...] i [...] objętych niniejszą księgą wieczystą polegająca na prawie właścicieli lokali wybudowanych na nieruchomości władnącej do swobodnego korzystania z basenu wraz z zapleczem, który znajduje się w budynku wybudowanym na nieruchomości obciążonej, za wynagrodzeniem obliczonym jako iloczyn kosztów związanych z użytkowaniem przedmiotowego basenu wraz z zapleczem i ułamka stanowiącego stosunek ilości lokali mieszkalnych w budynkach wybudowanych na nieruchomości władnącej do ilości lokali mieszkalnych we wszystkich budynkach na osiedlu [...] na podstawie § 14 aktu notarialnego sporządzonego przez notariusza K. K. za [...]". Dla nieruchomości, na której znajdują się budynki mieszkalne, których właściciele wchodzą w skład WM, prowadzona jest księga wieczysta o nr [...] dotycząca działki nr [...]. W Dziale III ww. księgi wieczystej "Prawa, roszczenia i ograniczenia", Lp. 13, pod numerem 35 znajduje się wpis następującej treści: "Odpłatna służebność gruntowa na działce [...] na rzecz każdoczesnego użytkownika wieczystego działek Nr [...] i [...] objętych księgą wieczystą KW Nr [...] polegająca na prawie właścicieli lokali wybudowanych na nieruchomości władnącej do swobodnego korzystania z basenu wraz z zapleczem, który znajduje się w budynku wybudowanym na nieruchomości obciążonej, za wynagrodzeniem obliczonym jako iloczyn kosztów związanych z użytkowaniem przedmiotowego basenu wraz z zapleczem i ułamka stanowiącego stosunek ilości lokali mieszkalnych w budynkach wybudowanych na nieruchomości władnącej do ilości lokali mieszkalnych we wszystkich budynkach na osiedlu [...] na podstawie § 14 aktu notarialnego sporządzonego przez notariusza za [...]". Wedle wyjaśnień złożonych w niniejszej sprawie przez WM, wnioskodawca pozostaje jej dłużnikiem w związku ze stosunkiem prawnym służebności istniejącej na nieruchomości WM (nieruchomości obciążonej), a służącej nieruchomości, której właścicielem jest (był) wnioskodawca. Służebność ta sprowadza się do istnienia na nieruchomości obciążonej basenu, dostępnego dla członów sąsiednich wspólnot mieszkaniowych, w tym wnioskodawcy. Basen ten utrzymywany jest na bieżąco staraniem WM, a od właścicieli nieruchomości władnących WM pobiera stosunkowe opłaty z tytułu utrzymania służebności. W toku jest szereg spraw przed warszawskimi sądami powszechnymi, w których WM domaga się zasądzenia na jej rzecz kwot przypadających na poszczególnych właścicieli nieruchomości władnących z tytułu utrzymania służebności basenowej. Wnioskodawca nie uregulował dotąd żadnej kwoty, odpowiadającej stopniowi partycypacji w kosztach utrzymania służebności. WM zaznaczyła, że kwota zobowiązania przekracza kwotę 200,00 zł, i jest wymagalna ponad 60 dni, upłynął miesiąc od wysłania przez WM listem poleconym na adres doręczeń wnioskodawcy wezwania do zapłaty, zawierającego ostrzeżenie o zamiarze przekazania danych do [...] WM wskazała, że do kwestionowanego przekazania danych osobowych wnioskodawcy do spółki doszło w dniu [...] marca 2014 r., a zakres przekazanych danych osobowych wnioskodawcy obejmował jego imię, nazwisko, adres oraz nr ewidencyjny PESEL. WM dołączyła do swoich wyjaśnień kopię kolejnych pism: z [...] listopada 2012 r. i z [...] grudnia 2013 r. stanowiących adresowane do wnioskodawcy i jego żony "wezwanie do zapłaty" i "ostateczne wezwanie do zapłaty" odpowiednio kwot: 1287,04 zł i 1633, 45 zł, tytułem "uregulowania niedopłaty za basen", zawierających zarazem informację, że informacje o nieuregulowanych zobowiązaniach, zgodnie z ustawą o udostępnianiu informacji gospodarczych i wymianie danych gospodarczych, będą przekazywane do: [...], ul. [...], [...] W.. WM wyjaśniła również, że źródłem, z którego pozyskała kwestionowane dane osobowe wnioskodawcy, była księga wieczysta lokalu mieszkalnego nr [...] mieszczącego się w W. przy ul. [...] o Nr [...]. W pismach: z dnia [...] lutego 2019 r. i z dnia [...] marca 2019 r. WM potwierdziła aktualność swoich dotychczasowych wyjaśnień dodając, iż nadal pozostaje wierzycielem wnioskodawcy. Łączna zaległość wyniosła (solidarnie ze współmałżonkiem) na dzień [...] czerwca 2018 r. 3.842,09 zł i została skierowana na drogę sądową. Nakazem zapłaty z dnia [...] września 2018 r. nakazano wnioskodawcy i jego żonie zapłacić solidarnie na rzecz WM ww. kwotę wraz z odsetkami i kosztami postępowania. WM łączy ze spółką [...] z dnia [...] lipca 2012 r., na podstawie której spółka zobowiązała się względem WM do odpłatnego świadczenia usług, o których mowa w ustawie z dnia 9 kwietnia 2010 r. o udostępnianiu informacji gospodarczych i wymianie danych gospodarczych (Dz. U. z 2019 r,, poz. 681 ze zm., zwana dalej: u.u.i.g.w.d.g.). Aneksem Nr [...] z dnia [...] stycznia 2013 r. ww. umowa została przedłużona na czas nieokreślony. Powyższe okoliczności sprawy potwierdziła również spółka w zawierającej wyjaśnienia w przedmiotowej sprawie korespondencji z dnia [...] marca 2019 r. Skarżąca potwierdziła też, że w chwili obecnej w dalszym ciągu przetwarza pozyskane od WM dane osobowe wnioskodawcy w zakresie obejmującym jego imię, nazwisko, nr PESEL, obywatelstwo, adres zamieszkania, kwotę należności, podstawę zadłużenia wraz z informacją o wezwaniu do zapłaty. Odnosząc się do kwestii przetwarzania danych osobowych wnioskodawcy w zakresie dotyczącym jego obywatelstwa, w korespondencji z dnia [...] lipca 2019 r. spółka wskazała, że z przepisu art. 2 ust. 1 pkt 2 u.u.i.g.w.d.g. wprost nie wynika możliwość przekazania do biura informacji gospodarczej danych dotyczących obywatelstwa, podstawowym identyfikatorem osoby będącej konsumentem oraz będącej obywatelem polskim jest numer PESEL, zaś w przypadku osób niebędących obywatelami polskimi jest to inny numer potwierdzający tożsamość. Zatem skarżący dodał pole w systemie informatycznym określające obywatelstwo, aby w kolejnym kroku wskazać podmiotowi przekazującemu informacje gospodarcze, jaki identyfikator winien być w ramach treści informacji gospodarczej dopisany, czy numer PESEL w przypadku obywatela polskiego, czy inny numer identyfikacyjny w przypadku obcokrajowca, w systemie informatycznym wprowadzona została odpowiednia walidacja numeru PESEL, która jest aktywna tylko w przypadku przekazania informacji gospodarczej o zobowiązaniu obywatela polskiego. Jeśli bowiem wierzyciel podczas przekazywania informacji gospodarczej wskaże, że przekazuje informacje o zobowiązaniu konsumenta nie będącego obywatelem polskim, walidacja nie będzie aktywna, co pozwoli na przekazanie informacji gospodarczej o zobowiązaniu konsumenta posiadającego inny numer identyfikacyjny. Brak powyższej walidacji mógłby doprowadzić do ujawniania przez spółkę nieprawdziwych i nieaktualnych informacji co byłoby niezgodne z przepisami. Spółka podkreśliła, że biuro nie przyjmuje danych dotyczących obywatelstwa jako treści informacji gospodarczej, która następnie jest ujawniania na zasadach określonych w art. 22 i n. u.u.i.g.w.d.g. Podmioty, którym spółka ujawnia informacje gospodarcze na zasadach określonych w art. 22 i n. u.u.i.g.w.d.g., uzyskują jedynie treść informacji gospodarczej, nie uzyskują natomiast informacji o obywatelstwie, jako danych pomocniczych względem procesu przekazywania informacji gospodarczych. W ocenie spółki, w przedmiotowej sprawie nie zaistniały przewidziane przepisami ustawy o udostępnianiu informacji gospodarczych i wymianie danych gospodarczych okoliczności, które obligowałyby ją do usunięcia kwestionowanych danych osobowych wnioskodawcy. Prezes UODO stwierdził, że skoro podstawę przetwarzania danych osobowych wnioskodawcy przez skarżącą jest przede wszystkim ustawa o udostępnianiu informacji gospodarczych i wymianie danych gospodarczych, ocena przetwarzania danych osobowych wnioskodawcy musi być dokonywana w powiązaniu z przepisami tej ustawy. Ustalił, że zobowiązanie wnioskodawcy powstało w związku ze stosunkiem prawnym odpłatnej służebności, istniejącej na nieruchomości WM (nieruchomości obciążonej), na rzecz nieruchomości władnącej, której właścicielem jest (był) wnioskodawca i zobowiązany jest on do partycypacji w kosztach utrzymania służebności. Jak wskazała WM, kwota zobowiązania wnioskodawcy przekracza kwotę 200,00 zł i jest wymagalna ponad 60 dni, nadto upłynął miesiąc od wysłania przez WM listem poleconym na adres doręczeń wnioskodawcy wezwania do zapłaty zawierającego ostrzeżenie o zamiarze przekazania danych do skarżącej. Ponadto roszczenie WM o zapłatę ma charakter cykliczny i staje się wymagalne co miesiąc począwszy od 2008 r., a w dniu zgłoszenia do rejestru nie były one starsze niż 6 lat. W związku z powyższym organ ocenił, że zostały łącznie spełnione wszystkie warunki określone w art. 14 ust. 1 u.u.i.g.w.d.g., na mocy których WM mogła przekazać do skarżącej informacje gospodarcze o zobowiązaniu wnioskodawcy. Zakres udostępnionych spółce przez WM danych obejmował imiona i nazwisko, adres, numer PESEL, obywatelstwo, kwotę zadłużenia i podstawę zadłużenia. Uznał, że zgodnie z art. 14 ust. 2 pkt 2 i 3 w związku z art. 2 ust. 1 pkt 2 i 4 u.u.i.g.w.d.g., spółka miała prawo do pozyskania od WM i dalszego przetwarzania danych osobowych wnioskodawcy jako dłużnika ww. podmiotu, mającego status konsumenta w zakresie imienia i nazwiska, nr PESEL, adresu zamieszkania, kwoty należności, podstawy zadłużenia i informacji o wezwaniu do zapłaty. Brak było natomiast podstaw do przetwarzania danych wnioskodawcy, dotyczących obywatelstwa. Ustalił też, że udostępnienie danych osobowych wnioskodawcy przez WM na rzecz spółki nastąpiło w marcu 2014 r. i było zgodne z obowiązującym wówczas art. 23 ust. 1 pkt 2 u.o.d.o. z 1997 r., który zezwalał na przetwarzanie danych w sytuacji, gdy było to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa. Ponadto kontynuowany przez spółkę do chwili obecnej proces przetwarzania danych osobowych wnioskodawcy (pozyskanych od WM) odbywa się co do zasady (poza przetwarzaniem rzeczonych danych w zakresie obywatelstwa), zgodnie z art. 6 ust. 1 lit. f rozporządzenia 2016/679. Wskazane przetwarzanie danych wnioskodawcy bez wątpienia mieści się w obszarze prawnie uzasadnionych interesów w rozumieniu tego przepisu. Interesy te występują przy tym zarówno po stronie administratora danych tj. skarżącej, jak i po stronie WM jako strony trzeciej w rozumieniu art. 4 pkt 10 rozporządzenia 2016/679 i wyrażają się: po stronie skarżącej w prowadzeniu przez nią legalnej działalności komercyjnej w zakresie udostępniania informacji gospodarczej, zaś po stronie WM w prowadzeniu działań, służących niejako wywieraniu presji na dłużnika, przy wykorzystaniu prawem dopuszczonych instrumentów, w celu doprowadzenia do uzyskania zaspokojenia wierzytelności. Zdaniem organu, wbrew twierdzeniom spółki, przepisy art. 6 ust. 1 lit. c oraz e rozporządzenia 2016/679, nie stanowią legalnej podstawy przetwarzania informacji o obywatelstwie wnioskodawcy. Spółka nie wykazała, że może przetwarzać te dane w ramach wykonania zadania, realizowanego w interesie publicznym. Zgodnie z art. 6 ust. 3 rozporządzenia 2016/679, spełnienie przesłanek określonych w art. 6 ust. 1 lit c i e wymaga istnienia podstawy prawnej określonej w prawie Unii lub w prawie państwa członkowskiego, któremu podlega administrator. Ponadto cel przetwarzania musi być określony w tej podstawie prawnej lub, w przypadku przetwarzania, o którym mowa w ust. 1 lit. e, musi być ono niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi. Na gruncie niniejszej sprawy rodzaj danych, podlegających przetwarzaniu, określa art. 2 u.u.i.g.w.d.g., który nie dopuszcza przetwarzania danych o obywatelstwie osoby fizycznej. Zatem art. 6 ust. 1 lit. c oraz e rozporządzenia 2016/679 nie stanowią przesłanki legalizującej przetwarzanie danych wnioskodawcy dotyczących obywatelstwa. Ponadto żadna z pozostałych przesłanek, określonych w art. 6 ust 1 rozporządzenia 2016/679, nie znajduje zastosowania do przetwarzania spornych danych osobowych wnioskodawcy. Jednocześnie organ stwierdził, iż z uwagi na formę prawną (spółka akcyjna) i charakter działalności biura informacji gospodarczej (działalność regulowana, na własny rachunek, komercyjna, obliczona na zysk), której warunki wykonywania ściśle określa ustawa, nie sposób zgodzić się z twierdzeniem skarżącej, że podmiot ten wykonuje zadania realizowane w interesie publicznym lub w ramach sprawowania władzy publicznej w rozumieniu art. 6 ust. 1 lit. e rozporządzenia 2016/679. Organ nie zgodził się także z twierdzeniem skarżącej (z wniosku o ponowne rozpatrzenie sprawy), że dane osobowe wnioskodawcy w zakresie obywatelstwa przetwarza ona na podstawie art. 27 u.u.i.g.w.d.g., który zobowiązuje ją do prowadzenia rejestru zapytań. Zgodnie z art. 27 ust. 2 u.u.i.g.w.d.g. rejestr zapytań obejmuje: datę ujawnienia informacji gospodarczych, oznaczenie podmiotu, któremu ujawniono informacje gospodarcze oraz wskazanie ujawnionych danych. Skoro jednak dane o obywatelstwie osób fizycznych nie stanowią informacji gospodarczych w rozumieniu art. 2 ust. 1 pkt 2 i 3 u.u.i.g.w.d.g., to nie zawierają się one w katalogu określonym artykule 27 ust. 2 u.u.i.g.w.d.g., w związku z czym powyższy przepis nie uprawnia spółki do ich przetwarzania. Nie została więc w tym przypadku spełniona przesłanka określona w art. 6 ust. 1 lit. c rozporządzenia 2016/679. W konsekwencji Prezes UODO stwierdził prawidłowość ustaleń uprzednio wydanej decyzji, że nie zaistniała żadna z przesłanek przetwarzania danych, wymienionych enumeratywnie w art. 6 ust. 1 rozporządzenia 2016/679, która uprawniałaby spółkę do przetwarzania informacji o obywatelstwie wnioskodawcy. Nadto przetwarzanie informacji na temat obywatelstwa wnioskodawcy narusza art. 5 ust. 1 lit. c rozporządzenia 2016/679 statuujący wymóg przetwarzania danych adekwatnych, stosownych i ograniczonych do tego, co niezbędne do celów, w których są przetwarzane ("minimalizacja danych"). Za zasadny uznał w związku z tym nakaz usunięcia przez skarżącą danych osobowych wnioskodawcy w zakresie dotyczącym obywatelstwa. W skardze złożonej na powołane rozstrzygnięcie do sądu administracyjnego skarżąca, reprezentowana przez profesjonalnego pełnomocnika, zaskarżyła ww. decyzję w całości, wnosząc o jej uchylenie oraz zasądzenie zwrotu kosztów postępowania. Wydanej decyzji skarżąca zarzuciła naruszenie: 1. przepisów postępowania, które miało istotny wpływ na wynik sprawy, tj. art. 7 w związku z art. 77 i art. 80 k.p.a., polegające na niewyczerpującym zebraniu i rozpatrzeniu całego materiału dowodowego i niepodjęciu wszelkich kroków niezbędnych do dokładnego wyjaśnienia stanu faktycznego i załatwienia sprawy, co skutkowało przyjęciem błędnej podstawy prawnej przetwarzania danych osobowych wnioskodawcy w zakresie wskazanym w zaskarżonej decyzji; 2. prawa materialnego, które miało wpływ na wynik sprawy, tj. art. 6 ust. 1 lit. e rozporządzenia 2016/679 w związku z art. 4 i 7 ust. 1 u.u.i.g.w.g. polegające na ich niezastosowaniu i przyjęciu, że skarżąca nie legitymuje się przesłanką przetwarzania danych, wynikającą z art. 6 ust. 1 lit. e rozporządzenia 2016/679 w związku z art. 4 i 7 ust. 1 u.u.i.g.w.g., podczas gdy przepisy te nakładają na skarżącą obowiązek przetwarzania danych osobowych w związku z realizacją zadania publicznego; 3. prawa materialnego, które miało wpływ na wynik sprawy, tj. art. 6 ust. 1 lit. c rozporządzenia 2016/679 w związku z art. 27 u.u.i.g.w.d.g., polegające na ich niezastosowaniu i przyjęciu, że skarżąca nie legitymuje się przesłanką przetwarzania danych wynikającą z tych przepisów, podczas gdy nakładają one na skarżącą obowiązek przetwarzania danych osobowych w związku z prowadzeniem rejestru zapytań. W uzasadnieniu skargi skarżąca szczegółowo uzasadniła wskazane zarzuty. W odpowiedzi na skargę organ wniósł o oddalenie skargi, podnosząc argumentację tożsamą z tą jaką prezentował w zaskarżonej decyzji. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: Skarga nie mogła zostać uwzględniona. Stosownie do treści art. 3 § 1 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2018 r., poz. 1302 ze zm., zwana dalej: p.p.s.a), sądy administracyjne sprawują kontrolę działalności administracji publicznej i stosują środki określone w ustawie. Oznacza to, iż sąd rozpoznając skargę ocenia, czy zaskarżona decyzja nie narusza przepisów prawa materialnego bądź przepisów postępowania administracyjnego. Zgodnie z art. 134 p.p.s.a. Sąd rozstrzyga w granicach danej sprawy, nie będąc jednak związany zarzutami i wnioskami skargi oraz powołaną w niej podstawą prawną. Uwzględnienie skargi następuje w przypadku stwierdzenia naruszenia przez Sąd przepisów prawa, wskazanego w art. 145 § 1 pkt 1 p.p.s.a. W pierwszej kolejności wskazać należy, że z dniem 25 maja 2018 r., wraz z wejściem w życie ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych, Biuro Generalnego Inspektora Ochrony Danych Osobowych stało się Urzędem Ochrony Danych Osobowych. Postępowania prowadzone przez Generalnego Inspektora Ochrony Danych Osobowych, wszczęte i niezakończone przed 25 maja 2018 r., prowadzone są przez Prezesa UODO na podstawie ustawy o ochronie danych osobowych z 1997 r., zgodnie z zasadami określonymi w ustawie Kodeks postępowania administracyjnego. Wszelkie czynności podjęte przez Generalnego Inspektora Ochrony Danych Osobowych przed 25 maja 2018 r. pozostają skuteczne (art. 160 ust. 1 i ust. 2 u.o.d.o.), a do spraw rozstrzyganych przez Prezesa UODO wszczętych przed 25 maja 2018 r. w zakresie prawa materialnego zastosowanie mają przepisy rozporządzenia 2016/679, natomiast w zakresie proceduralnym - przepisy ustawy o ochronie danych osobowych z 1997 r. Stosownie do treści art. 22 u.o.d.o. z 1997 r., postępowanie w sprawach uregulowanych w ustawie ochronie danych osobowych prowadzi się według przepisów Kodeksu postępowania administracyjnego, o ile przepisy ustawy nie stanowią inaczej. Według zasad określonych w Kodeksie postępowania administracyjnego, prowadzone jest też postępowanie dowodowe. Jednym ze stadiów postępowania administracyjnego jest stadium wyjaśniające - pozwalające ustalić dokładny stan faktyczny w danej sprawie. W wyniku postępowania wyjaśniającego organ administracji publicznej ma zrealizować wskazaną w art. 7 k.p.a. zasadę prawdy obiektywnej, co czyni za pomocą środków dowodowych. Jak wynika z przedstawionych przy skardze akt sprawy administracyjnej w celu ustalenia stanu faktycznego sprawy, w związku ze złożoną przez wnioskodawcę skargą organ wystąpił do skarżącej oraz WM o złożenie pisemnych wyjaśnień oraz potwierdzających je dowodów. Z wyjaśnień złożonych przez ww. wynikało, że dane osobowe wnioskodawcy skarżąca pozyskała od WM na podstawie łączącej je umowy o współpracę z dnia [...] lipca 2012 r., na podstawie której spółka zobowiązała się względem WM do odpłatnego świadczenia usług, o których mowa w ustawie o udostępnianiu informacji gospodarczych i wymianie danych gospodarczych. Aneksem Nr [...] z dnia [...] stycznia 2013 r. ww. umowa została przedłużona na czas nieokreślony. Przekazanie przez WM danych wnioskodawcy do skarżącej nastąpiło [...] marca 2014 r., a zakres przekazanych danych osobowych wnioskodawcy obejmował jego imię, nazwisko, adres oraz nr ewidencyjny PESEL, obywatelstwo, kwotę zadłużenia i podstawę zadłużenia. Ponadto przedstawione organowi dokumenty wskazywały okoliczności, w związku z zaistnieniem których niezbędne było przekazanie danych osobowych wnioskodawcy skarżącej. Skarżąca potwierdziła też, że w chwili obecnej w dalszym ciągu przetwarza pozyskane od WM dane osobowe wnioskodawcy w zakresie obejmującym jego imię, nazwisko, nr PESEL, obywatelstwo, adres zamieszkania, kwotę należności, podstawę zadłużenia wraz z informacją o wezwaniu do zapłaty. Na podstawie złożonych przez skarżącą i WM wyjaśnień oraz przedłożonych przez te podmioty dokumentów organ ustalił, że proces przetwarzania danych osobowych przez skarżącą odbywa się wyłącznie w oparciu o przepis art. 6 ust. 1 lit. f rozporządzenia 2016/679, i za wyjątkiem przetwarzania danych osobowych dotyczących obywatelstwa, jest legalny. W ocenie Sądu stan faktyczny niniejszej sprawy ustalony został przez Prezesa UODO prawidłowo. W toku prowadzonego postępowania administracyjnego nie doszło do naruszenia powoływanych w skardze art. 7, art. 77 i art. 80 k.p.a., poprzez niewyjaśnienie w sposób dokładny stanu faktycznego sprawy oraz wskazanie nieprawidłowych podstaw prawnych przetwarzania danych osobowych. Organ przeprowadził wymagane prawem postępowanie wyjaśniające wystarczająco dla ustalenia okoliczności mających podstawowe znaczenie dla rozstrzygnięcia sprawy i dokonania oceny, czy zaszły prawem przewidziane warunki do wydania decyzji. Przypomnieć należy, że zgodnie z zasadą wyrażoną w art. 80 k.p.a., organ prowadzący postępowanie według swojej wiedzy, doświadczenia oraz wewnętrznego przekonania ocenia wartość dowodową poszczególnych środków dowodowych, wpływ udowodnienia jednej okoliczności na inne okoliczności. Zdaniem Sądu organ dokonał prawidłowej oceny wyników postępowania dowodowego, uwzględnił treść wszystkich przeprowadzonych i rozpatrzonych dowodów, które są wiarygodne. Uzasadnienie decyzji zawiera fakty, które organ uznał za udowodnione, dowody, na których się oparł oraz przyczyny, z powodu których innym dowodom odmówił wiarygodności i mocy dowodowej. Na tej podstawie trafnie ocenił, że kwestionowane przez wnioskodawcę przetwarzanie jego danych osobowych, udostępnionych skarżącej przez WM, stanowiło co do zasady działanie realizowane w sposób legalny. Natomiast nieprawidłowe i nieznajdujące oparcia w przepisach ustawy o ochronie danych osobowych, ustawy o udostępnianiu informacji gospodarczych i wymianie danych gospodarczych i rozporządzenia 2016/679 było przetwarzanie danych dotyczących obywatelstwa. Analiza uzasadnienia zaskarżonej decyzji prowadzi do przyjęcia, że Prezes UODO trafnie dokonał oceny zaistniałego naruszenia, dochowując swoich obowiązków i nie naruszając zasad swobodnej oceny dowodów. Odnosząc się do meritum sprawy wskazać trzeba, że zgodnie z art. 18 ust. 1 u.o.d.o. z 1997 r., w przypadku naruszenia przepisów o ochronie danych osobowych Generalny Inspektor (aktualnie Prezes UODO) z urzędu lub na wniosek osoby zainteresowanej, w drodze decyzji administracyjnej, nakazuje przywrócenie stanu zgodnego z prawem, a w szczególności m.in. usunięcie uchybień. Jednocześnie, w przypadku stwierdzenia naruszenia przepisów o ochronie danych osobowych, Prezes UODO może skorzystać z uprawnień naprawczych, przyznanych mu na podstawie art. 58 ust. 2 rozporządzenia 2016/679. Zgodnie z art. 6 ust. 1 rozporządzenia 2016/679, przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy – i w takim zakresie, w jakim – spełniony jest co najmniej jeden z poniższych warunków: a) osoba, której dane dotyczą wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów; b) przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy; c) przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze; d) przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej; e) przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi; f) przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem. Katalog ww. przesłanek jest zamknięty, są one co do zasady równoprawne, każda ma charakter autonomiczny i niezależny, co oznacza, że spełnienie jednej z nich stanowi o zgodnym z prawem przetwarzaniu danych osobowych. Nie można więc w braku zgody osoby, której dane dotyczą uznać, że administrator danych przetwarza jej dane osobowe bez podstawy prawnej, naruszając obowiązujące przepisy w zakresie ochrony danych osobowych, w szczególności rozporządzenia 2016/679, gdyż ustawodawca dopuścił możliwość przetwarzania danych także na mocy innych przesłanek. Szczegółowe regulacje dotyczące procesu przetwarzania danych osobowych przez skarżącą, reguluje ustawa o udostępnianiu informacji gospodarczych i wymianie danych gospodarczych, zatem kwestia dopuszczalności przetwarzania danych osobowych wnioskodawcy musi być dokonywana w powiązaniu z przepisami tej ustawy. Zgodnie z art. 2 ust. 1 pkt 2 u.u.i.g.w.d.g. jeżeli chodzi o osobę fizyczną nieprowadzącą działalności gospodarczej, są to dane dotyczące wyłącznie: a) imion i nazwiska, b) adresu miejsca zamieszkania lub adresu do doręczeń, c) numeru PESEL lub innego numeru potwierdzającego tożsamość, d) serii i numeru dowodu osobistego lub innego dokumentu potwierdzającego tożsamość. Zgodnie z art. 14 ust. 1 u.u.i.g.w.g. wierzyciel może przekazać do biura informacje gospodarcze o zobowiązaniu dłużnika będącego konsumentem wyłącznie wówczas, gdy są spełnione łącznie następujące warunki: 1) zobowiązanie powstało w związku z określonym stosunkiem prawnym, w szczególności z tytułu umowy o kredyt konsumencki oraz umów, o których mowa w art. 1871 ustawy z dnia 17 listopada 1964 r. – Kodeks postępowania cywilnego (Dz. U, z 2018 r. poz. 1360, ze zm.); 2) łączna kwota wymagalnych zobowiązań dłużnika będącego konsumentem wobec wierzyciela wynosi co najmniej 200 złotych oraz są one wymagalne od co najmniej 30 dni (wedle stanu na dzień kwestionowanego przekazania danych osobowych wnioskodawcy przez WM do skarżącą, zobowiązanie musiało być wymagalne od co najmniej 60 dni); 3) upłynął co najmniej miesiąc od wysłania przez wierzyciela listem poleconym albo doręczenia dłużnikowi będącemu konsumentem do rąk własnych, na adres do doręczeń wskazany przez dłużnika będącego konsumentem, a jeżeli nie wskazał takiego adresu - na adres miejsca zamieszkania, wezwania do zapłaty, zawierającego ostrzeżenie o zamiarze przekazania danych do biura, z podaniem firmy i adresu siedziby tego biura; 4) nie upłynęło 6 lat od dnia wymagalności zobowiązania, a w przypadku roszczeń stwierdzonych prawomocnym orzeczeniem sądu lub innego organu powołanego do rozpoznawania spraw danego rodzaju albo orzeczeniem sądu polubownego, jak również roszczeń stwierdzonych ugodą zawartą przed sądem albo sądem polubownym albo ugodą zawartą przed mediatorem i zatwierdzoną przez sąd nie upłynęło 6 lat od dnia stwierdzenia roszczenia (wymóg ten nie obowiązywał wedle stanu na dzień kwestionowanego przekazania danych osobowych wnioskodawcy przez WM do spółki). Zgodnie z treścią art. 14 ust. 2 u.u.i.g.w.d.g., w przypadku określonym w ust. 1 wierzyciel może przekazać do biura wyłącznie informacje gospodarcze dotyczące: 1) siebie - określone w art. 2 ust. 1 pkt 1 albo 3; 2) dłużnika będącego konsumentem - określone w art. 2 ust. 1 pkt 2; 3) zobowiązania – określone w art. 2 ust. 1 pkt 4. Zgodnie z brzmieniem art. 2 ust. 1 pkt 2 u.u.i.g.w.d.g., przez informacje gospodarcze rozumie się dane dotyczące osoby fizycznej w zakresie: a) imion i nazwiska, b) adresu miejsca zamieszkania lub adresu do doręczeń, c) numeru PESEL lub innego numeru potwierdzającego tożsamość, d) serii i numeru dowodu osobistego lub innego dokumentu potwierdzającego tożsamość. Przepis art. 2 ust. 1 pkt 4 u.u.i.g.w.d.g. zalicza do informacji gospodarczych dane dotyczące zobowiązania pieniężnego w zakresie: a) tytułu prawnego, b) kwoty i waluty, c) kwoty zaległości, d) daty powstania zaległości, e) informacji o postępowaniach dotyczących zobowiązania, f) informacji o kwestionowaniu przez dłużnika istnienia całości lub części zobowiązania, g) daty wysłania listem poleconym albo doręczenia dłużnikowi do rąk własnych wezwania do zapłaty, zawierającego ostrzeżenie o zamiarze przekazania danych do biura informacji gospodarczej, z podaniem firmy i adresu siedziby tego biura, h) informacji o zbyciu wierzytelności, i) innych informacji przekazanych w trybie i na zasadach określonych w art. 18, j) informacji w przedmiocie przedawnienia roszczenia. W niniejszej sprawie niesporne jest, że zobowiązanie wnioskodawcy powstało w związku ze stosunkiem prawnym odpłatnej służebności, istniejącej na nieruchomości WM (nieruchomości obciążonej), na rzecz nieruchomości władnącej, której właścicielem jest (był) wnioskodawca i zobowiązany jest on do partycypacji w kosztach utrzymania służebności. Nie budzi też wątpliwości okoliczność, że spełnione zostały wszystkie warunki opisane w art. 14 ust. 1 u.u.i.g.w.d.g. do przekazania spółce danych dotyczących wnioskodawcy. Jak wyjaśniła bowiem WM, kwota zobowiązania przekracza kwotę 200,00 zł i jest wymagalna ponad 60 dni oraz upłynął miesiąc od wysłania przez WM listem poleconym na adres doręczeń wnioskodawcy wezwania do zapłaty zawierającego ostrzeżenie o zamiarze przekazania danych do skarżącej. Ponadto roszczenie WM o zapłatę ma charakter cykliczny i staje się wymagalne co miesiąc począwszy od 2008 r., a w dniu zgłoszenia do rejestru nie były one starsze niż 6 lat. Zakres udostępnionych przez WM danych wnioskodawcy obejmował imiona i nazwisko, adres, numer PESEL, obywatelstwo, kwotę zadłużenia i podstawę zadłużenia. W świetle powołanych przepisów oraz art. 14 ust. 2 pkt 2 i 3 w związku z art. 2 ust. 1 pkt 2 i 4 u.u.i.g.w.d.g., spółka miała prawo do pozyskania od WM i dalszego przetwarzania danych osobowych wnioskodawcy jako dłużnika ww. podmiotu, mającego status konsumenta w zakresie imienia i nazwiska, nr PESEL, adresu zamieszkania, kwoty należności, podstawy zadłużenia i informacji o wezwaniu do zapłaty. Brak było natomiast podstaw do przetwarzania danych wnioskodawcy, dotyczących obywatelstwa. W ocenie Sądu Prezes UODO prawidłowo stwierdził, że udostępnienie danych osobowych wnioskodawcy przez WM na rzecz spółki, miało oparcie we wskazanych wyżej przepisach art. 14 ust. 1 i ust. 2 pkt 2 i 3 w związku z art. 2 ust. 1 pkt 2 i 4 u.u.i.g.w.d.g. oraz art. 23 ust. 1 pkt 2 u.o.d.o. z 1997 r. Okoliczność ta nie jest zresztą sporna pomiędzy stronami. Istota sporu w niniejszej sprawie sprowadzałą się do oceny, czy przetwarzanie danych osobowych przez biuro informacji gospodarczej odbywa się wyłącznie na podstawie art. 6 ust. 1 lit. f rozporządzenia 2016/679 (jak twierdzi organ), czy też również na podstawie art. 6 ust. 1 lit. e rozporządzenia 2016/679 w związku z art. 4 i art. 7 ust. 1 u.u.i.g.w.d.g. (z uwagi na obowiązek przetwarzania danych osobowych w związku z realizacją zadania publicznego) oraz art. 6 ust. 1 lit. c rozporządzenia 2016/679 w związku z art. 27 u.u.i.g.w.d.g. (z uwagi na obowiązek przetwarzania danych osobowych w związku z prowadzeniem rejestru zapytań). Odnosząc się do pierwszego z tych zarzutów wskazać trzeba, że zgodnie z art. 4 u.u.i.g.w.d.g. udostępnianie informacji gospodarczych osobom trzecim nieoznaczonym w chwili przeznaczania tych informacji do udostępniania, następuje wyłącznie za pośrednictwem biura informacji gospodarczej, chyba że przepisy prawa przewidują inny tryb udostępniania danych. Art. 7 ust. 1 u.u.i.g.w.d.g. stanowi natomiast, że przedmiotem działalności gospodarczej biura jest pośrednictwo w udostępnianiu informacji gospodarczych, polegające na przyjmowaniu informacji gospodarczych od wierzycieli, przechowywaniu i ujawnianiu tych informacji. Powołane przepisy przewidują więc, że udostępnianie informacji gospodarczych na zasadach określonych w ustawie, może odbywać się wyłącznie za pośrednictwem biur informacji gospodarczej, które tego rodzaju informacje przyjmują od wierzycieli, oraz je przetwarzają (przechowują i udostępniają). Zdaniem Sądu prawidłowe jest ustalenie organu, iż skarżąca nie wykazała w niniejszej sprawie, że może przetwarzać informacje dotyczące obywatelstwa w ramach wykonania zadania realizowanego w interesie publicznym. Zgodnie z art. 6 ust. 3 rozporządzenia 2016/679, spełnienie przesłanek określonych w art. 6 ust. 1 lit. c i e rozporządzenia 2016/679 wymaga istnienia podstawy prawnej określonej w prawie Unii lub w prawie państwa członkowskiego, któremu podlega administrator. Ponadto cel przetwarzania musi być określony w tej podstawie prawnej lub, w przypadku przetwarzania, o którym mowa w ust. 1 lit. e - musi być ono niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi. Podstawa prawna może zawierać przepisy szczegółowe, dostosowujące stosowanie przepisów rozporządzenia 2016/679, w tym: ogólne warunki zgodności z prawem przetwarzania przez administratora; rodzaj danych podlegających przetwarzaniu; osoby, których dane dotyczą; podmioty, którym można ujawnić dane osobowe; cele, w których można je ujawnić; ograniczenia celu; okresy przechowywania; oraz operacje i procedury przetwarzania, w tym środki zapewniające zgodność z prawem i rzetelność przetwarzania, w tym w innych szczególnych sytuacjach związanych z przetwarzaniem, o których mowa w rozdziale IX. Prawo Unii lub prawo państwa członkowskiego muszą służyć realizacji celu leżącego w interesie publicznym, oraz być proporcjonalne do wyznaczonego, prawnie uzasadnionego celu. Na gruncie niniejszej sprawy rodzaj danych, podlegających przetwarzaniu przez skarżącą jako biuro informacji gospodarczej, określa precyzyjnie art. 2 u.u.i.g.w.d.g. Powyższy przepis nie zezwala na przetwarzanie danych o obywatelstwie osoby fizycznej. Tym samym art. 6 ust. 1 lit. c oraz e rozporządzenia 2016/679 nie stanowią przesłanki legalizującej przetwarzanie danych wnioskodawcy w zakresie obywatelstwa. Zwrócić należy też uwagę na okoliczność, zasadnie podniesioną przez organ, iż biura informacji gospodarczej są szczególnym rodzajem spółek prawa handlowego, które mogą być prowadzone wyłącznie w formie spółki akcyjnej. Jest to zatem rodzaj działalności regulowanej, której warunki wykonywania ściśle określa ustawa. Ponadto biura informacji gospodarczej działają na własny rachunek, a ich działalność ma charakter komercyjny, obliczony na zysk. Powyższe stanowisko potwierdza regulacja art. 7 ust. 3 u.u.i.g.w.d.g. określając, że przychody z działalności, polegającej na zarządzaniu majątkiem biura oraz prowadzeniu działalności szkoleniowej lub edukacyjnej w zakresie objętym działalnością biura, nie mogą przekraczać 10% ogólnych przychodów biura. Tym samym nieuprawnione jest twierdzenie skarżącej, że biura informacji wykonują zadania realizowane w interesie publicznym lub w ramach sprawowania władzy publicznej w rozumieniu art. 6 ust. 1 lit. e rozporządzenia 2016/679. Zdaniem Sądu za nieuprawnione uznać trzeba także stanowisko skarżącej w zakresie drugiego zarzutu, dotyczącego naruszenia prawa materialnego - art. 6 ust. 1 lit. c rozporządzenia 2016/679 w związku z art. 27 u.u.i.g.w.d.g. (z uwagi na obowiązek przetwarzania danych osobowych w związku z prowadzeniem rejestru zapytań). Zgodnie z art. 27 ust. 1 zd. 1 u.u.i.g.w.d.g. biuro informacji gospodarczej jest obowiązane prowadzić rejestr zapytań. Rejestr zapytań obejmuje następujące informacje: 1) datę ujawnienia informacji gospodarczych; 2) oznaczenie podmiotu, któremu ujawniono informacje gospodarcze; 3) wskazanie ujawnionych danych (art. 27 ust. 2 u.u.i.g.w.d.g.). Skoro jednak dane o obywatelstwie osób fizycznych nie stanowią informacji gospodarczych w rozumieniu art. 2 ust. 1 pkt 2 i 3 uu.u.i.g.w.d.g., nie sposób uznać, że zawierają się one w katalogu określonym artykule 27 ust. 2 u.u.i.g.w.d.g., a następnie, że ww. przepis art. 27 zezwala na ich przetwarzanie przez skarżącą. W świetle powyższych ustaleń Sąd podziela stanowisko Prezesa UODO, że podstawy do przetwarzania danych osobowych wnioskodawcy w zakresie obywatelstwa nie daje żadna z przesłanek określonych w art. 6 ust. 1 rozporządzenia 2016/679. Tym samym przetwarzanie przez skarżącą danych osobowych we wskazanym zakresie stanowi naruszenie przepisu art. 5 ust. 1 lit. c rozporządzenia 2016/679, który statuuje wymóg przetwarzania danych adekwatnych, stosownych i ograniczonych do tego, co niezbędne do celów, w których są przetwarzane. Podsumowując, Sąd uznał, że wydana w sprawie decyzja jest prawidłowa i znajduje oparcie w przepisach prawa, a zarzuty skargi za całkowicie bezzasadne. Dlatego na podstawie art. 151 p.p.s.a., Sąd orzekł o oddaleniu skargi.