II SA/Wa 3395/21

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Joanna Kruszewska-Grońska (spr.), Sędzia WSA Łukasz Krzycki, Sędzia WSA Tomasz Szmydt, Protokolant referent Joanna Mazur po rozpoznaniu na rozprawie w dniu 7 kwietnia 2022 r. sprawy ze skargi J. K. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] lipca 2021 r. nr [...] w przedmiocie przetwarzania danych osobowych uchyla zaskarżoną decyzję. Pismem z [...] lutego 2021 r. J. K. (dalej: "skarżący") wniósł do Prezesa Urzędu Ochrony Danych Osobowych (dalej: "PUODO", "organ") skargę na niezgodne z prawem przetwarzanie jego danych osobowych przez [...] Fundusz Inwestycyjny Zamknięty z siedzibą w W. (obecnie: [...] Funduszy Inwestycyjnych S.A. z siedzibą w W.; dalej: "uczestnik postępowania", "Fundusz", "administrator"). W ww. skardze skarżący podał, że [...] marca 2013 r. doszło do zawarcia umowy o usługi telekomunikacyjne pomiędzy [...] Sp. z o.o. z siedzibą w W. (dalej: "[...]", "[...]") i nieustaloną osobą, w której to umowie wykorzystano jego dane osobowe. Na skutek tak zawartej umowy, [...] przesyła skarżącemu faktury za usługi, których faktycznie nie zamawiał. Skarżący oświadczył, iż prawidłowo zawartą umowę z [...] (obowiązującą przez kilka lat) rozwiązał 3 czerwca 2013 r., co [...] potwierdził. Pismem z 18 czerwca 2013 r. skarżący wystąpił do [...], aby po zakończeniu okresu wypowiedzenia, zaprzestał przetwarzania jego danych osobowych i nie przekazywał ich podmiotom trzecim. W odpowiedzi na to pismo [...] wypowiedział umowę o usługi telekomunikacyjne, której skarżący w rzeczywistości nie zawierał. Dlatego skarżący poinformował [...], iż nie jest stroną tej umowy. Po otrzymaniu wskazówek od [...], co powinien uczynić, jeśli nie zawarł umowy z [...], skarżący po raz kolejny oświadczył, że nie zawierał umowy, na którą [...] się powołuje. Skarżący konsekwentnie odmawiał zapłaty żądanej przez [...] sumy pieniężnej. W październiku 2014 r. został poinformowany przez [...] o dokonaniu przelewu wierzytelności na inny podmiot. Skarżący również innym podmiotom windykacyjnym odmawiał zapłaty jakichkolwiek świadczeń finansowych, powołując się na nieistnienie zobowiązania. Ponadto skarżący zgłosił przedmiotową sprawę do Komisariatu Policji w O.. Wówczas wszczęto dochodzenie, w toku którego m.in. pobrano od niego próbki pisma ręcznego do badań grafologicznych. W tym czasie uczestnik postępowania wystąpił z pozwem przeciwko skarżącemu o zapłatę, uzyskując nakaz zapłaty. Skarżący złożył od tego rozstrzygnięcia sprzeciw i sprawę skierowano do Sądu Rejonowego w Z., który postanowieniem z [...] lipca 2015 r. umorzył postępowanie wobec nieuzupełnienia braków formalnych pozwu. Także postępowanie przygotowawcze prowadzone przez Prokuraturę Rejonową w Z. zostało umorzone - z powodu niewykrycia sprawców. Skarżący podkreślił jednak, co jego zdaniem jest kluczowe, iż ekspertyza biegłego wykluczyła go jako tego, który podpisał sporną umowę z [...] (jak również z [...]). Po prawomocnym zakończeniu postępowania karnego, skarżący (przy piśmie z [...] września 2016 r.) doręczył dokumentację uczestnikowi postępowania, ponawiając żądanie zaprzestania przetwarzania jego danych osobowych. Jednak nadal otrzymuje od firm windykacyjnych reprezentujących Fundusz wezwania do zapłaty przedmiotowego długu. W ocenie skarżącego, [...] "sprzedała" wierzytelność na rzecz uczestnika postępowania bez należytej weryfikacji. Skarżący ma świadomość, że dochodzenie roszczeń finansowych jest wystarczającą przesłanką do przetwarzania danych osobowych, ale przy założeniu, iż dług lub zobowiązanie faktycznie istnieje i jest wymagalne. Natomiast kierowanie żądań finansowych i przetwarzanie bezprawnie danych osobowych w oparciu o fałszywą dokumentację nie może stanowić skutecznej przesłanki, zwłaszcza gdy administrator danych ma wiedzę o braku podstawy prawnej. W toku postępowania administracyjnego prowadzonego przez PUODO, wszczętego opisaną wyżej skargą, Fundusz (w piśmie z [...] marca 2021 r.) wyjaśnił, że pozyskał dane osobowe skarżącego na podstawie zawartej z [...] w dniu [...] września 2014 r. umowy sprzedaży wierzytelności. Pozyskanie tych danych nastąpiło w celu dochodzenia spłaty wierzytelności przysługującej wierzycielowi pierwotnemu ([...]) przeciwko skarżącemu, a wynikającej z umowy o świadczenie usług telekomunikacyjnych, którą to wierzytelność uczestnik postępowania nabył w wyniku cesji wierzytelności na mocy art. 509 § 1 ustawy z dnia 23 kwietnia 1964 r. Kodeks cywilny (Dz. U. z 2020 r., poz. 1740 ze zm.; dalej: "k.c."). Fundusz pozyskał następujące dane skarżącego: • dane identyfikacyjne (imię i nazwisko, wiek, płeć, PESEL, data urodzenia); • dane kontaktowe (numer telefonu, e-mail); • dane korespondencyjne, adres zamieszkania; • dane dotyczące zawieranych umów/ugód, podpis; • dane dotyczące faktur (numer faktury, data wymagalności, numer klienta); • dane dotyczące rozliczeń (istniejące zaległości i ich wysokość, oświadczenia stron w tym zakresie); • dane dotyczące postępowań karnych toczących się z inicjatywy skarżącego (sygn. sprawy, przedmiot postępowania, organ prowadzący postępowanie, wynik postępowania). Powyższe dane osobowe skarżący sam udostępnił [...], ponieważ były one niezbędne do zawarcia i rozliczania umów o świadczenie usług telekomunikacyjnych. Natomiast skarżący bezpośrednio informował uczestnika postępowania o postępowaniach karnych. Obecnie Fundusz przetwarza dane osobowe skarżącego w oparciu o następujące przepisy: • art. 6 ust. 1 lit. c rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych - Dz. U. UE L z 2016 r. nr 119.1 z dnia 4 maja 2016 r. ; dalej: "RODO") - przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze; • art. 6 ust. 1 lit. f RODO - przetwarzanie jest niezbędne do dochodzenia wierzytelności przysługujących Funduszowi, co stanowi cel wynikający z prawnie uzasadnionych interesów realizowanych przez administratora, jak również przetwarzanie jest niezbędne do ochrony Funduszu przed roszczeniami skarżącego, co stanowi cel wynikający z prawnie uzasadnionych interesów realizowanych przez administratora. Dalej uczestnik postępowania wskazał, że skarżący jednokrotnie - w korespondencji z [...] grudnia 2020 r. zwrócił się do Funduszu z żądaniem zaprzestania przetwarzania jego danych osobowych w celach innych niż udzielenie odpowiedzi na wniosek. W piśmie z [...] lutego 2021 r. podmiot przetwarzający dane w imieniu administratora ([...] S.A. z siedzibą w W.) poinformował o braku możliwości realizacji żądania oraz o podstawie prawnej przetwarzania danych osobowych, celach przetwarzania danych i o przysługujących prawach wynikających z RODO. Fundusz zaakcentował, iż skarżący (pomimo wezwania w tym przedmiocie) nie przedłożył postanowienia Prokuratury Rejonowej w Z. i Sądu Rejonowego w Z., w których rzekomo stwierdzono, że skarżący nie był osobą zawierającą umowy z operatorami [...] Polska S.A. i [...], a jego podpisy zostały sfałszowane. Zatem uczestnik postępowania nie mógł zweryfikować treści tych dokumentów. Natomiast przedstawione przez skarżącego postanowienia: - Komisariatu Policji w O. z [...] czerwca 2015 r. o umorzeniu dochodzenia w sprawie doprowadzenia do niekorzystnego rozporządzenia mieniem [...] Polska S.A. wobec niewykrycia sprawcy, sygn. [...], zatwierdzone postanowieniem Prokuratury Rejonowej w Z. z [...] czerwca 2015 r., sygn. [...] oraz - Sądu Rejonowego w Z. z [...] czerwca 2016 r., sygn. [...]o utrzymaniu w mocy zaskarżonego postanowienia o umorzeniu postępowania przygotowawczego prowadzonego przez Prokuraturę Rejonową w Z., sygn. [...], nie dotyczą umów zawartych przez skarżącego z [...], lecz umów zawartych przez skarżącego z [...] Polska S.A., a więc nie są istotne dla rozstrzygnięcia sprawy ewentualnego fałszerstwa umów łączących skarżącego z [...]. Nawet jeśli ww. postanowienia dotyczyłyby umów wiążących skarżącego z [...], to nigdzie w nich nie stwierdzono, iż to nie skarżący je zawarł, jak również nigdzie nie wskazano, że podpisy na nich zostały sfałszowane. Organy władzy publicznej nie dokonały takich ustaleń. Nadto tego rodzaju rozstrzygnięcia, tj. postanowienie o umorzeniu postępowania przygotowawczego (dochodzenia) z powodu niewykrycia sprawcy oraz postanowienie oddalające zażalenie skarżącego na postanowienie o umorzeniu postępowania przygotowawczego nie są wiążące dla osób trzecich, w tym dla Funduszu. W polskim systemie prawnym w odniesieniu do przestępstw (tak bowiem należy kwalifikować fałszerstwo umowy i doprowadzenie do niekorzystnego rozporządzenia mieniem) moc wiążącą mają jedynie prawomocne wyroki skazujące. Zasada ta została wyrażona m.in. w art. 11 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2022 r., poz. 329; dalej: "p.p.s.a."). Analogiczna zasada obowiązuje w zakresie postępowania administracyjnego. Wobec braku dowodów wskazujących na nieistnienie długu skarżącego względem uczestnika postępowania, ten ostatni podmiot uznał, że może kontynuować przetwarzanie danych osobowych skarżącego. W piśmie z 12 maja 2021 r. administrator wyjaśnił, iż podstawowy okres przetwarzania danych jego dłużników upływa z wygaśnięciem zobowiązania, o którym mowa w art. 353 § 1 k.c. Przede wszystkim zobowiązanie to wygasa z chwilą jego prawidłowego świadczenia (w tym przypadku – zapłaty). Nie istnieje ustawowy termin, którego upływ powodowałby z mocy prawa wygaśnięcie roszczenia o zapłatę. Dlatego dane osobowe skarżącego będą przetwarzane do momentu wygaśnięcia roszczenia, bez względu na przyczynę (zapłata, zwolnienie z długu, odnowienie potrącenie). Po tym podstawowym okresie przetwarzania danych, następuje okres dodatkowy - wynikający z art. 69 ustawy z dnia 27 maja 2004 r. o funduszach inwestycyjnych i zarządzaniu alternatywnymi funduszami inwestycyjnymi (Dz. U. z 2021 r., poz. 605 ze zm.). Wedle tego przepisu, Fundusz jest zobowiązany do przechowywania wszelkiej dokumentacji związanej z jego działalnością (w tym umów i korespondencji z dłużnikami) przez okres 5 lat od zakończenia roku, w którym sporządzono dany dokument. Czas przechowywania danych liczy się od końca roku, w którym zostały wytworzone. Zatem dokumenty wytworzone w danym roku kalendarzowym mają wspólny termin usunięcia. W konsekwencji proces archiwizowania i cyklicznego usuwania danych (w cyklach rocznych) prowadzi do usunięcia całości pozostałych jeszcze danych w terminie najpóźniej 5 lat od końca roku, w którym wygasło roszczenie. Jednocześnie uczestnik postępowania oświadczył, że nie przyjmuje, iż roszczenia zgłoszone względem niego przez skarżącego będą mieć jakikolwiek wpływ na okres retencji danych tego ostatniego. Decyzją z [...] lipca 2021 r. nr [...] PUODO, mając za podstawę art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2021 r., poz. 735 ze zm.; dalej: "k.p.a.") oraz art. 6 ust. 1 lit. f RODO, odmówił uwzględnienia wniosku (skargi) skarżącego. W uzasadnieniu rozstrzygnięcia organ powołał się na art. 6 ust. 1 RODO oraz art. 509 § 1 k.c. Podkreślił, że cesja wierzytelności wiąże się z uprawnieniem do przekazania nabywcy danych osobowych dłużnika umożliwiających podjęcie względem niego stosowanych działań zmierzających do odzyskania należności. PUODO podzielił stanowisko wyrażone w wyroku Naczelnego Sądu Administracyjnego (dalej: "NSA") z 6 czerwca 2005 r., sygn. akt I OPS 2/05, zgodnie z którym przekazanie danych osobowych dłużników firmom windykacyjnym może nastąpić bez ich zgody, nie naruszając przy tym ochrony danych osobowych (orzeczenia sądów administracyjnych są dostępne w internetowej bazie orzeczeń na stronie NSA: orzeczenia.nsa.gov.pl). Fundusz, na podstawie zawartej umowy cesji wierzytelności, stał się administratorem przekazanych danych osobowych skarżącego i przetwarza je w celu windykacji nabytych wierzytelności, co stanowi prawnie uzasadniony cel, o którym mowa w art. 6 ust. 1 lit. f RODO. Dlatego przetwarzanie danych osobowych skarżącego nie może być postrzegane jako naruszające jego prawa i wolności. Gdyby każdy przypadek przetwarzania danych osobowych dłużnika uznać za godzący w jego prawa i wolności, to doszłoby z jednej strony do niczym nieusprawiedliwionej ochrony podmiotów niewywiązujących się ze swoich zobowiązań, a z drugiej strony - do naruszenia zasady swobody działalności gospodarczej. Zdaniem organu, skarżący - jako dłużnik musi liczyć się z tym, że popadając w zwłokę w spełnianiu zobowiązania, jego prawo do prywatności może zostać ograniczone ze względu na roszczenia dochodzone przez wierzyciela (tak też wypowiedział się NSA w wyroku z 21 lutego 2014 r., sygn. akt I OSK 2463/12). Odnosząc się do zarzutu skarżącego w kwestii legalności umowy z [...], z której wynika wierzytelność dochodzona przez Fundusz, PUODO zaakcentował, iż nie posiada kompetencji do orzekania o popełnieniu przestępstwa, gdyż jedynie organy ścigania władne są ocenić, czy w konkretnej sprawie istnieją podstawy do wszczęcia postępowania przygotowawczego, zaś to, czy przestępstwo zostało popełnione, może stwierdzić jedynie sąd powszechny. Dopiero w momencie przedstawienia przez skarżącego prawomocnego wyroku karnego skazującego, organ mógłby przyjąć okoliczności w nim stwierdzone jako potwierdzone. PUODO dokonał jedynie oceny legalności przetwarzania danych osobowych skarżącego, natomiast nie badał kwestii istnienia lub nieistnienia wierzytelności ani słuszności i zakresu roszczeń cywilnoprawnych Funduszu wobec skarżącego. Zagadnienie to pozostaje poza kompetencjami organu. Jeżeli skarżący kwestionuje istnienie zadłużenia, to może wystąpić ze stosownym powództwem do sądu cywilnego na podstawie art. 189 ustawy z dnia 17 listopada 1964 r. Kodeks postępowania cywilnego (Dz. U. z 2021 r., poz. 1805 ze zm.; dalej: "k.p.c."). W tym kontekście organ przytoczył fragmenty wyroków Wojewódzkiego Sądu Administracyjnego w Warszawie z 6 lipca 2006 r., sygn. akt II SA/Wa 2226/05; z 8 stycznia 2010 r., sygn. akt II SA/Wa 1069/09 oraz z 12 kwietnia 2013 r., sygn. akt II SA/Wa 1425/12. Według PUODO, w sprawie nie ma podstaw do stwierdzenia, iż przetwarzanie danych osobowych skarżącego stoi w sprzeczności z przepisami RODO. Powyższą decyzję organu skarżący zaskarżył do Wojewódzkiego Sądu Administracyjnego w Warszawie, wnosząc o jej uchylenie lub zmianę zgodnie z jego wnioskiem. Zaskarżonej decyzji zarzucił błędy w ustaleniach faktycznych oraz niewłaściwą ocenę zebranego materiału dowodowego, które miały wpływ na treść rozstrzygnięcia. Skarżący jako błędy w ustaleniach faktycznych wymienił: - uznanie przez PUODO, że poczynione i przyjęte fakty przez Prokuraturę Rejonową w Z. i Sąd Rejonowy w Z. oraz wynikające z nich wnioski nie mają mocy dowodowej w sprawie, lecz są jedynie oceną skarżącego, - przyjęcie, że sam skarżący przekazał wierzycielowi pierwotnemu swoje dane osobowe, tj. dane dotyczące postępowań, sygnaturę akt, przedmiot postępowania, organ postępowania oraz wynik postępowania, podczas gdy taka czynność była jeszcze niewykonalna, - ustalenie przez PUODO, iż skarżący jednokrotnie zwrócił się do administratora z żądaniem dotyczącym jego danych osobowych, tj. w dniu [...] grudnia 2020 r., podczas gdy zebrany w sprawie materiał temu zaprzecza. Natomiast niewłaściwa ocena materiału dowodowego, zdaniem skarżącego, polega na przyjęciu przez PUODO, że istnienie zobowiązania finansowego jako podstawy przetwarzania danych osobowych skarżącego przez Fundusz nie zostało skutecznie zakwestionowane i podważone przez skarżącego. Powodem złożenia wniosku (skargi) do organu było występowanie do skarżącego, od października 2014 r. i nadal, przez Fundusz (działający za pośrednictwem różnych firm windykacyjnych), z żądaniem zapłaty określonej sumy pieniężnej, przy wykorzystaniu do tego danych osobowych skarżącego. Uczestnik postępowania działa w oparciu o umowę o świadczenie usług telekomunikacyjnych, której [...] nie zawarł ze skarżącym. Jednocześnie skarżący nie kwestionuje legalności nabycia przez Fundusz wierzytelności od [...] w trybie art. 509 § 1 k.c. Skarżący domagał się kontroli działań uczestnika postępowania od chwili gdy ten skutecznie dowiedział się o nieistnieniu zobowiązania po stronie skarżącego. Jednak po przeprowadzeniu postępowania PUODO podjął decyzję odmowną, której główne twierdzenie sprowadza się do braku kognicji organu do weryfikacji istnienia zobowiązania i jego prawidłowości. W przekonaniu skarżącego, tak wydana decyzja jest wadliwa, ponieważ to na administratorze danych osobowych ciąży obowiązek wykazania, iż dane te są poprawne oraz przetwarzane w celach faktycznie i merytorycznie istniejących. PUODO powinien dokonać oceny, czy nastąpiło skuteczne podważenie zobowiązania przez skarżącego i jakie skutki to powoduje w świetle ustawy o ochronie danych osobowych. Organ uchylił się od tej oceny, pomimo dostarczenia przez skarżącego materiałów z Prokuratury Rejonowej w Z. i Sądu w Z., z których wynika, że nie zawierał umowy z [...], czyli wierzycielem pierwotnym. Skoro takie ustalenie poczynił ww. Sąd, to – według skarżącego – kolejny wierzyciel, czyli Fundusz nie może skutecznie powoływać się na powyższą umowę jako podstawę żądania należności, przetwarzając w tym celu dane osobowe skarżącego. Skarżący podkreślił, iż weryfikacja ważności tej umowy została nastąpiła we właściwym trybie i we właściwej formie, bowiem dokonała tego Prokuratura, a skontrolował Sąd. To, że nie udało się wykryć sprawcy fałszerstwa umowy (brak wyroku skazującego) nie powinno rzutować na status skarżącego, ponieważ jego osobę prawomocnie wykluczono jako stronę przedmiotowej umowy. Jako niedorzeczne skarżący ocenił ustalenie PUODO, iż przekazał [...] sygnatury akt toczących się spraw, gdyż w tamtym okresie postępowania były w fazie początkowej lub nie zostały jeszcze wszczęte, zaś ich zakończenie nastąpiło dwa lata później, gdy wyłącznym administratorem jego danych osobowych był Fundusz. Przekazania danych nie należy rozumieć jako zgody na ich nieograniczone przetwarzanie - wręcz przeciwnie było to uzasadnienie żądania zakazu przetwarzania danych osobowych, o którym mowa w art. 32 ust. 1 pkt 6-8 obowiązującej wówczas ustawy o ochronie danych osobowych. Skarżący zaznaczył, że z żądaniem ochrony przetwarzania danych osobowych zwracał się do uczestnika postępowania dwa razy, a nie jednokrotnie, jak to ustalił PUODO. W odpowiedzi na skargę PUODO wniósł o jej oddalenie, podtrzymując stanowisko zawarte w zaskarżonej decyzji. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: Skarga zasługuje na uwzględnienie, bowiem PUODO, wydając zaskarżoną decyzję, dopuścił się naruszenia przepisów postępowania administracyjnego, tj. art. 7, art. 11, art. 75 § 1, art. 77 § 1, art. 80 oraz art. 107 § 3 k.p.a. w związku z art. 7 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r., poz. 1781; dalej: "u.o.d.o.") w stopniu mogącym mieć istotny wpływ na wynik sprawy. Nie ulega wątpliwości, że postępowanie w sprawie naruszenia przepisów o ochronie danych (uregulowane w rozdziale 7 u.o.d.o.) jest jednym z postępowań administracyjnych przed PUODO. O takim jego charakterze rozstrzyga art. 7 ust. 1 u.o.d.o., który postępowanie to kwalifikuje jako administracyjne i nakazuje w sprawach nieuregulowanych w u.o.d.o. stosowanie do tego postępowania k.p.a. Warto przy tym zauważyć, że ustawodawca w art. 7 ust. 1 u.o.d.o. nie przewiduje stosowania odpowiedniego, co oznacza stosowanie przepisów ogólnej procedury administracyjnej wprost, z uwzględnieniem modyfikacji wynikających z regulacji u.o.d.o. Nadto użyte w art. 60 u.o.d.o. określenie "naruszenie przepisów o ochronie danych osobowych" ma szeroki zakres i obejmuje naruszenia wszystkich przepisów o ochronie danych, zarówno zawartych w RODO, jak i w przepisach krajowych, które uzupełniają lub modyfikują regulacje unijne. Stosownie do treści art. 7 k.p.a. w toku postępowania organy administracji publicznej stoją na straży praworządności, z urzędu lub na wniosek stron podejmują wszelkie czynności niezbędne do dokładnego wyjaśnienia stanu faktycznego oraz do załatwienia sprawy, mając na względzie interes społeczny i słuszny interes obywateli. Przepis art. 77 § 1 k.p.a. stanowi, że organ administracji publicznej jest obowiązany w sposób wyczerpujący zebrać i rozpatrzyć cały materiał dowodowy. Natomiast wedle art. 80 k.p.a., organ administracji publicznej ocenia na podstawie całokształtu materiału dowodowego, czy dana okoliczność została udowodniona. Z kolei art. 75 § 1 k.p.a. nakazuje organowi dopuścić jako dowód wszystko, co może przyczynić się do wyjaśnienia sprawy, a nie jest sprzeczne z prawem. W szczególności dowodem mogą być dokumenty, zeznania świadków, opinie biegłych oraz oględziny. Organ zaaprobował stanowisko administratora wyrażone w pismach z [...] marca 2021 r. i [...] maja 2021 r. Tymczasem wśród 34 załączników do skargi, skierowanej przez skarżącego do PUODO, znajdują się dokumenty poddające co najmniej w wątpliwość istnienie wierzytelności [...] względem skarżącego, a tym samym skuteczność cesji tej wierzytelności na Fundusz. Otóż z uzasadnienia postanowienia Komisariatu Policji w O. z [...] czerwca 2015 r., sygn. akt [...] (zatwierdzonego przez Prokuratora Prokuratury Rejonowej w Z. i utrzymanego w mocy postanowieniem Sądu Rejonowego w Z., II Wydział Karny z [...] czerwca 2016 r., sygn. akt [...]) wynika, że skarżący zawiadomił organy ścigania o zawarciu na jego dane osobowe: w dniu [...] marca 2013 r. dwóch umów o świadczenie usług telekomunikacyjnych z [...], a w dniu [...] marca 2013 r. jednej umowy o świadczenie usług telekomunikacyjnych z [...], których to umów osobiście nie podpisywał. Od skarżącego pobrano próbki pisma ręcznego, przy czym dochodzenia w tych sprawach karnych umorzono wobec niewykrycia sprawcy przestępstw. Znamiennym jest też fakt, iż uczestnik postępowania najwyraźniej zrezygnował z dochodzenia od skarżącego na drodze sądowej zadłużenia wynikającego z umowy o świadczenie usług telekomunikacyjnych zawartej z [...] w dniu [...] marca 2013 r. Mianowicie po wniesieniu przez skarżącego sprzeciwu od nakazu zapłaty wydanego przez Sąd Rejonowy L. w L., [...]Wydział Cywilny z [...] lutego 2015 r., sygn. akt [...] i przekazaniu sprawy do Sądu Rejonowego w Z., postępowanie w przedmiotowej sprawie zostało umorzone wobec nieuzupełnienia przez Fundusz braków formalnych pozwu (postanowieniem Sądu Rejonowego w Z., [...] Wydział Cywilny z [...]lipca 2015 r., sygn. akt [...]). Co więcej, o ile w postępowaniu przez PUODO administrator przedłożył umowę sprzedaży wierzytelności zawartą z [...] w dniu [...] września 2014 r., to w aktach administracyjnych sprawy brak jest kwestionowanej przez skarżącego umowy z [...] marca 2013 r. (o nr [...]). Oznacza to, że wyrażając ocenę, iż tylko prawomocny wyrok karny, ewentualnie prawomocnie zakończone postępowanie w trybie art. 189 k.p.c. mogłoby wpłynąć na wynik rozpatrywanej sprawy, PUODO nie zweryfikował istnienia źródła kwestionowanego przez skarżącego długu, ograniczając się do żądania przedstawienia cesji wierzytelności z [...] na Fundusz. Sąd nie podziela twierdzenia PUODO, że uczestnik postępowania skutecznie wykazał podstawę prawną do przetwarzania danych osobowych skarżącego w postaci usprawiedliwionego interesu administratora, jakim jest dochodzenie przysługującej mu wierzytelności, w oparciu o art. 6 ust. 1 lit. f RODO. Przepis ten jest obwarowany wyjątkiem obejmującym sytuacje, w których nadrzędny charakter wobec prawnie uzasadnionych interesów administratora mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem. W tym miejscu podkreślić należy, iż celem RODO (wyrażonym w art. 1 ust. 2 RODO) jest ochrona podstawowych praw i wolności osób fizycznych, w szczególności ich prawa do ochrony danych osobowych oraz że ochrona osób fizycznych w związku z przetwarzaniem danych osobowych jest jednym z praw podstawowych (vide zdanie pierwsze motywu 1 preambuły RODO). W przypadku jakichkolwiek wątpliwości, np. co do wykonania obowiązków przez administratorów - nie tylko w sytuacji, gdy doszło do naruszenia ochrony danych osobowych, ale też przy opracowywaniu technicznych i organizacyjnych środków bezpieczeństwa mających im zapobiegać – należy w pierwszej kolejności brać pod uwagę te wartości. W toku dokonywania oceny, czy występują ryzyka naruszenia praw lub wolności człowieka, administrator powinien brać pod uwagę wszelkie możliwe szkody, jak i krzywdy, które mogą wyniknąć z danego zdarzenia dla osób fizycznych. Mogą one polegać na utracie kontroli nad własnymi danymi osobowymi, negatywnych konsekwencjach wizerunkowych, stratach finansowych, negatywnym odbiorze społecznym, czy - jak w niniejszej sprawie - możliwości zawierania umów z wykorzystaniem danych osobowych innej osoby fizycznej. Nie można zignorować, jak to uczynił organ, argumentacji skarżącego, konsekwentnie prezentowanej w toku całego postępowania administracyjnego i popartej takimi dokumentami, jakimi skarżący dysponował. Wprawdzie trafnie zauważa PUODO, że nie należy do jego kompetencji ocena ważności/legalności spornej umowy o świadczenie usług telekomunikacyjnych, ale w celu wyczerpującego ustalenia stanu faktycznego sprawy, powinien on zweryfikować istotne okoliczności związane z kwestionowaną umową, m.in. czy administrator nią w ogóle dysponuje. Nadto wobec ww. postanowienia Komisariatu Policji w O. z [...] czerwca 2015 r., sygn. akt [...], wskazującego, iż dane osobowe skarżącego zostały wykorzystane w celu wyłudzenia telefonów i usług telekomunikacyjnych, a od skarżącego pobrano próbki pisma ręcznego, organ winien również rozważyć zweryfikowanie, czy w ramach dochodzeń zainicjowanych zawiadomieniem skarżącego o popełnieniu przestępstw, została sporządzona opinia biegłego wykluczająca go jako stronę umowy zawartej 26 marca 2013 r. z [...] (vide art. 7b k.p.a. w związku z art. 7 ust. 1 u.o.d.o.). Ponadto PUODO powinien wystąpić do Funduszu o informację, czy uczestnik postępowania posiada mechanizm usuwania danych wprowadzonych do systemu bezpodstawnie, a jeżeli tak, to jakie są kryteria tej bezpodstawności. Skarżący wielokrotnie zwracał się do uczestnika postępowania, a wcześniej do [...] (a także do innych podmiotów zajmujących się windykacją należności) o sprawdzenie jego danych, akcentując, iż nie zawierał spornej umowy o usługi telekomunikacyjne. Ponownie rozpatrując sprawę, PUODO - stosownie do podanych wyżej wytycznych - dokona pełnych i niebudzących wątpliwości ustaleń stanu faktycznego, a następnie podda go dogłębnej analizie prawnej. Zdaniem Sądu, w okolicznościach przedmiotowej sprawy, nie sposób zaakceptować stanowiska, w myśl którego dopóki nie zostanie ustalony sprawca przestępstwa, tj. faktyczna strona umowy z [...], dopóty Fundusz zasadnie przetwarza dane osobowe skarżącego. Mając na uwadze powyższe, Wojewódzki Sąd Administracyjny w Warszawie, na podstawie art. 145 § 1 pkt 1 lit. c) p.p.s.a., orzekł jak w sentencji wyroku.