II SA/Wa 739/25

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Ewa Marcinkowska, Sędzia WSA Danuta Kania (spr.), Asesor WSA Dorota Kozub-Marciniak, , Protokolant referent Magdalena Morawiec, po rozpoznaniu na rozprawie w dniu 20 października 2025 r. sprawy ze skargi [...] Towarzystwa [...] S.A. z siedzibą w [...] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] lutego 2025 r. nr [...] w przedmiocie przetwarzania danych osobowych 1. uchyla zaskarżoną decyzję; 2. zasądza od Prezesa Urzędu Ochrony Danych Osobowych na rzecz [...] Towarzystwa [...] S.A. z siedzibą w [...] kwotę 697 (słownie: sześćset dziewięćdziesiąt siedem) złotych tytułem zwrotu kosztów postępowania. Prezes Urzędu Ochrony Danych Osobowych (dalej: "Prezes UODO", "organ") decyzją z dnia [...] lutego 2025 r. nr [...], na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2024 r. poz. 572 ze zm.), dalej: "k.p.a.", w związku z art. 7 ust. 1 i 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r., poz. 1781), dalej: "u.o.d.o. z 2018 r.", art. 6 ust. 1 i art. 58 ust. 2 lit. b rozporządzenia Parlamentu Europejskiego i Rady UE 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z dnia 4 maja 2016 r., s. 1, Dz. Urz. UE L 127 z dnia 23 maja 2018 r., s. 2 oraz Dz. Urz. UE L 74 z dnia 4 marca 2021 r., s. 35), dalej: "RODO", udzielił [...] Towarzystwu Ubezpieczeń na Życie [...] S.A. z siedzibą w [...] (dalej: "Spółka", "strona skarżąca") upomnienia za naruszenie art. 6 ust. 1 RODO polegające na przetwarzaniu danych osobowych A. S. (dalej: "uczestnik postępowania") w zakresie adresu e-mail od dnia [...] grudnia 2022 r. do dnia [...] grudnia 2022 r. bez podstawy prawnej. W uzasadnieniu decyzji organ wskazał, że do UODO wpłynęła skarga A. S. na nieprawidłowości w procesie przetwarzania jego danych osobowych przez [...] Towarzystwo Ubezpieczeń na Życie [...] S.A. z siedzibą w [...] polegające na przetwarzaniu jego danych osobowych bez podstawy prawnej. A. S. w treści skargi wskazał, że na adres [...] otrzymał wiadomość e-mail wysłaną z adresu [...] zawierającą informację o zawarciu ubezpieczenia grupowego. Zaznaczył, że nie zawierał umów ze Spółką, dlatego na adres, z którego otrzymał wiadomość, zwrócił się z żądaniem usunięcia jego danych osobowych. Podany adres e-mail nie służy jednak do odbierania wiadomości. Z tego względu A. S. zwrócił się do Prezesa UODO z żądaniem usunięcia jego danych osobowych, w tym adresu e-mail [...] oraz jego aliasu [...]. Spółka wskazała, że adres mailowy [...] został wprowadzony do systemu informatycznego Spółki podczas procesu objęcia ochroną w ramach umowy ubezpieczenia grupowego. Adres mailowy [...] nie należy jednak do osoby, która złożyła deklarację przystąpienia. Pełnomocnik przepisując dane z papierowego wniosku do systemu informatycznego popełnił błąd w adresie e-mail wpisując "s" zamiast "5" i wskazał go jako adres do kontaktu. Spółka przetwarzała adres mailowy uczestnika postępowania w swoich systemach od dnia [...] grudnia 2022 r. Po otrzymaniu pisma w przedmiotowej sprawie Spółka zarejestrowała wniosek jako żądanie z art. 17 RODO i usunęła adres e-mail z systemów informatycznych w dniu [...] grudnia 2022 r. Informacja o usunięciu adresu e-mail została wysłana uczestnikowi postępowania w dniu [...] grudnia 2022 r. Wcześniej Spółka nie odnotowała wniosku A. S. z żądaniem usunięcia jego danych osobowych. Spółka wskazała, że adres [...] nie jest skrzynką systemową i służy jedynie do wysyłki wiadomości, nie odbiera maili i nie służy do kontaktu ze Spółką (ma charakter noreplay). Spółka wskazała, że dane A. S. w zakresie pozyskanym w niniejszym postępowaniu będą przetwarzane przez Spółkę jako udokumentowanie czynności podjętych w celu udzielenia odpowiedzi, na podstawie art. 6 ust. 1 lit. c RODO w celu wykonania obowiązku prawnego ciążącego na administratorze (art. 31 RODO) oraz w celu wykonania żądania z praw osób określonych w art. 12 ust. 3 i art. 17 RODO i będą przechowane przez okres 5 lat od końca roku w którym wpłynęło żądanie. Uwzględniając powyższe Prezes UODO powołał art. 6 ust. 1 RODO, zgodnie z którym, przetwarzanie danych jest dopuszczalne tylko wtedy, gdy spełniona jest jedna z przesłanek wskazanych w tym przepisie. Katalog przesłanek wymienionych w art. 6 ust. 1 RODO jest zamknięty. Każda z przesłanek legalizujących proces przetwarzania danych osobowych ma charakter autonomiczny i niezależny. Oznacza to, że przesłanki te co do zasady są równoprawne, a zatem spełnienie co najmniej jednej z nich stanowi o zgodnym z prawem przetwarzaniu danych osobowych. Organ powołał również treść motywów 40 i 42 preambuły RODO. Wskazał nadto, że w myśl motywu preambuły 47 RODO, podstawą prawną przetwarzania danych mogą być prawnie uzasadnione interesy administratora, w tym administratora, któremu mogą zostać ujawnione dane osobowe, lub strony trzeciej, o ile w świetle rozsądnych oczekiwań osób, których dane dotyczą, opartych na ich powiązaniach z administratorem nadrzędne nie są interesy lub podstawowe prawa i wolności osoby, której dane dotyczą. Dalej organ powołał definicję danych osobowych zawartą w art. 4 pkt 1 RODO wskazując, że przepis ten stanowi o informacjach dotyczących osoby [już] "możliwej do zidentyfikowania", co wiąże się z działaniami "pośrednimi", w tym - za pomocą - danych o lokalizacji, czy też jednego lub kilku czynników ją określających, na równi z osobą bezpośrednio identyfikowaną. Wskazał również na treść motywu 26 preambuły RODO, który stanowi, że zasady ochrony danych powinny mieć zastosowanie do wszelkich informacji o zidentyfikowanych lub możliwych do identyfikowania osobach fizycznych. Spseudonimizowane dane osobowe, które przy użyciu dodatkowych informacji można przypisać osobie fizycznej, należy uznać za informacje o możliwej do zidentyfikowania osobie fizycznej. Aby stwierdzić, czy dana osoba fizyczna jest możliwa do zidentyfikowania, należy wziąć pod uwagę wszelkie rozsądnie prawdopodobne sposoby (w tym wyodrębnienie wpisów dotyczących tej samej osoby), w stosunku do których istnieje uzasadnione prawdopodobieństwo, iż zostaną wykorzystane przez administratora lub inną osobę w celu bezpośredniego lub pośredniego zidentyfikowania osoby fizycznej. Aby stwierdzić, czy dany sposób może być z uzasadnionym prawdopodobieństwem wykorzystany do zidentyfikowania danej osoby, należy wziąć pod uwagę wszelkie obiektywne czynniki, takie jak koszt i czas potrzebne do jej zidentyfikowania, oraz uwzględnić technologię dostępną w momencie przetwarzania danych, jak i postęp technologiczny. Organ odwołał się również do orzecznictwa sądów administracyjnych wskazując, że informacje, które bez nadzwyczajnego wysiłku i bez nieproporcjonalnie dużych nakładów dają się powiązać z określoną osobą, zwłaszcza przy wykorzystaniu łatwo osiągalnych źródeł powszechnie dostępnych, również należy zaliczyć do kategorii danych osobowych. Wskazał nadto na stanowisko Grupy Roboczej ds. ochrony danych powołanej na mocy art. 29 Dyrektywy 95/46/WE Parlamentu Europejskiego i Rady WE, zawarte w Opinii 4/2007, zgodnie z którym "Krajowe organy ds. ochrony danych osobowych zetknęły się ze sprawami, w których administrator twierdził, że przetwarza jedynie niekompletne informacje bez jakiejkolwiek wzmianki o nazwisku lub innym bezpośrednim czynniku identyfikującym i przekonywał, że dane nie powinny być uważane za dane osobowe i nie powinny podlegać przepisom dotyczącym ochrony danych osobowych. Jednak przetwarzanie takich informacji ma sens jedynie wtedy, jeżeli umożliwia zidentyfikowanie konkretnych osób i zastosowanie wobec nich określonego sposobu traktowania. W przypadkach gdy celem przetwarzania jest identyfikacja osób, można przypuszczać, że administratorzy lub inne zainteresowane osoby dysponują sposobami, "jakimi można się posłużyć" w celu zidentyfikowania osoby, której dane dotyczą. Twierdzenie, że osoby nie są możliwe do zidentyfikowania, podczas gdy celem przetwarzania danych jest właśnie ich identyfikacja, zawierałoby wewnętrzną sprzeczność. Dlatego informacje takie należy uważać za dotyczące osób możliwych do zidentyfikowania, a przetwarzanie ich powinno podlegać przepisom dotyczącym ochrony danych. Dodatkowo, zgodnie z ww. Opinią "(...) tożsamość osoby można ustalić bezpośrednio poprzez jej nazwisko lub pośrednio poprzez jej numer telefonu, numer rejestracyjny samochodu, numer ubezpieczenia społecznego, numer paszportu lub poprzez zestawienie istotnych kryteriów, które umożliwiają odróżnienie tej osoby poprzez zawężenie grupy, do której ona należy (wiek, zajęcie, miejsce zamieszkania, itp.)". Organ podniósł również, że w wyroku o sygn. C-101/2001 z dnia 6 listopada 2003 r. Europejski Trybunał Sprawiedliwości UE wskazał, że: "operacja polegająca na zamieszczeniu na stronie internetowej danych rożnych osób pozwalających je zidentyfikować za pomocą nazwiska albo innych środków, np. numeru telefonu lub informacji dotyczących ich warunków pracy i sposobów spędzania przez nie wolnego czasu stanowi przetwarzanie danych osobowych (...) w rozumieniu (...) dyrektywy 95/46". Zaznaczył, że ww. Wytyczne Grupy Roboczej ds. ochrony danych oraz wyrok w sprawie o sygn. C-101/2001 należy stosować do zapisów RODO, które zastąpiło w porządku prawnym ww. dyrektywę 95/46. Uwzględniając powyższe organ wskazał, że w przedmiotowej sprawie mamy do czynienia z pośrednią identyfikacją uczestnika postępowania poprzez jego adres e-mail. Podkreślił, że danymi osobowymi nie są wyłącznie informacje pozwalające na bezpośrednie określenie tożsamości danej osoby, ale także takie, które nie pozwalają na jej natychmiastową identyfikację, ale są, przy pewnym nakładzie kosztów, czasu i działań, wystarczające do jej ustalenia. Tym samym adres e-mail należy uznać za dane osobowe. Do wykorzystania adresu e-mail A. S. doszło na skutek błędu przy wprowadzaniu do systemu informatycznego adresu e-mail klienta Spółki. Niezależnie jednak od powyższego zaistniał proces przetwarzania danych osobowych, który został zakwestionowany w niniejszym postępowaniu. Prezes UODO wskazał, że na administratorze danych osobowych, którym w rozumieniu art. 4 pkt 7 RODO jest Spółka, ciąży obowiązek prawny przetwarzania danych osobowych zgodnie z obowiązującymi przepisami, a w szczególności obowiązek zapewnienia, by przetwarzanie odbywało się na podstawie co najmniej jednej z enumeratywnie wymienionych przesłanek art. 6 ust. 1 RODO. Przetwarzanie przez Spółkę adresu poczty internetowej uczestnika postępowania nie znajdowało oparcia w żadnej z przesłanek wymienionych w art. 6 ust. 1 RODO. W szczególności, co jednoznacznie wynika ze skargi, Spółka nie dysponowała zgodą na przetwarzanie danych osobowych A. S., w tym danych w zakresie adresu poczty internetowej, a zatem podstawy przedmiotowego przetwarzania nie mógł stanowić art. 6 ust. 1 lit. a RODO. Nie zachodziła również sytuacja określona w art. 6 ust. 1 lit. b RODO, gdyż Spółka nie wykazała, aby przetwarzanie było niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy. Na Spółce nie ciążył również obowiązek prawny, dla którego wypełnienia konieczne było przetwarzanie danych uczestnika postępowania (art. 6 ust. 1 lit. c RODO). W niniejszej sprawie nie znalazły również zastosowania przesłanki legalizujące proces przetwarzania danych określone w art. 6 ust. 1 lit. d i e RODO, ponieważ przetwarzanie danych nie było niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą lub innej osoby fizycznej, ani do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi. Przetwarzanie danych osobowych uczestnika postępowania przez Spółkę nie mogło odbywać się także na podstawie przesłanki wskazanej w art. 6 ust. 1 lit. f RODO, ponieważ nie wykazał on istnienia interesu prawnego, który uzasadniałby przetwarzanie danych w kwestionowany przez uczestnika postępowania sposób. A. S. nie mógł w świetle swoich rozsądnych oczekiwań spodziewać się jakiegokolwiek kontaktu ze strony Spółki. Pomiędzy nim i Spółką nie było bowiem jakichkolwiek powiązań. Uwzględniając powyższe organ stwierdził, że Spółka naruszyła zasadę zgodności z prawem i prawidłowości (art. 5 ust. 1 lit. a RODO). Zaznaczył, że to na Spółce będącej administratorem danych spoczywa obowiązek podjęcia odpowiednich działań i wdrożenia mechanizmów identyfikacji, które zagwarantują prawidłowość przetwarzanych danych. Odnosząc się do stanowiska Spółki, że dane osobowe uczestnika postępowania będą przetwarzane w związku z przedmiotowym postępowaniem organ wskazał, że dane osobowe mogą być przetwarzane przez okres niezbędny do realizacji celu, zatem zakończenie postępowania administracyjnego powoduje wygaśnięcie tego celu przetwarzania. Końcowo organ wskazał, że postępowanie administracyjne prowadzone przez Prezesa UODO służy kontroli zgodności przetwarzania danych z przepisami o ochronie danych osobowych i jest ukierunkowane na wydanie decyzji administracyjnej przywracającej stan zgodny z prawem na podstawie art. 58 ust. 2 RODO. Ocena dokonywana przez Prezesa UODO w każdym przypadku służy zbadaniu zasadności skierowania pod adresem określonego podmiotu nakazu odpowiadającego dyspozycji art. 58 ust. 2 RODO służącego przywróceniu stanu zgodnego z prawem w procesie przetwarzania danych - jest więc ona uzasadniona i potrzebna tylko o tyle, o ile nieprawidłowości w procesie przetwarzania danych osobowych istnieją. W ocenie Prezesa UODO zachodzą podstawy do stwierdzenia, że w niniejszej sprawie takie nieprawidłowości zaistniały, ponieważ kwestionowane przez A. S. przetwarzanie przez Spółkę jego danych osobowych w zakresie adresu poczty internetowej w okresie od dnia [...] grudnia 2022 r. do dnia [...] grudnia 2022 r. nie znajdowało oparcia w żadnej z przesłanek z art. 6 ust. 1 RODO. Aktualnie proces powyższy nie jest kontynuowany, wobec czego organ skorzystał z uprawnienia przewidzianego w art. 58 ust. 2 lit. b RODO i udzielił Spółce upomnienia. W skardze na powyższą decyzję, Spółka, reprezentowana przez pełnomocnika, zarzuciła: 1) naruszenie prawa materialnego poprzez błędną wykładnię art. 4 pkt 2 w związku z art. 4 pkt 1 RODO polegającą na przyjęciu, że przetwarzaniem danych osobowych jest sytuacja, w której na skutek pomyłki, w sposób całkowicie nieintencjonalny, dojdzie do "wytworzenia" ciągu znaków odpowiadającego (obiektywnie) adresowi e-mail konkretnej osoby, mimo iż wcześniej podmiot nie pozyskał i nie przetwarzał żadnych innych danych osobowych tej osoby - a w konsekwencji błędne przyjęcie, że Spółka przetwarzała dane osobowe A. S. i że w tym procesie przetwarzania doszło do nieprawidłowości; 2) naruszenie prawa materialnego poprzez błędną wykładnię art. 4 pkt 1 RODO polegającą na przyjęciu, że daną osobową jest również taka (pojedyncza) informacja, co do której podmiot nią dysponujący w ogóle nie posiada wiedzy, że dotyczy ona lub może dotyczyć jakiejś konkretnej osoby oraz której to informacji podmiot ten nie jest w stanie (nawet pośrednio) powiązać z osobą, której informacja dotyczy, gdyż nie dysponuje żadnymi innymi informacjami odnośnie tej osoby - a w konsekwencji błędne przyjęcie, że "wytworzony" na skutek pomyłki adres e-mail [...] stanowił daną osobową podlegającą ochronie na gruncie RODO; 3) naruszenie prawa materialnego poprzez błędną wykładnię art. 58 ust. 2 lit. b RODO polegającą na przyjęciu, że udzielenie upomnienia jest dopuszczalne nie tylko w celu usunięcia istniejącego stanu niezgodności z RODO, ale że może być również stosowane w momencie, w którym żaden stan niezgodności z przepisami już nie występuje - a w konsekwencji naruszenie przepisu postępowania mające istotny wpływ na wynik sprawy, to jest art. 105 § 1 k.p.a. polegające na nie umorzeniu postępowania administracyjnego pomimo bezprzedmiotowości postępowania. W związku z powyższymi zarzutami strona skarżąca wniosła o: - uchylenie zaskarżonej decyzji w całości oraz umorzenie postępowania w sprawie skargi A. S. na nieprawidłowości w procesie przetwarzania jego danych osobowych przez stronę skarżącą, polegające na przetwarzaniu jego danych osobowych bez podstawy prawnej, - zasądzenie od organu na rzecz strony skarżącej zwrotu kosztów postępowania, w tym zwrotu kosztów zastępstwa procesowego według norm przepisanych. W motywach skargi strona skarżąca podniosła, iż według organu, informacja jest uznawana za dane osobowe nie tylko wtedy, gdy podmiot posiadający tę informację może ustalić tożsamość osoby, której ona dotyczy, ale wystarczy, że istnieje możliwość, iż ktokolwiek, w dowolnym czasie, teoretycznie mógłby dokonać takiego powiązania, na przykład dysponując dodatkowymi danymi. Tymczasem w zaistniałym stanie faktycznym: - nie istniało najmniejsze nawet prawdopodobieństwo, aby Spółka miała podejmować próby ustalenia tożsamości właściciela spornego adresu e-mail (nie było to Spółce do niczego potrzebne; A. S. nie był klientem [...]); - nie jest możliwe zidentyfikowanie właściciela adresu wyłącznie na podstawie samej nazwy w sytuacji, gdy adres ten nie zawiera imienia ani nazwiska, a ponadto, gdy żadnymi innymi danymi, które w jakikolwiek sposób można by powiązać z tym adresem, [...] nie dysponowała; - Spółce nie są znane metody, w oparciu o które możliwe jest zidentyfikowanie właściciela adresu e-mail (niezawierającego jego imienia ani nazwiska) bez posiadania jakichkolwiek innych danych "pomocniczych". Z uzasadnienia zaskarżonej decyzji wynika, że organ interpretuje przesłankę "pośredniej identyfikacji" jako możliwość czysto teoretyczną, nie wymagającą oceny realności takiego scenariusza. Przy takiej wykładni definicji danych osobowych, oderwanej od realnych możliwości dokonania powiązania pomiędzy posiadaną informacją i konkretną osobą, należałoby uznać za zbędny ten element definicji z art. 4 pkt 1 RODO, który mówi o osobie "zidentyfikowanej lub możliwej do zidentyfikowania". Gdyby przyjąć wykładnię zastosowaną przez organ - daną osobową byłaby po prostu każda informacja, która obiektywnie dotyczy jakiejś osoby (nawet jeśli posiadacz informacji o tym nie wie). Spółka podniosła również, że w stanie faktycznym niniejszej sprawy, w procesie zawierania umowy ubezpieczenia adres e-mail [...] został wprawdzie faktycznie wprowadzony do systemu Spółki, jednakże nie został pozyskany jako dana osobowa - ani bezpośrednio od A. S., ani od innej osoby. Okoliczność, że ciąg znaków wprowadzonych do systemu odpowiadał - jak się później okazało - ciągowi znaków występujących w adresie e-mail A. S., była przypadkowym rezultatem zwykłego błędu: pomylenia cyfry "5" z literą "S" przez osobę odczytującą pismo ręczne. W procesie zawierania umowy ubezpieczenia z innym klientem Spółka przez przypadek "wytworzyła" informację odpowiadającą treścią istniejącemu adresowi e-mail. Skarżąca wskazała, że o "przetwarzaniu danych osobowych" można mówić wyłącznie w odniesieniu do tych danych, które zostały w takim charakterze pozyskane - ktoś przekazał te dane administratorowi jako odnoszące się do konkretnej osoby fizycznej. Nie można mówić o "przetwarzaniu danych osobowych" w przypadku, gdy podmiot nie tylko nie wie, że pewna informacja ma status danej osobowej określonej osoby, ale nawet nie ma wiedzy o istnieniu tej osoby ani nie miał i nie ma zamiaru przetwarzania jej danych. Bez świadomości, że pozyskano dane osobowe konkretnych osób, niemożliwe byłoby wykonanie przez administratora pierwszego, podstawowego obowiązku wobec podmiotów danych, jakim jest złożenie oświadczenia administratora danych. Informacja wytworzona samodzielnie przez administratora (nie pozyskana z zewnątrz) może teoretycznie uzyskać status danej osobowej, ale wyłącznie w odniesieniu do uprzednio zidentyfikowanej osoby, której danymi w jakimś (innym) zakresie administrator już dysponował. Taka "wytworzona dana" poszerzałaby wówczas zakres informacji przetwarzanych przez administratora jako dotyczących zidentyfikowanej lub możliwej do zidentyfikowania osoby. Jednakże początkiem przetwarzania danych osobowych konkretnej osoby zawsze musi być informacja pozyskana z zewnątrz i dotycząca konkretnej, istniejącej osoby. Z tego względu, nawet gdyby przyjąć, że adres e-mail [...] wpisany do systemu Skarżącej stanowił daną osobową A. S. ze względu na obiektywną (choć niezamierzoną) zgodność ciągu znaków powstałego w wyniku pomyłki z faktycznie istniejącym adresem e-mail, to Skarżąca takiej danej nie przetwarzała w rozumieniu art. 4 pkt 2 RODO. Skarżąca podniosła również, że zgodnie z art. 58 ust. 2 RODO organowi przysługują określone uprawnienia naprawcze, przy czym kolejność, w jakiej uprawnienia te zostały wymienione w tym przepisie, nie jest przypadkowa - uszeregowano je od najlżejszych do najsurowszych. Wszystkie mają jedną wspólną przesłankę - mają zmierzać do naprawienia sytuacji, w której aktualnie występuje jakieś uchybienie w zakresie zgodności przetwarzania danych osobowych z wymogami RODO. Uprawnienia organu z art. 58 ust. 2 RODO nie mają charakteru sankcyjnego - nie mają służyć ukaraniu administratora za popełnione w przeszłości naruszenie, ale mają doprowadzić do tego, aby administrator usunął stan naruszenia przepisów, który istnieje w momencie podejmowania przez organ stosownej interwencji. W związku z tym w sytuacji, w której stan naruszenia nie istnieje w dacie wydawania decyzji (Skarżąca usunęła adres [...] z systemów informatycznych w dniu [...] grudnia 2022 r.), nawet jeżeli taki stan istniał wcześniej, dalsze postępowanie w trybie art. 58 ust. 2 RODO jest bezprzedmiotowe i powinno zostać umorzone. W odpowiedzi na skargę Prezes UODO wniósł o oddalenie skargi podtrzymując stanowisko jak w zaskarżonej decyzji. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: Zgodnie z art. 1 § 1 i § 2 ustawy z dnia 25 lipca 2002 r. - Prawo o ustroju sądów administracyjnych (Dz. U. z 2024 r., poz. 1267 ze zm.), dalej: "p.u.s.a." oraz art. 3 § 1 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2024 r., poz. 935 ze zm.), dalej: "p.p.s.a.", sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej. W myśl art. 134 § 1 p.p.s.a., sąd rozstrzyga w granicach danej sprawy nie będąc związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną, z zastrzeżeniem art. 57a. Sąd nie może wydać orzeczenia na niekorzyść skarżącego, chyba że stwierdzi naruszenie prawa skutkujące stwierdzeniem nieważności zaskarżonego aktu lub czynności (§ 2). Oceniając skargę w świetle powyższych kryteriów Sąd stwierdził, że podlega ona uwzględnieniu, bowiem zaskarżona decyzja Prezesa UODO z dnia [...] lutego 2025r. została wydana z naruszeniem prawa. Zaskarżoną decyzją Prezes UODO udzielił Spółce [...] upomnienia za naruszenie art. 6 ust. 1 RODO polegające na "przetwarzaniu danych osobowych A. S. w zakresie adresu e-mail od dnia [...] grudnia 2022 r. do dnia [...] grudnia 2022 r. bez postawy prawnej". Sentencja ww. decyzji wskazuje w sposób jednoznaczny, że w ocenie organu w okolicznościach rozpoznawanej sprawy zaistniał proces przetwarzania przez Spółkę danych osobowych (w postaci adresu e-mail) tej konkretnej osoby, tj. uczestnika postępowania. Uzasadnienie zaskarżonej decyzji nie wyjaśnia jednak toku rozumowania organu, który doprowadził do podjęcia rozstrzygnięcia o powołanej wyżej treści. W uzasadnieniu zaskarżonej decyzji organ zawarł obszerne wywody teoretyczne odnośnie definicji danych osobowych (art. 4 pkt 1 RODO) oraz legalności przetwarzania danych (art. 6 ust. 1 RODO) wskazując, że adres e-mail należy uznać za dane osobowe, bowiem stanowi on informację, która jakkolwiek nie pozwala na natychmiastową identyfikację danej osoby, to jednak - przy pewnym nakładzie kosztów, czasu i działań - jest wystarczająca do ustalenia tożsamości danej osoby. Organ stwierdził przy tym, że w przedmiotowej sprawie mamy do czynienia z pośrednią identyfikacją uczestnika postępowania poprzez jego adres e-mail. Wskazał również, że jakkolwiek do wykorzystania adresu e-mail uczestnika postępowania doszło na skutek błędu przy wprowadzaniu do systemu informatycznego adresu e-mail klienta Spółki, to jednak zaistniał proces przetwarzania danych osobowych uczestnika postępowania, który został zakwestionowany w niniejszym postępowaniu. W ocenie Sądu uzasadnienie zaskarżonej decyzji nie wyjaśnia z jakich względów organ uznał, że w niniejszej sprawie Spółka dokonała (pośredniej) identyfikacji uczestnika postępowania poprzez jego adres e-mail oraz na czym polegał proces przetwarzania danych osobowych (adresu e-mail) uczestnika postępowania przez Spółkę. Organ wprawdzie powołał okoliczności faktyczne sprawy, które nie są sporne między stronami, jednak nie dokonał ich należytej analizy w kontekście powołanych przepisów RODO. W konsekwencji błędnie uznał, że istnieją podstawy do udzielenia Spółce upomnienia za przetwarzanie danych osobowych uczestnika postępowania bez podstawy prawnej. Wskazać należy, że zgodnie z art. 4 pkt 1 RODO "dane osobowe" oznaczają wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej ("osobie, której dane dotyczą"); możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora takiego jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej. Jak wynika z ww. przepisu prawodawca unijny definiując dane osobowe podzielił je na dwie grupy. Pierwsza grupa jako dane osobowe traktuje wszelkie informacje o osobie zidentyfikowanej. Nie musi to zatem być informacja, która identyfikuje daną osobę, lecz informacja o takiej osobie. Co do zasady będzie to więc dodatkowa informacja o osobie, którą administrator już zidentyfikował i w tym znaczeniu poszerzająca zakres dostępnych dla administratora danych, które jej dotyczą. Chodzi zatem o wszystkie komunikaty, wyrażone i zapisane w jakikolwiek sposób, np.: znakami graficznymi, symbolami, w języku komputerowym, na fotografii na taśmie magnetofonowej lub magnetowidowej, których treść odnosi się do konkretnej osoby. Innymi słowy, jest to każda informacja, która dotyczy osoby, którą administrator danych może w sposób pewny wskazać bez konieczności podejmowania jakichkolwiek dalszych czynności w celu jej identyfikacji. Druga grupa wskazuje, że dane osobowe mają dotyczyć osoby możliwej do bezpośredniego lub pośredniego zidentyfikowania, w szczególności na podstawie identyfikatora takiego jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej. W motywie 26 RODO postanowiono, że aby stwierdzić, czy dana osoba fizyczna jest możliwa do zidentyfikowania, należy wziąć pod uwagę wszelkie rozsądnie prawdopodobne sposoby (w tym wyodrębnienie wpisów dotyczących tej samej osoby), w stosunku do których istnieje uzasadnione prawdopodobieństwo, iż zostaną wykorzystane przez administratora lub inną osobę w celu bezpośredniego lub pośredniego zidentyfikowania osoby fizycznej. Aby stwierdzić, czy dany sposób może być z uzasadnionym prawdopodobieństwem wykorzystany do zidentyfikowania danej osoby, należy wziąć pod uwagę wszelkie obiektywne czynniki, takie jak koszt i czas potrzebne do jej zidentyfikowania, oraz uwzględnić technologię dostępną w momencie przetwarzania danych, jak i postęp technologiczny (...). W świetle powyższego przyjąć należy, że dane osobowe umożliwiające zidentyfikowanie osoby fizycznej bezpośrednio to takie informacje, które same w sobie inkorporują treść pozwalającą na identyfikację tej osoby, bez konieczności integrowania (łączenia) tych danych z innymi informacjami. A contrario, danymi osobowymi umożliwiającymi zidentyfikowanie osoby fizycznej pośrednio, będą takie informacje, które w celu identyfikacji tej osoby należy treściowo zespolić z innymi informacjami. Zastrzec przy tym należy, iż nie jest wymagane, aby wszystkie dane umożlwiające zidentyfikowanie danej osoby fizycznej znajdowały się w dyspozycji jednego podmiotu. Potwierdzeniem przyjętych założeń jest treść art. 4 pkt 5 RODO w związku z motywem 26 RODO. Prawodawca unijny przyjął bowiem, że spseudonimizowane informacje, a więc takie, których nie można przypisać do konkretnej osoby fizycznej (art. 4 pkt 5 RODO) należy uznać, za informacje o możliwej do zidentyfikowania osobie fizycznej, jeżeli takie przypisanie jest możliwe, przy użyciu dodatkowych informacji (motyw 26). Dla ustalenia pośredniej możliwości identyfikacji osoby fizycznej istotne jest zatem to, czy administrator lub inna osoba ma możliwość treściowego skorelowania będącej w jego dyspozycji informacji z innymi, posiadanymi przez siebie lub inny podmiot informacjami, tworząc w ten sposób zbiór danych identyfikujących daną osobę fizyczną. Za dane osobowe należy zatem uznać informację, która po połączeniu z innymi informacjami (informacją), pozwala zidentyfikować daną osobę fizyczną albo administratorowi tej informacji, albo innemu podmiotowi, który ją od administratora pozyskał. Jak wskazał Naczelny Sąd Administracyjny w wyroku z dnia 14 stycznia 2025r., sygn. akt III OSK 6041/21 (CBOSA) "możliwa do zidentyfikowania osoba fizyczna" w rozumieniu art. 4 pkt 1 RODO w związku z motywem 26 to osoba, w stosunku do której istnieje "możliwość" połączenia dotyczących jej "informacji podstawowej" z "informacjami dodatkowymi" i przez to ustalenia jej tożsamości. "Możliwość" zidentyfikowania danej osoby fizycznej odnosi się więc do samej dostępności zagregowania "informacji podstawowej" z "informacjami dodatkowymi". Nie odnosi się natomiast do rezultatu tej agregacji. Przez "możliwość" zidentyfikowania danej osoby fizycznej należy więc rozumieć dostępność połączenia "informacji zasadniczej" z "informacjami dodatkowymi", których rezultatem zawsze będzie zidentyfikowanie tej osoby. "Możliwość" zidentyfikowania danej osoby fizycznej nie oznacza więc niepewności co do rezultatów połączenia "informacji zasadniczej" z "informacjami dodatkowymi", ta bowiem jest z założenia wykluczona. Odnosi się ona do dostępności działań integrujących te informacje w celu identyfikacji danej osoby fizycznej. "Możliwa" do zidentyfikowania będzie więc taka osoba fizyczna, w stosunku do której albo administrator, albo "inna osoba" będą posiadali dostęp do połączenia dotyczących ją "informacji zasadniczej" i "informacji dodatkowych" w rezultacie czego, dojdzie do ustalenia jej tożsamości. Prezentowanych wniosków, jak wskazał NSA, nie podważają użyte w motywie 26 zwroty: "rozsądnie prawdopodobne sposoby" i "uzasadnione prawdopodobieństwo". W przywołanych zwrotach prawdopodobieństwo, a zatem nie pewność, lecz potencjalność, dotyczy samych metod/form połączenia "informacji zasadniczej" z "informacjami dodatkowymi" oraz potencjalności ich wykorzystania. "Rozsądnie prawdopodobne sposoby" należy więc korelować z racjonalnością każdej z możliwych dla administratora lub "innej osoby" metod integracji "informacji zasadniczej" z "informacjami dodatkowymi". Z kolei "uzasadnione prawdopodobieństwo" odnosić trzeba do przewidywalności skorzystania z tych metod przez te podmioty. Omawiane zwroty stanowią koordynaty dla formułowania ocen, co do tego, czy dostępne dla administratora lub "innej osoby" sposoby połączenia "informacji zasadniczej" z "informacjami dodatkowymi" nie są dla tych podmiotów zbyt kosztowne w sensie finansowym, czasowym, infrastrukturalnym, etc., w stosunku do efektów (korzyści), jakie spowoduje identyfikacja osoby fizycznej, której te informacje dotyczą. Zaznaczyć przy tym należy, że chodzi oczywiście o sposoby zgodne z prawem. Świadczy to jednoznacznie o tym, że kwalifikacja danej informacji jako umożliwiającej identyfikację danej osoby fizycznej nie opiera się wyłącznie na jej treści, ale również na potencjale konkretnego podmiotu, który nią dysponuje do połączenia jej z "informacjami dodatkowymi". Podobne stanowisko odnośnie sposobu interpretacji art. 4 pkt 1 RODO (pośredniej możliwości identyfikacji osoby fizycznej) NSA przedstawił również w wyroku z dnia 15 października 2025 r., sygn. akt III OSK 2357/22. Przedstawione wyżej poglądy Naczelnego Sądu Administracyjnego mają istotne znaczenie dla niniejszej sprawy. Zauważyć bowiem należy, że Spółka, na skutek omyłki pracownika wprowadzającego do systemu informatycznego dane klienta Spółki, "wytworzyła" ciąg znaków odpowiadający (obiektywnie) adresowi e-mail osoby fizycznej (uczestnika postępowania). Spółka, jak wynika z akt sprawy, nie posiadała wiedzy co do tego, że omyłkowo wytworzony ciąg znaków stanowi adres e-mail należący do uczestnika postępowania. Spółka nie posiadała też innych informacji pozwalających jej na przypisanie wytworzonego adresu e-mail do uczestnika postępowania. Co więcej, Spółka nie miała świadomości, że wiadomość e-mail z dnia [...] grudnia 2022 r. skierowała do uczestnika postępowania (a nie do klienta Spółki). Nie można zatem przyjąć, że Spółka miała zamiar podejmować jakiekolwiek działania w celu identyfikacji właściciela wytworzonego adresu e-mail zwłaszcza w sytuacji, gdy do dnia [...] grudnia 2022 r., tj. do daty otrzymania pisma organu z dnia [...] grudnia 2022r., zawierającego wezwanie do ustosunkowania się do treści skargi uczestnika postępowania oraz kopii skargi, nie miała wiedzy o tym, że na skutek przypadkowego wytworzenia adresu e-mail, wiadomość nie została wysłana do klienta Spółki, lecz do uczestnika postępowania. Rację ma zatem Spółka podnosząc w skardze, że nie istniało prawdopodobieństwo co do tego, aby Spółka miała podejmować próby ustalenia tożsamości właściciela omyłkowo wytworzonego adresu e-mail. Rację ma również twierdząc, że nie jest też możliwe zidentyfikowanie właściciela adresu e-mail wyłącznie na podstawie tego adresu (ciągu znaków) w sytuacji, gdy adres ten nie zawiera imienia ani nazwiska, a Spółka nie dysponowała żadnymi innymi danymi, które w jakikolwiek sposób można by powiązać z tym adresem. Trudno więc wskazać sposoby, w oparciu o które możliwe byłoby zidentyfikowanie właściciela adresu e-mail (niezawierającego jego imienia ani nazwiska) bez posiadania jakichkolwiek innych "informacji dodatkowych". Co istotne, organ w uzasadnieniu zaskarżonej decyzji takich sposobów nie wymienił. Organ wskazał jedynie ogólnie na "pewne nakłady kosztów, czasu i działań", które miałyby być wystarczające do określenia tożsamości "danej osoby", jednak nie skonkretyzował tych argumentów poprzez odniesienie ich do okoliczności faktycznych niniejszej sprawy. Podsumowując tę część rozważań nie sposób podzielić stanowiska organu, że omyłkowo wytworzony przez Spółkę ciąg znaków, obiektywnie odpowiadający adresowi e-mail uczestnika postępowania, stanowi dane osobowe umożliwiające zidentyfikowanie osoby fizycznej. Dopóki bowiem Spółka nie miała świadomości, że jest w posiadaniu adresu e-mail nie należącego do klienta Spółki, a ponadto nie miała dostępu do "informacji dodatkowych" pozwalających jej na stwierdzenie, że adres e-mail należy do uczestnika postępowania, a jednocześnie celem Spółki nie było ustalenie tożsamości uczestnika postępowania, dopóty nie można przyjąć, że Spółka posiadała dane osobowe uczestnika postępowania. W ocenie Sądu, bez istotnego znaczenia dla powyższej konkluzji pozostaje wyrok ETS z dnia 6 listopada 2003 r. o sygn. C-101/01 (ECR 2003/11A/I-12971 ETS), w którym stwierdzono, że "operacja polegająca na zamieszczeniu na stronie internetowej danych różnych osób pozwalających je zidentyfikować za pomocą nazwiska albo innych środków, np. numeru telefonu lub informacji dotyczących ich warunków pracy i sposobów spędzania przez nie wolnego czasu stanowi przetwarzanie danych osobowych w całości lub w części w sposób zautomatyzowany w rozumieniu art. 3 ust. 1 dyrektywy 95/46 - pkt 27 wyroku. Powyższe stanowisko ETS wyraził po uprzedniej konkluzji, że termin dane osobowe, jako wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej odnosi się "bez wątpienia do nazwiska osoby w połączeniu z jej numerem telefonu lub informacjami dotyczącymi jej warunków pracy czy sposobów spędzania przez nią wolnego czasu" - pkt 24 wyroku. Trybunał wprost więc przyjął, że numer telefonu będzie stanowił dane osobowe, jeżeli zostanie połączony z informacjami dodatkowymi, identyfikującymi osobę fizyczną, do której należy. W niniejszej sprawie nie ma również zastosowania stanowisko Grupy Roboczej ds. ochrony danych powołanej na mocy art. 29 Dyrektywy 95/46/WE Parlamentu Europejskiego i Rady WE, zawarte w Opinii 4/2007, zgodnie z którym "Krajowe organy ds. ochrony danych osobowych zetknęły się ze sprawami, w których administrator twierdził, że przetwarza jedynie niekompletne informacje bez jakiejkolwiek wzmianki o nazwisku lub innym bezpośrednim czynniku identyfikującym i przekonywał, że dane nie powinny być uważane za dane osobowe i nie powinny podlegać przepisom dotyczącym ochrony danych osobowych. Jednak przetwarzanie takich informacji ma sens jedynie wtedy, jeżeli umożliwia zidentyfikowanie konkretnych osób i zastosowanie wobec nich określonego sposobu traktowania. W przypadkach gdy celem przetwarzania jest identyfikacja osób, można przypuszczać, że administratorzy lub inne zainteresowane osoby dysponują sposobami, "jakimi można się posłużyć" w celu zidentyfikowania osoby, której dane dotyczą. Twierdzenie, że osoby nie są możliwe do zidentyfikowania, podczas gdy celem przetwarzania danych jest właśnie ich identyfikacja, zawierałoby wewnętrzną sprzeczność (...)". W niniejszej sprawie nie sposób przyjąć, że celem przetwarzania danych osobowych (adresu e-mail) była identyfikacja uczestnika postępowania jako jego właściciela. Adres ten, jak już wyżej podkreślano, został wygenerowany na skutek omyłki pracownika Spółki. W konsekwencji wiadomość e-mail Spółki z dnia [...] grudnia 2022 r. została również skierowana do uczestnika postępowania na skutek omyłki. Z materiału dowodowego zgromadzonego w sprawie w żaden sposób nie wynika, że Spółka miała na celu pozyskanie innych, dodatkowych danych uczestnika postępowania, w konsekwencji jego identyfikację. To zaś, że dane te zostały zawarte w skardze do Prezesa UODO, której kopię Spółka otrzymała w dniu [...] grudnia 2022r. (jak podnosił organ w odpowiedzi na skargę), nie oznacza, że Spółka dopuściła się przetwarzania "danych osobowych" uczestnika postępowania (w postaci adresu e-mail), w zakreślonym w sentencji decyzji okresie, bez podstawy prawnej. Niezależnie od powyższego zauważyć należy, że zgodnie z art. 4 pkt 2 RODO "przetwarzanie" oznacza operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, taką jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie. Przepis ten wymienia przykładowe czynności wchodzące w skład definiowanego pojęcia, które muszą spełniać następujące przesłanki: stanowić operację lub zestaw operacji, być wykonywane na danych osobowych lub zestawach danych osobowych, następować w sposób zautomatyzowany lub niezautomatyzowany. Czynności te zakreślają nadto ramy czasowe, w których może mieć miejsce przetwarzanie danych, tj. począwszy od ich "zbierania" aż do "usuwania" i "niszczenia". Czynności faktyczne, które poprzedzają moment zebrania danych, nie mieszczą się w pojęciu przetwarzania danych osobowych (por. wyrok NSA z dnia 28 czerwca 2011r., sygn. akt I OSK 1264/10; CBOSA). W uzasadnieniu zaskarżonej decyzji organ stwierdził, że "zaistniał proces przetwarzania danych" uczestnika postępowania, jednak nie wyjaśnił, na czym proces ten polegał, a konkretnie, na czym polegała operacja przetwarzania danych w okolicznościach faktycznych sprawy. Przypomnieć w związku z tym należy, że jak wynika z niepodważonych przez organ wyjaśnień Spółki, nie pozyskała ona danych osobowych uczestnika postępowania (w postaci adresu e-mail) z jakiegokolwiek źródła. Informacja ta powstała przypadkowo - została wygenerowana i wprowadzona do systemu informatycznego na skutek omyłki pracownika, który przepisując ciąg znaków składających się na adres e-mail klienta Spółki dokonał zamiany cyfry "5" na literę "s". Informacja ta nie została zatem zaciągnięta z jakiegokolwiek zewnętrznego systemu czy bazy danych, nie pochodzi z zewnętrznego źródła. Nie można zatem przyjąć, że doszło do zebrania (pozyskania) przez Spółkę danych osobowych uczestnika postępowania (adresu e-mail), a tylko w takiej sytuacji - jak wskazano powyżej - mógłby zaistnieć proces przetwarzania tych danych. Nie można też zgodzić się z twierdzeniem organu, że doszło do "wykorzystania" adresu e-mail uczestnika postępowania przez Spółkę. Wprawdzie przepis art. 4 ust. 2 RODO wymienia "wykorzystywanie" danych jako operację przetwarzania, jednak po pierwsze, wykorzystywanie stanowi konsekwencję zebrania (pozyskania) danych, a po drugie jest formą użycia danych do określonego celu (zgodnie ze Słownikiem Języka Polskiego PWN wykorzystywanie (wykorzystanie) oznacza "użycie czegoś dla osiągniecia określonego celu"; http://sip.pwn.pl). Z okoliczności faktycznych sprawy nie wynika, aby Spółka użyła wygenerowanej przez siebie informacji (adresu e-mail) w jakimś konkretnym celu, w szczególności dla identyfikacji uczestnika postępowania. Spółka wytworzyła tę informację przypadkowo, na skutek omyłki. Nie miała przy tym świadomości, że wysyłając wiadomość e-mail może nawiązać kontakt z uczestnikiem postępowania. Spółka, jak podnosiła w skardze, nie miała zamiaru nawiązywać kontaktu z uczestnikiem postępowania, ani tym bardziej pozyskiwać jego danych osobowych. Nie sposób w związku z tym uznać, jak uczynił to organ, że w okolicznościach sprawy doszło do "przetwarzania" przez Spółkę danych osobowych A. S. w zakresie adresu e-mail. Nie sposób tym samym przyjąć, że przetwarzanie danych miało miejsce bez podstawy prawnej, a więc z naruszeniem art. 6 ust. 1 RODO. W ocenie Sądu, proces przetwarzania danych osobowych uczestnika postępowania w tym konkretnym przypadku w ogóle nie zaistniał, a zatem brak było podstaw do udzielenia Spółce upomnienia za niezgodnie z prawem przetwarzanie danych osobowych. Podsumowując stwierdzić należy, że wydając zaskarżoną decyzję organ dopuścił się naruszenia art. 4 pkt 1 i pkt 2 RODO i art. 6 ust. 1 RODO w związku z art. 58 ust. 2 lit. b RODO. Błędnie bowiem przyjął, że w Spółka przetwarzała dane osobowe uczestnika postępowania w zakresie adresu e-mail bez podstawy prawnej. Z tych przyczyn zaskarżona decyzja podlegała uchyleniu. Sąd zważył również, że przedmiotem skargi uczestnika postępowania skierowanej do Prezesa UODO było naruszenie przez Spółkę art. 17 RODO oraz żądanie nakazania Spółce usunięcia adresu e-mail. Z akt sprawy wynika natomiast, że Spółka usunęła rzeczony adres e-mail w dniu [...] grudnia 2022 r. Mając na względzie wszystko powyższe, Wojewódzki Sąd Administracyjny w Warszawie, na podstawie art. 145 § 1 pkt 1 lit. a i c p.p.s.a., orzekł jak w punkcie 1 sentencji wyroku. O kosztach postępowania obejmujących wpis od skargi (200 złotych) oraz wynagrodzenie pełnomocnika strony skarżącej w stawce minimalnej (480 złotych) wraz z opłatą skarbową od pełnomocnictwa (17 złotych) Sąd postanowił na podstawie art. 200 i art. 205 § 2 p.p.s.a., jak w punkcie 2 sentencji wyroku.