II SA/Wa 16/25

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Sławomir Fularski, Sędzia WSA Iwona Maciejuk (spr.), Sędzia WSA Ewa Radziszewska-Krupa, , Protokolant specjalista Joanna Głowala, po rozpoznaniu na rozprawie w dniu 27 maja 2025 r. sprawy ze skargi T. L. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] października 2024 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę. Prezes Urzędu Ochrony Danych Osobowych decyzją z dnia [...] października 2024 r. nr [...], na podstawie art. 105 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2024 r. poz. 572 t.j.) w zw. z art. 7 ust. 1 ustawy o ochronie danych osobowych z dnia 10 maja 2018 r. (Dz. U. z 2019 r. poz. 1781 t.j.) oraz w zw. z art. 58 ust. 2 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 4.05.2016, str. 1, Dz. Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35), zwanego dalej RODO, po przeprowadzeniu postępowania administracyjnego w sprawie skargi T.L. na nieprawidłowości w procesie przetwarzania danych osobowych przez R.J. prowadzącego - przed jej wykreśleniem – działalność gospodarczą pod firmą "[...]" R.J. z siedzibą w [...], polegające na udostępnieniu danych osobowych skarżącego, w tym jego imienia, nazwiska, adresu oraz adresu poczty elektronicznej, zawartych w uprzednio prowadzonej korespondencji mailowej, na rzecz podmiotów nieuprawnionych, umorzył postępowanie. Prezes UODO wskazał, że do Urzędu Ochrony Danych Osobowych wpłynęła skarga T.L. na nieprawidłowości w procesie przetwarzania danych osobowych przez R.J. prowadzącego działalność gospodarczą pod firmą "[...]" R.J. z siedzibą w [...], zwanego dalej przedsiębiorcą, polegające na udostępnieniu danych osobowych skarżącego, w tym jego imienia, nazwiska, adresu oraz adresu poczty elektronicznej, zawartych w uprzednio prowadzonej korespondencji mailowej, na rzecz podmiotów nieuprawnionych. W toku przeprowadzonego postępowania wyjaśniającego w niniejszej sprawie Prezes UODO ustalił następujący stan faktyczny. 1. Skarżący wskazał, że od grudnia 2021 r. otrzymuje wiadomości e-mail z różnych adresów mailowych zawierające fragment wiadomości z przedsiębiorcą. W dniu 6.04.2022 r. skarżący zwrócił się do przedsiębiorcy z żądaniem udzielenia informacji o zakresie naruszenia jego danych osobowych. Skarżący otrzymał odpowiedź od przedsiębiorcy wyjaśniającą, że jego dane osobowe pozyskane z treści maila, tj. imię, nazwisko, adres e-mail oraz adres zamieszkania zostały ujawnione ze skrzynki mailowej pracownika przedsiębiorcy (dowód: pismo skarżącego z 19.04.2022 r. wraz z załącznikami oraz pismo skarżącego z 1.09.2023 r.). 2. Przedsiębiorca wyjaśnił, że pismem z 20.04.2022 r. odpowiedział na pismo skarżącego z 6.04.2022 r. Przedsiębiorca w ww. piśmie oraz w wyjaśnieniach wskazał, że dane osobowe skarżącego w zakresie adresu e-mail, imienia i nazwiska zostały udostępnione podmiotowi nieuprawnionemu wskutek nieuprawnionego dostępu do poczty elektronicznej obsługiwanej przez jednego z pracowników (dowód: wyjaśnienia przedsiębiorcy z 17.10.2022 r. wraz z załącznikiem oraz wyjaśnienia przedsiębiorcy z 4.02.2024 r.). 3. Prezes UODO ustalił, że z dniem [...].04.2022 r. przedsiębiorca został wykreślony z Centralnej Ewidencji i Informacji o Działalności Gospodarczej (dowód: wyciąg z CEIDG z dnia 13.05.2022 r.). Prezes UODO po rozpatrzeniu materiału dowodowego zebranego w sprawie zaznaczył, że wydając decyzję administracyjną zobowiązany jest do rozstrzygania w oparciu o stan faktyczny istniejący w chwili wydania tej decyzji. Powołując się na doktrynę dodał, że reguła ta odnosi się także do oceny stanu prawnego sprawy, co oznacza, że organ administracji publicznej wydaje decyzję administracyjną na podstawie przepisów prawa obowiązujących w chwili jej wydania. Organ wskazał m.in., że w wyroku z dnia 7 maja 2008 r. w sprawie o sygn. akt I OSK 761/07, Naczelny Sąd Administracyjny stwierdził, iż "badając bowiem legalność przetwarzania danych osobowych, GIODO ma obowiązek ustalenia, czy na datę wydawania rozstrzygnięcia w sprawie dane konkretnego podmiotu są przetwarzane oraz czy czynione to jest w sposób zgodny z prawem". Prezes UODO wskazał, że istotne znaczenie dla rozstrzygnięcia sprawy ma fakt, że w dniu [...].04.2022 r. przedsiębiorca został wykreślony z CEIDG. Co prawda przedsiębiorca przyznał, że doszło do ujawnienia danych osobowych skarżącego w zakresie jego adresu e-mail, adresu zamieszkania, imienia i nazwiska wskutek nieuprawnionego dostępu do poczty elektronicznej, jednak bezpośrednio odpowiedzialną osobą za kwestionowane udostępnienie był jeden z pracowników przedsiębiorcy, gdyż to z jego poczty elektronicznej doszło do nieuprawnionego dostępu. W tym kontekście Prezes UODO podkreślił, że za administratora danych osobowych w tym przypadku uznać należy przedsiębiorcę, jako pracodawcę, który zatrudniając pracowników wykonywał działalność gospodarczą pod firmą "[...]" R.J.. Za nieprawidłowości dotyczące przetwarzania danych osobowych w związku z wykonywaniem zadań przez pracowników administratora danych osobowych odpowiada sam administrator, którym jak wskazano, jest przedsiębiorca wykonujący - na dzień naruszenia - działalność gospodarczą. Przedsiębiorca wykonujący działalność gospodarczą, jako podmiot decydujący o zakresie wykonywanej pracy przez jego pracownika ponosi odpowiedzialność za jego działania nawet, jeśli bezpośrednio nie miał o nich wiedzy. W świetle powyższego Prezes UODO stwierdził, że skoro przedsiębiorca, którego działanie w procesie przetwarzania danych osobowych było przedmiotem analizowanej skargi został wykreślony z Centralnej Ewidencji i Informacji o Działalności Gospodarczej, a za kwestionowane naruszenie bezpośrednio odpowiedzialną osobą jest jego pracownik, to niemożliwe jest w obecnym stanie faktycznym i prawnym, wydanie decyzji względem przedsiębiorcy, gdyż obecnie prowadzona przez niego działalność gospodarcza nie istnieje. Wobec powyższego ewentualne skorzystanie przez Prezesa UODO z uprawnień naprawczych przewidzianych w art. 58 ust. 2 RODO, jest bezprzedmiotowe w rozumieniu art. 105 § 1 k.p.a. Prezes UODO wyjaśnił, że niniejsze postępowanie zostało wszczęte wobec przedsiębiorcy jako osoby fizycznej prowadzącej działalność gospodarczą, któremu właśnie z uwagi na przetwarzanie danych osobowych w związku z prowadzoną działalnością gospodarczą przysługiwał status administratora danych osobowych w rozumieniu art. 4 pkt 7 RODO, gdzie "administrator" oznacza osobę fizyczną lub prawną, organ publiczny, jednostkę lub inny podmiot, który samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych osobowych. Ponadto z uwagi właśnie na przetwarzanie danych osobowych w związku z prowadzoną działalnością gospodarczą, mimo że jest osobą fizyczną, przepisy RODO miały w sprawie zastosowanie. Przedsiębiorca na skutek zaprzestania prowadzenia działalności gospodarczej i wykreślenia z CEIDG w dniu [...] kwietnia 2022 r. utracił status przedsiębiorcy w rozumieniu art. 4 pkt 1 ustawy z dnia 6 marca 2018 r. Prawo przedsiębiorców (Dz. U. z 2024 r. poz. 236) i tym samym utracił status administratora danych osobowych w rozumieniu RODO, czego konsekwencją był brak możliwości wydania wobec niego decyzji na gruncie RODO. Organ wskazał, że do powyższego stanowiska Prezesa UODO przychylił się Wojewódzki Sąd Administracyjny w Warszawie, który wyrokiem z dnia 18 października 2024 r. (sygn. akt II SA/Wa 74/24) oddalił skargę na decyzję Prezesa UODO w sprawie o stanie faktycznym analogicznym do stanu faktycznego niniejszej sprawy. Prezes UODO podkreślił, że regulacja art. 105 § 1 k.p.a. nie pozostawia wątpliwości, iż w razie stwierdzenia bezprzedmiotowości postępowania organ prowadzący to postępowanie obligatoryjnie je umarza. Zaznaczył, że w literaturze przedmiotu wskazuje się, że bezprzedmiotowość postępowania administracyjnego, o której stanowi art. 105 § 1 k.p.a. oznacza, że brak jest któregoś z elementów materialnego stosunku prawnego, a wobec tego nie można wydać decyzji załatwiającej sprawę przez rozstrzygnięcie jej co do istoty (B. Adamiak, J. Borkowski, Kodeks postępowania administracyjnego. Komentarz, 14. wydanie. Warszawa 2016, s. 491). Takie samo stanowisko zajął Wojewódzki Sąd Administracyjny w Krakowie w wyroku z dnia 27 lutego 2008 r. (III SA/Kr 762/2007) "Postępowanie staje się bezprzedmiotowe, gdy brak któregoś z elementów stosunku materialnoprawnego, co powoduje, że nie można załatwić sprawy przez rozstrzygnięcie co do istoty". Decyzja Prezesa UODO z dnia [...] października 2024 r. nr [...] stała się przedmiotem skargi T.L., reprezentowanego przez pełnomocnika, do Wojewódzkiego Sądu Administracyjnego w Warszawie. Skarżący wniósł o uchylenie zaskarżonej decyzji oraz zasądzenie od Prezesa UODO na rzecz skarżącego kosztów postępowania, w tym kosztów zastępstwa adwokackiego według norm przepisanych. Zarzucił zaskarżonej decyzji naruszenie art. 4 pkt 7 RODO w zw. z art. 4 pkt 1 ustawy z dnia 6 marca 2018 r. - Prawo przedsiębiorców polegające na całkowicie bezpodstawnym przyjęciu, iż zakończenie prowadzenia przez R.J. działalności gospodarczej pod nazwą "[...]" R.J. pozbawiło go statusu administratora danych osobowych skarżącego, podczas gdy zdarzenie to nie miało żadnego wpływu na zmianę statusu administratora danych osobowych skarżącego, a nadto działania R.J. opisane w skardze skierowanej do Prezesa UODO stanowiące w ocenie skarżącego naruszenie przepisów RODO miały miejsce przed zakończeniem prowadzenia działalności gospodarczej przez R.J., co w konsekwencji doprowadziło do wydania całkowicie błędnej decyzji o umorzeniu postępowania. Skarżący w uzasadnieniu wskazał, iż przyjęcie przez organ, że zakończenie prowadzenia działalności gospodarczej przez R.J. jest równoznaczne z utratą przez niego statusu administratora danych osobowych skarżącego jest sprzeczne nie tylko z przepisami RODO, ale także z przepisami Kodeksu cywilnego. Skarżący przytoczył definicję administratora danych osobowych zawartą w art. 4 pkt 7 RODO. Podniósł, że pojęcie administratora nie jest zawężone do osoby fizycznej prowadzącej działalność gospodarczej, lecz do osoby fizycznej, którą R.J. pozostaje mimo utraty statusu przedsiębiorcy. Rozmaite przepisy szczególne nakładają na administratora danych osobowych obowiązek przechowywania danych osobowych niezależnie od prowadzenia działalności gospodarczej. Tytułem przykładu wskazał na obowiązek przechowywania dokumentacji pracowniczej przez pracodawcę przez okres 10 lat, licząc od końca roku kalendarzowego, w którym stosunek pracy uległ rozwiązaniu lub wygasł wynikający z art. 94 pkt 9b Kodeksu pracy (w przypadku pracowników zatrudnionych przed 1 stycznia 2019 r. okres ten wynosi nawet 50 lat), który nie jest w żaden sposób uzależniony od tego czy były pracodawca nadal posiada status przedsiębiorcy. Innym przykładem jest obowiązek przechowywania dokumentacji finansowej i księgowej wynikający z art. 74 ust. 1 i 2 ustawy o rachunkowości przez okres 5 lat od daty ich powstania. Ten obowiązek także nie jest uzależniony od dalszego posiadania statusu przedsiębiorcy przez podmiot, który ją stworzył, a niewątpliwie nadal jest on jej administratorem w rozumieniu art. 4 pkt 7 RODO. Skarżący podniósł, że osoby fizyczne prowadzące działalność gospodarczą zgodnie z przepisami Kodeksu cywilnego, w przeciwieństwie do osób prawnych, nie tracą tego statusu z chwilą wykreślenia z danego rejestru, lecz dopiero z chwilą śmierci. Zgodnie z art. 434 k.c., firmą osoby fizycznej prowadzącej działalność gospodarczą jest jej imię i nazwisko. W przypadkach, gdy administratorem danych osobowych jest osoba fizyczna prowadząca działalność gospodarczą, w informacji o administratorze jej danych osobowych podawanej zgodnie z art. 13 i 14 RODO podaje się zatem jej imię i nazwisko, które pozostają niezmienne niezależnie od utraty statusu przedsiębiorcy. Z chwilą zakończenia prowadzenia działalności gospodarczej i wykreślenia z CEIDG, osoby fizyczne tracą więc jedynie status przedsiębiorcy, a nie status osoby fizycznej i tym samym administratora danych osobowych. Per analogiam z przepisami Kodeksu postępowania cywilnego zgodnie z art. 4582 k.p.c. § 1 pkt 2 k.p.c. sprawami gospodarczymi są sprawy ze stosunków cywilnych między przedsiębiorcami w zakresie prowadzonej przez nich działalności gospodarczej, choćby którakolwiek ze stron zaprzestała prowadzenia działalności gospodarczej. Ustawodawca przyjął więc słuszne i racjonalne założenie, zgodnie z którym roszczenia powstałe w związku z prowadzeniem działalności gospodarczej winny być traktowane jako sprawy gospodarcze, a tym samym, iż utrata statusu przedsiębiorcy przez jedną lub obie strony sporu nie ma znaczenia prawnego dla gospodarczego statusu sprawy. Skarżący ocenił, iż założenia, w myśl którego utrata statusu przedsiębiorcy miałaby prowadzić do utraty statusu administratora danych osobowych, stanowiłaby groźny precedens stwarzający pole dla nadużywania prawa. Oto bowiem każdy administrator będący osobą fizyczną prowadząc działalność gospodarczą, który dopuścił się naruszenia danych osobowych (a w tym wypadku R.J. za pośrednictwem swojego pełnomocnika sam przyznał, iż doszło do naruszenia danych skarżącego), mógłby celem uniknięcia konsekwencji z tego tytułu zaprzestać prowadzenia działalności gospodarczej. Skarżący zauważył, że naruszenia danych osobowych skarżącego jakich dopuści się R.J. miały miejsce niewątpliwie jeszcze w czasie, gdy prowadził on działalność gospodarczą pod nazwą "[...]" R.J., tj. od grudnia 2021 r. do kwietnia 2022 r. Prezes UODO w odpowiedzi na skargę wniósł o jej oddalenie, podtrzymując stanowisko wyrażone w zaskarżonej decyzji. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje. Zgodnie z art. 1 § 1 i 2 ustawy z dnia 25 lipca 2002 r. – Prawo o ustroju sądów administracyjnych (Dz. U. z 2024 r., poz. 1267), sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej, przy czym kontrola ta sprawowana jest pod względem zgodności z prawem, jeżeli ustawy nie stanowią inaczej. Sąd rozstrzyga w granicach danej sprawy, nie będąc jednak związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną (art. 134 § 1 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (Dz.U. z 2024 r., poz. 935), zwanej dalej P.p.s.a.). Skarga oceniana w świetle powyższych kryteriów nie podlegała uwzględnieniu. Skarżący w postępowaniu przed Prezesem UODO kwestionował fakt udostępnienia przez przedsiębiorcę jego danych osobowych zawartych w uprzednio prowadzonej z Przedsiębiorcą korespondencji mailowej, na rzecz podmiotów nieuprawnionych. Podniósł, że z dużym prawdopodobieństwem doszło do zawinionego przez administratora naruszenia danych osobowych, a mimo to skarżący nie został powiadomiony przez administratora o naruszeniu i administrator nie udzielił na wezwanie skarżącego szczegółowych informacji o skali i zakresie naruszenia w związku z czym dopuścił się z dużym prawdopodobieństwem naruszenia art. 34 ust. 1 RODO. W sprawie jest bezsporne, że w ramach prowadzonej działalności gospodarczej doszło do ujawnienia danych osobowych skarżącego, albowiem w toku postępowania przed Prezesem UODO przedsiębiorca przyznał, że doszło do ujawnienia danych osobowych skarżącego w zakresie jego adresu e-mail, adresu zamieszkania, imienia i nazwiska wskutek nieuprawnionego dostępu do poczty elektronicznej. Przedsiębiorca wskazał, że bezpośrednio odpowiedzialną osobą za kwestionowane udostępnienie był jeden z pracowników przedsiębiorcy, gdyż to z jego poczty elektronicznej doszło do nieuprawnionego dostępu. W sprawie jest też bezsporne, że w dniu [...].04.2022 r. przedsiębiorca został wykreślony z Centralnej Ewidencji i Informacji o Działalności Gospodarczej, co Prezes UODO ustalił w toku postępowania administracyjnego. Prezes UODO stwierdził w decyzji, że skoro przedsiębiorca, którego działanie w procesie przetwarzania danych osobowych było przedmiotem analizowanej skargi został wykreślony z CEIDG, a za kwestionowane naruszenie bezpośrednio odpowiedzialną osobą jest jego pracownik, to niemożliwe było w obecnym stanie faktycznym i prawnym, wydanie decyzji względem przedsiębiorcy, gdyż obecnie prowadzona przez niego działalność gospodarcza nie istnieje. Na gruncie tej sprawy podkreślenia wymaga, że Prezes UODO, jako organ administracji publicznej, wydając decyzję administracyjną rozstrzyga w oparciu o stany faktyczny istniejący w dacie jej wydania. Pogląd taki jest utrwalony zarówno w orzecznictwie, jak i w doktrynie. Naczelny Sąd Administracyjny w Warszawie w wyroku z dnia 4 października 2000 r., sygn. akt V SA 283/00 stwierdził: "(...) Należy wskazać (...) na potrzebę stosowania norm prawa materialnego obowiązującego w dniu wydania decyzji. Zaznaczyć wyraźnie należy, że przepisy kodeksu postepowania administracyjnego nie wiążą z datą wszczęcia postępowania podstawy faktycznej i prawnej. Miarodajny w tym zakresie jest stan obowiązujący w dacie wydania decyzji." (zob. również B. Adamiak, J. Borkowski, Kodeks postępowania administracyjnego, Komentarz, 7 wydanie, CH. Beck, Warszawa 2005, s. 352). Natomiast w wyroku z dnia 7 maja 2008 r. o sygn. akt I OSK 761/07 (publ. www.orzeczenia.nsa.gov.pl) Naczelny Sąd Administracyjny wskazał, iż "badając (...) legalność przetwarzania danych osobowych (...) ma obowiązek ustalenia, czy na datę wydawania rozstrzygnięcia w sprawie dane konkretnego podmiotu są przetwarzane oraz czy czynione jest to w sposób zgodny z prawem (...)". Podstawę umorzenia postępowania administracyjnego stanowił przepis art. 105 § 1 k.p.a. W niniejszej sprawie ustalony stan faktyczny wskazuje, że przedsiębiorca, którego działalności – jako administratora danych – dotyczyła skarga T.L. do Prezesa UODO, zakończył działalność gospodarczą i został wykreślony z Centralnej Ewidencji i Informacji o Działalności Gospodarczej. Zasadne było więc umorzenie wszczętego przez skarżącego postępowania w przedmiocie przetwarzania jego danych osobowych przez przedsiębiorcę jako bezprzedmiotowego na podstawie art. 105 § 1 k.p.a. Zgodnie z powołanym przepisem, gdy postępowanie z jakiejkolwiek przyczyny stało się bezprzedmiotowe, organ administracji publicznej wydaje decyzję o umorzeniu postepowania. W doktrynie wskazuje się, że z bezprzedmiotowością postępowania administracyjnego w rozumieniu art. 105 § 1 k.p.a. mamy do czynienia wówczas, gdy odpadł jeden z konstytutywnych elementów sprawy administracyjnej, o której mowa w art. 1 pkt 1 (zob. M. Jaśkowska, A. Wróbel, Kodeks postepowania administracyjnego, Komentarz, Zakamycze 2005, s. 620). Natomiast w orzecznictwie zwraca się uwagę, iż : "(...) Z bezprzedmiotowością postępowania (art. 105 Kpa) mamy do czynienia wówczas, gdy w sposób oczywisty organ stwierdzi brak podstaw prawnych i faktycznych do merytorycznego rozpatrzenia sprawy." (por. wyrok Naczelnego Sądu Administracyjnego z dnia 18 kwietnia 1995 r., sygn. akt SA/Łd 2424/99, ONSA 1996, nr 2, poz. 80), (v. wyrok Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 5 listopada 2015 r. sygn. akt II SA/Wa 450/15, orzeczenia.nsa.gov.pl). Określeniem "postępowanie z jakiejkolwiek przyczyny stało się bezprzedmiotowe" obejmuje się w literaturze sytuacje, gdy żądanie strony jest nieaktualne lub wygasło z mocy prawa (W. Hybiak, Bezprzedmiotowość..., s. 42; tenże, Umorzenie postępowania administracyjnego..., s. 14). O bezprzedmiotowości postępowania w sprawie można zatem mówić, gdy zachodzi brak jego strony lub brak przedmiotu, czyli gdy brak jest podstaw prawnych i faktycznych do rozpatrzenia i rozstrzygnięcia sprawy. W doktrynie podkreśla się, że istota bezprzedmiotowości postępowania polega na tym, że "(...) Nastąpiło (...) takie zdarzenie prawne lub faktyczne, które spowodowało, że przestała istnieć ta szczególna relacja między faktem (sytuacją faktyczną danego podmiotu) a prawem (sytuacją prawną danego podmiotu), z którą prawo łączy obowiązek konkretyzacji normy w postaci wydania decyzji administracyjnej" (J. Zimmermann "Ordynacja podatkowa", s. 212 - pogląd powołany w "Komentarzu do Kodeksu postępowania administracyjnego". M. Matan, Cz. Martysz, G. Łaszczyca, do art. 105 k.p.a. kom. Lex 2010). Przy czym decyzja o umorzeniu postępowania nie rozstrzyga o materialnoprawnych uprawnieniach i obowiązkach strony. Wywiera ona inny skutek: przyjmuje, że nie ma przesłanek do merytorycznego orzekania co do istoty sprawy. Skutki tej decyzji mają charakter procesowy. Nie kształtuje się stosunek materialnoprawny. W rozpoznawanej sprawie u podstaw wydania zaskarżonej decyzji z dnia [...] października 2024 r. o umorzeniu postępowania legło ustalenie organu, że przedsiębiorca, któremu skarżący zarzucił niezgodne z prawem przetwarzanie danych osobowych, aktualnie już nie istnieje, gdyż został wykreślony z CEIDG. W ocenie Sądu, prawidłowe są ustalenia Prezesa UODO, że wykazana okoliczność dawała podstawę do zastosowania art. 105 § 1 k.p.a. i umorzenia postępowania. Organ dokonał niezbędnych w sprawie ustaleń faktycznych, nie naruszył przepisów postępowania administracyjnego w stopniu, który miałby wpływ na wynik sprawy. Wykreślenie przedsiębiorcy z CEIDG oznacza brak możliwości wydania wobec niego decyzji merytorycznej w przedmiocie naruszenia przepisów RODO w procesie przetwarzania danych osobowych i skorzystanie przez Prezesa UODO z uprawnień naprawczych przewidzianych w art. 58 ust. 2 RODO. Zauważyć bowiem trzeba, że to przedsiębiorcy, a więc osobie fizycznej prowadzącej działalność gospodarczą, przysługiwał status administratora danych osobowych w rozumieniu art. 4 pkt 7 RODO. Zgodnie z tym przepisem "administrator" oznacza osobę fizyczną lub prawną, organ publiczny, jednostkę lub inny podmiot, który samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych osobowych; jeżeli cele i sposoby takiego przetwarzania są określone w prawie Unii lub w prawie państwa członkowskiego, to również w prawie Unii lub w prawie państwa członkowskiego może zostać wyznaczony administrator lub mogą zostać określone konkretne kryteria jego wyznaczania. Dane osobowe skarżącego – w kwestionowanym w skardze do Prezesa UODO procesie przetwarzania – były przetwarzane w związku z prowadzoną przez przedsiębiorcę działalnością gospodarczą. Przetwarzanie to (w tym kwestionowane udostępnienie) nie odbywało się poza działalnością gospodarczą przedsiębiorcy, miało miejsce w jej ramach. Zgodnie z art. 4 ust. 1 ustawy Prawo przedsiębiorców, przedsiębiorcą jest osoba fizyczna, osoba prawna lub jednostka organizacyjna niebędąca osobą prawną, której odrębna ustawa przyznaje zdolność prawną, wykonująca działalność gospodarczą. Prezes UODO prawidłowo zatem zidentyfikował administratora danych osobowych w tej sprawie. Właśnie z uwagi na przetwarzanie danych osobowych w związku z prowadzoną działalnością gospodarczą, mimo że dotyczące osoby fizycznej, przepisy RODO miały w sprawie zastosowanie. Zaprzestanie wykonywania działalności gospodarczej i decydowania o celach i środkach przetwarzania danych osobowych skarżącego prawidłowo uznane zostało przez Prezesa UODO za przeszkodę do zastosowania art. 58 ust. 2 RODO. Nie jest w świetle powyższego uprawniony zarzut naruszenia art. 4 pkt 7 RODO w zw. z art. 4 pkt 1 Prawa przedsiębiorców. W odniesieniu do zarzutów skargi przypomnieć należy, że uprawnienia naprawcze organu nadzorczego, zgodnie z art. 58 ust. 2 RODO, obejmują: a) wydawanie ostrzeżeń administratorowi lub podmiotowi przetwarzającemu dotyczących możliwości naruszenia przepisów niniejszego rozporządzenia poprzez planowane operacje przetwarzania; b) udzielanie upomnień administratorowi lub podmiotowi przetwarzającemu w przypadku naruszenia przepisów niniejszego rozporządzenia przez operacje przetwarzania; c) nakazanie administratorowi lub podmiotowi przetwarzającemu spełnienia żądania osoby, której dane dotyczą, wynikającego z praw przysługujących jej na mocy niniejszego rozporządzenia; d) nakazanie administratorowi lub podmiotowi przetwarzającemu dostosowania operacji przetwarzania do przepisów niniejszego rozporządzenia, a w stosownych przypadkach wskazanie sposobu i terminu; e) nakazanie administratorowi zawiadomienia osoby, której dane dotyczą, o naruszeniu ochrony danych; f) wprowadzanie czasowego lub całkowitego ograniczenia przetwarzania, w tym zakazu przetwarzania; g) nakazanie na mocy art. 16, 17 i 18 sprostowania lub usunięcia danych osobowych lub ograniczenia ich przetwarzania oraz nakazanie na mocy art. 17 ust. 2 i art. 19 powiadomienia o tych czynnościach odbiorców, którym dane osobowe ujawniono; h) cofnięcie certyfikacji lub nakazanie podmiotowi certyfikującemu cofnięcia certyfikacji udzielonej na mocy art. 42 lub 43, lub nakazanie podmiotowi certyfikującemu nieudzielania certyfikacji, jeżeli jej wymogi nie są spełnione lub przestały być spełniane; i) zastosowanie, oprócz lub zamiast środków, o których mowa w niniejszym ustępie, administracyjnej kary pieniężnej na mocy art. 83, zależnie od okoliczności konkretnej sprawy; j) nakazanie zawieszenia przepływu danych do odbiorcy w państwie trzecim lub do organizacji międzynarodowej. Brak jest podstaw prawnych i faktycznych do merytorycznego rozstrzygania przez Prezesa UODO i zastosowania w tej sprawie art. 58 ust. 2 RODO w sytuacji, gdy w obrocie prawnym nie funkcjonuje podmiot decydujący o celach i środkach przetwarzania danych osobowych (przedsiębiorca w ramach działalności którego doszło do kwestionowanego ujawnienia danych osobowych skarżącego), tj. administrator danych. Sąd nie podziela tym samym twierdzenia skargi, że w sprawie niniejszej organ mógł zastosować art. 58 ust. 2 lit. b), f), g), czy i) RODO. Odnosząc się do twierdzenia skargi, że "zgodnie z ww. definicją legalną, pojęcie administratora nie jest zawężone do osoby fizycznej prowadzącej działalność gospodarczej, lecz do osoby fizycznej, którą R.J. co oczywiste pozostaje mimo utraty statusu przedsiębiorcy" podkreślenia wymaga, że istotą definicji administratora danych jest – w świetle RODO – zdolność (możliwość) ustalania samodzielnie lub wspólnie z innymi celów i sposobów przetwarzania danych osobowych. Skoro kwestionowane były przed organem przetwarzanie danych w ramach prowadzonej przez przedsiębiorcę działalności gospodarczej, to nie sposób stwierdzić, aby po zakończeniu prowadzonej działalności gospodarczej i wykreśleniu działalności z CEiDG, można było nadal mówić o administratorze danych, tj. podmiocie który decyduje o celach i środkach przetwarzania danych skarżącego w związku z tą działalnością gospodarczą. Wadliwa jest ocena skarżącego, że administratorem danych osobowych jest w tej konkretnej sprawie osoba fizyczna, odpowiedzialna osobiście za wszelkie roszczenia powstałe w trakcie prowadzenia działalności gospodarczej. Administratorem danych osobowych jest przedsiębiorca i w stosunku do niego jedynie możliwe byłoby zastosowanie przez Prezesa UODO z uprawnień naprawczych przewidzianych w art. 58 ust. 2 RODO. Skoro przedsiębiorca z uwagi na zakończenie prowadzenia działalności gospodarczej utracił status administratora danych osobowych w rozumieniu RODO, to brak jest obecnie możliwości wydania wobec niego merytorycznej decyzji administracyjnej na gruncie RODO. To z kolei czyni uprawnionym wydanie decyzji umarzającej postępowanie administracyjne na podstawie art. 105 § 1 k.p.a. Argumentacja skargi zasadza się na twierdzeniu, że koniec prowadzenia działalności gospodarczej nie stanowi o zakończeniu wszelkiej odpowiedzialności za naruszenie prawa dotyczącego danych osobowych. Zdaniem skarżącego, firma osoby fizycznej ma charakter niezbywalny, a fakt zaprzestania prowadzenia działalności gospodarczej pozostaje bez wpływu na odpowiedzialność przedsiębiorcy za naruszenia praw dotyczących danych osobowych i innych, jakich dopuścił się w trakcie prowadzenia działalności gospodarczej oraz pozostaje bez wpływu z perspektywy roszczeń osób trzecich. W świetle powyższego wskazania wymaga, że skarżący błędnie identyfikuje odpowiedzialność przedsiębiorcy jako administratora danych osobowych za naruszenia przepisów o ochronie danych osobowych na gruncie RODO z odpowiedzialnością cywilnoprawną przedsiębiorcy (także po zakończeniu prowadzenia działalności gospodarczej). Postępowanie zakończone zaskarżoną decyzją zainicjowane zostało skargą skarżącego, która dotyczyła przetwarzania danych przez przedsiębiorcę jako administratora danych w związku z prowadzoną działalnością gospodarczą. Słusznie organ stwierdził, że zdarzenie polegające na zaprzestaniu prowadzenia działalności przez przedsiębiorcę i jego wykreślenie z CEIDG zmieniło postępowanie w ten sposób, że brak jest możliwości merytorycznego rozstrzygnięcia sprawy i ewentualnego wydania decyzji w stosunku do przedsiębiorcy, który utracił przymiot administratora danych osobowych. Innymi słowy – nie istnieje podmiot, w stosunku do którego dopuszczalne byłoby skierowanie decyzji administracyjnej w tej sprawie. Podniesione w skardze kwestie przechowywania dokumentacji pracowniczej, czy księgowej nie mają odniesienia do niniejszej sprawy. Z tych wszystkich względów Sąd uznał, że zaskarżona decyzja nie narusza prawa. Wszystkie zarzuty skargi Sąd uznał za nieuzasadnione. Mając powyższe na uwadze Wojewódzki Sąd Administracyjny w Warszawie, na podstawie art. 151 ustawy - Prawo o postępowaniu przed sądami administracyjnymi, orzekł jak w wyroku.