II SA/Wa 3982/21
WyrokWSA w Warszawie2022-06-21
Skład orzekający: Joanna Kruszewska-Grońska, Joanna Kube, Waldemar Śledzik
Analiza orzeczenia
Sekcja wygenerowana przez AI na podstawie treści orzeczenia — nie stanowi cytatu.
Zagadnienie prawne
Czy przetwarzanie danych osobowych (imię, nazwisko, adres zamieszkania) przez spółkę w celu ochrony jej dobrego imienia, w sytuacji gdy dane te zostały pozyskane od osób trzecich, jest zgodne z art. 6 ust. 1 lit. f RODO, a także czy w takiej sytuacji istnieje podstawa do nakazania usunięcia tych danych?Ratio decidendi
Przetwarzanie danych osobowych (imię, nazwisko, adres zamieszkania) przez spółkę w celu ochrony jej dobrego imienia, gdy dane te zostały pozyskane od osób trzecich, może być zgodne z art. 6 ust. 1 lit. f RODO, jeśli jest niezbędne do realizacji prawnie uzasadnionego interesu spółki (ochrona renomy, zabezpieczenie przed roszczeniami), a interes ten nie jest nadrzędny wobec praw i wolności osoby, której dane dotyczą. W sytuacji, gdy istnieje podstawa prawna do przetwarzania danych, brak jest podstaw do nakazania ich usunięcia.Stan faktyczny
Skarżąca wniosła skargę na decyzję Prezesa Urzędu Ochrony Danych Osobowych (PUODO) w części dotyczącej odmowy uwzględnienia jej wniosku o usunięcie danych osobowych. Skarga dotyczyła przetwarzania jej imienia, nazwiska i adresu zamieszkania przez spółkę G. Sp. z o.o. w celu ochrony jej dobrego imienia, po tym jak skarżąca i inni sąsiedzi złożyli skargi do różnych instytucji dotyczące działalności spółki. PUODO nakazał spółce wypełnienie obowiązku informacyjnego z art. 14 RODO, ale odmówił usunięcia danych, uznając, że spółka miała prawnie uzasadniony interes w ich przetwarzaniu.Rozstrzygnięcie
Oddalono skargę.Pełny tekst orzeczenia
Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Joanna Kruszewska-Grońska (spr.), Sędzia WSA Joanna Kube, Sędzia WSA Waldemar Śledzik, Protokolant ref. staż. Beata Kowalska, po rozpoznaniu na rozprawie w dniu 21 czerwca 2022 r. sprawy ze skargi R. N. na pkt 2 decyzji Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] września 2021 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę
Zaskarżoną w niniejszej sprawie decyzją z [...] września 2021 r. nr [...] Prezes Urzędu Ochrony Danych Osobowych (dalej: "PUODO", "organ"), na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2021 r., poz. 735 ze zm.; dalej: "k.p.a.") w związku z art. 7 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r., poz. 1781; dalej: "u.o.d.o."), art. 6 ust. 1 lit. f), art. 14 ust. 1, 2 i 3, art. 58 ust. 2 lit. b) i lit. g) rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych - Dz. Urz. UE L 119 z dnia 4 maja 2016 r., str. 1; dalej: "RODO"), po przeprowadzeniu postępowania administracyjnego wszczętego skargą (wnioskiem) R. N. (dalej: "skarżąca") na nieprawidłowości w procesie przetwarzania jej danych osobowych przez G. Sp. z o.o. z siedzibą w R. (dalej: "uczestnik postępowania", "spółka"), w punkcie pierwszym nakazał uczestnikowi postępowania wypełnienie wobec skarżącej obowiązku informacyjnego z art. 14 ust. 1 i 2 RODO, a w punkcie drugim odmówił uwzględnienia wniosku w pozostałym zakresie.
Do wydania zaskarżonej decyzji doszło w następujących okolicznościach sprawy.
Pismem z [...] września 2019 r. skarżąca wniosła do organu skargę na nieprawidłowości w procesie przetwarzania jej danych osobowych przez P. G. - prezesa zarządu spółki, polegające na niedopełnieniu obowiązku informacyjnego, o którym mowa w art. 14 ust. 1 i 2 RODO, a także przetwarzaniu jej danych osobowych w zakresie imienia, nazwiska oraz adresu zamieszkania bez podstawy prawnej.
W toku postępowania administracyjnego PUODO ustalił, że [...] września 2019 r. uczestnik postępowania wystosował do skarżącej, a także innych właścicieli nieruchomości sąsiadujących z działką, na której prowadzi działalność gospodarczą, "list otwarty", w którym zwrócił się m.in. o to, by zaprzestano rozpowszechniania nieprawdziwych informacji naruszających dobre imię spółki. W liście tym wskazano też, że działania m.in. skarżącej mogą prowadzić do zasygnalizowania przez uczestnika postępowania nieprawidłowości w użytkowaniu sąsiednich nieruchomości. Jeżeli mieszkańcy nie zaniechają powyższych działań, spółka będzie zgłaszać fakt prowadzenia przez nich prac w sposób niezgodny z zasadami BHP oraz z prawem budowlanym.
Pismo z [...] września 2019 r. zostało sporządzone na papierze firmowym uczestnika postępowania, opatrzono je podpisem prezesa zarządu spółki i pieczątką spółki. Przedmiotowe pismo nadano w kopercie zawierającej - obok danych spółki - imię, nazwisko oraz adres zamieszkania skarżącej jako adresata pisma.
PUODO stwierdził, iż spółka nie zrealizowała wobec skarżącej obowiązku informacyjnego wynikającego z art. 14 RODO.
W pismach z [...] lutego 2020 r. oraz z [...] czerwca 2020 r. uczestnik postępowania oświadczył, że dane osobowe skarżącej nie były i nie są przetwarzane w jego rejestrach, a także nie były wykorzystywane w innym celu niż wysłanie pisma z [...] września 2019 r. Spółka podkreśliła również, iż nie wpłynął do niej żaden wniosek o usunięcie danych osobowych skarżącej w trybie art. 17 RODO, a ww. pismo nie jest związane z prowadzoną przez nią działalnością, w tym gospodarczą. Zaakcentowała też, że sporządził je prezes zarządu – P. G..
W uzasadnieniu powołanej na wstępie decyzji organ podniósł, że to spółka jest faktycznym administratorem danych osobowych skarżącej, a wysłanie pisma z [...] września 2019 r. realizowało interesy (cele) uczestnika postępowania. Do spółki należały użyte w tym celu środki, zaś decyzja o przetwarzaniu danych skarżącej została podjęta przez osobę uprawnioną do reprezentacji spółki.
W ocenie PUODO, uczestnik postępowania posiada przesłankę uzasadniającą możliwość przetwarzania danych osobowych skarżącej, gdyż przetwarza je w celu ochrony swojego dobrego imienia. W ramach przepisów prawa spółka wskazuje konsekwencje działań podejmowanych przez skarżącą i ostrzega przed skierowaniem zawiadomień, jednak dopiero, gdy (i o ile) zaistnieją nieprawidłowości w użytkowaniu nieruchomości sąsiadujących z terenem należącym do spółki. Zatem nie można stwierdzić, aby takie przetworzenie danych skarżącej stanowiło naruszenie art. 6 ust. 1 lit. f) RODO, bowiem nie jest nadrzędny interes, prawa czy wolności skarżącej wobec interesów spółki. To uczestnik postępowania wzywał (m.in.) skarżącą do zaprzestania naruszeń prawa, broniąc swojego dobrego imienia.
Jednocześnie organ uznał, że spółka naruszyła podstawowe prawo skarżącej, jakim jest ochrona danych, które jej dotyczą, ponieważ przetwarzała jej dane z naruszeniem obowiązku informacyjnego wynikającego z art. 14 RODO. Uczestnik postępowania wszedł w posiadanie danych osobowych skarżącej i przetwarzał je, a więc był zobowiązany do spełnienia ww. obowiązku, gdyż skarżąca nie udostępniła mu swoich danych. Ze zgromadzonego w sprawie materiału dowodowego, w szczególności z wyjaśnień spółki, nie wynika, aby został spełniony względem skarżącej ww. obowiązek informacyjny. Ponadto spółka nie wykazała zaistnienia jakakolwiek przesłanki, o której mowa w art. 14 ust. 5 RODO. Powyższy przepis przewiduje wyjątki od zasady w postaci obowiązku informacyjnego przy gromadzeniu danych z innych źródeł aniżeli osoba, której dane dotyczą.
PUODO nie znalazł podstaw do nakazania usunięcia danych osobowych skarżącej ze względu na istnienie podstawy prawnej do ich przetwarzania wobec istniejącego między skarżącą i spółką sporu, w tym w celu jego zażegnania. Dlatego w tym zakresie organ odmówił uwzględnienia wniosku skarżącej. Natomiast za zasadne uznał nakazanie uczestnikowi postępowania wypełnienia wobec skarżącej obowiązku informacyjnego określonego w art. 14 ust. 1 i 2 RODO.
Powyższa decyzja w zakresie punktu drugiego stała się przedmiotem skargi skarżącej do Wojewódzkiego Sądu Administracyjnego w Warszawie, w której zarzucono naruszenie:
1. przepisów postępowania administracyjnego, a to:
a) art. 8 § 1 k.p.a. w związku z art. 7 ust. 1 u.o.d.o., polegające na prowadzeniu przez PUODO postępowania w sposób niebudzący zaufania jego uczestników do władzy publicznej oraz na zaniechaniu przestrzegania zasady proporcjonalności, bezstronności i równego traktowania,
b) art. 7 i art. 80 k.p.a. w związku art. 7 ust. 1 u.o.d.o., polegające na zaniechaniu podjęcia przez organ wszelkich czynności niezbędnych do dokładnego wyjaśnienia stanu faktycznego oraz do załatwienia sprawy, mając na względzie interes społeczny i słuszny interes obywateli oraz na uznaniu za udowodnionej okoliczności, iż spółka przetwarzała dane osobowe w celu ochrony swojego dobrego imienia, podczas gdy okoliczność ta nie wynika z zebranego w sprawie materiału dowodowego i z jego kształtu;
2. przepisów prawa materialnego, a to:
a) art. 6 ust. 1 lit. f) RODO, polegające na błędnym uznaniu przez organ, że przetwarzanie danych osobowych przez uczestnika postępowania jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, podczas gdy nie sposób uznać za niezbędne w rozumieniu ww. przepisu przetwarzania danych, mającego na celu uniemożliwienie prowadzenia postępowania administracyjnego wobec spółki, w obliczu istnienia ku temu przesłanek prawnych i faktycznych, w drodze zastraszania wnioskujących o wszczęcie takiego postępowania administracyjnego; przetwarzanie danych w takim celu nie jest również, wbrew twierdzeniu organu, prawnie uzasadnione, a w związku z tym należy uznać, iż nie zachodzi żadna z przesłanek zastosowania art. 6 ust. 1 lit. f) RODO, a ponadto polegające na błędnym uznaniu, że interes spółki, polegający na rzekomej potrzebie ochrony jej dobrego imienia, ma charakter nadrzędny w stosunku do interesów skarżącej oraz podstawowych praw i wolności,
b) art. 17 ust. 1 lit. d) w związku z art. 58 ust. 2 lit. g) RODO, polegające na zaniechaniu nakazania spółce - w treści zaskarżonej decyzji - usunięcia danych osobowych pozyskanych i przetwarzanych przez nią niezgodnie z prawem, podczas gdy osoba, której dane dotyczą, ma prawo żądania od administratora niezwłocznego usunięcia dotyczących jej danych osobowych, zaś administrator ma obowiązek bez zbędnej zwłoki usunąć dane osobowe, jeżeli były one przetwarzane niezgodnie z prawem, a zatem istniały przesłanki do nakazania przez organ nadzorczy, na mocy art. 17 RODO, sprostowania lub usunięcia danych osobowych,
c) art. 24 § 1 ustawy z dnia 23 kwietnia 1964 r. Kodeks cywilny (Dz. U. 2022 r., poz. 1360 ze zm.; dalej: "k.c.") polegające na uznaniu, że dobro osobiste osoby prawnej - spółki zasługuje na ochronę, mimo iż działanie, rzekomo naruszające dobre imię spółki, nie jest bezprawne, co wyłącza ochronę przewidzianą w ww. przepisie.
Na podstawie tak sformułowanych zarzutów skarżąca wniosła o uchylenie zaskarżonej decyzji w zakresie pkt 2 (tj. odmowy uwzględnienia jej wniosku) i przekazanie sprawy organowi w tym zakresie do ponownego rozpoznania, jak również zasądzenie od organu kosztów postępowania sądowoadministracyjnego.
W uzasadnieniu skargi skarżąca podała, że o fakcie pozyskania i przetwarzania jej danych osobowych przez uczestnika postępowania dowiedziała się wraz z otrzymaniem drogą pocztową pisma spółki z [...] września 2019 r. Według skarżącej, celem tego pisma było wymuszenie na niej - w drodze zastraszania i szantażu - zaprzestania działań grożących spółce pociągnięciem jej do odpowiedzialności w związku ze złożeniem przez skarżącą i kilka innych osób podań o wszczęcie postępowań administracyjnych wobec bezprawnych działań spółki. Sformułowania zawarte w ww. piśmie sugerują, iż uczestnik postępowania posiada informacje o stosunkach rodzinnych i sąsiedzkich wnioskodawców, a także wyrażają "zawoalowaną" groźbę ujawnienia tych informacji w razie kontynuacji dochodzenia roszczeń przez wnioskodawców na drodze postępowania administracyjnego. W ten sposób spółka zmusza do rezygnacji ze zgłaszania właściwym organom nieprawidłowości, jakich dopuszcza się przy prowadzeniu działalności gospodarczej. Jako przykład takich nieprawidłowości skarżąca powołała nielegalne usytuowanie zbiorników na gaz na terenie działek należących do spółki, zaznaczając, że postępowanie w tej sprawie zostało zakończone wydaniem decyzji nakazującej rozbiórkę wspomnianych zbiorników.
Skarżąca zwróciła również uwagę, że żadna z jednostek redakcyjnych art. 6 RODO nie obejmuje chęci zażegnania sporu między stronami postępowania administracyjnego jako przesłanki legalności przetwarzania danych, a katalog określony w ww. art. ma charakter zamknięty.
W odpowiedzi na skargę PUODO wniósł o jej oddalenie, podtrzymując stanowisko wyrażone w zaskarżonej decyzji.
Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje:
Sąd administracyjny, w zakresie swojej właściwości, ocenia zaskarżony akt lub czynność z zakresu administracji publicznej dotyczącą uprawnień lub obowiązków wynikających z przepisów prawa, z punktu widzenia ich zgodności z prawem materialnym i przepisami postępowania administracyjnego, według stanu faktycznego i prawnego obowiązującego w dacie wydania tego aktu lub podjęcia spornej czynności. Chodzi zatem o kontrolę aktów lub czynności z zakresu administracji publicznej dokonywaną wyłącznie pod względem ich legalności (tj. zgodności z prawem materialnym i przepisami procesowymi), nie zaś według kryteriów słuszności czy też zgodności z zasadami współżycia społecznego.
Ponadto podkreślenia wymaga, że sąd administracyjny rozstrzyga w granicach danej sprawy, nie będąc jednak związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną (vide art. 134 § 1 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi - Dz. U. z 2022 r., poz. 329 ze zm.; dalej: "p.p.s.a.").
W świetle powołanych wyżej kryteriów, skarga nie zasługuje na uwzględnienie, bowiem zaskarżona decyzja odpowiada prawu.
Zgodnie z art. 4 pkt 1 RODO, dane osobowe oznaczają wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej ("osobie, której dane dotyczą"); możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora takiego jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej.
Przetwarzanie danych definiuje art. 4 pkt 2 RODO jako operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, taką jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie.
W myśl art. 6 ust. 1 lit. f) RODO przetwarzanie jest zgodne z prawem w przypadku, gdy jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności, gdy osoba, której dane dotyczą, jest dzieckiem. Przepis ten nie ma zastosowania do przetwarzania, którego dokonują organy publiczne w ramach realizacji swoich zadań.
Przesłanka legalizująca przetwarzanie danych osobowych, zawarta w powołanym wyżej przepisie, jest przede wszystkim ukierunkowana na ochronę interesów podmiotów sektora gospodarczego. Jej konstrukcja, oparta na klauzuli generalnej, umożliwia dokonywanie przetwarzania danych w sytuacjach uzasadnionych prowadzoną działalnością biznesową.
Zastosowanie art. 6 ust. 1 lit. f) RODO wymaga pogłębionej analizy stanu faktycznego. Po pierwsze, musi występować prawnie uzasadniony interes, który jest realizowany przez administratora lub przez stronę trzecią. Prawnie uzasadniony interes obejmuje nie tylko interes wynikający z przepisów prawa, lecz także interes, który jest zgodny z prawem. Ta zgodność z prawem stanowi ograniczenie pojęcia interesu administratora lub strony trzeciej jako potencjalnej podstawy do przetwarzania danych osobowych. W doktrynie przyjmuje się, że wykładnia pojęcia prawnie uzasadnionego interesu powinna być szeroka i obejmować interesy gospodarcze, faktyczne oraz prawne.
Następnie trzeba zweryfikować, czy przetwarzanie danych osobowych jest niezbędne dla realizacji celu wynikającego z powyższego interesu. Pojęcie niezbędności oznacza, że przetwarzanie danych dla realizacji prawnie uzasadnionego interesu administratora lub strony trzeciej musi być, rozsądnie oceniając, potrzebne, a więc musi występować bezpośredni związek pomiędzy realizacją prawnie uzasadnionego interesu a potrzebą przetwarzania danych osobowych.
W kolejnym etapie należy ocenić, czy nie zaistniała negatywna przesłanka w postaci występowania w danym stanie faktycznym interesów lub podstawowych praw i wolności podmiotu danych, które mają charakter nadrzędny wobec prawnie uzasadnionych interesów administratora lub strony trzeciej. W przypadku jej spełnienia, nie będzie możliwe powołanie się na przepis art. 6 ust. 1 lit. f) RODO jako uzasadnienie dla przetwarzania danych osobowych. Analiza na tym etapie sprowadza się do wyważenia dwóch dóbr chronionych prawem: prawnie uzasadnionego interesu administratora lub strony trzeciej oraz interesów, podstawowych praw oraz wolności podmiotu danych (vide D. Lubasz, W. Chomiczewski [w:] RODO. Ogólne rozporządzenie o ochronie danych. Komentarz pod red. D. Lubasza i E. Bielak-Jomaa, Warszawa 2018, komentarz do art. 6 RODO dostępny w Systemie Informacji Prawnej Lex).
Nie budzi wątpliwości Sądu, że skarżąca i uczestnik postępowania są skonfliktowani na tle prowadzonej przez uczestnika działalności gospodarczej. W aktach administracyjnych sprawy znajdują się, załączone do wniosku skarżącej z [...] września 2019 r., pisma właścicieli sąsiednich nieruchomości z [...] sierpnia 2019 r., skierowane do: Wojewódzkiego Urzędu Ochrony Zabytków – [...] , Regionalnej Dyrekcji Ochrony Środowiska w R. oraz Powiatowego Inspektora Nadzoru Budowlanego w R.. Pisma te zostały podpisane przez autorów – w tym skarżącą – imieniem, nazwiskiem i adresem zamieszkania. Skarżąca i pozostali autorzy informują adresatów ww. pism o zamontowaniu przez uczestnika postępowania w dniu [...] sierpnia 2019 r. trzech wielkich zbiorników na komponenty chemiczne oraz zwracają się o niezwłoczne podjęcie interwencji.
W piśmie z [...] września 2019 r. spółka wskazuje, iż "sąsiadujący z działką, na której firma G. prowadzi działalność gospodarczą, rozpowszechniają nieprawdziwe informacje", "w ostatnim czasie sąsiedzi G. wystosowali pismo do kilku instytucji", a "w ostatnim piśmie piszecie Państwo, iż firma G. w swej działalności stosuje substancje chemiczne, które są niebezpieczne dla Państwa, jak również i prowadzona działalność jest uciążliwa". Ponadto "w piśmie informujecie Państwo, iż nasza firma była ukarana mandatem, co nie jest również prawdą". W dalszej części przedmiotowego pisma uczestnik postępowania przedstawił informacje dotyczące prowadzonej działalności gospodarczej. Następnie spółka ostrzegła, że "będzie zgłaszać fakt prowadzenia przez Państwa prac w sposób niezgodny z zasadami BHP, jak również prawem budowlanym" oraz domagać się "od każdego z Państwa wysokich odszkodowań za przekazywanie nieprawdziwych informacji, które naruszają dobre imię firmy G.".
Opisana wyżej korespondencja, znajdująca się w aktach administracyjnych sprawy, świadczy o tym, że uzasadniony interes uczestnika postępowania to interes gospodarczy, a konkretnie ochrona dobrego imienia przedsiębiorcy. W sytuacji, gdy inne podmioty (tu: właściciele sąsiednich nieruchomości, do których należy skarżąca) zarzucają spółce działania, które mogą osłabić jej pozycję na rynku, to ma ona prawo bronić swojej renomy, a także zabezpieczyć się zarówno przed istniejącymi, jak i ewentualnymi roszczeniami. Natomiast zasadność tych zarzutów lub roszczeń może zostać zweryfikowana w innych postępowaniach prowadzonych przez właściwe organy administracji publicznej.
Raz jeszcze podkreślić należy, że prawnie uzasadnionego interesu nie można ograniczać do interesu prawnego. Nie ma też podstaw do przyjęcia, iż uprawnienie do przetwarzania danych musi wynikać z jakiegoś szczególnego przepisu prawa. Takie podejście prowadziłoby w konsekwencji do powstania konkurencyjnej podstawy przetwarzania danych w stosunku do art. 6 ust. 1 lit. c) lub lit. e) RODO (vide P. Barta, M. Kawecki Rozporządzenie UE w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i swobodnym przepływem takich danych. Komentarz pod red. P. Litwińskiego, Wydawnictwo C.H. Beck, Warszawa 2018, s. 304).
Do realizacji uzasadnionego celu gospodarczego uczestnik postępowania przetworzył jednokrotnie imię, nazwisko i adres zamieszkania skarżącej, czyli dane osobowe konieczne do doręczenia jej pisma z [...] września 2019 r. W tej sytuacji została spełniona przesłanka "niezbędności" danych przetwarzanych w celu realizacji prawnie uzasadnionego interesu. Spółka incydentalnie posłużyła się ww. danymi, umieszczając je na kopercie zawierającej ww. pismo.
Prawidłowo PUODO ocenił, iż w niniejszej sprawie nie zachodzi negatywna przesłanka stosowania art. 6 ust. 1 lit. f) RODO. Sąd nie dopatrzył się po stronie skarżącej istnienia interesu czy podstawowych praw lub wolności wymagających ochrony danych osobowych. Wzywając skarżącą do zaprzestania działań godzących w dobre imię spółki, uczestnik postępowania nie dopuścił się naruszenia wzmiankowanych wartości. Natomiast jeżeli skarżąca uważa, że pismo spółki stanowi formę groźby bądź szantażu, to powinna zawiadomić o tym organy ścigania, a nie PUODO.
W ocenie tut. Sądu, uczestnik postępowania legitymował się podstawą prawną do przetworzenia (zresztą jednorazowego) danych osobowych skarżącej, a zatem brak było podstaw do nakazania usunięcia tych danych, a w konsekwencji organ prawidłowo odmówił skarżącej uwzględniania wniosku w tym zakresie.
Trafnie też PUODO przyjął, że administratorem danych jest spółka, a nie P. G. – jak to wskazywały strony w postępowaniu przed organem. Jako prezes zarządu, uprawniony do samodzielnej reprezentacji spółki, P. G. działał w jej imieniu i na jej rzecz, realizując interesy (cele) uczestnika postępowania.
Na gruncie przedmiotowej sprawy niesporna między stronami była okoliczność niedochowania przez spółkę obowiązku informacyjnego przewidzianego w art. 14 ust. 1 i 2 RODO, co skutkowało skorzystaniem przez organ z instrumentu naprawczego w postaci nakazania uczestnikowi postępowania wypełnienia wobec skarżącej przedmiotowego obowiązku.
Chybiony jest zarzut naruszenia przez PUODO art. 24 § 1 k.c., bowiem organ w ogóle nie stosował ww. przepisu kreującego roszczenia niemajątkowe i majątkowe, których uprawniony może dochodzić, wykazując fakt naruszenia lub zagrożenia jego dobra osobistego w postępowaniu cywilnym przed sądem powszechnym.
Za niezasadne należy również uznać podniesione przez skarżącą zarzuty natury procesowej. Organ przeprowadził wymagane prawem postępowanie wyjaśniające, wystarczające dla ustalenia okoliczności mających istotne znaczenie dla rozstrzygnięcia sprawy, a zaskarżona decyzja odpowiada normie zawartej w art. 107 § 3 k.p.a.
Reasumując, tut. Sąd nie dopatrzył się takich wad zaskarżonego aktu, które skutkowałyby koniecznością wyeliminowania go z obrotu prawnego.
Mając na uwadze powyższe, Wojewódzki Sąd Administracyjny w Warszawie na podstawie art. 151 p.p.s.a. orzekł jak w sentencji wyroku.
Źródło: Centralna Baza Orzeczeń Sądów Administracyjnych (orzeczenia.nsa.gov.pl), pozyskano 24.07.2026. · Źródło