II SA/Wa 151/25

II SA/Wa 151/25 - Wyrok WSA w Warszawie
Data orzeczenia
2025-06-27
orzeczenie nieprawomocne
Data wpływu
2025-01-30
Sąd
Wojewódzki Sąd Administracyjny w Warszawie
Sędziowie
Ewa Radziszewska-Krupa
Joanna Kruszewska-Grońska /przewodniczący sprawozdawca/
Mateusz Rogala
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne
Ochrona danych osobowych
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Oddalono skargę
Powołane przepisy
Dz.U. 2019 poz 1781
art. 160 ust. 1 i ust. 2
Ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych (t. j.)
Dz.U.UE.L 2016 nr 119 poz 1 art. 5 ust. 1 lit. e i art. 6 ust. 1 lit. f
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z  przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE
Sentencja
Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Joanna Kruszewska-Grońska (spr.), Sędzia WSA Ewa Radziszewska-Krupa, Asesor WSA Mateusz Rogala, , Protokolant starszy specjalista Bogumiła Kobierska po rozpoznaniu na rozprawie w dniu 27 czerwca 2025 r. sprawy ze skargi T. K. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] listopada 2024 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę
Uzasadnienie
Pismem z [...] grudnia 2018 r. T. K. (dalej: "skarżący") wniósł do Generalnego Inspektora Ochrony Danych Osobowych (dalej: "GIODO") skargę na przetwarzanie danych osobowych przez [...] z siedzibą w [...] (obecnie: [...] z siedzibą w [...]; dalej: "Fundusz") - działający przez [...] Sp. z o.o. z siedzibą w [...] (obecnie: [...] Sp. z o.o. z siedzibą w [...]; dalej: "Spółka") - który to Fundusz na podstawie umowy cesji wierzytelności z [...] maja 2017 r. nabył zobowiązanie od [...] S.A. z siedzibą w [...] (dalej: "[...]"), wynikające z umowy zawartej w dniu [...] stycznia 2012 r. i na tej podstawie przetwarza dane osobowe skarżącego niezgodnie z ustawą o ochronie danych osobowych. Ponadto skarżący domagał się nakazania Funduszowi, działającemu przez pełnomocnika - Spółkę, przywrócenia stanu zgodnego z prawem w procesie przetwarzania danych osobowych przez usunięcie jego danych osobowych przetwarzanych bez podstawy prawnej.
Decyzją z [...] czerwca 2019 r. nr [...] Prezes Urzędu Ochrony Danych Osobowych (dalej: "PUODO", "organ" - następca prawny GIODO), w oparciu o art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (obecnie tekst jednolity: Dz. U. z 2024 r., poz. 572 ze zm.; dalej: "k.p.a."), art. 18 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r., poz. 922 ze zm.; dalej: "u.o.d.o. z 1997 r.") w związku z art. 160 ust. 1 i ust. 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r., poz. 1781; dalej: "u.o.d.o. z 2018 r.") oraz art. 6 ust. 1 lit. f i art. 28 rozporządzenia Parlamentu Europejskiego i Rady UE 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych - Dz. Urz. UE L 119 z dnia 4 maja 2016 r., str. 1 ze sprost.; dalej: "RODO"), odmówił uwzględnienia wniosku skarżącego.
W uzasadnieniu ww. decyzji organ podał, że Spółka nabyła od Funduszu dane osobowe skarżącego na mocy umowy z [...] stycznia 2012 r. o zarządzanie wierzytelnościami. W ramach tej umowy, łączącej Fundusz i Spółkę, Fundusz przekazał Spółce dane osobowe skarżącego celem podejmowania czynności zmierzających do odzyskania wierzytelności. Natomiast wierzytelność, dotycząca zadłużenia skarżącego, została nabyta przez Fundusz od [...] na podstawie umowy sprzedaży wierzytelności z [...] maja 2017 r. Zatem Fundusz wstąpił w prawa wierzyciela w zakresie wierzytelności dotyczącej skarżącego, a cesja wierzytelności nastąpiła w oparciu o art. 509 i nast. ustawy z dnia 23 kwietnia 1964 r. Kodeks cywilny (obecnie tekst jednolity: Dz. U. z 2024 r., poz. 1061 ze zm.; dalej: "k.c.").
Zakres pozyskanych przez Spółkę danych osobowych skarżącego obejmował: imię, nazwisko, datę urodzenia, płeć, nr ewidencyjny PESEL, adresy korespondencyjne, nr telefonu, adres poczty elektronicznej, informacje dotyczące podstawy roszczenia w rozbiciu na składniki finansowe, tj. należność główną i odsetki, nr rachunku bankowego dedykowanego do spłaty zadłużenia, datę zawarcia umowy oraz datę rozwiązania umowy.
PUODO wyjaśnił, iż w momencie wejścia w życie przepisów u.o.d.o. z 2018 r., Biuro GIODO stało się Urzędem Ochrony Danych Osobowych, zaś z dniem [...] maja 2018 r., w stosunku do procesów przetwarzania danych osobowych, zaczęło obowiązywać w krajach członkowskich Unii Europejskiej RODO.
W czasie, gdy skarga wpłynęła do GIODO, obowiązywała u.o.d.o. z 1997 r., dlatego ocenę pozyskania danych osobowych skarżącego przez Spółkę należy rozpatrywać w świetle ww. ustawy.
Według u.o.d.o. z 1997 r., aby przetwarzanie danych osobowych było zgodne z prawem, administrator był obowiązany przetwarzać dane osobowe na podstawie przesłanek określonych w art. 23 ust. 1 pkt 1-5 (w przypadku tzw. danych zwykłych, jak np. imię, nazwisko czy adres) w związku z art. 23 ust. 4 pkt 2. Dodatkowo, stosownie do treści art. 31 u.o.d.o. z 1997 r., administrator danych mógł powierzyć innemu podmiotowi, w drodze umowy zawartej na piśmie, przetwarzanie danych (ust. 1). Podmiot, o którym mowa w ust. 1, mógł przetwarzać dane wyłącznie w zakresie i celu przewidzianym w umowie (ust. 2).
W obowiązującym od 25 maja 2018 r. RODO ustanowiono przepisy o ochronie osób fizycznych w związku z przetwarzaniem danych osobowych oraz przepisy o swobodnym przepływie danych osobowych (vide art. 1 ust. 1 RODO).
Jak wskazał organ, Fundusz pozyskał dane osobowe skarżącego w związku z zawarciem z [...] umowy sprzedaży wierzytelności z [...] maja 2017 r., co znajduje oparcie w art. 509 § 1 k.c. Zgodnie tym przepisem, wierzyciel może bez zgody dłużnika przenieść wierzytelność na osobę trzecią (przelew), chyba że sprzeciwiałoby się to ustawie, zastrzeżeniu umownemu albo właściwości zobowiązania. Na mocy powyższej umowy, Fundusz nabył od [...] wierzytelność wobec skarżącego. Cesja wierzytelności wiąże się z uprawnieniem do przekazania nabywcy danych osobowych dłużnika umożliwiających podjęcie względem niego stosownych działań zmierzających do odzyskania należności. Powyższa dopuszczalność przelewu wierzytelności nie podlegała ograniczeniom umownym ani ustawowym. Nie była również wymagana zgoda skarżącego na przelew wierzytelności. Przekazanie danych osobowych dłużników firmom windykacyjnym może nastąpić bez ich zgody, nie naruszając przy tym ochrony danych osobowych, które należy uznać za aktualne w odniesieniu do przedmiotowej sprawy.
Fundusz, na podstawie ww. umowy, stał się administratorem przekazanych danych, przetwarzając je w celu windykacji nabytych należności. Przesłanką legalizującą pozyskanie przez Fundusz danych osobowych skarżącego był art. 23 ust. 1 pkt 5 u.o.d.o. z 1997 r., który określał prawnie usprawiedliwiony cel przetwarzania. Zatem w przypadku przetwarzania danych przez Fundusz przed 25 maja 2018 r. podstawę prawną stanowił ww. przepis, a obecnie jest to art. 6 ust. 1 lit. f RODO.
W myśl § 2 umowy z 10 stycznia 2012 r. o zarządzanie sekurytyzowanymi wierzytelnościami, Spółka zarządza wierzytelnościami sekurytyzowanymi należącymi do aktualnego wierzyciela, tj. Funduszu. Tym samym przesłanką legalizującą przetwarzanie danych osobowych skarżącego przez Spółkę jest również art. 28 RODO.
U.o.d.o. z 1997 r. zezwalała administratorowi danych na powierzenie innemu podmiotowi, w drodze umowy zawartej na piśmie, przetwarzania danych (art. 31 ust. 1), zastrzegając jedynie, że podmiot, któremu dane powierzono może je przetwarzać wyłącznie w zakresie i celu przewidzianym w umowie (art. 31 ust. 1 i 2). Obecnie Spółka przetwarza dane osobowe skarżącego na podstawie prawnej wynikającej z art. 28 RODO. W myśl art. 28 ust. 3 RODO, przetwarzanie przez podmiot przetwarzający odbywa się na podstawie umowy lub innego instrumentu prawnego, które podlegają prawu Unii lub prawu państwa członkowskiego i wiążą podmiot przetwarzający i administratora, określają przedmiot i czas trwania przetwarzania, charakter i cel przetwarzania, rodzaj danych osobowych oraz kategorie osób, których dane dotyczą, obowiązki i prawa administratora.
W sprawie zastosowanie znajduje art. 17 ust. 1 lit. a-f RODO stanowiący, iż osoba, której dane dotyczą, ma prawo żądania od administratora niezwłocznego usunięcia dotyczących jej danych osobowych, a administrator ma obowiązek bez zbędnej zwłoki usunąć dane osobowe w sytuacji, gdy zachodzi jedna z okoliczności wskazanych w powyższym artykule. Jednak wedle art. 17 ust. 3 lit. e RODO, powyższy przepis nie ma zastosowania w zakresie, w jakim przetwarzanie jest niezbędne do ustalenia, dochodzenia lub obrony roszczeń. Przeprowadzone postępowanie wykazało, że dane osobowe skarżącego są przetwarzane przez Spółkę w celu dochodzenia roszczeń.
Organ stwierdził, iż przetwarzanie danych skarżącego przez Spółkę znajdowało uzasadnienie zarówno w przepisach u.o.d.o. z 1997 r., jak i w obecnie obowiązującym RODO. W ustalonym stanie faktycznym i prawnym sprawy, przetwarzanie danych osobowych skarżącego nie może być oceniane jako naruszające jego prawa i wolności. Skarżący jako dłużnik musi liczyć się z tym, że popadając w zwłokę w spełnieniu zobowiązania, jego prawo do prywatności może zostać ograniczone ze względu na dochodzenie przez wierzyciela należnych mu kwot. W przeciwnym przypadku mogłoby dojść do sytuacji, w której dłużnik, powołując się na prawo do ochrony danych osobowych (prawo do prywatności), skutecznie uchyliłby się od spoczywającego na nim obowiązku spełnienia świadczenia i w konsekwencji ograniczyłby (wyłączyłby) prawo wierzyciela do uzyskania należnej mu zapłaty. Powołanie się na prawo do ochrony danych osobowych musiałoby też ograniczać przewidziane szczególnymi przepisami prawo do zbycia wierzytelności i podejmowania dalszych działań w sprawie ich odzyskania.
PUODO podkreślił, iż nie badał kwestii istnienia lub nieistnienia wierzytelności ani jej wysokości, gdyż są to sprawy cywilne w rozumieniu art. 1 ustawy z dnia 17 listopada 1964 r. Kodeks postępowania cywilnego (obecnie tekst jednolity: Dz. U. z 2024 r., poz. 1568 ze zm.; dalej: "k.p.c.") i powinny być rozpatrywane w postępowaniach prowadzonych przez sądy powszechne. Także odnosząc się do przedstawionego w skardze argumentu przedawnienia roszczenia, organ wyjaśnił, że kwestia ta pozostaje poza zakresem kognicji PUODO, gdyż jest sprawą cywilną i może być rozpatrywana wyłącznie w postępowaniu prowadzonym przez sąd powszechny. PUODO nie jest właściwym organem do badania istnienia podstawy prawnej wierzytelności. W niniejszym postępowaniu ocenie podlegała wyłącznie legalność przetwarzania danych osobowych skarżącego przez Spółkę.
Co do akcentowanego przez skarżącego natarczywego wykonywania telefonów do niego, organ wskazał, iż takie działanie może być rozpatrywane w kontekście praktyk stosowanych przez firmy windykacyjne. Według ustawy z dnia 16 lutego 2007 r. o ochronie konkurencji i konsumentów (obecnie tekst jednolity: Dz. U z 2024 r., poz. 1616 ze zm.), sprawy dotyczące praktyk naruszających zbiorowe interesy konsumentów, w tym m.in. stosowanie wobec konsumentów niedopuszczalnego nacisku celem przymuszenia ich do zapłaty długu poprzez wykorzystywanie w kontaktach z konsumentami w toku czynności windykacyjnych haseł i komunikatów, których treść może wywoływać u konsumentów poczucie zastraszania i lęku oraz służyć wywieraniu presji psychicznej ukierunkowanej na wymuszenie dokonania zapłaty płatności są sprawami, które należą do kompetencji Prezesa Urzędu Ochrony Konkurencji i Konsumentów.
Powyższa decyzja stała się przedmiotem skargi skarżącego do Wojewódzkiego Sądu Administracyjnego w Warszawie (dalej też: "Sąd pierwszej instancji", "WSA", "tutejszy Sąd"), w której zarzucono organowi błąd w ustaleniach faktycznych, polegający na przyjęciu, że jest dłużnikiem, podczas gdy był jedynie klientem [...]. Podniósł też naruszenie art. 5 ust. 1 lit. c RODO poprzez brak nakazu usunięcia nr telefonu ze zbioru danych Spółki. Jak podał skarżący, posiadanie przez firmę windykacyjną jego nr telefonu służyło tylko jako forma nacisku, a jest to sprzeczne z zasadą minimalizmu określoną w RODO. W celu rzeczywistego dochodzenia "roszczeń" niezbędne są tylko dane w postaci imienia i nazwiska oraz danych adresowych.
Wyrokiem z 6 listopada 2020 r., sygn. akt II SA/Wa 2104/19, Sąd pierwszej instancji oddalił skargę. W uzasadnieniu wyroku tutejszy Sąd podzielił stanowisko organu, iż przepisami uprawniającymi do przetwarzania danych osobowych skarżącego są aktualnie art. 6 ust. 1 lit. f oraz art. 28 ust. 3 RODO dopuszczające przetwarzanie danych na podstawie umowy lub innego instrumentu prawnego, które podlegają prawu Unii Europejskiej lub prawu państwa członkowskiego i wiążą podmiot przetwarzający i administratora, określają przedmiot i czas trwania przetwarzania, charakter i cel przetwarzania, rodzaj danych osobowych oraz kategorie osób, których dane dotyczą, obowiązki i prawa administratora. WSA także uznał, iż sprzedaż wierzytelności jest dopuszczalna na podstawie art. 509 § 1 k.c. Cesja wierzytelności wiąże się z uprawnieniem do przekazania nabywcy danych osobowych dłużnika. Na mocy umowy o sprzedaż wierzytelności, Fundusz stał się administratorem przekazanych danych, przetwarzając je w celu windykacji nabytych wierzytelności. Przesłanką uprawniającą do przetwarzania przez Fundusz danych osobowych skarżącego do [...] maja 2018 r. był art. 23 ust. 1 pkt 5 u.o.d.o. z 1997 r. Zdaniem Sądu pierwszej instancji, trafnie PUODO nie badał kwestii istnienia wierzytelności oraz jej wysokości, pozostawiając tę ocenę sądom powszechnym.
Ustosunkowując się do kwestii minimalizacji danych, tutejszy Sąd zwrócił uwagę, że pierwotnie skarżący domagał się usunięcia jego danych osobowych przez Spółkę, przetwarzanych bez podstawy prawnej, a nie ich minimalizacji. Żądanie minimalizacji danych przez nakazanie firmie windykacyjnej usunięcia nr telefonu skarżącego zostało sformułowane dopiero na etapie skargi sądowoadministracyjnej, wobec czego organ zasadnie ograniczył się do żądania zawartego we wniosku skarżącego wszczynającego postępowanie administracyjne.
Skarżący wywiódł skargę kasacyjną od ww. orzeczenia, zaskarżając je w całości. Wyrokiem z 13 stycznia 2022 r., sygn. akt III OSK 4763/21, Naczelny Sąd Administracyjny (dalej: "NSA", "Sąd kasacyjny", "Sąd drugiej instancji") uchylił zaskarżony wyrok i zaskarżoną decyzję oraz zasądził od organu na rzecz skarżącego zwrot kosztów postępowania przed Sądem pierwszej instancji.
W uzasadnieniu orzeczenia Sąd kasacyjny jako słuszne ocenił stanowisko PUODO, zaakceptowane przez Sąd pierwszej instancji, że skoro Spółka wykazała istnienie wierzytelności, to organ nie jest uprawniony do rozstrzygnięcia sporu między nią a skarżącym w przedmiocie wygaśnięcia tej wierzytelności z powodu przedawnienia. NSA podzielił pogląd, iż spór odnośnie istnienia lub nieistnienia wierzytelności jest sprawą cywilną w rozumieniu art. 1 k.p.c., do którego rozstrzygnięcia jest właściwy sąd powszechny, m.in. w trybie art. 189 k.p.c. (tj. rozstrzygnięcia powództwa o ustalenie). W kontrolowanym postępowaniu administracyjnym ocenie podlegała wyłącznie legalność przetwarzania danych osobowych skarżącego przez Spółkę. Zarzut skarżącego polegający na tym, że organ - nie posiadając możliwości zbadania tej kwestii - powinien zawiesić postępowanie i zobowiązać go do uruchomienia procedury przed sądem cywilnym, nie został oparty na jakimkolwiek przepisie prawa, z którego wynikałby taki obowiązek PUODO. Związanie Sądu kasacyjnego podstawami skargi kasacyjnej nie pozwala na domniemywanie, z naruszeniem jakiego przepisu skarżący wiąże swój zarzut. To czyni bezskutecznymi twierdzenia skarżącego o obowiązku zawieszenia postępowania przez organ. Okoliczność, iż stanowisko WSA o braku możliwości badania przez organ istnienia lub nieistnienia wierzytelności jest niezgodne z oczekiwaniami skarżącego, nie stanowi naruszenia art. 134 § 1 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (obecnie tekst jednolity: Dz. U. z 2024 r., poz. 935 ze zm.; dalej: "p.p.s.a.").
Natomiast za trafny Sąd drugiej instancji uznał zarzut naruszenia art. 145 § 1 pkt 1 lit. a p.p.s.a. w związku z art. 5 ust. 1 lit. c RODO. Skarżący już w skardze zarzucił naruszenie zasady minimalizmu wynikającej z art. 5 ust. 1 lit. c RODO przez nienakazanie usunięcia jego nr telefonu ze zbioru danych, ponieważ przetwarzane dane osobowe w tym zakresie nie są niezbędne do celu w jakim są przetwarzane. Sąd pierwszej instancji stwierdził, że żądanie minimalizacji danych przez nakazanie firmie windykacyjnej usunięcia nr telefonu skarżącego zostało sformułowane dopiero na etapie skargi sądowoadministracyjnej, dlatego PUODO prawidłowo odniósł się do żądania zawartego w skierowanym do GIODO wniosku, odmawiając uwzględnienia tego wniosku. Zdaniem NSA, stanowisko Sądu pierwszej instancji w tym zakresie nie jest uzasadnione, gdyż już w toku postępowania administracyjnego skarżący podnosił, iż do egzekucji wierzytelności zbędny jest jego nr telefonu, który służy Spółce jako forma bezprawnego nacisku na niego, w celu zapłaty nieistniejącej wierzytelności. Skarżący akcentował wówczas, że przetwarzanie jego danych jest niezgodne z podstawową przesłanką adekwatności i celowości przetwarzana danych osobowych. W takiej sytuacji organ zobowiązany był wziąć pod uwagę wynikającą z art. 5 ust. 1 lit. c RODO zasadę minimalizacji danych oraz zbadać, czy konkretne przetwarzane przez Spółkę dane osobowe skarżącego są adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane. Skoro skarżący w szczególności wskazywał na nieprawidłowe przetwarzania jego nr telefonu, to PUODO niewłaściwie odesłał go w tym zakresie do postępowania przed Prezesem Urzędu Ochrony Konkurencji i Konsumentów. Skarżący nie żądał nakazania zaprzestania natarczywego wykonywania telefonów do niego, lecz usunięcia jego danych osobowych, w tym nr telefonu. Przy czym, jak zaznaczył Sąd kasacyjny, nie konwaliduje wskazanego uchybienia organu lakoniczne i gołosłowne twierdzenie, zawarte w odpowiedzi na skargę kasacyjną, iż pozbawienie możliwości przetwarzania nr telefonu skarżącego utrudniłoby Spółce realizację celu.
Wbrew twierdzeniom PUODO, skarżący jasno sprecyzował swoje żądanie co do przetwarzania jego danych osobowych bez podstawy prawnej i ich usunięcia. Żądanie to spełnia wymóg precyzyjności wynikający z art. 63 § 2 k.p.a. Wskazanie podstawy prawnej nie wynika z treści art. 63 § 2 k.p.a. Skarżący nie był zobowiązany podawać podstawy prawnej swojego żądania, a organ nie był podaną podstawą prawną związany. Według NSA, oczywiste jest, że w sytuacji, gdy żądanie dotyczyło nieprawidłowego przetwarzania wszystkich danych osobowych skarżącego, a nieprawidłowość nie dotyczyła wszystkich danych, lecz tylko ich części, to organ zobowiązany był uwzględnić wniosek w części, zaś w pozostałej części go oddalić. W rezultacie nie można zgodzić się z twierdzeniem Sądu pierwszej instancji, iż wobec tego, że pierwotnie skarżący żądał usunięcia jego danych osobowych przez Spółkę przetwarzanych bez podstawy prawnej, a nie ich minimalizacji, natomiast żądanie minimalizacji danych przez nakazanie firmie windykacyjnej usunięcia nr telefonu skarżącego zostało sformułowane dopiero na etapie skargi sądowoadministracyjnej, to PUODO nie był obowiązany stosować zasady minimalizacji danych przy rozstrzygnięciu sprawy. WSA nieprawidłowo ocenił nierozpoznanie sprawy przez organ w zakresie zgodności przetwarzania danych osobowych skarżącego z zasadą minimalizacji danych wynikającą z art. 5 ust. 1 lit. c RODO, ponieważ błędnie uznał zarzut naruszenia tej zasady jako żądanie nieobjęte przedmiotową sprawą.
NSA zalecił, aby PUODO - ponownie rozpoznając sprawę - stosownie do treści art. 153 p.p.s.a., rozpoznał ją w zakresie zgodności procesu przetwarzana przez Spółkę danych osobowych skarżącego z zasadą minimalizacji danych, w szczególności w odniesieniu do przetwarzania nr telefonu skarżącego.
Po ponownym rozpatrzeniu sprawy, organ decyzją z [...] listopada 2024 r. nr [...], działając na podstawie art. 104 § 1 k.p.a., art. 160 ust. 1 i 2 u.o.d.o. z 2018 r. w związku z art. 18 ust. 1 u.o.d.o. 1997 r. oraz art. 6 ust. 1 lit. f RODO, odmówił uwzględnienia wniosku skarżącego.
W uzasadnieniu ww. rozstrzygnięcia PUODO przypomniał, iż Fundusz - na mocy umowy cesji wierzytelności z [...] maja 2017 r. zawartej z [...] - nabył od wierzyciela pierwotnego, tj. [...], wierzytelność względem skarżącego, co znajduje oparcie w art. 509 § 1 k.c.
Jak przyznała Spółka w toku postępowania administracyjnego, nr telefonu jest niezbędny do podjęcia prób polubownego ustalenia planu spłaty zadłużenia, zarówno poprzez nawiązanie połączenia telefonicznego, jak i wysyłanie wiadomości tekstowych. Podczas podejmowanych prób nawiązania połączenia telefonicznego ze skarżącym, udawało się z nim skontaktować, a kilkakrotnie z osobą trzecią będącą pracownikiem jego kancelarii. Skarżący też wykonywał połączenia telefoniczne do Spółki. Spółka zapewniła, że procesy przez nią realizowane, są projektowane z uwzględnieniem obowiązujących wymogów w zakresie poufności informacji i ochrony danych osobowych. Połączenia telefoniczne ze skarżącym odbywały się w dniach: [...] sierpnia 2017 r., [...] sierpnia 2017 r., [...] września 2017 r., [...] września 2017 r., [...] października 2017 r., [...] października 2017 r., [...] listopada 2017 r., [...] listopada 2017 r., [...] listopada 2017 r., [...] listopada 2017 r., [...] grudnia 2017 r., [...] grudnia 2017 r., [...] lutego 2018 r., [...] lutego 2018 r., [...] lutego 2018 r., [...] marca 2018 r., [...] marca 2018 r., [...] marca 2018 r., [...] marca 2018 r., [...] marca 2018 r., [...] marca 2018 r., [...] marca 2018 r., [...] marca 2018 r., [...] marca 2018 r., [...] lipca 2018 r., [...] lipca 2018 r., [...] września 2018 r., [...] września 2018 r. i [...] września 2018 r. W trakcie rozmowy skarżący odmawiał dalszej weryfikacji, która pozwalałaby przekazać informacje odnośnie celu rozmowy oraz dawałaby szansę na podjęcie próby negocjacji warunków spłaty zadłużenia bądź rozłączał się. Z tych przyczyn rozmowy z nim były kończone. Z kolei rozmowy z osobą trzecią - pracownikiem kancelarii skarżącego miały miejsce w dniach: [...] sierpnia 2017 r., [...] lipca 2018 r. i [...] lipca 2018 r. Sprowadzały się one do pozostawienia nr telefonu z prośbą o kontakt skarżącego. Na nr telefonu skarżącego były także wysyłane wiadomości tekstowe, a mianowicie w dniach: [...] lipca 2017 r., [...] sierpnia 2017 r., [...] sierpnia 2017 r., [...] sierpnia 2017 r., [...] sierpnia 2017 r., [...] września 2017 r., [...] września 2017 r., [...] września 2017 r., [...] września 2017 r., [...] października 2017 r., [...] października 2017 r., [...] listopada 2017 r., [...] listopada 2017 r., [...] listopada 2017 r., [...] listopada 2017 r., [...] listopada 2017 r., [...] listopada 2017 r., [...] grudnia 2017 r., [...] grudnia 2017 r., [...] grudnia 2017 r., [...] grudnia 2017 r., [...] grudnia 2017 r., [...] grudnia 2017 r., [...] grudnia 2017 r., [...] grudnia 2017 r. (dwukrotnie), [...] stycznia 2018 r., [...] stycznia 2018 r., [...] lutego 2018 r., [...] lutego 2018 r., [...] lutego 2018 r., [...] marca 2018 r., [...] marca 2018 r., [...] marca 2018 r., [...] marca 2018 r., [...] kwietnia 2018 r., [...] kwietnia 2018 r., [...] kwietnia 2018 r. (dwukrotnie), [...] kwietnia 2018 r., [...] kwietnia 2018 r., [...] maja 2018 r., [...] maja 2018 r., [...] maja 2018 r., [...] maja 2018 r., [...] maja 2018 r., [...] czerwca 2018 r., [...] czerwca 2018 r., [...] czerwca 2018 r., [...] czerwca 2018 r., [...] lipca 2018 r., [...] lipca 2018 r., [...] lipca 2018 r., [...] sierpnia 2018 r., [...] sierpnia 2018 r., [...] sierpnia 2018 r., [...] września 2018 r., [...] września 2018 r., [...] października 2018 r., [...] października 2018 r., [...] października 2018 r. i [...] listopada 2018 r., przy czym skarżący w żaden sposób nie ustosunkował się do otrzymanych wiadomości tekstowych.
Towarzystwo zarządzające Funduszem poinformowało organ w ramach wyjaśnień, iż zobowiązanie skarżącego nie zostało spłacone, a Fundusz nadal przetwarza jego dane (w tym nr telefonu) w celu dochodzenia roszczeń. Przetwarzanie danych skarżącego wynika również z toczącego się postępowania skargowego przed PUODO (o nr [...]) w celu wypełnienia obowiązku prawnego ciążącego na administratorze. Natomiast działania windykacyjne zostały zawieszone do czasu zakończenia ww. postępowania.
Spółka przekazała PUODO, że - zgodnie z jej wiedzą - aktualnie nie toczy się postępowanie karne w związku z prowadzonymi wobec skarżącego działaniami windykacyjnymi (w tym windykacją drogą telefoniczną).
Z kolei skarżący podniósł, iż na skutek działań Spółki było prowadzone postępowanie z wniosku organów ścigania o ukaranie dyrektora operacyjnego Spółki za wykroczenie z art. 107 ustawy z dnia 20 maja 1971 r. Kodeks wykroczeń (obecnie tekst jednolity: Dz. U. z 2025 r., poz. 734; dalej: "k.w.") obwinionego o to, że będąc dyrektorem operacyjnym w Spółce odpowiedzialnym za dział zajmujący się windykacją, w okresie od [...] lipca 2018 r. do [...] lipca 2018 r., poprzez notoryczne wydzwanianie oraz wysyłanie wiadomości tekstowych SMS, żądał pilnego kontaktu ze Spółką, czym w sposób uporczywy złośliwie niepokoił skarżącego. Wyrokiem z [...] lipca 2019 r., sygn. akt [...] , Sąd Rejonowy w [...] uniewinnił obwinionego dyrektora od zarzucanego mu czynu. Według informacji przekazanych organowi przez Sąd Rejonowy w [...], [...] Wydział [...], ww. sprawa została zakończona prawomocnym wyrokiem, zaś akta z uwagi na upływ czasu przechowywania, zostały zarchiwizowane, tj. zniszczone.
W ocenie organu, Towarzystwo zarządzające Funduszem w złożonych wyjaśnieniach udokumentowało nabycie wierzytelności względem skarżącego, które uprawniało Fundusz do podjęcia i prowadzenia czynności windykacyjnych. Przetwarzanie danych osobowych skarżącego przez Fundusz w celu dochodzenia roszczeń i prowadzenia działań windykacyjnych było i nadal jest procesem niezbędnym do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora. Obecnie następuje w ramach przesłanki legalizującej określonej w art. 6 ust. 1 lit. f RODO, natomiast przed rozpoczęciem obowiązywania przepisów RODO (tj. przed 25 maja 2018 r.) powyższy proces miał za podstawę przesłankę z art. 23 ust. 1 pkt 5 u.o.d.o. z 1997 r.
PUODO zaznaczył, że przepisy dotyczące ochrony danych osobowych nie mogą być wykorzystywane do uchylania się przez dłużników od spełnienia zaległych zobowiązań. Znajduje to potwierdzenie w orzecznictwie sądowoadministracyjnym. I tak np. Wojewódzki Sąd Administracyjny w Warszawie w wyroku z 30 listopada 2004 r., sygn. akt II SA/Wa 1057/04, stwierdził, iż "(...) zasadą powszechnie akceptowaną, wynikającą nie tylko z przepisów prawa cywilnego, lecz także z norm moralnych, zasad współżycia społecznego oraz dobrych obyczajów jest regulowanie zaciągniętych zobowiązań (zapłata długów). Zasada ta w pełni odnosi się do podmiotów prawa mających status konsumentów. (...) Dłużnik, który nie wywiązuje się ze swoich zobowiązań, musi liczyć się z konsekwencjami, wynikającymi z przepisów regulujących obrót gospodarczy. Gdyby generalnie uznać każdy wypadek przetwarzania danych osobowych dłużnika (będącego konsumentem) za godzący w jego prawa i wolności, doszłoby z jednej strony do niczym nieuzasadnionej ochrony osób niewywiązujących się ze swoich zobowiązań, z drugiej natomiast do naruszenia zasady swobody działalności gospodarczej, co z pewnością nie było zamiarem ustawodawcy przy uchwalaniu ustawy o ochronie danych osobowych" (orzeczenia sądów administracyjnych są dostępne w internetowej bazie orzeczeń na stronie NSA: orzeczenia.nsa.gov.pl).
W rozpoznawanej sprawie PUODO dokonał jedynie oceny legalności przetwarzania danych osobowych skarżącego. Nie badał kwestii istnienia lub nieistnienia wierzytelności ani słuszności i zakresu roszczeń cywilnoprawnych Funduszu względem skarżącego, bo zagadnienie to pozostaje poza kompetencjami organu, na co wskazał też Sąd kasacyjny w wiążącym PUODO wyroku z 13 stycznia 2022 r., sygn. akt III OSK 4763/21.
Fundusz powierzył Spółce przetwarzanie danych skarżącego, na podstawie łączących te podmioty umów: umową o zarządzanie wierzytelnościami z [...] stycznia 2012 r., a następnie - w związku ze zmianą Towarzystwa inwestycyjnego zarządzającego Funduszem - umową o zarządzanie wierzytelnościami z [...] listopada 2020 r. zawartą z Towarzystwem (zarządzającym Funduszem) oraz umową powierzenia przetwarzania danych z [...] listopada 2020 r. Tak więc przetwarzanie danych osobowych skarżącego przez Spółkę w imieniu administratora, tj. Funduszu, znajdowało oparcie w art. 31 ust. 1 u.o.d.o. z 1997 r., w myśl którego administrator danych może powierzyć innemu podmiotowi, w drodze umowy zawartej na piśmie, przetwarzanie danych. Po 25 maja 2018 r. jego podstawą jest art. 28 ust. 3 RODO. Spółka nie przetwarzała i nie przetwarza danych osobowych skarżącego bez podstawy prawnej, gdyż proces ten jest dokonywany imieniu administratora, tj. Funduszu, co nie wymagało uzyskania uprzedniej zgody skarżącego.
Zdaniem organu, zakres danych przetwarzanych przez Fundusz w celu dochodzenia wierzytelności od skarżącego, w tym powierzony Spółce, tj. imię i nazwisko, nr ewidencyjny PESEL, data urodzenia, adres korespondencyjny, adres poczty elektronicznej, nr telefonu kontaktowego, nr klienta, data zawarcia i rozwiązania umowy, informacje dotyczące podstawy roszczenia w rozbiciu na składniki finansowe tj. należność główną i odsetki oraz nr rachunku bankowego dedykowanego do spłaty zadłużenia, jest zgodny z zasadą minimalizacji, wynikającą poprzednio z art. 26 ust. 1 pkt 3 u.o.d.o. z 1997 r., a obecnie z art. 5 ust. 1 lit. c RODO. Taki zakres danych należy bowiem uznać za niezbędny do realizacji celu, którym jest prowadzenie w sposób efektywny czynności windykacyjnych przez Fundusz i działającą w jego imieniu Spółkę. Powyższe dane identyfikują skarżącego jako dłużnika, wobec którego prowadzone są czynności windykacyjne, a także umożliwiają nawiązanie z nim kontaktu drogą poczty tradycyjnej lub elektronicznej oraz poprzez kontakt telefoniczny, co jest niezbędne do prowadzenia pozasądowych działań windykacyjnych, zmierzających do odzyskania przedmiotowej wierzytelności. Ponadto dane te określają podstawę dochodzonej wierzytelności oraz jej wysokość.
Skarżący zarzucił, iż sposób przetwarzania jego danych osobowych przez Spółkę, tj. częste wykonywanie do niego połączeń telefonicznych w różnych porach dnia, jest niezgodne z przesłanką adekwatności i celowości. Jak wynika z zebranego w sprawie materiału dowodowego, Spółka podejmowała wielokrotnie czynności windykacyjne w stosunku do skarżącego, w tym również przy użyciu jego nr telefonu. Spółka wyjaśniła, że w ramach prowadzonych czynności windykacyjnych, drogą telefoniczną nie była w stanie dokonać jednoznacznej weryfikacji skarżącego, ponieważ rozłączał się albo odmawiał dalszej weryfikacji, która pozwalałaby na przekazanie informacji o celu rozmowy oraz dawałaby szansę na podjęcie próby negocjacji warunków spłaty zadłużenia. Natomiast rozmowy z osobą trzecią - pracownikiem kancelarii skarżącego kończyły się pozostawieniem nr telefonu z prośbą o kontakt skarżącego. Ponadto Spółka wielokrotnie wysyłała na nr telefonu skarżącego wiadomości tekstowe.
Według PUODO, powyższe działanie Spółki nie stanowiło naruszenia przepisów o ochronie danych osobowych. Przetwarzanie danych osobowych dłużnika w celu dochodzenia od niego zaspokojenia roszczeń stanowi prawnie usprawiedliwiony cel oraz nie narusza jego praw i wolności. W pojęciu dochodzenia roszczeń mieszczą się zarówno sądowe, jak i pozasądowe działania zmierzające do zaspokojenia wierzytelności przez wierzyciela, mieszczące się w granicach obowiązujących przepisów (vide wyrok NSA z 10 listopada 2015 r., sygn. akt I OSK 1210/14). Obowiązujące przepisy prawa nie określają katalogu, który przewidywałby możliwe sposoby postępowań służące dochodzeniu roszczeń. Przetwarzanie nr telefonu osoby będącej dłużnikiem, tym bardziej w sytuacji, gdy unika on kontaktu z wierzycielem, przez co uniemożliwia podjęcie próby jakiejkolwiek negocjacji warunków spłaty zadłużenia, nie może być traktowane jako naruszające jego prawa i wolności. Przepisy o ochronie danych osobowych nie mogą być, w ocenie organu, wykorzystywane przez dłużnika w sposób zmierzający do uniknięcia odpowiedzialności za udokumentowany dług.
PUODO przywołał też następujący fragment prawomocnego wyroku WSA z 27 kwietnia 2022 r., sygn. akt II SA/Wa 3469/21: "Jak zasadnie powołał organ, w myśl art. 4 pkt 1 RODO >>dane osobowe<< oznaczają wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej (>>osobie, której dane dotyczą<<); zalicza się do nich również numer telefonu, umożliwiający podjęcie wobec dłużnika czynności windykacyjnych". Organ podzielił również stanowisko Sądu drugiej instancji, zaprezentowane w wyroku z 5 stycznia 2010 r., sygn. akt I OSK 399/09, dotyczącym art. 23 ust. 1 pkt 5 u.o.d.o. z 1997 r.: "Dodać należy, iż zastosowanie tego przepisu będzie możliwe jeżeli zostaną spełnione kumulatywnie dwie przesłanki - po pierwsze - przetwarzanie danych jest niezbędne do wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratora danych albo odbiorców danych i po drugie - przetwarzanie to nie narusza praw i wolności osoby, której dotyczą. Tak jak to wskazano wyżej te przesłanki muszą wystąpić kumulatywnie, bo w przypadku braku chociażby jednej z nich, przetwarzanie danych następuje z naruszeniem powyższego przepisu". PUODO odwołał się także do poglądów doktryny w zakresie zasady minimalizacji danych: "Omawiana zasada została skrótowo określona jako >>minimalizacja danych<<, co (...) nie do końca odpowiada jej istocie i może być powodem restrykcyjnej interpretacji, prowadzącej do różnorodnych wątpliwości i problemów. Tak ujmowana zasada (nazywana niekiedy również zasadą minimalizmu), odnoszona w literaturze przedmiotu na gruncie dyrektywy 95/46/WE do ustalenia zależności między celem a zakresem przetwarzania danych, oznacza dwa wymogi: 1) ograniczenie zbierania danych jedynie do tych, które są niezbędne do osiągnięcia celu, oraz 2) konieczność usunięcia danych, gdy staną się one zbędne do osiągnięcia celu przetwarzania" (vide P. Fajgielski [w:] Komentarz do rozporządzenia nr 2016/679 w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) [w:] Ogólne rozporządzenie o ochronie danych. Ustawa o ochronie danych osobowych. Komentarz, wyd. II, Warszawa 2022, art. 5).
PUODO skonkludował, że przetwarzanie danych osobowych w zakresie nr telefonu skarżącego przez Fundusz oraz działającą w jego imieniu Spółkę było i jest niezbędne z perspektywy rodzaju prowadzonych czynności windykacyjnych względem skarżącego. Tym samym proces ten - jako zgodny z zasadą minimalizacji - znajdował oparcie w przesłance z art. 25 ust. 1 pkt 5 u.o.d.o. z 1997 r., a obecnie znajduje oparcie w przesłance z art. 6 ust. 1 lit. f RODO.
Organ ocenił, iż materiał dowodowy nie potwierdził zarzutów skarżącego, że jego nr telefonu nie był przetwarzany przez Spółkę w faktycznych celach windykacyjnych, lecz w celach pozornych, mających w rzeczywistości formę niedozwolonego nacisku naruszającego jego prawa, poprzez uporczywe nękanie. W tej kwestii PUODO powołał się na wyrok NSA z 2 marca 2001 r., sygn. akt II SA 401/00, w którym stwierdzono: "Generalny Inspektor Ochrony Danych Osobowych (...) nie jest organem kontrolującym ani nadzorującym prawidłowość stosowania prawa materialnego i procesowego w sprawach należących do właściwości innych organów, służb czy sądów, których orzeczenia podlegają ocenom w toku instancji czy w inny sposób określony odpowiednimi procedurami". PUODO wskazał też na prawomocny wyrok Sądu Rejonowego w [...] z [...] lipca 2019 r., sygn. akt [...], uniewinniający dyrektora operacyjnego Spółki od zarzucanego mu czynu z art. 107 k.w. Ponadto organ nie ustalił, aby toczyły się inne postępowania karne dotyczące działalności windykacji telefonicznej prowadzonej przez Spółkę wobec skarżącego. PUODO podsumował, że nie ma podstaw do odmowy wiarygodności wyjaśnieniom Spółki, iż próby kontaktu ze skarżącym faktycznie miały jedynie na celu windykację należności. W rozpatrywanej sprawie nie zaistniały wskazywane przez skarżącego nieprawidłowości w procesie przetwarzania jego danych osobowych.
W skardze do tutejszego Sądu na opisaną wyżej decyzję organu z [...] listopada 2024 r. skarżący zarzucił:
błąd w ustaleniach faktycznych polegający na ustaleniu, że Spółka i Fundusz prowadzą działania windykacyjne na drodze sądowoegzekucyjnej, jak i działania pozasądowe, zmierzające do polubownego ustalenia planu spłaty zadłużenia przez osobę zobowiązaną, podczas gdy Spółka i Fundusz nigdy nie prowadziły wobec skarżącego żadnych czynności sądowoegzekucyjnych oraz zaprzestały jakichkolwiek "prób" zmierzających do "polubownego" ustalenia planu spłaty od 2018 r., czyli od 6 lat;
błąd w ustaleniach faktycznych, polegający na ustaleniu, iż:
niewysyłanie korespondencji listownej, w tym listem poleconym, w celu wezwania do zapłaty lub polubownego rozwiązania sporu,
nieudowodnienie roszczenia, podczas gdy każdy prawnik wie, że podstawą roszczenia nie jest niepotwierdzony dokument finansowy, a jest nim tylko umowa oraz zdarzenie faktyczne będące podstawą żądania finansowego albo potwierdzony przez zobowiązanego dokument finansowy,
niewszczynanie postępowania sądowego, w tym w oparciu o art. 189 k.p.c.,
ale za to:
co najmniej 29-krotne gnębienie połączeniami telefonicznymi,
wysyłanie wiadomości tekstowych ponad 80 razy przez 62 dni (nawet 4 razy dziennie) w ciągu roku i 3 miesięcy,
kategoryczne żądanie przez skarżącego podczas rozmów telefonicznych z pracownikami Spółki, aby zapisali, iż kwestionuje on dług i mają zaprzestać dzwonienia,
zaprzeczanie przez skarżącego w nagranych rozmowach telefonicznych, że kwestionuje dług co do zasady oraz ze względu na przedawnienie,
żądanie przez skarżącego usunięcia tylko nr telefonu,
wszczęcie postępowania o wykroczenie i ustalenie faktyczne dokonane przez Sąd Rejonowy w [...], że "Pokrzywdzony podjął rozmowę z windykatorem, w której stwierdził, że kwestionuje dług, nie widzi możliwości polubownego załatwienia sporu, żąda zaprzestania nawiązywania kontaktu i skierowania sprawy do sądu w celu rozstrzygnięcia zaistniałego konfliktu. Pomimo zakomunikowania swojego stanowiska firmie [...] Sp. z o.o. nadal dostawał wiadomości SMS i podejmowane były próby nawiązania kontaktu z pokrzywdzonym",
wszczęcie przez skarżącego postępowania przed GIODO i to w sprawie o 180 złotych
jest legalnym pozasądowym działaniem zmierzającym do zaspokojenia roszczeń, podczas gdy jest to stalking, czyli uporczywe nękanie w celu wzbudzenia u skarżącego uzasadnionego okolicznościami poczucia udręczenia, co od [...] marca 2020 r. stanowi przestępstwo z art. 190a Kodeksu karnego, a wcześniej było bezprawnym nadużyciem przez Spółkę i Fundusz prawa do posiadania nr telefonu skarżącego, poprzez czynienie z tego prawa użytku, który był:
sprzeczny ze społeczno-gospodarczym przeznaczeniem prawa do korzystania z nr telefonu skarżącego (tj. polubownym, czyli dobrowolnym, porozumieniem między stronami),
sprzeczny z zasadami współżycia społecznego, tj. zasadą równości stron dążących do porozumienia, dobrowolności w prowadzeniu rozmów, a w przypadku zaistnienia sporu pomiędzy stronami - skierowaniem go do rozstrzygnięcia przez sąd,
zaś w myśl art. 5 k.c. takie działanie nie jest uważane za wykonywanie prawa;
błąd w ustaleniach faktycznych polegających na ustaleniu, iż działanie Spółki i Funduszu nie narusza praw i wolności skarżącego, podczas gdy narusza:
prawo do spokoju,
wolność od zmuszania do określonego zachowania,
prawo do rozstrzygania sporów na drodze sądowej, a nie poprzez gnębienie telefonami i SMS-ami,
prawo do bycia zapomnianym, bo pomimo nierealizowania od 6 lat prawa podstawowego w zakresie dochodzenia roszczeń w legalny sposób, tj. polubownie do czasu chęci polubownego rozstrzygnięcia sporu, a następnie na drodze sądowej, bądź to dochodząc roszczenia bądź potwierdzając istnienie prawa, Spółka i Fundusz nadal mają zamiar przetwarzania danych do końca życia skarżącego, bo roszczenia skarżącego z art. 189 k.p.c. nie podlegają przedawnieniu,
prawo do korzystania z prawa skarżącego tylko zgodnie ze społeczno-gospodarczym przeznaczeniem tego prawa,
prawo do korzystania z prawa skarżącego tylko zgodnie z zasadami współżycia społecznego,
prawo wynikające z zasady obus probandi - ciężar udowodnienia faktu istnienia roszczenia spoczywa na osobie, która z faktu tego wywodzi skutki prawne, czyli nieprzerzucania tego obowiązku przez Spółkę i Fundusz na skarżącego, aby uzyskał sądowe potwierdzenie nieistnienia prawa lub stosunku prawnego, a kwestionowany jednostronny dokument finansowy nie jest potwierdzeniem istnienia roszczenia;
naruszenie art. 6 ust. 1 lit. f RODO poprzez uznanie, że posiadanie przez Spółkę i Fundusz nr telefonu skarżącego jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez Spółkę i Fundusz, podczas gdy posiadanie nr telefonu nie jest niezbędne ani do sądowego dochodzenia roszczeń ani pozasądowego, gdyż Spółka i Fundusz mają wszystkie niezbędne dane do wytoczenia powództwa lub do pozasądowego, zgodnego z zasadami współżycia społecznego czyli dobrowolnego, bez stosowania presji psychicznej, wysyłania przykładowo raz do roku zapytania, czy skarżący nie zmienił zdania, a nie stosowania stalkingu i zmuszania do określonego zachowania;
5) naruszenie art. 5 ust. 1 lit. c RODO poprzez naruszenie zasady minimalizacji i uznanie, iż posiadanie nr telefonu jest adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celu jakim jest zaspokojenie roszczeń w wysokości 180 złotych, podczas gdy nie jest adekwatne, nie jest stosowne i nie jest ograniczone tylko do tego co niezbędne, bowiem zupełnie wystarczające, tj. adekwatne, stosowne i ograniczone do niezbędnego minimum, jest posiadanie następujących danych: imienia, nazwiska, adresu oraz nr PESEL, dzięki którym Spółka i Fundusz mogą dochodzić wszelkich roszczeń przed sądami oraz prowadzić pozasądową próbę dochodzenia roszczeń zgodnie ze społeczno-gospodarczym przeznaczeniem prawa do posiadania danych osobowych skarżącego oraz z zasadami współżycia społecznego, a w przypadku kwestionowania roszczenia - dochodzić go tylko na drodze sądowej;
6) naruszenie art. 153 p.p.s.a. poprzez nieprzeprowadzenie rzetelnego testu w zakresie minimalizacji danych, wynikającej z art. 5 ust. 1 lit. c RODO, do czego zobowiązał NSA, podczas gdy obowiązkiem PUODO było wskazanie kryteriów, w oparciu o które będzie dokonywał testu minimalizacji, wynikających z orzecznictwa sądowego, doktryny lub stworzonych przez organ, a następnie przeprowadzenie tego testu, a nie uznanie, że wszystkie metody dochodzenia roszczeń są dopuszczalne, zatem wszystkie dane są niezbędne, co przeczy istocie pojęcia minimalizacji;
7) naruszenie art. 97 § 1 pkt 4 k.p.a. w związku z art. 8 ust. 2 Karty praw podstawowych Unii Europejskiej poprzez niezawieszenie postępowania z urzędu i niezobowiązanie Spółki oraz Funduszu do uzyskania wyroku sądowego potwierdzającego posiadanie wierzytelności, podczas gdy tylko w taki sposób można rozstrzygnąć, czy Spółka i Fundusz mają wierzytelność w stosunku do osoby, której dane dotyczą, zaś obowiązek ten wynika z zasady obus probandi oraz wymogu rzetelności po stronie Spółki i Funduszu, co z kolei przewiduje Karta praw podstawowych Unii Europejskiej.
W oparciu o ww. zarzuty skarżący wniósł o uchylenie zaskarżonej decyzji i rozpoznanie sprawy w trybie uproszczonym. Ponadto zażądał wystąpienia do TSUE z pytaniem prejudycjalnym:
czy przepisy RODO dopuszczają prowadzenie postępowania administracyjnego przez PUODO w oparciu tylko o deklaratoryjne twierdzenie podmiotu przetwarzającego dane osobowe, że posiada wierzytelność w stosunku do osoby, której dane dotyczą, nawet jeśli ta osoba zaprzecza temu?
czy PUODO, w przypadku zaprzeczenia przez osobę, której dane dotyczą, że podmiot przetwarzający dane osobowe posiada wierzytelność w stosunku do niej, powinien zawiesić postępowanie do czasu uzyskania przez podmiot przetwarzający dane osobowe orzeczenia sądu cywilnego potwierdzającego posiadanie wierzytelności, a do tego czasu PUODO powinien wydać postanowienie zabezpieczające zakazujące posługiwania się na zewnątrz tymi danymi osobowymi przez podmiot przetwarzający te dane osobowe, z wyjątkiem danych niezbędnych do wytoczenia powództwa?
czy PUODO powinien we własnym zakresie rozstrzygnąć, czy istnieje wierzytelność w stosunku do osoby, której dane dotyczą, w oparciu o przepisy k.c.?
W uzasadnieniu skargi skarżący rozwinął poszczególne jej zarzuty.
W odpowiedzi na skargę organ wniósł o jej oddalenie, podtrzymując stanowisko zaprezentowane w uzasadnieniu zaskarżonej decyzji. PUODO szczegółowo odniósł się do zarzutów skargi, nie podzielając ich.
Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje:
Na wstępie wskazać trzeba, że w przedmiotowej sprawie znajduje zastosowanie art. 153 p.p.s.a. Stosownie do treści tego przepisu, ocena prawna i wskazania co do dalszego postępowania wyrażone w orzeczeniu sądu wiążą w sprawie organy, których działanie, bezczynność lub przewlekłe prowadzenie postępowania było przedmiotem zaskarżenia, a także sądy, chyba że przepisy prawa uległy zmianie.
Przepis art. 153 p.p.s.a. ma charakter bezwzględnie obowiązujący, a więc ani organ administracji publicznej, ani następnie sąd administracyjny orzekający ponownie w tej samej sprawie, nie mogą pominąć oceny prawnej wyrażonej we wcześniejszym orzeczeniu sądu administracyjnego oraz wskazań co do dalszego postępowania. Wyrażenie "w sprawie" wskazuje na wcześniejsze orzeczenie wydane wobec tego samego podmiotu i w tym samym przedmiocie, przy zachowaniu tych samych istotnych okoliczności faktycznych. Z kolei moc wiążącą, o ile stan prawny nie uległ zmianie, mają ocena prawna i wskazania do dalszego postępowania, wyrażona w wyroku. Ocena prawna o charakterze wiążącym musi dotyczyć właściwego zastosowania konkretnego przepisu czy też prawidłowej jego wykładni w odniesieniu do ściśle określonego rozstrzygnięcia podjętego w konkretnej sprawie; musi pozostawać w logicznym związku z treścią orzeczenia sądu administracyjnego, w którym została sformułowana. Wskazania co do dalszego postępowania stanowią z reguły konsekwencję oceny prawnej. Dotyczą one sposobu działania w toku ponownego rozpoznania sprawy i mają na celu uniknięcie błędów już popełnionych oraz wskazanie kierunku, w którym powinno zmierzać przyszłe postępowanie dla uniknięcia wadliwości w postaci na przykład braków w materiale dowodowym lub innych uchybień procesowych (vide wyrok NSA z 4 lutego 2025 r., sygn. akt I FSK 1363/21).
Zaakcentować należy, iż w ramach ponownego rozpoznania sprawy PUODO - w wiążącym go wyroku Sądu drugiej instancji z 13 stycznia 2022 r., sygn. akt III OSK 4763/21 - został zobowiązany do zbadania zgodności przetwarzania przez Spółkę danych osobowych skarżącego z zasadą minimalizacji danych, wynikającą z art. 5 ust. 1 lit. c RODO, w szczególności co do przetwarzana jego nr telefonu.
Tutejszy Sąd stwierdza, że PUODO wypełnił zalecenia zawarte w ww. orzeczeniu NSA. Organ, po powtórnym przenalizowaniu sprawy, doszedł do wniosku, iż kwestionowane przetwarzanie w celach windykacyjnych przez Fundusz oraz działającą w jego imieniu Spółkę danych osobowych skarżącego, w tym jego nr telefonu, było oparte na przesłance z art. 23 ust. 1 pkt 5 u.o.d.o. z 1997 r. - przed 25 maja 2018 r., a od tej daty podstawę procesu przetwarzania danych skarżącego stanowi art. 6 ust. 1 lit. f RODO. Spółka przetwarza dane osobowe w imieniu Funduszu jako podmiot przetwarzający, co przed 25 maja 2018 r. legalizował art. 31 u.o.d.o. z 1997 r., a od tej daty - art. 28 ust. 3 RODO. Jednocześnie PUODO przeprowadził czynności wyjaśniające, które doprowadziły go do konkluzji, iż w procesie przetwarzania danych osobowych skarżącego w celach windykacyjnych nie została naruszona zasada minimalizacji. Stanowisko zajęte po ponownym rozpatrzeniu sprawy organ wszechstronnie uzasadnił w zaskarżonej decyzji, co zostało przedstawione w części faktycznej (historycznej) niniejszego uzasadnienia.
Odnotować także wypada, że skarżący zdaje się nie zauważać, iż Sąd kasacyjny wypowiedział się o braku kognicji PUODO w kwestii wykazania istnienia roszczenia. NSA wyraźnie wskazał, że spór co do istnienia lub nieistnienia wierzytelności jest sprawą cywilną w rozumieniu art. k.p.c., do którego rozstrzygnięcia jest właściwy sąd powszechny, m.in. w trybie rozstrzygnięcia powództwa o ustalenie na podstawie art. 189 k.p.c. Sąd drugiej instancji ocenił też jako bezskuteczny zarzut skarżącego, iż organ nie zawiesił postępowania administracyjnego w kontekście obowiązku wszczęcia procedury przed sądem cywilnym.
Rola wyspecjalizowanego organu jakim jest PUODO polega na ocenie legalności, czyli zgodności z prawem, przetwarzania danych osobowych. Poza granicami sprawy administracyjnej pozostaje kwestia zasadności zobowiązań danego podmiotu (tu: skarżącego). Kwestie te mogą być rozstrzygane wyłącznie w postępowaniach przed sądami powszechnymi (cywilnymi, gospodarczymi).
Podobnie PUODO nie jest władny do oceny, czy dany windykator (tu: Spółka) swoim działaniem wypełnia znamiona czynu zabronionego; organ nie ma bowiem uprawnień śledczych. Jeżeli skarżący czuje się pokrzywdzony, to może dochodzić swoich praw przed Sądem cywilnym w postępowaniu o ochronę dóbr osobistych lub zainicjować postępowanie karne, np. o stalking. Nie może natomiast oczekiwać takich działań ze strony PUODO.
Organ, na podstawie zebranych dowodów, m.in. wyjaśnień skarżącego i Spółki, ocenił, że czynności windykacyjne z wykorzystaniem nr telefonu skarżącego, nie miały charakteru pozornego, leczy były prowadzone w celu dochodzenia roszczenia, a nadto nie naruszały zasady minimalizacji danych. PUODO uwzględnił w tym zakresie okoliczności faktyczne takie jak: permanentną odmowę skarżącego dalszej weryfikacji (podczas rozmowy telefonicznej) uniemożliwiającą przekazanie celu rozmowy (a w konsekwencji podjęcie próby negocjacji warunków spłaty zadłużenia), przerywanie połączeń telefonicznych przez skarżącego czy brak jego odpowiedzi na przesyłane mu wiadomości tekstowe SMS. Nadto organ miał na uwadze prawomocny wyrok Sądu Rejonowego w [...] z [...] lipca 2019 r., sygn. [...], uniewinniający dyrektora operacyjnego Spółki od zarzucanego mu czynu z art. 107 k.w. polegającego na notorycznym wydzwanianiu pod nr telefonu skarżącego i wysyłaniu mu wiadomości tekstowych SMS z żądaniem pilnego kontaktu ze Spółką, czym miał w sposób uporczywy złośliwie niepokoić skarżącego.
Nietrafna jest ocena skarżącego, że czynności windykacyjne Spółki są sprzeczne ze społeczno-gospodarczym przeznaczeniem prawa do korzystania z nr telefonu skarżącego czy z zasadami współżycia społecznego. Postępowanie w sprawie naruszenia przepisów o ochronie danych jest jednym z postępowań administracyjnych przed PUODO. O takim jego charakterze rozstrzyga art. 7 ust. 1 u.o.d.o. z 2018 r., który postępowanie z rozdziału 7 kwalifikuje jako administracyjne i przewiduje w sprawach w niej nieuregulowanych stosowanie do tego postępowania k.p.a. Tymczasem cywilnoprawna instytucja nadużycia prawa podmiotowego nie znajduje zastosowania w prawie publicznym, w tym konstytucyjnym, administracyjnym czy podatkowym. Artykuł 5 wyznacza granice chronionego prawnie wykonywania praw prywatnych (prawa podmiotowego jako przedmiotu stosunku cywilnoprawnego), nie dotyczy natomiast praw publicznych, nawet jeśli stosowane jest w odniesieniu do nich pojęcie praw podmiotowych lub uprawnień. W przypadku tych praw ocena zgodności ich wykonywania z zasadami współżycia społecznego byłaby możliwa jedynie wówczas, gdyby przewidywały ją przepisy regulujące określone prawa publiczne lub gdyby przepisy te zawierały odesłanie do stosowania art. 5 (vide B. Janiszewska [w:] Kodeks cywilny. Komentarz. Tom I. Część ogólna, cz. 1 (art. 1-55(4)), red. J. Gudowski, Warszawa 2021, art. 5).
Chybiony jest też zarzut naruszenia prawa do bycia zapomnianym. Przepis art. 17 ust. 3 lit. e RODO wyłącza stosowanie ust. 1 i 2, w zakresie w jakim przetwarzanie jest niezbędne do ustalenia, dochodzenia lub obrony roszczeń, a właśnie spór między stronami postępowania dotyczy kwestii przetwarzania danych osobowych w celach windykacyjnych w związku roszczeniami administratora. Z kolei powołując się na zasadę obus probandi, skarżący niezasadnie - w ramach przedmiotowej sprawy - domaga się, aby Fundusz lub Spółka udowodniły fakt istnienia roszczenia.
Jak podniósł NSA w wyroku z 20 lutego 2024 r., sygn. akt III OSK 2700/22, ustalenie "niezbędności" przetwarzania danych osobowych dla celów administratora musi opierać się na przesłankach konkretnych, uwzględniających możliwie najszersze spektrum uwarunkowań jego realizacji. Przetwarzanie danych osobowych na podstawie art. 6 ust. 1 lit. f RODO wymaga od administratora wykazania, że jest to konieczne z uwagi na charakter celu, okoliczności faktyczne i prawne jego realizacji oraz relacje podmiotowe pomiędzy administratorem a osobą, której te dane dotyczą. W tym aspekcie Sąd kasacyjny odwołał się do zasady rozliczalności (art. 5 ust. 2 RODO), zasady ograniczonego celu przetwarzania (art. 5 ust. 1 lit. b RODO) i zasady minimalizacji przetwarzania danych (art. 5 ust. 1 lit. c RODO). Sąd drugiej instancji wyjaśnił przy tym, iż "niezbędność" przetwarzania danych osobowych do osiągnięcia obranego przez administratora celu sprowadza się do ustalenia, że bez tego przetwarzania nie da się go zrealizować. Chodzi więc o wykazanie logicznie uzasadnionego i weryfikowalnego związku przyczynowo-skutkowego pomiędzy przetwarzaniem danych osobowych a realizacją stanu rzeczy, do którego dąży administrator. Z kolei prawnie uzasadniony interes administratora należy rozumieć jako interes prawnie dopuszczony, niesprzeczny z porządkiem prawnym. NSA podkreślił, iż kwantyfikatorem rozstrzygającym o dopuszczalności przetwarzania danych osobowych na podstawie art. 6 ust. 1 lit. f RODO jest charakter relacji istniejącej pomiędzy administratorem danych osobowych a osobą, której dane podlegają przetwarzaniu. Jeżeli z charakteru tej relacji da się racjonalnie wywieść, iż przetwarzanie danych osobowych jest niezbędne do zrealizowania przez administratora celu wynikającego z tej relacji i jest to cel przez prawo dopuszczony, to zastosowanie ww. przepisu będzie uzasadnione, chyba że interesy lub podstawowe prawa i wolności osoby, której przetwarzane dane dotyczą będą nadrzędne wobec interesu administratora
Sąd pierwszej instancji w pełni aprobuje ocenę prawną PUODO, iż przetwarzanie danych osobowych skarżącego obecnie znajduje oparcie w art. 6 ust. 1 lit. f RODO (przed wejściem w życie RODO przesłankę legalizującą stanowił art. 23 ust. 1 pkt 5 w związku z art. 23 ust. 4 pkt 2 u.o.d.o. z 1997 r.), a także odpowiada zasadom przetwarzania danych, w tym określonej w art. 5 ust. 1 lit. c RODO zasadzie minimalizacji danych.
W niniejszej sprawie bezsporne było prowadzenie czynności windykacyjnych przez Spółkę drogą telefoniczną, tak w formie rozmów, jak i wiadomości tekstowych SMS. To, że skarżący kwestionuje istnienie długu (a tym samym jego wysokość) nie czyni tych działań pozornymi. Przetwarzanie nr telefonu skarżącego nie było także nadmiarowe (w tym "na zapas"), lecz niezbędne dla realizacji celu w postaci dochodzenia roszczenia.
Tutejszy Sąd nie uwzględnił sformułowanego w skardze żądania wystąpienia do TSUE. Postępowanie o wydanie orzeczenia w trybie prejudycjalnym z art. 267 TFUE ma na celu dokonanie wykładni aktów prawa unijnego lub stwierdzenie, czy taki akt jest ważny. Natomiast nie ma obowiązku zwrócenia się z pytaniem, jeżeli wykładnia danego przepisu prawa unijnego nie budzi racjonalnych wątpliwości co do rozstrzygnięcia postawionego pytania. Tutejszy Sąd nie powziął takich wątpliwości. Innymi słowy, wystąpienie z pytaniem do TSUE możliwe jest jedynie wówczas, gdy rozstrzygnięcie danej kwestii jest niezbędne do wydania wyroku, co oznacza, że musi istnieć zależność pomiędzy pytaniem sądu krajowego a przedmiotem postępowania przed sądem krajowym. W przedmiotowej sprawie taka zależność, zdaniem WSA, nie zachodziła.
Reasumując, kontrola zaskarżonej decyzji PUODO w granicach sprawy nie dała podstaw do stwierdzenia, iż została ona wydana z naruszeniem przepisów postępowania lub przepisów prawa materialnego. W uzasadnieniu kontrolowanej decyzji rozważono wszystkie kwestie mające wpływ na rozstrzygnięcie sprawy, stosownie do wytycznych zawartych w wyroku NSA z 13 stycznia 2022 r., sygn. akt III OSK 4763/21.
Mając na uwadze powyższe, Wojewódzki Sąd Administracyjny w Warszawie na mocy art. 151 p.p.s.a. oddalił skargę.