II SA/Wa 84/25

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Danuta Kania, Sędzia WSA Joanna Kruszewska-Grońska, Asesor WSA Anna Pośpiech-Kłak (spr.), , po rozpoznaniu w trybie uproszczonym w dniu 2 lipca 2025 r. sprawy ze skargi E.J. na postanowienie Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] czerwca 2024 r. nr [...] w przedmiocie odmowy wszczęcia postępowania oddala skargę Prezes Urzędu Ochrony Danych Osobowych, zw. dalej "PUODO", postanowieniem z dnia [...] listopada 2024 r. nr [...], na podstawie art. 61 a § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz.U. z 2024 r. poz. 572), zw. dalej "k.p.a." w zw. z art. 7 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz.U. z 2019 r. poz. 1781) oraz art. 57 ust. 4 rozporządzenia Parlamentu Europejskiego i Rady UE 2016/679 z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólnego rozporządzenia o ochronie danych) (Dz. Urz. UE L 119 z 4.05.2016, str. 1, Dz. Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35), zw. dalej "RODO", odmówił wszczęcia postępowania w sprawie ze skargi E.J., zw. dalej "skarżącą", dotycząca nieprawidłowości w procesie przetwarzania jej danych osobowych przez [...] S.A. z siedzibą w [...], zw. dalej "Bankiem" oraz przez B.G. i M.W. - członków zarządu [...] S.A. z siedzibą w [...], zw. dalej "skarżonymi". Powyższe rozstrzygnięcie zostało podjęte w następującym stanie faktycznym i prawnym sprawy: Do PUODO wpłynęła skarga E.J. dotycząca nieprawidłowości w procesie przetwarzania jej danych osobowych przez Bank oraz przez B.G. i M.W. - członków zarządu Banku poprzez bezprawne wykorzystanie jej danych osobowych w celach prywatnych. Skarżąca wskazała, że Bank jest administratorem jej danych osobowych w związku ze świadczeniem na jej rzecz usług bankowych. Członkowie zaś zarządu w dniu [...] sierpnia 2020 r. złożyli pismo do Komendy Rejonowej Policji [...] ([...]), w którym – jej zdaniem - zawarli nieprawdziwe informacje jej dotyczące. Dlatego też skarżąca przekazała "Radzie Nadzorczej TBP i Przewodniczącemu Komisji Nadzoru Finansowego jako organom nadzorującym działalność Zarządu TBP informację, że B.G. i M.W. składają organom ścigania nieprawdziwe informacje. W odpowiedzi otrzymałam prywatny pozew B.G. i M.W. o ochronę dóbr osobistych" Skarżąca podniosła, że B.G. i M.W. wykorzystali jej dane osobowe w pozwie o ochronę dóbr osobistych, który został oddalony wyrokiem Sądu Okręgowego w [...] z dnia [...] sierpnia 2024 r. sygn. akt [...]). W związku z taką sekwencją zdarzeń skarżąca wniosła o wszczęcie postępowania z związku z bezprawnym wykorzystywaniem jej danych osobowych w celach prywatnych członków zarządu Banku B.G. i M.W. Podniosła również brak należytej ochrony jej danych osobowych przez Bank; jak również brakiem zawiadomienia PUODO i jej o bezprawnym użyciu jej danych osobowych przez ww. osoby oraz stwierdzenie naruszenia przez Bank, B.G. i M.W. przepisów RODO. Mając te ustalenia na uwadze PUODO przywołał treść art. 61 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2024 r. poz. 572), zw. dalej "k.p.a.", w świetle którego postępowanie administracyjne wszczyna się na żądanie strony lub z urzędu. Natomiast gdy żądanie, o którym mowa w art. 61 k.p.a., zostało wniesione przez osobę niebędącą stroną lub z innych uzasadnionych przyczyn postępowanie nie może być wszczęte, organ administracji publicznej wydaje postanowienie o odmowie wszczęcia postępowania (art. 61a § 1 k.p.a.). W świetle art. 57 ust. 4 RODO jeżeli żądanie jest w sposób oczywisty nieuzasadnione lub nadmierne, w szczególności ze względu na swą powtarzalność, organ nadzorczy może pobrać opłatę w rozsądnej wysokości wynikającej z kosztów administracyjnych lub może odmówić podjęcia żądanych działań. Obowiązek wykazania, że żądanie jest w sposób oczywisty nieuzasadnione lub nadmierne, spoczywa na organie nadzorczym. Z uwagi na obowiązek wykazania przez organ nadzorczy, że żądanie strony jest w sposób oczywisty nieuzasadnione lub nadmierne - powoduje, że organ zobowiązany jest do dokonania oceny tego żądania. W konsekwencji ocena dokonywana na podstawie art. 57 ust. 4 RODO musi sięgać dalej, aniżeli ta dokonywana w ramach art. 61 a § 1 k.p.a. O ile art. 61 a § 1 k.p.a. obliguje do odmowy podjęcia działań, gdy formalne przeszkody do wszczęcia postępowania widać na pierwszy rzut oka, to art. 57 ust. 4 RODO wymaga dokonania oceny żądania stanowiącego podstawę wszczęcia postępowania. PUODO zaznaczył również, że może podejmować tylko te czynności, które znajdują się w zakresie jego uprawnień oraz tylko w tych sprawach, które należą do jego właściwości. Uprawnienia te i właściwość wynikają z RODO, ustawy o ochronie danych osobowych z dnia 10 maja 2018 r., ale także z szeregu regulacji szczegółowych, które wskazują na ograniczenia kompetencji PUODO w odniesieniu do przetwarzania danych przez określone podmioty bądź w określonych okolicznościach. Skarżąca podnosi nieprawidłowości w procesie przetwarzania jej danych osobowych przez Bank (będący administratorem jej danych osobowych) oraz przez członków zarządu tego Banku, którzy do celów prywatnych posłużył się jej danymi osobowymi w postępowaniu sądowym o ochronę dóbr osobistych. PUODO podkreślił, że w sprawach cywilnych, zgodnie z art. 232 zd. pierwszym ustawy z dnia 17 listopada 1964 r. Kodeks postępowania cywilnego (Dz.U. z 2023 r. poz. 1550 ze zm.), zw. dalej "k.p.c.", strony są obowiązane wskazywać dowody dla stwierdzenia faktów, z których wywodzą skutki prawne. Sąd zaś ocenia wiarygodność i moc dowodów według własnego przekonania, na podstawie wszechstronnego rozważenia zebranego materiału (art. 233 § 1 k.p.c.). Co więcej, sądy mogą nie tylko gromadzić dane wrażliwe w aktach sprawy, ale również domagać się od stron postępowania przedstawienia takich danych w ramach konkretnego postępowania (M. Brzozowska-Pasieka, Ochrona danych osobowych w sądach - w pytaniach i odpowiedziach, C.H. Beck 2019, s. 13-14). PUODO zaznaczył, że poza jego kompetencjami znajduje się ocena argumentów i dowodów dopuszczonych przez sąd powszechny w sprawie cywilnej. Pozew B.G. i M.W. przeciwko skarżącej ma swoją genezę w relacji skarżącej z Bankami. Członkowie zarządu Banku mają wiedzę o toczących się postępowaniach z jej udziałem. Z przedstawionych przez skarżącą okoliczności wynika, że strony sporu zgłaszają wobec siebie oskarżenia, do różnych instytucji, w tym również do PUODO. Skarżąca nadmieniła, że to ona poinformowała radę nadzorczą Banku oraz Przewodniczącego Komisji Nadzoru Finansowego o przekazywaniu przez B.G. i M.W. organom ścigania nieprawdziwych informacji. Na co oni odpowiedzieli pozwem o ochronę ich dóbr osobistych. Natomiast PUODO podniósł, że nie ma w zakresie swojej właściwości oceny słuszności dochodzonych roszczeń w postępowaniu cywilnym. PUODO wskazał również, że zgodnie z art. 2 ust. 2 lit. c RODO nie ma zastosowania do przetwarzania danych osobowych przez osobę fizyczną w ramach czynności o czysto osobistym lub domowym charakterze. W świetle zaś motywu 18 RODO, rozporządzenie nie ma zastosowania do przetwarzania danych osobowych przez osobę fizyczną w ramach działalności czysto osobistej lub domowej, czyli bez związku z działalnością zawodową lub handlową. Działalność osobista lub domowa może zaś polegać na korespondencji i przechowywaniu adresów, podtrzymywaniu więzi społecznych oraz działalności internetowej podejmowanej w ramach takiej działalności. Dla zastosowania wyłączenia, o którym mowa jest w art. 2 ust. 2 lit. c RODO niezbędne jest, by przetwarzanie o charakterze osobistym lub domowym miało wyłącznie taki charakter, a zatem powinno być interpretowane, jako obejmujące wyłącznie działania wchodzące w zakres życia prywatnego lub rodzinnego jednostki". W ocenie PUODO skarżeni posłużyli się danymi osobowymi skarżącej w celu (prywatnym), osobistym, związanym z ochroną dóbr osobistych, nie zaś w celach służbowych dotyczących zajmowanych stanowisk jako członkowie zarządu Banku. Odnosząc się do zarzutu dotyczącego braku należytej ochrony danych osobowych skarżącej przez Bank, PUODO wskazał, że sposoby zabezpieczenia danych osobowych, jak również ich adekwatność oraz skuteczność mogą być przedmiotem postępowania wszczętego przez organ z urzędu. Ocena prawidłowości zabezpieczeń następuje zatem wyłącznie w postępowaniu wszczętym przez organ z urzędu lub w przypadku stwierdzenia uchybień w procesie przetwarzania danych. W tym zakresie PUODO podzielił stanowisko WSA w Warszawie wyrażone w wyroku z dnia 7 stycznia 2016 r. sygn.. akt II SA/Wa 1238/15 "iż sprawy dotyczące zabezpieczenia danych osobowych (...) mogą być jedynie przedmiotem postępowania wszczętego z urzędu". Co do zarzutu niespełnienia przez Bank obowiązku poinformowania skarżącej o stwierdzonym naruszeniu PUODO wskazał, że zgodnie z art. 34 ust. 1 RODO jeżeli naruszenie ochrony danych osobowych może powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych, administrator zawiadamia osobę bez zbędnej zwłoki, której dane dotyczą, o takim naruszeniu. PUODO podkreślił, że jeżeli w postępowaniu w sprawie zgłoszenia naruszenia organ stwierdza, że naruszenie może powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych, może zażądać od administratora zawiadomienia o naruszeniu osoby, której dane dotyczą, jednak takie postępowanie toczy się wyłącznie z udziałem administratora. Postępowanie w sprawie zgłoszenia naruszenia nie jest wszczynane na wniosek osoby, a zatem skarżąca nie może być stroną takiego postępowania. W świetle powyższego PUODO stwierdził oczywistą niezasadność żądań skarżącej w myśl art. 57 ust. 4 RODO i uznał, że okoliczności te stanowią inną uzasadnioną przyczynę w rozumieniu art. 61 a § 1 k.p.a., uniemożliwiającą wszczęcie postępowania w sprawie indywidualnej. Skargę na postanowienie PUODO z dnia [...] listopada 2024 r. wniosła E.J. Zaskarżonemu postanowieniu w całości zarzuciła naruszenie przepisów postępowania, które miało istotny wpływ na wynik sprawy, tj. art. 57 ust. 4 RODO poprzez niewłaściwą ocenę jej żądania; niewłaściwą ocenę skargi i błędne zastosowanie do jej treści art. 2 ust.2 lit. c RODO; art. 6. pkt 1 RODO; art. 4 pkt 12 RODO; art. 5 RODO. Podnosząc naruszenie ww. przepisów wniosła o uchylenie zaskarżonego postanowienia w całości, zasądzenie zwrotu kosztów postępowania według norm przypisanych oraz przeprowadzenie rozprawy. W uzasadnianiu skargi podniosła, że zgodnie z art. 57 ust. 4 RODO zakres skarg do PUODO obejmuje wyłącznie naruszenia danych osobowych osoby, której dane dotyczą, co potwierdza, że skarga w niniejszej sprawie jest dopuszczalna. Stwierdza, że dane jej dotyczące zostały bezprawnie ujawnione lub udostępnione, co kwalifikuje je jako naruszenie ochrony danych osobowych zgodnie z art. 4 lit. 12 RODO. Dane osobowe mogą być przetwarzane jedynie w celach zgodnych z ich pierwotnym przeznaczeniem (art. 5 ust. 1 lit. b RODO). W tym przypadku dane klienta banku nie mogą być wykorzystywane do prywatnych procesów członków zarządu banku, jeśli nie wyraziła na to zgody. Ponadto, przetwarzanie danych musi mieścić się w katalogu legalnych podstaw określonych w art. 6 RODO. W rozpatrywanej sprawie nie zachodzi żaden z tych przypadków, co wyklucza legalność działań zarządu banku. PUODO błędnie uznaje, że wykorzystywanie danych w prywatnym pozwie cywilnym, niezwiązanym z usługami bankowymi, mieści się w czynnościach o charakterze osobistym lub domowym. W rzeczywistości dane te pozyskano w związku z pełnieniem funkcji zawodowych, co stanowi naruszenie przepisów RODO. W odpowiedzi na skargę PUODO, podtrzymując dotychczasową argumentację, wniósł o jej oddalenie. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: Zgodnie z art. 1 § 1 i 2 ustawy z dnia 25 lipca 2002 r. Prawo o ustroju sądów administracyjnych (Dz.U. z 2024 r., poz. 1267), sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej, przy czym kontrola ta sprawowana jest pod względem zgodności z prawem, jeżeli ustawy nie stanowią inaczej. W świetle powołanych przepisów cyt. ustawy, Wojewódzki Sąd Administracyjny, w zakresie swojej właściwości, ocenia zaskarżoną decyzję administracyjną, postanowienie, czy też inny akt lub czynność z zakresu administracji publicznej dotyczącą uprawnień lub obowiązków wynikających z przepisów prawa, z punktu widzenia ich zgodności z prawem materialnym i przepisami postępowania administracyjnego, według stanu faktycznego i prawnego obowiązującego w dacie wydania tego aktu lub podjęcia spornej czynności. Chodzi więc o kontrolę aktów lub czynności z zakresu administracji publicznej dokonywaną wyłącznie pod względem ich zgodności z prawem materialnym i przepisami procesowymi, nie zaś według kryteriów słuszności, czy też zgodności z zasadami współżycia społecznego. Ponadto, co wymaga podkreślenia, Sąd rozstrzyga w granicach danej sprawy, nie będąc jednak związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną - art. 134 § 1 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz.U. z 2024 r., poz. 926 ze zm.), zw. dalej "p.p.s.a.". W ocenie Sądu analizowana pod tym względem skarga nie zasługuje na uwzględnienie. Przechodząc do oceny legalności zaskarżonego postanowienia w odniesieniu do odmowy wszczęcia postępowania co do skarżonej, należy zauważyć, że przedmiotem sporu była zarówno kwestia prawidłowości ustaleń organu nadzorczego w zakresie samego zakwalifikowania przetwarzanych przez skarżoną danych osobowych skarżącego, jako czynności o charakterze czysto osobistym i niepodlegających tym samym regulacjom zawartym w RODO, jak również kwestia prawidłowości zastosowania w niniejszej sprawie art. 61a k.p.a. poprzez odmowę wszczęcia postępowania z uwagi na brak podstaw do podjęcia wobec skarżonych prawnie wiążącego środka naprawczego, o którym mowa w art. 58 RODO. W niniejszej sprawie PUODO, wydając zaskarżone postanowienie przyjął, iż przetwarzane przez skarżonych dane osobowe skarżącej miało charakter czysto osobisty w rozumieniu art. 2 ust. 2 lit. c RODO. Organ nadzorczy uznał, że skoro do przetwarzania danych osobowych przez osobę fizyczną w ramach działalności czysto osobistej lub domowej - tak jak ma to miejsce w niniejszej sprawie - nie stosuje się przepisów RODO, rozpatrywanie przedmiotowej sprawy na podstawie przepisów RODO jest bezpodstawne. Tym samym, organ nadzorczy stwierdził, że w przedmiotowej sprawie nie ma podstaw prawnych do spełnienia żądania skarżącego w zakresie wydania wobec skarżonej któregokolwiek z nakazów, o których mowa w art. 58 RODO. To z kolei doprowadziło do tego, iż organ nadzorczy prawidłowo odmówił wszczęcia postępowania na podstawie art. 61a k.p.a., z uwagi na "inną uzasadnioną przyczynę". Przepis art. 2 ust. 1 RODO wyznacza zakres przedmiotowy rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r., zaś art. 2 ust. 2 tego aktu określa wyłączenia obowiązku jego stosowania. Zgodnie z treścią art. 2 ust. 2 lit. c RODO nie ma zastosowania do przetwarzania danych osobowych przez osobę fizyczną w ramach czynności o czysto osobistym lub domowym charakterze. Jednocześnie, zauważyć należy, że motyw 18 Preambuły RODO stanowi, że "Niniejsze rozporządzenie nie ma zastosowania do przetwarzania danych osobowych przez osobę fizyczną w ramach działalności czysto osobistej lub domowej, czyli bez związku z działalnością zawodową lub handlową. Działalność osobista lub domowa może między innymi polegać na korespondencji i przechowywaniu adresów, podtrzymywaniu więzi społecznych oraz działalności internetowej podejmowanej w ramach takiej działalności. Niniejsze rozporządzenie ma jednak zastosowanie do administratorów lub podmiotów przetwarzających, którzy udostępniają środki przetwarzania danych osobowych na potrzeby takiej działalności osobistej lub domowej". Przepis art. 2 ust. 2 lit. c RODO statuuje wyłączenie z zakresu reżimu rozporządzenia przetwarzania danych przez osobę fizyczną w ramach czynności o czysto osobistym lub domowym charakterze. W motywie 18 wyjaśniono dodatkowo, że działalność czysto osobista lub domowa to taka, która pozostaje bez związku z działalnością zawodową lub handlową. Polegać ona może na korespondencji i przechowywaniu adresów, podtrzymywaniu więzi społecznych oraz działalności internetowej podejmowanej w ramach takiej działalności. Jak wskazano, rozporządzenie znajdzie jednak zastosowanie do administratorów lub podmiotów przetwarzających, którzy udostępnią środki przetwarzania danych osobowych na potrzeby takiej działalności osobistej lub domowej. Sąd zauważa, że analogiczne wyłączenie sformułowane było w art. 3 ust. 2 tiret drugie dyrektywy 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych (Dz. Urz. UE L 1995 Nr 281, s. 31). Wyłączenie to było poddane wykładni w wyroku z dnia [...] grudnia 2014 r., [...], wydanego w sprawie [...], Trybunał Sprawiedliwości UE podkreślił, że istotny jest związek ze sferą o czysto osobistym lub domowym charakterze należącą do osoby, która dokonuje tego przetwarzania (pkt 31). W konsekwencji, Trybunał Sprawiedliwości uznał, że w przypadku, gdy przetwarzanie rozciąga się choćby częściowo na przestrzeń publiczną i tym samym jest skierowane poza sferę prywatną osoby dokonującej w ten sposób przetwarzania danych, nie powinno ono być rozumiane, jako czynność o czysto "osobistym lub domowym charakterze" w rozumieniu art. 3 ust. 2 tiret drugie dyrektywy 95/46/WE (pkt 33). Sąd zauważa, że w opinii rzecznika generalnego wydanej w tej sprawie podkreślono ponadto, że "czynności o charakterze osobistym" na podstawie art. 3 ust. 2 tiret drugie dyrektywy 95/46/WE stanowią czynności ściśle i obiektywnie związane z życiem prywatnym osoby, które jednocześnie nie naruszają w sposób dotkliwy sfery osobistej innych. Jak podkreślał rzecznik, czynności te mogą jednak mieć miejsce poza domem, chodzi bowiem bardziej o związek osobowy, a nie miejscowy. Z kolei odnosząc się do "czynności o charakterze domowym", rzecznik generalny uznał, że są one związane z życiem rodzinnym i normalnie mają miejsce w ramach gospodarstwa domowego lub w innych miejscach dzielonych z członkami rodziny, takich jak drugie miejsce zamieszkania, pokój hotelowy lub samochód prywatny. W opinii swej rzecznik generalny wyraźnie wskazał także, że nie wystarczy, aby zamierzone czynności przedstawiały związek z czynnościami o charakterze osobistym lub domowym, lecz wymagane jest ponadto, aby związek ten miał charakter wyłączny (pkt 53). Mając na względzie powyższe, Sąd w składzie orzekającym w niniejszej sprawie uznał, że dla zastosowania wyłączenia, o którym mowa w art. 2 ust. 2 lit. c RODO niezbędne jest, by przetwarzanie o charakterze osobistym lub domowym miało wyłącznie taki charakter, a zatem powinno być interpretowane, jako obejmujące wyłącznie działania wchodzące w zakres życia prywatnego lub rodzinnego jednostki. PUODO właściwie interpretując art. 2 ust. 2 lit. c RODO w sposób uprawniony dostrzegł istotny aspekt charakteru przetwarzania danych osobowych skarżącego jako na potrzeby działalności osobistej lub domowej, wyłączający zastosowanie RODO. Dlatego też w tym zakresie PUODO zasadnie zastosował art. 105 § 1 k.p.a., przyjmując bezprzedmiotowość tego postępowania. W odniesieniu do odmowy uwzględnienia wniosku skarżącego o "bezprawne" przetwarzania jego danych osobowych przez radcę prawnego, jak i samego skarżonego, należy stwierdzić, że było ono prawidłowe. Pozyskanie danych osobowych skarżącego, zawartych w mailu z dnia 13 maja 2021 r., przez radcę prawnego reprezentującego skarżonego, nastąpiło od skarżonego w związku z toczącym się postępowaniem sądowym przed sądem powszechnym i miało podstawę w obowiązujących przepisach prawa. W szczególności odnosi się to do art. 232 k.p.c. który stanowi, że "strony są obowiązane wskazywać dowody dla stwierdzenia faktów, z których wywodzą skutki prawne", oraz art. 233 § 1 k.p.c., według którego "sąd ocenia wiarygodność i moc dowodów na podstawie własnego przekonania, na podstawie wszechstronnego rozważenia zebranego materiału". Przetwarzanie danych osobowych jest zgodne z prawem, gdy administrator danych legitymuje się co najmniej jedną z określonych w art. 6 ust. 1 RODO materialnych przesłanek przetwarzania. W tej sytuacji przetwarzanie było niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem (art. 6 ust. lit. f RODO). Analiza akt sprawy wskazuje, że radca prawny pozyskał dane osobowe skarżącego od klienta, tj. skarżonego, na rzecz którego świadczona była pomoc prawna. Wskazane dane osobowe skarżącego zostały użyte w toku postępowania sądowego z uwagi na potrzebę wykazania faktów z których wywodził skutki prawne (art. 232 k.p.c.). Uznać zatem należy, że organ nadzoru trafnie stwierdził, że przesłanką legalizującą przetwarzanie danych skarżącego przez radcę prawnego jest przytoczony powyżej art. 6 ust. 1 lit. f RODO. Wskazane udostępnienie danych osobowych nastąpiło bowiem w ramach profesjonalnej pomocy prawnej w związku z toczącym się postępowaniem sądowym. Dane osobowe skarżącego zostały udostępnione wyłącznie sądowi właściwemu w sprawie, jako podmiotowi, który na podstawie art. 233 § 1 k.p.c. był uprawniony do swobodnej ich oceny. Tym samym, za niezasadny należy uznać zarzut nieuprawnionego wykorzystania danych osobowych skarżącego przez radcę prawnego w postępowaniu sądowym. Tak skarżony, jak i jego pełnomocnik (radca prawny), przetwarzał dane osobowe skarżącego w związku z toczącym się postępowaniem sądowym, w którym stroną przeciwną był skarżący. Zatem przetwarzanie było niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora. W związku z tym nie sposób odnieść się do zarzutu, że ze skarżącym "nie zawarto żadnej umowy ani nie wyrażono zgody na przekazanie danych osobowych", w sytuacji kiedy legalność tego przetwarzania została oparta na prawnie uzasadnionym interesie (art. 6 ust. 1 lit. f RODO), a w pozostałym zakresie przetwarzania danych osobowych skarżącego przepisów RODO nie stosujemy (art. 2 ust. 2 lit. c RODO). Za bezpodstawne należy również uznać zarzuty, jakoby zaskarżoną decyzję PUODO wydał z naruszeniem przepisów prawa procesowego – tj. art. 7, art. 8 § 1, art. 77 § 1 oraz art. 80 k.p.a., które mogło mieć istotny wpływ na wynik sprawy. Niemniej jednak, pismem z dnia 20 maja 2024 r. (doręczonym 27 maja 2024 r.), skarżący został poinformowany o możliwości wypowiedzenia się co do zebranych dowodów. Nie skorzystał on jednak z przysługującego mu na mocy art. 10 § 1 k.p.a. uprawnienia do zapoznania się z aktami sprawy. W efekcie, nie kwestionował on ustaleń poczynionych przez PUODO, mimo świadomości, że skarżona powołuje się na znajomość ze skarżącym. Zasadnie zatem PUODO odmówił dopuszczenia dowodu z przesłuchania skarżącego – m.in. na okoliczność znajomości skarżonej tak ze skarżącym, jak i skarżonym. Przyjmując jednocześnie, że PUODO podjął wszelkie czynności niezbędne do dokładnego wyjaśnienia stanu faktycznego oraz załatwienia sprawy, mając na względzie interes społeczny i słuszny interes obywateli. W konsekwencji powyższego Wojewódzki Sąd Administracyjny w Warszawie, na podstawie art. 151 p.p.s.a., orzekł jak w sentencji Zgodnie z art. 1 § 1 i § 2 ustawy z dnia 25 lipca 2002 r. Prawo o ustroju sądów administracyjnych (Dz.U. z 2024 r., poz. 1267) oraz art. 3 § 1 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz.U. z 2024 r., poz. 935 ze zm.), zw. dalej "p.p.s.a.", sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej. Kontrola ta polega na ocenie zgodności zaskarżonego aktu z przepisami postępowania administracyjnego, a także prawidłowości zastosowania i wykładni norm prawa materialnego. Kontrola ta jest dokonywana według stanu faktycznego i prawnego obowiązującego w dacie wydania zaskarżonego aktu. Skarga oceniana w świetle powyższych kryteriów nie zasługuje na uwzględnienie, bowiem zaskarżone postanowienie nie narusza prawa. Podstawę prawną zaskarżonego postanowienia stanowi art. 61a § 1 k.p.a., zgodnie z którym, gdy żądanie wszczęcia postępowania administracyjnego w danej sprawie zostało wniesione przez osobę niebędącą stroną lub z innych uzasadnionych przyczyn postępowanie nie może być wszczęte, organ administracji publicznej wydaje postanowienie o odmowie wszczęcia postępowania. Ustawodawca w art. 61a § 1 k.p.a. wprowadził dwie samodzielne i niezależne przesłanki wydania postanowienia o odmowie wszczęcia postępowania. Pierwszą z nich jest wniesienie podania przez osobę, która nie jest stroną, a drugą zaistnienie innych uzasadnionych przyczyn uniemożliwiających wszczęcie postępowania. Przyczyn tych ustawa nie konkretyzuje, natomiast należy przez nie rozumieć sytuacje, które w sposób oczywisty, przy pierwszym zestawieniu zakresu żądania wniosku z obowiązującym stanem prawnym, stanowią przeszkodę do wszczęcia postępowania. Taki przypadek zachodzi w szczególności gdy: żądanie dotyczy sprawy, która nie podlega załatwieniu w formie decyzji administracyjnej, brak jest podstawy materialnoprawnej do rozpatrzenia żądania w trybie administracyjnym (por. wyroki NSA: z dnia 7 lutego 2014 r., sygn. akt I OSK 2159/12 i z dnia 22 lipca 2014 r., sygn. akt I OSK 1635/14). W orzecznictwie sądów administracyjnych zgodnie podkreśla się przy tym, że odmowa wszczęcia postępowania na podstawie art. 61a § 1 k.p.a. "z innych uzasadnionych przyczyn" może mieć miejsce w sytuacjach oczywistych, tj. gdy "na pierwszy rzut oka" można stwierdzić, że brak jest podstaw do prowadzenia postępowania (por. wyroki NSA: z dnia 26 lutego 2020 r., sygn. akt I OSK 2205/17; z dnia 20 listopada 2017 r., sygn. akt II GSK 1706/17). Z powyższego wynika, że istnienie "przeszkody" uniemożliwiającej wszczęcie i prowadzenie postępowania musi być oczywiste, a więc takie, której ustalenie i wskazanie nie wymaga prowadzenia postępowania wyjaśniającego przez organ (por. wyrok WSA z dnia 15 maja 2019 r., sygn. akt II SA/Gd 45/19). Postanowienie o odmowie wszczęcia postępowania jest bowiem orzeczeniem formalnym, a nie merytorycznym (nie rozstrzyga sprawy co do jej istoty), co prowadzi do wniosku, że w postanowieniu wydanym w trybie art. 61a § 1 k.p.a. organ nie może formułować wniosków i ocen dotyczących meritum żądania (por. wyroki NSA: z dnia 8 marca 2017 r., sygn. akt II OSK 2600/16, z dnia 28 kwietnia 2020 r. sygn. akt I OSK 135/19). Z powyższą regulacją koresponduje art. 57 ust. 4 RODO, z którego treści wynika, że jeżeli żądanie jest w sposób oczywisty nieuzasadnione organ nadzorczy może odmówić podjęcia żądanych działań, zaś obowiązek wykazania, że żądanie jest w sposób oczywisty nieuzasadnione spoczywa na organie. W niniejszej sprawie organ zasadnie odmówił wszczęcia postępowania z powołaniem się na ww. przepis. Brak było bowiem podstaw do wszczęcia i prowadzenia postępowania administracyjnego w sytuacji, gdy żądanie zawarte w skardze z dnia [...] sierpnia 2023 r. nie mogło być zrealizowane ze względu na przedmiot żądania jak i kompetencje Prezesa UODO. Podkreślić należy, że Prezes UODO może podejmować czynności, które znajdują się w zakresie jego uprawnień oraz tylko w sprawach, które należą do jego właściwości rzeczowej. Uprawnienia te i zakres właściwości określone są w RODO, ustawie z dnia 10 maja 2018 r. o ochronie danych osobowych oraz przepisach szczególnych. Przepis art. 58 ust. 2 RODO zawiera katalog uprawnień naprawczych organu nadzorczego, który ma charakter wiążący w zakresie postępowania dotyczącego określonego naruszenia przepisów ochrony danych osobowych, tj.: a) wydawanie ostrzeżeń administratorowi lub podmiotowi przetwarzającemu dotyczących możliwości naruszenia przepisów niniejszego rozporządzenia poprzez planowane operacje przetwarzania; b) udzielanie upomnień administratorowi lub podmiotowi przetwarzającemu w przypadku naruszenia przepisów niniejszego rozporządzenia przez operacje przetwarzania; c) nakazanie administratorowi lub podmiotowi przetwarzającemu spełnienia żądania osoby, której dane dotyczą, wynikającego z praw przysługujących jej na mocy niniejszego rozporządzenia; d) nakazanie administratorowi lub podmiotowi przetwarzającemu dostosowania operacji przetwarzania do przepisów niniejszego rozporządzenia, a w stosownych przypadkach wskazanie sposobu i terminu; e) nakazanie administratorowi zawiadomienia osoby, której dane dotyczą, o naruszeniu ochrony danych; f) wprowadzanie czasowego lub całkowitego ograniczenia przetwarzania, w tym zakazu przetwarzania; g) nakazanie na mocy art. 16, 17 i 18 sprostowania lub usunięcia danych osobowych lub ograniczenia ich przetwarzania oraz nakazanie na mocy art. 17 ust. 2 i art. 19 powiadomienia o tych czynnościach odbiorców, którym dane osobowe ujawniono; h) cofnięcie certyfikacji lub nakazanie podmiotowi certyfikującemu cofnięcia certyfikacji udzielonej na mocy art. 42 lub 43, lub nakazanie podmiotowi certyfikującemu nieudzielania certyfikacji, jeżeli jej wymogi nie są spełnione lub przestały być spełniane; i) zastosowanie, oprócz lub zamiast środków, o których mowa w niniejszym ustępie, administracyjnej kary pieniężnej na mocy art. 83, zależnie od okoliczności konkretnej sprawy; j) nakazanie zawieszenia przepływu danych do odbiorcy w państwie trzecim lub do organizacji międzynarodowej. W świetle powyższego, żądanie skarżącej, zawarte w skardze do PUODO, odnoszące się do naruszenia praw skarżącej związanych z przetwarzaniem danych osobowych przez Bank, który pełnił funkcję administratora jej danych, a także przez członków jego zarządu, którzy do celów prywatnych wykorzystali jej dane w postępowaniu sądowym dotyczącym ochrony ich dóbr osobistych nie mogło odnieść zamierzonego skutku w postaci wszczęcia postępowania przed tym organem. Sąd zgadza się z wyjaśnieniem PUODO, iż przetwarzanie danych osobowych przez osobę fizyczną w ramach czynności o czysto osobistym lub domowym charakterze, zgodnie z art. 2 ust. 2 lit. c RODO i motywem 18 RODO, podlega wyłączeniu z zakresu stosowania tego rozporządzenia. W tym przypadku, przedstawione okoliczności wskazują, że członkowie zarządu banku wykorzystali dane osobowe skarżącej do celów prywatnych, które nie miały charakteru działalności służbowej ani zawodowej, co czyni je działaniami mieszczącymi się w zakresie działalności osobistej lub domowej, a tym samym wyłącza zastosowanie RODO. Sąd podziela stanowisko PUODO, że w kwestii ochrony danych osobowych sam Bank, jako administrator, ma obowiązek zapewnienia odpowiednich środków zabezpieczających dane, a ocena skuteczności tych środków może być prowadzona jedynie w ramach postępowania wszczętego z urzędu. Skarga złożona do PUODO nie ma na celu weryfikacji zabezpieczeń danych czy kontroli działań administratora na wniosek osoby, której dane dotyczą, lecz przede wszystkim służy przywróceniu stanu zgodnego z prawem w razie naruszenia przepisów o ochronie danych. Zdaniem Sądu PUODO słusznie wywodzi, iż obowiązek informowania osoby, której dane dotyczą o wysokim ryzyku naruszenia praw lub wolności, powstaje tylko w przypadku stwierdzenia takiego zagrożenia w toku postępowania wszczętego na podstawie art. 34 RODO. Jednak postępowanie to odbywa się wyłącznie z udziałem administratora i nie ma charakteru postępowania wnoszonego przez osobę zgłaszającą naruszenie. W związku z tym skarżąca, jako osoba zgłaszająca naruszenie, nie jest stroną tego postępowania, a jej żądanie w tym zakresie nie zasługuje na uwzględnienie. W świetle okoliczności tej sprawy, w obliczu narastającego konfliktu między stronami wobec wzajemnych oskarżeń – w ocenie Sądu - Prezes UODO właściwie wywiódł, w zaskarżonym postanowieniu, iż w zakresie jego kompetencji nie leży ocena sposobu realizacji przez B.G. i M.W. ich praw przed sądem powszechnym w sprawie o ochronę dóbr osobistych. Prezes UODO nie jest organem kontrolującym ani nadzorującym prawidłowość stosowania prawa materialnego i procesowego w sprawach należących do właściwości innych organów, których rozstrzygnięcia podlegają ocenom w toku instancji. Brak jest po stronie Prezesa UODO uprawnień do weryfikowania prawidłowości prowadzonych przez inne organy postępowań w tym dopuszczonych przez nich dowodów, czy uznanych okoliczności. Ocena zasadności argumentów i dowodów w postępowaniu cywilnym wykracza poza kompetencje organu nadzorczego, którym jest PUODO. Zgodnie z przepisami art. 232 i 233 k.p.c., to sąd ocenia wiarygodność i moc dowodów na podstawie własnego przekonania, a organ nadzorczy nie jest uprawniony do takiej oceny w ramach postępowania administracyjnego. Innymi słowy Prezes UODO nie może ingerować w ustawowo określone kompetencje innych organów. Z powyższych względów Sąd podziela stanowisko Prezesa UODO zawarte w zaskarżonym postanowieniu, że skarga E.J. jest oczywiście nieuzasadniona w rozumieniu art. 57 ust. 4 RODO. Wstępna ocenia wniosku i zarzutów w nim zawartych w konfrontacji w obowiązującymi przepisami prawa wskazują jednoznacznie, bez potrzeby prowadzenia postępowania wyjaśniającego, że żądanie strony jest w sposób oczywisty nieuzasadnione i nie może zostać zrealizowane w ramach zastosowania określonego uprawnienia naprawczego z art. 58 ust. 2 RODO. Dlatego zasadna jest odmowa wszczęcia postępowania w sprawie ww. skargi na podstawie art. 61a § 1 k.p.a. w zw. z art. 57 ust. 4 RODO, a zaskarżone postanowienie odpowiada prawu. Z tych względów, Wojewódzki Sąd Administracyjny w Warszawie, na podstawie art. 151 p.p.s.a., orzekł jak w sentencji.