II SA/WA 1196/23

II SA/Wa 1196/23 - Wyrok WSA w Warszawie
Data orzeczenia
2024-02-19
orzeczenie nieprawomocne
Data wpływu
2023-06-13
Sąd
Wojewódzki Sąd Administracyjny w Warszawie
Sędziowie
Andrzej Góraj /przewodniczący/
Arkadiusz Koziarski
Iwona Maciejuk /sprawozdawca/
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne
Ochrona danych osobowych
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Uchylono zaskarżoną decyzję
Powołane przepisy
Dz.U. 2023 poz 1634
art. 145 par. 1 pkt 1 lit. c i art. 200
Ustawa z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi - t.j.
Dz.U. 2022 poz 2000
art. 7, art. 77 par. 1, art. 80, art. 105 par. 1, art. 107 par. 3
Ustawa z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego - t.j.
Dz.U.UE.L 2016 nr 119 poz 1 art. 18 ust. 1 lit. a, art. 58
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z  przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE
Sentencja
Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Andrzej Góraj, Sędzia WSA Iwona Maciejuk (spr.), Asesor WSA Arkadiusz Koziarski, Protokolant starszy specjalista Ewa Kielak-Niedźwiedzka, po rozpoznaniu na rozprawie w dniu 19 lutego 2024 r. sprawy ze skargi J. W. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] kwietnia 2023 r. nr [...] w przedmiocie umorzenia postępowania 1. uchyla zaskarżoną decyzję; 2. zasądza od Prezesa Urzędu Ochrony Danych Osobowych na rzecz skarżącego J. W. kwotę 200 (słownie: dwieście) złotych tytułem zwrotu kosztów postępowania.
Uzasadnienie
Prezes Urzędu Ochrony Danych Osobowych decyzją z dnia [...] kwietnia 2023 r. nr [...], na podstawie art. 105 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (t.j. Dz. U. z 2022 r. poz. 2000 ze zm.), zwanej dalej k.p.a., art. 7 ust. 1 i 2 ustawy z 10 maja 2018 r. o ochronie danych osobowych (t.j. Dz. U. z 2019 r. poz. 1781) oraz art. 58 ust. 2 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1, ze zmianami ogłoszonymi w Dz. Urz. UE L 127 z 23.05.2018, str. 2, oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35), zwanego dalej RODO, po przeprowadzeniu postępowania administracyjnego w sprawie skargi J. W., zwanego dalej skarżącym, na nieprawidłowości w procesie przetwarzania jego danych osobowych przez [...] Bank S.A. z siedzibą w [...] polegające na przetwarzaniu jego danych osobowych, w tym numeru telefonu wskazanego w decyzji, beż podstawy prawnej, umorzył postępowanie.
Organ wskazał, że do Urzędu wpłynęła skarga J. W., na nieprawidłowości w procesie przetwarzania jego danych osobowych przez [...] Bank S.A. z siedzibą w [...] polegające na przetwarzaniu jego danych osobowych, w tym numeru telefonu wskazanego we wniosku, bez podstawy prawnej. Organ podał, że ustalił następujący stan faktyczny:
1. Skarżący wskazał, że otrzymuje połączenia telefoniczne od Banku, z którym nie wiąże go umowa i którego nie jest klientem. Skarżący podniósł, że Bank chce się skontaktować z inną osobą w sprawie spłaty zobowiązań. Skarżący zwracał się do Banku o zaprzestanie wykonywania połączeń, wskazując, że numer telefonu, o którym mowa w sprawie nie należy do dłużnika z którym Bank chce się skontaktować. Bank udzielił skarżącemu odpowiedzi na jego reklamację z dnia [...] października 2022 r. pismem z dnia [...] października 2022 r. Natomiast na reklamację z dnia [...] października 2022 r. (data wpływu reklamacji 3 listopada 2022 r.) Bank odpowiedział pismem z dnia [...] grudnia 2022 r. (dowód: skarga z dnia 14 września 2022 r. wraz z załącznikami, pismo Skarżącego z dnia [...] września 2022 r., pismo Skarżącego z dnia [...] września 2022 r., pismo Skarżącego z dnia [...] października 2022 r. wraz z załącznikami, pismo Skarżącego z dnia [...] grudnia 2022 r. wraz z załącznikami, pismo Skarżącego z dnia [...] grudnia 2022 r. wraz z załącznikami).
2. Bank wskazał, że pozyskał numer telefonu, o którym mowa w sprawie od klienta Banku, niebędącego Skarżącym, który zawarł umowę o przyznanie limitu kredytowego i wydanie karty [...] i oświadczenie usług bankowości elektronicznej, w szczególności na podstawie art. 6 ust. 1 lit. b) RODO. Wyżej wskazany numer telefonu został podany przez Klienta Banku, jako dane zaufane do bankowości elektronicznej w dniu [...] maja 2017 r. w związku z wyżej wymienioną umową. Bank wysyłał na numer telefonu [...] powiadomienia windykacyjne kierowane do ww. klienta Banku, tj. strony Umowy o przyznanie limitu kredytowego i wydanie karty [...] i oświadczenie usług bankowości elektronicznej na podstawie art. 6 ust. 1 lit. f) RODO. Wiadomości SMS nie były tym samym kierowane do Skarżącego (dowód: pismo Banku z dnia [...] października 2022 r.).
3. Dane Skarżącego w zakresie: imię, nazwisko, adres e-mail, numer telefonu, adres do korespondencji zostały natomiast pozyskane w wyniku złożenia przez Skarżącego reklamacji do Banku. Skarżący składał telefonicznie reklamacje z żądaniem zaprzestania wykorzystywania przez Bank wskazanego numeru telefonu, który w systemie Banku przypisany jest do Klienta Banku. Ponadto Skarżący wniósł [...] września 2022 r. pisemną reklamację do Banku. Aktualnie Bank przetwarza dane Skarżącego dla celów związanych z obsługą reklamacji oraz dla celów związanych z toczącym się postępowaniem na podstawie art. 6 ust. 1 lit. f) RODO (dowód: pismo Banku z dnia 11 października 2022 r.).
W uzasadnieniu prawnym decyzji o umorzeniu postępowania Prezes UODO przywołał art. 105 § 1 k.p.a. oraz poglądy prezentowane w doktrynie i w orzecznictwie sądowoadministracyjnym w zakresie rozumienia pojęcia bezprzedmiotowości postępowania administracyjnego.
Organ podał następnie, że Bank w toku prowadzonego postępowania wyjaśnił, że numer telefonu, o którym mowa w sprawie został wskazany w dyspozycji innej niż Skarżący osoby - Klienta Banku jako jego telefon kontaktowy.
Prezes UODO podkreślił, że każda osoba może dowolnie wskazywać swoje dane kontaktowe, w tym numer telefonu, bowiem to ona ponosi konsekwencje nieodebrania kierowanych do niej wiadomości. W przypadku gdy więcej niż jedna osoba wskazuje do kontaktu taki sam numer telefonu, numer ten dotyczy obu tych osób w tym samym stopniu: Tego rodzaju dane osobowe dotyczą wszystkich tych podmiotów danych niezależnie. Bank nie ma zaś możliwości weryfikacji prawdziwości danych w zakresie numeru telefonu podanego przez klienta.
Prezes Urzędu Ochrony Danych Osobowych stwierdził następnie, że Bank nie popełnił błędu przypisując przedmiotowy numer telefonu do osoby innej niż Skarżący, gdyż przetwarzał te dane jako dane osoby trzeciej - Klienta Banku, który podał przedmiotowe dane jako swoje dane osobowe. Bank w złożonych wyjaśnieniach wskazał, że kierował wiadomości tekstowe SMS do ww. Klienta Banku na numer telefonu, o którym mowa w sprawie.
Organ stwierdził, że zebrany w sprawie materiał dowodowy wykazał, że informacje o tym, że ww. numer telefonu stanowi poza danymi osobowymi Klienta Banku, również dane osobowe Skarżącego Bank pozyskał w wyniku złożenia przez Skarżącego reklamacji do Banku.
Prezes UODO zaznaczył też na marginesie, w związku ze wskazaniem przez Bank, że przetwarza dane osobowe Skarżącego dla celów związanych z obsługą reklamacji oraz dla celów związanych z toczącym się postępowaniem przed Prezesem Urzędu Ochrony Danych Osobowych w niniejszej sprawie, że dane osobowe mogą być przetwarzane przez okres niezbędny do realizacji celu, zatem zakończenie postępowania oraz rozpatrzenie reklamacji spowoduje wygaśnięcie tego celu przetwarzania.
Mając powyższe na uwadze organ wskazał, że skarga złożona w niniejszym postępowaniu dotyczyła prowadzonego przez Bank procesu przetwarzania danych osobowych w stopniu, w jakim dotyczył on osoby trzeciej, innej niż Skarżący. Natomiast Skarżący nie może być stroną postępowania w przedmiocie przetwarzania danych osobowych innej osoby trzeciej. Ocena dokonywana przez Prezesa Urzędu Ochrony Danych Osobowych w każdym przypadku służy zbadaniu zasadności skierowania pod adresem określonego podmiotu nakazu, odpowiadającego dyspozycji art. 58 ust. 2 RODO, służącego przywróceniu stanu zgodnego z prawem, w procesie przetwarzania danych - jest więc ona uzasadniona i potrzebna tylko o tyle, o ile nieprawidłowości w procesie przetwarzania danych osobowych istnieją. Mając na uwadze powyższe ustalenia faktyczne i prawne organ stwierdził, że w niniejszej sprawie zaistniała przesłanka bezprzedmiotowości postępowania, o której mowa w art. 105 § 1 k.p.a.
J. W. wniósł skargę do Wojewódzkiego Sądu Administracyjnego w Warszawie na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] kwietnia 2023 r. nr [...]. Skarżący zażądał zadośćuczynienia w kwocie 20 000 000 zł od Banku oraz 20 000 000 zł od Urzędu Ochrony Danych Osobowych w [...]. Zwrócił się o zwrot kosztów postępowania, wpisu oraz kosztów dojazdu. Wskazał na naruszenie dóbr osobistych. Zarzucił, że organ przyjął wyjaśnienia Banku i umorzył postępowanie bez uwzględnienia naruszenia jego praw. Zakwestionował prowadzone przez organ postępowanie zarzucając danie wiary wyjaśnieniom Banku i nie podjęcie czynności weryfikujących te wyjaśnienia. Podkreślił, że numer telefonu wskazywany w sprawie (na kartę) kupił u operatora [...] w kiosku i aktywował około marca 2022 r., w czerwcu i lipcu 2022 r. zaczął otrzymywać smsowe ponaglenia do spłaty zobowiązań innej osoby. Podał, że w czerwcu i lipcu 2022 r. otrzymał kilka takich ponagleń więc oddzwaniał do Banku na podany nr infolinii z wyjaśnieniami np. [...].06.2022 r. z podaniem swojego imienia i nazwiska, wskazując, że to pomyłka. Wskazał, że informował, że nie jest osobą, której dotyczą te wiadomości tekstowe i że nie wie kim jest ta osoba oraz, że nie miał kontaktu z Bankiem. Osoba w Banku przyjmowała widomości i obiecywano, że sprawa zostanie zakończona. Skarżący wskazał, że niestety we wrześniu 2022 r. otrzymał aż kilkanaście ponagleń głosowych z różnych numerów Banku. Podał, że powiadamiał Bank o pomyłce telefonicznie i przez dostępne formularze na stronie Banku oraz pisemnie. Skarżący podniósł, że podejmowano działania bezpodstawne i bezprawne i odmawiano zaniechania ich.
Skarżący wskazał też m.in., że domaga się dowodu w sprawie możliwości wyjaśnienia dat faktycznego posiadania lub już nieposiadania tego numeru przez R. jakiegoś tam z weryfikacją daty zakupu przez niego w marcu 2022 r. przez istniejące instytucje czy inne służby, w tym wewnętrzne banku i operatora. Podniósł, że skoro karta sim z tym numerem telefonu weszła do ponownej sprzedaży, rejestracji i aktywacji, to przecież dopiero po jakimś czasie nieregulowania należności przez wskazywaną osobę i nieaktywności. Skarżący zwrócił się z pytaniem, czy UODO przeprowadził jakieś czynności dowodowe w celu weryfikacji informacji udzielanych przez Bank lub dlaczego ich zaniechał, np. daty podania kontaktu, korespondencji pomiędzy nim i Bankiem, odsłuchanie nagranych rozmów od Banku z podanych numerów lub ich zapisów, rozmowy z pracownikami, np. kiedy wskazany przez skarżącego w skardze numer został podany przez niego jako kontakt i czy to pokrywa się z aktywacją na jego koncie u operatora.
Prezes Urzędu Ochrony Danych Osobowych w odpowiedzi na skargę wniósł o jej oddalenie, podtrzymując stanowisko zawarte w zaskarżonej decyzji. Organ wskazał m.in., że nie są zasadne zarzuty dotyczące prowadzonego postępowania dowodowego. Wskazał, że wydanie decyzji w sprawie zostało poprzedzone dokładnym zbadaniem jej okoliczności faktycznych oraz zebraniem niezbędnego i wystarczającego materiału dowodowego Organ działał zgodnie z zasadą pogłębionego zaufania ustanowioną w art. 8 k.p.a. Prezes Urzędu wskazał, że prowadząc postępowanie w niniejszej sprawie przedsięwziął wszelkie przewidziane prawem czynności służące wnikliwemu i rzetelnemu ustaleniu okoliczności faktycznych sprawy. W celu zweryfikowania zarzutów Skarżącego względem Banku, Prezes Urzędu, korzystając z instrumentów prawnych określonych w art. 58 ust. 1 lit. a i e RODO, zwrócił się do Banku o złożenie pisemnych wyjaśnień w sprawie oraz potwierdzających je dowodów. Podkreślił, że oświadczenia stron postępowania stanowią dowód równoprawny innym dowodom. Organ odnosząc się do zarzutu braku zwrócenia się do Banku z żądaniem przedstawienia "informacji umożliwiających porównanie dat relacji z bankiem pana R. jakiegoś tam i aktywowanie tego numeru telefonu przez mnie, oraz treści rozmów przecież przez bank nagrywanych" wskazał, że zgodnie z ugruntowanym stanowiskiem doktryny i orzecznictwa strona postępowania powinna brać czynny udział w postępowaniu, w szczególności w zakresie gromadzenia materiału dowodowego. Prezes UODO wskazał, że Skarżący, na każdym etapie postępowania w niniejszej sprawie, był informowany o podejmowanych przez Organ czynnościach, co znajduje odzwierciedlenie w dokumentach zgromadzonych w aktach sprawy. Prezes Urzędu umożliwił Skarżącemu dostęp do akt sprawy, zgłaszanie dowodów oraz umożliwił wypowiedzenie się na temat zebranego materiału dowodowego przed wydaniem decyzji.
Skarżący w replice z dnia 20 sierpnia 2023 r. na odpowiedź na skargę podtrzymał zarzuty skargi. Podkreślił, że nigdy nie udzielał Bankowi zgody na wykorzystywanie jego danych osobowych, miał pełne prawo oczekiwać właściwego postępowania UODO, poza umorzeniem. Raz jeszcze wskazał, że już w czerwcu 2022 r. powiadomił Bank o kierowanych do niego wezwaniach do zapłaty, jednakże Bank jeszcze we wrześniu 2022 r. nie zaprzestał swoich bezprawnych działań w zakresie przetwarzania jego numeru telefonu i dochodzenia spłaty zobowiązań zaciągniętych przez inną osobę.
Na rozprawie przed Wojewódzkim Sądem Administracyjnym w Warszawie skarżący wskazał, że na stronie 6 skargi jest mowa o brakach postępowania dowodowego prowadzonego przez organ.
Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje.
Skarga podlegała uwzględnieniu.
Zgodnie z art. 1 § 1 i 2 ustawy z dnia 25 lipca 2002 r. – Prawo o ustroju
sądów administracyjnych (t.j. Dz. U. z 2022 r. poz. 2492 ze zm.), sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej, przy czym kontrola ta sprawowana jest pod względem zgodności z prawem,
jeżeli ustawy nie stanowią inaczej. Sąd rozstrzyga w granicach danej sprawy, nie będąc jednak związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną (art. 134 § 1 ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi ( t.j. Dz.U. z 2023 r. poz. 1634 ze zm.).
Uwzględniając powyższe Sąd stwierdził, że zaskarżona decyzja wydana została z naruszeniem przepisów prawa procesowego, tj. art. 7, art. 77 § 1, art. 105 § 1 k.p.a. i art. 107 § 3 k.p.a., co mogło mieć istotny wpływ na wynik sprawy.
Podkreślenia wymaga, że wbrew twierdzeniom organu, z materiału dowodowego i dokonanych w decyzji ustaleń faktycznych nie wynika, aby brak było w sprawie któregoś z elementów stosunku materialnoprawnego, co dawałoby – na tym etapie postępowania – podstawę do umorzenia postępowania administracyjnego.
Ochrona osób fizycznych w związku z przetwarzaniem danych osobowych jest jednym z podstawowych praw (art. 8 ust. 1 Karty praw podstawowych UE), a RODO zapewnia osobom fizycznym egzekwowanie tego prawa, m.in. w drodze skargi do Prezesa UODO w sprawie prawidłowości stosowania uregulowań rozporządzenia.
Zgodnie z art. 105 § 1 k.p.a., gdy postępowanie z jakiejkolwiek przyczyny stało się bezprzedmiotowe w całości albo w części, organ administracji publicznej wydaje decyzję o umorzeniu postępowania odpowiednio w całości albo w części. W doktrynie wskazuje się, że bezprzedmiotowość postępowania administracyjnego, o której mowa w art. 105 § 1 k.p.a., oznacza, że brak jest któregoś z elementów materialnego stosunku prawnego, a wobec tego nie można wydać decyzji załatwiającej sprawę przez rozstrzygnięcie jej co do istoty (B. Adamiak, J. Borkowski "Kodeks postępowania administracyjnego. Komentarz", Warszawa 2017 r. str. 563). Stanowisko takie prezentowane jest także w orzecznictwie sądowoadministracyjnym i prezentuje je także Sąd rozpoznający niniejszą sprawę.
W sprawie tej organ nie wykazał jednak, na dotychczasowym etapie postępowania, przesłanki do umorzenia przez Prezesa UODO postępowania administracyjnego. Decyzja o umorzeniu jest zatem co najmniej przedwczesna.
Ustalona przez organ w postępowaniu administracyjnym okoliczność, że Bank pozyskał numer telefonu, o którym mowa w punkcie 2 ustaleń faktycznych decyzji, od klienta Banku niebędącego skarżącym, z którym Bank zawarł umowę m.in. o przyznanie limitu kredytowego, nie daje podstaw do wyprowadzenia stwierdzenia dokonanego przez organ na stronie 4 decyzji, że "skarga złożona w niniejszym postępowaniu dotyczyła prowadzonego przez Bank procesu przetwarzania danych osobowych w stopniu, w jakim dotyczył on osoby trzeciej, innej niż Skarżący.(...)".
Skarżący nie kwestionował w postępowaniu przed Prezesem UODO przetwarzania danych osobowych innej osoby. Kwestionował przetwarzanie przez Bank jego numeru telefonu, a zatem jego danej osobowej, w związku z kierowaniem przez Bank na jego numer telefonu powiadomień windykacyjnych dotyczących innej osoby.
Organ nie dokonał tymczasem w toku postępowania ustaleń, kiedy, w jakiej dokładnie dacie Bank pozyskał od skarżącego (telefonicznie bądź pisemnie) informację, że numer telefonu przetwarzany w celu dochodzenia należności od klienta Banku należy w istocie do Skarżącego. Organ nie ustalił zatem od kiedy dokładnie Bank przetwarzał dane osobowe skarżącego (jego numer telefonu, imię i nazwisko w związku ze złożoną reklamacją dotyczącą wykorzystywania numeru telefonu).
Okoliczność, że wcześniej numer telefonu, o którym mowa w punkcie 2 decyzji należał do innej osoby i w systemie Banku funkcjonował jako numer klienta Banku, nie oznacza, że organ nie był zobowiązany do dokonania pełnych i bezspornych ustaleń faktycznych w zakresie procesu przetwarzania tego numeru telefonu (jako danej osobowej skarżącego) od czasu, gdy Bank uzyskał od skarżącego pierwszą informację o braku aktualności przetwarzanych przez Bank danych osobowych w związku z procesem dochodzenia należności.
Poprzez brak tych ustaleń organ naruszył art. 7, art. 77 § 1 k.p.a., co mogło mieć istotny wpływ na wynik sprawy. Rozpatrujący sprawę organ obowiązany jest przestrzegać zasady dochodzenia do prawdy obiektywnej (art. 7 k.p.a.), wyczerpująco zebrać i rozpatrzyć cały materiał dowodowy (art. 77 § 1 k.p.a. i art. 80 k.p.a.) oraz uzasadnić rozstrzygnięcie zgodnie z wymaganiami art. 107 § 3 k.p.a.
Z akt postępowania administracyjnego wynika, że Bank na pytanie pierwsze organu zawarte w piśmie z dnia [...] września 2022 r., tj. m.in. kiedy Bank pozyskał dane osobowe skarżącego, w tym numer telefonu, o którym mowa w sprawie, odpowiedział [...] października 2022 r. (karta 24 akt adm.), że pozyskał je w wyniku złożenia reklamacji i załączył reklamację z [...] września 2022 r. Jednocześnie organ pytał Bank, czy skarżący zwrócił się z żądaniem usunięcia jego danych osobowych w tym numeru telefonu, a jeżeli tak to kiedy, w jaki sposób, jaka była treść żądania i w jaki sposób Bank ustosunkował się do powyższego (punkt 3 żądania organu z dnia [...] września 2022 r.). Bank wyjaśnił m.in., że skarżący składał telefoniczne reklamacje z żądaniem zaprzestania wykorzystywania przez Bank numeru telefonu, o którym mowa w sprawie (który w systemie Banku przypisany jest do innej osoby, tj. klienta Banku), a [...] września 2022 r. wniósł pisemną reklamację. Bank wskazał też, że z uwagi na fakt, że numer telefonu przypisany jest do klienta banku, jako numer zaufany, Bank nie mógł zrealizować żądania Skarżącego. Bank nie kwestionował, że na numer telefonu, o którym mowa w decyzji kierował powiadomienia windykacyjne do klienta Banku (punkt 4 wyjaśnień Banku z dnia [...] października 2022 r.).
W związku z tym raz jeszcze wskazania wymaga, że z zaskarżonej decyzji nie wynika, aby organ ustalił kiedy, tj. w jakiej dacie po raz pierwszy Bank w związku z telefonicznym żądaniem przez skarżącego zaprzestania wykorzystywania przez Bank numeru telefonu, o którym mowa w sprawie, pozyskał dane osobowe skarżącego. Wyjaśnienia Banku z dnia [...] października 2022 r. na wezwanie organu nie były pełne, jednakże organ poprzestał na nich, nie dokonując wyczerpujących ustaleń w tym zakresie.
Skoro jest bezsporne, że skarżący jeszcze przed pisemną reklamacją z dnia [...] września 2022 r. występował do Banku z telefonicznymi żądaniami zaprzestania przetwarzania jego danych osobowych, na co wskazał sam Bank w postępowaniu, informował Bank o tym, że numer telefonu należy do niego, to organ winien ustalić od kiedy Bank przetwarzał (pozyskał) dane osobowe skarżącego (w związku z pierwszą reklamacją (telefoniczną)).
Następnie organ powinien ustalić, czy Bank od czasu, gdy pozyskał dane osobowe skarżącego, jakie dokładnie (w związku ze składaną przez niego telefonicznie reklamacją z żądaniem zaprzestania przetwarzania numeru telefonu) miał podstawę do ich dalszego przetwarzania w celu kierowania powiadomień windykacyjnych, czy też obowiązany był co najmniej ograniczyć przetwarzanie numeru telefonu skarżącego, na okres pozwalający administratorowi sprawdzić prawidłowość tych danych (art. 18 ust. 1 lit. a RODO). Zgodnie z tym przepisem, osoba, której dane dotyczą, ma prawo żądania od administratora ograniczenia przetwarzania w przypadku, gdy osoba, której dane dotyczą, kwestionuje prawidłowość danych osobowych - na okres pozwalający administratorowi sprawdzić prawidłowość tych danych.
Ustaleń takich w decyzji organ nie dokonał i rozważań w tym zakresie nie poczynił. Z materiału dowodowego wynika, że Bank na skutek pisemnej reklamacji skarżącego z dnia [...] września 2022 r. ograniczył przetwarzanie wskazanej przez skarżącego nieprawidłowej danej, tj. numeru telefonu, do czasu aż Bank ustali prawidłowe dane (odpowiedź Banku z dnia [...] października 2022 r. na reklamację z [...] września 2022 r. (karta 8 akt adm.). Organ winien stwierdzić, czy Bank powinien był ograniczyć przetwarzanie numeru telefonu skarżącego na skutek złożonej przez niego reklamacji (telefonicznej bądź pisemnej), czy też nie miał takiego obowiązku i kiedy powinno ewentualnie to ograniczenie bądź nawet zaprzestanie przetwarzania nastąpić.
W konsekwencji organ obowiązany jest ustalić, czy przetwarzanie przez Bank numeru telefonu skarżącego było zgodne z prawem od czasu zgłoszenia przez niego informacji o nieprawidłowości przetwarzanych przez Bank danych w tym zakresie, czy naruszało przepisy RODO. Ustalenia wymaga też, czy i kiedy Bank zaprzestał przetwarzania kwestionowanego numeru telefonu skarżącego w związku z dochodzeniem od innej osoby należności.
Odnosząc się do argumentacji skargi podkreślenia wymaga, że sprawa niniejsza nie rozstrzyga w kwestii naruszenia dóbr osobistych. Organ do spraw ochrony danych osobowych obowiązany jest jedynie ocenić, czy w sprawie doszło, czy też nie doszło do naruszenia przepisów RODO, a także, czy wydając decyzję ma podstawę, do zastosowania któregokolwiek z uprawnień przewidzianych w art. 58 RODO. Podniesiona w skardze kwestia oceny skarżącego w zakresie działalności Banku wykracza poza ramy niniejszego postępowania. Także podnoszona w skardze kwestia zadośćuczynienia nie jest przedmiotem niniejszej sprawy i nie podlega ocenie sądu administracyjnego. Podmiot danych może skorzystać ze środków ochrony prawnej przed sądem powszechnym.
Ponownie rozpoznając sprawę organ uwzględni przedstawioną wyżej ocenę prawną i wskazania Sądu co do dalszego postępowania. Zależnie od dokonanych ustaleń organ podejmie stosowną decyzję.
Mając powyższe na uwadze Wojewódzki Sąd Administracyjny w Warszawie,
na podstawie art. 145 § 1 pkt 1 lit.c ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (t.j. Dz. U. z 2023 r., poz. 1634), orzekł jak w punkcie 1 wyroku. O zwrocie kosztów postępowania, jak w punkcie 2 wyroku, Sąd orzekł na podstawie art. 200 powołanej ustawy. Do kosztów tych Sąd zaliczył uiszczony wpis sądowy w wysokości 200 zł.