II SA/Wa 325/17

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA – Sławomir Antoniuk Sędzia WSA – Adam Lipiński Sędzia WSA – Stanisław Marek Pietras (spraw.) Protokolant – spec. Ewa Kielak po rozpoznaniu na rozprawie w dniu 24 października 2017 r. sprawy ze skargi D. G. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] grudnia 2016 r. nr [...] w przedmiocie przetwarzania danych osobowych – oddala skargę – W dniu 28 października 2015 r. do Biura Generalnego Inspektora Ochrony Danych Osobowych wpłynęła skarga skarżącej D. G. na przetwarzanie jej danych osobowych przez [...] S.A. z siedzibą w K., w tym na ich udostępnienie na stronie internetowej [...]. W uzasadnieniu skarżąca wskazała, że portal ten przetwarza jej dane osobowe bez podstawy prawnej oraz z naruszeniem obowiązków informacyjnych, o których mowa w ustawie. Wobec powyższego skarżąca wniosła o usunięcie uchybień w procesie przetwarzania danych osobowych poprzez usunięcie jej danych udostępnionych w w/w serwisie internetowym bez jej zgody. W trakcie postępowania wyjaśniającego Generalny Inspektor Ochrony Danych Osobowych ustalił, że na wskazanej stronie internetowej się następujące dane osobowe skarżącej: nazwa działalności gospodarczej obejmująca imię i nazwisko, miasto, kod pocztowy, nazwa ulicy prowadzonej działalności (bez numeru ulicy i numeru lokalu), numer NIP oraz wysokość i podstawa zadłużenia. Skarżąca wobec pozyskania informacji, iż na stronie [...] znajduje się oferta długu zawierająca jej dane osobowe, pismem z dnia [...] września 2015 r. zwróciła się do [...] S.A. o usunięcie "oferty" sprzedaży długu podnosząc, iż nie wyrażała zgody na przetwarzanie jej danych osobowych i nie posiada informacji z jakiego tytułu jest zobowiązanie oraz na jakiej podstawie [...] S.A. ma prawo dochodzenia długu. Z wyjaśnień złożonych przez [...] S.A. wynika, iż skarżąca prowadziła działalność gospodarczą pod nazwą [...] D. G. w ramach której zawarła umowę o świadczenie usług telekomunikacyjnych z [...] S.A. Na podstawie umowy sprzedaży wierzytelności zawartej w dniu [...] września 2004 r. pomiędzy [...] S.A. a [...] Sp. z o.o. (obecnie [...] S.A.), doszło do przeniesienia wierzytelności przysługującej [...] S.A. wobec skarżącej na [...] Sp. z o.o. i przekazania w związku z tym jej danych osobowych. [...] S.A. opublikowała dane osobowe skarżącej na stronie internetowej [...] w zakresie: nazwy działalności gospodarczej obejmującej imię i nazwisko, miasta, kodu pocztowego, nazwy ulicy prowadzonej działalności (bez numeru ulicy i numeru lokalu), numeru NIP oraz wysokości i podstawy zadłużenia w celu sprzedaży wierzytelności skarżącej przez ogłoszenie publiczne na podstawie art. 4 ustawy z dnia 9 kwietnia 2010 r. o udostępnianiu informacji gospodarczych i wymianie danych gospodarczych (Dz. U. z 2014 r. poz. 1015, z późn. zm.). Następnie Generalny Inspektor Ochrony Danych Osobowych decyzją z dnia [...] maja 2016 r. nr [...], działając na podstawie art. 104 § 1 k.p.a. w zw. a art. 12 pkt 2, art. 22, art. 23 ust. 1 pkt 5, art. 31 ustawy o ochronie danych osobowych (Dz. U. z 2015 r. poz. 2135, z późn. zm.), odmówił uwzględnienia wniosku skarżącej. We wniosku z dnia [...] czerwca 2016 r. do Generalnego Inspektora Ochrony Danych Osobowych o ponowne rozpatrzenie sprawy, skarżąca zarzuciła powyższej decyzji 1) naruszenie art. 18 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. 2016 r. poz. 922) [zwanej dalej: u.o.d.o.], w zw. z art. 23 ust. 1, art. 25, art. 26, art. 31 i art. 35 ust. 1 i 2 u.o.d.o.; 2) naruszenie art. 22 u.o.d.o. w zw. z art. 7, art. 75 §1 i art. 77 §1 k.p.a. W tej sytuacji Generalny Inspektor Ochrony Danych Osobowych decyzją z dnia [...] grudnia 2016 r. nr [...], mając za podstawę art. 138 § 1 pkt 2 w zw. z art. 105 §1 k.p.a. oraz art. 12 pkt 2, art. 18 ust. 1, art. 22, art. 23 ust. 1 pkt 2 i 5, art. 25 ust. 1 pkt 4 i 5 ustawy o ochronie danych osobowych i art. 39b ustawy z dnia 2 lipca 2004 r. o swobodzie działalności gospodarczej (Dz. U. 2015 r. poz. 584 ze zm.), 1) uchylił decyzję z dnia [...] maja 2016 r. nr [...] w części dotyczącej przetwarzania danych osobowych D. G. w zakresie jej imienia, nazwiska, adresu prowadzenia działalności gospodarczej oraz NIP przez [...] S. A. z siedzibą w K. oraz w części dotyczącej niewykonania w stosunku do skarżącej obowiązku informacyjnego w zakresie określonym w art. 25 ust. 1 pkt 4 i 5 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych; 2) umorzył postępowanie w części dotyczącej przetwarzania danych osobowych skarżącej D. G. w zakresie jej imienia, nazwiska, adresu prowadzenia działalności gospodarczej oraz NIP przez [...] S. A. z siedzibą w K.; 3) nakazał [...] S.A. z siedzibą w K. wypełnienie w stosunku do skarżącej D. G. obowiązku informacyjnego w zakresie określonym w art. 25 ust. 1 pkt 4 i 5 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych poprzez poinformowanie jej o prawie dostępu do treści swoich danych oraz ich poprawiania oraz o uprawnieniach wynikających z art. 32 ust. 1 pkt 7 i 8 ustawy; 4) w pozostałym zakresie utrzymał zaskarżoną decyzję w mocy. W uzasadnieniu – powołując się na opisany powyżej stan faktyczny – podał, że skarżąca prowadziła działalność gospodarczą pod oznaczeniem D. G. "[...]" i do dnia [...] września 2016 r. prowadziła również drugą działalność gospodarczą pod oznaczeniem Firma Usługowa "[...]" D. G.. Wpis dotyczący pierwszej z działalności gospodarczych jest niekompletny (w jego treści widnieje adnotacja, iż nie przeszedł on weryfikacji w CEDIG, z uwagi na brak numeru NIP i PESEL skarżącej), tym niemniej dane w zakresie imienia, nazwiska, adresu prowadzenia działalności gospodarczej widnieją w treści tego wpisu. Ponadto, pomimo zaprzestania prowadzenia drugiej ze wskazanych działalności gospodarczych dnia [...] września 2016 r., w rejestrze CEDIG obecnie widnieje wpis zawierający jej dane osobowe w zakresie imienia, nazwiska, adresu prowadzenia działalności gospodarczej oraz NIP, dotyczący działalności o oznaczeniu Firma Usługowa "[...]" D. G. Ustawą z dnia 25 czerwca 2015 r. o zmianie ustawy o swobodzie działalności gospodarczej oraz niektórych innych ustaw (Dz. U. 2015 poz. 1893), do ustawy z dnia 2 lipca 2004 r. o swobodzie działalności gospodarczej (Dz. U. z 2015 r., poz. 584 ze zm.), wprowadzono przepis art. 39b, zgodnie z którym do jawnych danych i informacji udostępnianych przez CEDIG nie stosuje się przepisów ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r. poz. 922), z wyjątkiem przepisów art. 14-19a i art. 21-22a oraz rozdziału 5 tej ustawy. Wskazywany przepis wszedł w życie dnia 19 maja 2016 r. tj. po wydaniu skarżonej decyzji. Ustawa o swobodzie działalności gospodarczej w art. 38 wprowadza zasadę jawności formalnej Centralnej Ewidencji i Informacji o Działalności Gospodarczej. Zgodnie z art. 38 ust. 1 ustawy o swobodzie działalności gospodarczej, dane i informacje udostępniane przez CEIDG są jawne. Każdy ma prawo dostępu do danych i informacji udostępnianych przez CEIDG. Zgodnie z ust. 2 tego przepisu, dane i informacje wskazane w art. 37, są udostępniane na stronie internetowej CEIDG. Zgodnie z art. 37 ust. 1 ustawy o swobodzie działalności gospodarczej, CEIDG udostępnia zawarte w niej dane i informacje określone w art. 25 ust. 1, z wyjątkiem numeru PESEL, daty urodzenia oraz adresu zamieszkania, o ile nie jest on taki sam jak miejsce wykonywania działalności gospodarczej (pkt 1);. Stosownie do art. 25 ust. 1 ustawy o swobodzie działalności gospodarczej, wpisowi do CEIDG podlegają w szczególności firma przedsiębiorcy oraz jego numer PESEL, o ile taki posiada (pkt 1); oznaczenie miejsca zamieszkania i adresu zamieszkania przedsiębiorcy, adres do doręczeń przedsiębiorcy oraz adresy, pod którymi jest wykonywana działalność gospodarcza, w tym adres głównego miejsca wykonywania działalności i oddziału, jeżeli został utworzony; dane te są zgodne z oznaczeniami kodowymi przyjętymi w krajowym rejestrze urzędowym podziału terytorialnego kraju, o ile to w danym przypadku możliwe (pkt 5). Zgodnie natomiast z art. 434 zdanie pierwsze ustawy z dnia 23 kwietnia 1964 r. Kodeks cywilny (Dz. U. 2016 r. poz. 380 ze zm.), firmą osoby fizycznej jest jej imię i nazwisko. Tym samym organ nie posiada uprawnień do rozpatrywania spraw związanych z przetwarzaniem jawnych danych (w tym danych osobowych), które znajdują się w rejestrze CEIDG w takim zakresie, w jakim dane te dotyczą wykonywanej (obecnie lub uprzednio) działalności gospodarczej. Zatem zgodnie z art. 105 § 1 k.p.a., gdy postępowanie z jakiejkolwiek przyczyny stało się bezprzedmiotowe, organ administracji wydaje decyzję o umorzeniu postępowania odpowiednio w całości albo w części. Przedmiot postępowania wiąże się ze stosowaniem przez organ publiczny przepisów materialnego prawa administracyjnego. W doktrynie wskazuje się, że "bezprzedmiotowość postępowania administracyjnego, o której stanowi art. 105 § 1 k.p.a. oznacza, że brak jest któregoś z elementów materialnego stosunku prawnego, a wobec tego nie można wydać decyzji załatwiającej sprawę przez rozstrzygnięcie jej co do istoty. Przesłanka umorzenia postępowania może istnieć jeszcze przed wszczęciem postępowania, co zostanie ujawnione dopiero w toczącym się postępowaniu, a może ona powstać także w czasie trwania postępowania, a więc w sprawie już zawisłej przed organem administracyjnym" (B. Adamiak, J. Borkowski, Kodeks postępowania administracyjnego. Komentarz, C. H. Beck, Warszawa 2005, s. 486). Zasadnym zatem jest umorzenie postępowania w części dotyczącej przetwarzania przez Spółkę danych osobowych w zakresie imienia, nazwiska, adresu prowadzenia działalności gospodarczej oraz NIP skarżącej. Generalny Inspektor Ochrony Danych Osobowych jest natomiast uprawniony do oceny prawidłowości przetwarzania danych osobowych skarżącej w zakresie wysokości i podstawy jej zadłużenia. Tego rodzaju dane osobowe nie mieszczą się bowiem w katalogu określonym art. 39b ustawy o swobodzie działalności gospodarczej. Odnosząc się do zarzutu niewypełnienia przez [...] S. A. obowiązku informacyjnego określonego w art. 25 ust. 1 u.o.d.o. wskazano, że jest on częściowo zasadny. Zgodnie z art. 25 ust. 1 u.o.d.o. w przypadku zbierania danych osobowych nie od osoby, której one dotyczą, administrator danych jest obowiązany poinformować tę osobę, bezpośrednio po utrwaleniu zebranych danych, o adresie swojej siedziby i pełnej nazwie, a w przypadku gdy administratorem danych jest osoba fizyczna - o miejscu swojego zamieszkania oraz imieniu i nazwisku; celu i zakresie zbierania danych, a w szczególności o odbiorcach lub kategoriach odbiorców danych; źródle danych; prawie dostępu do treści swoich danych oraz ich poprawiania; uprawnieniach wynikających z art. 32 ust. 1 pkt 7 i 8. Dalej wskazano, że jedynymi danymi, do których zastosowanie w niniejszej sprawie ma ustawa o ochronie danych osobowych, jest wysokości i podstawa zadłużenia skarżącej z uwagi na przepis art. 39b ustawy o swobodzie działalności gospodarczej. Następnie podano, że Spółka poinformowała skarżącą o swoim adresie siedziby, pełnej nazwie, zakresie i celu przetwarzanych danych oraz źródle pozyskania tych danych. Ze zgromadzonego materiału dowodowego nie wynika jednak, aby Spółka poinformowała skarżącą o prawie dostępu do treści jej danych oraz ich poprawiania, jak i o uprawnieniach wynikających z art. 32 ust. 1 pkt 7 i 8 u.o.d.o. W związku z powyższym, nakazując usunięcia uchybień w procesie przetwarzania danych osobowych na podstawie art. 18 ust. 1 u.o.d.o. zasadnym jest nakazanie Spółce wypełnienie w stosunku do skarżącej obowiązku informacyjnego określonego w art. 25 ust. 1 w zakresie poinformowania jej o prawie dostępu do treści danych osobowych oraz o uprawnieniach wynikających z art. 32 ust. 1 pkt 7 i 8 u.o.d.o. Odnosząc się natomiast do zarzutu naruszenia art. 22 u.o.d.o. w zw. z art. 7, art. 75 §1 i art. 77 §1 k.p.a. wskazano, że Generalny Inspektor Ochrony Danych Osobowych na podstawie zgromadzonego w niniejszej sprawie materiału dowodowego dokonał jedynie oceny legalności przetwarzania danych osobowych skarżącej, nie badał natomiast kwestii istnienia lub nieistnienia wierzytelności, ani tym bardziej słuszności i zakresu roszczeń cywilnoprawnych. Takie sprawy, zgodnie z art. 1 ustawy z dnia 17 listopada 1964 r. Kodeks postępowania cywilnego (Dz. U. 2016 r. poz. 1822), są bowiem sprawami cywilnymi i powinny być rozpatrywane w postępowaniach prowadzonych przez sądy powszechne. Odrębną kwestią, również pozostającą poza kompetencjami organu ochrony danych osobowych, jest ocena prawidłowości samej umowy przelewu wierzytelności zawartej pomiędzy [...] S.A. a [...] sp. z o. o. (obecnie: [...] S. A.). Podniesiono, że zgodnie z art. 75 § 1 k.p.a. jako dowód należy dopuścić wszystko, co może przyczynić się do wyjaśnienia sprawy, a nie jest sprzeczne z prawem. W szczególności dowodem mogą być dokumenty, zeznania świadków, opinie biegłych oraz oględziny. Zgodnie z art. 77 § 1 k.p.a. organ administracji publicznej jest obowiązany w sposób wyczerpujący zebrać i rozpatrzyć cały materiał dowodowy. W myśl art. 80 k.p.a. organ administracji publicznej ocenia na podstawie całokształtu materiału dowodowego, czy dana okoliczność została udowodniona. Zgodnie z art. 81 k.p.a. okoliczność faktyczna może być uznana za udowodnioną, jeżeli strona miała możność wypowiedzenia się co do przeprowadzonych dowodów, chyba że zachodzą okoliczności, o których mowa w art. 10 § 2 k.p.a. Mając na uwadze powyższe, Generalny Inspektor nie podziela twierdzenia skarżącej, iż decyzja została wydana z uchybieniem wymogu podjęcia wszelkich czynności w celu dokładnego wyjaśnienia stanu faktycznego sprawy oraz wyczerpującego zebrania i rozpatrzenia materiału dowodowego. W ocenie Generalnego Inspektora materiał zebrany w sprawie jest wystarczający do ustalenia stanu faktycznego sprawy, a ponadto spójny i nie budzący wątpliwości, natomiast strony niniejszego postępowania miały możność wypowiedzenia się co do zgromadzonych dowodów. Brak jest zarazem jakichkolwiek dowodów mogących świadczyć o tym, że zebrany materiał w sprawie jest niekompletny. Wskazano, iż zgodnie z ugruntowanym orzecznictwem, wyczerpujące rozpatrzenie materiału dowodowego polega zaś na takim ustosunkowaniu się do każdego ze zgromadzonych w sprawie dowodów z uwzględnieniem wzajemnych powiązań między nimi, aby uzyskać jednoznaczność ustaleń faktycznych i prawnych. Ocena materiału dowodowego następuje natomiast zgodnie z zasadą swobodnej oceny dowodów, określoną w art. 80 k.p.a. Odnosząc się do zarzutów naruszenia przez organ w skażonej decyzji art. 23 ust. 1, art. 26, art. 31 oraz art. 35 u.o.d.o podano, że są one niezasadne. W toku niniejszego postępowania Generalny Inspektor Ochrony Danych Osobowych ustalił, iż [...] S.A. pozyskał dane osobowe skarżącej na podstawie zawartej z [...] S.A umowy sprzedaży wierzytelności. [...] S.A. stał się administratorem danych osobowych skarżącej uprawnionym do samodzielnego przetwarzania danych w rozumieniu art. 7 pkt 4 u.o.d.o. Nieuzasadnionym jest zatem zarzut naruszenia przez organ w w/w decyzji art. 31 u.o.d.o., ponieważ Spółka nie jest podmiotem, któremu powierzono dane osobowe skarżącej. Przepisem uprawniającym administratorów danych do przetwarzania zwykłych danych osób fizycznych, w tym ich udostępniania, jest art. 23 ust. 1 u.o.d.o., zgodnie z którym, przetwarzanie danych jest dopuszczalne tylko wtedy, gdy spełniona jest jedna z przesłanek taksatywnie wskazanych w tym przepisie. Katalog przesłanek wymienionych w art. 23 ust. 1 u.o.d.o., jest zamknięty. Każda z przesłanek legalizujących proces przetwarzania danych osobowych ma charakter autonomiczny i niezależny. Oznacza to, że przesłanki te co do zasady są równoprawne, a wobec tego spełnienie co najmniej jednej z nich stanowi o zgodnym z prawem przetwarzaniu danych osobowych. W konsekwencji zgoda osoby, której dane dotyczą nie jest jedyną podstawą przetwarzania danych osobowych, bowiem proces przetwarzania danych będzie zgodny z ustawą również wówczas, gdy administrator danych wykaże spełnienie innej z wyżej wymienionych przesłanek. Niezależnie od zgody osoby, której dane dotyczą (art. 23 ust. 1 pkt 1 u.o.d.o.), przetwarzanie danych jest dopuszczalne między innymi wtedy, gdy jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa (art. 23 ust. 1 pkt 2 u.o.d.o.) oraz gdy jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów, realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą (art. 23 ust. 1 pkt 5 u.o.d.o.) Ponadto, jak stwierdził Wojewódzki Sąd Administracyjny w Warszawie w wyroku z dnia 30 listopada 2004 r. sygn. akt: II SA/Wa 1057/04 cyt. "(...) zasadą powszechnie akceptowaną, wynikającą nie tylko z przepisów prawa cywilnego, lecz także z norm moralnych, zasad współżycia społecznego oraz dobrych obyczajów jest regulowanie zaciągniętych zobowiązań (zapłata długów). Zasada ta w pełni odnosi się do podmiotów prawa mających status konsumentów. (...) Dłużnik, który nie wywiązuje się ze swoich zobowiązań, musi liczyć się z konsekwencjami, wynikającymi z przepisów regulujących obrót gospodarczy. Postawa dłużnika nie może bowiem prowadzić do uprzywilejowania jego sytuacji prawnej. Gdyby generalnie uznać każdy wypadek przetwarzania danych osobowych dłużnika (będącego konsumentem) za godzący w jego prawa i wolności, doszłoby z jednej strony do niczym nieuzasadnionej ochrony osób nie wywiązujących się ze swoich zobowiązań, z drugiej natomiast do naruszenia zasady swobody działalności gospodarczej, co z pewnością nie było zamiarem ustawodawcy przy uchwalaniu ustawy o ochronie danych osobowych" (por. również wyrok Naczelnego Sądu Administracyjnego z dnia 6 czerwca 2005 r. sygn. akt OPS 2/2005). W analizowanej sprawie Spółka miała zatem prawo do przetwarzania danych osobowych skarżącej, z uwagi na istnienie prawnie usprawiedliwionego celu przedmiotowego przetwarzania tj. wypełnienie przesłanki określonej w art. 23 ust. 1 pkt 5 u.o.d.o. Jednocześnie nie ma obecnie podstaw do nakazania Spółce usunięcia danych osobowych skarżącej z uwagi na nieprawdziwość lub nieaktualność tych danych, na podstawie art. 35 u.o.d.o., bowiem istnienie, wysokość jak i podstawa wierzytelności jest okolicznością sporną, wynikającą z umowy, a niniejszy organ, jak wskazano powyżej, nie ma kompetencji do oceny prawidłowości stosunku zobowiązaniowego, jak i podważenia jego istnienia, w przypadku gdy jest to okoliczność sporna. Odnosząc się natomiast do kwestii przetwarzania danych osobowych skarżącej w zakresie wysokości i podstawy wierzytelności przez [...] S.A. na stronie internetowej [...] wskazano, iż udostępnienie to znajduje prawne uzasadnienie w art. 23 ust. 1 pkt 2 u.o.d.o. oraz w powyżej przywołanym art. 23 ust. 1 pkt 5 u.o.d.o. Ponownie na publikowanie danych pozwala art. 4 ustawy z dnia 9 kwietnia 2010 r. o udostępnianiu informacji gospodarczych i wymianie danych gospodarczych (Dz. U. z 2014 r. poz. 1015 ze zm.) zgodnie z którym, udostępnianie informacji gospodarczych (których katalog wskazano w art. 2 ust. 1 w/w ustawy) osobom trzecim nieoznaczonym w chwili przeznaczania tych informacji do udostępniania następuje wyłącznie za pośrednictwem biura informacji gospodarczej, chyba że udostępnianie następuje w celu sprzedaży wierzytelności przez ogłoszenie publiczne lub przepisy prawa przewidują inny tryb udostępniania danych. Z treści powołanego art. 4 oraz art. 2 ust. 1 wynika, iż ustawodawca zezwolił na publikowanie danych gospodarczych przez podmioty takie jak [...] S.A. nie posiadające statusu biura informacji gospodarczej, celem sprzedaży wierzytelności przez ogłoszenie publiczne dane w zakresie m. in. tytułu prawnego, kwoty zaległości, informacji o zbyciu wierzytelności. Natomiast dostateczne oznaczenie wierzytelności jest niezbędnym warunkiem, aby mogła ona stać się przedmiotem rozporządzenia. Wierzytelność zostanie w wystarczający sposób skonkretyzowana dopiero wtedy, gdy oznaczony zostanie jej przedmiot, a więc rodzaj, wysokość, podstawę świadczenia, jak i podmiot zobowiązany do spełnienia świadczenia, którego może domagać się wierzyciel (por. J. Mojak, Obrót wierzytelnościami. Podstawowe zagadnienia prawne, Lublin 1998, s. 8). Wiedza o tym, przeciwko komu, jakiego rodzaju wierzytelność przysługuje, niezbędna jest dla racjonalnego podjęcia decyzji o jej nabyciu. Zatem działanie Spółki, polegające na udostępnieniu danych osobowych skarżącej w zakresie wysokości i podstawy zadłużenia na w/w stronie internetowej, ma oparcie w przesłankach określonych w art. 23 ust. 1 pkt 2 oraz w art. 23 ust. 1 pkt 5 u.o.d.o. W skardze do Wojewódzkiego Sądu Administracyjnego w Warszawie, skarżąca D. G. wniosła o uchylenie zaskarżonej decyzji i przekazanie sprawy organowi do ponownego rozpoznania. W uzasadnieniu podała, że brak było jakichkolwiek podstaw do uznania w części za bezprzedmiotową zaskarżoną decyzję i częściowego utrzymania jej w mocy. To, że informacje w CEIDG są jawne nie oznacza, że prywatna firma może zamieszczać istotną część tych danych na portalu internetowym z informacją, że jest dłużnikiem oraz, że jej dług oferuje do sprzedaży. Organ administracji sam wskazał, że powołuje się na przepis prawa, a to na art. 39b ustawy o swobodzie działalności gospodarczej, który wszedł w życie już po wydaniu zaskarżonej decyzji. Nie powinien on być zatem stosowany do zamieszczenia przez spółkę "[...]" S.A. jej danych osobowych na portalu internetowym. Niezrozumiałe jest powoływanie się przez organ, że nie jest on uprawniony do rozpatrywania spraw związanych z przetwarzaniem danych zawartych w CEIDG, skoro nie tego dotyczyła jej skarga, lecz przetwarzania tych danych na prywatnym portalu internetowym i to wraz z nieprawdziwą informacją, że jest dłużnikiem. Nawet gdyby organ ten nie był uprawniony do rozpatrzenia jej sprawy, to powinien ją przekazać według właściwości innemu organowi. Ponadto można zaobserwować sprzeczność w twierdzeniach organu, który raz powołuje się na to, że sprawa dotyczy przetwarzania danych przez CEIDG tj. organ administracji, a następnie powołuje się na to, że administratorem danych jest osoba fizyczna. Zupełnie niezrozumiałe jest twierdzenie organu, że ocena legalności przetwarzania danych osobowych nie obejmuje badania istnienia lub nieistnienia wierzytelności. Zgodnie z art. 18 ust. 1 ustawy o ochronie danych osobowych, organ ten ma obowiązek nakazać przywrócenie do stanu zgodnego z prawem w przypadku naruszenia przepisów o ochronie danych osobowych, a art. 35 tej ustawy zobowiązuje administratora danych osobowych do usunięcia nieprawdziwych danych - w tym wypadku informacji, że jeste dłużnikiem spółki "[...]" S.A. Przy tym nie uwzględniono tego, że poprzestanie GIODO na ustaleniu, iż "[...]" S.A. pozyskała jej dane osobowe na podstawie umowy cesji wierzytelności zawartej ze spółką [...] Sp. z o.o. stanowi oczywiste i rażące naruszenie art. 18 ust. 1 w zw. z art. 23 ust. 1 ustawy o ochronie danych osobowych. Zgodnie z art. 23 ust. 1 tej ustawy, przetwarzanie danych osobowych może być dokonane jeżeli osoba, której dane dotyczą wyrazi na to zgodę. Zatem "[...]" S.A. mógłby zostać uznany za administratora jej danych uprawnionego do ich samodzielnego przetwarzania jedynie wówczas, gdyby złożyła oświadczenie o wyrażeniu zgody na przetwarzanie swoich danych osobowych i to w celu przeniesienia własności wierzytelności. Nie uwzględniono tego, że GIODO nie ma racji twierdząc, iż zostały spełnione przesłanki z art. 23 ust. 1 pkt 2 oraz pkt. 5 omawianej ustawy. Zamieszczenie w internecie oferty sprzedaży nie stanowi z pewnością realizacji uprawnienia wynikającego z przepisu prawa. W decyzji z dnia [...] maja 2016 r. uprawnienie to organ upatrywał w treści art. 509 k.c. W zaskarżonej decyzji nie uwzględniono tego, że w świetle art. 512 k.c., "[...]" S.A. jako nabywca wierzytelności nie może żądać spełnienia świadczenia jeżeli zbywca, tj. [...] Sp. z o.o. nie zawiadomił jej o cesji wierzytelności. Zatem zamieszczenie oferty sprzedaży nie może być uznane za realizację uprawnienia wynikającego z przepisu prawa. W zaskarżonej decyzji organ administracji nie uwzględnił również tego, że w świetle art. 23 ust. 1 pkt 5 omawianej ustawy sprzedaż wierzytelności nie jest dochodzeniem roszczeń z tytułu prowadzonej działalności gospodarczej. Dochodzenie roszczeń to skierowanie sprawy do Sądu lub od innego organu uprawnionego do rozpatrywania spraw danego rodzaju, a nie sprzedaż prawa, nawet jeśli takie prawo istnieje. Zatem w świetle art. 23 ust. 1 pkt 5 w zw. z art. 23 ust. 4 pkt 4 ustawy nie można mówić o realizacji usprawiedliwionego celu. W zaskarżonej decyzji nie uwzględniono tego, że szczególnie rażący charakter ma naruszenie w decyzji z dnia [...] maja 2015r. art. 7 k.p.a. i art. 75 § 1 k.p.a. polegające na ustaleniu wyłącznie w oparciu o wyjaśnienie spółki "[...]" S.A., że nie zapłaciła za usługi spółki [...] Sp. z o.o. Nie jest zasadne twierdzenie GIODO, że "[...]" S.A. ujawnił jedynie część danych osobowych. Jej dane osobowe zamieszczone są w internecie w taki sposób, że z łatwością można ją zidentyfikować i ustalić jej tożsamość, zwłaszcza przy podaniu obok nazwiska, imienia, adresu - numeru NIP. W świetle art. 6 ust. 2 ustawy o ochronie danych osobowych osobą możliwą do zidentyfikowania jest osoba, której tożsamość można określić bezpośrednio lub pośrednio, w szczególności przez powołanie numeru identyfikacyjnego albo jednego ze specyficznych czynników określających jej cechy. Organ administracji nie uwzględnił tego, że niezasadne jest twierdzenie, iż na opublikowanie informacji o niej pozwala ustawa o udostępnianiu informacji gospodarczych i wymianie danych gospodarczych. Zgodnie z art. 15 tej ustawy, przekazanie informacji do Biura Informacji Gospodarczej może nastąpić jedynie wówczas, gdy upłynął co najmniej miesiąc od doręczenia dłużnikowi wezwania do zapłaty zawierającego ostrzeżenie o zamiarze przekazania danych do tego Biura, a wierzytelność istnieje i jest wymagalna. Istotne jest jednak to, że uprawnienia, które dotyczą BIG na mocy tej ustawy nie mają zastosowania do firmy "[...]" S.A. Nadto nigdy nie otrzymała wezwania do zapłaty. W tej sytuacji istnieje bezwzględna potrzeba zmiany objętej wnioskiem decyzji. Wymaga wskazania to, że Główny Inspektor Ochrony Danych Osobowych jest organem powołanym nie tylko do ochrony interesów wierzycieli lecz również do ochrony osób, których dane osobowe zostały bezprawnie wykorzystane przez niezgodne z prawem i nieusprawiedliwione interesy tzw. "wierzycieli". W odpowiedzi na skargę Generalny Inspektor Ochrony Danych Osobowych wniósł o jej oddalenie, wskazując na dotychczasowe ustalenia faktyczne i prawne. Ponadto uczestnik postępowania [...] S. A. w siedziba w K. wniósł o oddalenie skargi, podzielając argumentację Generalnego Inspektora Ochrony Danych Osobowych. W piśmie procesowym z dnia [...] kwietnia 2017 r. skarżąca podniosła, że twierdzenia uczestnika co do nabycia wierzytelności i zawiadomienia o tym, są gołosłowne i uczestnik nie przedstawił umowy, na podstawie której nabył jakoby wierzytelność w stosunku do niej. Ponadto [...] S. A. nie miał podstaw do przekazania jakichkolwiek jej danych osobowych, ponieważ nie służyła mu wobec niej żadna wierzytelność. Nie jest też prawdą, że uczestnik wzywał ja do zapłaty długu, a z wypisu KRS uczestnika wynika, że w jego przedmiocie działalności nie mieści się obrót wierzytelnościami. Natomiast ustosunkowując się do odpowiedzi na skargę organu stwierdziła, że GIODO w sposób rażący zaniedbał swoje obowiązki przy rozpatrywaniu sprawy, biorąc pod uwagę wiele istotnych naruszeń przepisów o ochronie danych osobowych, których dopuścił się wobec niej uczestnik. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: Zgodnie z brzmieniem art. 1 § 1 i 2 ustawy z dnia 25 lipca 2002 r. – Prawo o ustroju sądów administracyjnych (tekst jedn. Dz. U. z 2016 r., poz. 1066), sąd administracyjny sprawuje wymiar sprawiedliwości m.in. poprzez kontrolę działalności administracji publicznej pod względem zgodności z prawem. Innymi słowy, wojewódzki sąd administracyjny nie orzeka co do istoty sprawy w zakresie danego przypadku, lecz jedynie kontroluje legalność rozstrzygnięcia zapadłego w tym postępowaniu, z punktu widzenia jego zgodności z prawem materialnym i obowiązującymi przepisami prawa procesowego. Skarga analizowana pod tym kątem podlega oddaleniu, bowiem zaskarżona decyzja została wydana zgodnie z prawem. Stosownie do treści art. 39b ustawy z dnia 2 lipca 2014 r. o swobodzie działalności gospodarczej (tekst jedn. Dz. U. z 2015 r., poz. 584 ze zm.), do jawnych danych i informacji udostępnianych przez CEIDG nie stosuje się przepisów ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2014 r. poz. 1182 i 1662 oraz z 2015 r. poz. 1309), z wyjątkiem przepisów art. 14 – 19a i art. 21 – 22a oraz rozdziału 5 tej ustawy. Z kolei w myśl art. 38 ust. 1 tejże ustawy, dane i informacje udostępniane przez CEIDG są jawne. Każdy ma prawo dostępu do danych i informacji udostępnianych przez CEIDG, a dane i informacje, o których mowa w art. 37 ust. 1 i 2, są udostępniane na stronie internetowej CEIDG. Natomiast w myśl art. 37 ust. 1 ustawy, CEIDG udostępnia zawarte w niej dane i informacje określone w art. 25 ust. 1, z wyjątkiem numeru PESEL, daty urodzenia, adresu zamieszkania, o ile nie jest on taki sam jak pozostałe adresy wskazane w art. 25 ust. 1 pkt 5, oraz danych kontaktowych, o których mowa w art. 25 ust. 1 pkt 6, w przypadku gdy, podając je, osoba uprawniona sprzeciwiła się ich udostępnianiu w CEIDG oraz w ust. 2 (pkt 2), a według ust. 2 CEIDG udostępnia następujące informacje o przedsiębiorcach i innych podmiotach: 1) o uzyskaniu, cofnięciu, utracie i wygaśnięciu uprawnień wynikających z koncesji; 2) o uzyskaniu, cofnięciu, utracie i wygaśnięciu uprawnień wynikających z zezwolenia lub licencji; 3) o wpisie do rejestru działalności regulowanej, zakazie wykonywania działalności określonej we wpisie oraz o wykreśleniu z rejestru. Natomiast zgodnie z art. 25 ust. 1 wpisowi do CEIDG podlegają: 1) firma przedsiębiorcy oraz jego numer PESEL, o ile taki posiada; 1a) data urodzenia przedsiębiorcy; 2) numer identyfikacyjny REGON przedsiębiorcy, o ile taki posiada; 3) numer identyfikacji podatkowej (NIP) oraz informacje o jego unieważnieniu lub uchyleniu; 4) informacja o obywatelstwie polskim przedsiębiorcy, o ile takie posiada, i innych obywatelstwach przedsiębiorcy; 5) adres zamieszkania przedsiębiorcy, adres do doręczeń przedsiębiorcy oraz adresy, pod którymi jest wykonywana działalność gospodarcza, w tym adres głównego miejsca wykonywania działalności i oddziału, jeżeli został utworzony; dane te są zgodne z oznaczeniami kodowymi przyjętymi w krajowym rejestrze urzędowym podziału terytorialnego kraju, o ile to w danym przypadku możliwe; 6) dane kontaktowe przedsiębiorcy, w szczególności adres poczty elektronicznej, strony internetowej, numer telefonu, o ile dane te zostały zgłoszone we wniosku o wpis do CEIDG; 7) data rozpoczęcia wykonywania działalności gospodarczej; 8) określenie przedmiotów wykonywanej działalności gospodarczej, zgodnie z Polską Klasyfikacją Działalności (PKD); 9) informacje o istnieniu lub ustaniu małżeńskiej wspólności majątkowej; 10) numer identyfikacji podatkowej (NIP) oraz numer identyfikacyjny REGON spółek cywilnych, jeżeli przedsiębiorca zawarł umowy takich spółek; 11) dane pełnomocnika upoważnionego do prowadzenia spraw przedsiębiorcy, wraz ze wskazaniem zakresu spraw, które obejmuje dane pełnomocnictwo, o ile przedsiębiorca udzielił pełnomocnictwa i zgłosił informację o jego udzieleniu we wniosku o wpis do CEIDG; 11a) dane przedstawiciela ustawowego, o ile są wymagane; 12) informacja o zawieszeniu i wznowieniu wykonywania działalności gospodarczej; 13) informacja o ograniczeniu lub utracie zdolności do czynności prawnych oraz ustanowieniu kurateli lub opieki; 14) informacja o ogłoszeniu upadłości i ukończeniu tego postępowania; 14a) informacja o prawomocnym oddaleniu wniosku o ogłoszenie upadłości z tego powodu, że majątek niewypłacalnego dłużnika nie wystarcza na zaspokojenie kosztów postępowania lub wystarcza jedynie na zaspokojenie tych kosztów; 14b) informacja o prawomocnym uchyleniu lub wygaśnięciu układu zawartego w postępowaniu restrukturyzacyjnym lub upadłościowym; 15) informacja o otwarciu postępowania restrukturyzacyjnego i jego ukończeniu albo uprawomocnieniu się postanowienia o zatwierdzeniu układu w postępowaniu o zatwierdzenie układu; 15a) informacja o przekształceniu przedsiębiorcy będącego osobą fizyczną wykonującą we własnym imieniu działalność gospodarczą w jednoosobową spółkę kapitałową; 16) informacja o zakazie prowadzenia działalności gospodarczej; 17) informacja o zakazie wykonywania określonego zawodu, którego wykonywanie przez przedsiębiorcę podlega wpisowi do CEIDG; 18) informacja o zakazie prowadzenia działalności związanej z wychowaniem, leczeniem, edukacją małoletnich lub z opieką nad nimi; 18a) informacja o dacie trwałego zaprzestania wykonywania działalności gospodarczej, o ile informacja ta została zgłoszona we wniosku o wpis do CEIDG; 19) informacja o wykreśleniu przedsiębiorcy z CEIDG. Z kolei w myśl art. 434 zdanie pierwsze Kodeksu cywilnego, firmą osoby fizycznej jest jej imię i nazwisko. Tym samym organ nie posiada uprawnień do rozpatrywania spraw związanych z przetwarzaniem jawnych danych (w tym danych osobowych), które znajdują się w rejestrze CEIDG w takim zakresie, w jakim dane te dotyczą wykonywanej (obecnie lub uprzednio) działalności gospodarczej. Zatem Generalny Inspektor Ochrony Danych Osobowych słusznie w decyzji z dnia [...] grudnia 2016 r. nr [...], uchylił decyzję z dnia [...] maja 2016 r. nr [...] w części dotyczącej przetwarzania danych osobowych D. G. w zakresie jej imienia, nazwiska, adresu prowadzenia działalności gospodarczej oraz NIP przez [...] S. A. z siedzibą w K. oraz w części dotyczącej niewykonania w stosunku do skarżącej obowiązku informacyjnego w zakresie określonym w art. 25 ust. 1 pkt 4 i 5 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych. W tym miejscu wskazać należy, że stosownie do treści art. 105 § 1 k.p.a., w myśl art. 105 § 1 k.p.a., gdy postępowanie z jakiejkolwiek przyczyny stało się bezprzedmiotowe, organ administracji wydaje decyzję o umorzeniu postępowania odpowiednio w całości albo w części i organ zasadnie powołał się na ten fragment Komentarza do Kodeksu postępowania administracyjnego autorstwa B. Adamiak, J. Borkowski, Kodeks postępowania administracyjnego. Komentarz, C. H. Beck, Warszawa 2005 w którym czytamy, że "bezprzedmiotowość postępowania administracyjnego, o której stanowi art. 105 § 1 k.p.a. oznacza, że brak jest któregoś z elementów materialnego stosunku prawnego, a wobec tego nie można wydać decyzji załatwiającej sprawę przez rozstrzygnięcie jej co do istoty. Przesłanka umorzenia postępowania może istnieć jeszcze przed wszczęciem postępowania, co zostanie ujawnione dopiero w toczącym się postępowaniu, a może ona powstać także w czasie trwania postępowania, a więc w sprawie już zawisłej przed organem administracyjnym". Wobec powyższego odpowiada prawu umorzenie postępowania w części dotyczącej przetwarzania przez Spółkę danych osobowych w zakresie imienia, nazwiska, adresu prowadzenia działalności gospodarczej oraz NIP skarżącej. Generalny Inspektor Ochrony Danych Osobowych jest natomiast uprawniony do oceny prawidłowości przetwarzania danych osobowych skarżącej w zakresie wysokości i podstawy jej zadłużenia. Tego rodzaju dane osobowe nie mieszczą się bowiem w katalogu określonym art. 39b ustawy o swobodzie działalności gospodarczej. Natomiast organ jest uprawniony do oceny prawidłowości przetwarzania danych osobowych skarżącej w zakresie wysokości i podstawy jej zadłużenia, bowiem powyższe dane nie są wymienione w art. 39b ustawy o swobodzie działalności gospodarczej. W dalszej części wskazać należy, że w myśl art. 25 ust. 1 ustawy o ochronie danych osobowych, w przypadku zbierania danych osobowych nie od osoby, której one dotyczą, administrator danych jest obowiązany poinformować tę osobę, bezpośrednio po utrwaleniu zebranych danych, o adresie swojej siedziby i pełnej nazwie, a w przypadku gdy administratorem danych jest osoba fizyczna, o miejscu swojego zamieszkania oraz imieniu i nazwisku; celu i zakresie zbierania danych, a w szczególności o odbiorcach lub kategoriach odbiorców danych; źródle danych; prawie dostępu do treści swoich danych oraz ich poprawiania; uprawnieniach wynikających z art. 32 ust. 1 pkt 7 i 8. Tymczasem Spółka poinformowała skarżącą o swoim adresie siedziby, pełnej nazwie, zakresie i celu przetwarzanych danych oraz źródle pozyskania tych danych. Jednakże nie poinformowała skarżącej o prawie dostępu do treści jej danych oraz ich poprawiania, jak i o uprawnieniach wynikających z art. 32 ust. 1 pkt 7 i 8 ustawy o ochronie danych osobowych. W zasadnym było nakazanie Spółce wypełnienie w stosunku do skarżącej obowiązku informacyjnego określonego w art. 25 ust. 1 ustawy w zakresie poinformowania jej o prawie dostępu do treści danych osobowych oraz o uprawnieniach wynikających z art. 32 ust. 1 pkt 7 i 8 ustawy. Wskazać również należy, że zgodnie z treścią art. 23 ust. 1 pkt 2) i 5) ustawy o ochronie danych osobowych, przetwarzanie danych jest dopuszczalne tylko wtedy, gdy jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa i jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą. Natomiast [...] S. A. uzyskał dane osobowe skarżącej na podstawie zawartej z [...] S. A. umowy sprzedaży wierzytelności i tym samym stał się administratorem jej danych osobowych, uprawnionym do samodzielnego przetwarzania danych w rozumieniu art. 7 pkt 4 ustawy. Ponadto na ponowne publikowanie danych pozwala art. 4 ustawy z dnia 9 kwietnia 2010 r. o udostępnianiu informacji gospodarczych i wymianie danych gospodarczych (Dz. U. z 2014 r. poz. 1015 ze zm.) zgodnie z którym, udostępnianie informacji gospodarczych, które wskazano w art. 2 ust. 1 ustawy, osobom trzecim nieoznaczonym w chwili przeznaczania tych informacji do udostępniania następuje wyłącznie za pośrednictwem biura informacji gospodarczej, chyba że udostępnianie następuje w celu sprzedaży wierzytelności przez ogłoszenie publiczne lub przepisy prawa przewidują inny tryb udostępniania danych. Zatem z treści powyższych przepisów wynika, że możliwe jest publikowanie danych gospodarczych przez podmioty takie jak [...] S.A. nie posiadające statusu biura informacji gospodarczej, celem sprzedaży wierzytelności przez ogłoszenie publiczne dane w zakresie m. in. tytułu prawnego, kwoty zaległości, informacji o zbyciu wierzytelności. Natomiast organ nie ma podstaw prawnych do nakazania Spółce usunięcia danych osobowych skarżącej z uwagi na ewentualną nieprawdziwość lub nieaktualność tych danych na podstawie art. 35 ostawy o ochronie danych osobowych, ponieważ istnienie, wysokość jak i podstawa wierzytelności jest okolicznością sporną, wynikającą z umowy, a Generalny Inspektor Ochrony Danych Osobowych nie ma kompetencji do oceny prawidłowości stosunku zobowiązaniowego, jak i podważenia jego istnienia w przypadku, gdy jest to okoliczność sporna. Wskazać również należy, że zgodnie z art. 512 k.c., dopóki zbywca nie zawiadomił dłużnika o przelewie, spełnienie świadczenia do rąk poprzedniego wierzyciela ma skutek względem nabywcy, chyba że w chwili spełnienia świadczenia dłużnik wiedział o przelewie i przepis ten stosuje się odpowiednio do innych czynności prawnych dokonanych między dłużnikiem, a poprzednim wierzycielem. Zatem rację należy przyznać organowi, że przepis ten dotyczy skuteczności czynności dokonanych przez dłużnika ze zbywcą wierzytelności, bowiem nie uzależnia on możliwości dochodzenia roszczeń, jak równie do przetwarzania danych osobowych dłużnika w tym celu, od poinformowania go o dokonanej cesji i w konsekwencji powyższy przepis prawa nie ma znaczenia w rozpoznawanej sprawie. W tym stanie rzeczy, na podstawie art. 151 i art. 132 ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (tekst jedn. Dz. U. z 2016 r., poz. 718), należało orzec jak w sentencji wyroku.