II SA/Wa 698/21

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący: Sędzia WSA Izabela Głowacka-Klimas, Sędzia WSA Piotr Borowiecki (spr.), Sędzia WSA Andrzej Wieczorek, Protokolant: starszy sekretarz sądowy Agnieszka Wiechowicz po rozpoznaniu na rozprawie w dniu 19 października 2021 r. sprawy ze skargi M. S. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] grudnia 2020 r. nr [...] w przedmiocie nieprawidłowości w procesie przetwarzania danych osobowych - oddalono skargę - Zaskarżoną decyzją z dnia [...] grudnia 2020 r., nr [...], Prezes Urzędu Ochrony Danych Osobowych (dalej także: "Prezes UODO" lub "organ nadzorczy"), działając na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego (tekst jednolity Dz. U. z 2020 r., poz. 256 ze zm. - dalej także: "k.p.a.") oraz art. 7 ust. 1 i art. 60 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (tekst jednolity Dz. U. z 2019 r., poz. 1781 - dalej także: "u.o.d.o."), a także art. 6 ust. 1 lit. b, lit. c i lit. f, art. 13, art. 28 oraz art. 57 ust. 1 lit. a i lit. f rozporządzenia Parlamentu Europejskiego i Rady UE 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. EU L 119 z dnia 4 maja 2016 r., str. 1 oraz Dz. Urz. UE L 127 z dnia 23 maja 2018, str. 2 ze zm. - dalej także: "RODO"), po przeprowadzeniu postępowania administracyjnego w sprawie zainicjowanej skargą wniesioną przez M.S. (dalej także: "skarżący" lub "strona skarżąca") na nieprawidłowości w procesie przetwarzania jego danych osobowych przez [...] z siedzibą w [...] (dalej także: "[...]", "Bank" lub "administrator danych") polegające na przekazaniu jego danych osobowych do [...] (poprzednio: [...]) z siedzibą w [...], działającego w tym zakresie na podstawie zlecenia udzielonego przez [...] w restrukturyzacji (poprzednio: [...]) z siedzibą w [...] - odmówił uwzględnienia wniosku. Zaskarżona decyzja Prezesa UODO została wydana w następującym stanie faktycznym. W piśmie z dnia [...] maja 2019 r. do Prezesa Urzędu Ochrony Danych Osobowych wpłynęła skarga M.S. na nieprawidłowości w procesie przetwarzania jego danych osobowych przez [...] z siedzibą w [...]. W uzasadnieniu skargi strona skarżąca zarzuciła, że [...] przekazał jej dane osobowe do [...] (obecnie: [...]) z siedzibą w [...], działającego w tym zakresie na podstawie zlecenia udzielonego przez [...] z siedzibą w [...] (obecnie: [...] w restrukturyzacji). Skarżący zarzucił, że [...] oraz [...] przetwarzały jego dane osobowe z naruszeniem zarówno przepisów rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE, jak i przepisów ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych. Skarżący wskazał, że [...] przetwarza jego dane bez podstawy prawnej oraz w innym celu, niż ten, na który została przez skarżącego wyrażona zgoda. Ponadto, skarżący zarzucił, że Bank przekazał jego dane osobowe do podmiotu trzeciego, tj. [...] W tej sytuacji, skarżący zauważył, że ze względu na brak jego zgody na przekazanie formularza zapisu na obligacje, [...] nie wypełnił wobec niego obowiązku informacyjnego. Mając powyższe na względzie, skarżący wniósł do organu nadzorczego o nakazanie Bankowi oraz spółce [...] usunięcia jego danych osobowych, jako przetwarzanych bez podstawy prawnej oraz bez jego zgody. Jednocześnie, skarżący wniósł o nałożenie administracyjnej kary pieniężnej na spółkę [...]. W związku z wniesioną skargą, Prezes Urzędu Ochrony Danych Osobowych przeprowadził postępowanie wyjaśniające, w celu zgromadzenia odpowiedniego materiał dowodowy i ustalenia stanu faktycznego koniecznego do wydania stosownego rozstrzygnięcia nadzorczego. W toku postępowania wyjaśniającego, Prezes UODO ustalił na podstawie treści skargi, że M.S. jest klientem [...] z siedzibą w [...], obsługiwanym przez [...], będący oddziałem Banku. W dniu [...] marca 2018 r. skarżący otrzymał od pracownika [...] wiadomość SMS, zawierającą propozycję nabycia obligacji [...]. Z treści załączonej do skargi reklamacji z dnia [...] maja 2018 r. wynika, że skarżący wyraził zainteresowanie ww. ofertą. W celu skorzystania z niej, niezbędne było przekazanie przez Bank danych osobowych skarżącego w postaci imienia, nazwiska, adresu poczty elektronicznej oraz numeru PESEL do podmiotu uczestniczącego w procesie oferowania obligacji, tj. [...]. Następnie, wobec chęci zawarcia przez skarżącego umowy ze spółką [...], otrzymał on w dniu [...] marca 2018 r. wiadomość e-mail od [...] zawierającą wzór Formularza Przyjęcia Propozycji Nabycia, wskazujący na następujący zakres pozyskiwanych tą drogą danych: adres zameldowania, numer i seria dowodu osobistego, numer telefonu oraz numer rachunku bankowego. Dodatkowo, ww. korespondencja mailowa otrzymana przez skarżącego zawierała m. in. informacje na temat podmiotu - odbiorcy przelewu, jego nazwy, dane o produkcie i emitencie, przekazywanej kwocie oraz numer konta bankowego, na które w razie woli zakupu należy dokonać wpłaty. Następnie, w tym samym dniu, system [...] odnotował wpłynięcie formularza zapisu, na którym widnieje adres poczty elektronicznej skarżącego. Organ nadzorczy ustalił ponadto, że Bank pozyskał dane osobowe od skarżącego w związku z zawarciem z nim w dniu [...] marca 2017 r. Umowy o rachunek oszczędnościowo-rozliczeniowy, Umowy o rachunek oszczędnościowy, Umowy o debetową kartę płatniczą oraz Umowy o bankowość elektroniczną. Dane te zostały pozyskane bezpośrednio od osoby, której dane dotyczą i obejmują następujący zakres: imię, drugie imię, nazwisko, nazwisko panieńskie matki, datę urodzenia, obywatelstwo, numer PESEL, serię i numer dowodu osobistego, kraj i datę wydania dowodu osobistego oraz datę jego ważności, adres zameldowania, adres korespondencyjny, numer telefonu oraz adres poczty elektronicznej. W chwili pozyskiwania tych danych Bank dostarczył skarżącemu "Kartę informacyjną Klienta wraz z Oświadczeniami Banku i Klienta", w treści którego zamieszczona została klauzula informacyjna, zgodnie z art. 24 ust. 1 obowiązującej ówcześnie ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (tekst jednolity Dz. U. z 2016 r, poz. 922 - zwanej dalej także: "u.o.d.o. z 1997 r."), z którą skarżący zapoznał się, co potwierdził parafując i podpisując ten dokument. Następnie, jak wynika z ustaleń organu nadzorczego, w związku z zainteresowaniem skarżącego ofertą nabycia obligacji wyemitowanych przez [...], w pierwszej kolejności, celem umożliwienia spółce [...] właściwej identyfikacji oraz nawiązania kontaktu, Bank przekazał [...] dane osobowe skarżącego w zakresie: imię, nazwisko, adres poczty elektronicznej e-mail oraz numer PESEL. Organ nadzorczy zauważył, powołując się na stanowisko skarżącego wyrażone w jego reklamacji złożonej do Banku w dniu [...] maja 2018 r., że na żądanie skarżącego, po wyrażeniu przez niego zainteresowania ofertą, otrzymał on od doradcy z Banku informację, żeby dokonał przelewu na wskazany w korespondencji mailowej numer konta, a wtedy przyjdzie do niego potwierdzenie nabycia obligacji. Organ podniósł jednocześnie, że skarżący miał wskazać, iż otrzymał od doradcy z Banku "szereg informacji dotyczących [...]", zaś dodatkowo zostały przekazane do [...] dane niezbędne do zawarcia umowy, tj. adres zameldowania, numer i seria dowodu osobistego, numer telefonu oraz numer rachunku bankowego. Z ustaleń organu nadzorczego wynikało, że rola Banku w przeprowadzeniu ww. transakcji sprowadzała się do przekazania [...] danych osobowych skarżącego, na jego żądanie, w związku z koniecznością podjęcia działań przed zawarciem umowy przez skarżącego z [...]. Powołując się na wyjaśnienia złożone przez [...] z siedzibą w [...] w piśmie z dnia [...] września 2019 r., Prezes UODO wskazał, że w związku z obowiązywaniem ww. umów, Bank przetwarza dane osobowe skarżącego na podstawie art. 6 ust. 1 lit. b RODO. Ponadto, Bank miał wskazać w swoich wyjaśnieniach, że podstawą przetwarzania przez Bank danych osobowych skarżącego są i pozostaną - po ustaniu tych umów - właściwe przepisy prawa, tj. art. 49 ust 1 i 2 ustawy z dnia 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu (tekst jednolity Dz. U. z 2018 r., poz. 2215 ze zm.), art. 118 ustawy z dnia 23 kwietnia 1964 r. - Kodeks cywilny (tekst jednolity Dz. U. z 2020 r., poz. 1740) i art. 74 ustawy z dnia 29 września 1994 r. o rachunkowości (tekst jednolity Dz. U. z 2021 r., poz. 217). Zatem, jak zauważył organ nadzorczy, Bank wskazał jako postawę przetwarzania danych osobowych skarżącego również art. 6 ust. 1 lit. c i f RODO. Powołując się z kolei na wyjaśnienia Banku z dnia [...] marca 2020 r., Prezes UODO wskazał, że Bank poinformował, iż prowadzi ewidencję obligacji na podstawie zawartej z [...] umowy z dnia [...] stycznia 2018 r. na prowadzenie ewidencji obligacji nie posiadających formy dokumentu. Zgodnie z § 9 ww. umowy, Bank przetwarza dane osobowe skarżącego związane z zakupem przez niego obligacji serii [...], jako podmiot przetwarzający i obowiązany jest zwrócić je administratorowi, tj. [...] po zakończeniu obowiązywania tejże umowy. Wskazując na wyjaśnienia spółki [...] z dnia [...] października 2019 r., organ nadzorczy zauważył, że skarżący nabył za jej pośrednictwem obligacje spółki [...]. Propozycja nabycia tych obligacji została wystawiona skarżącemu w dniu [...] marca 2018 r. Następnie, w tym samym dniu, system spółki [...] odnotował wpłynięcie formularza zapisu, na którym widnieje adres skarżącego [...], co samo w sobie nie rodziło po jego stronie jakichkolwiek obowiązków i nie czyniło go obligatariuszem. Skarżący w dniu [...] marca 2018 r. opłacił obejmowane obligacje. Po zweryfikowaniu danych z formularza zapisu wraz z zaksięgowaną kwotą wpływu, przydzielono skarżącemu ww. obligacje. Ponadto, spółka [...] wyjaśniła, że podstawą przetwarzania danych osobowych skarżącego, pozyskanych od Banku w zakresie, o którym mowa powyżej, był obowiązujący wówczas art. 23 ust. 1 pkt 3 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych, zaś celem wystawienie propozycji nabycia obligacji. Spółka [...] wyjaśniła, że dane osobowe skarżącego zostały również pozyskane od samego skarżącego poprzez ich podanie w "Elektronicznym Formularzu Przyjęcia Propozycji Nabycia", załączonym do wiadomości e-mail skierowanej do skarżącego w dniu [...] marca 2018 r., w treści którego zawarta była zarazem następująca klauzula: "Wyrażam zgodę na przetwarzanie danych osobowych w zakresie niezbędnym do przeprowadzenia Oferty Prywatnej oraz oświadczam, że dane w zapisie zostały podane dobrowolnie". Jednocześnie, spółka [...] wskazała, że obecnie przetwarza dane osobowe inwestorów, w tym skarżącego, w celu wypełniania obowiązków wynikających z art. 90 ustawy z dnia 29 lipca 2005 r. o obrocie instrumentami finansowymi (Dz. U. z 2018 r., poz. 2286 ze zm.), w celu dochodzenia przez inwestorów roszczeń wynikających z Kodeksu cywilnego. Prezes UODO podniósł ponadto, że spółka [...] w piśmie z dnia [...] lutego 2020 r. wyjaśniła, że w dniu [...] marca 2018 r. zawarła z [...] "Umowę na oferowanie obligacji serii [...] w ofercie prywatnej". W tej sytuacji, w związku z nabyciem przez skarżącego instrumentu finansowego, tj. obligacji na okaziciela serii [...] wyemitowanych przez [...], spółka ta pozyskała jego dane osobowe w zakresie: imię i nazwisko, adres zameldowania, adres korespondencyjny, numer PESEL, numer dowodu osobistego, numer telefonu, adres e-mail oraz numer rachunku bankowego, stając się w ten sposób administratorem tych danych. Dane te zostały przekazane spółce [...]. przez [...] zgodnie z § 4 ust. 1 pkt 5 ww. umowy w związku z otrzymaniem Formularza przyjęcia propozycji nabycia obligacji serii [...] oraz dokonaniem wpłaty z tytułu emisji obligacji. Prezes UODO zauważył, że z treści § 9 ust. 4-11 ww. umowy wynika, że administratorem ww. danych osobowych jest [...], natomiast spółka [...] jest podmiotem przetwarzającym. Ponadto, organ nadzorczy wskazał, że spółka [...] poinformowała, że obecnie przetwarza dane osobowe skarżącego w następujących celach: 1) wykonania umowy, tj. na podstawie art. 6 ust. 1 lit. b RODO; 2) wypełnienia obowiązków prawnych ciążących na administratorze wynikających m. in. z ustawy z dnia 15 stycznia 2015 r. o obligacjach (Dz. U. z 2015 r., poz. 238 ze zm.), tj. na podstawie art. 6 ust. 1 lit c RODO; 3) wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub stronę trzecią, za które administrator uznaje w szczególności dochodzenie i obronę przed roszczeniami wynikającymi m.in. z art. 14 ww. ustawy, tj. na podstawie art. 6 ust. 1 lit. f RODO. Ponadto, spółka [...] wyjaśniła, że obowiązek informacyjny wobec skarżącego został spełniony w chwili pozyskania jego danych, zgodnie z art. 24 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych, poprzez umieszczenie w treści Formularza przyjęcia propozycji nabycia obligacji serii [...] informacji wymaganych przepisami prawa. Ponadto, Prezes UODO wskazał, że z ustaleń dokonanych w toku postępowania wyjaśniającego wynika, iż skarżący nie zwracał się do Banku, spółki [...] (obecnie: [...]), ani też do spółki [...] z wnioskiem o usunięcie jego danych osobowych. W wyniku analizy zgromadzonego materiału dowodowego, Prezes Urzędu Ochrony Danych Osobowych - działając na podstawie przepisów art 104 § 1 k.p.a. oraz art. 7 ust. 1 i art. 60 u.o.d.o., a także art. 6 ust. 1 lit. b, lit. c i lit. f, art. 13, art. 28 oraz art. 57 ust. 1 lit. a i lit. f RODO - wydał w dniu [...] grudnia 2020 r. decyzję nr [...], na mocy której odmówił uwzględnienia wniosku skarżącego M.S. zawartego w jego skardze z dnia [...] maja 2019 r. W uzasadnieniu decyzji organ nadzorczy wskazał na wstępie, że przesłanki zgodności z prawem przetwarzania danych osobowych (tj. każdej czynności mieszczącej się w tym pojęciu, w tym ich udostępnienia - art. 4 pkt 2 RODO), określa art. 6 ust. 1 RODO, w myśl którego przetwarzanie jest dopuszczalne, jeżeli: - osoba, której dane dotyczą wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów (art. 6 ust. 1 lit. a RODO); - przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy (art. 6 ust. 1 lit. b RODO); - przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze (art. 6 ust. 1 lit. c RODO); - przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej (art. 6 ust. 1 lit. d RODO); - przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi (art. 6 ust. 1 lit. e RODO); - przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności, gdy osoba, której dane dotyczą, jest dzieckiem (art. 6 ust. 1 lit. f RODO). Jednocześnie, organ nadzorczy podkreślił, że akapit pierwszy art. 6 ust. 1 lit. f RODO nie ma zastosowania do przetwarzania, którego dokonują organy publiczne w ramach realizacji swoich zadań (art. 6 ust. 1 lit. f in fine RODO). Organ nadzorczy wskazał, że definicję danych osobowych zawiera art. 4 pkt 1 RODO, który stanowi, iż: "dane osobowe to informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej ("osobie, której dane dotyczą"); możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio zidentyfikować, w szczególności na podstawie identyfikatora takiego jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość". Odnosząc się do stanu faktycznego analizowanej sprawy, organ nadzorczy wskazał, że w toku postępowania wyjaśniającego ustalono, że [...] przetwarza dane osobowe skarżącego, pozyskane bezpośrednio od niego, w związku z realizacją umów zawartych ze skarżącym w dniu [...] marca 2017 r., na podstawie art. 6 ust. 1 lit. b RODO. Ponadto, organ nadzorczy zauważył, że podstawą przetwarzania tychże danych przez Bank jest art. 6 ust. 1 lit. c i lit. f RODO, w związku z wypełnieniem obowiązku prawnego ciążącego na administratorze oraz z uwagi na niezbędność ich przetwarzania do celów wynikających z prawnie uzasadnionych interesów realizowanych przez Bank, tj. do celów postępowania reklamacyjnego (w związku ze skorzystaniem przez skarżącego z przysługującego mu uprawnienia do wniesienia reklamacji) i w celach dowodowych oraz archiwalnych. Organ nadzorczy podniósł, że kwestionowane przetwarzanie danych skarżącego przez Bank w postaci przekazania ich do podmiotu trzeciego, tj. [...] z siedzibą w [...] (obecnie: [...] z siedzibą w [...]), działającego w ramach zlecenia udzielonego przez [...], znajdowało uzasadnienie na gruncie przesłanki wynikającej z art. 23 ust. 1 pkt 3 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (tekst jednolity Dz. U. z 2016 r, poz. 922), którego odpowiednikiem w aktualnym stanie prawnym jest art. 6 ust. 1 lit. b RODO. Ponadto, organ nadzorczy zauważył, że skarżący zapoznał się w dniu [...] marca 2017 r. z "Kartą informacyjną Klienta wraz z Oświadczeniami Banku i Klienta", w treści której został on poinformowany m. in. o tym, że "podane dane osobowe będą przetwarzane w celu zawarcia i realizacji wnioskowanych przez Klienta umów, w związku z którymi zostały przekazane, w celu marketingu własnych produktów i usług Banku oraz w celach archiwizacyjnym i statystycznym". Organ nadzorczy wskazał jednocześnie, że w związku z zainteresowaniem skarżącego ofertą przedstawioną mu przez doradcę, Bank w oparciu o przepis art. 23 ust. 1 pkt 3 obowiązującej wówczas ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych, uprawniony był do przekazania danych osobowych celem podjęcia działań przed zawarciem umowy przez skarżącego z [...] (obecnie: [...]), który działał na zlecenie [...]. Organ nadzorczy zauważył bowiem, iż zgodnie z tym przepisem, przetwarzanie danych dopuszczalne jest tylko wtedy gdy jest to konieczne do realizacji umowy, gdy osoba, której dane dotyczą, jest jej stroną lub gdy jest to niezbędne do podjęcia działań przed zawarciem umowy na żądanie osoby, której dane dotyczą. Ponadto, organ nadzorczy wskazał, że na tej samej podstawie dane osobowe skarżącego były przetwarzane przez [...] ([...]), gdyż przetwarzanie to było niezbędne do podjęcia działań przed zawarciem umowy na żądanie osoby, której dane dotyczą, tj. prawidłowego przeprowadzenia procesu subskrypcji obligacji. Organ nadzorczy dodał, że aktualnie spółka [...] przetwarza dane osobowe skarżącego w szczególności w celu wypełniania obowiązków wynikających z art. 90 ustawy z dnia 29 lipca 2005 r. o obrocie instrumentami finansowymi (tekst jednolity Dz. U. z 2020 r., poz. 89 ze zm.), którego ust. 1 stanowi, że: "Firma inwestycyjna, która zaprzestała prowadzenia działalności maklerskiej, ma obowiązek archiwizowania i przechowywania na terytorium Rzeczypospolitej Polskiej, przez okres 5 lat od dnia zaprzestania prowadzenia tej działalności, dokumentów oraz innych nośników informacji związanych z prowadzeniem tej działalności. Obowiązek uważa się za wykonany w przypadku zapewnienia przez firmę inwestycyjną przechowywania dokumentów oraz innych nośników informacji przez podmiot trzeci spełniający wymagania określone w odrębnych przepisach", jak również w celu dochodzenia przez inwestorów roszczeń wynikających z Kodeksu cywilnego. Organ nadzorczy w konsekwencji wskazał, że przetwarzanie takie [pic]znajduje uzasadnienie na gruncie podstaw określonych w aktualnie obowiązującym art. 6 ust. 1 lit. c i lit. f RODO. Odnosząc się do zarzutu skarżącego, że nie został on poinformowany przez Bank o tym, iż jego dane osobowe zostaną przekazane do [...] oraz [...], organ nadzorczy uznał - mając w szczególności na uwadze oświadczenia samego skarżącego zawarte w treści przywołanej wyżej reklamacji złożonej do Banku w dniu [...] maja 2018 r. - że dane te zostały przekazane na żądanie samego skarżącego. Prezes UODO wskazał, że aktualnie administratorem danych osobowych skarżącego, związanych z zakupem przez niego obligacji serii [...] pozyskanych przez Bank, tj. podmiotem ustalającym cele i sposoby przetwarzania danych osobowych, w rozumieniu art. 4 pkt 7 RODO, jest [...] w restrukturyzacji siedzibą w Warszawie. Organ nadzorczy zauważył, że dane te zostały przekazane temu podmiotowi przez [...] ([...]) w związku z nabyciem przez skarżącego ww. instrumentu finansowego, w związku z czym w procesie przetwarzania jego danych spółka [...] pełni rolę podmiotu przetwarzającego, o którym mowa w art. 28 RODO oraz w art. 31 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych, obowiązującej w czasie przedmiotowego przekazania, zgodnie z którymi to przepisami administrator danych może powierzyć innemu podmiotowi, w drodze umowy zawartej na piśmie, przetwarzanie danych. Organ nadzorczy podniósł jednocześnie, że zgodnie z art. 28 ust. 3 RODO, przetwarzanie przez podmiot przetwarzający odbywa się na podstawie umowy lub innego instrumentu prawnego, które podlegają prawu Unii lub prawu państwa członkowskiego i wiążą podmiot przetwarzający i administratora, określają przedmiot i czas trwania przetwarzania, charakter i cel przetwarzania, rodzaj danych osobowych oraz kategorie osób, których dane dotyczą, obowiązki i prawa administratora. Organ nadzorczy zauważył, że podobnie, tj. jako podmiot przetwarzający, działa we wspomnianym wyżej procesie Bank, w związku z obowiązkiem prowadzenia ewidencji obligacji, w tym przedmiotowych obligacji nabytych przez skarżącego. Reasumując, Prezes UODO uznał, że analiza zebranego w sprawie materiału dowodowego nie potwierdziła słuszności postawionych w skardze zarzutów, co w konsekwencji oznacza, iż nie można uznać, że oba skarżone podmioty przetwarzają dane osobowe skarżącego bez podstaw prawnych. W piśmie z dnia [...] stycznia 2021 r. skarżący, reprezentowany przez radcę prawnego, działając za pośrednictwem organu nadzorczego, wniósł do Wojewódzkiego Sądu Administracyjnego w Warszawie skargę na w/w decyzję Prezesa UODO z dnia [...] grudnia 2020 r. Wnosząc o uchylenie zaskarżonej decyzji w całości oraz zasądzenie zwrotu kosztów postępowania, w tym zwrot kosztów zastępstwa procesowego według norm przepisanych, skarżący zarzucił organowi nadzorczemu: 1. naruszenie przepisów prawa materialnego, mające wpływ na wynik sprawy, tj.: a. naruszeni art. 6 ust. 1 lit. b RODO w zw. z art. 23 ust. 1 pkt 3 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych - poprzez jego błędną wykładnię i uznanie, że [...] z siedzibą w [...] (obecnie: [...] w restrukturyzacji z siedzibą w [...]) był prawnie uprawniony do przetwarzania danych osobowych skarżącego w postaci przekazania ich do podmiotu trzeciego, tj. [...] z siedzibą w [...] (obecnie: [...] z siedzibą w [...]), działającego w ramach zlecenia udzielonego przez [...] z siedzibą w [...] (obecnie: [...] w restrukturyzacji z siedzibą w [...]") celem podjęcia działań przed zawarciem umowy przez skarżącego ze spółką [...], podczas gdy: i. Bank podane przez skarżącego dane osobowe był uprawniony przetwarzać jedynie w celu zawarcia i realizacji umów ze skarżącym, innych niż zawarte już pomiędzy stronami umowy, tj. zawartych pomiędzy stronami w dniu [...] marca 2017 r. Umowy o rachunek oszczędnościowo-rozliczeniowy [...], Umowy o rachunek oszczędnościowy [...], Umowy o debetową kartę płatniczą [...] oraz Umowy o bankowość elektroniczną, których drugą stroną był Bank, ii. przetwarzanie danych na ww. podstawie prawnej jest dopuszczalnie [pic]wyłącznie na żądanie osoby, której dane osobowe dotyczą, którego to żądania skarżący nie złożył, iii. Bank nie poinformował skarżącego, że zakup spornych obligacji [...] odbywać się będzie za pośrednictwem innego podmiotu, tj. [...], który jest oferentem i dystrybutorem ww. obligacji, iv. o konieczności przekazania ww. danych lub o fakcie przekazania Bank nie poinformował skarżącego uprzednio ani następczo, przez co skarżący nie był świadomy, że jego dane osobowe zostaną przekazane do [...] w związku z zakupem obligacji [...], v. skarżący nie otrzymał w dniu [...] marca 2018 r. wiadomości e-mail od [...] zawierającej Formularz Przyjęcia Propozycji Nabycia - formularz ten otrzymała osoba kontaktująca się ze skarżącym w imieniu Banku i osoba ta uzupełniła treść tego formularza bez przekazania o tym fakcie informacji skarżącemu, tym samym nie doszło do nawiązania kontaktu ze skarżącym przez [...], lecz przez pracownika Banku; - które to okoliczności prawidłowo ocenione przez organ nadzorczy dałyby podstawę do uznania, że Bank naruszył swoje uprawnienia i obowiązki dotyczące możliwości przetwarzania danych osobowych skarżącego, co w konsekwencji doprowadziłoby do uwzględnienia skargi skarżącego i orzeczenia zgodnie z żądaniem skargi; b) naruszenie art. 13 ust. 1 i 2 RODO w zw. z art. 24 u.o.d.o. z 1997 r. - poprzez jego błędną wykładnię i niewłaściwe uznanie, że wobec skarżącego został spełniony obowiązek informacyjny, w związku z czym Bank był uprawniony do przekazywania jego danych osobowych podmiotom trzecim za zgodą i wiedzą skarżącego, podczas gdy: i. w stosunku do danych, których administratorem danych osobowych jest Bank, pozyskanych w celu zawarcia umowy o prowadzenie rachunku bankowego - klauzula informacyjna przekazana przez Bank skarżącemu nie zawierała informacji o celu przetwarzania w postaci zawierania i realizacji umów z klientem na zlecenie podmiotów trzecich, czy informacji o odbiorcach danych, ani informacji o pośredniczeniu przez Bank w procesie oferowania obligacji i [pic]przekazywaniu danych do emitenta obligacji lub podmiotu działającego na jego rzecz, przez co skarżący faktycznie nie został poinformowany przez Bank o przetwarzaniu jego danych osobowych w ww. celu, ii. w stosunku do danych, których administratorem danych osobowych jest GetBack, pozyskanych przez Bank w procesie oferowania obligacji - skarżący faktycznie nie został poinformowany o treści klauzuli informacyjnej ani przez Bank, ani przez [...], ani przez [...], zaś Formularz przyjęcia propozycji nabycia obligacji nie został przez skarżącego wypełniony, gdyż jego wypełnienie zostało dokonane bez upoważnienia przez pracownika Banku, który nie przekazał treści ww. obowiązku skarżącemu, jak też informacji o istnieniu podmiotu trzeciego, będącego oferentem obligacji, a zatem w stosunku do skarżącego nie został spełniony obowiązek informacyjny w chwili pozyskania jego danych osobowych - co doprowadziło do niewłaściwego uznania, że [...] spełnił w stosunku do skarżącego obowiązek informacyjny, a [...], jako podmiot przetwarzający, był uprawniony do przetwarzania danych osobowych skarżącego, za jego wiedzą i na jego żądanie, a przekazanie danych osobowych skarżącego do [...] odbyło się na podstawie i w granicach prawa, w sytuacji, gdy prawidłowa wykładnia przepisu przez organ doprowadziłaby do uznania, że Bank naruszył swoje uprawnienia i obowiązki związane z przetwarzaniem danych osobowych skarżącego, a w konsekwencji doprowadziłoby do uwzględnienia przez organ nadzorczy skargi skarżącego i orzeczenia zgodnie z żądaniem skargi; c) naruszenie art. 14 ust. 1 i 2 RODO - poprzez niego niezastosowanie i niezasadne oparcie przez organ nadzorczy zaskarżonego w sprawie rozstrzygnięcia o art. 13 ust. 1 i 2 RODO, pomimo braku przesłanek do zastosowania tego przepisu, gdyż pozyskanie danych osobowych nie nastąpiło bezpośrednio od skarżącego, a od Banku, co miało wpływ na wynik sprawy, bowiem doprowadziło do nieprawidłowego uznania, że skarżący wyraził zgodę na przetwarzanie jego danych przez podmioty trzecie współpracujące z Bankiem, a Bank nie był zobowiązany do wypełnienia obowiązków wynikających z treści art. 14 ust. 1 i 2 RODO w imieniu [...], tj. do spełnienia obowiązku informacyjnego wobec skarżącego; 2. naruszenie przepisów postępowania, które mogło mieć istotny wpływ na wynik sprawy, tj.: a. naruszenie art. 80 k.p.a. w zw. z art. 7 i art. 77 § 1 k.p.a. - polegające na dowolnej, a nie swobodnej i wszechstronnej analizie zgromadzonego w sprawie materiału dowodowego oraz pominięciu jego istotnej części, w szczególności poprzez oparcie rozstrzygnięcia li tylko na podstawie informacji pozyskanych od Banku, [...] i [...], z pominięciem dokumentów przedstawionych przez skarżącego, co skutkowało nieprawidłowym ustaleniem, że: i. skarżący wyraził chęć zawarcia umowy z [...], czym wyraził zgodę na przekazanie jego danych osobowych do oferenta obligacji, tj. [...], gdy tymczasem skarżący nie miał wiedzy ani świadomości o istnieniu podmiotu trzeciego w procesie oferowania i nabywania obligacji, a tym bardziej nie wyrażał chęci zawarcia umowy z [...], ii. skarżący wyraził zainteresowanie ofertą nabycia obligacji wyemitowanych przez [...], co było równoznaczne z wyrażeniem przez niego zgody na przekazanie jego danych do [...], gdy tymczasem skarżący nie został poinformowany przez pracownika Banku o tożsamości oferenta obligacji i pozostawał w uzasadnionym przekonaniu, że oferentem obligacji jest Bank, iii. Bank przekazał [...] dane skarżącego na jego żądanie oraz, że skarżący przyznał to w treści reklamacji złożonej do Banku w dniu [...] maja 2018 r., gdy tymczasem skarżący wprost wskazał, że takiego żądania nigdy nie złożył, iv. skarżący otrzymał od pracownika Banku szereg informacji dotyczących [...], jako podmiotu, do którego mają zostać przekazane dane skarżącego przez [...], gdy w rzeczywistości informacje te dotyczyły charakteru i bezpieczeństwa zakupu obligacji emitowanych przez [...], v. rola Banku w procesie oferowania obligacji sprowadzała się do przekazania [...] danych osobowych na jego żądanie, podczas gdy faktyczna rola Banku w tym procesie była znacznie szersza i obejmowała oferowanie obligacji, namawianie do ich zakupu, a także wypełnienie i wysłanie formularza nabycia obligacji [...] na rzecz skarżącego bez jego wiedzy i zgody, vi. spółka [...] dane osobowe skarżącego pozyskała bezpośrednio od skarżącego poprzez ich podanie w formularzu nabycia obligacji, [pic]podczas gdy to nie skarżący wypełnił ww. formularz, a pracownik Banku, zaś skarżący nie został poinformowany o treści klauzuli informacyjnej znajdującej się pod formularzem oraz fakcie ujawnienia danych do podmiotu trzeciego, vii. [...] spełnił w stosunku do skarżącego obowiązek informacyjny w chwili pozyskania jego danych poprzez umieszczenie w treści formularza nabycia obligacji klauzuli informacyjnej, podczas gdy skarżący takiej informacji nigdy nie uzyskał, nie miał dostępu do ww. formularza i nie on go uzupełniał, - co miało istotny wpływ na wynik sprawy, gdyż ww. nieprawidłowe ustalenia legły u podstaw decyzji oddalającej skargę skarżącego i zadecydowały o braku zasadności formułowanych przez niego zarzutów wobec Banku, [...] oraz spółki [...], w sytuacji, gdy prawidłowa ocena materiału dowodowego zgromadzonego w sprawie oraz wynikających z niego okoliczności doprowadziłaby do uznania, że Bank naruszył swoje uprawnienia i obowiązki dotyczące możliwości przetwarzania danych osobowych skarżącego; b. naruszenie art. 9 oraz art. 10 § 1 i § 2 k.p.a. w zw. z art. 77 § 1 i art. 81 k.p.a. - poprzez pozbawienie strony skarżącej możliwości wypowiedzenia się co do ustaleń będących podstawą decyzji wydanej przez organ nadzorczy, jak również co do zebranego w sprawie materiału dowodowego, co przejawiało się w niepoinformowaniu skarżącego o fakcie złożenia i treści wyjaśnień Banku z dnia [...] września 2019 r. i z dnia [...] marca 2020 r. oraz wyjaśnień [...] z dnia [...] października 2019 r., a także wyjaśnień [...] z dnia [...] lutego 2020 r., a w konsekwencji uniemożliwiło skarżącemu przedstawienie dalszych dowodów i materiałów na poparcie swoich tez oraz ustosunkowanie się do twierdzeń ww. podmiotów i skutecznie zniweczyło skarżącemu możliwość dowodzenia swoich racji przed wydaniem decyzji przez organ nadzorczy niezasadnie ograniczając jego udział w postępowaniu, c. naruszenie art. 7 i art. 77 § 1 k.p.a. - poprzez niepodjęcie wszelkich czynności niezbędnych do dokładnego wyjaśnienia stanu faktycznego oraz do załatwienia sprawy w sposób wyczerpujący, jak również pominięcie wniosków płynących z pisma [...] z dnia [...] sierpnia 2018 r. oraz zeznań skarżącego, iż to nie on wypełniał i składał samodzielnie formularz nabycia obligacji, a na jego rzecz dokonał tego pracownik Banku, bez wiedzy i wyraźnego upoważnienia skarżącego, d. naruszenie art. 79a § 1 i 2 w zw. z art. 9 i art. 10 § 1 k.p.a. - poprzez niepoinformowanie skarżącego o fakcie złożenia i treści wyjaśnień Banku z dnia [...] marca 2020 r. oraz wyjaśnień [...] z dnia [...] lutego 2020 r. oraz pozbawienie możliwości wypowiedzenia się co zebranych dowodów i materiałów, a także poprzez ponowne niepoinformowanie skarżącego o zebraniu materiału dowodowego wystarczającego do wydania decyzji administracyjnej i niewskazanie przesłanek niespełnionych lub niewykazanych, które to naruszenie skutkowało wydaniem decyzji niezgodnej z żądaniem strony, co w konsekwencji uniemożliwiło skarżącemu przedstawienie dalszych dowodów i materiałów na poparcie swoich tez oraz ustosunkowanie się do twierdzeń ww. podmiotów i skutecznie zniweczyło skarżącemu możliwość dowodzenia swoich racji przed wydaniem decyzji przez organ niezasadnie ograniczając jego udział w postępowaniu, e. naruszenie art. 107 § 3 k.p.a. w zw. z art. 7, art. 8 i art. 11 k.p.a. - poprzez jego niewłaściwe [pic]zastosowanie i pominięcie w uzasadnieniu decyzji organu nadzorczego przyczyn, z powodu których organ ten rozstrzygnięcie w sprawie oparł jedynie na dowodach złożonych przez Bank, [...] i [...], pomijając dowody zgłaszane przez skarżącego oraz przyczyn, z powodu których dowodom przedłożonym przez skarżącego odmówił wiarygodności i mocy dowodowej, czym uniemożliwił skarżącemu prawidłowe i pełne zbadanie zasadności oraz zgodności z prawem zaskarżonej decyzji. W uzasadnieniu skargi strona skarżąca zarzuciła przede wszystkim, iż organ nadzorczy nieprawidłowo zinterpretował i zastosował przepis art. 6 ust. 1 lit. b RODO. Skarżący uznał bowiem, że w przypadku podjęcia czynności zmierzających do zawarcia umowy, przetwarzanie danych osobowych na podstawie wspomnianego wyżej przepisu jest legalne wyłącznie wtedy, gdy nastąpi na żądanie osoby, której te dane dotyczą. Tymczasem, jak zauważył skarżący, wbrew temu, co w decyzji podnosi organ nadzorczy, skarżący takiego żądania nie wyraził. Co więcej, skarżący stwierdził, że żądania takiego wyrazić nie mógł, albowiem nie posiadał informacji o udziale podmiotu trzeciego, jakim jest [...], w procesie nabycia obligacji. Ponadto, skarżący uznał, że organ nadzorczy dokonał błędnej wykładni ww. przepisu także w odniesieniu do celów przetwarzania danych osobowych, na podstawie których Bank był rzekomo uprawniony do przetwarzania danych osobowych skarżącego jako klienta Banku. Skarżący stwierdził bowiem, że wskazany przez organ nadzorczy, a wynikający z "Karty Informacyjnej Klienta wraz z Oświadczeniami Banku i Klienta" z dnia [...] marca 2017 r. cel przetwarzania, tj.: "podane dane osobowe będą przetwarzane w celu zawarcia i realizacji wnioskowanych przez Klienta umów, w związku z którymi zostały przekazane, w celu marketingu własnych produktów i usług Banku oraz w celach archiwizacyjnym i statystycznym" nie ma zastosowania w niniejszej sprawie. Skarżący podniósł, że niniejsza przesłanka, jak wynika z jej literalnego brzmienia, odnosi się do zawierania i realizacji umów, w związku z którymi dane zostały przekazane, a więc umów, których drugą stroną jest Bank. Skarżący wskazał, że dane, o których mowa w ww. postanowieniu zostały pozyskane przez Bank w celu otwarcia w dniu [...] marca 2017 r. umów o: rachunek oszczędnościowo-rozliczeniowy, rachunek oszczędnościowy, debetową kartę płatniczą, bankowość elektroniczną, co oznacza, że podane przez skarżącego dane osobowe, w których posiadaniu był Bank mogły zostać przez Bank wykorzystane jedynie w celu zawarcia i realizacji innych niż ww. umów ze skarżącym, które były związane z prowadzonymi w tym Banku rachunkami bankowymi skarżącego. Odnosząc się do kwestii prawidłowego spełnienia obowiązku informacyjnego przez [...], skarżący stwierdził, iż organ nadzorczy dokonał nieprawidłowej wykładni przepisu art. 13 ust. 1 i 2 RODO, a także obowiązującego w chwili zbierania danych osobowych skarżącego przepisu art. 24 u.o.d.o. z 1997 r. Skarżący wskazał, że nie został poinformowany o treści klauzuli informacyjnej przed ani w momencie zbierania jego danych osobowych przez [...] - zarówno przez samą [...], jak i przez Bank oferujący mu nabycie obligacji. Skarżący zauważył, że formularz nabycia obligacji nie został wypełniony przez skarżącego, a przez działającego bez upoważnienia skarżącego pracownika Banku, który nie poinformował skarżącego o treści ww. klauzuli informacyjnej skarżącego, ani nie przekazał informacji o udziale w tym procesie podmiotu trzeciego, jakim jest [...]. W tej sytuacji, skarżący uznał, że w rzeczywistości nie został wobec niego prawidłowo wypełniony obowiązek informacyjny zarówno na gruncie RODO, jak i obowiązującej w tym czasie u.o.d.o. z 1997 r. W tej sytuacji, skarżący stwierdził, że nie sposób jest uznać, iż przetwarzanie jego danych osobowych miało podstawę prawną w powyżej wskazanym dokumencie oraz było zgodne z prawem, jako że działania Banku i jego pracownika nie były objęte zgodą skarżącego w kontekście przetwarzania jego danych. W konsekwencji, skarżący uznał, że organ nadzorczy nieprawidłowo oparł swoje rozstrzygnięcie na art. 13 ust. 1 i 2 RODO, uznając, iż dane osobowe skarżącego zostały pozyskane przez [...] bezpośrednio od niego, gdy tymczasem prawidłową podstawą prawną pozyskania tych danych w niniejszym przypadku powinien być art. 14 ust. 1 i 2 RODO, dotyczący zbierania danych osobowych nie od osoby, której dane dotyczą, a od innego podmiotu. Skarżący podkreślił, że w niniejszej sprawie dane te zostały pozyskane przez [...] bezpośrednio od Banku, a nie od skarżącego, a zatem zastosowanie do spełnienia obowiązku informacyjnego powinna znaleźć odpowiednia podstawa prawna. Przechodząc do uzasadnienia zarzutów naruszenia przepisów postępowania, skarżący podniósł, że w procesie rozpoznawania jego skargi, organ nadzorczy dopuścił się licznych uchybień i naruszeń przepisów prawa, która miały istotny wpływ na wydanie negatywnego dla skarżącego rozstrzygnięcia. Skarżący wskazał, iż w toku postępowania wyjaśniającego organ nadzorczy naruszył szereg zasad postępowania, w tym zasadę praworządności (art. 6 k.p.a.), zasadę prawdy obiektywnej nakazującą organowi podjęcie wszelkich czynności niezbędnych do dokładnego wyjaśnienia stanu faktycznego oraz załatwienia sprawy (art. 7 k.p.a.), zasadę pogłębiania zaufania obywateli do władzy publicznej (art. 8 § 1 k.p.a.), zasadę informowania stron o postępach w sprawie (art. 9 k.p.a.), a także zasadę czynnego udziału stron w postępowaniu (art. 10 k.p.a.). Skarżący uznał, że w konsekwencji powyższych naruszeń organ nadzorczy dokonał błędnego ustalenia stanu faktycznego i w swojej ocenie nie uwzględnił całości materiału dowodowego zebranego w sprawie, opierając rozstrzygnięcie wyłącznie na materiałach pozyskanych przez Bank, [...] oraz [...], pomijając dokumenty przedstawione przez skarżącego. Strona skarżąca zarzucił, że organ nadzorczy w uzasadnieniu zaskarżonej decyzji przytoczył wprawdzie twierdzenia skarżącego, ale wyłącznie dla uzasadnienia twierdzeń wskazanych powyżej podmiotów, z pominięciem istotnego kontekstu sytuacyjnego, w jakich były one stawiane, co doprowadziło do przeinaczenia ich znaczenia i wyprowadzenia odmiennych wniosków, niż płynące z tych twierdzeń w rzeczywistości. Skarżący zarzucił jednocześnie, że Prezes UODO nie podjął wszystkich czynności niezbędnych do dokładnego wyjaśnienia stanu faktycznego oraz załatwienia sprawy. Skarżący zauważył bowiem, że pomimo wpłynięcia do organu nadzorczego wyjaśnień Banku z dnia [...] września 2019 r. i z dnia [...] marca 2020 r., a także wyjaśnień [...] z dnia [...] października 2019 r., a także wyjaśnień [...] z dnia [...] lutego 2020 r., skarżący o fakcie i treści ich złożenia nie został nigdy poinformowany. Skarżący uznał zatem, że nie miał możliwości ustosunkowania się do treści wszystkich złożonych wyjaśnień przez wskazane powyżej podmioty, a także przedstawienia dalszych dowodów i materiałów w sprawie, co skutecznie uniemożliwiło mu pełny i czynny udział w postępowaniu administracyjnym toczącym się przed organem nadzorczym. Skarżący zarzucił ponadto, że Prezes UODO dokonał także dowolnej i jednostronnej analizy dowodów i oceny materiału dowodowego zgromadzonego w sprawie. Skarżący uznał przede wszystkim, że nieuzasadnione są wnioski organu nadzorczego, jakoby skarżący wyraził chęć zawarcia umowy z [...], czym miał jednocześnie wyrazić rzekomo zgodę na przekazanie jego danych osobowych do oferenta obligacji, którym był [...]. Skarżący podkreślił, iż nie posiadał wiedzy ani świadomości o udziale [...] w tym procesie i nigdy nie wyraził zgody na przekazanie jego danych do [...]., co było przez niego wielokrotnie podkreślane oraz udowadniane. Skarżący podkreślił, że w procesie oferowania i nabywania obligacji pozostawał w uzasadnionym przekonaniu, iż oferentem obligacji jest Bank, jako że tak sytuacja została mu przedstawiona przez pracownika Banku. W konsekwencji, skarżący uznał, że Bank nie mógł przekazać danych [...] na żądanie skarżącego, gdyż on nigdy takiej woli nie wyraził, a nawet nie wiedział o istnieniu podmiotu trzeciego w procesie oferowania i nabywania obligacji [...]. Skarżący zaprzeczył jednocześnie, aby przyznał ww. fakt w treści reklamacji złożonej do Banku w dniu [...] maja 2018 r., gdy tymczasem - jak stwierdził - z pełnego kontekstu oraz analizy treści ww. reklamacji wynika fakt wręcz odwrotny. Skarżący zanegował także, aby otrzymał od pracownika Banku "szereg informacji dotyczących [...]", w rozumieniu informacji dotyczących emitenta jako administratora danych osobowych. Skarżący wskazał, że informacje przekazane mu przez pracownika Banku ograniczały się do informacji dotyczących charakteru i bezpieczeństwa zakupu instrumentu finansowego, jakim są obligacje [...], co organ nadzorczy powinien zauważyć podczas pełnej i wszechstronnej analizy treści przedmiotowej reklamacji oraz materiału dowodowego. Skarżący nie zgodził się także z wnioskiem organu nadzorczego, jakoby rola Banku w procesie oferowania obligacji sprowadzała się wyłącznie do przekazania [...] danych osobowych na jego żądanie, gdyż faktyczna rola Banku była znacznie szersza i sprowadzała się do oferowania obligacji, namawiania do ich zakupu, missellingu, a także wypełnienia i wysłania formularza nabycia obligacji [...] na rzecz skarżącego przez pracownika Banku, mimo braku posiadanych uprawnień, zarówno przez Bank, jak i jego pracownika, do prowadzenia takiej działalności i podejmowania takich czynności. Ponadto, skarżący uznał, że organ nadzorczy niezasadnie pominął także wnioski płynące z pisma [...] z dnia [...] sierpnia 2018 r. oraz zeznań skarżącego, iż to nie on wypełniał i składał formularz nabycia obligacji, a na jego rzecz zostało to dokonane przez pracownika Banku, bez wiedzy i wyraźnego upoważnienia skarżącego. W związku z powyższym, skarżący wskazał, że dane osobowe pozyskane przez [...] nie zostały pozyskane bezpośrednio od skarżącego, a od Banku, a skarżący nie został poinformowany o treści klauzuli informacyjnej znajdującej się pod formularzem oraz fakcie ujawnienia danych do podmiotu trzeciego, tym samym [...] nie wypełniła w stosunku do skarżącego obowiązku informacyjnego w momencie zbierania jego danych. Jednocześnie, skarżący podniósł, że uzasadnienie zaskarżonej decyzji nie odpowiada wymogom prawa, gdyż organ nadzorczy w uzasadnieniu faktycznym decyzji całkowicie pominął przyczyny, z powodu których swoje rozstrzygnięcie oparł wyłącznie na dowodach i twierdzeniach Banku, [...] i [...], pomijając dowody i twierdzenia zgłaszane przez skarżącego oraz przyczyny, z powodu których odmówił im wiarygodności i mocy dowodowej. W konsekwencji, skarżący uznał, że przedstawiony charakter uchybień przepisów postępowania, których dopuścił się organ nadzorczy, a także ich szeroki zakres, miały istotny wpływ na rozstrzygnięcie wydane w sprawie. W odpowiedzi na skargę Prezes Urzędu Ochrony Danych Osobowych wniósł o jej oddalenie, podtrzymując swoje dotychczasowe stanowisko wyrażone w uzasadnieniu zaskarżonej decyzji. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje. Zgodnie z art. 1 § 1 i 2 ustawy z dnia 25 lipca 2002 r. - Prawo o ustroju sądów administracyjnych (tekst jednolity Dz. U. z 2021 r., poz. 137), sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej, przy czym kontrola ta sprawowana jest pod względem zgodności z prawem, jeżeli ustawy nie stanowią inaczej. W świetle powołanych przepisów cyt. ustawy, Wojewódzki Sąd Administracyjny w Warszawie, w zakresie swojej właściwości, ocenia zaskarżoną decyzję administracyjną, postanowienie, czy też inny akt lub czynność z zakresu administracji publicznej dotyczącą uprawnień lub obowiązków wynikających z przepisów prawa, z punktu widzenia ich zgodności z prawem materialnym i przepisami postępowania administracyjnego, według stanu faktycznego i prawnego obowiązującego w dacie wydania tego aktu lub podjęcia spornej czynności. Chodzi więc o kontrolę aktów lub czynności z zakresu administracji publicznej dokonywaną wyłącznie pod względem ich zgodności z prawem materialnym i przepisami procesowymi, nie zaś według kryteriów słuszności, czy też zgodności z zasadami współżycia społecznego. Ponadto, co wymaga podkreślenia, Sąd rozstrzyga w granicach danej sprawy, nie będąc jednak związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną (vide: art. 134 § 1 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi - tekst jednolity Dz. U. z 2019 r., poz. 2325 ze zm. - dalej także: "P.p.s.a."). Należy jednocześnie wyraźnie zaznaczyć, że od dnia wejścia w życie Traktatu Akcesyjnego z dnia 16 kwietnia 2003 r. (Dz. U. z 2004 r. Nr 90, poz. 864), na mocy którego Polska stała się państwem członkowskim Unii Europejskiej, kontrola sądu administracyjnego obejmuje również zgodność rozstrzygnięć organów administracji publicznej z prawem europejskim (prawem Unii Europejskiej), rozumianym, jako całokształt dorobku prawnego Unii Europejskiej (acquis communautaire), w tym zasad ogólnych prawa europejskiego, interpretowanych oraz stosowanych w sposób jednolity na całym obszarze Unii Europejskiej. W tej sytuacji, Wojewódzki Sąd Administracyjny w Warszawie, dokonując oceny legalności zaskarżonej decyzji Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] grudnia 2020 r., zobowiązany był zbadać jej zgodność przede wszystkim z przepisami prawa europejskiego, w tym w szczególności z regulacjami prawnymi zawartymi w rozporządzeniu Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych - zwane także: "RODO"). W ocenie Wojewódzkiego Sądu Administracyjnego w Warszawie, analizowana pod tym kątem skarga M.S. nie zasługuje na uwzględnienie, albowiem zaskarżona decyzja Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] grudnia 2020 r., nr [...] - nie narusza obowiązujących przepisów prawa. Sąd uznał, że Prezes UODO, wydając sporną decyzję administracyjną z dnia [...] grudnia 2020 r., nie dopuścił się naruszenia zarówno wiążących Polskę przepisów prawa europejskiego, jak i regulacji prawa krajowego, w stopniu mającym istotny wpływ na końcowy wynik sprawy zakończonej wydaniem wspomnianej wyżej decyzji. Analizując niniejszą sprawę, Sąd uznał, że organ nadzorczy, wydając sporną decyzję administracyjną, przede wszystkim nie dopuścił się - mogącego mieć zasadniczy wpływ na wynik sprawy - naruszenia przepisów procedury administracyjnej, w szczególności art. 7 k.p.a., art. 77 § 1 k.p.a. i art. 80 k.p.a. w zw. z art. 7 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (tekst jednolity Dz. U. z 2019 r., poz. 1781), albowiem - wbrew zarzutom strony skarżącej - w sposób wyczerpujący zebrał i rozpatrzył cały istotny materiał dowodowy, a także podjął wszelkie kroki niezbędne do dokładnego wyjaśnienia stanu faktycznego i załatwienia sprawy, co w konsekwencji skutkowało uzasadnionym nieuwzględnieniem skargi M.S. z dnia [...] maja 2019 r. Organ nadzorczy wyjaśnił wszystkie okoliczności istotne dla prawidłowego i pełnego rozstrzygnięcia sprawy, a także dokonał właściwej oceny zebranego w sprawie materiału dowodowego, przeprowadzając jednocześnie ową ocenę w kontekście właściwie zastosowanych przepisów prawa materialnego. Ponadto, Sąd stwierdził, że w uzasadnieniu zaskarżonej decyzji Prezesa UODO z dnia [...] grudnia 2020 r. wyjaśnione zostały w sposób dostatecznie jasny i przekonywujący motywy jej podjęcia, zaś przytoczona w tym zakresie argumentacja jest wyczerpująca i w pełni odnosząca się do stanowiska strony skarżącej podniesionego zarówno w skardze z dnia [...] maja 2019 r., jak i na dalszym etapie postępowania wyjaśniającego. W ocenie Sądu, przyjąć należy, iż odmawiając uwzględnienia wniosku zawartego w inicjującej postępowanie administracyjne skardze M.S. z dnia [...] maja 2019 r., Prezes UODO nie naruszył obowiązujących przepisów prawa materialnego, albowiem - wbrew zarzutom skargi - prawidłowo przyjął, że w niniejszej sprawie [...] z siedzibą w [...], jako administrator danych, nie naruszył przepisów RODO w zakresie przetwarzania danych osobowych skarżącego. Według składu Sądu orzekającego w niniejszej sprawie, uznać należy, że organ nadzorczy nie dopuścił się naruszenia przepisów prawa materialnego, w tym w szczególności naruszenia art. 6 ust. 1 lit. b, lit. c i lit. f RODO, zasadnie przyjmując w zaskarżonej decyzji, że Bank legitymuje się przesłanką przetwarzania danych osobowych skarżącego wynikającą ze wskazanych powyżej przepisów RODO. Jednocześnie, Sąd stwierdził, że Prezes UODO, wydając zaskarżoną decyzję, nie dopuścił się ponadto istotnego naruszenia art. 13 i art. 14 RODO, albowiem zasadnie przyjął, że Bank prawidłowo wypełnił wobec strony skarżącej obowiązek informacyjny. Ponadto, w wyniku analizy legalności spornej decyzji organu nadzorczego, Wojewódzki Sąd Administracyjny w Warszawie uznał, że Prezes UODO, odmawiając uwzględnienia skargi, zasadnie przyjął, że Bank nie dopuścił się naruszenia art. 6 ust. 1 lit. f RODO, albowiem uznać należy, iż przechowywanie wspomnianych danych przez okres przedawnienia roszczeń, również w przypadku, gdy ani administrator ani osoba, której dane dotyczą, nie zgłosiła jeszcze roszczenia, stanowi prawnie uzasadniony interes Banku, a także pozostałych współdziałających z Bankiem podmiotów (biura maklerskiego - [...] oraz spółki emitującej obligacje - [...]), albowiem podmioty te - w ocenie Sądu - uprawniają zarówno Bank, jak i biuro maklerskie, a także emitenta obligacji do przetwarzania danych osobowych w celu ustalenia, dochodzenia i ochrony przed roszczeniami. Tym samym, Sąd uznał, że Prezes Urzędu Ochrony Danych Osobowych, wydając sporną decyzję administracyjną - nie dopuścił się w powyższym zakresie istotnego naruszenia zasady praworządności wyrażonej w przepisach art. 6 k.p.a. i art. 7 in principio k.p.a. w zw. z art. 7 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych oraz art. 7 Konstytucji RP. Mając powyższe na względzie, Sąd uznał, że w analizowanej sprawie brak było podstawy faktycznej i prawnej do skorzystania przez organ nadzorczy wobec [...], jako administratora danych osobowych skarżącego, uprawnień naprawczych, o których mowa w art. 58 ust. 2 RODO, czy też nałożenia na ten podmiot wnioskowanej przez skarżącego administracyjnej kary pieniężnej na mocy art. 83 RODO. Przechodząc do merytorycznej oceny legalności spornej decyzji z dnia [...] grudnia 2020 r., należy na wstępie wyraźnie wskazać, że Prezes Urzędu Ochrony Danych Osobowych jest organem właściwym w sprawie ochrony danych osobowych (art. 34 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych) i jednocześnie organem nadzorczym, w rozumieniu rozporządzenia 2016/679 (art. 34 ust. 2 u.o.d.o.). Jak stanowi art. 57 ust. 1 lit. a i lit. f RODO, bez uszczerbku dla innych zadań określonych na mocy niniejszego rozporządzenia, każdy organ nadzorczy na swoim terytorium monitoruje i egzekwuje stosowanie niniejszego rozporządzenia, a także rozpatruje skargi wniesione przez osobę, której dane dotyczą. Nie ulega wątpliwości, że rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) stanowi kompleksową regulację dotyczącą ochrony danych osobowych, która nie wymaga implementacji ustawą krajową, aby mogła być stosowana w danym państwie. Jednocześnie, państwom członkowskim Unii Europejskiej pozostawiono jednak pewien zakres swobody w zakresie regulacji na poziomie krajowym, aby niektóre zagadnienia doprecyzować (np. w przypadku organu nadzorczego, czy odpowiedzialności za naruszenie zasad ochrony danych osobowych), czy też dostosować zasady wprowadzone przez RODO do innych obowiązujących w danym porządku prawnym zasad. Ze wskazanych wyżej przepisów art. 57 ust. 1 lit. a i lit. f RODO wynika m.in., iż procedura, w ramach której prowadzone są postępowania zainicjowane skargą wniesioną przez osobę, której dane dotyczą, określana jest przez poszczególne państwa członkowskie Unii Europejskiej. Pozostawienie w tym zakresie państwom członkowskim autonomii jest wyrazem realizacji zasady autonomii proceduralnej państw członkowskich. W tej sytuacji, skargi są wnoszone i rozpatrywane na podstawie przepisów proceduralnych obowiązujących w danym państwie członkowskim UE. Art. 60 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych stanowi, że postępowanie w sprawie naruszenia przepisów o ochronie danych osobowych, zwane dalej "postępowaniem", jest prowadzone przez Prezesa Urzędu. Nie ulega wątpliwości, że postępowanie w sprawie naruszenia przepisów o ochronie danych jest jednym z postępowań administracyjnych przed Prezesem Urzędu Ochrony Danych Osobowych. O takim jego charakterze rozstrzyga art. 7 ust. 1 ustawy o ochronie danych osobowych, który postępowanie z rozdziału 7 kwalifikuje jako administracyjne i przewiduje w sprawach w niej nieuregulowanych stosowanie do tego postępowania Kodeksu postępowania administracyjnego. Warto przy tym zauważyć, że ustawodawca w art. 7 ust. 1 cyt. ustawy nie przewiduje stosowania odpowiedniego, oznacza to zatem stosowanie przepisów ogólnej procedury administracyjnej wprost, z modyfikacjami wynikającymi z regulacji ustawy o ochronie danych osobowych. Użyte w art. 60 u.o.d.o. określenie "naruszenie przepisów o ochronie danych osobowych" ma zakres szeroki i obejmuje naruszenia wszystkich przepisów o ochronie danych, zarówno zawartych w unijnym rozporządzeniu, jak i w przepisach krajowych, które uzupełniają lub modyfikują regulacje unijne. Zgodnie z art. 7 ust. 1 u.o.d.o., w sprawach nieuregulowanych w ustawie do postępowań administracyjnych przed Prezesem Urzędu Ochrony Danych Osobowych, o których mowa w rozdziale 4-7 i 11 (a więc również w rozdziale 7 dotyczącym postępowania w sprawie naruszenia przepisów o ochronie danych osobowych), stosuje się przepisy Kodeksu postępowania administracyjnego. Zdaniem Sądu, nie ulega wątpliwości, że związanie rygorami procedury administracyjnej oznacza, iż Prezes UODO jest obowiązany m.in. do przestrzegania zasady pogłębiania zaufania obywateli do organów praworządnego Państwa (art. 8 § 1 k.p.a.). W tej sytuacji, organ nadzorczy, uwzględniając powyższą zasadę, zobowiązany jest przede wszystkim dokładnie wyjaśnić okoliczności sprawy, konkretnie ustosunkować się do żądań i twierdzeń strony skarżącej oraz uwzględnić w decyzji zarówno interes społeczny, jak i słuszny interes strony skarżącej. Organ nadzorczy jest ponadto obowiązany w sposób wyczerpujący zebrać i ocenić cały materiał dowodowy (art. 7, art. 77 § 1 i art. 80 k.p.a.) oraz uzasadnić swoje rozstrzygnięcie według wymagań określonych w przepisie art. 107 § 3 k.p.a. Jeżeli zatem określona osoba zgłasza Prezesowi Urzędu Ochrony Danych Osobowych nieprawidłowości w zakresie przetwarzania swoich danych osobowych, organ ten jest zobligowany do wszczęcia postępowania wyjaśniającego, którego zadaniem jest ustalenie, czy dane osobowe są w istocie przetwarzane, a jeżeli tak, to w jakim celu i czy proces ten następuje z poszanowaniem przepisów zarówno RODO, jak i ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych. Taka sytuacja miała miejsce w rozpoznawanej sprawie. Otóż, Prezes Urzędu Ochrony Danych Osobowych, rozpatrując skargę z dnia [...] maja 2019 r., zobowiązany był dokonać oceny, czy w sprawie doszło w ogóle do przetwarzania danych osobowych skarżącego M.S., a w konsekwencji, czy ewentualnie sporne przetwarzanie - o ile do niego rzeczywiście doszło - było zgodne z prawem, przy jednoczesnym uwzględnieniu okoliczności przetwarzania tych danych, jeśli miało ono miejsce, a także przy uwzględnieniu całokształtu zgromadzonego w sprawie materiału dowodowego oraz w kontekście odpowiednio zastosowanych przepisów prawa, w tym przede wszystkim przepisów RODO oraz ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych. Należy zauważyć, iż w świetle przepisu art. 4 pkt 2 RODO, przez "przetwarzanie" rozumie się operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, takie jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie. W tej sytuacji, mając na względzie powyższą definicję przetwarzania, Prezes Urzędu Ochrony Danych Osobowych, jako organ nadzorczy, zobowiązany był, analizując wniesioną w dniu [...] maja 2019 r. skargę, przeprowadzić stosowne postępowanie wyjaśniające i na podstawie całokształtu zgromadzonego materiału dowodowego ustalić, czy powoływane przez skarżącego naruszenia praw wynikających z RODO zostały udowodnione. Z uwagi na fakt, iż zarówno RODO, jak i ustawa o ochronie danych osobowych nie regulują kwestii postępowania dowodowego i powinności organu nadzorczego związanych z czynieniem ustaleń faktycznych, zastosowanie w tym zakresie znajdują reguły i zasady określone w Kodeksie postępowania administracyjnego. Organ nadzorczy, rozstrzygając sprawę zainicjowaną wspomnianą skargą M.S., zobowiązany był w tej sytuacji uwzględnić fakt, iż dowodami w postępowaniu mogą być w szczególności dokumenty, zeznania świadków, opinie biegłych oraz oględziny (art. 75 § 1 k.p.a.). Celem postępowania administracyjnego jest rozstrzygnięcie sprawy administracyjnej dotyczącej konkretnie wskazanego adresata. Jednym ze stadiów postępowania jest stadium wyjaśniające, które pozwala ustalić dokładny stan faktyczny w danej sprawie. W wyniku postępowania wyjaśniającego organ administracji publicznej ma dojść do wskazanej w art. 7 k.p.a. prawdy obiektywnej, co czyni za pomocą środków dowodowych. Warto przy tym zauważyć, że Kodeks postępowania administracyjnego nie wskazuje dowodów "mocniejszych" oraz "słabszych", przyjmując zasadę równej mocy środków dowodowych. Kodeks postępowania administracyjnego nie określa również zamkniętego katalogu środków dowodowych, jakie mogą być stosowane w toku postępowania administracyjnego. Ustawodawca posłużył się jedynie przykładowym wyliczeniem, wskazując, że w szczególności mogą nimi być dokumenty, zeznania świadków, opinie biegłych oraz oględziny. Jako dowód może natomiast posłużyć wszystko, co jest zgodne z prawem i może przyczynić się do wyjaśnienia sprawy. Należy podkreślić, że chodzi tu o sprzeczność zarówno z prawem materialnym, jak i proceduralnym. Przyjęta w art. 75 § 1 k.p.a. koncepcja wskazuje, że wymienione przykładowo w tym przepisie dowody powinny zostać uznane za podstawowe i najczęściej stosowane w postępowaniu administracyjnym. Warto jednocześnie zauważyć, że o ile postępowanie w sprawie naruszenia przepisów o ochronie danych osobowych, którego dotyczy rozdział 7 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych, jest postępowaniem administracyjnym, do którego - na podstawie art. 7 ust. 1 u.o.d.o. - znajdują zastosowanie przepisy Kodeksu postępowania administracyjnego i w ramach którego to postępowania prowadzący je organ jest związany kodeksowymi standardami prowadzenia postępowania wyjaśniającego, o tyle Prezes UODO, jako organ nadzorczy, może ponadto skorzystać z możliwość posłużenia się w procesie gromadzenia dowodów takim instrumentem, jakim jest przeprowadzenie kontroli przestrzegania przepisów, o której mowa w art. 68 ust. 1 u.o.d.o. Zgodnie z art. 68 ust. 1 u.o.d.o., jeżeli w toku postępowania zajdzie konieczność uzupełnienia dowodów, Prezes Urzędu może przeprowadzić postępowanie kontrolne. Wspomniany przepis art. 68 ust. 1 u.o.d.o. pozwala organowi nadzorczemu dopuścić, jako dowód, materiały uzyskane w rezultacie przeprowadzonej kontroli. W ramach tego postępowania, kontrolujący ustala stan faktyczny na podstawie dowodów zabranych w postępowaniu kontrolnym, a w szczególności dokumentów, przedmiotów, oględzin oraz ustnych lub pisemnych wyjaśnień i oświadczeń (art. 87 u.o.d.o.). Kontrolujący może także przesłuchać w charakterze świadka pracownika kontrolowanego (art. 86 ust. 1 u.o.d.o.). W tym miejscu, należy oczywiście wyraźnie zauważyć, że postępowanie kontrolne jest postępowaniem odrębnie uregulowanym w ustawie, nie mają do niego zastosowania przepisy Kodeksu postępowania administracyjnego, albowiem art. 7 ust. 1 u.o.d.o. nie wymienia postępowania uregulowanego w rozdziale 9 cyt. ustawy. Niemniej jednak, wskazać trzeba, że zebrany w toku kontroli materiał dowodowy będzie materiałem podlegającym ocenie w postępowaniu, dla potrzeb którego został zebrany, czyli postępowaniu o charakterze administracyjnym, do którego zastosowanie znajdują przepisy Kodeksu postępowania administracyjnego i zgodnie z kodeksowymi zasadami oceny materiału dowodowego (tak również: I. Bogucka /w:/ Ustawa o ochronie danych osobowych. Komentarz, pod red. D. Lubasza, WKP 2019, teza 4 komentarza do art. 68 u.o.d.o.). Mając na względzie powyższe, należy uznać, że Prezes UODO, przeprowadzając sporne postępowanie wyjaśniające nie był zmuszony do wykorzystania wszelkich możliwych instrumentów prawnych, jakie dawała mu ustawa o ochronie danych osobowych, albowiem uzasadniając swoje stanowisko w decyzji z dnia [...] grudnia 2020 r., w sposób przekonywujący przyjął na podstawie wystarczającego materiału dowodowego, że [...] z siedzibą w [...] prawidłowo wywiązał się z obowiązków wynikających z RODO. Należy stwierdzić jednocześnie, że - wbrew zarzutom strony skarżącej - rozstrzygając w niniejszej sprawie organ nadzorczy nie oparł się wyłącznie na piśmie wyjaśniającym Banku, jako administratora danych, lecz wydał sporną decyzję w oparciu zarówno o dowody przesłane przez Bank, [...] (obecnie [...]), spółkę [...], jak i samego skarżącego, co jednoznacznie wykazał w uzasadnieniu zaskarżonej decyzji. Podstawowym zadaniem Sądu w niniejszej sprawie było zbadanie, w kontekście zarzutów strony skarżącej, czy organ nadzorczy zasadnie przyjął, że administrator danych należycie wypełnił wszelkie obowiązki, do których należy przetwarzanie danych osobowych z zachowaniem przesłanek określonych w RODO. Warto zauważyć w tym miejscu, iż prawodawca unijny, wymagając w art. 5 ust. 1 lit. a RODO, aby dane były przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dotyczą, zawarł w tym przepisie dwie zasady, tj. zasadę rzetelności i legalności oraz zasadę przejrzystości, które mają ugruntowane miejsce w systemie ochrony danych osobowych od początku jego kształtowania się. Zasada rzetelności i legalności (zgodności z prawem) wymaga, by dane były przetwarzane rzetelnie, czyli uczciwie oraz zgodnie z prawem. Wymóg zapewnienia zgodności z prawem operacji przetwarzania danych oznacza nie tylko konieczność spełnienia przesłanek legalności przetwarzania danych, które zostały określone w art. 6 i art. 9 RODO, lecz także konieczność zapewnienia zgodności z pozostałymi przepisami o ochronie danych osobowych. Wymóg ten oznacza również konieczność zapewnienia zgodności z całokształtem przepisów regulujących działalność podmiotów przetwarzających dane osobowe (por. m.in. P. Drobek /w:/ RODO. Ogólne rozporządzenie o ochronie danych. Komentarz, pod red. E. Bielak-Jomaa i D. Lubasza, WKP 2018, teza 6 komentarza do art. 5 RODO). Zgodnie z art. 6 ust. 1 lit. a RODO, przetwarzanie jest zgodne z prawem, gdy osoba, której dane dotyczą, wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów. Niemniej, wyraźnie należy wskazać, że zgoda nie jest jedyną, ani nawet zasadniczą, spośród kilku równorzędnych, samodzielnych przesłanek dopuszczalności przetwarzania danych osobowych. Nie ulega wątpliwości, że przesłanki wskazane w art. 6 ust. 1 RODO mają charakter samoistny, autonomiczny i niezależny, tzn. dla uznania przetwarzania danych za prawnie dopuszczalne wystarczy istnienie jednej z nich. Zasadniczo przesłanki te mają charakter równoważny, tzn. dla dopuszczalności przetwarzania nie jest istotne, w oparciu o którą podstawę dokonywane jest przetwarzanie danych. W konsekwencji, oparcie przetwarzania danych na jednej z przesłanek wskazanych w art. 6 ust. 1 RODO stanowi przejaw realizacji zasady zgodności z prawem (legalności) przetwarzania danych, wyrażonej w art. 5 ust. 1 lit. a RODO (por. P. Fajgielski, Ogólne rozporządzenie o ochronie danych. Ustawa o ochronie danych osobowych. Komentarz, WKP 2018, komentarz do art. 6 RODO). Według Sądu, organ nadzorczy - opierając się na ustaleniach dokonanych w toku postępowania wyjaśniającego - zasadnie uznał na podstawie zgromadzonego materiału dowodowego, że w rozpatrywanej sprawie [...] przetwarza dane osobowe skarżącego, które pozyskał bezpośrednio od skarżącego w związku z realizacją umów zawartych ze skarżącym w dniu [...] marca 2017 r., na podstawie art. 6 ust. 1 lit. b RODO. Należy zauważyć bowiem, że Bank przetwarzał dane osobowe skarżącego przez przekazanie ich do podmiotu trzeciego, tj. [...], która działała w ramach zlecenia udzielonego jej przez emitenta obligacji - spółkę [...], w oparciu o obecnie obowiązujący art. 23 ust. 1 pkt 3 u.o.d.o. z 1997 r., której odpowiednikiem w aktualnym stanie prawnym jest art. 6 ust. 1 lit. b RODO. Zdaniem Sądu, w związku z zainteresowaniem skarżącego ofertą przedstawioną mu przez doradcę, Bank w oparciu o art. 23 ust. 1 pkt 3 cyt. ustawy, uprawniony był do przekazania danych osobowych celem podjęcia działań przed zawarciem umowy przez skarżącego z [...] (obecnie: [...]), który działał na zlecenie [...]. Ponadto, uznać należy, że na tej samej podstawie dane osobowe skarżącego były następnie przetwarzane przez [...], gdyż przetwarzanie to było niezbędne do podjęcia działań przed zawarciem umowy na żądanie osoby, której dane dotyczą, tj. prawidłowego przeprowadzenia procesu subskrypcji obligacji. Przepis art. 6 ust. 1 lit. b RODO stanowi, że przetwarzanie jest zgodne z prawem w przypadku, gdy przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy. Według Sądu, wskazać należy, że organ nadzorczy - opierając się na analizie zebranego materiału dowodowego - prawidłowo przyjął, iż z treści reklamacji złożonej przez skarżącego do Banku w dniu [...] maja 2018 r. wynika, że działania zmierzające do nabycia przez skarżącego obligacji podejmowane były na jego żądanie. Nie sposób przyjąć jednocześnie, jak sugeruje skarżący, że był on przekonany o tym, iż w celu nabycia obligacji nie ma potrzeby tego, aby Bank przekazywał jego dane osobowe do podmiotu trzeciego - biura maklerskiego. Otóż, zdaniem Sądu, skoro skarżący chciał zawrzeć umowę z [...], na rzecz którego dom maklerski działał, jako podmiot przetwarzający, to koniecznym i niezbędnym zarazem warunkiem zawarcia tej umowy było przekazanie danych osobowych dla realizacji tego celu do [...]. Ponadto, zauważyć należy, iż warunkiem nabycia obligacji było dokonanie przelewu na rachunek domu maklerskiego, co podważa wiarygodność twierdzeń skarżącego, jakoby nie miał on świadomości uczestnictwa tego podmiotu w omawianej procedurze. Dodatkowo, skarżący otrzymał w dniu [...] marca 2018 r. wiadomość e-mail od [...] zawierającą wzór Formularza Przyjęcia Propozycji Nabycia, w którym wskazano na określony zakres pozyskiwanych tą drogą danych. Ponadto, w ocenie Sądu, organ nadzorczy zasadnie uznał, że podstawą przetwarzania danych osobowych skarżącego przez Bank jest art. 6 ust. 1 lit. c i f RODO, w związku z wypełnieniem obowiązku prawnego ciążącego na administratorze oraz z uwagi na niezbędność ich przetwarzania do celów wynikających z prawnie uzasadnionych interesów realizowanych przez Bank, tj. do celów postępowania reklamacyjnego (w związku ze skorzystaniem przez skarżącego z przysługującego mu uprawnienia do wniesienia reklamacji) i w celach dowodowych oraz archiwalny. Art. 6 ust. 1 lit. c RODO stanowi, że przetwarzanie jest zgodne z prawem w przypadku, gdy jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze. Przepis art. 6 ust. 1 lit. c RODO samodzielnie nie stanowi podstawy legalizacyjnej przetwarzania, należy bowiem go odnieść do odpowiedniego przepisu prawa, któremu podlega administrator. Zazwyczaj będzie to przepis prawa krajowego, choć w rachubę mogą tu wchodzić także przepisy prawa unijnego, a nawet przepisy RODO. Zgodnie z tym przepisem, przetwarzanie powinno być niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze. RODO nie nakłada wymogu, aby dla każdego indywidualnego przetwarzania istniało szczegółowe uregulowanie prawne. Wystarczyć może to, że dane uregulowanie prawne stanowi podstawę różnych operacji przetwarzania wynikających z obowiązku prawnego, któremu podlega administrator, lub że przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym (tak m.in. /w:/ Ogólne rozporządzenie o ochronie danych osobowych. Komentarz, pod red. M. Sakowskiej-Baryła, wyd. 1, Wydawnictwo C.H. Beck, Warszawa 2018). Jak słusznie uznał organ nadzorczy, aktualnie [...] (obecnie: [...]) przetwarza dane osobowe skarżącego w szczególności w celu wypełniania obowiązków wynikających z art. 90 ustawy z dnia 29 lipca 2005 r. o obrocie instrumentami finansowymi (tekst jednolity Dz. U. z 2021 r. poz. 328), którego ust. 1 stanowi, że firma inwestycyjna, która zaprzestała prowadzenia działalności maklerskiej, ma obowiązek archiwizowania i przechowywania na terytorium Rzeczypospolitej Polskiej, przez okres 5 lat od dnia zaprzestania prowadzenia tej działalności, dokumentów oraz innych nośników informacji związanych z prowadzeniem tej działalności. Obowiązek uważa się za wykonany w przypadku zapewnienia przez firmę inwestycyjną przechowywania dokumentów oraz innych nośników informacji przez podmiot trzeci spełniający wymagania określone w odrębnych przepisach, jak również w celu dochodzenia przez inwestorów roszczeń wynikających z Kodeksu cywilnego. Art. 6 ust. 1 lit. f RODO stanowi, że przetwarzanie jest zgodne z prawem w przypadku, gdy jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności, gdy osoba, której dane dotyczą, jest dzieckiem. Przyjmuje się w doktrynie, że przesłanka legalizująca przetwarzanie danych osobowych zawarta w tym przepisie przyjmuje charakter swoistej klauzuli generalnej, która zwiększa elastyczność katalogu zawartego w art. 6 ust. 1 RODO. Stosowanie tego przepisu następuje dwuetapowo. Przede wszystkim oparcie przetwarzania danych osobowych na przepisie art. 6 ust. 1 lit. f RODO wymaga kumulatywnego spełnienia dwóch przesłanek. Po pierwsze, musi występować prawnie uzasadniony interes, który jest realizowany przez administratora lub przez stronę trzecią. Po drugie, niezbędna jest weryfikacja, czy przetwarzanie danych osobowych jest niezbędne dla realizacji celu wynikającego z powyższego interesu. W drugim etapie trzeba natomiast ocenić, czy nie jest spełniona przesłanka o charakterze negatywnym w postaci występowania w danym stanie faktycznym interesów lub podstawowych praw i wolności podmiotu danych, które mają charakter nadrzędny wobec prawnie uzasadnionych interesów administratora lub strony trzeciej. W przypadku spełnienia tego warunku nie będzie można powołać się na przepis art. 6 ust. 1 lit. f, jako uzasadnienie dla przetwarzania danych osobowych. Stosowanie tej negatywnej przesłanki polega w istocie na wyważeniu dwóch dóbr chronionych prawem, tj. prawnie uzasadnionego interesu administratora lub strony trzeciej z jednej strony i interesów, podstawowych praw oraz wolności podmiotu danych z drugiej. Prawnie uzasadniony interes trzeba rozumieć nie jako interes wynikający z przepisów prawa, lecz jako interes, który jest zgodny z prawem. Owa zgodność z prawem stanowi ograniczenie pojęcia interesu administratora lub strony trzeciej jako potencjalnej podstawy do przetwarzania danych osobowych. W doktrynie przyjmuje się, że wykładnia pojęcia prawnie uzasadnionego interesu powinna być szeroka i obejmować interesy gospodarcze, faktyczne, czy też prawne (por. m.in. D. Lubasz i W. Chomiczewski /w:/ E. Bielak-Jomaa (red.), D. Lubasz (red.), RODO. Ogólne rozporządzenie o ochronie danych. Komentarz, WKP 2018 i powołane tam poglądy). Tak rozumiany prawnie uzasadniony interes musi być realizowany przez administratora lub przez stronę trzecią. Podkreślić przy tym trzeba, że może to być interes nie tylko administratora, który przetwarza już dane osobowe, lecz również administratora, któremu dane te mogą dopiero zostać ujawnione. Pojęcie niezbędności oznacza z kolei, że przetwarzanie danych dla realizacji prawnie uzasadnionego interesu administratora lub strony trzeciej musi być, rozsądnie oceniając, potrzebne, a więc musi występować bezpośredni związek pomiędzy realizacją prawnie uzasadnionego interesu a potrzebą przetwarzania danych osobowych. W ocenie Sądu, nie sposób uznać, aby przesłanka z art. 6 ust. 1 lit. f RODO dotyczyła sytuacji wyłącznie już istniejącej, w której celem wynikającym z prawnie uzasadnionych interesów realizowanych przez administratora jest konieczność udowodnienia, potrzeba dochodzenia lub obrony przed roszczeniem istniejącym, albowiem obejmuje ona również sytuacje, gdy dane są przetwarzane w celu zabezpieczenia się przed ewentualnym roszczeniem mogącymi powstać w przyszłości. W tym miejscu warto jedynie podkreślić, że całkowicie nieuzasadnione są obawy dotyczące rzekomego permanentnego przetwarzania danych przez Bank i inne podmiotu z nim współpracujące (biuro maklerskie i emitent obligacji), skoro nie ulega wątpliwości, że przetwarzanie danych osobowych skarżącego możliwe będzie w celu ustalenia, dochodzenia lub obrony roszczeń, z zastosowaniem 6-letniego terminu przedawnienia, którego koniec przypada na ostatni dzień roku kalendarzowego liczonego od daty zawarcia umowy nabycia obligacji. W tej sytuacji, uznać trzeba, że - wbrew ewentualnym obawom czy to skarżącego, czy nawet Prezesa UODO - po upływie terminu przedawnienia roszczeń nie będzie można mówić już o uzasadnionym interesie do dalszego przetwarzania danych osobowych skarżącej na tej podstawie. Rozstrzygając niniejszą sprawę, Sąd wziął jednocześnie pod uwagę fakt, iż - wbrew zarzutom strony skarżącej - w niniejszej sprawie nie doszło do naruszenia obowiązków informacyjnych przez administratora danych osobowych. Zauważyć należy, że Bank pozyskał dane osobowe bezpośrednio od skarżącego, w związku z zawarciem z nim w dniu [...] marca 2017 r. stosownych umów. Ponadto, w chwili pozyskiwania tych danych Bank dostarczył skarżącemu "Kartę informacyjną Klienta wraz z Oświadczeniami Banku i Klienta", w treści którego zamieszczona została klauzula informacyjna, zgodnie z art. 24 ust. 1 obowiązującej ówcześnie ustawy o ochronie danych osobowych z 1997 r. Mając na względzie powyższe, organ nadzorczy zasadnie uznał, że obowiązek informacyjny wobec skarżącego został spełniony, a więc nie doszło do naruszenie ówcześnie obowiązującego przepisu art. 24 ust. 1 u.o.d.o. z 1997 r. (w aktualnym stanie prawnym chodzi o przepis art. 13 RODO). Jednocześnie, uznać należy, iż bez wpływu na powyższą ocenę pozostaje fakt, że w ramach spełnienia powyższego obowiązku Bank nie powiadomił skarżącego o zamiarze przekazania jego danych osobowych do [...], działającego na rzecz [...]., tym bardziej, że dopełnienie obowiązków informacyjnych nie stawowi per se warunku uznania procesu przetwarzania danych osobowych za legalny. W tej sytuacji, nie ulega wątpliwości, że wedle stanu faktycznego obowiązującego na dzień wydania zaskarżonej decyzji z dnia [...] grudnia 2020 r. organ nadzorczy nie miał podstaw do zastosowania wobec [...], jako administratora danych, instrumentu prawnego służącego zapewnieniu zgodności procesu przetwarzania danych osobowych z przepisami obowiązującego prawa. W związku z powyższym, Sąd uznał również, że brak było podstaw do nałożenia na Bank administracyjnej kary pieniężnej, na podstawie art. 58 ust. 2 lit. i RODO. Mając na względzie wskazane ustalenia, stwierdzić należy, że z materiału dowodowego zgromadzonego w toku postępowania wyjaśniającego wynika, iż - wbrew zarzutom strony skarżącej - organ nadzorczy zasadnie uznał w uzasadnieniu zaskarżonej decyzji, iż zarzuty skarżącego skierowane wobec Bank opierały się na przepisach RODO oraz przepisach prawa krajowego, które nie zostały w niniejszej sprawie naruszone, a więc tym samym nie mogły w żadnym razie stanowić podstawy do nałożenia przez organ nadzorczy jakichkolwiek obowiązków na administratora danych, które wskazano w skardze z dnia [...] maja 2019 r. W ocenie Sądu, należy uznać, że w rozpoznawanej sprawie Prezes Urzędu Ochrony Danych Osobowych przeprowadził postępowanie dowodowe w zakresie niezbędnym do jej rozstrzygnięcia. Sąd stwierdził, iż ustalenia faktyczne, jakich dokonał organ nadzorczy, pozwoliły na wyprowadzenie wniosków końcowych, które uznać należy za prawidłowe i zgodne z obowiązującymi zasadami postępowania. Według Sądu, przeciwne twierdzenia skarżącego nie zostały dostatecznie wykazane i poparte istotnymi dowodami oraz przepisami prawa zarówno w skardze inicjującej postępowanie, jak i na późniejszym etapie postępowania, a także w skardze złożonej do Sądu, a których to dowodów, czy też regulacji prawnych nie uwzględniłby lub nie omówił w swej decyzji organ nadzorczy. Mając powyższe na uwadze, należy uznać, że wydając sporną decyzję administracyjną z dnia [...] grudnia 2020 r., Prezes UODO nie dopuścił się w toku postępowania jakichkolwiek istotnych uchybień formalnych, które uniemożliwiłyby Sądowi dokonanie prawidłowej oceny zarzutów skargi i wypowiedzenie się co do legalności podjętego rozstrzygnięcia. Zdaniem Sądu, nie ulega wątpliwości, że związanie rygorami procedury administracyjnej oznacza, iż organ nadzorczy jest obowiązany m.in. do przestrzegania zasady pogłębiania zaufania obywateli do organów praworządnego Państwa (art. 8 § 1 k.p.a.). W tej sytuacji, organ nadzorczy, uwzględniając powyższą zasadę, zobowiązany jest przede wszystkim dokładnie wyjaśnić okoliczności sprawy, konkretnie ustosunkować się do żądań i twierdzeń strony skarżącej oraz uwzględnić w decyzji zarówno interes społeczny, jak i słuszny interes strony skarżącej. Organ nadzorczy jest ponadto obowiązany w sposób wyczerpujący zebrać i ocenić cały materiał dowodowy (art. 7, art. 77 § 1 i art. 80 k.p.a.) oraz uzasadnić swoje rozstrzygnięcie według wymagań określonych w przepisie art. 107 § 3 k.p.a. Mając na uwadze powyższe, Sąd uznał, że organ nadzorczy nie uchybił wskazanym wyżej obowiązkom. W ocenie Sądu, uzasadnienie zaskarżonej decyzji spełnia wymogi przewidziane przez ustawodawcę w przepisie art. 107 § 3 k.p.a., gdyż w jej treści organ nadzorczy wyraźnie wskazał, dlaczego - pomimo podniesionych przez stronę skarżącą argumentów i przedłożonych materiałów dowodowych - nie wykazano, aby doszło do niezgodnego z prawem przetwarzania danych osobowych i jednoczesnego zignorowania obowiązków informacyjnych, a w konsekwencji, by administrator danych dopuścił się istotnego naruszenia przepisów o ochronie danych osobowych. W konsekwencji, w ocenie Sądu, wbrew twierdzeniom strony skarżącej, prawidłowe ustalenia faktyczne poczynione w toku postępowania wyjaśniającego przez Prezesa UODO dały temu organowi pełną podstawę do wydania zaskarżonej decyzji z dnia [...] grudnia 2020 r. odmawiającej uwzględnienia wniosku strony skarżącej zawartego w jej skardze z dnia [...] maja 2019 r. Biorąc powyższe pod uwagę, Wojewódzki Sąd Administracyjny w Warszawie - działając na podstawie art. 151 P.p.s.a. - orzekł, jak w sentencji wyroku.[pic]