II SA/Wa 1001/23

II SA/Wa 1001/23 - Wyrok WSA w Warszawie
Data orzeczenia
2024-05-21
orzeczenie nieprawomocne
Data wpływu
2023-05-22
Sąd
Wojewódzki Sąd Administracyjny w Warszawie
Sędziowie
Arkadiusz Koziarski /sprawozdawca/
Ewa Radziszewska-Krupa /przewodniczący/
Izabela Głowacka-Klimas
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne
Ochrona danych osobowych
Sygn. powiązane
III OZ 513/23 - Postanowienie NSA z 2023-10-20
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Uchylono zaskarżoną decyzję
Powołane przepisy
Dz.U. 2023 poz 1634
art. 145  par. 1  pkt 1  lit. b i c
Ustawa z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi - t.j.
Sentencja
Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Ewa Radziszewska-Krupa, Sędzia WSA Izabela Głowacka-Klimas, Asesor WSA Arkadiusz Koziarski (spr.), Protokolant specjalista Elwira Sipak po rozpoznaniu na rozprawie w dniu 21 maja 2024 r. sprawy ze skarg [...] sp. z o.o. z siedzibą w [...] i [...] Fundusz [...] Zamknięty Niestandaryzowany Fundusz [...] z siedzibą w [...] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] marca 2023 r. nr [...] w przedmiocie przetwarzania danych osobowych 1. uchyla zaskarżoną decyzję; 2. zasądza od Prezesa Urzędu Ochrony Danych Osobowych na rzecz strony skarżącej [...] sp. z o.o. z siedzibą w [...] kwotę 697 zł (sześćset dziewięćdziesiąt siedem) złotych, tytułem zwrotu kosztów postępowania, 3. zasądza od Prezesa Urzędu Ochrony Danych Osobowych na rzecz strony skarżącej [...] Fundusz [...] Zamknięty [...] Fundusz [...] z siedzibą w [...] kwotę 697 zł (sześćset dziewięćdziesiąt siedem) złotych, tytułem zwrotu kosztów postępowania.
Uzasadnienie
Prezes Urzędu Ochrony Danych Osobowych, dalej "PUODO", decyzją z dnia [...] marca 2023 r. nr [...], wydaną na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2022 r. poz. 2000 ze. zm.), dalej "k.p.a." oraz art. 7 ust. 1 i 2, art. 60, art. 101 i art. 103 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781), dalej "u.o.d.o.", oraz art. 57 ust. 1 lit. f, art. 58 ust. 2 lit. d w związku z art. 5 ust. 1 lit a i lit. b, a także art. 6 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady UE 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1 ze zm.), dalej "RODO", po przeprowadzeniu postępowania administracyjnego wszczętego ze skargi W. P., na przetwarzanie jego danych osobowych przez [...] sp. z o.o. (obecnie: [...] sp. z o.o.) z siedzibą w [...], dalej "Spółka" oraz [...] Fundusz [...] Zamknięty Niestandaryzowany Fundusz [...] reprezentowany przez [...] Towarzystwo Funduszy [...] S.A. z siedzibą w [...], dalej "[...]", stwierdzając naruszenie przez Spółkę oraz [...] przepisu art. 6 ust. 1 RODO, polegające na przetwarzaniu danych osobowych W. P. bez podstawy prawnej, a w szczególności bez wykazania prawnie uzasadnionego interesu wskazanego w art. 6 ust. 1 lit. f RODO, realizowanego przez administratora tych danych, tj. [...] - w imieniu którego i na którego polecenie przedmiotowe dane przetwarza Spółka - co stanowi naruszenie zasady przetwarzania danych osobowych zgodnie z prawem, o której mowa w art. 5 ust. 1 lit. a RODO, nakazał Spółce jako podmiotowi przetwarzającemu w rozumieniu art. 4 pkt 8 RODO oraz [...] jako administratorowi w rozumieniu art. 4 pkt 7 RODO, dostosowanie operacji przetwarzania do przepisów RODO poprzez zaprzestanie przetwarzania bez podstawy prawnej danych osobowych W. P., w celu dochodzenia od niego roszczeń majątkowych, związanych z zawartą przez niego [...] marca 2011 r. umową o kartę kredytową z [...] Bank [...] S.A. (obecnie: [...] [...] (Spółka Akcyjna) Oddział w Polsce) z siedzibą w [...], stanowiących przedmiot umowy cesji wierzytelności zawartej [...] października 2013 r. pomiędzy [...] Bank [...] S.A. a [...], z uwagi na brak prawnie uzasadnionego interesu wskazanego w art. 6 ust. 1 lit. f RODO, od dnia doręczenia niniejszej decyzji.
W uzasadnieniu organ przedstawił na wstępie przebieg postępowania w sprawie. W tym zakresie organ wyjaśnił, że do Urzędu Ochrony Danych Osobowych, wpłynęła [...] grudnia 2018 r. skarga W. P., dalej "skarżący". Skarga dotyczyła przetwarzania danych osobowych Skarżącego przez Spółkę oraz przez administratora ww. danych, tj. [...]. W skardze skarżący wskazał, że Spółka bezpodstawnie kieruje względem niego roszczenia o spłatę długu. Skarżący podniósł też, że bezpodstawność żądań roszczeń Spółki wiąże się z przetwarzaniem przez nią jego danych osobowych bez podstawy prawnej. Skarżący podkreślił, że kierował względem Spółki żądania usunięcia jego danych z jej zasobów, na dowód czego przedłożył do akt sprawy kopię pisma pełnomocnika Skarżącego do Spółki z [...] czerwca 2018 r. wraz z kopią dowodu nadania. Skarżący wskazał w skardze, że jego dane są wykorzystywane przez Spółkę do nawiązywania z nim kontaktu drogą telefoniczną i listowną. Ponadto, skarżący zażądał usunięcia jego danych osobowych z baz danych administrowanych przez Spółkę.
PUODO podał, iż Spółka w piśmie z dnia [...] maja 2019 r. wyjaśniła, że:
- pozyskała do przetwarzania dane osobowe skarżącego na podstawie umowy o zarządzanie wierzytelnościami z dnia [...] stycznia 2012 r., zawartej z wierzycielem, tj. [...], w zakresie i w celu niezbędnym dla dochodzenia roszczeń z tytułu prowadzonej działalności gospodarczej. Dane osobowe skarżącego zostały udostępnione do przetwarzania [...] na podstawie umowy cesji wierzytelności, zawartej [...] października 2013 r. z [...] Bank [...] S.A., dalej "[...]". Na podstawie ww. umowy [...] nabył zobowiązanie wynikające z umowy zawartej wcześniej przez skarżącego z [...];
- w chwili powierzenia jej przetwarzania danych osobowych skarżącego, dane były przetwarzane w celu windykacji należności, a więc, w jej ocenie, w celu realizacji usprawiedliwionego interesu administratora danych. Podstawę prawną przetwarzania danych skarżącego przed 25 maja 2018 r. (data wejścia w życie przepisów RODO) art. 23 ust. 1 pkt 5 w związku z art. 23 ust. 4 pkt 2 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r. poz. 922 ze zm.). Z kolei jako podstawę prawną powierzenia danych do przetwarzania Spółce, Spółka wskazała art. 95 § 1 ustawy z dnia 23 kwietnia 1964 r. Kodeks cywilny oraz art. 31 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych;
- zakres pozyskanych przez nią danych osobowych skarżącego obejmuje: imię, nazwisko, datę urodzenia, adres korespondencyjny, adres zamieszkania, adres miejsca pracy, numer PESEL, numer dowodu osobistego, numer telefonu komórkowego, numer telefonu stacjonarnego, informacje dot. podstawy roszczenia w podziale na składniki finansowe, datę zawarcia umowy, datę wypowiedzenia umowy oraz datę zapadalności kredytu;
- zobowiązanie stanowiące przedmiot realizowanych przez nią czynności windykacyjnych wobec skarżącego nie zostało zaspokojone, tak więc dane osobowe skarżącego są nadal przetwarzane w celu windykacji należności. Spółka wskazała, że z uwagi na okoliczność, iż 25 maja 2018 r. weszły w życie przepisy RODO, zaś ustawa z dnia 29 sierpnia 1997 r. o ochronie danych osobowych została uchylona, zmieniły się podstawy prawne przetwarzania danych osobowych skarżącego.
- od 25 maja 2018 r. podstawą prawną przetwarzania danych osobowych Skarżącego jest art. 6 ust. 1 lit. f RODO (realizacja prawnie uzasadnionego interesu administratora danych, jakim jest windykacja od skarżącego należności). Z kolei, podstawą prawną powierzenia Spółce danych osobowych skarżącego do przetwarzania, jest art. 28 ust. 3 RODO. Spółka oświadczyła, że dane osobowe skarżącego będą przetwarzane do chwili ustania określonego powyżej celu, którym jest windykacja należności, a także przez okres wynikający z obowiązujących przepisów prawa oraz przez maksymalny okres, w którym mogą być dochodzone ewentualne roszczenia. Po upływie maksymalnego, dopuszczalnego przepisami prawa, okresu przetwarzania danych osobowych, dane osobowe skarżącego mają być usunięte;
- ze względu na toczące się przed Wydziałem [...] Komendy Rejonowej Policji [...] postępowanie sprawdzające (sygn.: [...]) pod nadzorem Prokuratury Rejonowej [...] (sygn. [...]), dane osobowe skarżącego są przetwarzane przez Spółkę w zakresie niezbędnym do obrony przed oskarżeniami (roszczeniami) skarżącego;
- pełnomocnik skarżącego zwracał się do niej z wnioskiem o zaprzestanie przetwarzania jego danych osobowych i ich usunięcia. Ww. wniosek został przez Spółkę odrzucony, a skarżącemu została przesłana [...] lipca 2018 r. odpowiedź zawierająca uzasadnienie odrzucenia wniosku wraz z informacją w zakresie podstaw prawnych i faktycznych przetwarzania danych osobowych skarżącego wraz z dokumentacją otrzymaną od [...].
Z kolei piśmie z [...] października 2022 r. Spółka wskazała, że:
- z dniem 1 marca 2022 r. nastąpiła zmiana nazwy Spółki z [...] sp. z o.o. na [...] sp. z o.o.;
- z uwagi na fakt, iż zobowiązanie skarżącego wobec administratora jego danych osobowych, tj. [...], nie zostało uregulowane, Spółka nadal przetwarza dane osobowe Skarżącego w celach związanych z zarządzaniem wierzytelnościami, w tym w celu prowadzenia windykacji należności;
- Spółka przetwarza dane osobowe skarżącego w związku z realizacją umowy o zarządzanie wierzytelnościami zawartej przez nią z [...] oraz na podstawie umowy powierzenia przetwarzania danych zawartej [...] listopada 2020 r. pomiędzy [...] a Spółką. Przetwarzanie, według wyjaśnień Spółki, odbywa się w zakresie i celu wymaganym dla dochodzenia, w imieniu administratora danych, wierzytelności.
- podstawę prawną przetwarzania przez nią danych osobowych skarżącego stanowi art. 28 RODO. Zakres przetwarzanych danych osobowych skarżącego obejmuje: imiona, nazwisko, adres zamieszkania, adres zameldowania, nr PESEL, datę urodzenia, numer i serię dokumentu tożsamości, numer telefonu, informacje dot. podstawy roszczenia w podziale na składniki finansowe, numer klienta banku, numer umowy, numer konta dedykowanego do spłaty zadłużenia, numer karty kredytowej, datę zawarcia oraz wypowiedzenia umowy;
- przetwarza dane Skarżącego w związku z prowadzonym postępowaniem przed Urzędem Ochrony Danych Osobowych o sygnaturze [...] oraz toczącym się postępowaniem prowadzonym przez Wydział [...] Komendy Rejonowej Policji [...] z wniosku Skarżącego przeciwko Spółce (sygn.: [...]) pod nadzorem Prokuratury Rejonowej [...] (sygn.[...]);
- przetwarza ona dane osobowe skarżącego w zbiorze danych o nazwie "Dłużnicy", a dane osobowe skarżącego będą przetwarzane, w zależności od decyzji administratora danych, do chwili ustania celu przetwarzania danych osobowych, którym jest windykacja należności, a po upływie tego okresu dane będą przechowywane w celu realizacji innych obowiązków wynikających z umowy o zarządzanie wierzytelnościami z dnia [...] listopada 2020 r. zawartej pomiędzy [...] a Spółką. Do ww. obowiązków należy, między innymi, obowiązek archiwizacji dokumentacji do końca upływu okresu przedawnienia roszczeń, które skarżący może wnieść przeciwko [...], a także przez okres wynikający z obowiązujących przepisów prawa. Po upływie maksymalnego, dopuszczalnego przepisami prawa, okresu przetwarzania danych osobowych, dane osobowe skarżącego zostaną usunięte.
- zgodnie z obowiązującymi przepisami prawa skutkiem upływu terminu przedawnienia jest przekształcenie się roszczenia w zobowiązanie naturalne (niezupełne). Oznacza to, że roszczenie nie wygasa, istnieje nadal, jednak wierzyciel jest pozbawiony możliwości skutecznego dochodzenia wierzytelności w postępowaniu sądowym. Ograniczenie w dochodzeniu przedawnionego roszczenia sprowadza się do postępowania sądowego i nie ma wpływu na możliwość jego dochodzenia na drodze pozasądowej, bowiem roszczenie takie jest w dalszym ciągu roszczeniem należnym.
- ze względu na istniejący cel przetwarzania danych, tj. dochodzenie należności, prawną podstawą ich przetwarzania jest art. 6 ust. 1 lit. f RODO. Dochodzenie roszczeń obejmuje zarówno sądowe, jak i pozasądowe działania zmierzające do zaspokojenia wierzytelności przez wierzyciela, mieszczące się w granicach obowiązujących przepisów. Istnienie zobowiązania naturalnego w stosunku do skarżącego, które może być dochodzone na drodze pozasądowej, uzasadnia podejmowane przez nią działania zmierzające do dochodzenia wierzytelności. Spółka twierdząc, że pozasądowe działania windykacyjne są realizowane w ramach obowiązujących norm prawnych i że do ich realizacji niezbędne jest przetwarzanie danych osobowych skarżącego, uważa swoje działania za uzasadnione.
- przedawnienie roszczeń wobec skarżącego nastąpiło z dniem [...] kwietnia 2017 r. tj. 3 lata od daty wymagalności dokumentu będącego podstawą roszczenia. Od tego dnia wierzyciel utracił możliwość dochodzenia należności na drodze sądowej. [...], w ramach umowy cesji z [...] października 2013 r., nabył od [...] wierzytelności, w tym wierzytelności niewymagalne (niewypowiedziane). Według danych przekazanych [...] przez [...], umowa o kartę kredytową o numerze [...], zawarta ze skarżącym, była umową aktywną, tj. niewypowiedzianą.
Organ podał dalej, że w piśmie z [...] listopada 2022 r. Spółka wskazał, że:
- [...] jako zarządzającą funduszem [...] nie podjęły wcześniej działań w celu wniesienia powództwa cywilnoprawnego przeciwko skarżącemu z tytułu dochodzenia od niego roszczenia o zapłatę wynikającego z umowy przelewu wierzytelności z [...] października 2013 r.;
- celem podejmowanych przez nią działań windykacyjnych jest dochodzenie wierzytelności na drodze polubownej, która, w ocenie Spółki, stanowi najszybszą ścieżkę zwrotu należnych środków, generując mniejsze koszty niż przy windykacji sądowej. Pozasądowa droga dochodzenia roszczenia o zapłatę pozwala na stosowanie indywidualnych negocjacji warunków spłaty zadłużenia;
- w przedmiotowej sprawie podstawową przesłanką, która wpłynęła na decyzję o polubownym dochodzeniu wierzytelności, były dobrowolne wpłaty jakie skarżący dokonywał na konto [...] po dacie zawarcia cesji. Przedawnienie roszczenia wobec skarżącego nastąpiło [...] kwietnia 2017 r.
W dalszej części uzasadnienia decyzji organ przytoczył treść przepisów RODO mających zastosowanie w sprawie.
Następnie motywując wydane rozstrzygniecie organ podniósł, że w świetle materiału dowodowego zebranego w toku postępowania, w tym kopii umów przedłożonych przez Spółkę oraz wyjaśnień złożonych przez jego strony, należy uznać, że [...] jako administrator miał do ściśle określonego momentu podstawę prawną do przetwarzania danych osobowych skarżącego z tytułu dochodzenia od niego roszczeń tytułem wierzytelności w postaci należności pieniężnej związanej z zawartą przez skarżącego umową z [...] o kartę kredytową, która to wierzytelność następnie została przeniesiona na mocy umowy cesji przez [...] na administratora danych, tj. [...] i powierzona do egzekucji Spółce. W związku z powyższym, dane osobowe skarżącego zostały powierzone do przetwarzania Spółce na mocy wcześniej powołanych umów zawartych przez nią z [...] jako administratorem danych, reprezentowanym przez [...]. Zdaniem organu prawnie uzasadniony interes w postaci dochodzenia roszczeń od skarżącego przez [...] jako administratora oraz działającą w jego imieniu Spółkę, w przedmiotowej sprawie nie występuje przez cały okres przetwarzania danych skarżącego, zaś ww. podstawa prawna wygasła najpóźniej z chwilą otrzymania przez Spółkę pisma pełnomocnika skarżącego z [...] czerwca 2018 r., zawierającego m. in. wezwanie do zaprzestania przetwarzania danych skarżącego.
Organ stwierdził, że nie można przyjąć, iż na dzień wydania niniejszej decyzji, [...] jako administrator oraz Spółka jako podmiot przetwarzający nadal mogą przetwarzać dane skarżącego, w szczególności na podstawie art. 6 ust. 1 lit. f RODO.
PUODO podał, że co do zasady dochodzenie roszczeń majątkowych związanych z prowadzeniem działalności gospodarczej należy uznać za prawnie uzasadniony interes realizowany przez administratora danych osobowych, a w przedmiotowej sprawie w jego imieniu przez podmiot przetwarzający, tj. Spółkę. Jednak przetwarzanie danych do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratorów danych osobowych, nie może być dokonywane w dowolnej sytuacji i w dowolnie określonych przez administratorów celach. Przy przetwarzaniu danych na podstawie art. 6 ust. 1 lit. f) RODO należy wziąć pod uwagę okoliczność, czy przetwarzanie takie jest niezbędne i proporcjonalne ze względu na cel określony przez administratora. Ponadto, należy także mieć na względzie prawa i wolności osób, których dane mają być przetwarzane i ich ewentualną priorytetowość w stosunku do celów administratora. Aby powyższe kwestie rozstrzygnąć, każdy administrator powinien przeprowadzić tzw. test równowagi, którego celem jest uzyskanie bilansu ważenia ww. dóbr leżących zarówno po stronie podmiotu danych, jak i ich administratora.
PUODO uznał, że w przedmiotowej sprawie istotną okolicznością jest fakt, iż roszczenia dochodzone przez Spółkę od skarżącego uległy przedawnieniu [...] kwietnia 2017 r., co Spółka sama potwierdziła w swoich wyjaśnieniach. Kolejną istotną okolicznością sprawy jest fakt nieuznania przez skarżącego roszczeń dochodzonych przez Spółkę, co wynika z pisma jego pełnomocnika z [...] czerwca 2018 r. skierowanego do Spółki, w którym podniósł on powyższą okoliczność, a nadto wezwał Spółkę do zaprzestania przetwarzania danych osobowych skarżącego. Zdaniem organu należy zatem uznać, że roszczenie dochodzone przez Spółkę, jest nie tylko przedawnione, ale również sporne, a skarżący nie uznając roszczenia dał Spółce nie budzący wątpliwości sygnał, że nie zamierza uiszczać należności, do czego wzywała go Spółka..
Dalej PUODO stwierdził, że wobec powyższego, dla rozstrzygnięcia niniejszej sprawy, konieczne jest dokonanie oceny kwestii występowania prawnie uzasadnionego interesu Spółki w związku z dochodzeniem przez nią roszczeń w imieniu [...] jako administratora, skoro uległy one przedawnieniu. Organ zwrócił uwagę, że Spółka, w swoich wyjaśnieniach, podkreśliła, iż dochodzenie ww. przedawnionego i zarazem spornego roszczenia stanowi prawnie uzasadniony interes [...] jako administratora, wobec czego podstawą prawną przetwarzania danych skarżącego jest art. 6 ust. 1 lit. f RODO. Spółka w swoich wyjaśnieniach podnosi, że przedmiotowe roszczenie, z racji jego przedawnienia, nie może być co prawda dochodzone pod przymusem państwowym, tj. w drodze postępowania sądowego, jednak stanowi ono w zaistniałej sytuacji tzw. zobowiązanie naturalne (niezupełne), które w dalszym ciągu może być dochodzone na drodze pozasądowej. W ocenie PUODO, ze względu na fakt braku przymusu państwowego, dochodzenie roszczeń z tzw. zobowiązań naturalnych zasadniczo nie podlega zasadom sankcjonowanym przez państwo, ponieważ zobowiązania te, poza nielicznymi wyjątkami, nie są uregulowane w polskim prawie.
Zdaniem organu w tej sytuacji niemożliwym jest skuteczne żądanie przez wierzyciela spełnienia roszczenia przez dłużnika, a spełnienie roszczenia zależy wyłącznie od woli dłużnika, która w przedmiotowej sprawie została wyrażona przez skarżącego i sprowadza się do nieuznania roszczenia oraz żądania zaprzestania przetwarzania danych.
PUODO wskazał, że roszczenie sporne i przedawnione, tak jak w przedmiotowej sprawie, nie korzysta z waloru arbitralnego i sankcjonowanego prawnie przyznania mu cech słuszności i zasadności, jak ewentualnie mogłoby to nastąpić w orzeczeniu sądu, przez co niemożliwe jest stwierdzenie, czy roszczenie to w istocie rzeczy obiektywnie przysługuje wierzycielowi, czy też nie. Organ zauważył przy tym, że samo subiektywne twierdzenie [...] jako administratora oraz Spółki, iż roszczenie jest słuszne i zasadne, nie może być wiążące dla organu administracji państwowej, w tym PUODO, skoro nie jest ono uregulowane przepisami prawa i nie zostało arbitralnie, jednoznacznie i ostatecznie osądzone przez przeznaczony do tego organ państwowy, tj. sąd, czy to powszechny, czy to polubowny, zgodnie z przepisami ustawy z dnia 17 listopada 1964 r. Kodeks postępowania cywilnego (Dz. U. z 2021 r. poz. 1805 ze zm.). W przedmiotowej sprawie nie została również zawarta ugoda, z której treści jasno wynikałyby wzajemne zobowiązania [...] i skarżącego.
Następnie organ wyjaśnił funkcje instytucji przedawnienia w prawie cywilnym i podniósł, że nieskorzystanie przez wierzyciela z drogi sądowej w dochodzeniu roszczeń majątkowych pozbawia go możliwości uzyskania arbitralnego i sankcjonowanego przez państwo rozstrzygnięcia sporu oraz możliwości skutecznego domagania się spełnienia świadczenia, ale dodatkowo wskazuje też na lekceważący stosunek wierzyciela, w szczególności gdy prowadzi on działalność gospodarczą, do kwestii dołożenia należytej staranności w kwestii dochodzenia roszczeń, które, w jego ocenie, mu przysługują. Zdaniem PUODO intencjonalna rezygnacja z wytoczenia procesu sądowego oraz założenie wierzyciela, że będzie on dochodzić roszczeń jedynie na drodze pozasądowej, musi mieć swoje konsekwencje nie tylko w sferze cywilnoprawnej, tj. w zakresie skuteczności dochodzenia roszczeń, ale również w sferze przepisów o ochronie danych osobowych.
PUODO uznał, że nie może być tak, iż świadoma rezygnacja z wytoczenia procesu sądowego, miałaby prowadzić do sytuacji, w której administrator danych, który dochodzi roszczeń w procesie sądowym i którego granice prawnie uzasadnionego interesu wyznaczają terminy przedawnienia roszczeń zawarte w przepisach prawa cywilnego, jest w mniej korzystnej sytuacji prawnej, niż administrator, który intencjonalnie rezygnuje z wytoczenia procesu np. dla zaoszczędzenia na jego kosztach (co w wyjaśnieniach wprost przyznaje Spółka) i nie ograniczają go przy identyfikowaniu swojego prawnie uzasadnionego interesu stanowiącego uzasadnienie przetwarzania danych w zasadzie żadne konkretne terminy (np. przedawnienia roszczeń). Zdaniem organu taka właśnie sytuacja potencjalnie miałaby miejsce w przedmiotowej sprawie, o ile uznano by za uzasadnioną argumentację Spółki, że pomimo przedawnienia - należy przypomnieć: spornego - roszczenia wobec skarżącego, administrator, tj. [...] oraz działająca w jego imieniu Spółka nadal mają prawo przetwarzać dane skarżącego, pomimo wniesienia przez niego w tej kwestii wyraźnego sprzeciwu, powołania się na okoliczność przedawnienia oraz złożenia oświadczenia Spółce o nieuznaniu roszczenia co do meritum.
Organ podniósł, że każdy administrator danych ma obowiązek dokonywania retencji danych, z określeniem, w miarę możliwości, planowanego terminu usunięcia danych poszczególnych kategorii. Informacje w ww. zakresie powinny być ujęte m. in. w treści rejestru czynności przetwarzania (art. 30 ust. 1 lit. f RODO).
Zdaniem PUODO określanie przez Spółkę terminu usunięcia danych jedynie enigmatycznym stwierdzeniem o chwili ustania prawnie uzasadnionego interesu administratora, jest zbyt ogólnikowe, niekonkretne i prowadzi do rozmycia istoty prawem określonych obowiązków [...] jako administratora, przetwarzającego, między innymi, dane skarżącego. To z kolei sprzeciwia się zasadzie przejrzystości przetwarzania danych osobowych, o której mowa w art. 5 ust. 1 lit. a RODO.
W ocenie organu, występowanie prawnej kategorii zobowiązań naturalnych (niezupełnych), nie może być powodem do uznania, że ich dochodzenie w warunkach braku przymusu państwowego i arbitralnej, jednoznacznej oceny mającej ochronę sankcji prawnej, jest równoznaczne z istnieniem prawnie uzasadnionego interesu administratora, który wówczas niemalże dowolnie może określać czas przetwarzania danych. Zdaniem PUODO działanie takie musiałoby być uznane - w perspektywie obowiązujących przepisów dotyczących ochrony danych - za, swego rodzaju, obejście prawa.
Następnie organ podniósł, że z powyższego wynika, że dla przejrzystości przetwarzania danych, musi być przestrzegana zasada czasowego ograniczenia przechowywania danych osobowych. W ocenie PUODO określenie przez administratora, tj. [...], planowanego terminu usunięcia danych stwierdzeniem "po upływie biegu ogólnych terminów przedawnienia roszczeń liczonego od końca roku, w którym nastąpiło zakończenie działań windykacyjnych w sprawie" jest nieadekwatne do dochodzenia roszczeń przedawnionych i odnosi się do dochodzenia roszczeń przed sądem, o czym nie może być mowy w przedmiotowej sprawie.
Zdaniem organu zarówno [...] jako administrator jak i Spółka jako podmiot przetwarzający, w związku z zawartymi przez nią umowami z [...], nie mieli i nadal nie mają wyznaczonych przejrzystych terminów retencji danych w związku z dochodzeniem roszczeń na drodze pozasądowej. To z kolei oznacza, że Spółka i [...] jako administrator nie stosują się do zasady czasowego ograniczenia przetwarzania danych w dostatecznym stopniu. PUODO stwierdził przy tym, że koncepcja zobowiązań naturalnych, nieuregulowana zasadniczo w polskim prawie, w sytuacji gdy [...] jako administrator nie może skutecznie dochodzić od skarżącego roszczeń z racji braku przymusu państwowego, który taką skuteczność determinuje, nie może być argumentem do uznania, że [...], a tym samym Spółka mają prawo nadal przetwarzać dane skarżącego.
W ocenie organu, podstawa prawna do przetwarzania danych skarżącego z racji prawnie uzasadnionego interesu administratora (art. 6 ust. 1 lit f RODO), tzn. dochodzenia roszczenia na drodze pozasądowej, z uwagi na brak możliwości jego skutecznego osądzenia oraz wyegzekwowania, nie ma zastosowania do przedmiotowej sprawy od chwili oświadczenia przez skarżącego Spółce, że roszczenie jest przedawnione i że skarżący go nie uznaje, a więc podważa w ogóle jego istnienie.
W ocenie PUODO, ww. oświadczenie skarżącego przy jednoczesnym wystąpieniu pozostałych ww. okoliczności sprawy, uchyla możliwość powoływania się przez Spółkę i [...] jako administratora na prawnie uzasadniony interes. PUODO podniósł, że interes ten musi być realny i mający podstawę w przepisach prawa, podczas gdy dochodzenie roszczenia od skarżącego bez przymusu państwowego i braku możliwości obiektywnej i sankcjonowanej prawnie oceny sporu prawnego pomiędzy skarżącym a [...] (Spółką), wyklucza realność uzasadnionego interesu administratora. Oświadczenie skarżącego, o którym wyżej mowa, wyraźnie wykluczyło możliwość realnej możliwości dochodzenia od niego jakichkolwiek roszczeń przez [...] oraz działającą w jego imieniu Spółkę. Zdaniem organu kontynuowanie przez [...] oraz Spółkę, w świetle tego oświadczenia, przetwarzania danych skarżącego dla celów windykacji należności, stanowiło nadinterpretację pojęcia prawnie uzasadnionego interesu administratora i instrumentalizację art. 6 ust. 1 lit. f RODO.
PUODO uznał, że ww. interes mógł być przez [...] zrealizowany w inny, bardziej skuteczny, a przede wszystkim przejrzysty, z punktu widzenia oceny procesów przetwarzania danych, sposób, tj. na drodze procesu sądowego, w którym termin przetwarzania danych skarżącego można byłoby określić w sposób skonkretyzowany, bowiem determinowany przez terminy przedawnienia roszczeń wynikające wprost z przepisów prawa. Skoro jednak [...] jako administrator nie skorzystał albo nie zakładał w ogóle opcji wytoczenia postępowania sądowego w związku z dochodzonym roszczeniem od skarżącego, w ocenie organu uznać należy, że świadomie pozbawił się możliwości podnoszenia argumentu prawnie uzasadnionego interesu w związku z przetwarzaniem danych skarżącego.
Organ podniósł, że uznanie argumentacji Spółki, prowadziłoby do sytuacji, w której każdy administrator, z naruszeniem zasady przejrzystości i czasowego ograniczenia przetwarzania danych, świadomie rezygnowałby z sądowej drogi dochodzenia roszczeń chociażby w celu wydłużenia czasu przetwarzania danych, które mogłoby być niesłusznie, ale jednak uzasadniane niezakończonym procesem dochodzenia roszczeń na drodze pozasądowej, która w polskim prawie jest bliżej nieuregulowana i nie korzysta z sankcji państwowej podobnie jak, poza wyjątkami, koncepcja tzw. zobowiązania naturalnego. Powyższe prowadziłoby do sytuacji, w której instytucja przedawnienia chroniłaby określony podmiot praw, tj. w przedmiotowej sprawie skarżącego, przed możliwością skutecznego dochodzenia od niego i, co ważne, egzekwowania (w drodze postępowania egzekucyjnego prowadzonego przez komornika) zobowiązań majątkowych, zaś jego prawa i wolności wynikające z ochrony dóbr osobistych (w tym prawa do prywatności i dobrostanu psychicznego) oraz przepisów o ochronie danych osobowych byłyby w ogóle nieuwzględnione, o ile nie naruszone.
PUODO uznał, że działania windykacyjne prowadzone przez określonego wierzyciela przed terminem przedawnienia roszczeń, np. zmierzające do ugodowego załatwienia sprawy przed wniesieniem powództwa do sądu, w przeciwieństwie do takich działań po tym terminie, należy ocenić inaczej, z punktu widzenia ochrony danych osobowych. W pierwszej sytuacji przetwarzanie danych osobowych stanowi niewątpliwie prawnie uzasadniony interes administratora z uwagi na realność uprawnień przysługujących wierzycielowi (administratorowi danych), a nawet ciążące na nim obowiązki procesowe w postępowaniu przed sądem cywilnym, dotyczące podjęcia próby ugodowego rozwiązania sporu i mające realne znaczenie dla jego sytuacji prawnej w toku postępowania. Natomiast w drugim przypadku, windykacyjne działania pozasądowe podejmowane po przekształceniu się roszczenia w tzw. zobowiązanie naturalne, zasadniczo pozostają w ogóle poza sferą regulowanych przez prawo działań, a więc pozbawionych jakiegokolwiek skutku określonego prawem, także z uwagi na brak przymusu państwowego.
Organ stwierdził, że status prawny tzw. zobowiązania naturalnego nie uzasadnia przyjęcia tezy, iż dochodzenie przez [...] jako administratora oraz Spółkę zapłaty poza drogą sądową i bez przymusu państwowego, stanowi bezwzględnie w każdej sytuacji prawnie uzasadniony interes administratora danych osobowych w rozumieniu art. 6 ust. 1 lit. f, a już tym bardziej wówczas, gdy określony spór prawny, jak w przedmiotowej sprawie, w ogóle nie został poddany postępowaniu sądowemu, a związane z nim roszczenie jest kwestionowane przez skarżącego. Kwestia zobowiązania naturalnego jako prawnie uzasadnionego interesu administratora, na którego istnienie powołuje się w swoich wyjaśnieniach Spółka, nie może być rozpatrywana bez uwzględnienia realnych uprawnień z nim wiążących się, które przysługują [...] jako administratorowi wobec skarżącego.
Zdaniem organu z uwagi na fakt, iż zasadniczo [...] jako administratorowi czy też Spółce nie przysługują jakiekolwiek ww. uprawnienia mogące prowadzić do domagania się zapłaty przez skarżącego, sama okoliczność występowania zobowiązania naturalnego jest niewystarczająca do uznania, że zobowiązanie to stanowi prawnie uzasadniony interes w rozumieniu art. 6 ust. 1 lit. f RODO. Powyższe z kolei oznacza, że w przedmiotowej sprawie art. 6 ust. 1 lit. f RODO nie stanowi, wbrew twierdzeniu Spółki, podstawy prawnej przetwarzania przez [...] jako administratora oraz Spółkę danych skarżącego. Brak prawnie uzasadnionego interesu [...] jako administratora, wyklucza "niezbędność" przetwarzania danych skarżącego, o której mowa w ww. przepisie.
Ponadto w ocenie PUODO, w sytuacji gdy dochodzenie roszczenia z zobowiązania naturalnego, błędnie poczytywane przez [...] oraz Spółkę jako prawnie uzasadniony interes, nie ma zasadniczo prawnej podstawy w obowiązujących przepisach prawa, tym bardziej należy zwrócić uwagę na nadrzędność praw i wolności skarżącego, wymagające ochrony danych osobowych, a w szczególności takich jak prawo do prywatności (dobro osobiste) oraz dobrostanu psychicznego. W sytuacji braku przymusu państwowego związanego z tzw. zobowiązaniem naturalnym, działania windykacyjne Spółki wobec skarżącego mogą opierać się w rzeczywistości wyłącznie
o nawiązywanie z nim kontaktu i kierowanie do niego określonych oświadczeń (treści)
w nieograniczonym czasie, co wobec wyżej powołanych okoliczności faktycznych i prawnych sprawy, naruszałoby jego ww. dobra osobiste, a więc prawa lub wolności.
W tej sytuacji, w ocenie organu, [...] jako administrator oraz Spółka powinni powstrzymać się od przetwarzania danych osobowych skarżącego najpóźniej od chwili, w której pełnomocnik skarżącego w piśmie z [...] czerwca 2018 r. wezwał Spółkę a tym samym [...] jako administratora do zaprzestania przetwarzania danych skarżącego, składając jednocześnie oświadczenie o nieuznaniu roszczeń kierowanych do skarżącego przez ww. podmioty. Dalsze przetwarzanie przez [...] i Spółkę danych osobowych skarżącego odbywało się zatem bez podstawy prawnej.
Końcowo organ wyjaśnił, że wyżej poczyniony wywód nie stanowi przejawu wkraczania przez PUODO w sferę sporów z zakresu zobowiązań umownych i przesądzania o przysługiwaniu roszczeń z tytułu tych zobowiązań. PUODO nie jest uprawniony do rozstrzygania w ww. zakresie, zaś kompetencja taka przysługuje wyłącznie właściwemu sądowi. Uzasadnienie niniejszej decyzji odnosi się zatem do istoty prawnej zobowiązań naturalnych i ich znaczenia w obrocie prawnym wyłącznie dla celów i w zakresie, w którym jest to niezbędne dla dokonania oceny, czy mogą one stanowić prawnie uzasadniony interes [...] jako administratora w rozumieniu przepisów RODO. Nie sposób byłoby ww. oceny dokonać, nie oceniając prawnej istoty tzw. zobowiązania naturalnego, na które powołuje się w swoich wyjaśnieniach Spółka.
Na powyższą decyzję Spółka oraz [...] wnieśli skargi do Wojewódzkiego Sądu Administracyjnego w Warszawie.
Spółka w swojej skardze zarzuciła:
1) naruszenie prawa materialnego, tj. przepisu art. 34 ust. 1 u.o.d.o. w związku z przepisami art. 51 ust. 1 oraz art. 57 ust. 1 lit f) RODO poprzez ich błędną wykładnię polegającą na uznaniu, że PUODO jest organem właściwym do rozstrzygania zagadnień z zakresu prawa cywilnego, w szczególności zasadności roszczeń, możliwości dochodzenia wierzytelności spornych, przedawnionych lub nabytych na podstawie umowy cesji wierzytelności, podczas gdy prawidłowa wykładnia tych przepisów wskazuje, że PUODO jest organem właściwym wyłącznie w sprawach ochrony danych osobowych;
2) naruszenie prawa materialnego, tj. przepisu art. 6 ust. 1 RODO w związku z przepisem art. 58 ust. 2 lit. d) RODO poprzez ich błędną wykładnię polegającą na uznaniu, że Spółka jako podmiot przetwarzający, o którym mowa w przepisie art. 4 pkt 8 RODO powinna legitymować się podstawą prawną przetwarzania danych osobowych wskazaną w przepisie art. 6 ust. 1 lit. a) - f) RODO, podczas gdy prawidłowa wykładnia tych przepisów powinna skutkować uznaniem, że wyłączną podstawą prawną przetwarzania danych osobowych przez podmiot przetwarzający (Spółkę) jest umowa powierzenia przetwarzania danych osobowych, o której mowa w przepisie art. 28 ust. 3 RODO, co doprowadziło do nałożenia na Spółkę niezgodnego z prawem nakazu dostosowania przez Spółkę operacji przetwarzania do przepisów Rozporządzenia poprzez zaprzestanie przetwarzania danych osobowych W. P. bez podstawy prawnej, o którym mowa w przepisie art. 58 ust. 2 lit. d) RODO;
3) naruszenie prawa materialnego, tj. przepisów art. 5 ust. 1 lit. a) i b) RODO w związku z art. 5 ust. 2 RODO poprzez ich niewłaściwe zastosowanie wobec Spółki jako podmiotu przetwarzającego i uznanie, że obowiązkiem Spółki jako podmiotu przetwarzającego było ograniczenie okresu retencji danych osobowych, podczas gdy adresatem norm wskazanych w tych przepisach jest wyłącznie administrator, a nie podmiot przetwarzający (Spółka), który to jest zobowiązany wyłącznie do działania zgodnie z umową powierzenia przetwarzania danych osobowych oraz instrukcjami otrzymanymi od administratora, tj. [...] Funduszu [...] Zamkniętego Niestandaryzowanego Funduszu [...] (dalej: "Fundusz" lub "Administrator"), wyłącznie odpowiedzialnego za przestrzeganie tych zasad;
4) naruszenie prawa materialnego, tj. przepisu art. 5 ust. 1 lit. a) RODO poprzez jego błędną wykładnię polegającą na przyjęciu, że przepis ten uniemożliwia powiązanie okresu retencji z prawnie uzasadnionym interesem administratora, podczas gdy Fundusz uzależniając okres retencji od swojego prawnie uzasadnionego interesu wskazał konkretne kryteria ustalania tego okresu, co skutkowało wydaniem przez PUODO bezzasadnego nakazu dostosowania przez Spółkę operacji przetwarzania do przepisów RODO poprzez zaprzestanie przetwarzania bez podstawy prawnej danych osobowych W. P.;
5) naruszenie prawa materialnego, tj. przepisu art. 5 ust. 1 lit. b) RODO poprzez jego błędną wykładnię polegającą na przyjęciu, że przepis ten ustanawia zasadę czasowego ograniczenia przechowywania, w sytuacji gdy przepis ten ustanawia zasadę ograniczenia celu, a w konsekwencji nieuzasadnione uznanie, że Spółka naruszyła zasadę czasowego ograniczenia przechowywania, co skutkowało wydaniem przez PUODO bezzasadnego nakazu dostosowania przez Spółkę operacji przetwarzania do przepisów Rozporządzenia poprzez zaprzestanie przetwarzania bez podstawy prawnej danych osobowych W. P.;
6) naruszenie prawa materialnego, tj. przepisów art. 58 ust. 2 lit. d) RODO w związku z art. 28 ust. 3 RODO poprzez ich niewłaściwe zastosowanie polegające na nałożeniu na Spółkę niezgodnego z prawem nakazu dostosowania przez Spółkę operacji przetwarzania do przepisów RODO poprzez zaprzestanie przetwarzania danych osobowych W. P. bez podstawy prawnej, o którym mowa w przepisie art. 58 ust. 2 lit. d) RODO, podczas gdy obowiązek zaprzestania przetwarzania danych osobowych może być nałożony jedynie na administratora tj. Fundusz, a przetwarzanie przez podmiot przetwarzający (Spółkę) danych osobowych jest całkowicie uzależnione od instrukcji wydanych podmiotowi przetwarzającemu przez administratora, co w konsekwencji doprowadziło do nałożenia na podmiot przetwarzający (Spółkę) obowiązku, który nie został na nią nałożony przez przepisy RODO;
7) naruszenie przepisów postępowania, które miało istotny wpływ na wynik sprawy, tj. przepisów art. 19, art. 20 k.p.a. poprzez orzeczenie w decyzji o zasadności roszczeń cywilnoprawnych [...] wobec W. P., a w konsekwencji poprzez orzeczenie o obowiązkach cywilnoprawnych Spółki z naruszeniem przepisów o właściwości rzeczowej Prezesa UODO, tj. przepisu art. 34 ust. 1 ustawy o ochronie danych osobowych w sytuacji, gdy właściwy do rozstrzygnięcia o zasadności roszczeń [...] był sąd cywilny;
8) naruszenie przepisów postępowania, które miało istotny wpływ na wynik sprawy, tj. przepisów art. 7 w związku z art. 77 § 1 i art. 80 k.p.a. poprzez dokonanie dowolnej i nieprawidłowej oceny dowodów, skutkującej błędnym ustaleniem faktycznym, że roszczenie Administratora było sporne i W. P. go nie uznaje, podczas gdy W. P. po dokonaniu cesji wierzytelności uiszczał na rzecz [...] opłaty z tytułu posiadania karty kredytowej oraz skierował do [...] pismo z [...] stycznia 2014 r. dotyczące długu, co jest równoznaczne z niewłaściwym uznaniem długu, co skutkowało wydaniem przez PUODO bezzasadnego nakazu dostosowania przez Spółkę operacji przetwarzania do przepisów RODO poprzez zaprzestanie przetwarzania bez podstawy prawnej danych osobowych W. P.;
9) naruszenie przepisów postępowania, które miało istotny wpływ na wynik sprawy, tj. przepisów art. 7 w związku z art. 77 § 1 i art. 80 k.p.a., polegające na niewyczerpującym zebraniu i rozpatrzeniu całego materiału dowodowego i niepodjęciu wszelkich kroków niezbędnych do dokładnego wyjaśnienia stanu faktycznego i załatwienia sprawy, w szczególności nieustaleniu czy postępowanie karne prowadzone przez Komendę Rejonową Policji [...] (sygn. [...]) przeciwko Spółce, wciąż się toczy czy zostało zakończone i w konsekwencji wydaniem bezzasadnego nakazu dostosowania przez Spółkę operacji przetwarzania do przepisów RODO poprzez zaprzestanie przetwarzania bez podstawy prawnej danych osobowych W. P.;
10) naruszenie przepisów postępowania, które miało istotny wpływ na wynik sprawy, tj. przepisu art. 107 § 3 k.p.a. polegające na niedostatecznym i niepełnym uzasadnieniu decyzji poprzez brak dokładnego uzasadnienia dlaczego organ uznał za niewiarygodne wyjaśnienia i dowody przedłożone przez Spółkę dotyczące uznania roszczenia przez W. P., brak analizy prawnej kwestii uznania roszczenia, brak dokładnego uzasadnienia w jaki sposób Spółka dopuściła się rzekomego naruszenia zasad wyrażonych w przepisach art. 5 ust. 1 lit. a) i b) RODO, co skutkuje brakiem możliwości kontroli instancyjnej i skutecznego sformułowania zarzutów wobec decyzji.
W oparciu o te zarzuty Spółka wniosła o:
1) uchylenie zaskarżonej decyzji w całości;
2) wstrzymanie wykonania zaskarżonej decyzji przez organ, a w przypadku, gdyby organ nie uwzględnił tego wniosku, o wstrzymanie wykonania zaskarżonej decyzji przez Sąd, ze względu na niebezpieczeństwo spowodowania trudnych do odwrócenia skutków oraz niebezpieczeństwo wyrządzenia znacznej szkody po stronie Spółki;
3) wyznaczenie rozprawy celem rozpoznania niniejszej sprawy;
4) zasądzenie od organu na rzecz Spółki zwrotu kosztów postępowania, w tym kosztów zastępstwa procesowego, według norm przepisanych oraz zwrotu kwoty 68 zł uiszczonej tytułem opłaty skarbowej od pełnomocnictwa.
W odpowiedzi na skargę Spółki organ wniósł o jej oddalenie. W uzasadnieniu swojego stanowiska organ podtrzymał argumentacją zawartą w zaskarżonej decyzji.
Ponadto organ stwierdził, że zamieszczony w skardze wywód dotyczący oddzielnych ról w procesie przetwarzania danych administratora i Spółki jako - odpowiednio - administratora i podmiotu przetwarzającego w rozumieniu przepisów art. 4 pkt 7 i pkt 8 RODO, nie wnosi nic do sprawy, stwierdzenia w nim zawarte są oczywiste i niewymagające szerszej egzegezy, a zaskarżona decyzja czyni im zadość. Z tego względu, PUODO nie podzielił zastrzeżeń i wątpliwości pełnomocnika Spółki, odnoszących się do kwestii sensu rozstrzygnięcia i jego właściwego adresata.
Organ wyjaśnił, że kieruje decyzję do obu podmiotów przede wszystkim z uwagi na fakt, że są one stronami w sprawie w rozumieniu art. 28 k.p.a. i działają w ścisłym porozumieniu wynikającym chociażby z zawartych przez nie umów. Dlatego też decyzja jest skierowana, co do zasady, z uwagi na rolę administrowania danymi, wobec administratora, natomiast do Spółki jedynie w takim zakresie, w którym co najmniej działa ona na rzecz administratora i wykonuje jego polecenia w związku z powierzeniem przetwarzania danych. Tak więc, Spółka jest adresatem przedmiotowej decyzji nie jako podmiot mający uprawnienia i obowiązki administratora, ale jako podmiot przetwarzający, działający na jego zlecenie i wykonujący czynności przetwarzania na jego rzecz, w zakresie określonym (co do sposobu i celu przetwarzania) przez administratora.
Sprawa ze skargi Spółki została zarejestrowana pod sygnaturą akt II SA/Wa 1001/23.
[...] w swojej skardze zarzucił:
1) naruszenie prawa materialnego, tj. przepisu art. 34 ust. 1 u.o.d.o. w związku z przepisami art. 51 ust. 1 oraz art. 57 ust. 1 lit. f) RODO poprzez ich błędną wykładnię polegającą na uznaniu, że PUODO jest organem właściwym do rozstrzygania zagadnień z zakresu prawa cywilnego, w szczególności zasadności roszczeń, możliwości dochodzenia wierzytelności spornych, przedawnionych lub nabytych na podstawie umowy cesji wierzytelności, podczas gdy prawidłowa wykładnia tych przepisów wskazuje, że PUODO jest organem właściwym wyłącznie w sprawach ochrony danych osobowych;
2) naruszenie prawa materialnego, tj. przepisu art. 58 ust 2 lit. d) RODO w związku z przepisem art. 6 ust. 1 lit. f) RODO w związku z przepisem art. 509 § 1 i § 2 ustawy z 23 kwietnia 1964 r. - Kodeks cywilny oraz przepisem art. 3531 k.c. w związku z przepisem art. 8 ustawy z 6 marca 2018 r. - Prawo przedsiębiorców (Dz. U. z 2023 r. poz. 221) dalej: "Prawo przedsiębiorców", polegające na ich niewłaściwym zastosowaniu i przyjęciu, że pomimo zawarcia przez [...] ważnej umowy cesji wierzytelności, w wyniku której pozyskał dane W. P., nie miał podstawy prawnej przetwarzania danych osobowych W. P. w celu dochodzenia od niego roszczeń majątkowych, co w rezultacie uniemożliwia realizację przez [...] swoich praw nabytych w wyniku zawarcia tej umowy, w konsekwencji naruszając zasadę swobody umów oraz zasadę wolności prowadzenia działalności gospodarczej;
3) naruszenie prawa materialnego, tj. przepisu art. 58 ust. 2 lit. d) RODO w związku z przepisem art. 6 ust. 1 lit. f) RODO polegające na ich niewłaściwym zastosowaniu i przyjęciu, że [...] legitymował się podstawą do przetwarzania danych osobowych W. P. jedynie do [...] czerwca 2018 r., podczas gdy z uwagi na uznanie przez niego roszczenia [...] stycznia 2014 r., nadal legitymuje się podstawą prawną do przetwarzania danych osobowych W. P., wyrażoną w przepisie art. 6 ust. 1 lit. f) RODO, ponieważ uznanie roszczenia nie może zostać cofnięte ani odwołane;
4) naruszenie prawa materialnego, tj. przepisu art. 58 ust. 2 lit. d) RODO w związku z przepisem art. 6 ust. 1 lit. f) RODO polegające na ich niewłaściwym zastosowaniu i przyjęciu, że Spółka nie legitymuje się podstawą prawną z przepisu art. 6 ust. 1 lit. f) RODO, podczas gdy organ powinien był uwzględnić, że [...] przetwarza dane nie tylko w celu dochodzenia roszczeń przeciwko W. P., ale również w celu obrony przed roszczeniami W. P., których ryzyko zgłoszenia jest wysokie mając na uwadze wszczęte postępowanie przed PUODO, KNF i postępowanie karne, a także zapowiedzi wszczęcia postępowania cywilnego, co skutkowało wydaniem przez PUODO bezzasadnego nakazu dostosowania przez administratora operacji przetwarzania do przepisów Rozporządzenia poprzez zaprzestanie przetwarzania bez podstawy prawnej danych osobowych W. P.;
5) naruszenie prawa materialnego, tj. przepisu art. 58 ust. 2 lit. d) RODO w związku z art. 6 ust. 1 lit. f) RODO w związku z przepisem art. 117 § 2 i § 21 oraz art. 1171 § 1 k.c. polegające na ich niewłaściwym zastosowaniu i przyjęciu, że przetwarzanie przez [...] danych osobowych W. P. dla celu dochodzenia od niego roszczeń majątkowych nie stanowi dla [...] prawnie uzasadnionego interesu w rozumieniu przepisu art. 6 ust. 1 lit. f) RODO, a w konsekwencji uznaniu, że nie legitymuje się on przesłanką uzasadniającą takie przetwarzanie i w konsekwencji wydanie bezzasadnego nakazu dostosowania przez administratora operacji przetwarzania do przepisów RODO poprzez zaprzestanie przetwarzania bez podstawy prawnej danych osobowych W. P., podczas gdy legitymował się on i nadal legitymuje się podstawą prawną do przetwarzania danych osobowych W. P., wyrażoną w przepisie art. 6 ust. 1 lit. f) RODO w związku z przepisem art. 117 § 2 i § 21 oraz art. 1171 § 1 k.c.;
6) naruszenie prawa materialnego, tj. przepisu art. 5 ust. 1 lit. a) RODO poprzez jego niewłaściwą interpretację polegającą na przyjęciu, że przepis ten uniemożliwia powiązanie okresu retencji z prawnie uzasadnionym interesem administratora, podczas gdy [...] uzależniając okres retencji od swojego prawnie uzasadnionego interesu wskazał konkretne kryteria ustalania tego okresu, co skutkowało wydaniem przez PUODO bezzasadnego nakazu dostosowania przez administratora operacji przetwarzania do przepisów RODO poprzez zaprzestanie przetwarzania bez podstawy prawnej danych osobowych W. P.;
7) naruszenie prawa materialnego, tj. przepisu art. 5 ust. 1 lit. b) RODO poprzez jego niewłaściwą interpretację polegającą na przyjęciu, że przepis ten ustanawia zasadę czasowego ograniczenia przechowywania, w sytuacji gdy przepis ten ustanawia zasadę ograniczenia celu, a w konsekwencji nieuzasadnione uznanie, że [...] naruszył zasadę czasowego ograniczenia przechowywania, co skutkowało wydaniem przez PUODO bezzasadnego nakazu dostosowania przez administratora operacji przetwarzania do przepisów RODO poprzez zaprzestanie przetwarzania bez podstawy prawnej danych osobowych W. P.;
8) naruszenie przepisów postępowania, które miało istotny wpływ na wynik sprawy, tj. przepisów art. 19, art. 20 k.p.a. poprzez orzeczenie w decyzji o zasadności roszczeń cywilnoprawnych [...] wobec W. P. z naruszeniem przepisów o właściwości rzeczowej PUODO, tj. przepisu art. 34 ust. 1 u.o.d.o. w sytuacji, gdy właściwy do rozstrzygnięcia o zasadności roszczeń [...] był sąd cywilny, co skutkowało bezpodstawnym wydaniem przez PUODO nakazu dostosowania przez administratora operacji przetwarzania do przepisów RODO poprzez zaprzestanie przetwarzania bez podstawy prawnej danych osobowych W. P.;
9) naruszenie przepisów postępowania, które miało istotny wpływ na wynik sprawy, tj. przepisów art. 7 w związku z art. 77 § 1 i art. 80 k.p.a. poprzez dokonanie dowolnej i nieprawidłowej oceny dowodów, skutkującej błędnym ustaleniem faktycznym, że roszczenie administratora było sporne i W. P. go nie uznaje, podczas gdy W. P. po dokonaniu cesji wierzytelności uiszczał na rzecz [...] opłaty z tytułu posiadania karty kredytowej oraz skierował do [...] pismo z [...] stycznia 2014 r. dotyczące długu, co jest równoznaczne z niewłaściwym uznaniem długu, co skutkowało wydaniem przez PUODO bezzasadnego nakazu dostosowania przez administratora operacji przetwarzania do przepisów RODO poprzez zaprzestanie przetwarzania bez podstawy prawnej danych osobowych Pana W. P.;
10) naruszenie przepisów postępowania, które miało istotny wpływ na wynik sprawy, tj. przepisów art. 7 w związku z art. 77 § 1 i art. 80 k.p.a., polegające na niewyczerpującym zebraniu i rozpatrzeniu całego materiału dowodowego i niepodjęciu wszelkich kroków niezbędnych do dokładnego wyjaśnienia stanu faktycznego i załatwienia sprawy, w tym ustalenia czy [...] legitymuje się przesłanką uzasadniającą przetwarzanie danych osobowych W. P., w szczególności czy postępowanie karne prowadzone przez Komendę Rejonową Policji [...] (sygn. [...]) przeciwko Spółce, wciąż się toczy czy zostało zakończone i w konsekwencji wydaniem bezzasadnego nakazu dostosowania przez administratora operacji przetwarzania do przepisów RODO poprzez zaprzestanie przetwarzania bez podstawy prawnej danych osobowych W. P.;
11) naruszenie przepisów postępowania, które miało istotny wpływ na wynik sprawy, tj. przepisu art. 107 § 3 k.p.a. polegające na niedostatecznym i niepełnym uzasadnieniu decyzji poprzez brak dokładnego uzasadnienia dlaczego organ uznał za niewiarygodne wyjaśnienia i dowody przedłożone przez Spółkę dotyczące uznania roszczenia przez W. P., brak analizy prawnej kwestii uznania roszczenia, brak dokładnego uzasadnienia w jaki sposób [...] dopuścił się rzekomego naruszenia zasad b) RODO, co skutkuje brakiem możliwości kontroli instancyjnej i skutecznego sformułowania zarzutów wobec decyzji.
W oparciu o te zarzuty [...] wniósł o:
1) uchylenie zaskarżonej decyzji w całości;
2) wstrzymanie wykonania zaskarżonej decyzji przez organ, a w przypadku, gdyby organ nie uwzględnił tego wniosku, o wstrzymanie wykonania zaskarżonej decyzji przez Sąd, ze względu na niebezpieczeństwo spowodowania trudnych do odwrócenia skutków oraz niebezpieczeństwo wyrządzenia znacznej szkody po stronie [...];
3) wyznaczenie rozprawy celem rozpoznania niniejszej sprawy;
4) zasądzenie od organu na jego rzecz i zwrotu kosztów postępowania,
w tym kosztów zastępstwa procesowego, według norm przepisanych oraz zwrotu kwoty 68 zł uiszczonej tytułem opłaty skarbowej od pełnomocnictwa.
W odpowiedzi na skargę [...] organ wniósł o jej oddalenie podtrzymując stanowisko wyrażone w zaskarżonej decyzji.
Ponadto organ wskazał, że w przedmiotowej w odniesieniu do kwestii z zakresu prawa cywilnego stwierdził jedynie, że roszczenia dochodzone przez administratora są przedawnione i niepotwierdzone arbitralnie przez kompetentny organ (sąd), a nadto, że zobowiązania naturalne, na które powołuje się administrator, są nieuregulowane (poza nielicznymi wyjątkami niemającymi związku z przedmiotową sprawą) w przepisach prawa, a ich znaczenie w obrocie prawnym jest kwestionowane niejednokrotnie przez sądy. PUODO wskazał także, że powyższe okoliczności, w szczególności wobec faktu złożenia przez skarżącego sprzeciwu odnośnie dalszego przetwarzania jego danych oraz zapowiedzi niespełnienia świadczenia z powodu jego przedawnienia, wykluczają realność prawnie uzasadnionego interesu przetwarzania, na który powołuje się administrator. Wobec powyższych i, jak się wydaje, bezsprzecznych okoliczności, ignorowanie ich przez organ nadzorczy prowadziłoby do powierzchowności dokonywanych przez niego rozstrzygnięć, a także ich niezgodności z ratio legis przepisów prawa, a w szczególności art. 6 ust. 1 lit. f RODO.
PUODO wyjaśnił, że o konieczności spełnienia warunku realności prawnie uzasadnionego interesu realizowanego przez administratora, organ nadzorczy wypowiadał się wiele razy, w związku z prowadzonymi przez niego postępowaniami (tak np. w decyzji z [...] lutego 2019 r. sygn. akt: [...]). Ponadto, w ww. kwestii wypowiedziała się także Grupa Robocza Art. 29 w Opinii 06/2014 w sprawie pojęcia uzasadnionych interesów administratora danych zawartego w art. 7 dyrektywy 95/46/WE z 9 kwietnia 2014 r. (844/14/PL WP 217), aktualnej także w obecnym stanie prawnym. W ww. opinii wskazano, że "Ponadto przedmiotowy interes musi być także interesem "administratora danych". Wymaga to rzeczywistego i aktualnego interesu, czegoś, co odpowiada bieżącym działaniom lub korzyściom, które są oczekiwane w bardzo bliskiej przyszłości. Innymi słowy, interesy, które są zbyt ogólnikowe lub oparte na przypuszczeniach, będą niewystarczające".
W ocenie organu w przedmiotowej sprawie, identyfikowanie przez administratora prawnie uzasadnionego interesu jako dochodzenia nieosądzonych roszczeń od skarżącego, na podstawie koncepcji tzw. zobowiązań naturalnych (tj. w warunkach braku przymusu państwowego), w szczególności wobec faktu złożenia przez niego oświadczenia o odmowie uiszczenia jakichkolwiek kwot pieniężnych na rzecz administratora, jest oparte na przypuszczeniach, o których mowa w ww. Opinii. Przypuszczenia te mogą sprowadzać się, przykładowo, do kontrowersyjnego założenia, że skarżący, nagabywany przez przedstawicieli Spółki, uiści roszczoną kwotę, jako, swego rodzaju, "cenę" za odzyskanie spokoju życiowego.
Sprawa ze skargi [...] została zarejestrowana pod sygnaturą akt II SA/Wa 1002/23.
W pismach procesowych z dnia 8 listopada 2023 r. Spółka oraz [...] podtrzymały zarzuty skargi.
Na rozprawie w dniu Sąd postanowił połączyć do łącznego rozpoznania
i rozstrzygnięcia sprawy o sygnaturach II SA/Wa 1001/23 oraz II SA/Wa 1002/23
i prowadzić pod wspólną sygnaturą akt II SA/Wa 1001/23.
Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje:
Zgodnie z art. 1 § 1 i § 2 ustawy z dnia 25 lipca 2002 r. Prawo o ustroju sądów administracyjnych (Dz. U. z 2022 r. poz. 2492, z późn. zm.), sądy administracyjne sprawują wymiar sprawiedliwości m. in. przez kontrolę działalności administracji publicznej, a kontrola ta sprawowana jest pod względem zgodności z prawem, jeżeli ustawy nie stanowią inaczej.
Skarga oceniana w świetle powyższych kryteriów zasługuje na uwzględnienie, choć nie wszystkie podniesione w skargach zarzuty okazały się zasadne.
W pierwszej kolejności należy zwrócić uwagę na naruszenie przepisów postępowania, które doprowadziło do pozbawienia [...] udziału w postępowaniu zakończonym zaskarżoną decyzją.
Wyjaśnić należy, że zgodnie z art. 4 pkt 7 RODO "administrator" oznacza osobę fizyczną lub prawną, organ publiczny, jednostkę lub inny podmiot, który samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych osobowych; jeżeli cele i sposoby takiego przetwarzania są określone w prawie Unii lub w prawie państwa członkowskiego, to również w prawie Unii lub w prawie państwa członkowskiego może zostać wyznaczony administrator lub mogą zostać określone konkretne kryteria jego wyznaczania. Z kolei stosownie do treści art. 4 pkt 8 RODO "podmiot przetwarzający" oznacza osobę fizyczną lub prawną, organ publiczny, jednostkę lub inny podmiot, który przetwarza dane osobowe w imieniu administratora.
Zauważyć należy, że w swojej skardze wywiedzionej do PUODO W. P. (dalej "uczestnik postępowania") zarzut nielegalnego przetwarzania danych osobowych postawił wyłącznie Spółce. Organ prowadząc czynności w sprawie korespondował wyłącznie ze Spółką i od tego podmiotu żądał zajęcia stanowiska co do zasadności powyższej skargi (pismo organu z dnia [...] kwietnia 2019 r. - k. 14, pismo z dnia [...] września 2022 r. – k. 57 oraz z dnia [...] listopada 2022 r. k-148.). Stan faktyczny sprawy organ ustalił wyłącznie opierając się na wyjaśnieniach Spółki i przedstawionych przez nią dokumentach.
Organ ustalił w ten sposób, że Spółka pozyskała do przetwarzania dane osobowe uczestnika postępowania na podstawie umowy o zarządzanie wierzytelnościami z dnia [...] stycznia 2012 r., zawartej z wierzycielem, tj. [...], w zakresie i w celu niezbędnym dla dochodzenia roszczeń z tytułu prowadzonej działalności gospodarczej. Dane osobowe uczestnika postępowania zostały udostępnione do przetwarzania [...] na podstawie umowy cesji wierzytelności, zawartej [...] października 2013 r. z [...]. Na podstawie ww. umowy [...] nabył zobowiązanie wynikające z umowy zawartej wcześniej przez uczestnika postępowania z [...]. W oparciu o powyższe ustalenia PUODO stwierdził, że w okolicznościach niniejszej sprawy administratorem danych uczestnika postępowania jest [...], zaś Spółka podmiotem przetwarzającym.
W drodze zaskarżonej decyzji organ nałożył wskazany w jej rozstrzygnięciu obowiązek zarówno na Spółkę jak i na [...]. [...] nie brał jednak udziału
w postępowaniu prowadzonym przez organ. Podmiot ten nie był poinformowany
o wszczęciu postępowania. Nie był również wzywany przez organ do złożenia wyjaśnień w sprawie. [...] i reprezentująca go [...] Towarzystwo Funduszy [...] S.A. byli wprawdzie adresatami pisma z dnia [...] lutego 2023 r. (k. 166 oraz 170), informującego o zgromadzeniu materiału dowodowego wystarczającego do wydania decyzji administracyjnej. Podmioty te zostały również poinformowane
o uprawnieniach wynikających z art. 10 § 1 k.p.a. Wyznaczono im również termin 14 dni na zapoznanie się z aktami sprawy. W piśmie tym wskazano jednak, że postępowanie, w którym pismo to jest do nich kierowane, dotyczy skargi uczestnika postępowania na przetwarzanie jego danych osobowych przez Spółkę. Pismo to nie zwiera szczegółów dotyczących tego postępowania, z których można by było wysnuć wniosek, że w postępowaniu prowadzonym przez PUODO przedmiotem oceny organu jest również legalność przetwarzania danych osobowych uczestnika postępowania przez [...].
Z pisma tego nie wynikało zatem, że organ jako stronę tego postępowania traktuje również [...], oraz że podmiot ten może być adresatem decyzji kończącej to postępowanie.
Zgodnie z art. 10 § 1 k.p.a. organy administracji publicznej obowiązane są zapewnić stronom czynny udział w każdym stadium postępowania, a przed wydaniem decyzji umożliwić im wypowiedzenie się co do zebranych dowodów i materiałów oraz zgłoszonych żądań. Organy administracji publicznej mogą odstąpić od zasady określonej w § 1 tylko w przypadkach, gdy załatwienie sprawy nie cierpi zwłoki ze względu na niebezpieczeństwo dla życia lub zdrowia ludzkiego albo ze względu na grożącą niepowetowaną szkodę materialną (art. 10 § 2 k.p.a.).
Stosownie do treści art. 145 § 1 pkt 4 k.p.a. w sprawie zakończonej decyzją ostateczną wznawia się postępowanie, jeżeli strona bez własnej winy nie brała udziału w postępowaniu.
W doktrynie wskazuje się, że wznowienie postępowania z tej przyczyny następuje niezależnie od tego, czy brak udziału strony wywarł wpływ na treść decyzji (zob. M. Jaśkowska, M. Wilbrandt-Gotowicz, A. Wróbel Komentarz aktualizowany do Kodeksu postępowania administracyjnego, LEX/el. 2024). Sytuacja, gdy strona bez własnej winy nie bierze udziału w postępowaniu administracyjnym, występuje zarówno wówczas, kiedy strona nie miała możliwości uczestniczenia w całym postępowaniu, jak i w niektórych jego etapach. Nie ma przy tym znaczenia, czy udział strony mógł przełożyć się na wynik sprawy i ewentualnie w jakim zakresie. Ważne jest, że strona bez własnej winy nie mogła wziąć udziału w postępowaniu i chodzi tutaj o przeszkody od niego niezależne, których obiektywnie nie był w stanie przezwyciężyć (zob. wyrok WSA w Poznaniu z 30 listopada 2021 r., sygn. akt I SA/Po 754/21, LEX nr 3281796).
Wyjaśnić również należy, że zgodnie z art. 145 § 1 pkt 1 lit. b ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2023 r. poz. 1634, z późn. zm.), dalej "p.p.s.a.", sąd uwzględniając skargę na decyzję lub postanowienie uchyla decyzję lub postanowienie w całości albo w części, jeżeli stwierdzi naruszenie prawa dające podstawę do wznowienia postępowania administracyjnego.
W ocenie Sądu z taką sytuacją mamy do czynienia w niniejszej sprawie, albowiem [...] jako administrator danych uczestnika postępowania, mimo, że był adresatem zaskarżonej decyzji, to nie brał udziału w postępowaniu prowadzonym przez PUODO. Tego rodzaju uchybienie nie wymaga wykazywania istotnego wpływu na wynik sprawy i stanowi samodzielną podstawę do uchylenia zaskarżonej decyzji.
W licznych orzeczeniach sądy administracyjne przyjmują, że dla zastosowania art. 145 § 1 pkt 1 lit. b p.p.s.a. nie ma przy tym znaczenia, że zgodnie z art. 147 k.p.a. wznowienie postępowania z przyczyny określonej w art. 145 § 1 pkt 4 k.p.a. następuje tylko na żądanie strony. Artykuł 145 § 1 pkt 1 lit. b p.p.s.a. nakazuje sądowi administracyjnemu uchylenie decyzji w razie stwierdzenia naruszenia prawa dającego podstawę do wznowienia postępowania administracyjnego (por. m.in. wyrok SN z dnia 4 grudnia 2002 r., III RN 200/01, OSNPUS 2003, nr 24, poz. 582; wyrok NSA z dnia 2 lutego 2006 r., II OSK 496/05, LEX nr 196700; wyrok NSA z dnia 27 marca 2009 r., II OSK 151/09, LEX nr 486351, i wyrok WSA w Olsztynie z dnia 23 lipca 2008 r., II SA/Ol 196/08, LEX nr 446105). Również w uchwale składu 7 sędziów NSA z dnia 25 kwietnia 2005 r., FPS 6/04, ONSAiWSA 2005, nr 4, poz. 66, przyjęto, że w razie stwierdzenia naruszenia prawa dającego podstawę do wznowienia postępowania administracyjnego możliwe jest uchylenie zaskarżonej decyzji niezależnie od tego, czy naruszenie mogło, czy też nie mogło mieć wpływu na wynik sprawy. Tak też przyjął WSA w Gdańsku w wyroku z dnia 15 lipca 2011 r., II SA/Gd 254/11, LEX nr 852979.
W tym miejscu należy podnieść, że Sąd co do zasady podziela stanowisko organy wyrażone w odpowiedzi na skargę Spółki, a wskazujące na prawidłowość działania organu polegającego na skierowaniu zaskarżonej decyzji zarówno do [...] będącym administratorem danych osobowych uczestnika postepowania, jaki i Spółki będącej podmiotem przetwarzającym. Podmioty te były stronami w sprawie rozumieniu art. 28 k.p.a. (choć jeden z nich z winy organu był pozbawiony udziału w postępowaniu) i jak zauważa organ działają one w ścisłym porozumieniu wynikającym z zawartych między nimi umów. W przypadku uznania, że dane osobowe uczestnika postępowania są przetwarzane nielegalnie to decyzja nakładająca uprawnienia naprawcze oprócz administratora może być również skierowana do podmiotu przetwarzającego, albowiem podmiot ten działa na rzecz administratora i wykonuje jego polecenia w związku z powierzeniem przetwarzania danych.
Kolejnym uchybieniem organu jest uznanie za udowodnione kwestii, co do których organ prowadził postępowanie wyjaśniające, a których samodzielnie ustalić nie mógł.
Wyjaśnić należy, że w świetle przepisów RODO przetwarzanie danych osobowych uważa się za legalne, jeśli ich administrator spełni co najmniej jedną z przesłanek wskazanych w art. 6 ust. 1 RODO, a mianowicie: a) osoba, której dane dotyczą wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów, b) przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy, c) przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze, d) przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej, e) przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi, f) przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem.
Z ustaleń organu wynika, że [...] jako administrator danych ma roszczenie
w stosunku do uczestnika postępowania. Jak już wskazano wyżej dane osobowe uczestnika postępowania zostały udostępnione do przetwarzania [...] na podstawie umowy cesji wierzytelności, zawartej [...] października 2013 r. z [...]. Na podstawie ww. umowy [...] nabył zobowiązanie wynikające z umowy zawartej wcześniej przez uczestnika postępowania z [...].
Organ w niniejszej sprawie oceniał, czy w tej sytuacji podstawą przetwarzania danych osobowych uczestnika postępowania może być art. 6 ust. 1 lit f RODO. Odnośnie tej kwestii organ uznał, że co do zasady dochodzenie roszczeń majątkowych związanych z prowadzeniem działalności gospodarczej należy uznać za prawnie uzasadniony interes realizowany przez administratora danych osobowych a w przedmiotowej sprawie przez podmiot przetwarzający. PUODO stwierdził jednak, że w niniejszej sprawie art. 6 ust. 1 lit f RODO nie daje podstaw do przetwarzania danych osobowych uczestnika postepowania albowiem powyższe roszczenie uległo przedawnieniu, a ponadto, że jest ono sporne. Organ przedstawił przy tym szeroki wywód odnośnie instytucji przedawnienia oraz zobowiązań naturalnych w kontekście podstaw przetwarzania danych osobowych.
W ocenie Sądu w sytuacji, gdy w kwestiach tych nie wypowiedział się sąd powszechny organ nie mógł ocenić samodzielnie, czy roszczenie to uległo przedawnieniu, albowiem nie jest do tego uprawniony.
PUODO nie jest uprawniony do rozstrzygnięcia sporu między stronami prowadzonego przez niego postępowania, co do wygaśnięcia wierzytelności z powodu przedawnienia. Spór co do istnienia lub nieistnienia wierzytelności jest sprawą cywilną w rozumieniu art. 1 Kodeksu postępowania cywilnego, do którego rozstrzygnięcia jest właściwy sąd powszechny, między innymi w trybie rozstrzygnięcia powództwa o ustalenie na podstawie art. 189 k.p.c. (zob. wyrok NSA z dnia 13 stycznia 2022 r., sygn. akt II OSK 4763/21, orzeczenia.nsa.gov.pl). W kontrolowanym postępowaniu administracyjnym ocenie winna podlegać wyłącznie legalność przetwarzania danych osobowych uczestnika postępowania, a nie kwestie, do których ustalenia właściwy jest sąd powszechny. To sąd powszechny po ocenie przedstawionych przez strony dowodów, w postępowaniu regulowanym w przepisach Kodeksu postępowania cywilnego, winien ocenić czy roszczenie uległo przedawnieniu. Przy ocenie tej winna również być brana pod uwagę kwestia tego kiedy rozpoczął bieg przedawnienia (art. 120 k.c.), czy bieg przedawnienia nie uległ zawieszeniu (art. 121 k.c.), bądź czy doszło do przerwania biegu przedawnienia (art. 123 k.c.).
Zdaniem Sądu w tym zakresie organ nie mógł oprzeć się wyłącznie na oświadczeniu Spółki będącej podmiotem przetwarzającym. W Kodeksie postępowania administracyjnego nie ma odpowiednika art. 229 k.p.c., który stanowi, że nie wymagają również dowodu fakty przyznane w toku postępowania przez stronę przeciwną, jeżeli przyznanie nie budzi wątpliwości. Ponadto przedmiotem przyznania w myśl tego przepisu mogą być fakty, a nie ich ocena prawna (por. M. Jaśkowska, M. Wilbrandt-Gotowicz, A. Wróbel Komentarz aktualizowany do Kodeksu postępowania administracyjnego, LEX/el. 2024, komentarz do art. 75 k.p.a.). Na przedawnienie podmiotowego roszczenia nie powoływał się również uczestnik postępowania.
Nie można zgodzić się z oceną organu, że w uzasadnieniu zaskarżonej decyzji odnosi się on do istoty prawnej zobowiązań naturalnych i ich znaczenia w obrocie prawnym wyłącznie dla celów i w zakresie, w którym jest to niezbędne dla dokonania oceny, czy mogą one stanowić prawnie uzasadniony interes [...] jako administratora w rozumieniu przepisów RODO oraz że nie wkracza w ten sposób w sferę sporów z zakresu zobowiązań umownych. PUODO dokonał bowiem samodzielnej oceny istotnej w sprawie okoliczności jaką jest kwestia przedawnienia roszczenia [...] względem uczestnika postępowania.
Zdaniem Sądu organ naruszył w ten sposób art. 7, art. 77 § 1, art. 80 k.p.a. oraz art. 107 § 3 k.p.a. w stopniu mogącym mieć istotny wpływ na wynik sprawy, albowiem organ uznał za udowodnione okoliczności, których ocenić samodzielnie nie mógł. Organ jest zaś związany regułami postępowania administracyjnego, określającymi jego obowiązki w zakresie prowadzenia postępowania i orzekania. W szczególności winien on przestrzegać zasady dochodzenia do prawdy materialnej (art. 7 k.p.a.), a więc podejmować wszelkie niezbędne kroki zmierzające do dokładnego wyjaśnienia stanu faktycznego i załatwienia sprawy. Musi wreszcie w sposób wyczerpujący zebrać i rozpatrzyć cały materiał dowodowy (art. 77 § 1 k.p.a.), ocenić na podstawie całokształtu materiału dowodowego, czy dana okoliczność została udowodniona (art. 80 k.p.a.) oraz uzasadnić swoje rozstrzygnięcie zgodnie z wymogami określonymi w art. 107 § 3 k.p.a.
Wobec powyższego konieczne było uchylenie zaskarżonej decyzji.
Biorąc pod uwagę powyższe przedwczesne na tym etapie postępowania byłoby szczegółowe odniesienie do pozostałych zarzutów wniesionych skarg, w tym
w szczególności tych zarzutów, które odnoszą się kwestii retencji danych. Zdaniem Sądu organ powinien wpierw odnieść się do tego czy w świetle powyższych wywodów przetwarzanie danych osobowych uczestnika postępowania przez [...] oraz Spółkę znajduje oparcie w art. 6 ust. 1 lit f RODO.
Wyjaśnić przy tym należ, że nałożony na Spółkę oraz [...] w drodze zaskarżonej decyzji obowiązek zaprzestania przetwarzania danych osobowych uczestnika postępowania odnosił tylko do celu ich przetwarzania polegającego na dochodzenia od niego roszczeń majątkowych. Obowiązek ten nie dotyczył innych celów przetwarzania, w tym związanych z postepowaniem karnym, czy tę postępowaniem przed PUODO oraz KNF. Stąd też zarzut skargi Spółki (zarzut z pkt 9 skargi) oraz zarzuty [...] (zarzut z pkt 4 i 10 skargi) są niezasadne.
Ponowne rozpoznanie sprawy winno nastąpić z uwzględnieniem powyższych uwag. PUODO przede wszystkim umożliwi [...] udział w postępowaniu. Ponadto
w takim zakresie, w jakim jest do tego uprawniony, oceni czy przetwarzania danych osobowych uczestnika postępowania w zakresie danych obejmujących: imię, nazwisko, datę urodzenia, adres korespondencyjny, adres zamieszkania, adres miejsca pracy, numer PESEL, numer dowodu osobistego, numer telefonu komórkowego, numer telefonu stacjonarnego, informacje dot. podstawy roszczenia w podziale na składniki finansowe, datę zawarcia umowy, datę wypowiedzenia umowy oraz datę zapadalności kredyt, jest zgodne z prawem.
Mając na uwadze powyższe, Wojewódzki Sąd Administracyjny w Warszawie, na podstawie art. 145 § 1 pkt 1 lit b i c p.p.s.a., orzekł jak w punkcie pierwszym sentencji wyroku. O zwrocie kosztów postępowania obejmujących wpis sądowy od skargi
i wynagrodzenie profesjonalnego pełnomocnika skarżącej wraz z opłatą skarbową od pełnomocnictwa (łącznie 697 zł), w stosunku do każdego ze skarżących, Sąd postanowił w punkcie drugim i trzecim sentencji wyroku w oparciu o art. 200 w związku z art. 205 § 2 ww. p.p.s.a. oraz § 14 ust. 1 pkt 1 lit. c rozporządzenia Ministra Sprawiedliwości z [...] października 2015 r. w sprawie opłat za czynności adwokackie (Dz. U. z 2023 r., poz. 1964, z późn. zm.).