II SA/Wa 309/24

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Ewa Radziszewska-Krupa (spr.), Sędzia WSA Iwona Maciejuk, Asesor WSA Dorota Kozub-Marciniak, po rozpoznaniu w trybie uproszczonym w dniu 5 września 2024r. sprawy ze skargi [...] Niestandaryzowanego Funduszu Inwestycyjnego [...] z siedzibą w [...] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] grudnia 2023 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę I. Stan sprawy przedstawia się następująco: 1. Prezes Urzędu Ochrony Danych Osobowych (zwany dalej "Prezesem UODO") decyzją z [...] grudnia 2023r. nr [...] - po przeprowadzeniu postępowania administracyjnego w sprawie skargi M. N. i C. K. (zwani dalej "Uczestnikami" albo "Rodzeństwem") na nieprawidłowości w procesie przetwarzania ich danych osobowych przez [...] Fundusz [...], reprezentowany przez [...] Towarzystwo Funduszy Inwestycyjnych S. A. z siedzibą w [...] (zwany dalej "Funduszem"), polegające na przetwarzaniu danych osobowych bez podstawy prawnej - udzielił Funduszowi upomnienia za przetwarzanie danych osobowych Uczestników, w celu dochodzenia wierzytelności w okresie od 16 października 2018 r. do kwietnia 2019r., bez podstawy prawnej. W podstawie prawnej decyzji powołano m.in. art. 104 § 1 ustawy z 14 czerwca 1960r. Kodeks postępowania administracyjnego (Dz.U. z 2023r. poz. 775 ze zm.; zwana dalej "k.p.a."), art. 7 ust. 1 i 2 ustawy z 10 maja 2018r. o ochronie danych osobowych (Dz.U. z 2019 r. poz. 1781), art. 6 ust. 1 i art. 58 ust. 2 lit. b rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz.Urz. UE L 119 z 4.05.2016, str. 1, Dz.Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz.Urz. UE L 74 z 4.03.2021, str. 35; zwane dalej "RODO"). W uzasadnieniu ww. decyzji wskazano m.in., że do UODO wpłynęła skarga ww. Uczestników na nieprawidłowości w procesie przetwarzania Ich danych osobowych przez Fundusz, polegające na przetwarzaniu danych osobowych bez podstawy prawnej. Prezes UODO ustalił, że: Uczestnicy wskazali w skardze, że Fundusz dochodzi od nich spłaty wierzytelności należnych od S. K. (zwany dalej "Dłużnikiem" lub "Bratem"), będącego dłużnikiem Funduszu i stosuje wobec nich działania zastraszające - przez wysyłanie niechcianej korespondencji, smsów, nawiązywanie połączeń telefonicznych, wzywających ich do zapłaty. Fundusz bezpodstawnie uznał Ich za spadkobierców Dłużnika, który był ich bratem. Nie przeprowadzono postępowania spadkowego. Uczestnicy pismem z 26 listopada 2018r. wnieśli sprzeciw wobec przetwarzania Ich danych osobowych. Fundusz nie uwzględnił sprzeciwu, wobec tego wnieśli skargę do Prezesa UODO na nieuprawnione przetwarzanie ich danych osobowych przez Fundusz. Fundusz w złożonych wyjaśnieniach wskazał, że Kancelaria Prawna [...]. k. z siedzibą w [...] (zwana dalej Kancelarią) na mocy umowy zlecenia z [...] marca 2019r. zarządza całością portfela inwestycyjnego Funduszu i sekurytyzowanymi wierzytelnościami przysługującymi Funduszowi. W § 13 umowy uregulowano kwestie dotyczące przetwarzania danych osobowych, które Fundusz powierzył do przetwarzania Kancelarii. Kancelaria prowadzi i koordynuje działania windykacyjne w zakresie sekurytyzowanych wierzytelności Funduszu przez działających w jej ramach pełnomocników. Na tej podstawie Kancelaria dochodziła zwrotu wierzytelności wynikającej z umowy z [...] lipca 2008r. nr [...] o preferencyjną linię pożyczkową, zawartej przez Dłużnika ze Spółdzielczą Kasą Oszczędnościowo-Kredytową im. [...] w [...] (zwana dalej "SKOK"). Fundusz nabył ww. wierzytelność na mocy umowy przelewu wierzytelności z [...] listopada 2017r., zmienionej aneksem z [...] stycznia 2018r. Fundusz wskazał, że dane osobowe Uczestników (imiona, nazwiska, adresu zameldowania, daty zameldowania, informacje na temat stopnia pokrewieństwa ze zmarłym) pozyskał [...] października 2018r., na podstawie informacji z Centrum Personalizacji Dokumentów MSWiA Wydziału [....] o osobach należących do kręgu spadkobierców ustawowych po Dłużniku. Po uzyskaniu tych danych Fundusz skierował do Uczestników - jako potencjalnych spadkobierców Dłużnika - pisma z informacją o zmianie wierzyciela z 9 listopada 2018r. i przedsądowe wezwania do zapłaty z 29 listopada 2018r. Fundusz podniósł, że pozyskał również informację z Sądu Rejonowego w [...], że Uczestnicy do 9 stycznia 2017r. nie złożyli oświadczeń sądowych. Skoro dłużnik zmarł [...] listopada 2014r., to upłynął termin wynikający z przepisów ustawy z 23 kwietnia 1964r. - Kodeks cywilny (Dz.U. 2022 poz. 1360, zwany dalej "k.c.") do złożenia oświadczeń o przyjęciu lub odrzuceniu spadku. Fundusz w związku z tym uznał, że Uczestnicy nabyli spadek wprost, jako rodzeństwo zmarłego Dłużnika, gdyż dziedziczą w zbiegu z małżonkiem zmarłego na podstawie art. 932 k.c. Fundusz wskazał, że przetwarzał dane osobowe Uczestników na podstawie art. 6 ust. 1 lit. f RODO, w związku z art. 922 § 1, 932 § 4 i 5 w zw. z art. 720 k.c. Celem przetwarzania było dochodzenie roszczeń Funduszu od spadkobierców Dłużnika - prowadzenia windykacji nabytej wierzytelności. Fundusz zaprzestał dochodzenia wierzytelności od Uczestników w kwietniu 2019r. Obecnie Fundusz kontynuuje przetwarzanie ich danych osobowych na podstawie art. 6 ust. 1 lit. f RODO w związku z postępowaniem administracyjnym prowadzonym przez UODO w zakresie danych objętych postępowaniem. Prezes UODO w uzasadnieniu decyzji zwrócił uwagę, że przepisy RODO określają obowiązki administratora, do których należy przetwarzanie danych osobowych z zachowaniem przesłanek określonych w RODO. Przepisem uprawniającym administratorów do przetwarzania danych osób fizycznych jest art. 6 ust. 1 RODO, zgodnie z którym, przetwarzanie danych jest dopuszczalne tylko wtedy, gdy spełniona jest jedna z przesłanek wskazanych w tym przepisie. Katalog przesłanek wymienionych w art. 6 ust. 1 RODO, jest zamknięty. Każda z przesłanek legalizujących proces przetwarzania danych osobowych ma charakter autonomiczny i niezależny. Przesłanki te co do zasady są więc równoprawne i spełnienie co najmniej jednej z nich stanowi o zgodnym z prawem przetwarzaniu danych osobowych. W konsekwencji zgoda osoby, której dane dotyczą nie jest jedyną podstawą przetwarzania danych osobowych, bo proces przetwarzania danych będzie zgodny z RODO również wówczas, gdy administrator wykaże spełnienie innej z wyżej wymienionych przesłanek. Niezależnie od zgody osoby, której dane dotyczą (art. 6 ust. 1 lit. a RODO) przetwarzanie danych osobowych jest dopuszczalne m.in. wtedy, gdy jest to niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze (art. 6 ust. 1 lit. c RODO) oraz gdy jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora (art. 6 ust. 1 lit. f). Prezes UODO podkreślił, że zgodnie z motywem 47 RODO podstawą prawną przetwarzania mogą być prawnie uzasadnione interesy administratora, w tym administratora, któremu mogą zostać ujawnione dane osobowe, lub strony trzeciej, o ile w świetle rozsądnych oczekiwań osób, których dane dotyczą, opartych na ich powiązaniach z administratorem nadrzędne nie są interesy lub podstawowe prawa i wolności osoby, której dane dotyczą. Należy uznać, że dochodzenie przez podmiot roszczeń finansowych jest prawnie uzasadnionym interesem i w tym sensie nadrzędnym nad prawami i wolnościami osoby, której dane dotyczą, bo dochodzenie roszczeń nie stanowi nieproporcjonalnego ograniczenia tych praw i wolności. Prezes UODO wskazał również, że administrator związany jest zasadami dotyczącymi, przetwarzania danych osobowych wynikającymi z art. 5 RODO. A zatem dane osobowe muszą być przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą (art. 5 ust. 1 lit. a RODO). Zgodnie z zasadą ograniczenia celu, dane osobowe powinny być zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach i nieprzetwarzane dalej w sposób niezgodny z tymi celami (art. 5 ust. 1 lit b RODO). Prezes UODO podał też, że z ustalonego stanu faktycznego wynika, że Fundusz nabył na podstawie umowy cesji wierzytelności z [...] listopada 2017r., zmienionej aneksem z [...] stycznia 2018r., wierzytelność wobec Dłużnika - Brata Uczestników, wynikającą z ww. umowy ze SKOK z [...] lipca 2008r. o preferencyjną linię pożyczkową. Ma to oparcie w art. 509 § 1 k.c., zgodnie z którym, wierzyciel może bez zgody dłużnika przenieść wierzytelność na osobę trzecią (przelew), chyba że sprzeciwiałoby się to ustawie, zastrzeżeniu umownemu albo właściwości zobowiązania. Cesja wierzytelności wiąże się z uprawnieniem do przekazania nabywcy danych osobowych dłużnika umożliwiających podjęcie względem niego stosownych działań zmierzających do odzyskania należności. Dopuszczalność przelewu wierzytelności nie podlegała ograniczeniom umownym i ustawowym. Nie była również wymagana zgoda dłużnika na przelew wierzytelności. Naczelny Sąd Administracyjny w wyroku w składzie 7 sędziów z 6 czerwca 2005r. sygn. akt OPS 2/2005, wskazał, że przekazanie danych osobowych dłużników firmom windykacyjnym może nastąpić bez ich zgody, nie naruszając przy tym ochrony danych osobowych. Fundusz w związku z nabytą wierzytelnością, ustalił krąg spadkobierców ustawowych, w tym 16 października 2018r. pozyskał dane osobowe Uczestników. Zgodnie z art. 922 § 1 k.c. prawa i obowiązki majątkowe zmarłego przechodzą z chwilą jego śmierci na jedną lub kilka osób. Na podstawie art. 931 § 1 k.c. w pierwszej kolejności do spadku z ustawy powołane są dzieci spadkodawcy i jego małżonek. Zgodnie z art. 932 § 1 k.c. w braku zstępnych spadkodawcy powołani są do spadku z ustawy, jego małżonek i rodzice. Zgodnie z art. 932 § 4 k.c., jeżeli jedno z i rodziców spadkodawcy nie dożyło otwarcia spadku, udział spadkowy, który by mu przypadał, przypada rodzeństwu spadkodawcy w częściach równych. Prezes UODO podkreślił ponadto, że ustawodawca nie przyznał podmiotom prywatnym uprawnień do określania kręgu spadkobierców. Sąd spadku, zgodnie z art. 670 ustawy z 17 listopada 1964r. Kodeks postępowania cywilnego (Dz.U. 2016r., poz. 1822, zwanej dalej "k.p.c."), bada z urzędu, kto jest spadkobiercą. Stwierdzenie przez Fundusz stosunku pokrewieństwa między zmarłym Dłużnikiem, a Uczestnikami oznaczać może jedynie subiektywne przekonanie Funduszu o osobie potencjalnego spadkobiercy. Śmierć spadkodawcy nie oznacza każdorazowo, że osoby z kręgu spadkobierców ustawowych stają się jego spadkobiercami. Osoby takie mogą być bowiem spadkobiercami potencjalnymi, o niestwierdzonym w chwili śmierci spadkodawcy statusie. Dopiero po wydaniu postanowienia o stwierdzeniu nabycia spadku można stwierdzić, czy są oni faktycznymi spadkobiercami. Skoro to Sądy powszechne są uprawnione do badania kto jest spadkobiercą, a więc osobą, która z chwilą śmierci spadkodawcy wstąpiła w jego prawa i obowiązki, Fundusz nie jest uprawniony do ustalania kręgu spadkobierców po dłużniku według własnego przekonania. Fundusz nie posiadał więc podstaw do przetwarzania danych uczestników w celu windykacji wierzytelności. Fundusz nie posiadał sądowego lub notarialnego stwierdzenia nabycia spadku. Fundusz nie legitymował się zatem żadną przesłanką określoną w art. 6 ust. 1 RODO, uprawniającą go do przetwarzania danych osobowych Uczestników od 16 października 2018r. do kwietnia 2019r., w celu dochodzenia od nich wierzytelności. Prezes UODO, mając powyższe na uwadze, uznał, że w sprawie właściwe jest zastosowanie wobec Funduszu upomnienie za stwierdzone naruszenie przepisów o ochronie danych osobowych - art. 6 ust. 1 RODO, wobec braku podstaw Funduszu do przetwarzania danych osobowych Uczestników, w celu dochodzenia od nich roszczeń, w okresie od 16 października 2018r. do kwietnia 2019r., kiedy to Fundusz zaprzestał przetwarzania tych danych w ww. celu. W związku ze wskazaniem przez Fundusz, że przetwarzanie danych osobowych Uczestników niezbędne jest aktualnie do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora w związku z postępowaniem prowadzonym przez Prezesa UODO, należy wskazać, że dane osobowe mogą być przetwarzane przez okres niezbędny do realizacji celu, zatem zakończenie postępowania administracyjnego powoduje wygaśnięcie celu przetwarzania. 2. Fundusz w skardze do Wojewódzkiego Sądu Administracyjnego w Warszawie na ww. decyzję Prezesa UODO z [...] grudnia 2023r. zarzucił naruszenie: a) art. 922 § 1 w zw. z art. 925, art. 1025 § 1 i art. 1027 k.c. - przez ich niewłaściwą interpretację i pominięcie, że prawa i obowiązki majątkowe zmarłego przechodzą na spadkobierców z chwilą jego, śmierci, kiedy następuje nabycie spadku oraz że stwierdzenie nabycia spadku przez spadkobiercę następuje na wniosek osoby mającej w tym interes, zaś postanowienie o stwierdzeniu nabycia spadku ma charakter deklaratoryjny, co skutkowało błędnym uznaniem, że Fundusz nie jest uprawiony do samodzielnego ustalania kręgu spadkobierców po Dłużniku, a co za tym idzie - nie posiadała podstawy prawnej do przetwarzania danych osobowych Uczestników; b) art. 6 ust 1 lit. f RODO - przez jego niewłaściwą interpretację i uznanie, że Fundusz przetwarzał dane osobowe Uczestników w celu dochodzenia wierzytelności bez podstawy prawnej, gdy osoby te należą do kręgu spadkobierców ustawowych po zmarłym Dłużniku, a więc posiadał prawnie uzasadniony interes w przetwarzaniu ich danych osobowych; c) art. 58 ust. 2 lit. b RODO - przez jego zastosowanie. Fundusz, mając na uwadze ww. zarzuty, wniósł o uchylenie zaskarżonej decyzji i zasądzenie kosztów postępowania według norm prawem przepisanych, podkreślając m.in., że nie kwestionuje ustaleń faktycznych Prezesa UODO, ale nie może się zgodzić z wyprowadzonymi na ich podstawie wnioskami oraz przedstawioną interpretacją obowiązujących przepisów. Skoro postanowienie o stwierdzeniu nabycia spadku, czy też akt poświadczenia dziedziczenia, nie są wymagane, by móc dochodzić wierzytelności od spadkobierców, to tym bardziej nie można odmówić wierzycielowi prawa do przetwarzania danych osobowych osób należących do kręgu spadkobierców ustawowych Dłużnika. Zaskarżoną decyzję wydano w oderwaniu od porządku prawnego, bo gdyby przyjąć, że wierzyciel nie może przetwarzać danych osobowych osób należących do kręgu spadkobierców ustawowych zmarłego dłużnika, to nigdy nie mógłby wnioskować o stwierdzenie nabycia spadku, gdy tymczasem uprawnienie takie daje mu art. 1025 §1 zd. 1 k.c. Skoro wierzyciel jest uprawniony do wszczęcia postępowania o stwierdzenie nabycia spadku, to nie można mu odmówić prawa do przetwarzania danych osobowych tych osób, których dane powinny zostać wskazane we wniosku wszczynającym to postępowanie, jako że są oni zainteresowanymi w sprawie (art. 511 § 1 k.p.c.). Zgodnie ponadto z art. 669 k.p.c. Sąd spadku wydaje postanowienie o stwierdzeniu nabycia spadku po przeprowadzeniu rozprawy, na którą wzywa wnioskodawcę oraz osoby mogące wchodzić w rachubę jako spadkobiercy testamentowi i jako spadkobiercy ustawowi zgodnie z kolejnością dziedziczenia. Spośród spadkobierców ustawowych wzywa się małżonka, zstępnych, osoby pozostające w stosunku przysposobienia, rodziców i rodzeństwo. Pozostałych spadkobierców ustawowych wzywa się, jeżeli są sądowi znani. Fundusz, wszczynając liczne postępowania o stwierdzenie nabycia spadku po dłużnikach w Polsce niejednokrotnie był wzywany przez Sądy spadku do uzupełnienia braków formalnych wniosku, przez wskazanie danych wszelkich osób, które należą do kręgu spadkobierców ustawowych. Fundusz nie mógłby więc uczynić zadośćuczynić wezwaniom Sądów, gdyby zgodzić się z argumentami Prezesa UODO. W interesie wierzyciela jest samodzielne ustalanie - w miarę dostępnych prawnych możliwości - danych potencjalnych spadkobierców, bo skraca to trwanie postępowań spadkowych, których długość potrafi znacznie przekraczać termin przedawnienia wierzytelności. Gdyby wierzyciel w okresie biegu terminu przedawnienia wierzytelności miał pozostawać bierny i czekać na samodzielne uregulowanie praw do spadku przez spadkobierców, zostałby praktycznie pozbawiony prawa do dochodzenia wierzytelności po śmierci dłużnika. Często zdarza się, że spadkobiercy z różnych względów nie są zainteresowani stwierdzeniem następstwa prawnego po spadkodawcy. 3. Prezes UODO w odpowiedzi na skargę z 29 lutego 2024r. wniósł o jej oddalenie i odniósł się do zawartych w niej zarzutów, podtrzymując dotychczasowe stanowisko w sprawie. 4. Fundusz pismem z 20 marca 2024r. wskazała m.in., że w odpowiedzi na skargę zawarto twierdzenia sprzeczne z rzeczywistością i nie wynikające z zaskarżonej decyzji ani jej uzasadnienia, a w szczególności z poczynionych tam ustaleń. Fundusz podjął wobec Uczestników działania o charakterze windykacyjnym - wysyłał korespondencję, smsy, nawiązywał połączenia telefoniczne, w których wzywał ich do zapłaty, mimo że nie dysponował umową zawartą z Nimi, z której wynikać miałyby ich zobowiązania, ani innym tytułem prawnym. Nie są też prawdą twierdzenia Uczestników, jakoby wierzyciel stosował wobec nich "działania mające na celu zastraszanie ich, poprzez wysyłanie (...) korespondencji, sms, telefonów wzywających ich do zapłaty sum pieniężnych." Fundusz nie stosował form zastraszania i nie ma takiego zamiaru na przyszłość, nie jest też prawdą, jakoby były wysyłane smsy lub by dzwonił do Uczestników. Jedyne rozmowy telefoniczne z Uczestnikami, jakie się odbyły, zainicjowała Uczestniczka, która dzwoniła do Kancelarii obsługującej Fundusz, zasięgając informacji o tym, z jakiego powodu otrzymała informację o przetwarzaniu danych osobowych. Funduszu zaprzeczył, że wykonał do Uczestników telefony lub i sms-y, a jeśli Prezes UODO uznał inaczej, to powinien dysponować i wskazać na materiał dowodowy. Prezes UODO, broniąc zaskarżonej decyzji, wysuwa daleko idące wnioski z nieprawdziwych okoliczności, jak też powołuje się na nowe okoliczności, o których w uzasadnieniu decyzji nie wspomniał, przecząc decyzji. W zaskarżonej decyzji uznano, że Fundusz bez podstawy prawnej przetwarzał ww. dane od 16 października 2018r. do kwietnia 2019r. Okres ten wynosi niecałe 7 miesięcy, a nie 3 lata, co sugeruje Prezes UODO w odpowiedzi na skargę. Fundusz nie wszczął postępowania spadkowego, bo podjął decyzję o niedochodzeniu należności względem potencjalnych spadkobierców. Postępowanie trwa od kwietnia 2019r. i przez cały okres nadal konieczne jest przetwarzanie danych osobowych Uczestników. Prezes UODO rozpisał się na temat zasady rozliczalności i obowiązku współpracy z organem, ale Funduszowi nie sposób zarzucić braku współpracy i nie wywiązywania się z zasady rozliczalności. Fundusz w terminie ustosunkował się do niepełnego odpisu skargi Uczestników, a następnie do pozostałej części i udzielił odpowiedzi na wszystkie pytania i wykonał wszystkie nałożone zobowiązania. Wykazał źródło pochodzenia danych osobowych, które uzyskał zgodnie z prawem, oraz interes prawny w ich uzyskaniu. Wykonał obowiązek informacyjny wobec osób, których dane były przetwarzane i wyjaśniał, na jakiej podstawie skierowano pisma. Tym samym nie sposób przyjąć, że Fundusz przetwarzał dane osobowe bez podstawy prawnej i że konieczne było zastosowanie środka naprawczego. 5. Prezes UODO pismem z 22 kwietnia 2024r. wskazał, że argumenty Funduszu stanowią powtórzenie zarzutów skargi, do których odniesiono się w ww. odpowiedzi na skargę. Powyższe zarzuty stanowią więc niepotrzebną i niezasadną polemikę ze słusznym stanowiskiem Organu. Prezes UODO odniósł się do zarzutów, wskazując m.in., że podanie w odpowiedzi na skargę błędnego roku wiążącego się z przetwarzaniem danych osobowych Uczestników było wynikiem omyłki pisarski, a w zaskarżonej decyzji podano prawidłową datę. Prezes UODO podkreślił także, że dokonując oceny dowodów, dał wiarę twierdzeniom Uczestników, że Fundusz podejmował wobec Nich działania windykacyjne - próby kontaktu, które miały w odczuciu Uczestników charakter działań windykacyjnych, co potwierdzają pisma Uczestników załączone do skargi z 8 lutego 2019r. Prezes UODO nie oceniał natomiast sposobu prowadzonych przez Fundusz działań windykacyjnych i tego czy przybierały one formę zastraszania, bo kwestia ta jest poza kompetencjami organu. Badał natomiast wyłącznie podstawy prawne przetwarzania danych osobowych Uczestników w świetle obowiązujących przepisów o ochronie danych osobowych. II. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: 1. skarga nie ma uzasadnionych podstaw. 2. Sąd na wstępie zauważa, że Sądy administracyjne, zgodnie z art. 1 § 1 i 2 ustawy z 25 lipca 2002r. Prawo o ustroju sądów administracyjnych (Dz.U. z 2023r., poz. 2492 ze zm.) oraz stosownie do art. 3 § 1 ustawy z 30 sierpnia 2002r. Prawo o postępowaniu przed sądami administracyjnymi (Dz.U. z 2024r., poz. 935, ze zm., zwana dalej "P.p.s.a.") sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej, a kontrola ta sprawowana jest pod względem zgodności z prawem, jeżeli ustawy nie stanowią inaczej. Sąd administracyjny kontroluje w związku z tym zaskarżoną decyzję w aspekcie jej zgodności z prawem i może ją usunąć z obrotu pranego, jeśli zachodzi jedna z wad wskazanych w art. 145 § 1 pkt 1 lub pkt 2 P.p.s.a. Oznacza to, że w postępowaniu sądowym badaniu podlega prawidłowość zastosowania przez organ administracji publicznej przepisów prawa w odniesieniu do istniejącego w sprawie stanu faktycznego oraz trafność zastosowania wykładni tych przepisów. Sąd w razie nieuwzględnienia skargi w całości albo w części, na mocy art. 151 P.p.s.a., oddala skargę odpowiednio w całości albo w części. 3. Sąd, badając zatem legalność zaskarżonej decyzji według powyższych kryteriów, uznał, że nie naruszała ona prawa. Istota sprawy sprowadzała się do oceny tego, czy Prezes UODO, wydając zaskarżoną decyzję działał w granicach prawa. Zdaniem Sądu na tak postawione pytanie należało udzielić twierdzącej odpowiedzi. W pierwszej kolejności wyjaśnienia wymagało to, że postępowanie administracyjne prowadzone w sprawie przez Prezesa UODO służy kontroli zgodności przetwarzania danych z przepisami o ochronie danych osobowych i jest ukierunkowane na wydanie decyzji administracyjnej, przywracającej stan zgodny z prawem, na podstawie art. 58 ust. 2 RODO. Ocena dokonywana przez Prezesa UODO w każdym przypadku służy zbadaniu zasadności skierowania pod adresem określonego podmiotu nakazu odpowiadającego dyspozycji art. 58 ust. 2 RODO, służącego przywróceniu stanu zgodnego z prawem w procesie przetwarzania danych. Jest więc ona uzasadniona i potrzebna tylko o tyle, o ile nieprawidłowości w procesie przetwarzania danych osobowych faktycznie istnieją. W związku z tym, według Sądu, wydanie zaskarżonej decyzji było, nie tylko uzasadnione, ale wręcz potrzebne. Prezes UODO ustalił w sposób wyczerpujący stan faktyczny sprawy i na jego podstawie rozstrzygnął sprawę, co do istoty, w oparciu o wskazaną w decyzji podstawę prawną, w granicach przedmiotu postępowania wyznaczonego skargą Uczestników. Prezes UODO podjął ponadto niezbędne i wystarczające działania, konieczne do wyjaśnienia stanu faktycznego sprawy, a zgromadzony w sprawie materiał dowodowy poddał ocenie, stosownie do art. 80 k.p.a. i nie naruszył tej zasady, gdyż wnioski organu są logiczne i spójne oraz opierają się na okolicznościach wynikających ze zgromadzonych w sprawie dowodów. Okolicznością niesporną było bowiem to, że wierzytelność, w związku z którą przetwarzano dane osobowe Uczestników, wynikała z umowy kredytu zawartej przez ich Brata - Dłużnika. Poza sporem pozostawało również to, że Fundusz, przetwarzając dane osobowe ww. Uczestników, nie dysponował sądowym stwierdzeniem nabycia spadku po ww. Bracie, ani innym dokumentem potwierdzającym dziedziczenie Uczestników, choć jest podmiotem uprawnionym w świetle obowiązujących przepisów do wystąpienia z wnioskiem o stwierdzenie nabycia spadku po ww. Dłużniku. Spornym nie było również i to, że rodzeństwo zmarłego Dłużnika (ww. Uczestnicy), do chwili wydania zaskarżonej decyzji nie wystąpili o stwierdzenie nabycia spadku. Sąd stwierdza, że skoro Fundusz w toku postępowania administracyjnego nie przedstawił ani sądowego ani notarialnego dokumentu, na podstawie, którego można byłoby stwierdzić, jaki podmiot/podmioty nabył/li spadek po zmarłym Dłużniku i czy tymi podmiotami byli ww. Uczestnicy, będący spadkobiercami ustawowymi, możliwe było wydanie przez Prezesa UODO zaskarżonej decyzji. Sąd stwierdza bowiem, że nabycie spadku z mocy prawa w chwili śmierci spadkodawcy, do którego nawiązuje Fundusz w skardze, jest czym innym niż sądowe stwierdzenia nabycia spadku, bez którego wierzyciel nie może egzekwować długu. Posiadanie zatem ww. dokumentów przez wierzyciela – Fundusz - jest niezbędne do dochodzenia wierzytelności względem Uczestników, a brak tych dokumentów przesądza o nieistnieniu prawnie uzasadnionego interesu, który pozwala na legalne przetwarzanie danych osobowych Uczestników przez Fundusz. Rację ma zatem Prezes UODO, wskazując w uzasadnieniu zaskarżonej decyzji, że Fundusz nie jest uprawniony do samodzielnego ustalania kręgu spadkobierców po zmarłym Dłużniku. Niezbędne jest w tym zakresie przeprowadzenie postępowania o stwierdzenie nabycia spadku przez właściwy do tego Sąd powszechny – Sąd spadku. Tym samym, aby Fundusz mógł skutecznie i bez naruszania przepisów RODO dochodzić od Uczestników wierzytelności ze spadku po zmarłym Dłużniku, który był odpowiedzialny za dług, konieczne było zainicjowanie postępowania spadkowego, a nie tylko twierdzenie, że z samej możliwości zainicjowania takiego postępowania nie doszło w sprawie do naruszenia przepisów RODO. Skoro bowiem Fundusz posiada "legitymację czynną", czyli interes do wydania przez Sąd spadku postanowienia o stwierdzeniu nabycia spadku przez spadkobiercę/spadkobierców dłużnika, powinien z tych uprawnień skorzystać, gdyż wówczas dopiero niemożliwe będzie skuteczne podnoszenie zarzutu nieistnienia prawnie uzasadnionego interesu w rozumieniu art. 6 ust. 1 lit. f RODO. Przynależność danego spadkobiercy do kręgu spadkobierców ustawowych nie oznacza, że doszło do stwierdzenia spadku na rzecz Uczestników, jeszcze przed przeprowadzeniem postępowania spadkowego. Nie można bowiem wykluczyć, że Dłużnik mógł sporządzić testamentu, który mógł spowodować, że nie wszystkie osoby uprawnione do spadku, jako spadkobiercy ustawowi, w chwili śmierci Dłużnika będą faktycznie dziedziczyć. Dopiero przewidziane prawem stwierdzenie nabycia spadku lub poświadczenie dziedziczenia pozwala na przyjęcie, kto nabył spadek. Potencjalni spadkobiercy nie zawsze będą spadkobiercami rzeczywistymi. Stanowisko Prezesa UODO wyrażone w zaskarżonej decyzji, że ustawodawca nie przyznał podmiotom prywatnym uprawnień do określania kręgu spadkobierców, a tylko Sąd spadku, zgodnie z art. 670 k.p.c., bada z urzędu, kto jest spadkobiercą – należało zatem uznać za trafne i mające oparcie w obowiązujących przepisach k.c. Tym samym niezasadne były podnoszone w skardze zarzuty naruszenia art. 922 § 1 w związku z art. 925, art. 1025 § 1 i art. 1027 k.c. Zaniechanie przez Fundusz uzyskania stwierdzenia nabycia spadku, uzasadniało bowiem przyjęcie przez Prezesa UODO, że należało Funduszowi udzielić upomnienia w rozumieniu art. 58 ust. 2 lit. b) RODO za przetwarzanie danych osobowych Uczestników, w celu dochodzenia wierzytelności w okresie od 16 października 2018r. do kwietnia 2019r., bez podstawy prawnej. Również prawidłowe, w kontekście powyższych rozważań, było przyjęcie przez Prezesa UODO w zaskarżonej decyzji, że stwierdzenie przez Fundusz stosunku pokrewieństwa między zmarłym Dłużnikiem, a ww. Uczestnikami oznaczać może jedynie subiektywne przekonanie Funduszu o osobie potencjalnego spadkobiercy i nie uzasadnia istnienia po stronie Funduszu przesłanek legitymujących przetwarzanie danych osobowych Uczestników w rozumieniu art. 6 ust. 1 RODO. Przetwarzanie danych osobowych Uczestników w celu dochodzenia wierzytelności, gdy nie doszło do sądowego lub notarialnego stwierdzenia nabycia przez Nich spadku po zmarłym Dłużniku nie mogło stanowić prawnie usprawiedliwionego celu Funduszu do przetwarzania danych osobowych Uczestników. Nie było bowiem jakichkolwiek przeszkód prawnych, aby Fundusz, jako wierzyciel zmarłego Dłużnika – Brata Uczestników - o takie stwierdzenie nabycia spadku wystąpił, po powzięciu informacji, że dotychczas nie miało to miejsca. Powyższe - w ocenie Sądu - prowadzi do konkluzji, że Prezes UODO poprawnie uznał, że Fundusz nie posiadał w chwili wydania zaskarżonej decyzji podstaw do przetwarzania danych Uczestników, w celu windykacji wierzytelności dotyczącej długu ich Brata. Fundusz w toku postępowania przez Prezesem UODO nie przedstawili bowiem sądowego lub notarialnego dokumentu, który pozwalałby uznać, kto faktycznie nabył spadek po zmarłym Dłużniku. Uczestnicy natomiast podkreślali w postępowaniu przed organem, czego Fundusz nie kwestionował, że nie legitymowali i nie legitymują się orzeczeniem stwierdzającym nabycie spadku lub dokumentem poświadczającym dziedziczenie po zmarłym Bracie – Dłużniku Funduszu. Sąd w związku z tym uznał, że niezasadne były równie pozostałe podnoszone w skardze zarzuty. Zdaniem Sądu, w świetle okoliczności wynikających z akt administracyjnych, ustalonych z zachowaniem zasady prawdy obiektywnej (art. 7 i art. 77 § 1 k.p.a.) oraz ocenionych stosownie do reguły swobodnej oceny dowodów (art. 80 k.p.a.) prawidłowe było przyjęcie przez Prezesa UODO, że Fundusz nie miał podstaw do przetwarzania danych osobowych Uczestników, o których mowa w art. 6 ust. 1 RODO, uprawniających do przetwarzania danych osobowych Uczestników, w celu dochodzenia od Nich długu zmarłego Brata. Nie sposób abstrahować od tego, że przesłanka legalizująca z art. 6 ust. 1 lit. f RODO dotyczy sytuacji już istniejącej, w której celem wynikającym z prawnie uzasadnionych interesów realizowanych przez administratora jest konieczność udowodnienia, potrzeba dochodzenia lub obrony przed roszczeniem istniejącym, nie zaś sytuacji, gdy dane są przetwarzane, w celu zabezpieczenia się przed ewentualnym roszczeniem. Aby więc powyższa przesłanka w ogóle zaszła, Fundusz musiałby udowodnić, że albo Uczestniczy są spadkobiercami zmarłego Dłużnika, a nie, że jedynie należą do kręgu potencjalnych spadkobierców Dłużnika, albo że Fundusz wystąpił przeciwko Uczestnikom z roszczeniem związanym z długiem ich Brata. Żadna z tych przesłanek nie zaszła w sprawie. Jak słusznie przyjmuje się w ugruntowanym orzecznictwie Sądów administracyjnych niedopuszczalne jest przetwarzanie danych osobowych niejako "na zapas" z założeniem, że mogą być one ewentualnie przydatne w przyszłości (por. m.in. wyrok NSA z 6 marca 2019r. sygn. akt I OSK 994/17). Za pozostające bez wpływu na powyższe konstatacje uznać należało podnoszone przez Fundusz okoliczności, że w każdej chwili możliwe jest zainicjowanie postępowania o stwierdzenie nabycia spadku po zmarłym Dłużniku. Do czasu doprowadzenia do wszczęcia i zakończenia postępowania o stwierdzenie nabycia spadku po zmarłym Dłużniku, nie można mówić o istnieniu przesłanki legalizującej przewarzanie danych osobowych Uczestników – rodzeństwa Dłużnika. Działania, jakie Fundusz mógłby ewentualnie przedsiębrać w przyszłości nie rzutują, wbrew zarzutom skargi, na niepoprawność zaskarżonej decyzji. Decyzja ta, zdaniem Sądu, mogła być i powinna być wydana w okolicznościach faktycznych sprawy, a ponadto wskazano w niej właściwe przepisy prawa, które przemawiały za prawidłowością stanowiska wyrażonego przez Prezesa UODO. Wobec tych konkluzji uznać należało, że niezasadne są argumenty skargi dotyczące terminów przedawnienia roszczeń wynikających ze stosunków zobowiązaniowych. Okolicznością usprawiedliwiającą przetwarzanie danych osobowych w celu dochodzenia roszczeń jest sam fakt istnienia roszczenia oraz zamiar jego dochodzenia, nie jest nią natomiast zmiana w uprawnieniach procesowych podmiotu pozwanego. Warto też wskazać, że Sąd zobowiązany jest do ocen wyrażonych przez organ administracyjny w zaskarżonej decyzji, a nie do oceny argumentów podniesionych w odpowiedzi na skargę. Wynika to wprost z art. 3 § 1 i § 2 pkt 1 P.p.s.a. W realiach faktycznych sprawy przywołać też należało art. 17 ust. 1 RODO, w myśl którego osoba, której dane dotyczą, ma prawo żądania od administratora niezwłocznego usunięcia dotyczących jej danych osobowych, a administrator ma obowiązek bez zbędnej zwłoki usunąć dane osobowe, jeżeli zachodzi jedna z następujących okoliczności: a) dane osobowe nie są już niezbędne do celów, w których zostały zebrane lub w inny sposób przetwarzane; b) osoba, której dane dotyczą, cofnęła zgodę, na której opiera się przetwarzanie zgodnie z art. 6 ust. 1 lit. a) lub art. 9 ust. 2 lit. a), i nie ma innej podstawy prawnej przetwarzania; c) osoba, której dane dotyczą, wnosi sprzeciw na mocy art. 21 ust. 1 wobec przetwarzania i nie występują nadrzędne prawnie uzasadnione podstawy przetwarzania lub osoba, której dane dotyczą, wnosi sprzeciw na mocy art. 21 ust. 2 wobec przetwarzania; d) dane osobowe były przetwarzane niezgodnie z prawem; e) dane osobowe muszą zostać usunięte w celu wywiązania się z obowiązku prawnego przewidzianego w prawie Unii lub prawie państwa członkowskiego, któremu podlega administrator; f) dane osobowe zostały zebrane w związku z oferowaniem usług społeczeństwa informacyjnego, o których mowa w art. 8 ust. 1. W sytuacji więc, gdy Fundusz nie uwzględnił żądania Uczestników i nie usunął do 2019r. ich danych osobowych, przetwarzając je bez podstawy prawnej, Prezes UODO był uprawniony i zobowiązany do wydania zaskarżonej decyzji. Skoro Fundusz nie legitymował się do czasu wniesienia do Prezesa UODO skargi przez ww. Uczestników, żadną z przesłanek określonych w art. 6 ust. 1 RODO, uprawniającą do przetwarzania danych osobowych Uczestników, w celu dochodzenia od Nich roszczeń wynikających z wierzytelności, przysługującej Funduszowi względem Dłużnika, to uzasadnione było wydanie zaskarżonej decyzji. Warto też wskazać, że Prezes UODO w zaskarżonej decyzji nie oceniał sposobu prowadzonych przez Fundusz działań windykacyjnych i tego czy przybierały one formę zastraszania, bo kwestia ta jest poza kompetencjami organu. Badał natomiast wyłącznie podstawy prawne przetwarzania danych osobowych Uczestników w świetle obowiązujących przepisów o ochronie danych osobowych. Tym samym argumentacja z tego zakresu prezentowana przez Fundusz nie mogła być uznana za uzasadniającą wyeliminowanie zaskarżonej decyzji z obrotu prawnego. 4. Sąd, w tym stanie rzeczy, nie podzielając argumentów zawartych w złożonej skardze, oraz uznając, że Prezes UODO w sposób prawidłowy zebrał i ocenił materiał dowodowy, oraz przy wykonywaniu tych czynności nie naruszył przepisów prawa, orzekł, jak w sentencji wyroku, na podstawie art. 151 P.p.s.a.