II SA/Wa 334/25

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Iwona Maciejuk, Sędzia WSA Danuta Kania (spr.), Asesor WSA Mateusz Rogala, , Protokolant specjalista Joanna Głowala, , po rozpoznaniu na rozprawie w dniu 3 września 2025 r. sprawy ze skargi A. J. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] grudnia 2024 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę Prezes Urzędu Ochrony Danych Osobowych (dalej: "Prezes UODO", "organ") decyzją z dnia [...] grudnia 2024 r. nr [...], na podstawie art. 104 § 1 i art. 105 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2024 r. poz. 572 ze zm.), dalej: "k.p.a.", w związku z art. 7 ust. 1 i 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019r., poz. 1781), dalej: "u.o.d.o. z 2018 r.", art. 6 ust. 1 lit. c, f oraz art. 58 ust. 2 rozporządzenia Parlamentu Europejskiego i Rady UE 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych); (Dz. Urz. UE L 119 z dnia 4 maja 2016 r., s. 1, Dz. Urz. UE L 127 z dnia 23 maja 2018 r., s. 2 oraz Dz. Urz. UE L 74 z dnia 4 marca 2021 r., s. 35), dalej: "RODO": odmówił uwzględnienia wniosku w zakresie nieprawidłowości w procesie przetwarzania danych osobowych A. J. przez C. S.A. z siedzibą w W. (poprzednio: G. S.A. z siedzibą w W.) oraz [...] Fundusz Inwestycyjny Zamknięty Niestandaryzowany Fundusz Sekurytyzacyjny w likwidacji (poprzednio: E. Niestandaryzowany Sekurytyzacyjny Fundusz Inwestycyjny Zamknięty), reprezentowany przez [...] Towarzystwo Funduszy Inwestycyjnych S.A. z siedzibą w W., polegających na przetwarzaniu danych osobowych bez podstawy prawnej (punkt 1); umorzył postępowanie w pozostałym zakresie (punkt 2). W uzasadnieniu decyzji Prezes UODO wskazał, że do Urzędu Ochrony Danych Osobowych wpłynęła skarga A. J. (dalej: "Skarżący"), na nieprawidłowości w procesie przetwarzania jego danych osobowych przez C. S.A. z siedzibą w W.; poprzednio G. S.A. z siedzibą w W., (dalej: "Spółka"), oraz [...] Fundusz Inwestycyjny Zamknięty Niestandaryzowany Fundusz Sekurytyzacyjny w likwidacji; poprzednio E. Niestandaryzowany Sekurytyzacyjny Fundusz Inwestycyjny Zamknięty (dalej: "Fundusz"), reprezentowany przez [...] Towarzystwo Funduszy Inwestycyjnych S.A. z siedzibą w W. (dalej: "Towarzystwo"), polegające na: przetwarzaniu danych osobowych Skarżącego bez podstawy prawnej; ich udostępnienie na rzecz podmiotów nieuprawnionych; niedostarczeniu Skarżącemu żądanej, na podstawie art. 15 ust. 3 RODO, kopii danych osobowych podlegających przetwarzaniu. Skarżący, jak podał w treści skargi, otrzymał od Spółki pismo z dnia 25 sierpnia 2017 r., w którym został wezwany do zapłaty 3726,114 zł. W piśmie tym wskazano również, że pismem z dnia 16 marca 2017 r. Skarżący został powiadomiony o cesji przypisywanego mu zadłużenia. Następnie Skarżący otrzymał od Spółki pismo z dnia 21 września 2017 r. z wezwaniem do zapłaty kwoty 3745,03 zł, a w dniu 6 października 2017 r. Spółka wezwała go telefonicznie do zapłaty kwoty przekraczającej 4400 zł. Z ww. pism wynika, że Spółka działa jako pełnomocnik Funduszu. Wierzytelność, do zapłaty której Skarżący był wzywany, miała wynikać z nieuregulowania płatności za wystawiane faktury przez pierwotnego wierzyciela, tj. [...] S.A. Podmiot ten miał sprzedać wierzytelność na rzecz Funduszu. Skarżący pismem z dnia 6 października 2017 r. oświadczył, że odmawia zapłaty z powodu nieistnienia zadłużenia, przy czym zażądał zaniechania wzywania go do zapłaty i zaprzestania przetwarzania jego danych osobowych, włącznie z ich obrotem. Skarżący zarzucił Spółce oraz Funduszowi przetwarzanie jego danych osobowych bez podstawy prawnej, ich udostępnienie podmiotom nieuprawnionym poprzez wysyłanie pism na nieprawidłowy adres, przekazanie danych osobowych zajmującemu się windykacją podmiotowi. Wniósł o udostępnienie zestawienia oraz nagrań wszystkich rozmów telefonicznych przeprowadzonych ze Spółką oraz zakazanie przetwarzania i udostępniania jego danych osobowych w innych celach, niż związane z postępowaniami sądowymi. W piśmie z dnia 8 listopada 2021 r. Towarzystwo wyjaśniło, że Fundusz pozyskał dane osobowe Skarżącego w związku z nabyciem wierzytelności od [...] S.A. dotyczących dokumentów: [...] (data wystawienia: [...] maja 2016 r.), [...] (data wystawienia: [...] kwietnia 2016 r.), [...] (data wystawienia: [...] czerwca 2016 r.), [...] (data wystawienia: [...] kwietnia 2016 r.), [...] (data wystawienia: [...] lipca 2016 r.) na podstawie zawartego Porozumienia nr [...] z dnia [...] lutego 2017 r. do Umowy Ramowej Cyklicznego Przelewu Wierzytelności z dnia [...] lutego 2017 r., zgodnie z art. 509 ustawy z dnia 23 kwietnia 1964 r. Kodeks cywilny (Dz. U. z 2022 r. poz. 1360), dalej: "k.c.", tym samym stając się ich administratorem. Zakres pozyskanych danych obejmował: imię i nazwisko, PESEL, dane adresowe (adres do korespondencji, adres instalacji), dane finansowe (numery dokumentów finansowych będących podstawą do dochodzenia wierzytelności Funduszu: [...], [...], [...], [...],[...]). Towarzystwo wskazało, że podstawą prawną przetwarzania przedmiotowych danych przez Fundusz w celu windykacji wierzytelności był art. 6 ust. 1 lit f RODO w związku z art. 509 k.c. Towarzystwo wyjaśniło również, że wobec zawartej umowy przeniesienia portfeli wierzytelności z dnia [...] kwietnia 2019 r. zgodnie z art. 509 k.c., Fundusz zbył wierzytelności Skarżącego do [...] Niestandaryzowanego Sekurytyzacyjnego Funduszu Inwestycyjnego Zamkniętego z siedzibą w W. Aktualnie Fundusz przetwarza dane osobowe Skarżącego na podstawie art. 6 ust. 1 pkt c RODO w związku z art. 74 ust. 2 pkt 4 ustawy z dnia 29 września 1994 r. o rachunkowości (Dz. U. z 2023 r., poz. 120). Fundusz może również przetwarzać dane osobowe Skarżącego realizując uprawnienie wynikające z art. 6 ust. 1 pkt f RODO w związku z art. 751, art. 118 i art. 125 k.c. przez okres przedawnienia roszczeń cywilnych. Towarzystwo wskazało również, że Fundusz powierzył Spółce przetwarzanie danych osobowych Skarżącego na mocy zawartej na podstawie art. 28 ust. 3 RODO umowy powierzenia przetwarzania danych osobowych z dnia [...] maja 2018 r. w zakresie: imię i nazwisko, PESEL, dane adresowe (adres do korespondencji, adres instalacji), dane finansowe (numery dokumentów finansowych będących podstawą do dochodzenia wierzytelności Funduszu: [...], [...], [...], [...], [...]). Towarzystwo podkreśliło, że ani Fundusz, ani Spółka nie udostępnili danych osobowych Skarżącego do innych podmiotów, które realizują operacje przetwarzania jako niezależni administratorzy danych. Korespondencja kierowana do Skarżącego informująca o cesji wierzytelności została wysłana na adres przekazany przez poprzedniego wierzyciela jako aktualny oraz właściwy do kontaktu z osobą zobowiązaną do spłaty. Następnie, w toku prowadzonych działań windykacyjnych, został ustalony adres zamieszkania, na który również były wysyłane kolejne pisma kierowane do Skarżącego. Spółka, prowadząc działania windykacyjne, wykorzystuje dane, przekazane przez wierzyciela pierwotnego. Wszelkie czynności realizowane były zatem w przeświadczeniu o ich poprawności i aktualności oraz w dobrej wierze. Odnosząc się do zarzutu Skarżącego o upowszechnianiu informacji o zadłużeniu poprzez przesyłanie pism na błędny adres Towarzystwo wyjaśniło, iż do pisma z dnia 27 listopada 2017 r., stanowiącego odpowiedź na reklamację, Spółka przesłała Skarżącemu kopię zawiadomienia o cesji skierowanej na adres wskazany przez wierzyciela pierwotnego. Pomimo tego Skarżący nie złożył wniosku o usunięcie bądź zablokowanie przedmiotowego adresu jako nieaktualnego lub błędnego. W dniu 6 października 2017 r. Spółka otrzymała pismo od Skarżącego, w którym podważał on zasadność roszczenia oraz żądał zaniechania przetwarzania jego danych osobowych. Skarżący kolejnymi pismami kierowanymi do Funduszu lub Spółki nie wniósł do sprawy okoliczności, które spowodowałyby brak uzasadnienia dla działań Funduszu lub Spółki lub też wygaśnięcie celu przetwarzania danych osobowych Skarżącego. Towarzystwo podało również, że Skarżący nie zwracał się ani do Funduszu, ani do Spółki o udostępnienie mu kopii przetwarzanych przez Fundusz danych osobowych. W piśmie z dnia 9 listopada 2021 r. Spółka wyjaśniła, że pozyskała dane osobowe Skarżącego działając na zlecenie Funduszu, w związku ze zleceniem obsługi sekurytyzowanych wierzytelności, na podstawie Umowy zlecenia zarządzania całością portfela inwestycyjnego Funduszu, obejmującego sekurytyzowane wierzytelności z dnia [...] czerwca 2015 r., a także zawartej pomiędzy Funduszem a Spółką na mocy art. 28 ust. 3 RODO, umowy powierzenia przetwarzania danych osobowych z dnia [...] maja 2018 r. Spółka wskazała, że przetwarzanie danych osobowych osób zadłużonych uzasadnione jest art. 193 ustawy z dnia 27 maja 2004 r. o funduszach inwestycyjnych i zarządzaniu alternatywnymi funduszami inwestycyjnymi (Dz. U. z 2022 r., poz. 1523), dalej: "ustawa o funduszach", w związku z art. 6 ust. 1 lit. f RODO. Zakres pozyskanych danych osobowych Skarżącego przetwarzanych przez Spółkę obejmuje: imię i nazwisko, PESEL, adres do korespondencji, adres instalacji, dane finansowe (numery dokumentów finansowych będących podstawą do dochodzenia wierzytelności Funduszu: [...], [...], [...], [...], [...]). Spółka wyjaśniła, że przetwarzała dane osobowe Skarżącego w procesach windykacyjnych, działając na zlecenie Funduszu w związku ze zleceniem obsługi sekurytyzowanych wierzytelności na podstawie ww. umów i aktualnie przetwarza przedmiotowe dane w zakresie: imię i nazwisko, PESEL, adres zameldowania (miasto, ulica, numer, kod pocztowy), dane finansowe (numery umów, z których wynika zadłużenie, składniki zadłużenia), dane kontaktowe telefoniczne (numer telefonu) na podstawie art. 6 ust. 1 pkt c RODO w związku art. 74 ust. 2 pkt. 4 ustawy o rachunkowości. Ponadto Spółka, jak wskazała, może przetwarzać dane osobowe Skarżącego na podstawie art. 6 ust. 1 lit. f RODO w związku z art. 118, art. 125 oraz art. 751 k.c., tj. do przedawnienia roszczeń cywilnych. Spółka podkreśliła, że nie udostępniła danych osobowych Skarżącego do innych podmiotów, które realizują operacje przetwarzania jako niezależni administratorzy danych. Korespondencja kierowana do Skarżącego informująca o cesji wierzytelności została wysłana na adres przekazany przez wierzyciela pierwotnego, którym była [...] S.A., jako aktualny oraz właściwy do kontaktu z osobą zobowiązaną do spłaty, tj. na adres ul.[...]. Następnie w toku prowadzonych działań windykacyjnych został ustalony adres zamieszkania, na który również były wysyłane kolejne pisma kierowane do Skarżącego, tj. ul.[...]. Spółka podniosła, że prowadząc działania windykacyjne wykorzystuje dane przekazane przez wierzyciela pierwotnego. Wszelkie czynności realizowane były zatem w przeświadczeniu o ich poprawności i aktualności oraz w dobrej wierze. Odnosząc się do zarzutu Skarżącego o upowszechnianiu informacji o zadłużeniu poprzez przesyłanie pism na błędny adres Spółka wskazała, że do pisma z dnia 27 listopada 2017 r., stanowiącego odpowiedź na reklamację, Spółka przesłała Skarżącemu kopię zawiadomienia o cesji skierowanej na adres wskazany przez wierzyciela pierwotnego, tj. ul.[...]. Pomimo tego Skarżący nie złożył wniosku o usunięcie bądź zablokowanie przedmiotowego adresu jako nieaktualnego lub błędnego. Z załączników przekazanych zarówno przez Spółkę, jak i Towarzystwo wynika, że na błędny adres, tj. ul.[...], zostały skierowane pisma w następujących datach od następujących podmiotów: w dniu 16 marca 2017 r. od [...] S.A., w dniu 16 marca 2017 r. od G. S.A. w imieniu Funduszu. Spółka wskazała, że w dniu 6 października 2017 r. otrzymała pismo od Skarżącego, w którym podważa on zasadność roszczenia oraz żąda zaniechania przetwarzania jego danych osobowych. Skarżący kolejnymi pismami kierowanymi do Funduszu i Spółki nie wniósł do sprawy okoliczności, które spowodowałyby brak uzasadnienia dla działań Funduszu lub Spółki bądź też wygaśnięcie celu przetwarzania danych osobowych Skarżącego. Spółka podała, że Skarżący nie zwracał się o udostępnienie mu kopii przetwarzanych przez Spółkę danych osobowych. Nadto Spółka wyjaśniła, że na podstawie zawartej umowy przeniesienia portfeli z dnia [...] kwietnia 2019 r., zgodnie z art. 509 k.c., [...] Fundusz Inwestycyjny Zamknięty Niestandaryzowany Fundusz Wierzytelności zbył wierzytelności Skarżącego do [...] Niestandaryzowanego Sekurytyzacyjnego Funduszu Inwestycyjnego Zamkniętego z siedzibą w W. Spółka wskazała, że ciążą na niej obowiązki, które wymagają przetwarzania danych osobowych Skarżącego znajdujące swoje uzasadnienie w art. 6 ust. 1 lit. c RODO, czyli w celu wypełnienia obowiązku prawnego wynikającego z art. 74 ust. 2 pkt 4 ustawy o rachunkowości. Nadto, wobec powzięcia informacji o złożeniu przez Skarżącego skargi na działania Spółki do Prezesa UODO, Spółka przetwarza dane osobowe Skarżącego w celu wynikającym z prawnie uzasadnionego interesu, w myśl art. 6 ust. 1 lit. f RODO w celu obrony przed roszczeniami Skarżącego zgłoszonymi w niniejszym postępowaniu. Okres przetwarzania danych Skarżącego w przedmiotowym celu jest jednak uzależniony od faktycznej długości prowadzonego w niniejszej sprawie postępowania administracyjnego zakończonego wydaniem prawomocnego rozstrzygnięcia - jeśli okres ten byłby dłuższy niż ten wynikający z ustawy o rachunkowości. Ponadto Spółka wskazała, że w dniu [...] sierpnia 2021 r. złożyła [...] TFI oświadczenie o rozwiązaniu umowy zlecenia zarządzania całością portfela inwestycyjnego Funduszu z dnia [...] czerwca 2015 r. ze skutkiem natychmiastowym. W związku z rozwiązaniem Umowy o zarządzanie portfelem inwestycyjnym Spółka zakończyła działania prowadzone w imieniu Funduszu. Uwzględniając powyższe Prezes UODO wskazał w pierwszej kolejności, że wydając decyzję administracyjną zobowiązany jest do rozstrzygania sprawy w oparciu o stan faktyczny oraz stan prawny istniejący w chwili wydania tej decyzji. Badając legalność przetwarzania danych osobowych organ ma bowiem obowiązek ustalenia, czy na datę wydawania rozstrzygnięcia w sprawie dane konkretnego podmiotu są przetwarzane oraz czy czynione to jest w sposób zgodny z prawem. W tym kontekście Prezes UODO podniósł, że kwestionowany przez Skarżącego proces przetwarzania jego danych osobowych rozpoczął się w czasie, gdy obowiązywały przepisy ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. 2019 r., poz. 1781), dalej: "u.o.d.o. z 1997 r.", przy czym w odniesieniu do aktualnie kontynuowanego procesu przetwarzania danych osobowych Skarżącego, zastosowanie znajdują przepisy RODO. Organ podkreślił, że na podstawie zebranego materiału dowodowego dokonał jedynie oceny legalności przetwarzania danych osobowych Skarżącego przez Spółkę i Fundusz, reprezentowany przez Towarzystwo, natomiast nie badał kwestii istnienia lub nieistnienia wierzytelności ani słuszności i zakresu roszczeń zgłaszanych przez te podmioty wobec Skarżącego. Zagadnienie to pozostaje poza kompetencjami Prezesa UODO. Takie sprawy, zgodnie z art. 1 ustawy z dnia 17 listopada 1964 r. Kodeks postępowania cywilnego (Dz. U. z 2023 r., poz. 1550), dalej: "k.p.c.", są sprawami cywilnymi i powinny być rozpatrywane w postępowaniach prowadzonych przez sądy powszechne. Tylko bowiem sąd powszechny jest władny dokonywać oceny umów cywilnoprawnych pod kątem ich legalności. Rolą Prezesa UODO nie jest rozstrzyganie sporów wynikających z umów, czy też sporów co do istnienia wierzytelności. Skarga dotyczy w istocie zasadności prowadzenia wobec Skarżącego czynności windykacyjnych, niemniej jednak organ może ocenić wyłącznie proces przetwarzania danych osobowych z tym związany. Powołując art. 6 ust. 1 RODO organ wskazał, że Fundusz i Spółka mogą przetwarzać dane osobowe Skarżącego wykazując spełnienie przynajmniej jednej z przesłanek enumeratywnie wymienionych w tym przepisie. Zgoda osoby, której dane dotyczą, nie będzie jedyną podstawą zgodności z prawem przetwarzania danych osobowych. Dochodzenie przez podmiot roszczeń finansowych wpisuje się w przesłankę określoną w art. 6 ust. 1 lit. f RODO, bowiem jest prawnie uzasadnionym interesem i w tym sensie nadrzędnym nad prawami i wolnościami osoby, której dane dotyczą. Jednocześnie nie stanowi nieproporcjonalnego ograniczenia tych praw i wolności. Uwzględniając powyższe organ wskazał, że Fundusz pozyskał dane osobowe Skarżącego w związku z nabyciem wierzytelności od [...] S.A. dotyczącej dokumentów: [...] (data wystawienia: [...] maja 2016 r.), [...] (data wystawienia: [...] kwietnia 2016 r.), [...] (data wystawienia: [...] czerwca 2016 r.), [...] (data wystawienia: [...] kwietnia 2016 r.), [...] (data wystawienia; [...] lipca 2016 r.) na podstawie zawartego Porozumienia nr [...] z dnia [...] lutego 2017 r. do Umowy Ramowej Cyklicznego Przelewu Wierzytelności z dnia [...] lutego 2017 r., tym samym stając się ich administratorem. Zakres pozyskanych danych obejmował: imię i nazwisko, PESEL, dane adresowe (adres do korespondencji, adres instalacji), dane finansowe (numery ww. dokumentów finansowych będących podstawą do dochodzenia wierzytelności Funduszu). Dane te zostały pozyskane przez Fundusz w celu dochodzenia roszczeń. Powyższe znajduje oparcie w art. 509 § 1 k.c., zgodnie z którym wierzyciel może bez zgody dłużnika przenieść wierzytelność na osobę trzecią (przelew), chyba że sprzeciwiałoby się to ustawie, zastrzeżeniu umownemu albo właściwości zobowiązania. Cesja wierzytelności wiąże się z uprawnieniem do przekazania nabywcy danych osobowych dłużnika umożliwiających podjęcie względem niego stosownych działań zmierzających do odzyskania należności. Dopuszczalność przelewu wierzytelności nie podlegała ograniczeniom umownym ani ustawowym. Nie była również wymagana zgoda Skarżącego na przelew wierzytelności. Fundusz reprezentowany przez Towarzystwo, na podstawie powyższej umowy, stał się administratorem przekazanych danych osobowych Skarżącego, przetwarzając je w celu windykacji nabytych należności, który to proces, od momentu rozpoczęcia obowiązywania RODO, znajdował oparcie w art. 6 ust. 1 lit. f RODO jako niezbędny dla realizacji celów wynikających z prawnie uzasadnionego interesu Funduszu (działań windykacyjnych). Z kolei Spółka pozyskała dane osobowe Skarżącego działając na zlecenie Funduszu, w związku ze zleceniem obsługi sekurytyzowanych wierzytelności, na podstawie Umowy zlecenia zarządzania całością portfela inwestycyjnego Funduszu obejmującego sekurytyzowane wierzytelności z dnia [...] czerwca 2015 r. - stosownie do art. 193 ustawy o funduszach, zgodnie z którym Fundusz sekurytyzacyjny oraz podmiot, z którym towarzystwo zawarło umowę o zarządzanie sekurytyzowanymi wierzytelnościami, zbierają i przetwarzają dane osobowe dłużników sekurytyzowanych wierzytelności jedynie w celach związanych z zarządzaniem wierzytelnościami sekurytyzowanymi. Zarządzanie sekurytyzowanymi wierzytelnościami Funduszu obejmuje w szczególności uzyskiwanie świadczeń z tytułu wierzytelności, proponowanie dogodnych warunków spłaty, oferowania i zawarcia ugody, prowadzenie komunikacji z dłużnikiem, zapobieganie oszustwom. Fundusz powierzył przetwarzanie danych Spółce w oparciu o art. 28 ust. 3 RODO. Spółka, dochodząc od Skarżącego spłaty zadłużenia, przetwarzała dane osobowe Skarżącego jako podmiot przetwarzający dane w imieniu Funduszu, który wciąż pozostawał ich wyłącznym administratorem, w oparciu o umowę powierzenia zawartą w dniu [...] maja 2018 r. Powierzenie przetwarzania danych osobowych Skarżącego nastąpiło w sposób legalny, w oparciu o art. 28 ust. 3 RODO i nie wymagało uprzedniego uzyskania zgody Skarżącego. Tym samym Spółka przetwarzała dane osobowe Skarżącego realizując prawnie uzasadniony interes Funduszu, jakim było dochodzenie roszczeń względem Skarżącego z tytułu nabytej przez Fundusz wierzytelności. Powyższe odbywało się na podstawie przesłanki z art. 6 ust. 1 lit. f RODO. W dniu [...] kwietnia 2019 r., wobec zawartej umowy przeniesienia portfeli wierzytelności z dnia [...] kwietnia 2019 r. zgodnie z art. 509 k.c., Fundusz zbył wierzytelności Skarżącego do [...] Niestandaryzowanego Sekurytyzacyjnego Funduszu Inwestycyjnego Zamkniętego z siedzibą w W. Natomiast Spółka w dniu [...] sierpnia 2021 r. złożyła Towarzystwu oświadczenie o rozwiązaniu umowy zlecenia zarządzania całością portfela inwestycyjnego Funduszu z dnia [...] czerwca 2015 r. ze skutkiem natychmiastowym. W związku z rozwiązaniem Umowy o zarządzanie portfelem inwestycyjnym Spółka zakończyła działania prowadzone w imieniu Funduszu. Obecnie dane osobowe Skarżącego nie są przetwarzane w celach windykacyjnych. Towarzystwo wyjaśniło, że Fundusz obecnie przetwarza dane osobowe Skarżącego w celu spełnienia obowiązków podatkowych i księgowych na podstawie art. 74 ust. 1 pkt 4 ustawy o rachunkowości w związku z art. 6 ust. 1 lit. c RODO. Mając na uwadze, że Fundusz zbył wierzytelność w dniu [...] kwietnia 2019 r. należy uznać, że 5-letni okres przechowywania dokumentów księgowych, o którym mowa w art. 74 ust. 1 pkt 4 ustawy o rachunkowości, jeszcze nie upłynął. Powyższe przesądza o spełnieniu przesłanki przetwarzania danych osobowych Skarżącego, wynikającej z art. 6 ust. 1 lit. c RODO. Aktualny proces przetwarzania przez Fundusz danych osobowych Skarżącego, wobec konieczności spełnienia obowiązku wynikającego z przepisów ustawy o rachunkowości, uznać należało za proces legalny. Tym samym należało odmówić uwzględnienia wniosku w zakresie nakazania Funduszowi usunięcia danych osobowych Skarżącego. Spółka, jako podstawę obecnego przetwarzania danych osobowych Skarżącego wskazała również art. 74 ust. 2 pkt 4 ustawy o rachunkowości. Stwierdzić jednakże należy, że proces przetwarzania danych osobowych Skarżącego przez Spółkę, kwestionowany w skardze, a zatem odbywający się w celu dochodzenia wierzytelności w imieniu Funduszu, nie jest obecnie kontynuowany. W związku z rozwiązaniem Umowy o zarządzanie portfelem inwestycyjnym (oświadczenie z dnia [...] sierpnia 2021 r.), Spółka zakończyła działania prowadzone w imieniu Funduszu. Fundusz natomiast zbył przedmiotową wierzytelność w dniu [...] kwietnia 2019 r. Towarzystwo jako aktualną podstawę przetwarzania danych osobowych Skarżącego przez Fundusz wskazało także art. 6 ust. 1 lit. f RODO przez okres przedawnienia roszczeń cywilnych. Zebrany w niniejszym postępowaniu materiał dowodowy nie wykazał jednak, aby Fundusz wystąpił z roszczeniem wobec Skarżącego, czy też aby Skarżący wystąpił z jakimkolwiek roszczeniem wobec Funduszu, które uzasadniałoby uprawnienie Funduszu do zachowania i przetwarzania jego danych osobowych dla celów dowodowych w związku z dochodzeniem przez Skarżącego tego roszczenia. Z uwagi na fakt, że na podstawie zawartej umowy przeniesienia portfeli z dnia [...] kwietnia 2019 r., zgodnie z art. 509 k.c., Fundusz zbył wierzytelności Skarżącego, brak jest rozsądnych przesłanek, które uzasadniałyby przetwarzanie przez Fundusz danych Skarżącego w tym celu. Nie została również spełniona wskazywana przez Fundusz przesłanka niezbędności do celów wynikających z prawnie usprawiedliwionych interesów realizowanych przez administratora odnośnie przetwarzania danych osobowych Skarżącego. Oznacza to, zdaniem organu, że kontynuowanie w chwili obecnej przetwarzania danych osobowych Skarżącego w celu ustalenia, dochodzenia lub obrony przed ewentualnymi, przyszłymi i niepewnymi roszczeniami należy uznać za zbędne i niezgodne z obowiązującymi przepisami o ochronie danych osobowych. Odnośnie natomiast przetwarzania danych osobowych Skarżącego w związku z niniejszym postępowaniem prowadzonym przez Prezesa UODO, organ wskazał, że dane osobowe mogą być przetwarzane przez okres niezbędny do realizacji celu, zatem zakończenie postępowania administracyjnego powoduje wygaśnięcie tego celu przetwarzania. Podsumowując tę część rozważań organ stwierdził, że w niniejszej sprawie nie zachodzą nieprawidłowości w procesie przetwarzania danych osobowych. Aktualnie proces przetwarzania danych osobowych przez Fundusz jest zgodny z prawem i znajduje oparcie w przesłance określonej w art. 6 ust. 1 lit. c RODO w związku z art. 74 ust. 2 pkt. 4 ustawy o rachunkowości. Dalej organ wskazał, iż zgromadzony w przedmiotowej sprawie materiał dowodowy nie potwierdza w sposób jednoznaczny i bezsporny, że doszło do udostępnienia danych osobowych Skarżącego przez Fundusz i Spółkę na rzecz osób nieuprawnionych. Fundusz i Spółka złożyły wyjaśnienia, z których jednoznacznie wynika, że dane osobowe Skarżącego nie zostały udostępnione żadnej osobie nieuprawnionej. Skarżący zaś nie przedstawił, poza własnym oświadczeniem, dowodów na potwierdzenie wskazywanych przez siebie nieprawidłowości, jakoby do takiego udostępnienia istotnie doszło. Tym samym organ dysponuje w niniejszym postępowaniu jedynie sprzecznymi oświadczeniami stron, co nie pozwala uznać, że kwestionowany przez Skarżącego proces udostępnienia jego danych osobowych osobom nieuprawnionym zaistniał. Z zebranego materiału dowodowego wynika, że kwestionowany przez Skarżącego adres, tj. ul.[...], został przekazany Spółce przez wierzyciela pierwotnego jako aktualny oraz właściwy do kontaktu z osobą zobowiązaną do spłaty. Dodatkowo z załączników przekazanych zarówno przez Spółkę, jak i Towarzystwo wynika, że na błędny adres, tj. ul.[...], zostały skierowane pisma w następujących datach od następujących podmiotów: w dniu 16 marca 2017 r. od [...] S.A. oraz w dniu 16 marca 2017 r. od G. S.A. w imieniu Funduszu. Wobec tego korespondencja była wysyłana na kwestionowany przez Skarżącego adres przed 25 maja 2018 r., a więc przed wejściem w życie RODO. Opisane zdarzenia nie mogą być więc oceniane w toku postępowania administracyjnego zmierzającego do wydania decyzji w oparciu o przepisy RODO. Przepis art. 99 ust. 1 RODO wprost wskazuje, że niniejsze rozporządzenie ma zastosowanie od dnia 25 maja 2018 r. Oznacza to, że przepisy RODO mają zastosowanie wyłącznie w sprawach, w których skargę wniesiono po 25 maja 2018 r. i w tej dacie kwestionowany proces przetwarzania danych osobowych trwał. Z uwagi na fakt, że wysyłka korespondencji na nieprawidłowy adres miała miejsce w czasie, gdy obowiązywały przepisy ustawy z dnia 29 sierpnia 1997 r., a postępowanie administracyjne przed organem nadzorczym zostało zainicjowane w czasie, gdy zaczęły obowiązywać przepisy ustawy z dnia 10 maja 2018 r. do rozstrzygnięcia przedmiotowej sprawy nie jest możliwe również zastosowanie przepisów ustawy z dnia 29 sierpnia 1997 r. Przepis art. 160 ust. 1 i 2 u.o.d.o. z 2018r. stanowi, że jedynie postępowania wszczęte i niezakończone przed dniem wejścia w życie niniejszej ustawy z dnia 10 maja 2018 r., są prowadzone przez Prezesa UODO na podstawie ustawy z dnia 29 sierpnia 1997 r. Tym samym Prezes UODO nie ma możliwości prowadzenia postępowania administracyjnego w oparciu o przepisy UODO z 1997 r., gdyż postępowanie w przedmiotowej sprawie zostało wszczęte po dniu wejścia w życie u.o.d.o. z 2018 r. Brak jest również podstawy do korzystania przez Prezesa UODO z uprawnień przewidzianych w uchylonej ustawie z dnia 29 sierpnia 1997r. w tym do oceny zgodności zachowania administratora z ww. przepisami w przypadku, gdy skarżony proces przetwarzania nie był kontynuowany po 25 maja 2018r. Organ nie może również dokonać oceny zgodności kwestionowanych w skardze działań administratora z RODO, bowiem zdarzenie będące przedmiotem skargi ma charakter zakończony i nie było kontynuowane po 25 maja 2018 r. Ponadto brak jest obecnie przepisów kompetencyjnych uprawniających organ do prowadzenia postępowania w przedmiocie oceny zgodności działania administratora z przepisami u.o.d.o. z 1997 r. Z powyższych względów niniejsze postępowanie w zakresie udostępnienia danych osobowych Skarżącego przez Fundusz i Spółkę na rzecz osób nieuprawnionych podlega umorzeniu na podstawie art. 105 § 1 k.p.a. jako bezprzedmiotowe. Odnosząc się do żądania Skarżącego dotyczącego wydania przez Spółkę zestawienia oraz nagrań wszystkich rozmów telefonicznych przeprowadzonych ze Spółką organ powołał art. 15 ust. 1 i 3 RODO. Podkreślił, że uprawnienia wynikające z art. 15 RODO realizowane są wyłącznie na wniosek osoby uprawnionej i brak takiego wniosku oznacza, że po stronie administratora nie powstaje skorelowany z nim obowiązek. Stwierdził przy tym, że zebrany w niniejszej sprawie materiał dowodowy nie wykazał, aby Skarżący zwrócił się do Funduszu, jako administratora jego danych osobowych, z wnioskiem o udostępnienie mu kopii jego danych osobowych utrwalonych w trakcie rozmów telefonicznych ze Spółką na podstawie art. 15 ust. 3 RODO, czy też o dostęp do jakichkolwiek informacji stosownie do art. 15 ust. 1 RODO. Oznacza to, że skarga w zakresie realizacji obowiązku wynikającego z art. 15 ust. 3 RODO jest przedwczesna i bezprzedmiotowa. Postępowanie w tym zakresie podlegało umorzeniu na podstawie art. 105 § 1 k.p.a. W skardze na powyższą decyzję Prezesa UODO A. J. zarzucił: - odnośnie punktu 1 decyzji - zaakceptowanie niedopuszczalnego celu przetwarzania danych osobowych, polegającego na dążeniu do doprowadzenia do zapłaty nieistniejącej wierzytelności pod presją czynionych powtarzających, nękających wezwań - naruszone zostały w oczywisty i rażący sposób podstawowe zasady i cele przetwarzania danych wynikające z art. 5 ust. 1 a-b RODO, jak też nie została spełniona żadna z przesłanek wynikających z art. 6 ust. 1 lit. a-f RODO ani żadnych innych przesłanek RODO, - w zakresie punktu 2 decyzji - naruszenie art. 7 k.p.a. przez błąd w ustaleniach faktycznych odnośnie zakresu skargi na odmowę sporządzenia i doręczenia zestawienia wszystkich rozmów telefonicznych przeprowadzonych z inicjatywy G. S.A. (także w restrukturyzacji) z numerem tel. [...] i udostępnienia Skarżącemu na odpowiednim nośniku ich nagrań - poprzez stwierdzenie niezgodne z prawdą, jakoby Skarżący takiego żądania nie wystosował, - naruszenie art. 8 § 1 k.p.a., gdyż w obliczu przeciwstawnych stanowisk stron co do podnoszonego faktu o istnieniu albo nieistnieniu określonej wierzytelności, przy braku obiektywnych ustaleń o rzekomym jej istnieniu, Prezes UODO stronniczo i bezkrytycznie, działając poza swoimi kompetencjami, przyjął za prawdziwe stanowisko jej istnienia i podejmując decyzję kierował się takim fałszywym (nie zweryfikowanym) ustaleniem. W motywach skargi Skarżący podniósł w szczególności, że Prezes UODO, pomimo braku obiektywnego dokumentu potwierdzającego tę okoliczność, przyjął, że przypisywana Skarżącemu wierzytelność istnieje, a sam Skarżący jest dłużnikiem. Stanowisko organu stanowi wyraz stronniczego podejścia do sprawy i rażąco narusza art. 8 § 1 k.p.a. Przepis art. 509 k.c. nie może być podstawą stwierdzenia, że wierzytelność istnieje, może być jedynie podstawą prawną do jej przelewu (cesji), gdyby istniała. Wierzytelność musiałaby w ogóle istnieć, aby być przelewaną. Brak obiektywnego dowodu na jej istnienie czyni przelew zdarzeniem nierealnym. Skarżący wskazał, że jedynym celem przetwarzania jego danych osobowych przez podmioty, których dotyczy skarga, jest dążenie do wyłudzenia zapłaty. Cel ten nie jest dopuszczalny w świetle art. 5 ust. 1 lit. a-b RODO. Kontynuowanie przetwarzania danych w takiej okoliczności, bez zweryfikowania istnienia wierzytelności, stanowi naruszenie ww. normy prawa. Nie jest też spełniona żadna inna przesłanka przetwarzania wymieniona w przepisach RODO. Skarżący podniósł również, że pismem z dnia 25 sierpnia 2018 r, skierowanym do G. S.A. w restrukturyzacji, wystosował zapytanie o zakres jego danych osobowych i zwrócił się o przekazanie mu treści nagranych kilkudziesięciu rozmów telefonicznych na odpowiednim nośniku. W odpowiedzi Skarżący otrzymał od G. S.A. w restrukturyzacji pismo z dnia 4 października 2018 r., w którym odmówiono mu dostarczenia wnioskowanych nagrań. Nie ma zatem racji organ twierdząc, że zaistniała przesłanka do umorzenia postępowania w zakresie udostępnienia informacji o połączeniach telefonicznych i przekazania nagrań. W dalszej części skargi Skarżący odwołał się do orzecznictwa "przyznającego "prawa" firm windykacyjnych do przetwarzania danych osobowych osób, którym te firmy przypisują zadłużenia, mimo zaprzeczeń ze strony tych osób co do istnienia zadłużeń, przy braku udokumentowania obiektywnych ustaleń (...)". Wskazał, iż nieistniejąca wierzytelność, która jest mu przypisywana, została dalej "przelana" na rzecz kolejnej firmy windykacyjnej, jaką jest [...] Niestandaryzowany Fundusz Inwestycyjny Zamknięty, a ta złożyła najpierw do sądu w postępowaniu elektronicznym, a następnie do Sądu Rejonowego [...] w [...], pozew o zapłatę (sygn. akt [...]). W wyniku nieuzupełnienia braków formalnych pozwu Sąd postępowanie umorzył, jednakże firma windykacyjna zaczęła wzywać Skarżącego do zapłaty nieistniejącego długu z powołaniem się na rozstrzygnięcie sądowe o konkretnej sygnaturze. Wówczas Skarżący wystąpił z powództwem o zapłatę zadośćuczynienia za nękające go telefony i inne wezwania, a Sąd Rejonowy [...] w [...] wyrokiem w sprawie o sygn. akt [...] przyznał mu połowę z żądanej kwoty zadośćuczynienia, przy czym w toku procesu zbadał, że pozwany nie ma żadnych podstaw do żądania zapłaty. Obecnie sprawa jest na etapie postępowania przed Sądem Apelacyjnym w [...] pod sygn. akt [...], w którym rozważona zostanie jedynie wysokość zadośćuczynienia. Przywołując ww. okoliczności Skarżący podkreślił, że nie ma żadnego długu. W związku z powyższym wskazał, że skarga jest oczywiście zasadna, a jej uwzględnienie może ukrócić bezzasadne przetwarzanie danych osobowych w kontekście przypisywania rzekomych długów. W odpowiedzi na skargę Prezes UODO wniósł o oddalenie skargi podtrzymując stanowisko jak w zaskarżonej decyzji. Podkreślił, że na podstawie zebranego materiału dowodowego dokonał jedynie oceny legalności przetwarzania danych osobowych Skarżącego przez Spółkę i Fundusz, reprezentowany przez Towarzystwo, natomiast nie badał kwestii istnienia lub nieistnienia wierzytelności ani słuszności i zakresu roszczeń zgłaszanych przez te podmioty wobec Skarżącego. Zagadnienie to pozostaje bowiem poza kompetencjami Prezesa UODO. Nadto organ wskazał, iż pisma Skarżącego z dnia 25 sierpnia 2018 r. nie można uznać za żądanie realizacji przez administratora danych jego praw na podstawie przepisów RODO. Literalne brzmienie wniosku Skarżącego może zostać odczytane jako żądanie uzyskania nośników, zawierających rozmowy, nie zaś udostępnienia kopii danych osobowych Skarżącego zawartych w rozmowach. Skarżący nie przedstawił innych dowodów na to, że zwracał się do Spółki z wnioskiem o realizację jego praw z art. 15 ust. 3 RODO. Również Spółka nie zakwalifikowała ww. pisma jako żądania zrealizowania jego praw wynikających z RODO informując jedynie Skarżącego, że rozmowy telefoniczne nagrywane są w celach szkoleniowych. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: Zgodnie z art. 1 § 1 i § 2 ustawy z dnia 25 lipca 2002 r. - Prawo o ustroju sądów administracyjnych (Dz. U. z 2024 r., poz. 1267 ze zm.) oraz art. 3 § 1 ustawy z dnia 30 sierpnia 2002 r. o postępowaniu przed sądami administracyjnymi (Dz. U. z 2024 r., poz. 935 ze zm.), dalej: "p.p.s.a.", sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej. Kontrola ta polega na ocenie zgodności zaskarżonego aktu z przepisami postępowania administracyjnego, a także prawidłowości zastosowania i wykładni norm prawa materialnego. W myśl art. 134 § 1 p.p.s.a. sąd rozstrzyga w granicach danej sprawy nie będąc związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną, z zastrzeżeniem art. 57a. Sąd nie może wydać orzeczenia na niekorzyść skarżącego, chyba że stwierdzi naruszenie prawa skutkujące stwierdzeniem nieważności zaskarżonego aktu lub czynności (§ 2). Skarga oceniana w świetle powyższych kryteriów nie zasługuje na uwzględnienie, bowiem decyzja Prezesa UODO z dnia [...] grudnia 2024 r. nie narusza prawa. Sąd nie stwierdził, aby Prezes UODO, wydając zaskarżoną decyzję, dopuścił się naruszenia przepisów prawa materialnego w stopniu mającym wpływ na wynik sprawy (art. 145 § 1 pkt 1 lit. a p.p.s.a.), bądź przepisów postępowania administracyjnego w stopniu mogącym mieć istotny wpływ na wynik sprawy (art. 145 § 1 pkt 1 lit. c p.p.s.a.). Prezes UODO prawidłowo odmówił uwzględnienia wniosku Skarżącego z dnia [...] stycznia 2021 r., doprecyzowanego pismem z dnia 4 czerwca 2021 r., biorąc pod uwagę uprawnienia określone w art. 58 ust. 2 RODO (punkt 1 sentencji decyzji). Trafnie uznał, że zarówno C. S.A. z siedzibą w W., jak i [...] Fundusz Inwestycyjny (...) w W., reprezentowany przez [...] TFI S.A. w W., według stanu faktycznego i prawnego obowiązującego w dacie wydania zaskarżonej decyzji, były uprawnione do przetwarzania danych osobowych Skarżącego na podstawie art. 6 ust. 1 lit. f RODO w związku z art. 74 ust. 1 pkt 4 ustawy o rachunkowości. Prawidłowo również Organ nie podzielił stanowiska Funduszu, że podstawę przetwarzana danych Skarżącego stanowi art. 6 ust. 1 lit. f RODO przez okres przedawnienia roszczeń cywilnych podkreślając, że kontynuowanie przetwarzania danych w celu ustalenia, dochodzenia lub obrony przed ewentualnymi, przyszłymi i niepewnymi roszczeniami jest zbędne i niezgodne z obowiązującymi przepisami o ochronie danych osobowych. Prezes UODO prawidłowo również stwierdził, że materiał dowodowy zgromadzony w sprawie nie potwierdził w sposób jednoznaczny i bezsporny, że doszło do udostępnienia danych osobowych Skarżącego przez Fundusz i Spółkę na rzecz osób nieuprawnionych. Oświadczenia Skarżącego, wobec przeciwnych oświadczeń Spółki oraz Funduszu, nie są w tym zakresie wystarczające. Jednocześnie organ trafnie uznał, że zaistniały przesłanki do umorzenia postępowania w tym zakresie jako bezprzedmiotowego na podstawie art. 105 § 1 k.p.a. (punkt 2 sentencji decyzji), bowiem przetwarzanie danych Skarżącego poprzez przesłanie korespondencji (pisma z dnia 16 marca 2017 r. od [...] S.A. oraz pisma z dnia 16 marca 2017 r. od G. S.A. w imieniu Funduszu - k. 15 i 18 akt admin.) na nieprawidłowy adres (przekazany Spółce przez wierzyciela pierwotnego jako aktualny oraz właściwy do kontaktu z osobą zobowiązaną do spłaty), miało miejsce przed wejściem w życie przepisów RODO. Zgodnie natomiast z art. 99 ust. 1 i 2 RODO, rozporządzenie wchodzi w życie dwudziestego dnia po publikacji w Dzienniku Urzędowym Unii Europejskiej i ma zastosowanie od dnia 25 maja 2018 r. Jednocześnie brak było podstaw do stosowania przez organ przepisów u.o.d.o. z 1997 r. Wynika to z art. 160 ust. 1 i 2 u.o.d.o. z 2018 r., który to przepis stanowi, że wyłącznie postępowania prowadzone przez GIODO, wszczęte i niezakończone przed dniem wejścia w życie niniejszej ustawy, prowadzone są przez Prezesa UODO, na podstawie ustawy uchylanej w art. 175, tj. u.o.d.o. z 1997 r., zgodnie z zasadami określonymi w Kodeksie postępowania administracyjnego. W sytuacji, gdy wysyłka korespondencji na nieprawidłowy adres (jak w ww. pismach) miała miejsce w czasie, gdy obowiązywały przepisy u.o.d.o. z 1997 r. (i zdarzenie to, a zarazem przetwarzanie danych w tym zakresie, nie było kontynuowane po dniu 25 maja 2018 r.), a niniejsze postępowanie administracyjne zostało zainicjowane po wejściu w życie u.o.d.o. z 2018 r., to brak jest przepisów kompetencyjnych uprawniających organ do prowadzenia postępowania i merytorycznego rozstrzygnięcia sprawy w ww. zakresie w oparciu o przepisy u.o.d.o. z 1997 r. W ocenie Sądu organ prawidłowo również stwierdził, że z materiału dowodowego zgromadzonego w sprawie nie wynika, aby Skarżący zwrócił się do administratora danych (Funduszu) z wnioskiem o udostępnienie mu kopii jego danych osobowych utrwalonych w trakcie rozmów telefonicznych ze Spółką, czy też o dostęp do jakichkolwiek informacji, w trybie art. 15 ust. 1 i 3 RODO. W związku z powyższym prawidłowo rozstrzygnął w tym zakresie o umorzeniu postępowania na podstawie art. 105 § 1 k.p.a. Mając na względzie zakres wniosku Skarżącego z dnia [...] stycznia 2021 r. oraz argumentację skargi wskazać należy przede wszystkim, że w świetle motywu 122 RODO, art. 55 ust. 1 oraz art. 57 ust. 1 lit. h RODO, obowiązkiem organu w niniejszym postępowaniu była ocena legalności procesu przetwarzania danych osobowych Skarżącego przez Fundusz (reprezentowany przez Towarzystwo) oraz Spółkę. Organ nie mógł natomiast badać (i nie badał) kwestii istnienia lub nieistnienia wierzytelności ani słuszności i zakresu roszczeń zgłaszanych przez te podmioty wobec Skarżącego. Zagadnienie to nie należy do zakresu kompetencji Prezesa UODO, stanowi bowiem sprawę cywilną w rozumieniu art. 1 k.p.c. Sprawy cywilne są natomiast rozpatrywane w postępowaniach prowadzonych przed sądami powszechnymi. Z materiału dowodowego zgromadzonego w toku postępowania administracyjnego nie wynika, aby istnienie dotyczącej Skarżącego wierzytelności zostało podważone przez sąd powszechny w prawomocnym wyroku. Skarżący nie przedstawił dowodów na tę okoliczność tak w postępowaniu administracyjnym (choć był wzywany w trybie art. 10 k.p.a. do wypowiedzenia się co do zgromadzonego materiału dowodowego - k. 288 akt admin.), jak i sądowoadministracyjnym. Organ miał zatem podstawy do tego, aby uznać, że skutki tej wierzytelności podlegają ocenie w świetle przepisów o ochronie danych osobowych. W związku z tym przy prowadzeniu czynności wyjaśniających organ uwzględnił okoliczność zawarcia umowy cesji wierzytelności, jednakże nie dokonywał jej oceny. Z tych względów wszelka argumentacja Skarżącego dotycząca nieistnienia wierzytelności oraz nieuzasadnionego wzywania Skarżącego przez ww. podmioty do zapłaty wierzytelności nie mogła być przedmiotem oceny organu ochrony danych osobowych w niniejszym postępowaniu. Postępowanie to dotyczyło wyłącznie kwestii zgodności z prawem przetwarzania danych osobowych Skarżącego przez wskazane podmioty w oparciu o obowiązujące przepisy RODO. Powyższe stanowisko znajduje oparcie w poglądach Naczelnego Sądu Administracyjnego, który m.in. w wyroku z dnia 26 maja 2009 r. sygn. akt I OSK 808/08 (CBOSA) stwierdził: "organ administracji publicznej jakim jest Generalny Inspektor Ochrony Danych Osobowych nie był uprawniony do (...) wypowiadania się w kwestii dopuszczalności i ważności przelewu wierzytelności, wynikającego z art. 509 § 1 ustawy z dnia 23 kwietnia 1964 r. Kodeks cywilny (...). Zakres przedmiotowych czynności kontrolnych należy bowiem do kompetencji sądu powszechnego". Analogiczne stanowisko NSA wyraził również w wyroku z dnia 13 stycznia 2022 r. sygn., akt III OSK 4763/21 (j.w.) wskazując, że: "spór co do istnienia lub nieistnienia wierzytelności jest sprawą cywilną w rozumieniu art. 1 Kodeksu postępowania cywilnego, do którego rozstrzygnięcia jest właściwy sąd powszechny, między innymi w trybie rozstrzygnięcia powództwa o ustalenie na podstawie art. 189 k.p.c. W kontrolowanym postępowaniu administracyjnym ocenie podlegała wyłącznie legalność przetwarzania danych osobowych skarżącego przez Spółkę". Nieuzasadniony jest zatem zarzut skargi dotyczący rozstrzygnięcia zawartego w punkcie 1 sentencji decyzji, iż poprzez odmowę uwzględnienia wniosku w zakresie nieprawidłowości w procesie przetwarzania danych osobowych Skarżącego, doszło do zaakceptowania przez organ ochrony danych osobowych "niedopuszczalnego celu przetwarzania danych osobowych, polegającego na dążeniu do doprowadzenia zapłaty nieistniejącej wierzytelności pod presją czynionych powtarzających, nękających wezwań (...)", a w konsekwencji do naruszenia art. 5 ust. lit. a-b RODO z tego powodu, że w sprawie nie została wykazana żadna z przesłanek z art. 6 ust. 1 lit. a-f RODO. Biorąc pod uwagę zakres i przedmiot postępowania prowadzonego przez Prezesa UODO, nie ma podstaw do przyjęcia, że organ dopuścił się naruszenia ww. przepisów, a w konsekwencji, że zaskarżona decyzja w omawianym zakresie jest wadliwa. Przesłanki legalizujące proces przetwarzania danych osobowych określone zostały w art. 6 ust. 1 RODO, przy czym administrator danych osobowych powinien wykazać zaistnienie co najmniej jednej z nich, aby jego działanie mogło być uznane za zgodne z prawem. W świetle tego przepisu przetwarzanie jest zgodne z prawem między innymi, gdy jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze (lit. c) oraz przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem (lit. f). Z ustaleń organu, znajdujących odzwierciedlenie w zgromadzonym w sprawie materiale dowodowym, wynika, że Fundusz pozyskał dane osobowe Skarżącego w związku z nabyciem wierzytelności od [...] S.A. na podstawie dokumentów: [...] (data wystawienia: [...] maja 2016 r.), [...] (data wystawienia: [...] kwietnia 2016 r.), [...] (data wystawienia: [...] czerwca 2016 r.), [...] (data wystawienia: [...] kwietnia 2016 r.), [...] (data wystawienia; [...] lipca 2016 r.) w oparciu o zawarte Porozumienie nr [...] z dnia [...] lutego 2017 r. do Umowy Ramowej Cyklicznego Przelewu Wierzytelności z dnia [...] lutego 2017 r. (k. 107 verte, k. 131, 132 akt admin.), na podstawie art. 509 k.c., stając się tym samym administratorem danych. Dane te obejmowały: imię i nazwisko, PESEL, dane adresowe (adres do korespondencji, adres instalacji), dane finansowe (numery dokumentów finansowych będących podstawą dochodzenia wierzytelności). Dane te zostały pozyskane przez Fundusz w celu dochodzenia roszczeń. Zgodnie z art. 509 § 1 k.c. wierzyciel może bez zgody dłużnika przenieść wierzytelność na osobę trzecią (przelew), chyba że sprzeciwiałoby się to ustawie, zastrzeżeniu umownemu albo właściwości zobowiązania. Cesja wierzytelności wiąże się z uprawnieniem do przekazania nabywcy danych osobowych dłużnika umożliwiających podjęcie względem niego stosowanych działań zmierzających do odzyskania należności. Powyższa dopuszczalność przelewu wierzytelności nie podlegała ograniczeniom umownym ani ustawowym. Nie była również wymagana zgoda Skarżącego na przelew wierzytelności. Wobec powyższego, prawidłowe jest stanowisko organu, że Fundusz reprezentowany przez Towarzystwo, na podstawie ww. Umowy, stał się administratorem przekazanych danych osobowych Skarżącego, przetwarzając je w celu windykacji nabytych należności, który to proces (od daty rozpoczęcia obowiązywania RODO) znajdował oparcie w art. 6 ust. 1 lit. f RODO jako niezbędny dla realizacji celów wynikających z prawnie uzasadnionego interesu Funduszu (działań windykacyjnych). Spółka natomiast pozyskała dane osobowe Skarżącego działając na zlecenie Funduszu, w związku ze zleceniem obsługi sekurytyzowanych wierzytelności, na podstawie Umowy zlecenia zarządzania całością portfela inwestycyjnego Funduszu obejmującym sekurytyzowane wierzytelności, z dnia [...] czerwca 2015 r. (k. 72 akt admin.). Zastosowanie w tym zakresie znalazł art. 193 ustawy o funduszach, zgodnie z którym fundusz sekurytyzacyjny oraz podmiot, z którym towarzystwo zawarło umowę o zarządzanie sekurytyzowanymi wierzytelnościami, zbierają i przetwarzają dane osobowe dłużników sekurytyzowanych wierzytelności jedynie w celach związanych z zarządzaniem wierzytelnościami sekurytyzowanymi. Przy czym pojęcie "zarządzanie sekurytyzowanymi wierzytelnościami" oznacza m.in. uzyskiwanie świadczeń z tytułu wierzytelności, proponowanie dogodnych warunków spłaty, oferowania i zawarcia ugody, prowadzenie komunikacji z dłużnikiem, zapobieganie oszustwom. Z materiału dowodowego sprawy wynika, że Fundusz powierzył przetwarzanie danych Spółce w oparciu o Umowę powierzenia zawartą w dniu [...] maja 2018 r. (k. 83 akt admin.), na podstawie art. 28 ust. 3 RODO, zgodnie z którym przetwarzanie danych osobowych przez podmiot przetwarzający odbywa się na podstawie umowy lub innego instrumentu prawnego, które podlegają prawu Unii lub prawu państwa członkowskiego i wiążą podmiot przetwarzający i administratora, określają przedmiot i czas trwania przetwarzania, charakter i cel przetwarzania, rodzaj danych osobowych oraz kategorie osób, których dane dotyczą, obowiązki i prawa administratora. Powierzenie przetwarzania danych osobowych Skarżącego nie wymagało uprzedniego uzyskania zgody Skarżącego. Trafne jest zatem stanowisko organu, że Spółka, dochodząc roszczenia z tytułu nabytej wierzytelności, przetwarzała wówczas dane osobowe Skarżącego jako podmiot przetwarzający dane w imieniu Funduszu, tj. administratora danych. Spółka realizowała zatem prawnie uzasadniony interes w rozumieniu art. 6 ust. 1 lit. f RODO. W dniu [...] kwietnia 2019 r. Fundusz zbył wierzytelności Skarżącego do [...] Niestandaryzowanego Sekurytyzacyjnego Funduszu Inwestycyjnego Zamkniętego w Warszawie (na podstawie umowy przeniesienia portfeli z dnia [...] kwietnia 2019 r. - k. 164 akt admin.). Spółka zaś w dniu [...] sierpnia 2021 r. złożyła [...] TFI oświadczenie o rozwiązaniu Umowy zlecenia zarządzania całością portfela inwestycyjnego Funduszu z dnia [...] czerwca 2015 r. ze skutkiem natychmiastowym (k. 305 akt admin.). W związku z rozwiązaniem Umowy Spółka zakończyła działania prowadzone w imieniu Funduszu. W świetle powyższego, jak prawidłowo ustalił organ, dane osobowe Skarżącego w dacie wydania zaskarżonej decyzji, nie były przetwarzane w celach windykacyjnych ani przez Fundusz, ani przez Spółkę. Fundusz przetwarzał wprawdzie dane osobowe Skarżącego, jednak czynił to na podstawie art. 6 ust. 1 lit. c RODO w związku z art. 74 ust. 1 pkt 4 ustawy o rachunkowości w celu spełnienia obowiązków podatkowych i księgowych. Przepis ten stanowi, że dowody księgowe dotyczące środków trwałych w budowie, pożyczek, kredytów oraz umów handlowych, roszczeń dochodzonych w postępowaniu cywilnym lub objętych postępowaniem karnym albo podatkowym, przechowuje się przez 5 lat od początku roku następującego po roku obrotowym, w którym operacje, transakcje i postępowanie zostały ostatecznie zakończone, spłacone, rozliczone lub przedawnione. W sytuacji gdy Fundusz zbył wierzytelność w dniu [...] kwietnia 2019 r., 5-letni okres w dacie wydania decyzji Prezesa UODO nie upłynął, a zatem odmowa uwzględniania wniosku Skarżącego w zakresie nakazania Funduszowi usunięcia danych osobowych Skarżącego jest prawidłowa. Brak było podstaw do zastosowania uprawnienia organu nadzorczego z art. 58 ust. 2 RODO. Organ prawidłowo, jako podstawy prawnej przetwarzania danych, nie uwzględnił art. 6 ust. 1 lit. f RODO w związku z przedawnieniem roszczeń cywilnoprawnych. Przesłanka z art. 6 ust. 1 lit. f RODO dotyczy sytuacji już istniejącej, w której celem wynikającym z prawnie uzasadnionych interesów realizowanych przez administratora jest konieczność udowodnienia, potrzeba dochodzenia lub obrony przed roszczeniem istniejącym, nie zaś sytuacji, gdy dane są przetwarzane w celu zabezpieczenia się przed ewentualnym roszczeniem. W sytuacji gdy z materiału dowodowego zgromadzonego w sprawie nie wynikało, aby Skarżący skierował wobec Funduszu jakiekolwiek roszczenie, a jednocześnie Fundusz nie wskazał roszczenia, którego zaspokojenia domaga się od Skarżącego, organ trafnie przyjął, że Fundusz przetwarza dane osobowe Skarżącego w ww. celu wyłącznie "na zapas", aby zabezpieczyć się przed ewentualnymi - przyszłymi i niepewnymi - roszczeniami Skarżącego, co należy ocenić jako niedopuszczalne w świetle przepisów RODO (por. np. wyrok NSA z dnia 6 marca 2019 r., sygn. I OSK 994/17, CBOSA). Nieuzasadnione są również pozostałe zarzuty skargi, w tym zarzut dotyczący naruszenia przez organ art. 7 k.p.a. poprzez błąd w ustaleniach faktycznych i przyjęcie, że Skarżący nie wystosował do Spółki (G. S.A. w restrukturyzacji) żądania co do sporządzenia i doręczenia zestawienia wszystkich rozmów telefonicznych przeprowadzonych z inicjatywy Spółki i udostępnienia Skarżącemu na odpowiednim nośniku ich nagrań. Jak wynika z treści wniosku skierowanego do Prezesa UODO Skarżący domagał się m.in. "udostępnienia na odpowiednim nośniku umożliwiającym odtworzenie na komputerze nagrania wszystkich rozmów telefonicznych przeprowadzonych z inicjatywy G. S.A. (też w restrukturyzacji) z moim numerem telefonu (...)". Wskazać w związku z tym należy, że obowiązki informacyjne administratora danych określone zostały w sekcji 2 "Informacje i dostęp do danych osobowych" rozdziału III "Prawa osoby, której dane dotyczą" RODO. Zgodnie z art. 15 ust. 1 RODO osoba, której dane dotyczą, jest uprawniona do uzyskania od administratora potwierdzenia, czy przetwarzane są dane osobowe jej dotyczące, a jeżeli ma to miejsce, jest uprawniona do uzyskania dostępu do nich oraz następujących informacji: a) cele przetwarzania; b) kategorie odnośnych danych osobowych; c) informacje o odbiorcach lub kategoriach odbiorców, którym dane osobowe zostały lub zostaną ujawnione, w szczególności o odbiorcach w państwach trzecich lub organizacjach międzynarodowych; d) w miarę możliwości planowany okres przechowywania danych osobowych, a gdy nie jest to możliwe, kryteria ustalania tego okresu; e) informacje o prawie do żądania od administratora sprostowania, usunięcia lub ograniczenia przetwarzania danych osobowych dotyczącego osoby, której dane dotyczą, oraz do wniesienia sprzeciwu wobec takiego przetwarzania; f) informacje o prawie wniesienia skargi do organu nadzorczego; g) jeżeli dane osobowe nie zostały zebrane od osoby, której dane dotyczą - wszelkie dostępne informacje o ich źródle; h) informacje o zautomatyzowanym podejmowaniu decyzji, w tym o profilowaniu, o którym mowa w art. 22 ust. 1 i 4, oraz - przynajmniej w tych przypadkach - istotne informacje o zasadach ich podejmowania, a także o znaczeniu i przewidywanych konsekwencjach takiego przetwarzania dla osoby, której dane dotyczą. Z kolei w myśl art. 15 ust. 3 RODO administrator dostarcza osobie, której dane dotyczą, kopię danych osobowych podlegających przetwarzaniu. Za wszelkie kolejne kopie, o które zwróci się osoba, której dane dotyczą, administrator może pobrać opłatę w rozsądnej wysokości wynikającej z kosztów administracyjnych. Jeżeli osoba, której dane dotyczą, zwraca się o kopię drogą elektroniczną i jeżeli nie zaznaczy inaczej, informacji udziela się w powszechnie stosowanej formie elektronicznej. Z ww. przepisów wynika, że realizacją prawa dostępu do danych powinno być udzielenie osobie, której dane dotyczą, żądanych przez nią informacji. Katalog informacji, których może żądać od administratora danych osoba, której dane dotyczą, ma charakter zamknięty. Prawo dostępu do danych może zostać zrealizowane również poprzez wydanie kopii danych. Adresatem żądań formułowanych na podstawie ww. przepisów może być wyłącznie administrator danych. Z materiału dowodowego sprawy nie wynika, aby Skarżący zwrócił się do Funduszu, jako administratora jego danych osobowych, z wnioskiem o dostęp do jego danych osobowych w rozumieniu art. 15 ust. 1 RODO, czy też o udostępnienie mu kopii jego danych osobowych utrwalonych w trakcie rozmów telefonicznych ze Spółką. Z akt sprawy wynika natomiast, że w dniu 25 sierpnia 2018 r. Skarżący wystosował do G. S.A. w restrukturyzacji pismo zatytułowane "Zapytanie o zgłoszenie do rejestru dłużników, o zakres danych, o nagrania rozmów" (k. 26 akt admin). W treści pisma wskazał natomiast, że wnioskuje m.in. o odpowiedź na następujące pytania: "czy nagrywane są rozmowy telefoniczne, w ramach których wzywany jestem przez G. S.A. (...) do zapłaty, a jeśli tak, to proszę o przesłanie do mojej dyspozycji treść wszystkich tych rozmów na odpowiednim nośniku, umożliwiającym odtwarzanie nagrań na komputerze" (pkt 3), "w jakich datach i w jakich godzinach czynione były wezwania do zapłaty na mój nr telefonu (...)" (pkt 4). Pismo to nie zostało skierowane do administratora danych, a ponadto dotyczy nie udostępnienia kopii danych osobowych, lecz udostępnienia "treści wszystkich rozmów telefonicznych na odpowiednim nośniku". Żądanie treści rozmów telefonicznych utrwalonych na nośniku nie jest równoznaczne z żądaniem kopii danych osobowych choćby z tego powodu, że osoba, której dane dotyczą, nie może domagać się w omawianym trybie uzyskania kopii danych osobowych innych osób. Nie sposób zatem przyjąć, że ww. pismo Skarżącego stanowi żądanie realizacji prawa, o którym mowa w art. 15 RODO. Nie sposób również stwierdzić, że Spółka błędnie nie zakwalifikowała ww. wniosku jako żądania kopii danych osobowych Skarżącego, skoro Skarżący nie powołał właściwej podstawy prawnej ani nie wskazał, że żąda kopii swoich danych osobowych. Zaznaczyć przy tym należy, że w odpowiedzi na ww. pismo Spółka poinformowała Skarżącego, że rozmowy z pracownikami są rejestrowane wyłącznie w celach szkoleniowych co nie pozwala przychylić się do wniosku (pismo z dnia 4 października 2018 r. - k. 27 akt admin.). Podkreślić należy, że realizacja uprawnień określonych w art. 15 RODO, w odróżnieniu od prawa do informacji zagwarantowanego w art. 13 czy art. 14 RODO, wymaga inicjatywy samego podmiotu danych. Oznacza to, że wykonanie prawa dostępu do danych osobowych, czy udostępnienia kopii danych, zgodnie z art. 15 RODO, ma miejsce na skutek wystąpienia podmiotu danych z żądaniami określonymi w ww. przepisie. Z oświadczeń Spółki oraz Funduszu złożonych w toku postępowania nie wynika, aby Skarżący kierował do ww. podmiotów wniosek o udostępnienie mu (kopii) jego danych osobowych, a ponadto brak jest dowodów na to, że wniosek taki został złożony. Prawidłowo zatem organ uznał, że przedmiotowy wniosek nie został przez Skarżącego złożony, co skutkowało umorzeniem postępowania w tym zakresie na podstawie art. 105 § 1 k.p.a. Przepis ten stanowi, że w przypadku gdy postępowanie z jakiejkolwiek przyczyny stało się bezprzedmiotowe w całości albo w części, organ administracji publicznej wydaje decyzję o umorzeniu postępowania odpowiednio w całości albo w części. Bezprzedmiotowość postępowania administracyjnego oznacza, że brak jest któregoś z elementów materialnego stosunku prawnego, a wobec tego nie można wydać decyzji załatwiającej sprawę przez rozstrzygnięcie jej co do istoty. Przesłanka bezprzedmiotowości występuje, gdy brak jest podstaw prawnych do merytorycznego rozstrzygnięcia danej sprawy w ogóle, bądź nie było podstaw do jej rozpoznania w drodze postępowania administracyjnego. Rozstrzygnięcie o umorzeniu postępowania jest orzeczeniem formalnym, kończącym postępowanie bez jego merytorycznego rozstrzygnięcia (por. wyroki NSA: z dnia 21 lutego 2006 r., sygn. akt I OSK 967/05, z dnia 14 października 2014 r., sygn. akt I OSK 530/14; CBOSA). W niniejszej sprawie przesłanki zastosowania ww. przepisu, jak wykazano powyżej, zostały spełnione. Podsumowując stwierdzić należy, że zaskarżona decyzja nie narusza prawa, zaś zarzuty i argumenty skargi nie zasługują na uwzględnienie. W sprawie nie doszło do naruszenia art. 8 k.p.a. Organ dokonał prawidłowej wykładni przepisów prawa, w sposób wyczerpujący zebrał i ocenił zgromadzony w sprawie materiał dowodowy. Przedmiotem oceny organu były natomiast wyłącznie podstawy przetwarzania danych osobowych Skarżącego, nie zaś istnienie roszczeń pomiędzy Skarżącym a ww. podmiotami, bowiem ocena tej kwestii nie należy do kompetencji Prezesa UODO. Mając na względzie wszystko powyższe, Wojewódzki Sąd Administracyjny w Warszawie, na podstawie art. 151 p.p.s.a., orzekł jak w sentencji wyroku.