II SA/Wa 1888/24

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Ewa Marcinkowska, Sędzia WSA Joanna Kruszewska-Grońska (spr.), Asesor WSA Anna Pośpiech-Kłak, Protokolant specjalista Joanna Głowala po rozpoznaniu na rozprawie w dniu 24 września 2025 r. sprawy ze skarg [...] z siedzibą w [...] oraz [...] z siedzibą w [...] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] września 2024 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargi Decyzją z [...] września 2024 r. nr [...] Prezes Urzędu Ochrony Danych Osobowych (dalej: "PUODO", "organ"), po przeprowadzeniu postępowania wszczętego skargą M. R. (dalej: "uczestniczka postępowania"), na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (obecnie tekst jednolity: Dz. U. z 2024 r., poz. 572 ze zm.; dalej: "k.p.a.") w związku z art. 7 ust. 1 i ust. 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r., poz. 1781; dalej: "u.o.d.o.") oraz art. 6 ust. 1, a także art. 58 ust. 2 lit. b i lit. c rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych - Dz. Urz. UE L 119 z dnia 4 maja 2016 r., str. 1 ze sprost.; dalej: "RODO"), udzielił upomnienia za naruszenie art. 6 ust. 1 RODO, polegające na przetwarzaniu danych osobowych uczestniczki postępowania w postaci jej adresu e-mail w okresie od [...] września 2018 r. do [...] sierpnia 2021 r., bez podstawy prawnej, następującym podmiotom: w pkt 1 - [...] S.A. z siedzibą w G. (dalej: "spółka"), w pkt 2 - [...] [...] z siedzibą w G. (dalej: "fundusz [...] I"), w pkt 3 - [...] [...]z siedzibą w G. (dalej: "fundusz [...] [...]"). Natomiast w dalszej części zaskarżonej decyzji (pkt 4-6) organ nakazał ww. podmiotom usunięcie danych osobowych uczestniczki postępowania w zakresie: imienia i nazwiska, adresu zameldowania i zamieszkania, nr PESEL oraz danych kontaktowych, tj. w pkt 4 – spółce, w pkt 5 – funduszowi [...] I, a w pkt 6 – funduszowi [...] [...]. W uzasadnieniu decyzji PUODO podał, że w skardze inicjującej postępowanie administracyjne uczestniczka postępowania zarzuciła spółce przetwarzanie bez podstawy prawnej jej danych osobowych w zakresie: imienia i nazwiska, adresu zameldowania, nr telefonu oraz adresu poczty elektronicznej: [...] na ww. e-mail uczestniczka postępowania otrzymywała od spółki informacje o zadłużeniu osoby o tożsamym co ona imieniu i nazwisku, jak również ponaglenia do spłaty tego zadłużenia, które jej nie dotyczyło. Wprawdzie w rozmowie z pracownikiem spółki wyjaśniła, iż to nie ona jest rzeczywistym dłużnikiem, lecz maile od spółki otrzymywała przez dwa lata i nie ma pewności, że jej adres mailowy nadal nie będzie wykorzystywany przez spółkę w tym celu. Dlatego uczestniczka postępowania domagała się w skardze skierowanej do organu usunięcia jej danych osobowych oraz odszkodowania z tytułu utraconych korzyści i strat moralnych. Natomiast spółka wskazała, iż zarządza wierzytelnościami, w tym wierzytelnościami sekurytyzowanymi, na zlecenie funduszy inwestycyjnych z Grupy [...], do której należą fundusz [...] I i fundusz [...] [...]. Przetwarzanie danych osobowych dłużników ww. funduszy tak przez te przez fundusze, jak i przez spółkę, odbywa się w szczególności na podstawie art. 193 ustawy o funduszach. W wyniku tego działania spółka staje się współadministratorem danych osobowych dłużników funduszy w rozumieniu art. 26 RODO. Spółka oraz fundusze: [...]i [...] [...] w dniu [...] czerwca 2018 r. zawarły w trybie art. 26 RODO porozumienie o współadministrowaniu w celach zarządzania wierzytelnościami. Spółka i ww. fundusze wyjaśniły, że e-mail uczestniczki postępowania został pozyskany [...] września 2018 r. w związku z aktualizacją danych osobowych osoby będącej dłużnikiem [...] wierzytelności zarządzanych przez spółkę na zlecenie funduszy, która to osoba posiadała zbieżne z nią dane. Powyższy adres poczty elektronicznej pozyskano od [...] Sp. z o.o. z siedzibą w W., w oparciu o zawartą [...] maja 2018 r. umowę o współpracy w zakresie świadczenia usług wzbogacania baz danych, przy czym adres ten nie zawierał w swojej treści informacji pozwalających na identyfikację jego posiadacza (nie było w nim ani imienia ani nazwiska ani też jakiegokolwiek nawiązania do nich). Dane pozwalające na identyfikację uczestniczki postępowania, tj. jej imię i nazwisko, nr PESEL, nr telefonu oraz miejscowość, w której mieszka, zostały pozyskane [...] sierpnia 2021 r. podczas rozmowy telefonicznej z uczestniczką, zaś adres zameldowania i pełny adresu zamieszkania pozyskano z treści jej korespondencji mailowej z [...] maja 2022 r. Spółka oraz fundusze podniosły, iż adres e-mail uczestniczki postępowania został usunięty [...] sierpnia 2021 r., czyli niezwłocznie po powzięciu informacji, że ten adres poczty elektronicznej nie identyfikuje osoby będącej ich dłużnikiem. Spółka i fundusze przetwarzają dane osobowe uczestniczki postępowania w zakresie imienia i nazwiska, adresu zameldowania i adresu zamieszkania, nr PESEL oraz danych kontaktowych w następujących celach: ( wypełnienia obowiązku prawnego ciążącego na funduszach w związku z prowadzeniem przez PUODO postępowania administracyjnego, w tym koniecznością złożenia wyjaśnień - art. 6 ust. 1 lit. c w związku z art. 58 ust. 1 lit. a i lit. e w związku z art. 31 RODO oraz art. 281 ust. 1 pkt 16 ustawy o funduszach; ( dowodowym, tj. w celu zapewniania rozliczalności, jak też dla zabezpieczenia informacji na wypadek prawnej potrzeby wykazania faktów - art. 6 ust. 1 lit. c w związku z art. 5 ust. 2 RODO; ( zapewnienia bezpieczeństwa sieci i informacji, w tym poprzez zapewnienie integralności kopii zapasowych - art. 6 ust. 1 lit. c w związku z art. 5 ust. 1 lit. f, art. 24 i art. 32 RODO; ( realizacji prawnie uzasadnionego interesu polegającego na obronie przed ewentualnymi roszczeniami kierowanymi przed organami ścigania, organami orzekającymi, w tym sądami powszechnymi, sądami administracyjnymi, Sądem Najwyższym, w postępowaniach administracyjnych, w tym roszczeniami zgłaszanymi przez uczestniczkę postępowania w niniejszym postępowaniu prowadzonym przez organ przez okres przedawnienia roszczeń, wynikający z ogólnych przepisów prawa - art. 6 ust. 1 lit. f w związku z art. 17 ust. 3 lit. e i art. 82 ust. 3 RODO oraz art. 45 Konstytucji RP. Jednocześnie spółka oświadczyła, iż nie posiada wiedzy, by uczestniczka postępowania wystąpiła wobec niej z roszczeniami innymi niż te zgłoszone przez nią w postępowaniu przed PUODO. Spółka stwierdziła również, że nie wystąpiła i nie zamierza wystąpić do uczestniczki postępowania z roszczeniami. Motywując podjęte rozstrzygnięcie, w oparciu o przedstawione powyżej ustalenia faktyczne, organ podkreślił, iż na administratorze danych osobowych, którymi w rozumieniu art. 4 pkt 7 RODO są w tej sprawie spółka i fundusze, ciąży obowiązek przetwarzania danych osobowych zgodnie z obowiązującymi przepisami. Oznacza to, że przetwarzanie danych musi odbywać się na podstawie co najmniej jednej z enumeratywnie wymienionych w art. 6 ust. 1 RODO przesłanek, a także zgodnie z zasadami określonymi w art. 5 RODO, w tym: zasadą zgodności z prawem, rzetelności i przejrzystości (vide art. 5 ust. 1 lit. a RODO), zasadą ograniczenia celu (vide art. 5 ust. 1 lit. b RODO), zasadą prawidłowości (vide art. 5 ust. 1 lit. d RODO) oraz zasadą rozliczalności (vide art. 5 ust. 2 RODO). PUODO przypomniał, iż spółka i fundusze pozyskały adres poczty elektronicznej uczestniczki postępowania - [...] w dniu [...] września 2018 r. od [...] Sp. z o.o. z siedzibą w W. w toku aktualizacji danych osobowych faktycznej dłużniczki, na mocy umowy z [...] maja 2018 r. o współpracy w zakresie świadczenia usług wzbogacania baz danych. Spółka i fundusze pozostawały w błędnym przekonaniu odnośnie posiadacza ww. adresu poczty elektronicznej, zwłaszcza że uczestniczka postępowania oraz faktyczna dłużniczka posiadają to samo imię i nazwisko. Spółka i fundusze usunęły jej adres e-mail [...] sierpnia 2021 r., kiedy to uczestniczka postępowania wyjaśniła w rozmowie telefonicznej, iż nie jest ich dłużniczką. W trakcie tej rozmowy telefonicznej z [...] sierpnia 2021 r. spółka i fundusze pozyskały dane osobowe uczestniczki postępowania, tj. jej imię i nazwisko, nr PESEL, nr telefonu i miejscowość, w której zamieszkuje, a na skutek wysyłania dalszych maili - pozyskały kolejne jej dane w postaci adresu zameldowania i pełnego adresu zamieszkania. Zatem przetwarzanie adresu e-mail uczestniczki postępowania spowodowało przetwarzanie szerszego zakresu jej danych osobowych. Spółka i fundusze przetwarzały te dane jako współadministratorzy w oparciu o porozumienie z [...] czerwca 2018 r. o współadministrowaniu w celach zarządzania wierzytelnościami. Stosownie bowiem do treści art. 26 ust. 1 zdanie pierwsze RODO, jeżeli co najmniej dwóch administratorów wspólnie ustala cele i sposoby przetwarzania, są oni współadministratorami. W ocenie PUODO, już w momencie pozyskania adresu e-mail spółka i fundusze powinny były zbadać, czy adres ten identyfikuje osobę dłużnika, w stosunku do którego prowadzone są czynności windykacyjne, a to z uwagi na wynikający z art. 5 ust. 1 lit. d RODO obowiązek zapewnienia prawidłowości danych. Materiał dowodowy wskazuje, iż spółka i fundusze nie wywiązały się z tego obowiązku się, bo nie dokonały weryfikacji tożsamości potencjalnego dłużnika, wskutek czego bezprawnie pozyskano dane osobowe uczestniczki postępowania i dalej je przetwarzano. Spółka i fundusze, jako współadministratorzy danych, byli zobowiązani do podjęcia odpowiednich działań oraz wdrożenia takich mechanizmów identyfikacji, które gwarantują prawidłowość przetwarzanych danych, a jednocześnie zapobiegną pozyskiwaniu danych osób trzecich o tożsamych danych osobowych. W konsekwencji spółka naruszyła zasady wymienione w art. 5 ust. 1 lit. a i lit. b RODO. Sam fakt zbieżności imienia i nazwiska uczestniczki postępowania z takimi danymi faktycznej dłużniczki nie świadczy o interesie prawnym w przetwarzaniu jej danych osobowych. Spółka i fundusze nie dokonały żadnej weryfikacji danych otrzymanych od podmiotu zewnętrznego oraz nie ustaliły braku związku adresu e-mail uczestniczki postępowania z faktycznym dłużnikiem, mimo że taki obowiązek na nich spoczywał jako na współadministratorach danych. Uczestniczka postępowania jest osobą przypadkową, całkowicie niezwiązaną z dochodzonym roszczeniem; tym samym spółka i fundusze nie dysponowały podstawą prawną do pozyskania i przetwarzania jej danych osobowych. Obecnie nie przetwarzają adresu mailowego uczestniczki, czyli nie kontynuują tego procesu. Natomiast w odniesieniu do trwającego procesu przetwarzania pozostałych danych osobowych uczestniczki postępowania, tj. jej imienia i nazwiska, adresu zameldowania, adresu zamieszkania, nr PESEL oraz danych kontaktowych, organ uznał, iż nie ma podstaw do dalszego ich przetwarzania w celach podanych przez spółkę i fundusze. Uczestniczka postępowania nie wystąpiła z roszczeniem wobec tych podmiotów, ani też podmioty te nie dochodzą żadnych roszczeń od uczestniczki. Powoływana przez spółkę i fundusze przesłanka z art. 6 ust. 1 lit. f RODO dotyczy sytuacji już istniejącej, w której celem wynikającym z prawnie uzasadnionych interesów realizowanych przez administratora jest konieczność udowodnienia, potrzeba dochodzenia lub obrony przed roszczeniem istniejącym, nie zaś sytuacji, gdy dane są przetwarzane w celu zabezpieczenia się przed ewentualnym roszczeniem. Skoro uczestniczka postępowania nie wystąpiła względem funduszy czy spółki z jakimkolwiek roszczeniem, to - zdaniem PUODO - podmioty te przetwarzają jej dane osobowe wyłącznie "na zapas", aby zabezpieczyć się przed ewentualnymi - przyszłymi i niepewnymi roszczeniami uczestniczki. W tym kontekście organ podzielił stanowisko Naczelnego Sądu Administracyjnego (dalej: "NSA"), zaprezentowane w wyroku z 6 marca 2019 r., sygn. akt I OSK 994/17 (orzeczenia sądów administracyjnych są dostępne w internetowej bazie orzeczeń na stronie NSA: orzeczenia.nsa.gov.pl). Przyjęcie za prawidłowy poglądu, iż przetwarzanie danych osobowych w celu uchylenia się od negatywnych skutków w przypadku zgłoszenia w przyszłości ewentualnego i nieokreślonego roszczenia, stanowi prawnie usprawiedliwiony cel w rozumieniu art. 6 ust. 1 lit. f RODO, oznaczałoby, że dane osobowe uczestniczki postępowania mogą być przetwarzane przez fundusze i spółkę permanentnie, bez konieczności ich usunięcia. Teoretycznie możliwe jest przecież, by uczestniczka postępowania skierowała roszczenie do tych podmiotów po upływie terminu przedawnienia roszczenia. Brak jest uzasadnienia dla przyjęcia, iż terminy dotyczące przedawnienia roszczeń określają jednocześnie ramy czasowe, w których dane osobowe mogą być przetwarzane przez fundusze i spółkę. Przedawnienie roszczenia nie wywołuje skutków na gruncie ochrony danych osobowych, gdyż nie wpływa na fakt istnienia roszczenia, lecz powoduje jedynie zmianę w sferze zarzutów procesowych w postaci możliwości podniesienia okoliczności przedawnienia w sporze sądowym. Tak więc okolicznością usprawiedliwiającą przetwarzanie danych osobowych w celu dochodzenia roszczeń jest sam fakt istnienia roszczenia oraz zamiar jego dochodzenia, a nie zmiana w uprawnieniach procesowych podmiotu pozwanego. Wobec niewykazania roszczeń uczestniczki postępowania, organ ocenił, kontynuowane do chwili obecnej, przetwarzanie jej danych osobowych jako zbędne i niezgodne z obowiązującymi przepisami o ochronie danych osobowych. Stwierdzając brak podstaw prawnych, które legalizowałyby kontynuowanie przez spółkę i fundusze procesu przetwarzania danych osobowych uczestniczki postępowania w zakresie: jej imienia i nazwiska, adresów zameldowania i zamieszkania, nr PESEL oraz danych kontaktowych, PUODO skorzystał z przysługującego mu uprawnienia, przewidzianego w art. 58 ust. 2 lit. c RODO, nakazują spółce i funduszom usunięcie przedmiotowych danych. Organ wyjaśnił też, że może podejmować tylko te czynności, które znajdują się w zakresie jego uprawnień oraz tylko w tych sprawach, które należą do jego właściwości. Uprawnienia te i właściwość wynikają z RODO, u.o.d.o., jak również szeregu szczegółowych regulacji. Do zadań PUODO zalicza się m.in. kontrola zgodności przetwarzania danych z przepisami o ochronie danych osobowych oraz wydawanie decyzji administracyjnych i rozpatrywanie skarg w sprawach wykonania przepisów o ochronie danych osobowych. Natomiast poza kognicją organu pozostaje kwestia przyznania odszkodowania z tytułu naruszenia przepisów o ochronie danych osobowych. Na opisaną wyżej decyzję skargi do Wojewódzkiego Sądu Administracyjnego w Warszawie wywiedli: spółka (sprawa z jej skargi została zarejestrowana pod sygn. akt II SA/Wa 1888/24), fundusz [...] I (sprawa o sygn. akt II SA/Wa 1900/24) i fundusz [...] II (sprawa o sygn. akt II SA/Wa 1901/24), wnosząc o uchylenie w całości decyzji PUODO z [...] września 2024 r., zasądzenie zwrotu kosztów postępowania, w tym kosztów zastępstwa procesowego, według norm przepisanych, jak również przeprowadzenie dowodu uzupełniającego z następujących dokumentów: ( decyzji PUODO z [...] lipca 2023 r. nr [...] i z [...] marca 2024 r. nr [...]- na okoliczność istnienia utrwalonej praktyki, odmiennej niż stanowisko przyjęte w zaskarżonej decyzji, pomimo istnienia takiego samego stanu faktycznego i prawnego sprawy, ( przedsądowych ostatecznych wezwań do zapłaty skierowanych w dniu [...] września 2024 r. przez uczestniczkę postępowania do spółki i funduszy: [...]i [...]- na okoliczność występowania przez uczestniczkę postępowania z roszczeniami przeciwko spółce i funduszom. W tożsamych w treści skargach ww. podmioty zarzuciły organowi: I. naruszenie przepisów prawa materialnego, które miało wpływ na wynik sprawy, tj. 1) art. 4 pkt 1 RODO poprzez jego niewłaściwe zastosowanie prowadzące do uznania, że w okresie od [...] września 2018 r. do [...] sierpnia 2021 r. adres e-mail: [...] stanowił dla skarżących dane osobowe uczestniczki postępowania, podczas gdy: a) adres ten samodzielnie nie stanowił danej osobowej, ponieważ bez dodatkowych informacji nie pozwalał na ustalenie tożsamości osoby, która się nim posługuje i w żaden sposób nie wskazuje na personalia tej osoby, b) adres ten nie dotyczy, jak wskazała uczestniczka postępowania w skardze do organu, osoby fizycznej, ale nazwy sklepu obuwniczego; 2) art. 58 ust. 2 lit. b w związku z art. 4 pkt 1 RODO poprzez ich niewłaściwe zastosowanie polegające na nałożeniu na skarżących niezgodnego z prawem upomnienia za naruszenie art. 6 ust. 1 RODO, polegające na przetwarzaniu danych osobowych uczestniczki postępowania w zakresie jej adresu e-mail w sytuacji, gdy udzielenie upomnienia musi być poprzedzone ustaleniem, że doszło do naruszenia przepisów o ochronie danych osobowych i może nastąpić w przypadku naruszenia przepisów RODO poprzez operacje przetwarzania, tj. operacje wykonywane na danych osobowych. Skoro przedmiotowy adres e-mail w okresie od [...] września 2018 r. do [...] sierpnia 2021 r. nie stanowił dla skarżących danych osobowych uczestniczki postępowania, bo nie pozwalał im na jej zidentyfikowanie w oparciu o przypisane jej cechy indywidualne, to nie sposób uznać, aby skarżący dysponowali tymi danymi i je przetwarzali. W konsekwencji nie było podstaw do skorzystania przez PUODO z uprawnień naprawczych przewidzianych w art. 58 ust. 2 lit. b RODO; 3) art. 5 ust. 1 lit. d RODO poprzez jego niewłaściwe zastosowanie wobec skarżących, prowadzące do uznania, iż nie wywiązali się oni z obowiązku zapewnienia prawidłowości przetwarzania danych, podczas gdy: wypełnili ten obowiązek poprzez aktualizację danych dłużniczki; w okresie od [...] września 2018 r. do [...] sierpnia 2021 r. podejmowali działania, by potwierdzić prawidłowość przetwarzanego adresu e-mail: [...] oraz ostatecznie dokonali usunięcia tego adresu w chwili powzięcia informacji, że identyfikuje on uczestniczkę postępowania; 4) art. 6 ust. 1 lit. f RODO w związku z art. 117 § 2 i § 2(1), art. 118, art. 119 i art. 442(1) ustawy z dnia 23 kwietnia 1964 r. Kodeks cywilny (obecnie tekst jednolity: Dz. U. z 2025 r., poz. 1071; dalej: "k.c."), polegające na jego niewłaściwym zastosowaniu i przyjęciu, iż przechowywanie danych uczestniczki postępowania w zakresie imienia i nazwiska, adresu zameldowania, adresu zamieszkania, nr PESEL oraz danych kontaktowych przez okres przedawnienia roszczeń, nawet w przypadku, gdy zgłosiła ona roszczenia, nie stanowi prawnie uzasadnionego interesu skarżących w rozumieniu art. 6 ust. 1 lit. f RODO, podczas przepisy te uprawniają skarżących do przetwarzania danych osobowych w celu ustalenia, dochodzenia i ochrony przed roszczeniami; II. naruszenie przepisów postępowania, które miało istotny wpływ na wynik sprawy, tj.: 1) art. 7, art. 77 § 1 i art. 80 k.p.a. poprzez dokonanie dowolnej i nieprawidłowej oceny dowodów, skutkującej błędnym ustaleniem faktycznym, a także zaniechanie dokładnego wyjaśnienia stanu faktycznego sprawy i prowadzenie postępowania wbrew regułom nakazującym wyczerpujące zebranie i rozpatrzenie materiału dowodowego oraz ocenę jego kształtu, skutkującej przyjęciem, że: a) skarżący nie dokonali żadnej weryfikacji danych otrzymanych od podmiotu zewnętrznego, co doprowadziło do uznania, iż naruszyli zasady zgodności z prawem i prawidłowości określone w art. 5 ust. 1 lit. a i lit. b RODO, podczas gdy taka weryfikacja została dokonana poprzez wielokrotne wysłanie na pozyskany adres e-mail wiadomości, m.in. celem potwierdzenia tożsamości uczestniczki postępowania, które pozostawały bez odpowiedzi z przyczyn zależnych wyłącznie od niej aż do [...] sierpnia 2021 r., tj. do dnia rozmowy telefonicznej zainicjowanej przez uczestniczkę postępowania, b) po ww. rozmowie telefonicznej w dniu [...] sierpnia 2021 r. spółka wysyłała do uczestniczki postępowania dalsze e-maile, co jest niezgodne ze stanem faktycznym sprawy, a w aktach sprawy brak jest dowodu na tę okoliczność, w tym żaden z dokumentów nie dowodzi, aby spółka kierowała do uczestniczki postępowania kolejne e-maile związane z obsługą wierzytelności, c) uczestniczka postępowania nie wystąpiła z roszczeniami wobec skarżących, podczas gdy takie roszczenia sformułowała już w treści skargi złożonej do organu; 2) art. 105 § 1 k.p.a. polegające na braku umorzenia postępowania administracyjnego w całości jako bezprzedmiotowego, podczas gdy skarżący dochowali należytej staranności i podjęli dostępne im działania w celu potwierdzenia prawdziwości pozyskanego adresu e-mail: [...] jako informacji dotyczącej dłużniczki wierzyciela, a po powzięciu wiadomości, iż adres ten należy jednak do uczestniczki postępowania, niezwłocznie go usunęli; 3) art. 107 § 3 k.p.a. polegające na niedostatecznym i niepełnym uzasadnieniu decyzji poprzez: a) brak dokładnego uzasadnienia, dlaczego w opinii PUODO sam adres e-mail: [...] z perspektywy skarżących należało w okresie od [...] września 2018 r. do [...] sierpnia 2021 r. uznać za daną osobową uczestniczki postępowania, podczas gdy tylko na podstawie ww. adresu można było zweryfikować tożsamość jego posiadacza, zaś uczestniczka postępowania nie odpowiadała na korespondencję spółki, przez co spółka nie posiadała żadnych dodatkowych informacji, b) brak dokładnego uzasadnienia, dlaczego i w jaki sposób skarżący dopuścili się naruszenia zasady wyrażonej w przepisie art. 5 ust. 1 lit. d RODO, co skutkuje brakiem możliwości kontroli instancyjnej i skutecznego sformułowania zarzutów wobec decyzji; 4) art. 8 k.p.a. poprzez wyrażanie w decyzjach PUODO, kierowanych do podmiotów z Grupy [...], w tym skarżących, rozbieżnych stanowisk na tle analogicznych stanów faktycznych i tożsamej podstawy prawnej. W skargach rozwinięto poszczególne zarzuty. W odpowiedzi na skargi PUODO wniósł o ich oddalenie, podtrzymując stanowisko wyrażone w uzasadnieniu zaskarżonej decyzji. W związku z poinformowaniem Sądu, pismem z [...] lutego 2025 r., o połączeniu 4 podmiotów z Grupy [...], obejmującym m.in. fundusze: [...]i [...], poprzez utworzenie [...] [...] - [...] [...] z siedzibą w G. (dalej: "fundusz [...]"), w dniu [...] marca 2025 r. Przewodniczący Wydziału II Wojewódzkiego Sądu Administracyjnego w Warszawie zarządził zakreślenie sprawy o sygn. akt II SA/Wa 1901/24 i dołączenie jej do sprawy o sygn. akt II SA/Wa 1900/24 (vide karta nr 96 akt sądowych sprawy o sygn. II SA/Wa 1901/24). Z kolei na rozprawie w dniu 9 lipca 2025 r. tutejszy Sąd, w oparciu o art. 111 § 1 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2024 r., poz. 935 ze zm.; dalej: "p.p.s.a."), postanowił połączyć do wspólnego rozpoznania i rozstrzygnięcia sprawę o sygn. akt II SA/Wa 1888/24 ze skargi spółki oraz sprawę o sygn. akt II SA/Wa 1900/24 ze skargi funduszu [...] oraz prowadzić dalej pod sygn. akt II SA/Wa 1888/24. Ponadto na ww. rozprawie Sąd, na mocy art. 106 § 3 p.p.s.a., oddalił zawarte w skargach wnioski dowodowe. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: Skargi nie zasługują na uwzględnienie. W niniejszej sprawie stan faktyczny co do zasady nie budził wątpliwości; sporna między stronami postępowania była jego ocena prawna. Według art. 4 pkt 1 RODO, dane osobowe oznaczają informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej ("osobie, której dane dotyczą"). Możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora takiego jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej. W myśl art. 4 pkt 2 RODO przetwarzanie danych osobowych oznacza operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, taką jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie. Zgodnie zaś z art. 4 pkt 7 RODO, administrator to osoba fizyczna lub prawna, organ publiczny, jednostka lub inny podmiot, który samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych osobowych. Jak wskazuje Zakwestionowane przez organ przetwarzanie danych dotyczy tzw. "zwykłych" danych, pozyskanych przez spółkę i fundusze: [...]i [...]w ramach prowadzonej przez te podmioty działalności gospodarczej jako współadministratorów (vide art. 4 pkt 26 RODO) - w odróżnieniu od szczególnych kategorii danych osobowych ujętych w art. 9 i art. 10 RODO. Zasady przetwarzania danych osobowych określa art. 5 ust. 1 RODO. I tak dane osobowe muszą być: a) przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą ("zgodność z prawem, rzetelność i przejrzystość"); b) zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach i nieprzetwarzane dalej w sposób niezgodny z tymi celami; dalsze przetwarzanie do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych nie jest uznawane w myśl art. 89 ust. 1 za niezgodne z pierwotnymi celami ("ograniczenie celu"); c) adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane ("minimalizacja danych"); d) prawidłowe i w razie potrzeby uaktualniane; należy podjąć wszelkie rozsądne działania, aby dane osobowe, które są nieprawidłowe w świetle celów ich przetwarzania, zostały niezwłocznie usunięte lub sprostowane ("prawidłowość"); e) przechowywane w formie umożliwiającej identyfikację osoby, której dane dotyczą, przez okres nie dłuższy, niż jest to niezbędne do celów, w których dane te są przetwarzane; dane osobowe można przechowywać przez okres dłuższy, o ile będą one przetwarzane wyłącznie do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych na mocy art. 89 ust. 1, z zastrzeżeniem że wdrożone zostaną odpowiednie środki techniczne i organizacyjne wymagane na mocy niniejszego rozporządzenia w celu ochrony praw i wolności osób, których dane dotyczą ("ograniczenie przechowywania"); f) przetwarzane w sposób zapewniający odpowiednie bezpieczeństwo danych osobowych, w tym ochronę przed niedozwolonym lub niezgodnym z prawem przetwarzaniem oraz przypadkową utratą, zniszczeniem lub uszkodzeniem, za pomocą odpowiednich środków technicznych lub organizacyjnych ("integralność i poufność"). Przepis art. 5 ust. 2 RODO stanowi, iż administrator jest odpowiedzialny za przestrzeganie powyższych zasad i musi być w stanie wykazać ich przestrzeganie (rozliczalność). Natomiast art. 6 ust. 1 RODO wymienia niezależne (samoistne) i równoważne przesłanki legalizujące proces przetwarzania danych osobowych. Stosownie do treści ww. przepisu, przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy - i w takim zakresie, w jakim - spełniony jest co najmniej jeden z poniższych warunków: a) osoba, której dane dotyczą wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów; b) przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy; c) przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze; d) przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej; e) przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi; f) przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem. Akapit pierwszy lit. f nie ma zastosowania do przetwarzania, którego dokonują organy publiczne w ramach realizacji swoich zadań. Ta ostatnia przesłanka (tj. zawarta w lit. f), ma charakter swoistej klauzuli generalnej, która zwiększa elastyczność katalogu zawartego w art. 6 ust. 1 RODO. Stosowanie przepisu art. 6 ust. 1 lit. f RODO następuje dwuetapowo. W pierwszym etapie trzeba zweryfikować, czy kumulatywnie spełnione są dwa warunki, a mianowicie: (1) czy występuje prawnie uzasadniony interes, który jest realizowany przez administratora lub przez stronę trzecią oraz (2) czy przetwarzanie danych osobowych jest niezbędne dla realizacji celu wynikającego z powyższego interesu. W drugim etapie należy ocenić, czy nie jest spełniona przesłanka o charakterze negatywnym w postaci występowania w danym stanie faktycznym interesów lub podstawowych praw i wolności podmiotu danych, które mają charakter nadrzędny wobec prawnie uzasadnionych interesów administratora lub strony trzeciej. W przypadku spełnienia tego warunku nie będzie można powołać się na art. 6 ust. 1 lit. f RODO jako uzasadnienie dla przetwarzania danych osobowych. Istota tej negatywnej przesłanki polega na wyważeniu dwóch dóbr chronionych prawem, tj. prawnie uzasadnionego interesu administratora lub strony trzeciej - z jednej strony oraz interesów, podstawowych praw i wolności podmiotu danych - z drugiej strony. Prawnie uzasadniony interes trzeba rozumieć nie jako interes wynikający z przepisów prawa, lecz jako interes, który jest zgodny z prawem. Owa zgodność z prawem stanowi ograniczenie pojęcia interesu administratora lub strony trzeciej jako potencjalnej podstawy do przetwarzania danych osobowych. W doktrynie przyjmuje się, że wykładnia pojęcia prawnie uzasadnionego interesu powinna być szeroka i obejmować interesy gospodarcze, faktyczne lub prawne (vide D. Lubasz i W. Chomiczewski [w:] E. Bielak-Jomaa [red.], D. Lubasz [red.], RODO. Ogólne rozporządzenie o ochronie danych. Komentarz, WKP 2018 i powołane tam poglądy). Tak rozumiany prawnie uzasadniony interes musi być realizowany przez administratora lub przez stronę trzecią. Może to być interes nie tylko administratora, który przetwarza już dane osobowe, lecz również administratora, któremu dane te mogą dopiero zostać ujawnione. Pojęcie niezbędności oznacza z kolei, iż przetwarzanie danych dla realizacji prawnie uzasadnionego interesu administratora lub strony trzeciej musi być, rozsądnie oceniając, potrzebne, a więc musi występować bezpośredni związek pomiędzy realizacją prawnie uzasadnionego interesu a potrzebą przetwarzania danych osobowych. Do prawnie uzasadnionych interesów administratora danych osobowych prawodawca unijny odwołał się w motywie 47 preambuły RODO, wskazując, że "taki prawnie uzasadniony interes może istnieć na przykład w przypadkach, gdy zachodzi istotny i odpowiedni rodzaj powiązania między osobą, której dane dotyczą, a administratorem, na przykład gdy osoba, której dane dotyczą, jest klientem administratora lub działa na jego rzecz. Aby stwierdzić istnienie prawnie uzasadnionego interesu, należałoby w każdym przypadku przeprowadzić dokładną ocenę, w tym ocenę tego, czy w czasie i w kontekście, w którym zbierane są dane osobowe, osoba, której dane dotyczą, ma rozsądne przesłanki by spodziewać się, że może nastąpić przetwarzanie danych w tym celu". Po pierwsze, chybiony jest pogląd skarżących, iż adres poczty elektronicznej nie zalicza się do danych osobowych, bo nie zawiera imienia i nazwiska czy innych elementów identyfikujących osobę fizyczną, a poza tym jest to adres e-mail sklepu obuwniczego. Otóż właśnie działanie spółki, polegające na pozyskaniu dalszych danych osobowych drogą korespondencji elektronicznej (a także rozmowy telefonicznej), dobitnie świadczy o tym, że adres poczty elektronicznej, podobnie jak nr telefonu, należy to desygnatów pojęcia danych osobowych, jeżeli umożliwia (pozwala w sposób pośredni na) zidentyfikowanie osoby fizycznej (tu: uczestniczki postępowania prowadzącej działalność gospodarczą). Sama spółka w skierowanym do PUODO piśmie z [...] października 2022 r. przyznała, iż po wpisaniu w wyszukiwarce google hasła [...] można łatwo odnaleźć dane identyfikacyjne uczestniczki postępowania: jej imię i nazwisko, adres i nr telefonu, "ponieważ to jest adres firmowy". Podobne stanowisko zostało zaprezentowane w doktrynie: "Jeżeli administrator ma możliwość zidentyfikowania osoby, która korzysta z konta poczty elektronicznej (...) to powinien traktować adres poczty elektronicznej jako dane osobowe. Nie jest przy tym wymagane, aby w adresie e-mail zawarte były informacje w postaci imienia i nazwiska, gdyż sama nazwa użytkownika może mieć charakter fantazyjny, co jednak nie przesądza o braku możliwości identyfikacji użytkownika w sytuacji, gdy administrator posiada inne informacje na jego temat." - vide P. Fajgielski [w:] Komentarz do rozporządzenia nr 2016/679 w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) [w:] Ogólne rozporządzenie o ochronie danych. Ustawa o ochronie danych osobowych. Komentarz, wyd. III, Warszawa 2025, art. 4. Po wtóre, prawidłowo uznał PUODO, że już w momencie pozyskania spornego adresu e-mail spółka powinna była zbadać, czy adres ten identyfikuje osobę dłużnika. Skarżący tego wyraźnie zaniechali, co doprowadziło do przesłania drogą elektroniczną uczestniczce postępowania korespondencji o charakterze egzekucyjnym, która - w kontekście czynności windykacyjnych prowadzonych przez spółkę - była zupełnie przypadkową osobą, niemającą nic wspólnego z dochodzonymi należnościami. To całkowity brak uprzedniej weryfikacji danych osobowych, do których - jak już wzmiankowano - należy adres e-mail, skutkował przekazaniem uczestniczce postępowania wezwań do zapłaty w sprawie, która w ogóle nie dotyczyła jej, lecz innej osoby fizycznej o takim samym imieniu i nazwisku. Sąd w składzie tu orzekającym ze wszech miar aprobuje stanowisko organu, iż to na spółce i funduszach jako na współadministratorach danych spoczywał obowiązek wdrożenia takich mechanizmów identyfikacji, które zagwarantują właściwy proces przetwarzania, w szczególności zapobiegną - jak w rozpatrywanej sprawie - pozyskaniu danych osób trzecich o tożsamych niektórych danych osobowych. To w wyniku zachowania (tak działania, jak i zaniechania) spółki i funduszy doszło do przetwarzania danych osobowych uczestniczki postępowania. Nie sposób więc zaakceptować twierdzenia skarżących, że to ona przyczyniła się do przetwarzania danych, bo nie odpowiadała na korespondencję spółki. Otóż uczestniczka postępowania nie miała obowiązku reagować na wezwania w przedmiocie roszczeń, których adresatem była inna osoba. Zresztą zareagowała, bo [...] sierpnia 2021 r. zadzwoniła do spółki, a pracownik spółki podczas tej rozmowy pozyskał dalsze dane uczestniczki postępowania (oprócz dotychczas przetwarzanego jej adresu e-mail), a mianowicie jej imię i nazwisko, nr PESEL, nr telefonu oraz miejscowość, w której mieszka. Kolejne jej dane osobowe w postaci adresu zameldowania i pełnego adresu zamieszkania spółka pozyskała z adresu e-mail uczestniczki postępowania z [...] maja 2022 r. Nie można też podzielić argumentacji skarżących o potrzebie aktualnego przetwarzania danych w celu zabezpieczenia się przed ewentualnymi roszczeniami. W ocenie Sądu, organ prawidłowo uznał, iż w niniejszej sprawie nie zaistniała żadna z wymienionych w art. 6 ust. 1 RODO przesłanek legalizujących działanie spółki czy funduszów, co uzasadniało podjęte przez PUODO działania naprawcze. Na gruncie przedmiotowej sprawy nie zostały także spełnione przesłanki z art. 106 § 3 p.p.s.a., w myśl którego sąd może z urzędu lub na wniosek stron przeprowadzić dowody uzupełniające z dokumentów, jeżeli jest to niezbędne do wyjaśnienia istotnych wątpliwości i nie spowoduje nadmiernego przedłużenia postępowania w sprawie. Okoliczność kierowania przez uczestniczkę postępowania przedsądowych wezwań do spółki i funduszy została podniesiona dopiero na etapie skargi do sądu administracyjnego, mimo że art. 31 RODO nakłada na administratora danych obowiązek dostarczenia wszelkich informacji, potrzebnych organowi nadzorczemu do realizacji swoich zadań, jak również współpracy z organem i udzielania wyczerpujących wyjaśnień na wezwanie organu. Data ww. wezwań wystosowanych przez uczestniczkę postępowania do spółki i funduszów - [...] września 2024 r., wskazuje, iż uczyniła to po wydaniu korzystnej dla niej decyzji, z której m.in. pozyskała wiedzę, że odszkodowania może dochodzić przed sądem powszechnym, a nie na drodze procedury administracyjnej przed PUODO. Ponadto nie można mówić o "utrwalonej praktyce" organu w zakresie rozpatrywania spraw podmiotów należących do Grupy [...], gdyż każda sprawa jest rozpatrywana przez PUODO indywidualnie; każdy stan faktyczny i prawny weryfikowany jest odrębnie. Nie jest zasadny zarzut naruszenia art. 6 ust. 1 lit. f RODO w związku z art. 117 § 2 i § 2(1), art. 118, art. 119 i art. 442(1) k.c., gdyż skarżący nie wykazali, aby w dacie wydania zaskarżonej decyzji uczestniczka postępowania wystąpiła w stosunku do nich z roszczeniami. Także na rozprawie w dniu 9 lipca 2025 r. pełnomocnik skarżących oświadczyła, iż nie ma wiedzy, by uczestniczka postępowania i skarżące podmioty były uwikłane w jakiekolwiek spory sądowe. Co więcej, z akt sprawy wynika, że skarżących i uczestniczkę postępowania nie łączyła nigdy żadna umowa, żaden stosunek zobowiązaniowy. Tutejszy Sąd nie stwierdził naruszenia tak prawa materialnego, jak i przepisów postępowania. Organ podjął wszelkie niezbędne czynności, konieczne dla wyjaśnienia stanu faktycznego sprawy, a zgromadzony w sprawie materiał dowodowy poddał wszechstronnej ocenie, zgodnie z dyspozycją art. 80 k.p.a. Natomiast uzasadnienie zaskarżonej decyzji odpowiada wymogom art. 107 § 3 k.p.a. Mając na uwadze powyższe, Wojewódzki Sąd Administracyjny w Warszawie, na podstawie art. 151 p.p.s.a., oddalił skargi.