II SA/Wa 1173/22

II SA/Wa 1173/22 - Wyrok WSA w Warszawie
Data orzeczenia
2023-03-24
orzeczenie nieprawomocne
Data wpływu
2022-07-11
Sąd
Wojewódzki Sąd Administracyjny w Warszawie
Sędziowie
Ewa Kwiecińska /przewodniczący/
Ewa Radziszewska-Krupa
Michał Sułkowski /sprawozdawca/
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne
Ochrona danych osobowych
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Oddalono skargę
Powołane przepisy
Dz.U. 2020 poz 256
art. 105 par. 1
Ustawa z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego - t.j.
Dz.U.UE.L 2016 nr 119 poz 1 aart. 57 ust. 1 lit. f
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z  przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE
Sentencja
Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Ewa Kwiecińska, Sędzia WSA Ewa Radziszewska-Krupa, Asesor WSA Michał Sułkowski (spr.), Protokolant specjalista Monika Gieroń, , po rozpoznaniu na rozprawie w dniu 24 marca 2023 r. w sprawie ze skargi M. W. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] maja 2022 r. nr [...] w przedmiocie umorzenia postępowania oddala skargę.
Uzasadnienie
M. W. w piśmie z [...] stycznia 2022 r. wniósł do Prezesa Urzędu Ochrony Danych Osobowych (dalej "PUODO") skargę na nieprawidłowości w procesie przetwarzania jego danych osobowych przez [...] sp. z o.o. w likwidacji z siedzibą w [...] (dalej również "Spółka" lub "[...]") polegające na niewypełnieniu wobec niego obowiązku informacyjnego realizowanego w przypadku pozyskiwania danych osobowych w sposób inny niż od osoby, której dotyczą tj. obowiązku, o którym mowa w art. 14 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. U. UE. L. z 2016 r. Nr 119, str. 1 z późn. zm.), dalej powoływanego jako "RODO".
Skarżący wskazał, że Kancelaria [...]
- Adwokaci i Radcowie Prawni z siedzibą w [...] (dalej również "Kancelaria" lub "Kancelaria [...]"), reprezentowana przez A. K., S. J. oraz J. Z., w piśmie z 1 października 2018 r. wniosła do Sądu [...] w [...] o udzielenie zabezpieczenia roszczenia majątkowego. Wniosek w pkt 1 lit. a – lit. o zawierał wykaz wszystkich posiadanych przeze M. W. nieruchomości zlokalizowanych w różnych częściach Polski, w pkt 1 lit. p – lit. r zawierał wykaz posiadanych przez niego samochodów, natomiast w pkt 1 lit. s zawierał nazwy banków, w których skarżący posiada rachunki bankowe. Jak skonstatował M. W., przedmiotowy wniosek podpisany przez ww. prawników z Kancelarii [...], zawiera szczegółowe dane dotyczące jego majątku, a nie on udzielił Kancelarii tych informacji.
Dalej skarżący podniósł, że [...] października 2020 r. złożył skargę do Prezesa UODO w sprawie niewypełnienia wobec niego obowiązku informacyjnego z art. 14 ust. 1 i 2 RODO przez Kancelarię. Jak stwierdził, [...] grudnia 2021 r. w przedmiotowej sprawie PUODO wydał decyzję nr [...], odmawiając uwzględnienie wniosku z uwagi na fakt, że Kancelaria jest podmiotem przetwarzającym, nie zaś administratorem jego danych osobowych, w tym informacji o nieruchomościach zlokalizowanych w Polsce, samochodach i rachunkach bankowych. M. W. stwierdził również, że we wspomnianej sprawie Kancelaria oświadczyła, iż pozyskała od swojego Klienta, tj. [...] oraz przetwarza dane osobowe skarżącego w zakresie imienia, nazwiska, adresu zamieszkania, numeru PESEL oraz innych danych w imieniu swojego Klienta, tj. [...] (będącego byłym zarządcą przymusowym [...] G. sp. z o.o. z siedzibą w [...] – dalej "[...] G.") w sprawie dochodzenia roszczenia pieniężnego i jego zabezpieczenia w ramach postępowania zabezpieczającego prowadzonego przed Sądem [...] w [...] pod sygn. akt [...] oraz [...].
Jak skonstatował skarżący, klientem Kancelarii, od którego uzyskała i przetwarza do tej pory jego dane osobowe, jest zgodnie z ustaleniami PUODO podmiot [...]
- były zarządca przymusowy [...] G.. Z uwagi na powyższe, zgodnie z art. 14 RODO, na [...] ciążył i nadal ciąży prawny obowiązek poinformowania o zakresie i sposobie wykorzystania jego danych osobowych i innych informacji dotyczących jego majątku.
M. W. stwierdził, że do dnia złożenia skargi Spółka nie wypełniła wobec niego obowiązku informacyjnego zgodnie z przepisami RODO, jak również nie poinformowała go, co zamierza zrobić z jego danymi i czy przekazała je do nowego zarządcy przymusowego, tj. podmiotu Z. R. (zmiana zarządcy przymusowego [...] G. nastąpiła na mocy postanowienia Sądu [...] w [...] z [...] września 2019 r. sygn. akt [...]).
PUODO w piśmie z [...] lutego 2022 r. zwrócił się do [...] o ustosunkowanie się do skargi M. W. i złożenie wyjaśnień.
Spółka w piśmie z [...] lutego 2022 r. wyjaśniła, że nie pozyskała żadnych danych osobowych skarżącego (za wyjątkiem tych, z którymi mogła się zapoznać w wyniku dostępu do ogólnodostępnych danych zawartych w Krajowym Rejestrze Sądowym), w szczególności dotyczących posiadanego przez niego majątku. Poinformowała też, że nie przetwarza danych skarżącego i nie zamierza ich przetwarzać z uwagi na przekazanie zarządu nowemu zarządcy przymusowemu, tj. Z. R. S.A. z siedzibą w [...]. Podniosła, że jako zarządca przymusowy [...] G. działała z ograniczeniem swych kompetencji do spraw prowadzenia przedsiębiorstwa. Wskazała, że sprawy te nie dotyczyły przetwarzania danych osobowych M. W. W tym bowiem zakresie, jak skonstatowała, podmiotem odpowiedzialnym był podmiot zarządzany.
[...] stwierdziła, że wobec braku posiadania danych skarżącego (za wyjątkiem możliwości zapoznania się z danymi zawartymi w KRS), jak również braku posiadania przymiotu administratora danych, nie była zobowiązana do tego, by spełnić wobec skarżącego obowiązek informacyjny realizowany w przypadku pozyskania danych w sposób inny niż od osoby, której dane dotyczą, wynikający z art. 14 RODO. Wobec braku posiadania danych skarżącego, jak również braku posiadania przymiotu administratora danych, nie była też zobowiązana do tego, by spełnić wobec skarżącego obowiązek informacyjny realizowany w przypadku pozyskania danych od osoby, której dane dotyczą, wynikający z art. 13 RODO.
[...] wskazała, że nie udostępniła danych osobowych M. W. innym podmiotom. Wyjaśniła, że informacje dotyczące imienia, nazwiska, adresu zamieszkania, numeru PESEL oraz danych dotyczących majątku M. W. nie zostały nigdy przekazane Kancelarii ani przez [...], ani przez spółkę [...], w imieniu której działałby zarządca przymusowy.
Spółka stwierdziła, że nie przetwarza i nie przetwarzała informacji o majątku skarżącego w postaci nieruchomości, samochodów, ani informacji o rachunkach bankowych.
PUODO decyzją z [...] maja 2022 r. nr [...], [...], na podstawie art. 105 § 1 K.p.a. w zw. z art. 7 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych oraz art. 58 ust. 2 RODO, umorzył postępowanie w sprawie skargi M. W. z [...] stycznia 2022 r.
Organ nadzorczy stwierdził, że decydujące znaczenie dla rozstrzygnięcia sprawy miała okoliczność, że Spółka nie pozyskała, ani nie przetwarzała danych osobowych M. W. PUODO odwołał się do wyjaśnień [...] zawartych w piśmie z [...] lutego 2021 r., zauważając, że podała ona, iż "czynności z zakresu RODO wykraczają poza sprawy samego prowadzenia przedsiębiorstwa, a co za tym idzie, nie przysługują zarządcy przymusowemu tylko zarządowi spółki. W zakresie dotyczącym ochrony danych osobowych spółka musi uwzględnić także wszystkie czynności związane z ochroną tychże danych, a nie tylko czynności związane z prowadzeniem przedsiębiorstwa. Bez wątpienia też, obowiązki te ciążą nieprzerwanie na obowiązanej spółce i/lub jej członkach zarządu, nie są zaś transferowane na zarządcę, jako jedynie zastępcę pośredniego".
W ocenie organu nadzorczego, materiał dowodowy zgromadzony w sprawie nie potwierdził zatem zarzutu M. W., jakoby Spółka przetwarzała jego dane osobowe. Skoro dane osobowe skarżącego nie były oraz nie są przetwarzane przez [...], to wobec braku procesu przetwarzania danych osobowych, brak jest podstaw do wydania decyzji merytorycznej w sprawie, w tym uwzględnienia żądania M. W. dotyczącego niewypełnienia wobec niego obowiązku informacyjnego realizowanego w przypadku pozyskiwania danych osobowych w sposób inny niż od osoby, której dotyczą tj. obowiązku o którym mowa w art. 14 RODO.
W związku z powyższym, jak skonstatował PUODO, postępowanie podlegało umorzeniu na podstawie art. 105 § 1 K.p.a.
M. W. w piśmie z [...] czerwca 2022 r. wniósł do Wojewódzkiego Sądu Administracyjnego w Warszawie skargę na decyzję PUODO z [...] maja 2022 r.
W uzasadnieniu przywołał podniesione w skardze do PUODO z [...] stycznia 2022 r. okoliczności dotyczące złożenia przez Kancelarię [...] do Sądu [...] w [...] wniosku z [...] października 2018 r. o udzielenie zabezpieczenia roszczenia majątkowego i zawarcia w tym wniosku danych dotyczących należących do niego nieruchomości, samochodów i rachunków bankowych. Wskazał, że tych szczegółowych informacji Kancelaria nie uzyskała od niego, a pełnomocnictwa prawnikom Kancelarii udzielił prokurent [...].
M. W. wskazał, że złożył do PUODO dwie skargi:
1. z [...] października 2020 r. dotyczącą Kancelarii, rozpatrzoną decyzją z [...] grudnia 2021 r. odmawiająca uwzględnienie wniosku;
2. z [...] stycznia 2022 r. dotyczącą [...], rozpatrzoną zaskarżoną decyzją z [...] maja 2022 r. umarzająca postępowanie.
Skarżący zarzucił, że organ nadzorczy, jak dotąd nie ustalił kto i skąd pozyskał szczegółowe informacje o całym jego majątku, zawierające również jego personalia, a także nie poinformował o tym fakcie, tj. dysponowania tymi danymi, czym naruszył art. 14 RODO.
M. W. tak, jak w skardze z [...] stycznia 2022 r. skierowanej do PUODO, stwierdził, że w sprawie wszczętej skargą z [...] października 2020 r. organ nadzorczy decyzją z [...] grudnia 2021 r. odmówił uwzględnienia wniosku z uwagi na fakt, że jego zdaniem Kancelaria jest podmiotem przetwarzającym, nie zaś administratorem jego danych osobowych, w tym informacji o poszczególnych nieruchomościach zlokalizowanych w Polsce, samochodach i rachunkach bankowych.
Skarżący ponownie stwierdził też, że w sprawie wszczętej skargą z [...] października 2020 r. Kancelaria oświadczyła, iż pozyskała dane od swojego klienta, tj. [...] oraz przetwarza dane osobowe skarżącego w zakresie imienia, nazwiska, adresu zamieszkania, numeru PESEL oraz innych danych w imieniu swojego Klienta, tj. [...] w sprawie dochodzenia roszczenia pieniężnego i jego zabezpieczenia w ramach postępowania zabezpieczającego prowadzonych przed Sądem [...] w [...].
Jak dalej wywiódł M. W. , po otrzymaniu pierwszej decyzji PUODO (z [...] grudnia 2021 r.) [...] stycznia 2022 r. złożył do organu nadzorczego skargę na [...] w sprawie niewypełnienia obowiązku informacyjnego wynikającego z art. 14 ust. 1 i ust. 2 RODO.
W ocenie skarżącego, z decyzji PUODO wynika, że obowiązek informacyjny wynikający z przepisów RODO i spoczywający dotychczas wobec niego na [...] nie został zrealizowany, natomiast decyzja organu nadzorczego jednoznacznie wskazywała, że danymi tymi dysponowała [...] i zostały one przekazane do Kancelarii [...].
Odnosząc się do wyjaśnień Spółki złożonych w toku postępowania przed PUODO w sprawie wszczętej skargą z [...] stycznia 2022 r., M. W. podniósł, że na podstawie treści wniosku o udzielenie zabezpieczenia z [...] października 2018 r. można jednoznacznie stwierdzić, że informacje w nim zawarte nie mogą być powszechnie dostępne.
Uwzględniając powyższe, skarżący stwierdził, że co najmniej niezrozumiałe jest uznanie przez PUODO wyjaśnień Spółki za wiarygodne i rzetelne oraz bezrefleksyjne ich zaakceptowanie. M. W. zwrócił uwagę, że z wyjaśnień [...] wynika, iż pozew cywilny wytoczyła mu [...] G., w której wg KRS pełni on funkcję członka zarządu, co oznacza, że jako członek zarządu sam sobie wytoczył proces cywilny.
Zdaniem skarżącego, wyjaśnienia [...], nie znajdujące żadnego potwierdzenia w faktach, jak też w żaden sposób niezweryfikowane przez PUODO, stały się dla tego organu wiarygodne. Jak skonstatował skarżący, PUODO dał wiarę oczywiście fałszywej informacji, którą przedstawiła [...].
M. W. wywiódł, że z postępowań przeprowadzonych przez PUODO na skutek jego skarg wynika, iż danych zawartych we wniosku z [...] października 2018 r. nie pozyskała samodzielnie ani Kancelaria [...], ani [...], ani nigdy nie były one w dyspozycji [...] G., co nie jest - racjonalnie rzecz biorąc - możliwe do zaakceptowania.
Odwołując się do przywołanego w uzasadnieniu zaskarżonej decyzji fragmentu wyjaśnień Spółki, zgodnie z którym obowiązki dotyczące stosowania przepisów RODO nieprzerwanie ciążą na [...] G. i/lub jej członkach zarządu, nie są zaś transferowane na zarządcę, jako jedynie zastępcę pośredniego, M. W. zwrócił uwagę, że wedle dołączonego do skargi odpisu z KRS, jest on członkiem zarządu [...] G.. Za niedopuszczalne w tej sytuacji uznał bezrefleksyjne zaakceptowanie przez PUODO wyjaśnień [...], z których wynikać ma, że odpowiedzialność oraz obowiązek informacyjny ciąży na [...] G., którą zarządza M. W., jako członek jej zarządu.
Jak skonkludował M. W., z obydwu decyzji PUODO można wnioskować, że za pozyskanie i przekazanie danych osobowych skarżącego oraz danych dotyczących jego majątku [...], czy Kancelarii [...], za przetwarzanie tych danych oraz za niewypełnienie obowiązku informacyjnego jest odpowiedzialny on sam.
PUODO wniósł o oddalenie skargi, podtrzymując w odpowiedzi na skargę stanowisko wyrażone w uzasadnieniu zaskarżonej decyzji.
[...] w piśmie z [...] sierpnia 2022 r. wniosła o oddalenie skargi, wywodząc, że pełniła wyłącznie funkcję zarządcy przymusowego [...] G., była obowiązana i uprawniona do wykonywania jedynie niektórych czynności w miejsce dotychczasowego zarządu, nie zaś do wszystkich, jakie są w kompetencji spółki objętej tymże zarządem. Spółka zaznaczyła, że w przypadku ustanowienia zarządu przymusowego, tak jak w przypadku ogłoszenia upadłości, organy osób prawnych nadal funkcjonują i mogą podejmować czynności z zakresu prowadzenia spraw i reprezentacji. Dodała, że zarządca jest zobowiązany (i jednocześnie uprawniony) wykonywać czynności potrzebne do prowadzenia przedsiębiorstwa. Czynności z zakresu RODO wykraczają poza sprawy samego prowadzenia przedsiębiorstwa, a co za tym idzie, nie przysługują zarządcy przymusowemu, tylko zarządowi spółki. [...] opisała następnie rolę i funkcję pełnioną przez siebie wobec [...] G..
M. W. w piśmie z [...] października 2022 r. podtrzymał skargę na decyzję PUODO z [...] maja 2022 r. Stwierdził, że ze stanowiska Spółki, ani z zaskarżonej decyzji nie wynika, w jaki sposób zarządca przymusowy, tj. [...] wszedł w posiadanie danych dotyczących jego majątku, które następnie zostały przez niego wykorzystane w postępowaniu cywilnym przed Sądem [...] w [...] . Skarżący po raz kolejny stwierdził, że dane te zostały przez [...] przekazane Kancelarii [...], co – jak zaznaczył – "(...) wprost przyznaje r. pr. M. W. w swoim piśmie z dnia [...]grudnia 2020 roku, a mianowicie, że pozyskał te dane od swojego klienta (...)".
M. W.wywiódł ponadto, że z uwagi na to, iż ani [...] G., ani Kancelaria [...] nie mogły pozyskać szczegółowych danych o jego majątku, nie zostały one też "zaciągnięte" z inicjatywy Sądu prowadzącego postępowanie, dane powyższe musiał ustalić, a następnie przetwarzał je [...] (zarząd lub prokurenci) na potrzeby wytoczenia skarżącemu procesu cywilnego.
Pełnomocnicy skarżącego i [...] podtrzymali stanowiska w sprawie na rozprawie przed Wojewódzkim Sądem Administracyjnym w Warszawie w dniu 24 marca 2023 r.
Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje.
Skarga nie podlegała uwzględnieniu.
Podstawę prawną zaskarżonej decyzji stanowiły art. 105 § 1 K.p.a. w zw. z art. 7 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781 – stan prawny na dzień wydania zaskarżonej decyzji; dalej powoływana jako "uodo") oraz art. 58 ust. 2 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE. L. z 2016 r. Nr 119, str. 1 ze zm. – stan prawny na dzień wydania zaskarżonej decyzji; dalej powoływane jako "RODO").
Zgodnie z art. 7 ust. 1 uodo, w sprawach nieuregulowanych w ustawie do postępowań administracyjnych przed Prezesem Urzędu Ochrony Danych Osobowych (dalej "PUODO"), o których mowa w rozdziałach 4-7 i 11, stosuje się ustawę z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego. Postępowaniami, o których mowa w rozdziale 7 uodo są postępowania w sprawie naruszenia przepisów o ochronie danych osobowych, do których zalicza się postępowania prowadzone w ramach realizacji przez PUODO zadań i uprawnień organu nadzorczego określonych w art. 57 i art. 58 RODO.
W świetle art. 57 ust. 1 lit. f RODO, bez uszczerbku dla innych zadań określonych na mocy (...) rozporządzenia każdy organ nadzorczy na swoim terytorium rozpatruje skargi wniesione przez osobę, której dane dotyczą, w odpowiednim zakresie prowadzi postępowania w przedmiocie tych skarg i w rozsądnym terminie informuje skarżącego o postępach i wynikach tych postępowań (...). Zgodnie natomiast z art. 77 ust. 1 RODO, bez uszczerbku dla innych administracyjnych lub środków ochrony prawnej przed sądem każda osoba, której dane dotyczą, ma prawo wnieść skargę do organu nadzorczego, w szczególności w państwie członkowskim swojego zwykłego pobytu, swojego miejsca pracy lub miejsca popełnienia domniemanego naruszenia, jeżeli sądzi, że przetwarzanie danych osobowych jej dotyczące narusza niniejsze rozporządzenie.
Rozpatrując skargi przewidziane przez art. 77 ust. 1 RODO, organ nadzorczy stosuje zatem m.in. art. 105 § 1 K.p.a., zgodnie z którym, gdy postępowanie z jakiejkolwiek przyczyny stało się bezprzedmiotowe w całości albo w części, organ administracji publicznej wydaje decyzję o umorzeniu postępowania odpowiednio w całości albo w części.
M. W. w skierowanej do organu nadzorczego skardze z 5 stycznia 2022 r. zarzucił niezgodne z prawem przetwarzanie jego danych osobowych przez [...] sp. z o.o. w likwidacji z siedzibą w [...] (dalej "Spółka" lub "[...]"). Dane te to informacje o należących do skarżącego nieruchomościach, samochodach i rachunkach bankowych, podane przez adw. A. K., r. pr. S. J. i adw. J. Z. - wykonujących zawód w Kancelarii [...] – Adwokaci i Radcowie Prawni sp.p. z siedzibą w [...] (dalej również "Kancelaria" lub "Kancelaria [...]’) - w skierowanym do Sądu Okręgowego w [...] wniosku z dnia [...] października 2018 r. o udzielenie zabezpieczenia roszczenia majątkowego. Skarżący podniósł, że [...] nie dopełniła wobec niego obowiązku informacyjnego realizowanego w przypadku pozyskiwania danych osobowych w sposób inny niż od osoby, której dotyczą, tj. obowiązku, o którym mowa w art. 14 RODO. Swoje stanowisko oparł na założeniu, że dane dotyczące jego majątku zawarte we wniosku z [...] października 2018 r. zostały przekazane Kancelarii przez [...].
Kopia rzeczonego wniosku z [...] października 2018 r. została dołączona do skargi do Sądu z 7 czerwca 2022 r. Znajduje się także w aktach postępowania administracyjnego przekazanych Sądowi do sprawy o sygn. akt II SA/Wa 388/22 ze skargi M. W. na decyzję PUODO z [...] grudnia 2021 r. nr [...]. Wniosek został złożony przez adw. A. K., r. pr. S. J. i adw. J. Z. w imieniu [...] ustanowionej (postanowieniem Sądu [...] w [...] z [...] października 2015 r. sygn. akt [...] – kopia postanowienia na karcie 50 akt postępowania administracyjnego) zarządcą przymusowym [...] G. sp. z o.o. z siedzibą w [...] (dalej "[...] G."). Pełnomocnictwa wyżej wymienionym adwokatom i radcy prawnemu udzielił prokurent samoistny [...] (odpis pełnomocnictwa z [...] września 2018 r. na karcie 13 akt postępowania administracyjnego). We wniosku podano dane w zakresie (1) lokalizacji (numery i obręby ewidencyjne), powierzchni i numerów ksiąg wieczystych nieruchomości stanowiących własność lub współwłasność skarżącego (pkt 1 lit. a – lit. o), (2) należących do niego samochodów (marka, model, rocznik, kolor, nr rejestracyjny, miejsce lokalizacji) (pkt 1 lit. p – lit. r) oraz banków, w których posiada rachunki bankowe (pkt 1 lit. s).
Zakres i stopień szczegółowości zawartych we wniosku danych o majątku M. W. nie pozostawia wątpliwości co do tego, że nie mogą one pochodzić z publicznie dostępnych rejestrów, jak Krajowy Rejestr Sądowy.
Uwzględniając powyższe oraz mając na uwadze, że zarówno w skardze do PUODO z [...] stycznia 2022 r., jak i w skardze do Sądu z 7 czerwca 2022 r. skarżący odwołał się do materiału dowodowego zgromadzonego w postępowaniu zakończonym decyzją organu nadzorczego z [...] grudnia 2021 r. nr [...], a także do uzasadnienia tej decyzji, podstawę faktyczną wyroku należy uzupełnić o okoliczności, które wynikają z akt postępowania administracyjnego zakończonego wskazaną decyzją, a zarazem przeczą twierdzeniom M. W. wyrażanym w skardze do PUODO z [...] stycznia 2022 r., w skardze do Sądu z [...] czerwca 2022 r., a także w piśmie z [...] października 2022 r. Sąd zapoznał się z tymi aktami, w szczególności z decyzją PUODO z [...] grudnia 2021 r., a także w powołanym przez skarżącego w piśmie z [...] października 2022 r. pismem działającego w imieniu Kancelarii [...] r. pr. M. W. z [...] grudnia 2020 r. (akta zostały przekazane do sprawy zarejestrowanej w Wojewódzkim Sądzie Administracyjnym w Warszawie pod sygn. akt II SA/Wa 388/22).
Po pierwsze zatem należy zauważyć, że nie odpowiada prawdzie zawarte w piśmie z [...] października 2022 r. twierdzenie M. W., że r. pr. M. W. w piśmie z [...] grudnia 2020 r. stwierdził, iż dane dotyczące majątku skarżącego zawarte we wniosku z [...] października 2018 r. uzyskał od swojego klienta, ani że z pisma tego wprost wynika, iż [...] weszła w posiadanie tych danych, a następnie przekazała je Kancelarii [...].
Po drugie, nie jest prawdziwe zawarte w skardze do Sądu z 7 czerwca 2022 r. twierdzenie M. W., że zdaniem PUODO ani Kancelaria, ani [...] nie pozyskały jego danych osobowych oraz ich nie przetwarzały.
Po trzecie, nie znajduje odzwierciedlenia w uzasadnieniu decyzji z [...] grudnia 2021 r. nr [...], zawarte w skardze twierdzenie M. W., że PUODO odmówił uwzględnienia jego wniosku (skargi z [...] października 2020 r.) z uwagi na fakt, że Kancelaria [...] jest podmiotem przetwarzającym, a nie administratorem danych osobowych skarżącego, w tym informacji o nieruchomościach, samochodach i rachunkach bankowych.
W piśmie z [...] grudnia 2020 r. r. pr. M. W. stwierdził, że "[...] Kancelaria przetwarza dane osobowe Skarżącego (M. W.
– przyp. Sądu), będące przedmiotem skargi, w związku z prowadzeniem w imieniu klienta Kancelarii czynności procesowych w sprawie dochodzenia roszczenia pieniężnego i jego zabezpieczenia w ramach postępowania zabezpieczającego. Dane zostały pozyskane przez Kancelarię w ramach działania objętego obowiązkiem zachowania tajemnicy zawodowej, o której mowa w art. 3 ust. 3 ustawy z dnia 6 lipca 1982 r. o radach prawnych (dalej UPR) oraz art. 6 ustawy z dnia 26 maja 1982 r. Prawo o adwokaturze (dalej UPoA). Tajemnica zawodowa uznawana jest za warunek istnienia relacji z klientem opartej na zaufaniu, a więc w ogóle możliwości skutecznego wykonywania czynności zawodowych. Mając powyższe na względzie, stosownie do postanowień art. 16b UPoA i art. 5b UPR, Kancelaria zobowiązana jest dochować tajemnicy zawodowej wobec informacji o źródle i dacie pozyskania danych osobowych Skarżącego. Dane zostały pozyskane w celu wykonania ciążących na Kancelarii obowiązków prawnych, zgodnie z art. 6 ust. 1 lit. c RODO w związku z art. 126 § 1 i 2, art. 187, art. 730, art. 736 oraz art. 747 ustawy z dnia 17 listopada 1964 r. Kodeks postępowania cywilnego. Zakres danych osobowych Skarżącego obejmuje dane osobowe niezbędne do realizacji w/w celu: imię, nazwisko, adres zamieszkania, numer PESEL oraz inne dane niezbędne do wskazania faktów, na których Kancelaria oparła pozew a uprzednio wniosek o udzielenie zabezpieczenia roszczenia pieniężnego przed wszczęciem postępowania oraz wskazujące dowody na wykazanie każdego z tych faktów (w tym informacje o nieruchomościach zlokalizowanych w Polsce, samochodach i rachunkach bankowych Skarżącego) [...]".
W końcowej części pisma r. pr. M. W. stwierdził, że "[...] Kancelaria nie zrealizowała wobec Skarżącego obowiązku informacyjnego wynikającego z art. 14 RODO, z uwagi na wyłączenie określone w ust. 5 lit. d) rzeczonego przepisu [...]".
Z zacytowanych fragmentów pisma z [...] grudnia 2020 r. wynika, że:
1. Kancelaria pozyskała i przetwarzała dane osobowe M. W., w tym podane we wniosku z [...] października 2018 r. informacje o należących do niego nieruchomościach, samochodach i rachunkach bankowych;
2. Kancelaria, powołując się na wynikający z art. 6 ustawy z dnia 26 maja 1982 r. Prawo o adwokaturze (Dz. U. z 2020 r. poz. 1651) oraz art. 2 ust. 3 – ust. 6 ustawy z dnia 6 lipca 1982 r. o radcach prawnych (Dz. U. z 2020 r. poz. 75) obowiązek zachowania tajemnicy zawodowej, także w przypadku gdy z żądaniem ujawnienia informacji uzyskanych przez adwokata lub radcę prawnego w związku z udzielaniem pomocy prawnej występuje Prezes Urzędu Ochrony Danych Osobowych (odpowiednio art. 16b i art. 5b powołanych ustaw), odmówiła podania informacji o źródle i dacie uzyskania danych osobowych M. W.;
3. Kancelaria nie dopełniła wobec skarżącego obowiązku podania informacji m.in. o źródle pochodzenia danych osobowych (art. 14 ust. 2 lit. f RODO), ponieważ informacje te muszą pozostać poufne zgodnie z obowiązkiem zachowania tajemnicy zawodowej przewidzianym w prawie państwa członkowskiego, w tym ustawowym obowiązkiem zachowania tajemnicy (art. 14 ust. 5 lit. d RODO).
Z pisma z [...] grudnia 2020 r. nie wynika natomiast, że dane osobowe skarżącego dotyczące nieruchomości, samochodów i rachunków bankowych Kancelaria uzyskała od [...]. Kancelaria potwierdziła, że przetwarza te dane, stwierdziła, że przetwarzanie następuje "w związku z prowadzeniem w imieniu klienta (...) czynności procesowych", ale nie stwierdziła, że uzyskała je od klienta, tj. [...]. Przeciwnie, powołując się na obowiązek dochowania tajemnicy zawodowej, odmówiła podania informacji o źródle i dacie uzyskania tych informacji i z tego samego powodu nie wykonała wobec skarżącego obowiązku informacyjnego, o którym mowa w art. 14 RODO.
W uzasadnieniu decyzji z [...] grudnia 2021 r. nr [...] PUODO wskazał natomiast, że przepisem uprawniającym administratora do przetwarzania danych osób fizycznych jest. art. 6 RODO. Następnie organ nadzorczy, odwołując się do przepisów ustawy Prawo o adwokaturze i ustawy o radcach prawnych, a także do Kodeksu Etyki adwokackiej i Kodeksu Etyki Radcy Prawnego, opisał charakter prawny i zakres tajemnicy adwokackiej i tajemnicy racy prawnego. Dalej natomiast (str. 6-7 decyzji), odwołując się do wprowadzonych do ustawy Prawo o adwokaturze i ustawy o radach prawnych zmian dotyczących ograniczeń w zakresie ochrony danych osobowych ze względu na tajemnicę zawodową, zauważył, że "[...] przepisy te (...) nie przesądzają wprawdzie wprost o roli radcy prawnego i adwokata w procesie przetwarzania danych osobowych, jednakże odnoszą się do obowiązków nałożonych przez rozporządzenie 2016/679 na administratora, nie zaś na podmiot przetwarzający [...]".
Odwoławszy się następnie do art. 14 ust. 5 lit. d RODO, organ nadzorczy stwierdził, że "[...] w związku z ww. przepisem każdy adwokat lub radca prawny, w tym działający w ramach spółki partnerskiej, zwolniony jest z obowiązku informacyjnego w zakresie, w jakim przekazane mu informacje muszą pozostać poufne w związku z tajemnicą zawodową. Ponadto, nie jest możliwe żądanie spełnienia obowiązku informacyjnego pod warunkiem spełnienia określonej przesłanki w przyszłości. Kancelaria pozyskała dane osobowe Skarżącego w zakresie jego imienia, nazwiska, adresu zamieszkania, numeru PESEL oraz innych danych niezbędnych do podjęcia w imieniu swojego klienta czynności procesowych w sprawie dochodzenia roszczenia pieniężnego i jego zabezpieczenia w ramach postępowania zabezpieczającego, w tym informacji o nieruchomościach zlokalizowanych w Polsce, samochodach i rachunkach bankowych, w ramach działania objętego obowiązkiem zachowania tajemnicy zawodowej, o której mowa w art, 3 ust. 3 ustawy o radcach prawnych oraz art. 6 ustawy o adwokaturze. W związku z tym, stosownie do postanowień art. 16b ustawy o adwokaturze i art. 5b ustawy o radcach prawnych, Kancelaria zobowiązana jest dochować tajemnicy zawodowej wobec informacji o źródle i dacie pozyskania danych osobowych Skarżącego [...]".
PUODO stwierdził wreszcie, że Kancelaria przetwarza dane osobowe skarżącego zgodnie z przepisami prawa, na podstawie art. 6 ust. 1 lit. c i lit. f RODO.
Z przywołanych fragmentów uzasadnienia decyzji z [...] grudnia 2021 r., wbrew twierdzeniom M. W., nie wynika ani, że w ocenie PUODO Kancelaria [...] nie pozyskała jego danych osobowych i ich nie przetwarzała, ani, że odmowa uwzględnienia wniosku podyktowana była stwierdzeniem, że Kancelaria nie jest administratorem, leczy podmiotem przetwarzającym. Przeciwnie, z decyzji jednoznacznie wynika, że organ nadzorczy ustalił, iż Kancelaria uzyskała i przetwarzała dane osobowe M. W. m.in. w zakresie informacji o nieruchomościach zlokalizowanych w Polsce, samochodach i rachunkach bankowych. Stwierdził jednak, że z uwagi na obowiązek dochowania tajemnicy zawodowej przez adwokatów i radów prawnych (w tym działających w ramach spółki partnerskiej), art. 14 ust. 5 lit. d RODO zwalnia Kancelarię z obowiązku zrealizowania, skierowanego wszakże do administratora, obowiązku podania informacji wskazanych w art. 14 ust. 1 i ust. 2 RODO, w tym informacji o źródle pochodzenia danych osobowych.
Podsumowując powyższe, istotne dla rozstrzygnięcia przedmiotowej sprawy ustalenia poczynione przez PUODO w postępowaniu zakończonym decyzją z [...] grudnia 2021 r. nr [...], należy stwierdzić, że zgodnie z nimi:
1. Kancelaria [...] uzyskała i przetwarzała dane osobowe M. W. m.in. w zakresie informacji o nieruchomościach zlokalizowanych w Polsce, samochodach i rachunkach bankowych;
2. Kancelaria, z uwagi na obowiązek dochowania tajemnicy adwokackiej i tajemnicy radcy prawnego, odmówiła podania informacji o źródle i dacie uzyskania danych osobowych skarżącego i nie potwierdziła, że uzyskała je od [...];
3. Kancelaria, ze względu na wynikający z tajemnicy zawodowej obowiązek utrzymania w poufności danych osobowych, nie była zobowiązana do realizacji wobec skarżącego obowiązku informacyjnego, o którym mowa w art. 14 RODO, w tym do podania informacji o źródle pochodzenia danych osobowych.
Uwzględniając z kolei powyższe, należy zaznaczyć, że [...] w złożonym w przedmiotowej sprawie (zakończonej decyzją z [...] maja 2022 r.) piśmie z [...] lutego 2022 r. (karty 45 – 49 akt postępowania administracyjnego) jednoznacznie podkreśliła, że (str. 7-8 pisma) "(...) nie przetwarzała i nie przetwarza informacji o majątku Pana W. w postaci nieruchomości, samochodów, rachunków bankowych [...]". Spółka dodała, że "[...] informacje te – zgodnie z wiedzą [...] - zostały prawdopodobnie przekazane Kancelarii przez jednego ze wspólników [...] ([...] G. – przyp. Sądu), nie zaś przez samą Spółkę [...], czy tym bardziej zarządcę przymusowego, tj. [...], który danych takich nie posiadał [...]". Spółka wskazała też, że jedynymi danymi osobowymi skarżącego, z którymi mogła się zapoznać były ogólnodostępne dane ujawnione w Krajowym Rejestrze Sądowym.
Przypominając z kolei, że w dniu złożenia przez Kancelarię do Sądu [...] w [...] wniosku z [...] października 2018 r. [...] była ustanowionym w trybie art. 10641 i nast. Kodeksu postępowania cywilnego (Dz. U. z 2021 r. poz. 1805 ze zm.) zarządcą przymusowym [...] G., należy podkreślić, że zadania zarządcy przymusowego są ograniczone i zasadniczo obejmują wykonywanie zarządu przedsiębiorstwem dłużnika. Stosownie bowiem do treści art. 10641 § 2 K.p.c., do zarządu ustanowionego na podstawie § 1 stosuje się odpowiednio przepisy o zarządzie w toku egzekucji z nieruchomości, z uwzględnieniem artykułów poniższych. Zgodnie natomiast z art. 935 § 1 K.p.c., zarządca zajętej nieruchomości (odpowiednio: przedsiębiorstwa – przyp. Sądu) obowiązany jest wykonywać czynności potrzebne do prowadzenia prawidłowej gospodarki. Ma on prawo pobierać zamiast dłużnika wszelkie pożytki z nieruchomości (odpowiednio: z przedsiębiorstwa – przyp. Sądu), spieniężać je w granicach zwykłego zarządu oraz prowadzić sprawy, które przy wykonywaniu takiego zarządu okażą się potrzebne. W sprawach wynikających z zarządu nieruchomością (odpowiednio: przedsiębiorstwem – przyp. Sądu) zarządca może pozywać i być pozywany. Zarządca jest zatem podmiotem podstawionym zamiast dłużnika. Jako zastępca pośredni, uczestniczy w postępowaniu w imieniu własnym, ale na rzecz dłużnika, a w interesie zarówno wierzyciela, jak i dłużnika.
Podsumowując wszystko, co powyżej wywiedziono - wobec tego, że:
1. w postępowaniu zakończonym decyzją PUODO z [...] grudnia 2021 r. nr [...]:
a. potwierdzono, że Kancelaria [...] pozyskała i przetwarzała dane osobowe M. W. m.in. w zakresie informacji o nieruchomościach zlokalizowanych w Polsce, samochodach i rachunkach bankowych;
b. nie ustalono, od kogo Kancelaria pozyskała te dane, a tym samym nie stwierdzono, że pozyskała je od [...];
2. w postępowaniu zakończonym zaskarżoną decyzją z [...] maja 2022 r. nr [...] Spółka jednoznacznie stwierdziła, że nie przetwarzała i nie przetwarza informacji o majątku M. W. w postaci nieruchomości, samochodów, rachunków bankowych, a wedle jej wiedzy informacje te zostały prawdopodobnie przekazane Kancelarii przez jednego ze wspólników [...] G.;
a. rola [...] jako wyznaczonego postanowieniem Sądu [...] w [...] z [...] października 2015 r. sygn. akt [...] zarządy przymusowego ograniczała się do zarządu przedsiębiorstwem [...] G., natomiast
b. M. W., poza błędnymi wnioskami wysnutymi z uzasadnienia decyzji PUODO z [...] grudnia 2021 r. i pisma r. pr. M. W. z [...] grudnia 2020 r., nie przedstawił jakichkolwiek argumentów, ani dowodów na to, że [...] przetwarzała jego dane osobowe
- należało stwierdzić, że organ nadzorczy zasadnie stwierdził w uzasadnieniu zaskarżonej decyzji, że dane osobowe skarżącego nie były i nie są przetwarzane przez [...], a zatem w sprawie nie stwierdzono procesu przetwarzania.
Ustalenie natomiast, że doszło do przetwarzania danych osobowych M. W. przez Spółkę było oczywistym warunkiem dopuszczalności oceny zgodności tego przetwarzania z przepisami RODO, w tym dopełnienia przez administratora obowiązku informacyjnego określonego w art. 14 RODO. Skoro Spółka nie przetwarzała danych osobowych skarżącego, to organ nadzorczy nie miał podstaw do działania na podstawie art. 57 ust. 1 lit. f w zw. z art. 58 ust. 2 RODO. Nie istniał bowiem proces przetwarzania danych osobowych, którego zgodność z przepisami RODO organ nadzorczy mógłby ocenić, rozpatrując skargę M. W. wniesioną na podstawie art. 77 ust. 1 RODO. Należy przy tym zaznaczyć, że postępowanie wyjaśniające na podstawie skargi powinno być prowadzone - z zastrzeżeniem kontroli sądowej - w zakresie odpowiadającym konkretnej sprawie (zob. motyw 141 zd. 2 RODO). W postępowaniu wszczętym skargą M. W. z 5 stycznia 2022 r. PUODO był zatem zobowiązany ustalić, czy dane osobowe skarżącego przetwarzała [...], nie zaś – jak oczekuje skarżący – "kto i skąd" pozyskał szczegółowe informacje o jego majątku.
Wobec ustalenia w toku postępowania, że nie doszło do przetwarzania danych osobowych M. W. przez [...], PUODO trafnie stwierdził, że postępowanie to stało się bezprzedmiotowe w rozumieniu art. 105 § 1 K.p.a. W sprawie nie istnieje bowiem element przedmiotowy stosunku administracyjnoprawnego pozwalający na wydanie decyzji rozstrzygającej o istocie sprawy.
Reasumując, kontrola decyzji PUODO z [...] maja 2022 r. nr [...] nie dała podstaw do stwierdzenia, że została ona wydana z naruszeniem przepisów postępowania lub przepisów prawa materialnego. Brak jest podstaw do uznania, że w postępowaniu zakończonym wydaniem zaskarżonej decyzji nie wyjaśniono wszystkich kwestii mających wpływ na rozstrzygnięcie sprawy wszczętej skargą M. W. z [...] stycznia 2022 r. Uzasadnienie decyzji odpowiada prawu. Zawiera wskazanie faktów, które organ uznał za udowodnione, dowodów, na których się oparł, a także wyjaśnienie podstawy prawnej decyzji, z przytoczeniem przepisów prawa.
W tym stanie rzeczy, na podstawie art. 151 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2023 r. poz. 259), Wojewódzki Sąd Administracyjny w Warszawie oddalił skargę.