II SA/Wa 48/25

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Ewa Radziszewska-Krupa, Sędzia WSA Łukasz Krzycki (spr.), Asesor WSA Anna Pośpiech-Kłak, Protokolant specjalista Maryla Wiśniewska po rozpoznaniu na rozprawie w dniu 2 października 2025 r. sprawy ze skargi [...] sp. z o.o. sp. k. z siedzibą w [...] na punkt 1 decyzji Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] listopada 2024 r. nr [...] w przedmiocie przetwarzania danych osobowych 1. uchyla decyzję w zaskarżonej części; 2. zasądza od Prezesa Urzędu Ochrony Danych Osobowych na rzecz [...] sp. z o.o. sp. k. z siedzibą w [...] kwotę 697 (słownie: sześćset dziewięćdziesiąt siedem) złotych, tytułem zwrotu kosztów postępowania. Zaskarżoną decyzją – przywołując art. 58 ust. 2 lit. c rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz.Urz. UE L. nr 119. str. 1, ze zm.), zwanego dalej "RODO", wobec skargi p. K.P. (dalej "Wnioskodawca") na nieprawidłowości w procesie przetwarzania jego danych osobowych przez [...] Sp. z o.o. sp.k., zwanej dalej "Spółką", polegające na przetwarzaniu danych osobowych bez podstawy prawnej oraz niespełnieniu żądania usunięcia danych - nakazano Spółce usunięcie danych osobowych Wnioskodawcy, w zakresie wskazanego orzeczeniem adresu poczty elektronicznej ([...]), zwanego dalej "Adresem" – tak: pkt 1 orzeczenia. W uzasadnieniu decyzji przywołano następujące okoliczności faktyczne i prawne uwarunkowania sprawy: - wobec wpływu skargi Wnioskodawcy ustalono w toku postępowania następujący stan faktyczny: - Wnioskodawca wskazał, że Spółka przetwarza jego dane osobowe bez jego zgody oraz odmówiła ich usunięcia (tak: skarga z 28 sierpnia 2023 r.), - Spółka pozyskała dane osobowe Wnioskodawcy z: Centralnej Ewidencji i Informacji o Działalności Gospodarczej (dalej, jako "CEIDG") - 17 października 2022 r., bazy REGON Głównego Urzędu Statystycznego - 30 października 2023 r., wykazu podatników VAT - 2 grudnia 2019 r., wyszukiwarki "Sprawdzenie statusu podmiotu w VAT" - 25 września 2017 r. (tak: wyjaśnienia Spółki z 30 października 2023 r.); - Spółka przetwarza dane osobowe Wnioskodawcy - w zakresie: imienia i nazwiska, firmy, statusu i daty rejestracji działalności gospodarczej, adresów oraz numerów NIP i REGON - w celu prowadzenia działalności gospodarczej, polegającej na dostarczaniu danych gospodarczych o podmiotach, prowadzących działalność gospodarczą lub podobną oraz zapewnienia jak największej przejrzystości i pewności obrotu gospodarczego; realizuje w ten sposób prawnie uzasadnione interesy - w myśl art. 6 ust. 1 lit. f RODO (tak: pismo Spółki z 30 października 2023 r.); - Spółka wskazała, że pozyskała również adres e-mail - inny niż wskazany w CEIDG; przetwarza go na podstawie art. 6 ust. 1 lit. c RODO - w celu komunikacji z Wnioskodawcą w zakresie rozpatrzenia jego żądania – oraz na podstawie art. 6 ust. 1 lit. f RODO - w celu obrony przed ewentualnymi roszczeniami; wyjaśniła: "dane te będą przetwarzane tak długo jak będą niezbędne do ochrony interesów Spółki tj. do czasu przedawnienia roszczeń lub zakończenia ewentualnych postępowań dotyczących tych roszczeń." (tak: pismo Spółki z 30 października 2023 r.); - Wnioskodawca zwracał się do Spółki o usunięcie jego danych; ta - wskazując jednakże na swój prawnie uzasadniony interes (tj. "w celu prowadzenia działalności gospodarczej polegającej na dostarczaniu danych gospodarczych o podmiotach prowadzących działalność gospodarczą lub podobną") -odmówiła jego uwzględnienia; w ocenie Spółki, Wnioskodawca nie przedstawił bowiem szczególnej sytuacji, jaka zachodziłaby po jego stronie - będącej przesłanką realizacji prawa do sprzeciwu, na gruncie art. 21 ust. 1 RODO; stanowiłaby ona jedną z okoliczności, warunkujących zastosowanie art. 17 ust. 1 RODO (tak: wyjaśnienia Spółki z 30 października 2023 r.), - określony w art. 6 ust. 1 RODO katalog przesłanek, legalizujących przetwarzanie przez administratora danych osobowych, ma charakter zamknięty; tym samym czynienie tego dopuszczono jedynie we wskazanych w tym przepisie przypadkach; każda z przesłanek przetwarzania ma charakter autonomiczny i niezależny; spełnienie co najmniej jednej z nich stanowi więc o przetwarzaniu zgodnym z prawem; zgoda osoby, której dane dotyczą, nie jest jedyną podstawą, uprawniającą do przetwarzania jej danych osobowych; proces ten będzie zatem zgodny z przepisami również, gdy administrator danych wykaże spełnienie innej z przesłanek RODO - w tym np., że przetwarzanie jest niezbędne do celów, wynikających z realizowanych przez administratora prawnie uzasadnionych interesów (art. 6 ust. 1 lit. f), - przetwarzanie przez Spółkę danych osobowych Wnioskodawcy, pozyskanych z publicznie dostępnych rejestrów, odbywa się w oparciu o art. 6 ust. 1 lit. f RODO, - w toku postępowania ustalono, że Wnioskodawca - 7 sierpnia 2023 r., za pomocą poczty elektronicznej - zwrócił się do Spółki z żądaniem usunięcia jego danych osobowych z baz Spółki; w odpowiedzi wskazała mu ona, swój prawnie uzasadniony interes do przetwarzania jego danych osobowych, jak również poinformowała o braku wystąpienia jakiejkolwiek z przesłanek, wymienionych w art. 17 ust. 1 RODO; w rozpoznawanej sprawie, dane osobowe Wnioskodawcy są w dalszym ciągu niezbędne w kontekście realizowanych przez Spółkę celów - brak przesłanki z art. 17 ust. 1 lit. a RODO; Wnioskodawca nie wykazał też istnienia - po jego stronie - żadnej szczególnej sytuacji, uzasadniającej żądanie zaprzestania przetwarzania przez Spółkę jego danych osobowych, - wobec powyższego przetwarzanie danych osobowych Wnioskodawcy - pozyskanych z publicznych rejestrów - jest potrzebne do realizacji prawnie uzasadnionego interesu Spółki, - w odniesieniu natomiast do przetwarzania danych osobowych Wnioskodawcy w zakresie Adresu wskazano: nie widnieje on w rejestrach publicznych, nie jest powiązany z prowadzoną przez Wnioskodawcę działalnością gospodarczą; Spółka wskazała, że pozyskała Adres w związku ze złożonym przez Wnioskodawcę żądaniem usunięcia danych; przetwarza go na podstawie art. 6 ust. 1 lit. c RODO - w celu komunikacji z Wnioskodawcą w zakresie rozpatrzenia jego żądania - oraz art. 6 ust. 1 lit. f RODO - w celu obrony przed ewentualnymi roszczeniami; stwierdziła, że będzie przetwarzać te dane przez okres niezbędny ochrony interesów Spółki - "do czasu przedawnienia roszczeń lub zakończenia ewentualnych postępowań dotyczących tych roszczeń", - przetwarzanie danych osobowych Wnioskodawcy w zakresie Adresu nie znajduje prawnego uzasadnienia w przepisach RODO; art. 6 ust. 1 lit. c tego aktu obliguje administratora do przetwarzania danych, kiedy jest to niezbędne do wypełnienia obowiązku prawnego, ciążącego na administratorze; Spółka 23 sierpnia 2023 r. wypełniła już jednak ciążący na niej obowiązek - udzielając Wnioskodawcy odpowiedzi na jego żądanie z 7 sierpnia 2023 r.; w niniejszej sprawie z materiału dowodowego nie wynika, aby - po tym czasie - Wnioskodawca kierował do Spółki inną korespondencję; wobec tego nie jest ona uprawniona do dalszego przetwarzania Adresu - na podstawie art. 6 ust. 1 lit. c RODO, - z zebranego w postępowaniu materiału dowodowego nie wynika też, aby Wnioskodawca wystąpił z jakimikolwiek roszczeniami wobec Spółki - np. w postępowaniu cywilnym; uzasadniałoby to uprawnienie do zachowania i przetwarzania danych osobowych Wnioskodawca dla celów, związanych z dochodzeniem przezeń roszczeń; nie zachodzi zatem wskazywana przez Spółkę przesłanka niezbędności - do celów, wynikających z prawnie usprawiedliwionych realizowanych przez administratora interesów, odnośnie przetwarzania danych osobowych Wnioskodawcy w zakresie Adresu; przesłanka z art. 6 ust. 1 lit. f RODO dotyczy sytuacji już istniejącej, w której celem - wynikającym z prawnie uzasadnionych realizowanych przez administratora interesów - jest konieczność udowodnienia, potrzeba dochodzenia lub obrony przed roszczeniem istniejącym; nie chodzi zaś o sytuację przetwarzania danych w celu zabezpieczenia się przed - jak wskazała Spółka - ewentualnym roszczeniem; nie wykazała ona, aby Wnioskodawca miał wobec niej jakiekolwiek zobowiązania; z przeprowadzonego postępowania administracyjnego nie wynika też, aby Wnioskodawca skierował wobec Spółki jakiekolwiek roszczenia – za wyjątkiem tych, dotyczących żądania usunięcia jego danych, - Spółka przetwarza więc dane osobowe Wnioskodawcy wyłącznie "na zapas" - aby zabezpieczyć się przed ewentualnymi, przyszłymi i niepewnymi roszczeniami Wnioskodawcy, - przyjęcie odmiennej interpretacji wskazanych przepisów, pozbawiałoby Wnioskodawcę ochrony na gruncie RODO; przyjęcie za prawidłowe stanowiska, że przetwarzanie danych osobowych w celu uchylenia się od negatywnych skutków w przypadku zgłoszenia w przyszłości ewentualnego i nieokreślonego roszczenia, stanowi prawnie usprawiedliwiony cel – w rozumieniu art. 6 ust. 1 lit. f RODO - oznaczałoby, że Spółka mogłaby przetwarzać dane osobowe Wnioskodawcy permanentnie - bez konieczności ich usunięcia; teoretycznie możliwym jest przecież, aby Wnioskodawca zwrócił się z roszczeniem po upływie terminu przedawnienia roszczenia; prowadziłoby to do uznania, że przetwarzanie danych osobowych Wnioskodawcy znajduje uzasadnienie w przesłance z art. 6 ust. 1 lit. f RODO - w celu realizacji prawa do obrony przed ewentualnym roszczeniem - również po upływie danego terminu, - nie ma uzasadnienia dla przyjęcia, że terminy przedawnienia roszczeń, wynikających ze stosunków zobowiązaniowych, określają jednocześnie ramy czasowe, w których dane osobowe mogą być przetwarzane; przedawnienie roszczenia nie wywołuje skutków na gruncie ochrony danych osobowych; nie wpływa bowiem na fakt istnienia roszczenia; powoduje jedynie zmianę w sferze zarzutów procesowych - w postaci możliwości podniesienia okoliczności przedawnienia w sporze sądowym; usprawiedliwieniem przetwarzanie danych osobowych w celu dochodzenia roszczeń jest samo istnienia roszczenia oraz zamiar jego dochodzenia; nie jest nim natomiast zmiana w uprawnieniach procesowych pozwanego podmiotu, - ponieważ Spółka nie wskazała roszczeń, których zaspokojenia domaga się od Wnioskodawcy lub tenże wobec niej, jak również nie toczy się między nimi spór, dotyczący stosunku zobowiązaniowego, nie ma celu, uzasadniającego przetwarzanie danych osobowych Wnioskodawcy w zakresie Adresu – w rozumieniu art. 6 ust. 1 RODO; kontynuowanie przetwarzania danych osobowych Wnioskodawcy - w tym zakresie - jest wobec tego, zbędne, a więc niezgodne z obowiązującymi przepisami o ochronie danych osobowych, - w związku z tym konieczne było nakazanie Spółce usunięcia danych osobowych w tym zakresie – wobec treści art. 58 ust. 2 lit. c RODO. Spółka, reprezentowana przez pełnomocnika – adwokata, zaskarżyła kwestionowaną decyzje w pkt 1. Zarzuciła wydanie jej z naruszeniem przepisów prawa materialnego: - art. 6 ust. 1 lit. f RODO, poprzez jego błędną wykładnię wobec uznania, że przetwarzanie przez administratora danych osobowych na podstawie art. 6 ust. 1 lit. f RODO może dotyczyć jedynie sytuacji, gdy podmiot danych zgłosił roszczenie w postępowaniu cywilnym; zgodnie z prawidłową wykładnią tego przepisu administrator może tymczasem przetwarzać dane w celu obrony przed roszczeniami, jeżeli podmiot danych posiada roszczenie przeciwko administratorowi – niezależnie, czy dochodzi tego roszczenia sądowo czy pozasądowe; skutkowało to wydaniem bezzasadnego nakazu usunięcia danych Wnioskodawcy, gdy Spółka legitymowała się i nadal legitymuje podstawą prawną do przetwarzania danych osobowych - wskazaną w art. 6 ust. 1 lit. f RODO, - art. 6 ust. 1 lit. f w zw. z art. 5 ust. 2 RODO, poprzez ich błędną wykładnię, wobec uznania, że - po udzieleniu odpowiedzi na żądanie podmiotu danych - administrator powinien usunąć dane tego podmiotu; administrator jest tymczasem zobowiązany przetwarzać te dane - w szczególności adres e-poczty elektronicznej - w celu prowadzenia z podmiotem danych ewentualnej dalszej korespondencji, dotyczącej żądania oraz wykazania - w toku postępowania przed organem - terminowej odpowiedzi na żądanie podmiotu danych, - art. 58 ust. 2 lit. c w zw. z art. 17 ust. 1 RODO, poprzez ich niewłaściwe zastosowanie i uznanie, że Spółka nie legitymowała się podstawą do przetwarzania Adresu Wnioskodawcy; podmiot danych wskazał tymczasem ten adres poczty elektronicznej w skierowanej do organu skardze; uprawniało to zatem Spółkę do jego przetwarzania - w celu aktywnego uczestnictwa w postępowaniu przed organem; skutkowało to wydaniem bezzasadnego nakazu usunięcia Adresu. Wniesiono o: - uchylenie zaskarżonej decyzji w części – co do pkt 1, - zasądzenie od organu rzecz Spółki zwrotu kosztów postępowania - w tym kosztów zastępstwa procesowego. W szerokim uzasadnieniu rozwinięto powyższe zarzuty. Podniesiono m.in.: - sam fakt wniesienia przez Wnioskodawcę skargi do organu świadczy o wysokim prawdopodobieństwie skierowania roszczeń w innych postępowaniach - szczególnie przed sądem cywilnym; analiza orzecznictwa wskazuje, że podmioty danych dochodzą roszczeń od firm o profilu podobnym jak Spółki przed sądami powszechnymi - głównie z tytułu naruszenia dóbr osobistych, wedle art. 448 w zw. z art. 23 i 24 ustawy z dnia 23 kwietnia 1964 r. - Kodeks cywilny (obecnie opubl. w Dz.U. z 2025 r., poz. 1071), zwanej dalej "K.c."; w szczególności - po uznaniu przez organ żądania podmiotu danych za częściowo zasadne - podmioty te wnoszą roszczenia z art. 82 RODO; dlatego też Spółka spodziewała się - i wciąż spodziewa - zgłoszenia przez podmiot danych roszczeń z tytułu rzekomego naruszenia dóbr osobistych lub z art. 82 RODO; nawet bowiem, jeśli takie roszczenia nie są zasadne, powodowie często wskazują, że przesyłanie niezamówionej korespondencji pocztowej, telegramów czy wykonywanie niezamówionych połączeń telefonicznych nosi znamiona nękania - naruszenia prawa do prywatności i spokoju; podkreślono to w wyrokach Sądu Okręgowego we Wrocławiu z 15 kwietnia 2019 r. (sygn. akt I C 1686/16) oraz Sądu Apelacyjnego w Warszawie z 11 października 2018 r., (sygn. akt I ACa 387/18), - stanowisku organu sprzeciwia się najnowsze orzecznictwo sądów administracyjnych, wedle którego dla spełnienia przesłanki z art. 6 ust. 1 lit. f RODO nie jest konieczne, aby zgłoszono roszczenie przed sądem cywilnym; w wyroku z 27 maja 2024 r. (sygn. akt II SA/Wa 2264/23, dostępny na stronie internetowej orzeczenia.nsa.gov.pl/cbo/query - w Centralnej Bazie Orzeczeń Sądów Administracyjnych, zwanej dalej "CBOSA") Wojewódzki Sąd Administracyjny w Warszawie wskazał: "[n]ie jest trafne stanowisko organu, jakoby możliwość przetwarzania danych osobowych - w kontekście potencjalnych przyszłych roszczeń - mogła być ograniczona wyłącznie do przypadków, gdy toczą się stosowne postępowania.", - stanowisko to potwierdził także Naczelny Sąd Administracyjny w wyroku z 23 października 2024 r. (sygn. akt III OSK 4727/21 – dostępny w CBOSA); zgodnie z nim: ,,[u]szło uwadze sądu, iż możliwość takiego przetwarzania przepisy RODO przewidują wprost w art. 17 ust. 3 lit e, który dopuszcza przetwarzanie niezbędnych danych osobowych w celu "ustalenia, dochodzenia lub obrony roszczeń. [...] Należy w tym miejscu zaznaczyć, że przetwarzanie danych osobowych na tej podstawie, w związku z ewentualnymi przyszłymi roszczeniami zostało ocenione jako dopuszczalne w orzecznictwie Naczelnego Sądu Administracyjnego - zob. wyrok z 20 lutego 2024 r. III OSK 2700/22", - podobne stanowisko zaprezentował Wojewódzki Sąd Administracyjny w Warszawie w wyroku z 31 marca 2022 r. (sygn. akt II SA/Wa 3561/21 – dostępny w CBOSA): ,,[w] ocenie Sądu, nie sposób uznać, aby przesłanka z przepisu art. 6 ust. 1 lit. f) RODO dotyczyła sytuacji wyłącznie już istniejącej, w której celem wynikającym z prawnie uzasadnionych interesów realizowanych przez administratora jest konieczność udowodnienia, potrzeba dochodzenia lub obrony przed roszczeniem istniejącym, albowiem obejmuje ona również sytuacje, gdy dane są przetwarzane w celu zabezpieczenia się przed ewentualnym roszczeniem mogącym powstać w przyszłości"; zaaprobowano je również w innych wyrokach tego Sądu (sygn. akt II SA/Wa 607/20, 1340/20,. 474/21, 506/21, 868/21, 3467/21 – dostępne w CBOSA), - stanowisko sądów w tej materii wynika m.in. z braku możliwości oceny przez administratora, jakie dokładnie roszczenie zgłosi podmiot danych: "niepodobna zakładać, aby [...] w każdym przypadku musiał z góry oceniać, czy określone roszczenia w przyszłości wystąpią. Z mocy stosownych regulacji normatywnych KC dysponuje on określonym czasem, na ustalenie, czy osoba, z którą umowę już rozwiązano, nie ma jednak wobec niego nieuregulowanych zobowiązań." (tak wyrok WSA o sygn. akt II SA/Wa 1528/21), - takie stanowisko wyraził Naczelny Sąd Administracyjny - w wyroku z 22 marca 2013 r (sygn. akt I OSK 813/12 – dostępny w CBOSA) - jeszcze przed wejściem w życie RODO; wskazano tam: ,,[s]półka była uprawniona do utrwalenia danych osobowych skarżącego i zachowania ich dla celów dowodowych, na wypadek ewentualnego postępowania sądowego. Już sama zapowiedź wystąpienia z roszczeniami uprawdopodabnia bowiem potrzebę gromadzenia przez Spółkę dowodów, którymi będzie mogła się posłużyć, jeśli strona zrealizuje swoje zapowiedzi wytoczenia powództwa. Nie ma zatem podstaw do przyjęcia, że aktualnie realizowany proces przetwarzania kwestionowanych danych osobowych skarżącego (w celach dowodowych) narusza jakiekolwiek prawa czy wolności skarżącego. Przeciwnie - chroni w równym stopniu interesy Spółki (jako podmiotu, wobec którego skierowane zostały roszczenia skarżącego), jak i samego skarżącego, na potwierdzenie kwestionowanych przez niego okoliczności.", - wbrew twierdzeniom organu - sugerującego, że stosunek zobowiązaniowy lub jego brak ma wpływ na możliwość przetwarzania danych na podstawie art. 6 ust. 1 lit. f RODO - brak stosunku zobowiązaniowego nie ma żadnego wpływu na możliwość przetwarzania danych na wypadek przyszłych roszczeń; tożsamy wniosek wynika z wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z 29 października 2021 r. (sygn. akt II SA/Wa 506/21 – dostępny w CBOSA), gdzie w sprawie nie wiązała administratora i podmiotu danych umowa; w jego uzasadnieniu stwierdzono:: "takie stanowisko organu nadzorczego prowadziłoby do tego, iż nie byłyby uznawane za uzasadnione interesy skarżącego [...], które w rzeczywistości istnieją przez cały okres przedawnienia roszczeń. W konsekwencji przyjęcia takiego stanowiska organu nadzorczego, skarżący [...] zostałby zmuszony do usunięcia danych osobowych, które wciąż mogą okazać się niezbędne do realizacji prawa do obrony strony skarżącej przed sądem, w przypadku wystąpienia [...] z roszczeniami przed terminem przedawnienia [...]. To z kolei, mogłoby spowodować osłabienie pozycji [...] w ewentualnym sporze sądowym", - nie sposób zgodzić się z twierdzeniami organu, że skoro Spółka przetwarza dane na potrzeby obrony przed roszczeniami podmiotu danych, będzie ona przetwarzała dane osobowe Wnioskodawcy przez nieograniczony czas; Spółka przyjęła bowiem, że Adres - przetwarzany na potrzeby obrony przed roszczeniami - usunie po upływie okresu przedawnienia - wynikającego z art. 118 K.c.; przedawnienie roszczenia wywołuje zatem skutek na gruncie ochrony danych osobowych; po upływie okresu przedawnienia administrator powinien - poza szczególnymi wyjątkami - ocenić, czy nie zachodzą szczególne okoliczności, umożliwiające podmiotowi danych dochodzenie roszczeń wobec administratora i - w przypadku braku wszczęcia postępowania oraz braku możliwości takiego wszczęcia - zdecydować o ich usunięciu; stanowisko takie potwierdza orzecznictwo Wojewódzkiego Sądu Administracyjnego w Warszawie: - ,,[w]arto również podkreślić, że całkowicie nieuzasadnione są obawy organu nadzorczego dotyczące rzekomego, permanentnego przetwarzania danych osobowych Uczestniczki przez Skarżącą, skoro w toku postępowania wskazywano, że każdy z uczestników procesu przetwarzania danych [...] w tym Uczestniczka może wystąpić w roszczeniami odszkodowawczymi. Skoro w okresie, kiedy każda ze stron stosunku zobowiązaniowego może wystąpić do Sądu z roszczeniami wynikającymi z tego stosunku, czyli przez określony odrębnymi przepisami okres przedawnienia roszczeń, to błędne było stanowisko [...], że w sprawie nie istniał prawnie uzasadniony interes administratora danych - Skarżącej - do ich przetwarzania, z zastrzeżeniem, że przetwarzanie to odbywa się w sposób ograniczony wyłącznie do celu, jakim jest cel dowodowy w ewentualnym postępowaniu sądowym, a zatem co do zasady przetwarzanie to polega na przechowywaniu danych." (tak: wyrok o sygn. akt II SA/Wa 1645/23 – dostępny w CBOSA); - ,,[z]godnie z art. 118 Kodeksu cywilnego, jeżeli przepis szczególny nie stanowi inaczej, termin przedawnienia roszczeń wynosi 6 lat, (...). Przy czym, po upływie terminu przedawnienia roszczeń nie będzie można mówić już o uzasadnionym interesie do dalszego przetwarzania danych osobowych skarżącej na tej podstawie. Na obecnym etapie jest, to jednak jak najbardziej uzasadnione." (wyrok o sygn. akt II SA/Wa 3561/21 – dostępny w CBOSA), - w uzasadnieniach obu zacytowanych wyroków zgodzono się ze stwierdzeniem, że - w czasie trwania określonego w art. 118 K.c. terminu przedawnienia roszczeń - administrator ma uzasadniony interes w przechowywaniu danych osobowych - w celach związanych z ustaleniem, dochodzeniem lub obroną roszczeń; trudno sobie wyobrazić, aby - przystępując do sporu z podmiotem danych o naruszenie jego dóbr osobistych w okresie, w którym takie roszczenia nie są przedawnione - administrator nie dysponował żadnymi danymi, umożliwiającymi obronę przed roszczeniami lub chociażby złożenie wyjaśnień w danej sprawie; taki byłby zaś efekt przyjęcia stanowiska organu, który nakazuje usunięcie wszystkich danych; nie umożliwiono tym samym zachowania tych, które są niezbędne na potrzeby prowadzenia sporu, - mając na uwadze powyższe rozważania, stanowisko organu – gdzie uzależniono przetwarzanie danych na podstawie art. 6 ust. 1 lit. f RODO od sądowego dochodzenia roszczenia przez podmiot danych - jest sprzeczne z najnowszym orzecznictwem; zgodnie z nim dopuszcza się przetwarzanie danych w celu obrony przed przyszłymi roszczeniami; z uwagi na wniesienie przez podmiot danych skargi do organu nadzorczego, Spółka ma podstawy, spodziewać się podniesienia przezeń roszczeń w innych postępowaniach. - z twierdzeń organu można wywnioskować, że administrator - po udzieleniu odpowiedzi na żądanie podmiotu danych - powinien niezwłocznie usunąć te dane; stanowisko takie jest błędne; niezwłoczne usunięcie danych utrudnia bowiem, o ile nie uniemożliwia, dalszą korespondencję z podmiotem danych – w przedmiocie tego żądania - oraz uniemożliwia wykazanie przed organem, że administrator zrealizował żądanie podmiotu danych lub udzielił terminowej, uzasadnionej odpowiedzi na to żądanie, - jeżeli Spółka otrzyma żądanie podmiotu danych ma podstawy zakładać, że będzie on kontynuował korespondencję z nią – szczególnie, jeżeli jego żądania nie zostaną zrealizowane; dokonana przez Spółkę analiza korespondencji z podmiotami - zgłaszającymi w przeszłości żądania, na podstawie art. 15-21 RODO - dowodzi, że większość z nich kieruje do administratora więcej niż jedną wiadomość, dotyczącą żądania realizacji swoich praw; szczególnie w przypadku odmowy realizacji żądania podmiotów danych prowadzona przez Spółkę korespondencja może trwać nawet kilka miesięcy; dodatkowo podmioty danych, które już składały jedno żądanie realizacji swoich praw z RODO, najczęściej - po upływie kilku miesięcy - kierują kolejne, często inne żądanie do Spółki; często, jeśli odmawia ona usunięcia danych, podmioty danych żądają dostępu do swoich danych osobowych; zachowanie danych, które umożliwiają udowodnienie wykonania obowiązków z przepisów RODO oraz zachowanie ciągłości i spójności odpowiedzi na żądania podmiotów danych jest obowiązkiem prawnym, wynikającym z art. 5 ust. 2 RODO - administrator jest odpowiedzialny za przestrzeganie przepisów ust. 1 i musi być w stanie wykazać ich przestrzeganie ("rozliczalność"); Spółka miała zatem obowiązek zachowania dowodu wykonania żądania Wnioskodawcy oraz mogła zasadnie oczekiwać, że zwróci się on do niej z kolejnym żądaniem – np. dostępu do danych - lub będzie prowadził dalszą korespondencję, dotyczącą żądania usunięcia danych, - wskazany obowiązek rozliczalności wiąże się także z możliwością przeprowadzenia przez organ kontroli w zakresie wykonania przez administratora żądania podmiotu danych, - organ nie może zatem nakazać całkowitego usunięcia danych Wnioskodawcy; jest bowiem uprawniony weryfikować wywiązywanie się przez Spółkę z nałożonych na nią obowiązków; wykonanie nakazu usunięcia danych przez Spółkę stawiałoby ją w sytuacji braku możliwości wykazania wykonania obowiązku prawnego - w przypadku kontroli, - podsumowując Spółka - poza danymi osobowymi pozyskanymi z publicznie dostępnych rejestrów, przetwarza jedynie Adres; przetwarzane przez Spółkę dane osobowe Wnioskodawcy - zgodnie z art. 5 ust. 1 lit. c RODO – są ograniczone do tego, co niezbędne do celów, w których są przetwarzane; to obrona i dochodzenie roszczeń, możliwość prowadzenia korespondencji w zakresie odpowiedzi na żądanie podmiotu danych oraz zapewnienie po stronie Spółki rozliczalności; nakaz całkowitego usunięcia danych Wnioskodawcy w zakresie Adresu pozbawia ją możliwości obrony swoich praw oraz wywiązania się z nałożonych obowiązków; organ wypacza tym samym rozumienie art. 17 ust. 1 w zw. z art. 5 ust. 2 RODO - pozbawiając Spółkę możliwości wykazania wykonania obowiązków przed organem, jak też podjęcia obrony przed roszczeniami podmiotu danych, - wydając nakaz usunięcia danych pominięto, że adres poczty elektronicznej, którego usunięcie nakazano, jest tożsamy z adresem podmiotu danych, podanym w skierowanej do organu skardze; wynika stąd, że organ niezasadnie wydał nakaz usunięcia Adresu; Spółka przetwarzała go również w celu aktywnego uczestnictwa w prowadzonym przed organem postępowaniu; zgodnie z jednolitą linią orzeczniczą, stanowi to prawnie uzasadniony interes administratora; adres podmiotu danych przetwarzano zatem na podstawie art. 6 ust. 1 lit. f RODO - w celu aktywnego uczestnictwa w postępowaniu przed organem, udzielania odpowiedzi na jego wezwania, ustosunkowywania się do ewentualnych pism - składanych w toku postępowania przed organem; ogólnie zatem - w celu uczestniczenia w wszczętym przez organ postępowaniu. W odpowiedzi na skargę organ wniósł o jej oddalenie, podtrzymując dotychczasową argumentację. W trakcie rozprawy (k. 148) pełnomocnik Spółki podkreślał, że postępowanie przed organem może trwać znaczny czas, a zainteresowany podmiot nie ma wiedzy w tym zakresie – o wpływie skargi. Nie może więc usuwać, związanych z konkretnymi zdarzeniami informacji. Wykluczałoby to możliwość ochrony jego interesów przed organem. Sąd zważył, co następuje. Skarga zasługuje na uwzględnienie, gdyż wydając orzeczenie naruszono przepisy prawa materialnego, zakreślające dopuszczalność przetwarzania danych osobowych, jako niezbędnych wobec prawnie uzasadnionych interesów administratora (tu Spółki), w myśl art. 6 ust. 1 lit. f. RODO, zaś – na skutek tego - regulacje, statuujące właściwość wyspecjalizowanego w sprawach ochrony danych osobowych organu - w zakresie stosowania przezeń środków naprawczych (art. 58 ust. 2 lit. c RODO). Miało to istotny wpływ na wynik sprawy. Wobec właściwie ustalonych okoliczności faktycznych nie wywiedziono bowiem, aby zachodziły przesłanki wydania decyzji o nakazie usunięcia Adresu Wnioskodawcy przez Spółkę. Organ właściwie wprawdzie opisał uwarunkowania prawne sprawy – w kontekście przytoczenia - wynikających z RODO - ogólnych reguł przetwarzania danych osobowych. Nie są także sporne fakty w zakresie ustalenia, że - na dzień wydania zaskarżonej decyzji – Spółka przetwarzała dane osobowe Wnioskodawcy w zakresie Adresu - w związku ze skierowaniem przezeń do niej wystąpienia, a następnie skargi do organu. Przywoływanie przez Sąd ponownie tych okoliczności sprawy w podanych kwestiach nie byłoby zasadne - wobec uprzedniego przytoczenia istotnych faktów, przy referowaniu przebiegu sprawy. Spór sprowadza się do tego, czy pojęcie "niezbędne dla realizacji uzasadnionych celów administratora", w rozumieniu art. 6 ust. 1 lit. f RODO, obejmuje przypadek przetwarzania danych dla celów ochrony przed potencjalnymi roszczeniami stron trzecich - do czasu gdy możliwe jest podniesienie zarzutu przedawnienia. Trafne jest tu generalnie stanowisko, sformułowane w skardze i jej uzasadnieniu, co do naruszenia przepisów prawa materialnego (zasadnie powołane też odnośne poglądy formułowane w judykaturze). Wobec jego szczegółowego poprzedniego zreferowania ponowne powtarzanie byłoby bezzasadne. Sąd przyjmuje je za własne. Należy jedynie dodać, że Sąd w tym składzie nie podziela poglądów dominujących aktualnie w judykaturze (twierdzenia skargi, jakoby aktualna praktyka orzecznicza sądów administracyjnych była odmienna od stanowiska organu są błędne), gdzie - jako wykraczające poza dopuszczone w art. 6 ust. 1 RODO przesłanki - uznano właśnie przetwarzanie danych dla celów ochrony własnych interesów w potencjalnych sporach. Sąd uważa natomiast za trafne m.in. stanowisko, wyrażone w wyroku Naczelnego Sądu Administracyjnego z 20 lutego 2024 r (sygn. akt III OSK 2700/22 – dostępne w CBOSA). W jego uzasadnieniu wskazano m.in.: "Wyłączenie stosowania art. 6 ust. 1 lit f RODO, gdy administrator przetwarza dane osobowe na wypadek ewentualnego sporu sądowego, wyłącznie z uwagi na jego potencjalność jest nieuzasadnione. Taka interpretacja art. 6 ust. 1 lit. f RODO byłaby zbyt formalistyczna i nieznajdująca potwierdzenia w przyjętym sposobie jego rozumienia.", zaś dalej: "Jeżeli łącząca te dwa podmioty relacja zawiera w sobie prawnie dopuszczalne roszczenie, które może być dochodzone na drodze sądowej, to nie można z góry wyłączyć dopuszczalności przetwarzania danych osobowych na podstawie art. 6 ust. 1 lit. f RODO, wyłącznie z uwagi na potencjalność realizacji tego roszczenia.[...] relacja łącząca administratora z osobą której dane za jej zgodą są przetwarzane może ulec zmianie, przekształceniu, wygaśnięciu, co może się wiązać z powstaniem innej, (nowej) relacji, w ramach której uprzednio wyrażona zgoda na przetwarzanie nie będzie już adekwatna. Istotą tej "nowej" relacji może być potencjalny i zarazem prawnie dopuszczalny spór sądowy wynikający z niewłaściwej realizacji praw i obowiązków będących przedmiotem relacji "starej". Nie można w takim układzie wykluczyć, że przetwarzanie danych osobowych przez administratora do czasu wystąpienia przez którąkolwiek ze stron z roszczeniem na drogę sądową, lub do czasu przedawnienia tego roszczenia, będzie zgodne z art. 6 ust. 1 lit. f RODO. Celem administratora wynikającym z jego prawnie uzasadnionych interesów będzie zabezpieczenie się na wypadek konieczności wejścia w spór sądowy.". Sąd w pełni te oceny podziela. Analogiczny pogląd wyraził Sąd II. instancji w powołanym w skardze wyroku (sygn. akt III OSK 4727/21). Należy jednak odnotować, że - w realiach drugiej z przywołanych spraw - pomiędzy administratorem a podmiotem danych istniał uprzednio stosunek zobowiązaniowy (mogły więc wystąpić w przyszłości roszczenia z tytułu zobowiązań - in contracto), zaś w pierwszym relacja taka nie wystąpiła. Podstawą ewentualnych roszczeń mogły być zaś tylko inne naruszenia interesów podmiotu danych (w klasycznej klasyfikacji – delikt). W obu jednak przypadkach Sąd trafnie skonstatował, że aktualny brak relacji zobowiązaniowych pomiędzy stronami oraz dotychczasowe niewystąpienie ze stosownymi roszczeniami, nie pozwala skonstatować aby przetwarzanie danych przez administratora nie było uzasadnione w kontekście przesłanek, wymienionych w art. 6 ust. 1 lit. f. RODO. Nie można więc uznać, że możliwość przetwarzania danych osobowych – w kontekście potencjalnych przyszłych roszczeń - ograniczono regułami RODO wyłącznie do przypadków, gdy toczy się stosowne postępowanie lub przetwarzający dane planuje wystąpić z konkretnym roszczeniem. Intencji ograniczenia możliwości przetwarzania danych osobowych podmiotów danych, gdy przetwarza je administrator, posiadający szerokie bazy takich informacji, prowadzący zaś profesjonalnie działalność gospodarczą (jak Spółka) - co do ochrony przed ich potencjalnymi roszczeniami ujawnionymi w przyszłości, czy żądaniami dotyczącymi wykazania realizacji powinności administratorów danych, nałożonych bezpośrednio RODO (m.in. informacyjny, powinność udzielenia odpowiedzi na wnioski) - nie sposób przypisać racjonalnemu prawodawcy na gruncie ogólnej reguły, wyrażonej art. 6 ust. 1 RODO - w szczególności sformułowania użytego w lit. f tego aktu – w kontekście ewentualnego (przy przyjęciu danej koncepcji za słuszna), realnego i drastycznego ograniczenia ochrony praw podmiotów, prowadzących działalności w zakresie legalnego gromadzenia danych osobowych. Uznanie, jakoby – wobec udzielenia odpowiedzi Wnioskodawcy (odmowy uwzględnienia wniosku) i dotychczasowego nie wystąpienia tegoż względem Spółki z roszczeniami na dzień orzekania w sprawie – obowiązkiem tejże było usunięcie danych Wnioskodawca - w zakresie Adresu, na który prowadzona była korespondencja, w ramach realizacji wynikających bezpośrednio z RODO powinności - ograniczałoby lub wręcz w istocie wyłączało możliwość ochrony przed ewentualnymi, późniejszymi roszczeniami (np. na gruncie domniemanych naruszeń praw osobistych) - jeszcze przed ograniczeniem możliwości skutecznego ich dochodzenia przez Wnioskodawcę, wobec możliwości powołania się na przedawnienie w świetle reguł K.c. Co istotne, problematyka nie ma znaczenia marginalnego. Jak wywodzono w skardze sprawy na tym gruncie w praktyce występują. Trafna jest także argumentacja skargi, gdzie wskazano na konieczność zachowania pełnej dokumentacji, związanej z rozpoznawaniem wniosku podmiotu danych (do jej zakresu należy niewątpliwie adres poczty elektronicznej, na który skierowano odpowiedź), w kontekście możliwości poddawania podmiotów kontroli realizacji zadań w tym zakresie przez wyspecjalizowany organ, jak i możliwości inicjowania przed nim postępowań w sprawach indywidualnych przez osoby, które – w formie skargi - kwestionują proces przetwarzania ich danych osobowych (w myśl art. 77 ust. 1 RODO). W samych przepisach RODO nie zakreślono maksymalnego terminu kierowania skarg do organu ani też czasu załatwiania przezeń sprawy - wskazując jedynie postulowane okresy procedowania (tak art. 78 ust. 2). Co zasadnie zauważył pełnomocnik Spółki na rozprawie, informacje o skierowaniu skargi do organu - z tytułu braku właściwego zrealizowania wynikających z RODO obowiązków w kwestii rozpoznawania wniosków informacyjnych bądź o usunięcie danych - administrator danych może powziąć dopiero znaczny czas po zdarzeniu (po pierwszym wystąpieniu doń organu). Usunięcie informacji o sposobie załatwienia sprawy - w tym adresu, gdzie kierowano korespondencję - istotnie ograniczałoby możliwość ochrony uzasadnionych interesów administratora. W końcu - w razie wszczęcia i prowadzenia postępowania przez organ - utrzymywanie przez administratora wszelkich informacji, związanych ze zdarzeniem które dotyczy wnoszącej skargę osoby jest w pełni uzasadnione - z perspektywy możliwości składania wyjaśnień - co najmniej do jego zakończenia. W tym kontekście należy zauważyć, że możliwość wydania decyzji o charakterze naprawczym (usunięcia danych) dotyczy jedynie w przypadku, gdy - na dzień orzekania w sprawie - występuje po stronie administratora danych określona nieprawidłowość – np. brak podstaw przetwarzania danych. Przypadek taki nie mógł mieć jednak w istocie miejsca na dzień wydania zaskarżonego aktu. Co najmniej do dnia wydania kwestionowanej decyzji, przechowywanie danych Wnioskodawcy (Adresu) z perspektywy ochrony własnego interesu w toczącym się postępowaniu przed organem było w pełni zasadne. Także z tego względu wydane orzeczenie jest wadliwe. Należy też zauważyć, że ostateczna w danym postępowaniu decyzja mogła być przedmiotem zaskarżenia do sądu administracyjnego - zarówno przez Spółkę, jak i Wnioskodawcę. Do czasu więc uzyskania przez nią statusu prawomocności - w myśl art. 16 § 3 K.p.a. - Spółka nie mogła kwalifikować sprawy jako zakończoną - w kontekście możliwości poddania dalszej ocenie prawidłowości jej postępowania i składania wyjaśnień - na etapie postępowania przed sądem administracyjnym bądź - w razie wydania wyroku skutkującego przekazaniem sprawy do ponownego rozpoznania - przed organem. Występowały więc po stronie Spółki istotne przesłanki dla traktowania wszelkich informacji związanych ze zdarzeniami, dotyczącymi przetwarzania danych osobowych Wnioskodawcy, jako istotne - w kontekście ochrony własnych uzasadnionych interesów - w postępowaniach przed organem administracji, sądem administracyjnym bądź cywilnym (w razie wystąpienia ze stosownymi roszczeniami). Reasumując, prezentowane przez organ rozumienie przepisów, gdzie określono ramy przetwarzania danych osób, których dane zgromadzono w bazach, wobec zgłaszania przez nich wniosków do administratorów, ograniczałoby – bądź wręcz w niektórych przypadkach pozbawiałby - prawa administratora, wynikające wprost z generalnych reguł prawa materialnego (K.c.), jak i możliwości wykazania realizacji wynikających z RODO powinności. Nie jest trafna – co odnotowano w skardze - argumentacja organu, jakoby odnoszenie się do kwestii możliwości podniesienia zarzutu przedawnienia wobec roszczeń - w kontekście podstaw prawnych przetwarzania danych osobowych - było niezasadne, skoro upływ terminu nie powoduje wygaśnięcia roszczeń. Po upływie terminu - gdy jest już możliwe sformułowanie zarzutu przedawnienia - ryzyko dochodzenia roszczeń jest bowiem znacznie ograniczone - można to czynić skutecznie tylko w razie nie podniesienia zarzutu. Oceny występowania podstaw przetwarzania danych osobowych dokonuje się zaś w kontekście niezbędności dla celów, wynikających z prawnie uzasadnionych interesów, realizowanych przez administratora (tak art. 6 ust. 1 lit. f RODO). Przetwarzanie więc danych – gdy realizacja potencjalnych roszczeń podmiotu danych nie jest faktycznie prawdopodobna – nie znajduje w istocie racjonalnych podstaw. Istnieje więc obiektywna cezura czasowa, gdy odpada podstawa do dalszego przetwarzania danych dla określonego celu. Racjonalnym jest także założenie, że - gdy termin potencjalnej możliwości dochodzenia roszczeń upłynie - administrator danych nie będzie już dysponował dokumentacją, związaną z konkretnymi zdarzeniami, z czasu gdy podmioty danych występowały wobec niego z konkretnymi żądaniami. Organ administracji, właściwie w sprawach nadzoru, nie będzie więc wywodził niekorzystnych skutków prawnych wobec administratora z tytułu nieposiadania przezeń stosownej dokumentacji, która miałaby być podstawą ustalenia, że realizowano wymagane RODO obowiązki. Nie można więc wywodzić, jakoby – przy przyjęciu interpretacji prezentowanej przez Spółkę, podzielanej zaś przez Sąd – ochrona Wnioskodawcy przed bezterminowym przetwarzaniem danych osobowych stawała się iluzoryczna. Wypada w końcu zauważyć, że prezentowane przez Sąd rozumienie określających ramy dopuszczalności przetwarzania danych osobowych przepisów RODO, nie jest sprzeczne z brzmieniem regulacji tego rozporządzenia ani wyrażonymi celami jego wydania. Otóż, przetwarzanie danych osób, z którymi profesjonalne podmioty gospodarcze wchodzą w relacje – gdy ma służyć ochronie przed ewentualnymi roszczeniami, czy dochodzeniu własnych, o ile ujawnią się w przyszłości - nie godzi - z perspektywy powszechnie akceptowanego systemu wartości - w żadne, mające nadrzędny charakter interesy klientów lub ich podstawowe prawa i wolności - w rozumieniu art. 6 ust. 1 lit. f in fine RODO. Rzecz dotyczy natomiast tego, czy gromadzenie takich danych odbywa się jedynie w tym celu i w niezbędnym zakresie oraz zabezpieczono je – przy zastosowaniu odpowiednich procedur (w tym warunków dostępu uprawnionych pracowników podmiotu) i środków technicznych - aby nie można było ich wykorzystać w inny sposób. W tej jednak kwestii organ nie formułował wobec Spółki żadnych zarzutów bądź wskazań. Jeżeli zaś konieczne dane właściwie zabezpieczono nie sposób zakładać, aby występujące z żądaniami do podmiotów gospodarczych osoby nie mogły oczekiwać, że ich dane są przechowywane - zgodnie z akceptowaną dotychczas praktyką - gdzie racjonalnie ważono interesy podmiotów gospodarczych (ochrony przed roszczeniami) oraz osób trzecich. Przetwarzanie danych w przedmiotowym zakresie nie sprzeciwia się w szczególności regule, wyrażonej w motywie 47 RODO. Wskazano tam, że dopuszczalność przetwarzania danych bez zgody zainteresowanych – wobec uzasadnionego interesu administratora - wyznaczają także ramy "rozsądnych oczekiwań", że administrator to czyni. Przy formułowaniu oceny zakresu stanowionej przepisami RODO ochrony należy więc – z woli samego prawodawcy - odnosić się w istocie do powszechnej praktyki w danym względzie (tak: rozsądne oczekiwania). Nie sposób więc zakładać, aby intencją tegoż prawodawcy - stanowiącego przepisy w zakresie ochrony danych osobowych w RODO - było ingerowanie w praktyki postępowania (ich istotna modyfikacja) – na przykład ograniczenie możliwości dochodzenia roszczeń przed terminem ich przedawnienia. Chodziło natomiast, aby – w ramach tych, stosowanych powszechnie praktyk - dane osobowe były zabezpieczone – m.in. przez minimalizację ich przetwarzania jedynie do niezbędnych granic. Nie sposób wywodzić wobec tego z reguł RODO, aby aktem tym wprowadzono ograniczenia, co do przetwarzania danych osobowych w zakresie przydatnym dla racjonalnego - opartego na powszechnej praktyce - prowadzenia obrotu gospodarczego. Zamieszczone tam reguły mają zaś służyć ograniczeniu przetwarzania danych osobowych poza tymi ramami, także przez ich stosowne zabezpieczenie - przy zastosowaniu środków technicznych i procedur dostępu - przed wykorzystaniem, wykraczającym poza cele, dla których je gromadzono. Nie jest w końcu racjonalne założenie, jakoby – wedle reguł RODO - ramy przetwarzania danych osobowych - w kontekście ochrony przed roszczeniami - należało ograniczać każdorazową analizą przypadków wszystkich klientów, czy istnieje realne prawdopodobieństwo ich przydatności - realność roszczeń podmiotu danych. Praktyka taka determinowałaby - po stronie podmiotów, prowadzących działalność gospodarczą w relacjach z wieloma osobami fizycznymi (tu Spółki prowadzącej szeroką bazę obejmująca dane osobowe) - potrzebę ustanowienia procedur dla analiz każdego przypadku wystąpienia do niej z żądaniami i budowy modeli postępowania w oparciu o kryteria prawdopodobieństwa. Intencji obciążenia przedsiębiorców tego rodzaju powinnościami nie sposób wywieść z przepisów, dotyczących ochrony danych osobowych, gdzie umożliwiano ich przetwarzanie, gdy jest to racjonalnie uzasadnione i nie godzi w chronione interesy zainteresowanych osób, w rozumieniu art. 6 ust. 1 lit. f in fine RODO. Bezpodstawne byłoby zaś przyjęcie, że przypadek godzenia w te interesy ma miejsce zawsze, gdy gromadzone (a więc przetwarzane) dane osobowe mogą być jedynie potencjalnie przydatne (wedle określenia gromadzenie "na zapas"). Chybiona jest więc ocena, jakoby – na dzień wydania skarżonego aktu - podstawą przetwarzania przez Spółkę danych Wnioskodawcy w zakresie Adresu nie mogła być potrzeba ochrony przed ewentualnymi jego roszczeniami. Osobną kwestią jest natomiast istnienie po stronie administratora stosownych środków, gwarantujących bezpieczeństwo danych - możliwość ich wykorzystania jedynie dla zakładanych celów. Co należy odnotować, w realiach rozpoznawanej sprawy organ nie kwestionował twierdzeń Spółki, że – na dzień orzekania w sprawie w pkt 1 decyzji - potencjalne roszczenia Wnioskodawcy nie przedawniły się. Z kolei wyspecjalizowany w sprawach ochrony danych osobowych organ, ani też badający legalność w jego działania sąd administracyjny, nie są właściwe dla oceny możliwości i realności formułowania przez podmiot danych (tu Wnioskodawcę) roszczeń, wynikających z domniemanych naruszeń ich prawa w kontekście reguł RODO, czy wynikających z K.c. Wobec wadliwego wyłożenia treści normatywnej przepisów, zakreślających możliwość przetwarzania danych osobowych Wnioskodawcy, bezzasadnie wydano decyzje w oparciu o art. 58 ust. 2 lit. c RODO. Jedynie na marginesie wypada odnotować, że chybiona jest argumentacja skargi w tym zakresie. gdzie podkreślano istotne znaczenie przetwarzania danej osobowej Wnioskodawcy, jaką jest Adres, także w kontekście potencjalnej potrzeby prowadzenia dalszej korespondencji w sprawie. Wypada zauważyć, że - w razie wpływu do Spółki dalszych wystąpień od tej samej osoby - można zakładać jej skierowanie tym samym kanałem - jako poczta elektroniczna. W takim przypadku Spółka dysponowałaby adresem nadawcy wiadomości. W razie zaś wpływu korespondencyji inną drogą - bez wskazania adresu - możliwa byłaby komunikacja, na podstawie innych danych korespondencyjnych Wnioskodawcy - pozostających w dyspozycji Spółki - w ramach prowadzonych baz informacji o podmiotach gospodarczych. Z sentencji zaskarżonej decyzji nie wynika także dla Spółki nakaz usunięcia wszelkich informacji, dotyczących zdarzenia – incydentu wystąpienia przez Wnioskodawcę do Spółki z żądaniem usunięcia danych. Dla jego identyfikacji w zasobach nie jest niezbędne dysponowanie Adresem. Generalnie więc realizacja powinności nałożonej skarżoną decyzją, całkowicie nie wykluczała obrony przed zarzutem nie braku reakcji na wniosek. Niewątpliwie jednak - jak wskazano wcześniej - przetwarzanie informacji o adresie poczty elektronicznej, na którym skierowano pisma stanowiące realizację powinności, wynikających z przepisów w ochronie danych osobowych, stanowi istotny element dokumentacji, potwierdzającej uczynienie zadość stosownym powinnościom - w tym wskazywanym przez Spółkę w toku postępowania przed organem. W tym kontekście, przetwarzanie przedmiotowej informacji o Wnioskodawcy - stanowiącej jego daną osobową - znajduje podstawę wobec treści art. 6 ust. 1 lit. f RODO. W toku postępowania organ nie wywodził zaś, aby dane te gromadzono w bazach informacji, służących innym celom niż dokumentacja rozpoznawania wniosków od podmiotów danych. Jedynie zaś przetwarzanie danych informacji w zakresie, gdzie wykracza to poza cele ochrony przed ewentualnymi roszczeniami, czy wobec skarg wnoszonych w trybie administracyjnym, mogłoby stanowić przesłankę nakazania ich usunięcia ze zbiorów, wykorzystywanych do innych celów. Istnienia takiego przypadku w danym postępowaniu jednak organ nie wywodził. Z przytoczonych wyżej przyczyn - na podstawie art. 145 § 1 pkt 1 lit. a ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (Dz.U. z 2024 r., poz. 935 ze zm.) - orzeczono jak w pkt 1 sentencji. O zwrocie kosztów postępowania postanowiono w pkt 2 w myśl art. 200 w zw. z art. 205 § 2 powyższej ustawy oraz 14 ust. 1 pkt 1 lit. c rozporządzenia Ministra Sprawiedliwości z dnia 22 października 2015 r. w sprawie opłat za czynności adwokackie (Dz.U. z 2023 r. poz. 2631). Do kosztów zaliczono wynagrodzenia pełnomocnika w kwocie 480 zł, wpis sądowy od skargi - 200 zł oraz 17 zł, tytułem opłaty skarbowej od pełnomocnictwa. Rozpatrując ponownie sprawę organ administracji uwzględni ocenę prawną, sformułowaną w niniejszym uzasadnieniu. ----------------------- 19