II SA/Wa 2317/20

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Łukasz Krzycki, Sędzia WSA Danuta Kania, Sędzia WSA Tomasz Szmydt (spr.), Protokolant starszy referent Agnieszka Fidor po rozpoznaniu na rozprawie w dniu 26 listopada 2021 r. sprawy ze skargi A. M. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] września 2020 r. nr [...] w przedmiocie przetwarzania danych osobowych 1. uchyla zaskarżoną decyzję; 2. zasądza od Prezesa Urzędu Ochrony Danych Osobowych na rzecz skarżącego A. M. kwotę 697 (słownie: sześćset dziewięćdziesiąt siedem) złotych, tytułem zwrotu kosztów postępowania. A. M. złożył skargę na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] września 2020r., w przedmiocie przetwarzania danych osobowych. Do Urzędu Ochrony Danych Osobowych wpłynęła skarga A. M., na nieprawidłowości w przetwarzaniu jego danych osobowych przez [...] S. A., z siedzibą w [...] przy Placu [...] (dalej: Spółka). Skarżący poinformował, że Spółka przetwarza jego dane bez ważnej podstawy prawnej oraz z naruszeniem obowiązków informacyjnych. Skarżący wskazał także, że Spółka nie udzieliła mu w stosownym terminie odpowiedzi na zgłoszony przez niego sprzeciw wobec przetwarzania jego danych osobowych na podstawie art. 21 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady UE 2016/679 z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych), (Dz. Urz. UE L 119 z 04.05.2016, str. 1 oraz Dz. Urz. L 127 z 23.05.2018, str. 2 ze zm., dalej: rozporządzenie 2016/679) oraz uniemożliwiła mu skorzystanie z przysługującemu mu prawa usunięcia jego danych osobowych zgodnie z art. 17 ust. 1 lit. b i ust. 2 rozporządzenia 2016/679. Skarżący wskazał, że Spółka udostępniła jego dane osobowe na stronie internetowej pod adresem [...] w zakładce "[...]" oraz "[...]". Skarżący oświadczył, że nie pełni żadnej funkcji zarządczej w Spółce. Skarżący wniósł o nakazanie Spółce jako administratorowi danych osobowych usunięcia uchybień w procesie przetwarzania jego danych osobowych poprzez usunięcie jego danych osobowych przetwarzanych bez podstawy prawnej oraz spełnienie wobec niego obowiązku informacyjnego. W toku przeprowadzonego postępowania wyjaśniającego w niniejszej sprawie Prezes Urzędu Ochrony Danych Osobowych (dalej "Prezes UODO") ustalił następujący stan faktyczny: 1. Spółka pozyskała dane osobowe Skarżącego bezpośrednio od niego samego. Spółka przetwarza dane osobowe Skarżącego w zakresie: imię, nazwisko, dane kontaktowe, adres zamieszkania, nr NIP, nr PESEL, dane zawarte w korespondencji prowadzonej przez Skarżącego, dane zawarte w statucie Spółki i innych dokumentach, w szczególności dokumentach korporacyjnych, dane wymagane przez kodeks spółek handlowych, dane zawarte w sprawozdaniach finansowych, fakturach, deklaracjach podatkowych, dane zawarte w ofertach i umowach (dowód: wyjaśnienia Spółki z dnia [...] października 2018 r. wraz z załącznikami); 2. Skarżący jest akcjonariuszem Spółki oraz założycielem Spółki. W łatach 2007-2017 Skarżący był członkiem zarządu Spółki. Spółka przetwarza dane osobowe Skarżącego od momentu jej powstania w 2007 r. (dowód: wyjaśnienia Spółki z dnia [...] października 2018 r. oraz wydruk informacji odpowiadający odpisowi pełnemu z rejestru przedsiębiorców pobrany z Centralnej Informacji Krajowego Rejestru Sądowego dołączony do akt sprawy); 3. Zdaniem Spółki przetwarza ona dane osobowe Skarżącego na podstawie art. 6 ust. 1 lit. b, c i f (dowód; wyjaśnienia Spółki z dnia [...] października 2018 r. wraz z załącznikami); 4. Skarżący pismem z dnia [...] czerwca 2018 r. wystąpił do Spółki z żądaniem usunięcia jego danych osobowych. Żądanie Skarżącego skierowane do Spółki dotyczyło usunięcia jego danych osobowych w pełnym zakresie, w tym w szczególności poprzez usunięcie jego danych osobowych ze strony internetowej [...], za wyjątkiem danych osobowych, które administrator danych przetwarza w zakresie w jakim przetwarzanie jest niezbędne do wywiązania się z prawnego obowiązku wymagającego przetwarzania na mocy prawa Unii lub prawa państwa członkowskiego, któremu podlega administrator lub do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi. Skarżący wniósł jednocześnie sprzeciw wobec przetwarzania jego danych osobowych. Ponadto Skarżący wycofał zgodę na przetwarzanie jego danych osobowych (dowód: wyjaśnienia Spółki z dnia [...] października 2018 r. wraz z załącznikami oraz pismo Skarżącego z dnia [...] lipca 2018 r. wraz z załącznikami); 5. Spółka odnotowała żądanie wniesione przez Skarżącego w prowadzonym rejestrze żądań osób, których dane osobowe dotyczą. Żądanie Skarżącego wpłynęło do Spółki w dniu 3 lipca 2018 r. (dowód: wyjaśnienia Spółki z dnia [...] października 2018 r. wraz z załącznikami); 6. Spółka udzieliła odpowiedzi na pismo Skarżącego z dnia [...] czerwca 2018 r. pismem z dnia [...] sierpnia 2018 r. (dowód: wyjaśnienia Spółki z dnia [...] października 2018 r. wraz z załącznikami); 7. Spółka w piśmie z dnia [...] sierpnia 2018 r. poinformowała Skarżącego, że nie przetwarza danych osobowych Skarżącego na podstawie wyrażonej przez niego zgody. Spółka wskazała mu, że przetwarza dane osobowe Skarżącego na podstawie art. 6 ust. 1 lit b, c i f rozporządzenia 2016/679 (dowód: wyjaśnienia Spółki z dnia [...] października 2018 r. wraz z załącznikami); 8. Z czynności sprawdzających przeprowadzonych w dniu [...] lipca 2020 r. na wskazanej przez Skarżącego w treści skargi stornie internetowej pod adresem [...] wynika, że dane osobowe Skarżącego są udostępnione w zakładce "[...]" w zakresie jego imienia i nazwiska oraz pełnionej funkcji [...] Spółki. Dane osobowe zawarte są w treści sprawozdań finansowych za okres: od [...] stycznia 2014 r. do [...] grudnia 2014 r., od [...] stycznia 2015 r. do [...] grudnia 2015 r., od [...] stycznia 2016 r. do [...] rudnia 2016 r. W toku przeprowadzonych czynności sprawdzających ustalono również, że zakładki "[...]" i "[...]" nie istnieją. Istnieje zakładka "[...]", w której dane osobowe Skarżącego nie są udostępnione, (dowód: notatka służbowa z dnia [...] lipca 2020 r. dołączona do akt sprawy). Prezes Urzędu Ochrony Danych Osobowych przyjął, iż wydając decyzję administracyjną zobowiązany jest do rozstrzygania w oparciu o stan faktyczny istniejący w chwili wydania tej decyzji. Jak podnosi doktryna "organ administracji publicznej ocenia stan faktyczny sprawy według chwili wydania decyzji administracyjnej. Reguła ta odnosi się także do oceny stanu prawnego sprawy, co oznacza, że organ administracji publicznej wydaje decyzję administracyjną na podstawie przepisów prawa obowiązujących w chwili jej wydania (...). Rozstrzyganie w postępowaniu administracyjnym polega na zastosowaniu obowiązującego prawa do ustalonego stanu faktycznego sprawy administracyjnej. W ten sposób organ administracji publicznej realizuje cel postępowania administracyjnego, jakim jest urzeczywistnienie obowiązującej normy prawnej w zakresie stosunków administracyjno-prawnych, gdy stosunki te tego wymagają" (Komentarz do ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego M. Jaśkowska, A. Wróbel, Lex., el/2012). Organ wskazał, iż w obowiązującym od 25 maja 2018 roku rozporządzeniu 2016/679 ustanowiono przepisy o ochronie osób fizycznych w związku z przetwarzaniem danych osobowych oraz przepisy o swobodnym przepływie danych osobowych (art. 1 ust. 1). Przepisem uprawniającym administratora do przetwarzania danych osobowych osób fizycznych jest art. 6 ust. 1 rozporządzenia 2016/679, który legalizuje przetwarzanie danych, gdy spełniona jest co najmniej jedna z enumeratywnie wskazanych w nim przesłanek. Podstawą prawną przetwarzania przez Spółkę danych osobowych Skarżącego jest art. 6 ust. 1 lit b, c i f Na podstawie art. 6 ust. 1 lit b i c przetwarzanie jest zgodne z prawem gdy przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy oraz gdy przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze. Artykuł 306 ustawy z dnia 15 września 2000 r. Kodeks spółek handlowych (Dz.U.2019, poz. 505 t.j.) (dalej jako: Kodeks spółek handlowych) określa przesłanki powstania spółki akcyjnej. Aby spółka akcyjna mogła powstać wymaga się: zawiązania spółki, w tym podpisania statutu przez założycieli, wniesienia przez akcjonariuszy wkładów na pokrycie całego kapitału zakładowego, ustanowienia jej zarządu i rady nadzorczej oraz wpisu Spółki do Krajowego Rejestru Sądowego. Na podstawie art. 304 Kodeksu spółek handlowych statut spółki akcyjnej powinien określać m.in. nazwiska i imiona albo firmy (nazwy) założycieli. Artykuł 313 Kodeksu spółek handlowych określa warunki zawiązania spółki akcyjnej i jej statut. Zgoda na zawiązanie spółki akcyjnej i brzmienie statutu oraz na objęcie akcji przez jedynego założyciela albo założycieli lub łącznie z osobami trzecimi powinna być wyrażona w jednym lub kilku aktach notarialnych (§ 1). W aktach, o których mowa w § 1, należy wymienić w szczególności osoby obejmujące akcje, liczbę i rodzaj akcji objętych przez każdą z nich, wartość nominalną i cenę emisyjną akcji oraz terminy wpłat (§ 2). Ponadto podkreślić należy, że art. 318 Kodeksu spółek handlowych określa elementy zgłoszenia spółki akcyjnej do sądu. Zgłoszenie spółki akcyjnej do sądu rejestrowego powinno zawierać nazwiska i imiona członków zarządu oraz sposób reprezentowania spółki. Skarżący w latach 2007 r. - 2017 r, był [...] Spółki, co wynika wprost z wydruku informacji odpowiadającej odpisowi pełnemu z rejestru przedsiębiorców pobranej z Centralnej Informacji Krajowego Rejestru Sądowego dołączonej do akt sprawy. Skarżący był jednym z [...] a także pełnił funkcję [...] Spółki w latach 2007 r. - 2017 r. Obecnie pozostaje jej [...]. Spółka przetwarza dane osobowe Skarżącego od dnia jej powstania w celu wykonania postanowień statutu Spółki i z tym związanego wypełnienia obowiązku prawnego ciążącego na Spółce jako administratorze danych wypełniając przesłanki legalności przetwarzania danych osobowych, o których mowa w art. 6 ust. 1 lit b i c rozporządzenia 2016/679. Jednocześnie organ wskazał, że Spółka przetwarza dane osobowe Skarżącego na podstawie art. 6 ust. 1 lit. f w myśl, którego jest ono zgodne z prawem gdy jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora. Zgodnie z art. 6 ust. 1 lit. f Spółki przetwarza dane osobowe Skarżącego w celach związanych z zawarciem i realizacją umów zawartych z kontrahentami i klientami Spółki, gdy Skarżący Spółkę reprezentował. Organ wskazał, iż Skarżący pismem z dnia [...] czerwca 2018 r. wystąpił do Spółki z wnioskiem o usunięcie jego danych osobowych. Żądanie Skarżącego skierowane do Spółki dotyczyło usunięcia jego danych osobowych w pełnym zakresie, w tym w szczególności poprzez usunięcie jego danych osobowych ze strony internetowej [...] z wyjątkiem danych osobowych, które administrator danych przetwarza w zakresie w jakim przetwarzanie jest niezbędne do wywiązania się z prawnego obowiązku wymagającego przetwarzania na mocy prawa Unii lub prawa państwa członkowskiego, któremu podlega administrator lub do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi. nazwiska i imiona albo firmy (nazwy) założycieli. Artykuł 313 Kodeksu spółek handlowych określa warunki zawiązania spółki akcyjnej i jej statut. Zgoda na zawiązanie spółki akcyjnej i brzmienie statutu oraz na objęcie akcji przez jedynego założyciela albo założycieli lub łącznie z osobami trzecimi powinna być wyrażona w jednym lub kilku aktach notarialnych (§ 1). W aktach, o których mowa w § 1, należy wymienić w szczególności osoby obejmujące akcje, liczbę i rodzaj akcji objętych przez każdą z nich, wartość nominalną i cenę emisyjną akcji oraz terminy wpłat (§ 2). Ponadto, art. 318 Kodeksu spółek handlowych określa elementy zgłoszenia spółki akcyjnej do sądu. Zgłoszenie spółki akcyjnej do sądu rejestrowego powinno zawierać nazwiska i imiona członków zarządu oraz sposób reprezentowania spółki. Skarżący w latach 2007 r. - 2017 r, był członkiem zarządu Spółki, co wynika wprost z wydruku informacji odpowiadającej odpisowi pełnemu z rejestru przedsiębiorców pobranej z Centralnej Informacji Krajowego Rejestru Sądowego dołączonej do akt sprawy. Skarżący był jednym z [...] a także pełnił funkcję [...] Spółki w latach 2007 r. - 2017 r. Obecnie pozostaje jej [...]. Spółka przetwarza dane osobowe Skarżącego od dnia jej powstania w celu wykonania postanowień statutu Spółki i z tym związanego wypełnienia obowiązku prawnego ciążącego na Spółce jako administratorze danych wypełniając przesłanki legalności przetwarzania danych osobowych, o których mowa w art. 6 ust. 1 lit b i c rozporządzenia 2016/679. Jednocześnie Organ wskazał, iż Spółka przetwarza dane osobowe Skarżącego na podstawie art. 6 ust. 1 lit. f w myśl, którego jest ono zgodne z prawem gdy jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora. Zgodnie z art. 6 ust. 1 lit. f Spółki przetwarza dane osobowe Skarżącego w celach związanych z zawarciem i realizacją umów zawartych z kontrahentami i klientami Spółki, gdy Skarżący Spółkę reprezentował. Skarżący pismem z dnia [...] czerwca 2018 r. wystąpił do Spółki z wnioskiem o usuniecie jego danych osobowych. Żądanie Skarżącego skierowane do Spółki dotyczyło usunięcia jego danych osobowych w pełnym zakresie, w tym w szczególności poprzez usunięcie jego danych osobowych ze strony internetowej [...] z wyjątkiem danych osobowych, które administrator danych przetwarza w zakresie w jakim przetwarzanie jest niezbędne do wywiązania się z prawnego obowiązku wymagającego przetwarzania na mocy prawa Unii lub prawa państwa członkowskiego, któremu podlega administrator lub do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi. Administrator, w tym przypadku Spółka, zgodnie z art. 12 ust. 3 rozporządzenia 2016/679 powinien udzielić osobie, której dane dotyczą bez zbędnej zwłoki a w każdym razie w terminie miesiąca od otrzymania żądania, informacji o działaniach podjętych w związku z żądaniem na podstawie art. 15-22. Spółka udzieliła odpowiedzi na pismo Skarżącego z dnia [...] lipca 2018 r. pismem z dnia [...] sierpnia 2018 r. z zachowaniem terminu określonego w art. 12 ust. 3 rozporządzenia2016/679. W zakresie żądania Skarżącego dotyczącego cofnięcia wyrażonej przez niego zgody na przetwarzanie jego danych osobowych Spółka wskazała niemożność usunięcia jego danych osobowych ze względu na obowiązek realizacji-przepisów prawa. Podstawą przetwarzania oraz udostępnienia danych osobowych Skarżącego zawartych w ww. sprawozdaniach finansowych Spółki za lata 2014 - 2016 jest wykonanie przez Spółkę obowiązku prawnego ciążącego na Spółce wynikającego z ustawy z dnia 29 lipca 2005 r. o obrocie instrumentami finansowymi (Dz. U. z 2020 r. poz. 89 t.j.) (dalej jako: ustawa o obrocie instrumentami finansowymi). Zgodnie z art. 110w § 5 ustawy o obrocie instrumentami finansowymi dom maklerski prowadzący stronę internetową ogłasza na niej informacje zawarte w sprawozdaniu z działalności jednostki, o którym mowa w ustawie z dnia 29 września 1994 r. o rachunkowości (Dz.U. z 2019, poz. 351). Spółka oświadczyła także, że na wniosek Skarżącego ograniczyła przetwarzanie jego danych osobowych na podstawie art. 6 ust. 1 lit. f do celów związanych z realizacją umów zawartych z klientami Spółki a także wypełniła obowiązki związane z postanowieniami ustawy o rachunkowości, tj. jej art. 73 i 74. Przepisy te określają okresy przechowywania dowodów księgowych i sprawozdań finansowych. Odnosząc się do żądania Skarżącego dotyczącego nakazania Spółce spełnienia wobec Skarżącego obowiązku informacyjnego wynikającego z rozporządzenia 2016/679 organ w toku niniejszego postępowania ustalił, że Spółka pozyskała dane osobowe Skarżącego od niego samego. Skarżący w latach 2007-2017 r. był [...] Spółki tj. organu prowadzącego sprawy Spółki i reprezentującego Spółkę. Członkowie zarządu są obowiązani i uprawnieni do wspólnego prowadzenia spraw spółki. Przez prowadzenie spraw spółki rozumie się podejmowanie wszystkich czynności związanych z funkcjonowaniem spółki, które nie są jej oświadczeniami woli wobec osób trzecich. Jeżeli brak w tym względzie odmiennej regulacji statutowej, do prowadzenia spraw spółki uprawnieni i zobowiązani są wszyscy członkowie zarządu. Zarząd Spółki prowadząc sprawy Spółki ustala m.in. cele i sposoby przetwarzania danych osobowych a więc pełni funkcję administratora danych. Zgodnie z art. 13 rozporządzenia 2016/679 administrator podczas pozyskiwania danych osobowych od osoby, której dane dotyczą zobowiązany jest wypełnić wobec tej osoby obowiązek informacyjny. Administrator zobowiązany jest podać takiej osobie informacje określone w art. 13 ust. 1, 2 i 3. Przepis ten nie ma zastosowania gdy - i w zakresie, w jakim - osoba, której dane dotyczą, dysponuje już tymi informacjami. Materiał dowodowy zebrany w sprawie wykazał, że art, 13 ust. 4 rozporządzenia 2016/679 ma zastosowanie w niniejszej sprawie gdyż Skarżący posiadał informacje o przetwarzaniu jego danych osobowych przez Spółkę zwłaszcza, że był jej [...] i [...]. Podsumowując, na podstawie zebranego w sprawie materiału dowodowego, Organ stwierdził, że nie potwierdza on zarzutów podniesionych w skardze. A. M. złożył skargę na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] września 2020r., w przedmiocie przetwarzania danych osobowych. Na podstawie art. 57 § 1 pkt 3 ppsa, zaskarżonej Decyzji zarzucał: 1. naruszenie przepisów postępowania, które miało wpływ na wynik sprawy, tj. naruszenie art. 7 Ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego ( dalej "kpa") w zw. z art. 77 § 1 KPA, w zw. z art. 80 KPA w zw. z art. 107 § 3 KPA, polegające na nieprawidłowym przeprowadzeniu postępowania dowodowego w sprawie i niepodjęciu czynności niezbędnych do wyjaśnienia sprawy, to jest: a) nieustaleniu, do kiedy spółka pod firmą [...] S.A. z siedzibą w [...], ul. pl. [...],[...] ([...]); KRS: [...]; NIP: [...]; REGON: [...] ("Spółka"); (informacja odpowiadającaodpisowi pełnemu z rejestru przedsiębiorców KRS w załączeniu); (zał. nr 2) miała prawo przetwarzać dane osobowe Skarżącego i do kiedy faktycznie te dane przetwarzała; b) nieuwzględnieniu wycofania zgody na przetwarzanie danych Skarżącego; c) nieuwzględnieniu wystąpienia Skarżącego z zarządu Spółki; d) braku wzięcia pod uwagę, że Statut spółki nie wymagał przetwarzania danych osobowych poprzez publikację ich na stronie, dodatkowo w sposób wprowadzający w błąd potencjalnych kontrahentów, co spowodowane było oczywiście błędnym przyjęciem, że Organ zobowiązany jest badać stan sprawy na punktowo wyznaczony dzień zamknięcia rozprawy, nie zaś do dnia zamknięcia rozprawy, co spowodowało zaniechanie badania stanu na dzień powstania naruszenia, a w konsekwencji nieprawidłowego uznania, że zebrany materiał dowodowy w sprawie wykazał, że art. 13 ust. 4 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r, w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych), ("Dyrektywa 2016/679 bądź "RODO") ma zastosowanie w niniejszej sprawie, gdyż Skarżący posiadał informacje o przetwarzaniu jego danych osobowych przez Spółkę i wyrażał na to zgodę, podczas gdy w momencie wniesienia skargi do Organu: a) Skarżący skutecznie wycofał zgodę na przetwarzanie danych osobowych; b) Skarżący nie był już członkiem zarządu Spółki, co w efekcie skutkowało brakiem podstaw prawnych do podawania do publicznej wiadomości informacji, o których mowa w art. 13 ust 1 Dyrektywy 2016/679; c) statut Spółki nie wymagał przetwarzania danych osobowych poprzez publikację ich na stronie, dodatkowo w sposób wprowadzający w błąd obecnych i potencjalnych kontrahentów Spółki. 2. naruszenie przepisów postępowania, które miało istotny wpływ na wynik sprawy, tj. naruszenie art. 12 § 1 kpa polegające na braku wnikliwego i szybkiego rozpoznania sprawy przez Organ, bowiem od wniesienia skargi na niezgodne z prawem przetwarzanie danych osobowych przez Spółkę ("Skarga") to jest 18 lipca 2018 r, do momentu wydania decyzji, to jest [...] września 2020 r., minęły ponad dwa lata, ponadto pierwsze czynności w przedmiotowej sprawie zostały podjęte do 27 lipca 2020 r. co doprowadziło do zmiany stanu faktycznego w sprawie oraz długotrwałego utrzymywania stanu, w którym Spółka przetwarzała dane osobowe Skarżącego bez podstawy prawnej, podczas gdy ze względu na rodzaj i charakter naruszeń opisanych poniżej. Organ powinien rozpoznać sprawę możliwie szybko, bez zbędnej zwłoki oraz bez uszczerbku na wynik postępowania, zaś tak długa bezczynność doprowadziła Organ do oczywiście nietrafnych ustaleń faktycznych w sprawie, a w konsekwencji do nieprawidłowego zastosowania przepisów prawa materialnego odnoszących się do ochrony danych osobowych; Błędne zastosowanie przepisów prawa procesowego doprowadziło w konsekwencji do: 3. naruszenia przepisów prawa materialnego, tj. 7 ust. 3 Dyrektywy 2016/679, w zw. z art. 17 ust 1 pkt b Dyrektywy 2016/679, w zw. z art. 61 § 1 Ustawy z dnia 23 kwietnia 1964 r. Kodeks cywilny ("KC") w zw. z art. 65 § 1 KC, polegającego na jego niezastosowaniu, co wynikało z błędnego przyjęcia, że skuteczność wycofania zgody na przetwarzanie danych osobowych należy oceniać na stan z chwili wydania decyzji, podczas gdy oświadczenie o wycofaniu zgody na przetwarzanie danych osobowych wywołuje skutki od momentu skutecznego złożenia oświadczenia woli, co stanowi rażące naruszenie prawa, o którym mowa w art. 156 § 1 pkt 2 k.p.a.; 4. naruszenie przepisów prawa materialnego, tj. art. 6 ust. 1 lit. b, c, f Dyrektywy 2016/679 polegające na błędnym jego zastosowaniu, co doprowadziło do uznania przez Organ, że przetwarzanie danych osobowych Skarżącego przez Spółkę jest zgodne z prawem i spełnia warunki wskazane w wyżej powołanym przepisie, to jest: przetwarzanie jest niezbędne do wykonania umowy, pełnienia obowiązków prawnych ciążących na Spółce oraz przetwarzanie wynika z prawnie uzasadnionych interesów realizowanych przez Spółkę, podczas gdy umowa spółki, na którą powołuje się Organ, nie wymaga przetwarzania danych osobowych członka zarządu poprzez publikację ich na stronie internetowej Spółki, dodatkowo zaś od momentu w którym Skarżący przestał pełnić funkcję członka zarządu w Spółce nie miała ona prawnych podstaw do takich czynności; 5. naruszenie przepisów prawa materialnego, tj. art. 58 ust. 2 lit. od "a" do lit "j" Dyrektywy 2016/679 polegające na niezastosowaniu, co doprowadziło do nieskorzystania przez Organ z uprawnień naprawczych, szczegółowo wskazanych w wyżej wymienionych przepisach względem Spółki, podczas gdy naruszenia przepisów o których mowa powyżej, obligują Organ do zastosowania uprawnień naprawczych, o których mowa powyżej. Powołując się na wskazane powyżej zarzuty Skarżący: 1. na podstawie art. 145 § 1 pkt 2 ppsa w zw. z art. 156 § 1 pkt 2 wnosił o stwierdzenie nieważności Decyzji Organu; 2. w przypadku nieuznania przez Sąd zarzutu nieważności Decyzji Organu, na podstawie art. 145 § 1 pkt 1 lit a i c ppsa, wnosił o uchylenie Decyzji Organu w całości. Skarżący podnosił, iż postępowanie było prowadzone przez Organ niemal przez dwa lata. W międzyczasie stan faktyczny sprawy zmieniał się kilkukrotnie, a Skarżący pozostawał bez ochrony, jakiej winien mu udzielić Organ prawidłowo aplikujący przepisy RODO. Lakoniczne stwierdzenie, że po dwóch latach od wniesienia skargi Organ nie stwierdził naruszeń, przez co zaprzestał dalszych czynności dowodowych w sprawie, a w konsekwencji uznał, iż do żadnego naruszenia nie doszło, skoro nie miało ono miejsca w dacie podjęcia działań sprawdzających przez Prezesa UODO stanowi rażące naruszenie podstawowych zasad Kodeksu postępowania administracyjnego, w szczególności odnoszących się do obowiązku kompleksowego i szczegółowego ustalenia i wyjaśnienia w uzasadnieniu decyzji stanu faktycznego sprawy, co w konsekwencji spowodowało szereg błędów w zakresie aplikacji prawa materialnego z zakresu ochrony danych osobowych. Ponadto przez zwłokę, o której mowa powyżej, organ nie tylko nie udzielił ochrony, ale wobec niezasadnego przyjęcia, że wiąże go tylko stan w dniu zamknięcia postępowania, nie zaś stan zaistniały do tego dnia, dopuścił się błędnej oceny materiału dowodowego, polegającej na przyjęciu, że skuteczność wycofania zgody na przetwarzanie danych osobowych należy oceniać na stan z chwili wydania decyzji, a nie z chwili naruszenia zasad przetwarzania danych osobowych. Skarżący wskazuje, że w związku z brakiem ochrony jego danych osobowych doznał uszczerbku w zakresie jego funkcjonowania w środowisku zawodowym. Wprowadzające w błąd informacje publikowane przez Spółkę na jej stronach, które widniały tam na długo po zakończeniu przez Skarżącego pełnienia funkcji [...] Spółki, wywoływały u klientów lub współpracowników Skarżącego konsternację, godząc tym samym w pozycję Skarżącego jako profesjonalisty i utrudniając mu prowadzenie działalności zawodowej. Wskazać należy, że w konsekwencji nieprawidłowej analizy stanu faktycznego, wobec wadliwego zastosowania przepisów prawa procesowego (polegającego na uznaniu, iż Organ zobowiązany jest badać stan sprawy na punktowo ustalony dzień zamknięcia rozprawy, a nie do tego dnia, co skutkowało, że Organ nie dokonał jakichkolwiek ustaleń nadzień powstania naruszenia), doszło do błędnego zastosowania przepisów prawa materialnego. Wskutek tego Skarżący nie otrzymał ochrony, jaką przepisy prawa przyznają mu w zakresie ochrony jego danych osobowych. Artykuł 7 ust 3 Dyrektywy 2016/679 stanowi o prawie do wycofania udzielonej wcześniej zgody. Uprawnienie to wynika z istoty i charakteru prawnego zgody, ponieważ prawo do ochrony danych osobowych jest prawem o charakterze osobistym, ściśle związanym z osobą, której przysługuje. Wymogiem dotyczącym zgody jest nałożony na administratorów obowiązek zapewnienia osobie, której dane dotyczą, możliwości wycofania zgody w sposób równie łatwy jak jej wyrażenie. Ponadto, administrator ma obowiązek, poinformowania osoby, której dane dotyczą, o prawie do wycofania zgody, zanim ją wyrazi. Wymóg taki został wprowadzony, aby zwiększyć świadomość osób, których dane dotyczą, co do przysługujących im uprawnień związanych z ochroną danych. Skarżący wskazywał, iż nie został poinformowany o możliwości cofnięcia wcześniej udzielonej zgody. Fakt ten nie został wzięty pod uwagę przy ocenie materiału dowodowego przez Organ. Co więcej. Organ błędnie przyjął, że skuteczność wycofania zgody na przetwarzanie danych osobowych należy oceniać na stan z chwili wydania decyzji, podczas gdy, jak stanowi art. 7 ust 3 Dyrektywy 2016/679 oświadczenie o wycofaniu zgody na przetwarzanie danych osobowych wywołuje skutki od momentu skutecznego złożenia oświadczenia woli. Organ dokonał czynności służbowych dopiero 27 lipca 2020 r., podczas gdy Skarżący wycofał zgodę na przetwarzanie danych [...] czerwca 2018 r. Po tak długim czasie oczekiwania na jakąkolwiek reakcję ze strony organu (ponad dwa lata), istotnie zmienił się stan faktyczny. W związku z tym organ powinien dokonywać oceny stanu faktycznego na moment złożenia przez Skarżącego oświadczenia o wycofaniu zgody na przetwarzanie danych osobowych, a nie w momencie kiedy niemal po dwuletniej zwłoce organ przystąpił do dokonywania czynności. Prezes Urzędu Ochrony Danych Osobowych wnosił o oddalenie skargi w całości. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: Zgodnie z art. 1 § 1 i 2 ustawy z dnia 25 lipca 2002 r. - Prawo o ustroju sądów administracyjnych (Dz. U. Nr 153, poz. 1269 ze zm.), sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej, sprawowaną pod względem zgodności z prawem, jeżeli ustawy nie stanowią inaczej. Na podstawie art. 134 § 1 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. 2019r., poz.2325, zwanej dalej p.p.s.a.) Sąd przy rozstrzyganiu sprawy nie jest związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną. Sąd administracyjny, stosownie do art. 133 § 1 p.p.s.a. orzeka na podstawie akt sprawy. Oznacza to, że Sąd rozpoznaje sprawę na podstawie stanu faktycznego i prawnego istniejącego w dniu wydania kontrolowanej decyzji, na podstawie materiału dowodowego zgromadzonego przez organ administracji publicznej w toku całego postępowania administracyjnego. Warto też wyjaśnić, że Sąd administracyjny w postępowaniu sądowo-administracyjnym nie ustala stanu faktycznego sprawy, lecz bada czy w trakcie postępowania administracyjnego ujawniono wszelkie istotne okoliczności i czy były one uwzględnione przy wydawaniu decyzji i w jaki sposób zostały ocenione zebrane w sprawie dowody. Skarga rozpoznawana w oparciu o powyższe kryteria zasługiwała na uwzględnienie. Prezes Urzędu Ochrony Danych Osobowych wskazał, iż wydając decyzję administracyjną zobowiązany jest do rozstrzygania w oparciu o stan faktyczny istniejący w chwili wydania tej decyzji. Przytoczył, iż zgodnie z doktryną "organ administracji publicznej ocenia stan faktyczny sprawy według chwili wydania decyzji administracyjnej. Reguła ta odnosi się także do oceny stanu prawnego sprawy, co oznacza, że organ administracji publicznej wydaje decyzję administracyjną na podstawie przepisów prawa obowiązujących w chwili jej wydania (...). Rozstrzyganie w postępowaniu administracyjnym polega na zastosowaniu obowiązującego prawa do ustalonego stanu faktycznego sprawy administracyjnej. W ten sposób organ administracji publicznej realizuje cel postępowania administracyjnego, jakim jest urzeczywistnienie obowiązującej normy prawnej w zakresie stosunków administracyjno-prawnych, gdy stosunki te tego wymagają" (Komentarz do ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego M. Jaśkowska, A. Wróbel, Lex., el/2012). Skarżący pismem z dnia [...] czerwca 2018 r. wystąpił do Spółki z wnioskiem o usunięcie jego danych osobowych. Żądanie Skarżącego skierowane do Spółki dotyczyło usunięcia jego danych osobowych w pełnym zakresie, w tym w szczególności poprzez usunięcie jego danych osobowych ze strony internetowej [...] z wyjątkiem danych osobowych, które administrator danych przetwarza w zakresie w jakim przetwarzanie jest niezbędne do wywiązania się z prawnego obowiązku wymagającego przetwarzania na mocy prawa Unii lub prawa państwa członkowskiego, któremu podlega administrator lub do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi. Spółka wskazała, że na wniosek Skarżącego zostały usunięte jego dane osobowe udostępnione na stronie internetowej pod adresem [...] w zakładce "[...]". Dane osobowe Skarżącego udostępnione są na stronie internetowej pod adresem [...] w zakładce "[...]" w zakresie jego imienia i nazwiska oraz pełnionej funkcji [...] Spółki zawarte w treści sprawozdań finansowych za okres: od [...] stycznia 2014 r, do [...] grudnia 2014 r., od [...] stycznia 2015 r. do [...] grudnia 2015 r., od [...] stycznia 2016 r. do [...] grudnia 2016 r. Powyższe ustalenia są w zasadzie bezsporne. Organ przyjął jednak błędne założenie, iż jest zobowiązany do badania i oceny zgodności z prawem stanu faktycznego z dnia wydania decyzji. Należy w tym miejscu przypomnieć, iż wniosek został skierowany do organu pismem z dnia [...] czerwca 2018r. a decyzja w sprawie została wydana w dniu [...] września 2020r. Przyjmując wykładnię proponowaną przez Organ, należałoby przyjąć, iż ochrona przewidziana w cytowanych przepisach ma w znacznej mierze charakter czysto iluzoryczny. Podmiot dokonujący naruszeń w zakresie przepisów rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1), zwanego dalej "rozporządzeniem 2016/679", zaprzestając tych naruszeń przed datą wydania decyzji uniknąłby konsekwencji z tego wynikających. Nie taki był jednak zamysł, wynikający z konstrukcji wskazanych regulacji. Zgodnie z artykułem 83 rozporządzenia 2016/679: 1. Każdy organ nadzorczy zapewnia, by stosowane na mocy niniejszego artykułu za naruszenia niniejszego rozporządzenia administracyjne kary pieniężne, o których mowa w ust. 4, 5 i 6, były w każdym indywidualnym przypadku skuteczne, proporcjonalne i odstraszające. 2. Administracyjne kary pieniężne nakłada się, zależnie od okoliczności każdego indywidualnego przypadku, oprócz lub zamiast środków, o których mowa w art. 58 ust. 2 lit. a)-h) oraz j). Decydując, czy nałożyć administracyjną karę pieniężną, oraz ustalając jej wysokość, zwraca się w każdym indywidualnym przypadku należytą uwagę na: a) charakter, wagę i czas trwania naruszenia przy uwzględnieniu charakteru, zakresu lub celu danego przetwarzania, liczby poszkodowanych osób, których dane dotyczą, oraz rozmiaru poniesionej przez nie szkody; b) umyślny lub nieumyślny charakter naruszenia; c) działania podjęte przez administratora lub podmiot przetwarzający w celu zminimalizowania szkody poniesionej przez osoby, których dane dotyczą; d) stopień odpowiedzialności administratora lub podmiotu przetwarzającego z uwzględnieniem środków technicznych i organizacyjnych wdrożonych przez nich na mocy art. 25 i 32; e) wszelkie stosowne wcześniejsze naruszenia ze strony administratora lub podmiotu przetwarzającego; f) stopień współpracy z organem nadzorczym w celu usunięcia naruszenia oraz złagodzenia jego ewentualnych negatywnych skutków; g) kategorie danych osobowych, których dotyczyło naruszenie; h) sposób, w jaki organ nadzorczy dowiedział się o naruszeniu, w szczególności, czy i w jakim zakresie administrator lub podmiot przetwarzający zgłosili naruszenie; i) jeżeli wobec administratora lub podmiotu przetwarzającego, których sprawa dotyczy, zostały wcześniej zastosowane w tej samej sprawie środki, o których mowa w art. 58 ust. 2 - przestrzeganie tych środków; j) stosowanie zatwierdzonych kodeksów postępowania na mocy art. 40 lub zatwierdzonych mechanizmów certyfikacji na mocy art. 42; oraz k) wszelkie inne obciążające lub łagodzące czynniki mające zastosowanie do okoliczności sprawy, takie jak osiągnięte bezpośrednio lub pośrednio w związku z naruszeniem korzyści finansowe lub uniknięte straty. Należy przy tym szczególną uwagę zwrócić na dyspozycję art. 58 ust. 2, pkt a), c) i e) rozporządzenia 2016/679. Artykuł 58 ust. 2 pkt a) rozporządzenia wskazuje na potrzebę oceny czasu trwania naruszenia, kolejno art. 58 ust. 2 pkt c), nakazuje wziąć pod rozwagę działania podjęte w celu zminimalizowania szkody. Natomiast art. 58 ust. 2 pkt e) wszelkie wcześniejsze naruszenia ze strony administratora lub pomiotu przetwarzającego. Konstrukcja przepisu wyraźnie zatem wskazuje, iż organ nadzoru (Prezes UODO) ma obowiązek ocenić zdarzenie lub ciąg zdarzeń od dnia złożenia wniosku do dnia wydania decyzji. Przyjęcie innej wykładni powyższy zapis pozbawiałoby logiki i ograniczało w sposób istotny czynności naprawczo/kontrolne Organu. Organ w przedmiotowym postępowaniu naruszył podstawowe zasady wynikające z rozporządzenia 2016/679 ograniczając zakres rozpoznania sprawy do oceny stany faktycznego jedynie z daty wydania decyzji. Ochrona osób fizycznych w związku z przetwarzaniem danych osobowych jest jednym z praw podstawowych. Art. 8 ust. 1 Karty praw podstawowych Unii Europejskiej (zwanej dalej "Kartą praw podstawowych") oraz art. 16 ust. 1 Traktatu o funkcjonowaniu Unii Europejskiej (TFUE) stanowią, że każda osoba ma prawo do ochrony danych osobowych jej dotyczących. Ochrona o której mowa wyżej aby była pełna musi obejmować cały okres, od daty złożenia wniosku do daty wydania decyzji przez organ. Organ nie zbadał zatem sprawy w zakresie w jakim był do tego zobowiązany, co skutkowało uchyleniem zaskarżonej decyzji. Z uwagi na powyższe uchybienie, skutkujące wadliwością całego postępowania ocena pozostałych zarzutów skargi, jawi się jako przedwczesna. Przy ponownym, rozpoznaniu sprawy organ będzie zobowiązany do zastosowania wykładni przepisów wskazanej przez sąd (art. 153 ppsa). Mając na uwadze powyższe orzeczono jak w sentencji na podstawie art. 145 § 1 pkt 1 lit. a i c p.p.s.a. i art. 135 p.p.s.a. O kosztach orzeczono na podstawie art. 200 p.p.s.a. w zw. z art. 205 § 2 p.ps.a., zasądzając na rzecz skarżącego zwrot uiszczonego przez wpisu od skargi 200 zł, wynagrodzenie adwokata 480 zł i opłatę od pełnomocnictwa 17 zł.