II SA/Wa 1299/23

II SA/Wa 1299/23 - Wyrok WSA w Warszawie
Data orzeczenia
2024-03-14
orzeczenie nieprawomocne
Data wpływu
2023-06-28
Sąd
Wojewódzki Sąd Administracyjny w Warszawie
Sędziowie
Karolina Kisielewicz /sprawozdawca/
Mateusz Rogala
Sławomir Antoniuk /przewodniczący/
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Oddalono skargę
Sentencja
Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Sławomir Antoniuk, Sędzia WSA Karolina Kisielewicz (spr.), Asesor WSA Mateusz Rogala, , Protokolant starszy sekretarz sądowy Maryla Wiśniewska, po rozpoznaniu na rozprawie w dniu 14 marca 2024 r. sprawy ze skargi P. Spółdzielni Mieszkaniowej w P. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] kwietnia 2023 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę
Uzasadnienie
Zaskarżoną do Wojewódzkiego Sądu Administracyjnego w Warszawie przez [...] Spółdzielnię Mieszkaniową z siedzibą w [...] decyzją z dnia [...] kwietnia 2023 r. (nr [...]), Prezes Urzędu Ochrony Danych Osobowych działając na podstawie art. 104 § 1 i art. 105 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2023 r., poz. 775 ze zm., zwana dalej: k.p.a.) w zw. z art. 7 ust. 1 ustawy z 10 maja 2018 r. o ochronie danych osobowych ( Dz. U. z 2019 r. poz. 1781) oraz art. 6 ust. 1, art. 5 ust. 1 lit. a oraz art. 58 ust. 2 lit. b rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 4.05.2016, str. 1, Dz. Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35, zwane dalej: RODO):
1. udzielił [...] Spółdzielni Mieszkaniowej upomnienia za naruszenie art. 6 ust. 1 w zw. z art. 5 ust. 1 lit. a RODO, polegające na udostępnieniu przez Prezesa Spółdzielni uczestnikom Walnego Zgromadzenia w dniu [...] sierpnia 2022 r. danych osobowych J. Z. obejmujących informacje o aplikowaniu przez nią na stanowisko pracy w Spółdzielni i o nieprzyjęciu do pracy;
2. umorzył postępowanie w zakresie przetwarzania przez Spółdzielnię danych osobowych J. Z. zawartych w jej CV, poprzez posłużenie się tym dokumentem i okazaniem go w trakcie Walnego Zgromadzenia Członków SM [...] sierpnia 2022 r. oraz przetwarzaniem tych danych z naruszeniem zasady ograniczenia przetwarzania;
3. umorzył postępowanie w zakresie wniosku J. Z. o nakazanie spełnienia przez Spółdzielnię obowiązku informacyjnego, w szczególności w zakresie wskazania odbiorców jej danych osobowych.
Stan faktyczny sprawy jest następujący:
J. Z. w dniu 3 października 2022 r. wniosła do Prezesa Urzędu Ochrony Danych Osobowych skargę na nieprawidłowości w procesie przetwarzania jej danych osobowych przez [...] Spółdzielnię Mieszkaniowej z siedzibą w [...].
J. Z. podała, że Prezes [...] Spółdzielni Mieszkaniowej podczas Walnego Zgromadzenia Spółdzielni w dniu [...] sierpnia 2022 r., udostępnił około 200. osobom informacje o tym, że w lipcu 2020 r. brała udział w procesie rekrutacji i nie została zatrudniona oraz okazał zabranym jej CV, które złożyła w związku z ubieganiem się o zatrudnienie. Na tę okoliczność przedstawiła nagranie z przebiegu Walnego Zgromadzenia. J. Z. dodała, że jej dane osobowe były przetwarzane przez okres dłuższy niż było to niezbędne dla realizacji celu ich przetwarzania, albowiem proces rekrutacji miał miejsce w lipcu 2020 r., a ona nie wyraziła zgody na przetwarzanie danych w innych procesach rekrutacyjnych, a w związku z tym jej CV powinno zostać zniszczone. Wskazując na powyższe wniosła o nakazanie Spółdzielni Mieszkaniowej z siedzibą w [...] usunięcia jej danych osobowych przetwarzanych bez podstawy prawnej oraz spełnienie wobec niej obowiązku informacyjnego w szczególności "w zakresie wskazania odbiorów (...) danych osobowych", a także o wymierzenie Spółdzielni kary pieniężnej.
W piśmie z 17 października 2022 r. Prezes Urzędu Ochrony Danych Osobowych, na podstawie art. 58 ust. 1 lit. a i e rozporządzenia 2016/679, zwrócił się do [...] Spółdzielni Mieszkaniowej o złożenie wyjaśnień i dostarczenie informacji w sprawie skargi J. Z. na nieprawidłowości w procesie przetwarzania jej danych osobowych.
Spółdzielnia w złożonych w odpowiedzi na pismo Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] października 2022 r. wyjaśnieniach z dnia [...] października 2022 r. stwierdziła, że nie można jej zarzucić niezgodnego z prawem przetwarzania danych osobowych J. Z..
Wyjaśniła, że J. Z. w dniu [...] lipca 2020 r. wysłała na adres e-mail Spółdzielni swoje CV. Dokument ten został wydrukowany przez pracownika Spółdzielni, złożony w sekretariacie, bez wpisywania do książki korespondencji, a następnie w dniu [...] lipca 2022 r. zniszczony i usunięty z poczty elektronicznej, z uwagi na to, że nie prowadzono rekrutacji na wolne stanowiska. Zniszczenie CV skarżącej nastąpiło w oparciu o zarządzenie nr [...] Prezesa Spółdzielni z [...] grudnia 2018 r. określające, że dokumenty CV i inne pisma dotyczące wniosków o przyjęcie do pracy w SM, poza przypadkami, w których osoba składająca aplikację żądała zwrotu dokumentów, podlega zniszczeniu, a czynność ta dokumentowana jest protokołem, który dołączono do wyjaśnień. Wbrew twierdzeniom skarżącej, dokumentu tego Prezes Spółdzielni nie posiadał w dniu Walnego Zgromadzenia.
Spółdzielnia podała, że w trakcie Walnego Zgromadzenia w dniu [...] sierpnia 2022 r., J. Z. sama się przedstawiła, ponieważ kandydowała na sekretarza zebrania, a następnie na członka komisji mandatowo-skrutacyjnej. Prezes Spółdzielni podczas dyskusji ujawnił jedynie fakt, że starała się o pracę w Spółdzielni. Równocześnie podniósł plik kartek "dla osiągnięcia spektakularnego efektu", nie było jednak wśród nich CV skarżącej.
W opisanych okolicznościach faktycznych powołaną na wstępie decyzją z dnia [...] kwietnia 2023 r. Prezes Urzędu Ochrony Danych Osobowych
1. udzielił [...] Spółdzielni Mieszkaniowej upomnienia za naruszenie art. 6 ust. 1 w zw. z art. 5 ust. 1 lit. a RODO, polegające na udostępnieniu przez Prezesa Spółdzielni uczestnikom Walnego Zgromadzenia w dniu [...] sierpnia
2022 r. danych osobowych J. Z. obejmujących informacje o aplikowaniu przez nią na stanowisko pracy w Spółdzielni i o nieprzyjęciu do pracy;
2. umorzył postępowanie w zakresie przetwarzania przez Spółdzielnię danych osobowych J. Z. zawartych w jej CV, poprzez posłużenie się tym dokumentem i okazaniem go w trakcie Walnego Zgromadzenia Członków SM [...] sierpnia 2022 r. oraz przetwarzaniem tych danych z naruszeniem zasady ograniczenia przetwarzania;
3. umorzył postępowanie w zakresie wniosku J. Z. o nakazanie spełnienia przez Spółdzielnię obowiązku informacyjnego, w szczególności w zakresie wskazania odbiorców jej danych osobowych
W uzasadnieniu decyzji organ przedstawił stan faktyczny przyjęty za podstawę rozstrzygnięcia, wyjaśnił, że przetwarzanie danych osobowych musi odbywać się zgodnie z zasadami wymienionymi w art. 5 ust. 1 RODO, a więc musi być zgodnie z prawem, rzetelne i przejrzyste dla osoby, której dane dotyczą, a nadto znajdować oparcie w wymienionych w art. 6 ust. 1 RODO podstawach legalizujących proces przetwarzania danych osobowych.
Prezes Urzędu Ochrony Danych Osobowych podał następnie, że podczas Walnego Zgromadzenia Członków Spółdzielni w dniu [...] sierpnia 2022 r. jej Prezes podał, że skarżąca ubiegała się o zatrudnienie, złożyła CV oraz że nie została zatrudniona. Mianowicie stwierdził, że "żebyście państwo wiedzieli, mam tu CV Pani Z., która aplikowała do pracy w Spółdzielni i nie została przyjęta". Zdaniem organu, Prezes Spółdzielni w swojej wypowiedzi udostępnił dane osobowe skarżącej w zakresie jej nazwiska, złożenia przez nią CV oraz nieprzyjęcia do pracy w Spółdzielni w sposób wykraczający poza cel ich przetwarzania (postępowanie rekrutacyjne) i w ten sposób naruszył art. 6 ust. 1 i art. 5 ust. 1 lit a RODO. Zdaniem organu, w okolicznościach rozpatrywanej sprawy wystarczające jest zastosowanie wobec Spółdzielni upomnienia za stwierdzone naruszenie przepisów o ochronie danych, na podstawie art. 58 ust. 2 RODO, o czym orzekł w pkt 1 decyzji.
Prezes Urzędu Ochrony Danych Osobowych odnosząc się do zarzutu J. Z. dotyczącego nieuprawnionego udostępnienia przez Prezesa Spółdzielni jej danych osobowych zawartych w CV, poprzez okazanie tego dokumentu osobom uczestniczącym w Walnym Zgromadzeniu w dniu [...] sierpnia 2022 r., podał że – jak wynika z nagrania, Prezes Spółdzielni użył sformułowania "mam tu CV Pani Z." oraz posłużył się przy tym plikiem dokumentów, z którego jeden układem graficznym przypominał szablon CV, jednak nie można kategorycznie stwierdzić, czy rzeczywiście było to CV wnioskodawczyni. Wyjaśnienia i dokumenty złożone przez Spółdzielnię wskazują bowiem, że dokument ten został zniszczony [...] lipca 2020 r. Z uwagi na powyższe, mając na uwadze że w postępowaniu administracyjnym obowiązuje zasada zgodnie z którą ciężar dowodu spoczywa na tym, który z określonego faktu wywodzi skutki prawne, nie można podzielić zarzutu skarżącej, że Spółdzielnia przetwarzała jej dane osobowe zawarte w CV bez podstawy prawnej, z naruszeniem okresu przechowywania danych.
W związku z tym, że w toku postępowania nie ustalono w sposób kategoryczny (jednoznaczny), że doszło do kwestionowanego przez skarżącą udostępnienia jej danych osobowych przez Prezesa Spółdzielni poprzez posłużenie się jej dokumentem CV w trakcie Walnego Zgromadzenia Członków Spółdzielni, postępowanie w tym zakresie należało umorzyć (pkt 2 decyzji).
Odnosząc się do wniosku wnioskodawczyni o nakazanie Spółdzielni wypełnienia obowiązku informacyjnego, w szczególności w zakresie odbiorców jej danych osobowych, organ stwierdził, że ze zgromadzonego materiału dowodowego wynika, że skarżąca Spółdzielnia wypełniła wobec J. Z., jako członka spółdzielni mieszkaniowej, obowiązek informacyjny dotyczący przetwarzania jej danych osobowych. Natomiast wnioskodawczyni nie skorzystała z uprawnienia wynikającego z art. 15 ust. 1 RODO i nie zwróciła się do SM jako administratora o podanie informacji o odbiorcach lub kategoriach odbiorców, którym dane osobowe zostały lub zostaną ujawnione (lit. c). Skoro uprawnienia wynikające z art. 15 RODO realizowane są wyłącznie na wniosek osoby uprawnionej, to brak takiego wniosku oznacza, że po stronie administratora nie powstaje skorelowany z nim obowiązek.
[...] Spółdzielnia Mieszkaniowa zaskarżyła do Wojewódzkiego Sądu Administracyjnego powyższą decyzję w zakresie pkt 1.
Skarżąca zarzuciła naruszenie:
1. art. 7 w zw. z art. 77 § 1 i art. 80 k.p.a., przez wydanie decyzji w oparciu o niekompletny materiał dowodowy, polegające na niewyczerpującym rozpatrzeniu materiału dowodowego oraz na jego dowolnej ocenie, oparcie rozstrzygnięcia na nagraniu wideo załączonym przez J. Z. do skargi skierowanej do organu (które pochodzi od nieustalonej osoby i zostało sporządzone bezprawnie), mimo że w nagraniu dokonanym przez lokalną telewizję kablową brak jest materiału dotyczącego wypowiedzi Prezesa SM odnoszącego się do wnioskodawczyni;
2. art. 4 pkt 1 w zw. z art. 2 ust. 1 RODO przez nieprawidłowe przyjęcie, że informacja o złożeniu przez wnioskodawczynię CV stanowiła udostępnienie danych osobowych ze zbiorów oraz że sama informacja prowadziła do zidentyfikowania J. Z., podczas gdy to ona sama się przedstawiła;
3. art. 6 ust. 1 i art. 5 ust. 1 lit. a RODO poprzez ich nieprawidłowe zastosowanie;
4. art. 4 pkt 2 RODO poprzez przyjęcie, że ujawnienie na Walnym Zgromadzeniu Spółdzielni informacji o złożeniu aplikacji stanowiło operację przetwarzania, podczas gdy faktyczna treść aplikacji to rodzaj stanowiska, doświadczenie zawodowe, a one nie zostały ujawnione;
5. art. 4 pkt 6 RODO przez przyjęcie, że informacja stanowiła uporządkowany zbiór danych osobowych dostępny wobec określonych kryteriów, podczas gdy informacja została zasłyszana, a w związku z brakiem prowadzenia rekrutacji Prezes SM nie dokonywał analizy pisma (CV) ani nie podejmował żadnej decyzji w zakresie odmowy przyjęcia wnioskodawczyni do pracy.
W uzasadnieniu skargi Spółdzielnia podniosła m.in., że organ nieprawidłowo przyjął, że doszło do przetwarzania danych osobowych, podczas gdy art. 2 ust. 1 znajduje zastosowanie wyłącznie do zautomatyzowanego przetwarzania danych osobowych stanowiących część zbioru danych. Danymi osobowymi, które są przetwarzane przez Spółdzielnię (zgodnie z § 8 pkt 1 Statutu SM w związku z art. 30 ustawy Prawo spółdzielcze) są imię i nazwisko, pesel, adres, nr telefonu i adres email. Informacja o złożonej przez wnioskodawczynię aplikacji CV, nie była przetwarzana
w sposób zautomatyzowany, nie stanowiła też zbioru danych, ponieważ skarżąca takiego zbioru nie prowadziła.
Skoro skarżąca nie wprowadziła żadnych procedur dotyczących naboru nowych pracowników, to nie posiadała żadnego zbioru dotyczącego ich przyjmowania. Nie było więc żadnych podstaw do przyjęcia, że doszło do przetwarzania danych osobowych w związku ze złożonym przez wnioskodawczynię CV.
Prezes Urzędu Ochrony Danych Osobowych w odpowiedzi na skargę wniósł o jej oddalenie.
Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje:
Skarga jest nieuzasadniona.
Kontrolowaną decyzją Prezes Urzędu Ochrony Danych Osobowych udzielił [...] Spółdzielni Mieszkaniowej z siedzibą w [...] upomnienia za naruszenie art. 6 ust. 1 w zw. z art. 5 ust. 1 lit a rozporządzenia, polegające na udostępnieniu przez Prezesa Spółdzielni uczestnikom Walnego Zgromadzenia danych osobowych J. Z., obejmujących jej nazwisko i informacje o aplikowaniu przez nią na stanowisko pracy w Spółdzielni oraz o nieprzyjęciu jej do pracy. Organ ochrony danych osobowych stwierdził bowiem, że Prezes Spółdzielni udostępnił powyższe dane osobowe J. Z. po zakończonej rekrutacji, wykraczając poza cel ich przetwarzania.
Sąd podziela to stanowisko Prezesa Urzędu Ochrony Danych Osobowych.
W niniejszej sprawie nie ma wątpliwości i zostało to jednoznacznie ustalone przez Prezesa UODO w toku postępowania, że nastąpiło udostępnienie przez Prezesa Spółdzielni Mieszkaniowej z siedzibą w [...] danych osobowych J. Z. w postaci jej nazwiska oraz informacji o udziale w rekrutacji na stanowisko pracy w Spółdzielni i wyniku tego postępowania.
Zgodnie z art. 4 pkt 1 RODO, dane osobowe oznaczają wszelkie informacje
o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej ("osobie, której dane dotyczą"); możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora takiego jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej.
Nie ma zatem wątpliwości, że w sprawie mamy do czynienia z przetwarzaniem danych osobowych J. Z.. Zgodnie z art. 4 pkt 2 RODO, przetwarzanie oznacza operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, taką jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie.
Wbrew zarzutom skargi – organ ochrony danych osobowych, wydając zaskarżoną decyzję, nie dopuścił się - mogącego mieć wpływ na wynik sprawy - naruszenia przepisów procedury administracyjnej, a w szczególności art. 7 k.p.a., art. 77 § 1 k.p.a., art. 80 k.p.a., albowiem wyjaśnił wszystkie okoliczności istotne dla prawidłowego i pełnego rozstrzygnięcia niniejszej sprawy, w granicach prowadzonego postępowania, wyznaczonych skargą J. Z.. Prezes UODO dokonał także zdaniem Sądu właściwej oceny zebranego w sprawie materiału dowodowego, dokonując tej oceny w kontekście prawidłowo zastosowanych przepisów RODO.
Należy przypomnieć, że w toku postępowania Prezes Urzędu Ochrony Danych Osobowych zwrócił się do Spółdzielni o złożenie pisemnych wyjaśnień oraz przedłożenie potwierdzających je dowodów w sprawie zarzucanego mu niezgodnego z prawem przetwarzania danych osobowych. W wyjaśnieniach z [...] października 2022 r. (k. 13) Spółdzielnia przyznała, że doszło do ujawnienia informacji, że J. Z. złożyła CV w Spółdzielni i nie została zatrudniona. Znajduje to potwierdzenie w protokole z I części Walnego Zgromadzenia [...] Spółdzielni Mieszkaniowej. Wynika z niego, że Prezes poinformował, że J. Z. złożyła CV w Spółdzielni i że nie została zatrudniona (k. 26).
Prezes Urzędu Ochrony Danych Osobowych, jak błędnie zakłada Spółdzielnia Mieszkaniowa, nie był zobligowany do ustalenia autora nagrania złożonego przez stronę, bowiem nie ma to żadnego znaczenia dla ustalenia faktu, że dane osobowe J. Z. zostały przez Prezesa Spółdzielni udostępnione.
Zdaniem Sądu, Prezes UODO prawidłowo stwierdził, że udostępnienie to odbyło się z naruszeniem art. 5 ust. 1 lit a rozporządzenia oraz nie znajdowało oparcia w żadnej z przesłanek wymienionych w art. 6 ust. 1 RODO i tym samym nastąpiło bez podstawy prawnej. To ustalenie Prezesa UODO jest zdaniem Sądu prawidłowe i zasadnie stanowiło – w okolicznościach stanu faktycznego tej sprawy – dostateczną podstawę do udzielenia upomnienia [...] Spółdzielni Mieszkaniowej z siedzibą w [...].
Zgodnie z art. 5 ust. 1 lit a rozporządzenia, dane osobowe muszą być przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą. Stosownie do art. 6 ust. 1 RODO, przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy - i w takim zakresie, w jakim - spełniony jest co najmniej jeden z poniższych warunków: a) osoba, której dane dotyczą wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów; b) przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy; c) przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze; d) przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej; e) przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi; f) przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem. Akapit pierwszy lit. f) nie ma zastosowania do przetwarzania, którego dokonują organy publiczne w ramach realizacji swoich zadań.
Reasumując, Prezes Urzędu Ochrony Danych Osobowych w sposób prawidłowy przyjął, że informacja o złożeniu przez J. Z. CV i o wyniku rekrutacji stanowi dane osobowe, które podlegały przetwarzaniu. Nie ma przy tym znaczenia, że uczestniczka postępowania wcześniej się przedstawiła. Istotne jest, że Prezes Spółdzielni udostępnił jej dane i uczynił to nie w związku z procesem rekrutacji.
Sąd nie podziela stanowiska skarżącej Spółdzielni, że dane które udostępniono nie pochodziły ze zbioru danych w rozumieniu art. 4 pkt 6 RODO. Powołany przepis stanowi, że zbiór danych to uporządkowany zestaw danych osobowych dostępnych według określonych kryteriów, niezależnie od tego, czy zestaw ten jest scentralizowany, zdecentralizowany czy rozproszony funkcjonalnie lub geograficznie.
Organ prawidłowo ustalił, w oparciu o dowody nadesłane przez Spółdzielnię, że przetwarzała dane osobowe uczestniczki w zakresie informacji o złożeniu przez nią CV w zbiorze danych "rejestr zniszczonych CV". Z rejestru tego da się wyodrębnić informacje o inicjałach osób składających CV, miejscowości z której osoba ta pochodzi, dacie jego złożenia. Jak słusznie zauważa Prezes Urzędu Ochrony Danych Osobowych w odpowiedzi na skargę, zgodnie z art. 2 ust. 1 RODO, rozporządzenie ma zastosowanie do przetwarzania danych osobowych w sposób całkowicie lub częściowo zautomatyzowany oraz do przetwarzania w sposób inny niż zautomatyzowany danych osobowych stanowiących część zbioru danych lub mających stanowić część zbioru danych. W literaturze przedmiotu (zob. P. Fajgielski [w:] Komentarz do rozporządzenia nr 2016/679 w sprawie ochrony osób fizycznych
w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) [w:] Ogólne rozporządzenie o ochronie danych. Ustawa o ochronie danych osobowych. Komentarz, wyd. II, Warszawa 2022, art. 4.) przyjmuje się, że "(...) w przypadku przetwarzania danych w sposób niezautomatyzowany dla stosowania przepisów komentowanego rozporządzenia konieczne jest przetwarzanie danych osobowych stanowiących część zbioru danych (w postaci kartotek, skorowidzów, ksiąg, wykazów itp.) lub mających stanowić część takiego zbioru". Wobec powyższego za błędne i sprzeczne z przepisami należy uznać stanowisko strony skarżącej, że Prezes Spółdzielni Mieszkaniowej wypowiadając słowa "żebyście państwo wiedzieli, mam tu CV pani Z., która aplikowała do pracy w spółdzielni i nie została przyjęta" nie przetwarzał danych osobowych, bowiem informacji powyższej nie można przyporządkować do żadnego zbioru danych.
Mając powyższe na uwadze Wojewódzki Sąd Administracyjny w Warszawie, na podstawie art. 151 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (t.j. Dz. U. z 2023 r., poz. 1634 ze zm.), orzekł jak w wyroku.