II SA/Wa 1478/24

II SA/Wa 1478/24 - Wyrok WSA w Warszawie
Data orzeczenia
2025-03-07
orzeczenie nieprawomocne
Data wpływu
2024-09-11
Sąd
Wojewódzki Sąd Administracyjny w Warszawie
Sędziowie
Andrzej Góraj /sprawozdawca/
Dorota Kozub-Marciniak
Sławomir Antoniuk /przewodniczący/
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne
Ochrona danych osobowych
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Oddalono skargę
Powołane przepisy
Dz.U. 2024 poz 935
art. 151
Ustawa z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (t. j.)
Dz.U.UE.L 2016 nr 119 poz 1 art. 6 ust. 1 lit. c, art. 58 ust. 2 lit. c
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z  przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE
Dz.U. 2023 poz 120
art. 74 ust. 1-3
Ustawa z dnia 29 września 1994 r. o rachunkowości (t.j.)
Sentencja
Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Sławomir Antoniuk, Sędzia WSA Andrzej Góraj (spr.), Asesor WSA Dorota Kozub-Marciniak, , Protokolant referent Magdalena Morawiec, , po rozpoznaniu na rozprawie w dniu 7 marca 2025 r. sprawy ze skargi [...] S.A. z siedzibą w [...] na pkt 1 decyzji Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] lipca 2024 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę
Uzasadnienie
Postępowanie w sprawie zainicjowała skarga J. B. na nieprawidłowości w procesie przetwarzania jego danych osobowych przez: 1) C. S.A.
z siedzibą w W. przy ul. [...], zwaną dalej C.,
2) [...] Fundusz Inwestycyjny [...] w likwidacji, zwany dalej [...], zarządzany obecnie przez W. S.A. z siedzibą w W. przy
ul. [...], zwane dalej W., zaś poprzednio przez N. S.A., z siedzibą w W. przy ul. [...], zwane dalej N., 3) C. S.A. z siedzibą
w W. przy al. [...] (poprzednio G. S.A.), zwaną dalej C., oraz 4) H., zwany dalej H., zarządzany obecnie przez H. S.A. z siedzibą w W. przy ul. [...], zaś poprzednio przez I. S.A. z siedzibą w W. przy ul. [...], zwaną dalej I., polegające
na przetwarzaniu danych osobowych Skarżącego bez podstawy prawnej.
Decyzją z dnia [...] lipca 2024 r. Prezes Urzędu Ochrony Danych Osobowych nakazał C. Spółce Akcyjnej z siedzibą w W. usunięcie danych osobowych J. B. w zakresie: imienia, nazwiska, adresu zamieszkania, numeru PESEL, serii i numeru dowodu osobistego oraz numeru telefonu kontaktowego (pkt.1) odmawiając uwzględnienia wniosku w pozostałym zakresie (pkt.2).
W uzasadnieniu organ wyjaśnił, że C. i Skarżącego łączyła Umowa Abonencka numer [...] z dnia [...] grudnia 2010 r., zwana dalej Umową. W dniu [...] listopada 2013 r. Skarżący dokonał telefonicznie zmiany zakresu usług świadczonych w ramach Umowy. Przedstawiona oferta została zaakceptowana przez Skarżącego, jednakże Skarżący nie miał dostępu do nowych usług na podstawie zmienionych warunków. W związku z powyższym C. uznał dokonaną
w dniu [...] listopada 2013 r. zmianę warunków Umowy z dnia [...] grudnia 2010 r.
za niedokonaną. W dniu [...] marca 2014 r. podstawowa Umowa Abonencka numer [...] została rozwiązana z zachowaniem 3 - miesięcznego okresu wypowiedzenia. W związku z tym, że C. uznał, że wypowiedzenie Umowy wpłynęło do C. po rozpoczęciu okresu dodatkowego Umowy, Skarżącemu została naliczona kara umowna w wysokości 24,46 zł. (dowód: skarga
z dnia 29 stycznia 2020 r.; pisma C. z dnia 2 września 2020 r., z dnia 4 listopada 2020 r. i z dnia 21 grudnia 2022 r.; pismo N. z dnia 2 września 2020 r. wraz z załącznikami; pisma C. z dnia 31 sierpnia 2020 r. wraz
z załącznikami, z dnia 26 października 2020 r. wraz z załącznikiem pisma I. (H.) z dnia 31 sierpnia 2020 r. wraz z załącznikami, z dnia 26 stycznia 2023 r. wraz z załącznikami; pismo W. z dnia 20 grudnia 2022 r.).
W związku z brakiem uregulowania naliczonej kary umownej, na mocy Umowy Przelewu Wierzytelności z dnia [...] czerwca 2016 r., wierzytelność wynikająca
z Umowy została na podstawie art. 509 § 1 ustawy z dnia 23 kwietnia 1964 r. (Dz. U. z 2022 r. poz. 1360 ze zm.), zwanej dalej Kc, przelana na rzecz[...].[...]na podstawie powyższej umowy stał się administratorem przekazanych danych osobowych, przetwarzając je w celu windykacji nabytych należności. Przesłanką legalizującą pozyskanie danych osobowych Skarżącego był art. 23 ust. 1 pkt 2) ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych, zwanej dalej uodo 1997
(t.j. Dz. U. z 2016 r. poz. 922), a mianowicie cesja wierzytelności opierająca się na podstawie art. 509 § 1 Kc. W przypadku przetwarzania danych przed dniem 25 maja 2018 r. podstawą prawną był art. 23 ust.1 pkt 5) uodo 1997, a od dnia 25 maja 2018 r. art. 6 ust. 1 lit. f) rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 4.05.2016, str. 1, Dz. Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35), zwanego dalej RODO. [...] od dnia 1 czerwca 2017 r. do dnia 25 sierpnia 2021 r. było zarządzane przez N..
(dowód: skarga z dnia 29 stycznia 2020 r.; pisma C. z dnia 2 września 2020 r., z dnia 4 listopada 2020 r. i z dnia 21 grudnia 2022 r.; pismo N.
z dnia 2 września 2020 r. wraz z załącznikami; informacje ze strony internetowej Komisji Nadzoru Finansowego; pisma C. z dnia 31 sierpnia 2020 r. wraz
z załącznikami, z dnia 26 października 2020 r. wraz z załącznikiem; pisma I. (H.) z dnia 31 sierpnia 2020 r. wraz z załącznikami, z dnia 26 stycznia 2023 r. wraz z załącznikami; pismo W. z dnia 20 grudnia 2022 r.).
Działania w imieniu [...] prowadziła C. , działając w oparciu o Umowę zlecenia zarządzania całością portfela inwestycyjnego [...] z dnia 1 czerwca 2015 r., natomiast przetwarzanie danych osobowych dłużników [...], a tym samym danych Skarżącego, zostało uregulowane na podstawie art. 28 ust. 3 RODO w umowie powierzenia przetwarzania danych osobowych z dnia 25 maja 2018 r. (dowód: skarga z dnia 29 stycznia 2020 r.; pismo N. z dnia 2 września 2020 r. wraz z załącznikami; pisma C. z dnia 31 sierpnia 2020 r. wraz z załącznikami
i z dnia 26 października 2020 r. wraz z załącznikiem; pismo W. z dnia 20 grudnia 2022 r.). Następnie na podstawie umowy przeniesienia portfeli z dnia 29 kwietnia 2019 r. [...] dokonał cesji wierzytelności dotyczącej Skarżącego na rzecz H., zarządzanego przez I. H. na podstawie umowy zlecenia zarządzania portfelem inwestycyjnym H. obejmującym pule wierzytelności, zawartej w dniu 17 kwietnia 2019 r., przekazał sprawę Skarżącego do H.
sp. z o.o. z siedzibą w W. przy ul. [...], zwaną dalej H., celem jej obsługi. Na podstawie art. 28 ust. 3 RODO oraz umowy powierzenia przetwarzania danych osobowych z dnia 17 kwietnia 2019 r. H. (Administrator) powierzył przetwarzanie danych osobowych podmiotowi zarządzającemu wierzytelnością H., tj. H. (Podmiot przetwarzający). Skarżący został poinformowany przez H. o fakcie dokonania cesji wierzytelności pismem z dnia [...] października 2019 r. Termin przedawnienia wierzytelności przysługującego H. wobec Skarżącego upłynął w dniu 24 kwietnia 2017 r. H. - biorąc pod uwagę fakt upływu terminu przedawnienia wierzytelności przysługującej H. wobec Skarżącego oraz niską kwotę zobowiązania - podjął
w dniu [...] grudnia 2022 r. decyzję o odstąpieniu od dochodzenia wierzytelności Skarżącego przysługującej H. (dowód: skarga z dnia 29 stycznia 2020 r.; pismo N. z dnia 2 września 2020 r. wraz z załącznikami; informacje ze strony internetowej Komisji Nadzoru Finansowego; pismo C. z dnia 26 października 2020 r. wraz z załącznikiem; pisma I. z dnia 31 sierpnia 2020 r. wraz
z załącznikami, z dnia 28 września 2020 r. wraz z załącznikami, z dnia 15 grudnia
2022 r. i z dnia 26 stycznia 2023 r. wraz z załącznikami; pismo W. z dnia
20 grudnia 2022 r.).
Wyjaśniając motywy decyzji organ wyjaśnił, iż obecnie P. nie może skutecznie wskazywać art. 74 ust.1 ustawy o rachunkowości jako podstawy do przetwarzania danych skarżącego, gdyż upłynął już okres wskazany w tym przepisie.
Organ nie dopatrzył się też innych podstaw usprawiedliwiających omawiane przetwarzanie.
Prezes UODO uznał też, że pozostali uczestnicy, wskutek zbycia spornej wierzytelności przez C., są uprawnieniu do przetwarzania danych skarżącego.
Od punktu pierwszego powyższej decyzji (stanowisko spółki doprecyzowane na rozprawie w dni 7 marca 2025 r.) C. S.A. wywiódł skargę do tut. Sądu wnosząc o jej uchylenie w tym zakresie i zarzucając organowi naruszenie:
1- art. 58 ust. 2 w zw. z art. art. 6 ust. 1 pkt c) i f) RODO - poprzez wydanie Decyzji zawierającej "środek naprawczy" w postaci nakazu usunięcia danych Pana J. B. - w zakresie wskazanym w sentencji Decyzji - pomimo tego,
że Organ potwierdził, iż w chwili wniesienia przez Pana J. B. skargi do Organu, a także przez dalszy okres C. przetwarzał powyższe dane osobowe w celach: (i) związanych z wykonaniem ciążącego na Spółce obowiązku dotyczącego prowadzenia ksiąg rachunkowych, co stanowi także
o naruszeniu przez Organ art. 74 ustawy o rachunkowości oraz (ii) wynikających z prawnie uzasadnionych interesów Spółki,- a zatem nie zachodziły podstawy do zastosowania środka naprawczego, a w szczególności środka naprawczego w postaci nakazu "usunięcia danych", a Skarżąca posiada nadal cel przetwarzania danych osobowych Pana J. B., wynikający z jej prawnie uzasadnionego interesu, w szczególności w związku z uprawnieniem do wniesienia przez Skarżącą do Sądu niniejszej skargi na Decyzję, realizacją prawa Skarżącej do obrony w ramach środka zaskarżenia Decyzji, dokonującego się m. in. poprzez aktywny udział w postępowaniu sądowoadministracyjnym, do czego niezbędne jest przetwarzanie przez Skarżącą danych Pana J. B.,
2- art. 58 ust. 2 pkt c) RODO - poprzez błędne zastosowanie, polegające na wydaniu w oparciu o powyższy przepis nakazu usunięcia danych Pana J. B. - w zakresie wskazanym w sentencji Decyzji - pomimo braku uzasadnienia do zastosowania tego przepisu i wydania nakazu usunięcia danych, a także iż żądanie Pana J. B. należało ocenić przy ewentualnym zastosowaniu art. 58 ust. 2 lit. g) w zw. z art. 17 RODO, czego jednak Organ zaniechał;
3- art. 104 i art. 107 § 1 i 3 Kodeksu postępowania administracyjnego (dalej "k.p.a.") - poprzez niedostateczne wyjaśnienie podstawy prawnej i faktycznej rozstrzygnięcia, uniemożliwiające kontrolę sądową Decyzji.
W uzasadnieniu spółka rozwinęła powyższe zarzuty.
W odpowiedzi na skargę organ wniósł o jej oddalenie.
Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje:
zgodnie z treścią przepisu art.1 par. 1 i 2 ustawy z dnia 25 lipca 2002 r. – Prawo o ustroju sądów administracyjnych (Dz. U. Nr.153, poz.1269 z późn. zm.)
Sąd Administracyjny sprawuje wymiar sprawiedliwości poprzez kontrolę pod względem zgodności z prawem skarżonej decyzji administracyjnej. Jest więc
to kontrola legalności rozstrzygnięcia zapadłego w postępowaniu administracyjnym,
z punktu widzenia jego zgodności z prawem materialnym i procesowym. Oceniając przedmiotową decyzję według powyższych kryteriów, uznać należy, iż nie narusza ona prawa.
Istota sprawy w niniejszym postępowaniu sprowadzała się do oceny tego,
czy organ wydając skarżoną decyzję poruszał się w granicach prawa.
W ocenie tut. Sądu na w/postawione pytanie należało udzielić pozytywnej odpowiedzi.
Rozpoczynając uzasadnienie od najdalej idącego zarzutu skargi tj. oparcia decyzji na błędnej podstawie prawnej, skład orzekający nie podzielił go. Wyjaśnienia wymagało to, że art. 58 ust. 2 lit. c RODO dotyczy działań naprawczych jakie może podejmować organ chroniący dane osobowe. Regulacja lit.g omawianego przepisu dotyczy natomiast okresu sprzed wszczęcia postępowania przed Prezesem UODO tj. relacji pomiędzy administratorem danych osobowych a osobą, której dane są przetwarzane.
Nadto należało podkreślić, ze lit. c omawianej regulacji odnosi się do takiej sytuacji
w której organ uwzględnia żądanie przysługujące danej osobie w myśl przepisów RODO. Skoro więc – co nie jest sporne – osoba, której dane są przetwarzane,
może domagać się w trybie RODO ich usunięcia, organ postąpił właściwie umieszczając w komparycji rozstrzygnięcia art. 58 ust. 2 lit. c RODO i opierając na tej podstawie swoją decyzję.
Na marginesie dodania wymagało to, iż nawet hipotetycznie przyjmując, że organ dopuścił się jednak omawianego uchybienia, to tego typu naruszenie, w realiach faktycznych niniejszej sprawy, nie miałoby żadnego wpływu na rozstrzygnięcie. Oparcie decyzji na normie art. 58 ust. 2 lit. g musiałoby skutkować rozstrzygnięciem
o analogicznej treści do skarżonego. Tym samym nie uzasadniałoby żądania uchylenia skarżonej decyzji.
Odnosząc się do rozstrzygnięcia zawartego w pkt. 1 decyzji skupić należało się na wskazanej przez spółkę podstawie przetwarzania spornych danych. Jak wynikało
z oświadczenia C., przetwarza on obecnie dane osobowe uczestnika na podstawie art. 6 ust. 1 lit. c RODO ze względu na wymogi kontroli skarbowo - podatkowej, dla celów rozliczeniowych i podatkowych dokonanej cesji wierzytelności, w związku z art. 74 ust. 2 i 3 ustawy z dnia 29 września 1994 r. o rachunkowości (Dz.U. z 2023 r. poz. 120 ze zm.), zwanej dalej ustawą o rachunkowości i dla celów dowodowych oraz obrony przed roszczeniami, w tym w związku z m.in. niniejszym postępowaniem administracyjnym.
W świetle całokształtu materiału dowodowego zgromadzonego w sprawie jako uprawnione jawiły się wniosku organu, że powyższe podstawy nie występowały w dniu wydawania skarżonego rozstrzygnięcia.
Zgodnie z art. 74 ust. 1 ustawy o rachunkowości, zatwierdzone roczne sprawozdania finansowe podlegają przechowywaniu przez okres co najmniej 5 lat, licząc od początku roku następującego po roku obrotowym, w którym nastąpiło ich zatwierdzenie. Pozostałe zaś zbiory, w zależności od ich rodzaju, przechowuje się co najmniej przez okresy wymienione w art. 74 ust. 2 omawianej regulacji. I tak, w myśl przepisu
art. 74 ust. 2 pkt 4 tego aktu prawnego dowody księgowe dotyczące środków trwałych w budowie, pożyczek, kredytów oraz umów handlowych, roszczeń dochodzonych w postępowaniu cywilnym lub objętych postępowaniem karnym albo podatkowym przechowuje się przez 5 lat od początku roku następującego po roku obrotowym,
w którym operacje, transakcje i postępowanie zostały ostatecznie zakończone, spłacone, rozliczone lub przedawnione, natomiast zgodnie z art. 74 ust. 2 pkt 8
ww. aktu prawnego, pozostałe dowody księgowe i dokumenty, tj. niebędące wymienionymi wprost w art. 74 ust. 2 pkt 1 - 7 ww. ustawy, przechowuje się przez okres co najmniej 5 lat. Powyższe okresy przechowywania oblicza się od początku roku następującego po roku obrotowym, którego dane zbiory dotyczą (art. 74 ust. 3 ustawy o rachunkowości). Skoro więc C. w związku z brakiem uregulowania naliczonej kary umownej wynikającej z Umowy, zbył przysługującą mu wierzytelność na mocy Umowy Przelewu Wierzytelności z dnia [...] czerwca 2016 r.
na rzecz [...], to należy uznać, że termin wynikający z ww. przepisów ustawy
o rachunkowości upłynął w dniu 1 stycznia 2022 r., a zatem nie ma obecnie podstaw do zastosowania wskazanej przez C. przesłanki przetwarzania danych Skarżącego z art. 6 ust. 1 lit. c RODO w zw. z art. 74 ust. 2 i 3 ustawy o rachunkowości.
Co się tyczy wskazywanej przez spółkę obawy przed ewentualnymi roszczeniami kierowanymi przez uczestnika wobec spółki – jako podstawy do przetwarzania spornych danych – to zgodnie z ugruntowanymi od lat poglądami judykatury niedopuszczalnym jest przetwarzanie danych "na zapas" czy "na wszelki wypadek".
Skoro więc na dzień decyzji ani uczestnik nie wystąpił wobec spółki z żadnym roszczeniem, ani spółka nie uczyniła tego wobec uczestnika, to poprawnie organ przyjął, że nie istnieje prawnie uzasadniony interes spółki usprawiedliwiający omawiane przetwarzanie danych.
Bez wpływu na rozstrzygnięcie pozostaje też zarzut skargi, że spółka ma prawo przetwarzać dane uczestnika w związku z niniejszym postępowaniem. W tym zakresie słusznie zwrócił uwagę organ, że do czasu prawomocnego zakończenia przedmiotowego postępowania spółka ma jeszcze możliwość przetwarzania owych danych. Obowiązek zrealizowania nakazu określonego w pkt. 1 decyzji zmaterializuje się przecież po stronie spółki dopiero w momencie, gdy decyzja stanie się prawomocna. Tak więc pkt. 1 decyzji, wbrew wywodom skargi, nie niweluje prawa spółki do przetwarzania spornych danych w trakcie trwania niniejszego postępowania.
Odnosząc się dodatkowo do argumentacji spółki podniesionej na rozprawie przed tut. Sądem podkreślenia wymagało tez to, że organ wydając decyzję opierał się na stanie faktycznym istniejącym w owej chwili. Na ten moment oczywistym było zaś to, że spółka nadal przetwarzała sporne dane nie usunąwszy ich mimo upływu terminu z art. 74 ustawy o rachunkowości (na którą to podstawę sama się powoływała).
Wyjaśnić należało też to, ze domaganie się przez uczestnika usunięcia jego danych
w oparciu o wskazywaną przez stronę podstawę prawną, nie wiązało organu
w stosowaniu tejże podstawy. Wiążące dla organu było wyłącznie samo żądanie. Jego zaś treść nie budziła najmniejszych wątpliwości Sądu administracyjnego, że intencją uczestnika jest to, by spółka usunęła ze swych zbiorów jego dane osobowe.
W tym stanie sprawy, nie podzielając argumentów zawartych w złożonej skardze, oraz uznając iż organ w sposób prawidłowy zebrał i ocenił materiał dowodowy, oraz iż przy wykonywaniu tych czynności nie naruszył przepisów prawa, Wojewódzki Sad Administracyjny w Warszawie orzekł jak w sentencji wyroku na podstawie art. 151 ustawy z dnia 30 sierpnia 2002r. – Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2024r. poz.935).