II SA/Wa 1603/24

II SA/Wa 1603/24 - Wyrok WSA w Warszawie
Data orzeczenia
2025-04-10
orzeczenie prawomocne
Data wpływu
2024-10-02
Sąd
Wojewódzki Sąd Administracyjny w Warszawie
Sędziowie
Ewa Marcinkowska /przewodniczący/
Łukasz Krzycki /sprawozdawca/
Mateusz Rogala
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne
Ochrona danych osobowych
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Oddalono skargę
Powołane przepisy
Dz.U. 2024 poz 935
art. 151
Ustawa z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (t. j.)
Sentencja
Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Ewa Marcinkowska, Sędzia WSA Łukasz Krzycki (spr.), Asesor WSA Mateusz Rogala, , Protokolant specjalista Joanna Głowala po rozpoznaniu na rozprawie w dniu 10 kwietnia 2025 r. sprawy ze skargi D. P. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] lipca 2024 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę
Uzasadnienie
Zaskarżoną decyzją - działając na podstawie art. 104 § 1 oraz art. 105 § 1 ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego (Dz.U. z 2024 r. poz. 572), zwanej dalej "K.p.a.", w zw. z art. 6 ust. 1 lit. c i f, art. 28 ust. 3 oraz art. 58 ust. 2 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz.Urz. UE L. nr 119. str. 1, ze zm.), zwanego dalej "RODO", po przeprowadzeniu postępowania w sprawie skargi p. D. P., zwanej dalej "Wnioskodawcą", na nieprawidłowości w procesie przetwarzania jej danych osobowych przez [...] Sp. z o.o., zwanej dalej "Operatorem", polegające na przetwarzaniu danych osobowych Wnioskodawcy bez podstawy prawnej po rezygnacji z usługi centrali telefonicznej oraz usługi nagrywania rozmów telefonicznych (od stycznia 2022 roku), w szczególności w zakresie danych zawartych w nagraniach rozmów telefonicznych, zarejestrowanych w okresie od stycznia 2022 roku do marca 2023 roku (prowadzonych za pośrednictwem numerów: [...] oraz [...]) oraz na udostępnieniu jej danych osobowych na rzecz [...] Sp. z o.o., zwanej dalej "Spółką"
umarzono postępowanie w zakresie skargi na nieprawidłowości, polegające na przetwarzaniu danych osobowych Wnioskodawcy bez podstawy prawnej po rezygnacji z usługi centrali telefonicznej oraz usługi nagrywania rozmów telefonicznych (tak pkt 1)
odmówiono uwzględnienia wniosku w pozostałym zakresie (tak pkt 2).
Uzasadniając decyzję przywołano następujące okoliczności faktyczne oraz prawne uwarunkowania sprawy:
do organu wpłynęła skarga na nieprawidłowości w procesie przetwarzania przez Operatora danych osobowych Wnioskodawcy,
w toku postępowania ustalono następujący stan faktyczny:
- Wnioskodawca wskazał, że łączy go Operatorem umowa o świadczenie usług telekomunikacyjnych; do jego konta - jako klienta - było przypisanych 10 numerów telefonów; jedną z dodatkowych wykorzystywanych usług była centrala [...], w tym nagrywanie połączeń telefonicznych ([...]) dla dwóch numerach telefonu – [...] oraz [...] (dalej jako numery "[...]" i "[...]"); począwszy od stycznia 2022 roku Wnioskodawca postanowił zrezygnować z usługi centrali telefonicznej oraz nagrywania rozmów; w związku z tym skontaktował się z Operatorem w celu jej wyłączenia; stosownie do ustaleń z jego pracownikiem Operatora, Wnioskodawca złożył - w formie ustnej - oświadczenie o rezygnacji z usługi i - zgodnie z zapewnieniami pracownika - usługę wyłączono; pomimo tego Operator - bez wiedzy Wnioskodawcy - rejestrował i przetwarzał w dalszym ciągu wszystkie rozmowy telefoniczne (przychodzące i wychodzące), jakie odbywały się za pośrednictwem numerów dwu numerów; Wnioskodawca nie miał o tym wiedzy; o dalszym nagrywaniu i gromadzeniu rozmów telefonicznych przez Operatora dowiedział się ponieważ - począwszy od [...] marca 2023 r. - pozbawiono go nagle możliwości wykonania jakichkolwiek połączeń z numerów [...] i [...] - mimo aktywnej umowy na świadczenie pozostałych usług telekomunikacyjnych; Wnioskodawca zgłosił brak możliwości korzystania z opłaconych usług za pośrednictwem infolinii; nie przyniosło to rezultatu - odblokowania połączeń; po zalogowaniu się na konto klienta Wnioskodawca ustalił, że [...] marca 2023 r. posługująca się loginem: [...] osoba usunęła wskazane numery z przypisanego Wnioskodawcy konta; po podjęciu rozmów z pracownikami Operatora Wnioskodawca otrzymał informacje, że numery celowo zablokowano, on zaś ma dostarczyć niezwłocznie Operatorowi pisemne wypowiedzenie (rezygnację) z usługi nagrywania rozmów; wedle Wnioskodawcy rejestrowanie, utrwalanie i gromadzenie przez Operatora - w okresie od stycznia 2022 roku do marca 2023 roku - wszystkich rozmów, przychodzących i wychodzących, które były dokonywane za pośrednictwem numerów przypisanych do jego konta (numer [...] i [...]) odbywało się bez podstawy prawnej - wobec braku zgody Wnioskodawcy; żądał on od organu potwierdzenia zarzucanych nieprawidłowości - w procesie przetwarzania danych osobowych przez Operatora - oraz nakazania mu usunięcia uchybień - poprzez zaprzestanie przetwarzania i usunięcie danych osobowych, przetwarzanych bez podstawy prawnej oraz zgody - przede wszystkim usunięcie nagrań rozmów telefonicznych, zarejestrowanych w okresie od stycznia 2022 roku do marca 2023 roku - prowadzonych za pośrednictwem numerów [...] i [...] - a także poinformowania wszystkich podmiotów, którym Operator udostępnił dane, o konieczności zrealizowania żądania zaprzestania i usunięcia danych (tak: skarga Wnioskodawcy z 7 czerwca 2023 r. wraz z załącznikami);
- w dalszej korespondencji Wnioskodawca wskazał, że - pomimo nieświadczenia przez Operatora usług na jego rzecz - nadal wystawiane są wobec Wnioskodawcy faktury i inne dokumenty księgowe, a także kierowane są doń wezwania do zapłaty dokumentów księgowych - których nigdy mu nie doręczono; Wnioskodawca wskazał, że - po otrzymaniu wezwania do zapłaty - zwrócił się do Operatora o przesłanie wszystkich, wystawionych po zakończeniu umowy, dokumentów księgowych - w celu ich analizy i ustosunkowania się do wezwania; zarzucił Operatorowi, że - nie czekając na jego reakcję i ustosunkowanie się do wezwania zapłaty - zlecił firmie zewnętrznej prowadzenie działań windykacyjnych i udostępnił dane osobowe Wnioskodawcy; w jego ocenie żądanie zapłaty należności, wynikające z otrzymanego przezeń wezwania do zapłaty, jest bezpodstawne; należności te wynikają z bowiem z dokumentów księgowych, wystawionych już po zakończeniu współpracy; wskazał ponadto, że dokumentów tych nigdy mu nie dostarczono; wobec tego rozszerzył zakres skargi o przetwarzanie jego danych osobowych w zakresie prowadzonych przez Operatora działań windykacyjnych, a także o udostępnienie tych danych na rzecz Spółki; Wnioskodawca zażądał usunięcia jego danych osobowych, przetwarzanych przez dany podmiot bez podstawy prawnej (tak pisma Wnioskodawcy: z [...] lipca 2023 r. wraz z załącznikiem, z [...] sierpnia 2023 r., oraz z [...] października 2023 r.);
Operator wyjaśnił:
w stosunku do Wnioskodawcy - jako operator telekomunikacyjny - pełni rolę administratora dla umów o świadczeniu usług telekomunikacyjnych lub rolę procesora dla umowy o świadczenie usługi [...], do której dostęp konfiguracyjny ma jedynie zamawiający usługę klient; odnośnie swojej roli, jako administratora danych osobowych Wnioskodawcy podmiotu świadczącego usługi telekomunikacyjne), Operator zawarł z Wnioskodawcą umowy o świadczenie usług telekomunikacyjnych w dniach: [...] i [...] listopada 2006 r., [...] czerwca 2009 r., [...] i [...] marca 2010 r., [...] lipca 2011 r., [...] lutego i [...] grudnia 2012 r., [...] lutego 2015 r., [...] maja 2017 r., [...] lutego 2018 r., [...] lipca i [...] sierpnia 2020 r., oraz - w zw. z zawarciem dodatkowej umowy o świadczenie usługi [...] - [...] kwietnia 2019 r.; Operator pełni tam rolę procesora w zakresie, wskazanym w porozumieniu o powierzeniu przetwarzania danych osobowych z [...] kwietnia 2019 r. na rzecz przedsiębiorstwa Wnioskodawcy; w latach 2006 - 2023 posiadał on 18 aktywnych numerów telefonów w usłudze abonamentowej; [...] marca 2017 r. Wnioskodawca zmienił - dla numerów [...] i [...] - warunki umowy o świadczenie usług telekomunikacyjnych za pomocą środków porozumiewania się na odległość - podczas rozmowy telefonicznej; w późniejszym okresie Wnioskodawca uruchomił dla przedmiotowych numerów telefonów dodatkową usługę - [...]; w jej ramach Operator pełnił rolę procesora; aktualnie Wnioskodwca nie ma żadnych aktywnych usług - w związku z rozwiązaniem umów [...] marca i [...] kwietnia 2023 r.; na koncie abonenckim Wnioskodawcy widnieje jednak wymagana należność do zapłaty - w wysokości 319,78 zł. (tak: pismo Operatora z [...] sierpnia 2023 r. wraz z załącznikami);
przetwarza dane Wnioskodawcy w związku z realizacją obowiązków, nałożonych na Operatora , w szczególności na podstawie przepisów ustawy z dnia 16 lipca 2004 r. - Prawo telekomunikacyjne (Dz.U. z 2024 r. poz. 34), w zakresie tam określonym, w szczególności w art. 60b oraz 161 - imię, nazwisko, adres, PESEL, seria i numer dowodu osobistego, nazwę podmiotu, NIP, REGON oraz numer telefonu kontaktowego, adres poczty elektronicznej, podany przez Wnioskodawca podczas zawierania umów o świadczenie usług telekomunikacyjnych oraz umowy o świadczenie usługi [...] (tak: pismo Operatora z [...] sierpnia 2023 r. wraz z załącznikami);
jest zobligowany przechowywać dane Wnioskodawcy - jako byłego abonenta - pozyskane do zawarcia, realizacji i archiwizacji danych podanych przez Wnioskodawcę - również w myśl zasad, o których mowa w art. 5 ust. 12 RODO, w szczególności na podstawione przepisów:
a) art. 74 ustawy z dnia 29 września 1994 r. o rachunkowości (Dz. U. z 2023 r. poz. 120), w okresie 5 lat plus 1 rok (okresy przechowywania danych do celów rachunkowych i podatkowych),
b) art. 107-108 ustawy - Prawo telekomunikacyjne w okresie 12 miesięcy od ostatniego dnia okresu rozliczeniowego plus 30 dni, co daje łącznie okres 13 miesięcy (skutki wyczerpania drogi postępowania reklamacyjnego),
c) art. 118 ustawy z dnia 23 kwietnia 1964 r. - Kodeks cywilny (Dz.U. z 2024 r., poz. 1061 ze zm.), zwanej dalej "K.c", w okresie 6 lat dla roszczeń o świadczenia okresowe oraz roszczeń, związanych z prowadzeniem działalności gospodarczej - 3 lata (terminy przedawnienia roszczeń),
d) art. 189g K.p.a. w okresie 5 lat (przedawnienie nałożenia administracyjnej kary pieniężnej),
e) art. 76 (93, 99f, 105) ustawy z dnia 16 lutego 2007 r. o ochronie konkurencji i konsumentów (Dz. U. z 2024 r. poz. 594), w okresie 5 lat (przedawnienie wszczęcia postępowania);
przetwarza obecnie dane Wnioskodawcy - jako byłego abonenta - w szczególności na podstawie art. 6 ust. 1 lit. c RODO - ze względu na wymogi kontroli skarbowo-podatkowej dla celów rozliczeniowych i podatkowych - oraz dla celów dowodowych i obrony roszczeń - w związku m.in. z prowadzonym przez tutejszy urząd niniejszym postępowaniem wyjaśniającym (art. 6 ust. 1 lit. f RODO) przez okres wskazany w obowiązujących przepisach prawa (tak: pisma Operatora: z [...] sierpnia wraz z załącznikami oraz z [...] października 2023 r. wraz z załącznikami);
przedmiotem skargi jest usługa, w ramach której Wnioskodawca występował, jako administrator - w rozumieniu przepisów art. 4 pkt 7 RODO; w związku z tym, zawarto z Wnioskodawcą pisemną umowę o świadczenie usługi [...] wraz z umową powierzenia z [...] kwietnia 2019 r. (nazwaną "porozumieniem"); zgodnie z treścią umowy powierzenia, Wnioskodawca - prowadzący działalność gospodarczą (pod nazwą "[...]" P. D.), jako profesjonalny uczestnik rynku - posiadała status administratora danych, w rozumieniu art. 4 pkt 7 RODO, przetwarzanych w związku ze świadczoną usługą [...]; Operator zaś - w okresie obowiązywania umowy o świadczenie usługi [...] wraz z umową powierzenia - pełnił rolę podmiotu przetwarzającego, w rozumieniu art. 4 pkt 8 RODO; Wnioskodawca powierzył mu na podstawie art. 28 RODO - jako administrator danych - ich przetwarzanie, w celu wykonywania umowy o świadczenie usługi [...] oraz umowy powierzenia (tak: pismo Spółki z [...] lipca 2023 r. wraz z załącznikami);
zgodnie z § 4 ust. 3 umowy o świadczenie usługi [...] ("Czas trwania Umowy oraz warunki jej przedłużenia i rozwiązania"): "Klient może rozwiązać Umowę za pisemnym wypowiedzeniem. Okres wypowiedzenia wynosi 30 dni i liczony jest od pierwszego dnia okresu rozliczeniowego następującego po okresie rozliczeniowym w którym złożono wypowiedzenie Umowy. Za dzień złożenia wypowiedzenia Umowy przyjmuje się dzień złożenia w punkcie sprzedaży (obsługi) wypowiedzenia Umowy lub dzień nadania do Działu Obsługi Klienta [...] listu poleconego, zawierającego wypowiedzenie Umowy. Umowa ulega rozwiązaniu z upływem okresu wypowiedzenia. Oświadczenie o wypowiedzeniu wymaga zachowania formy pisemnej pod rygorem nieważności."', podjęta przez Wnioskodawcę - [...] stycznia 2022 r., poprzez kontakt z telefonicznym Biurem Obsługi Klienta Operatora - próba rezygnacji z usługi [...] nie wywołała - wobec niezachowania przez Wnioskodawcę formy pisemnej (zastrzeżonej pod rygorem nieważności) - żadnych skutków prawnych - w postaci rozwiązania umowy o świadczenie usługi [...] i umowy powierzenia; jedynym następstwem tej rozmowy było omyłkowe wyłączenie w systemach bilingowych Operatora naliczania opłat za usługi, świadczone na podstawie umowy o świadczenie usługi [...]; sama usługa była przy tym dla Wnioskodawcy nadal dostępna - w związku z niezachowaniem przezeń formy pisemnej wypowiedzenia umowy; do chwili obecnej Operator nie otrzymał od Wnioskodawcy - jako przedsiębiorcy - pisemnego wypowiedzenia umowy na świadczenie usługi [...] - wymaganego do rozwiązania umowy; działania związane z całkowitym wyłączeniem usługi podjęto na wskutek weryfikacji kont do celów migracji usługi na nową platformę - w ramach prowadzonego monitoringu usługi; mając na uwadze powyższe, a także korespondencję Wnioskodawcy - w drodze "proklienckiego" podejścia - konto związane z usługą [...] usunięto [...] kwietnia 2023 r. (tak: pismo Spółki z [...] lipca 2023 r. wraz z załącznikami); w przedmiocie dostępu Operatora do nagrań, gromadzonych w ramach usługi [...], nie ma on możliwości odsłuchiwania nagrań rozmów; są one bowiem zaszyfrowane - z kodem dostępu po stronie klientów (w przedmiotowym przypadku po stronie Wnioskodawcy); odsłuch nagrań jest zaś dostępny wyłącznie dla klientów; zgodnie z § 2 ust. 2 umowy powierzenia, dotyczyła ona celu, jakim było zarządzanie połączeniami przychodzącymi i wychodzącymi - z numerów telefonów, na których aktywowano usługę [...]; w tym świetle - odnosząc się do zarzutu, że Operator rejestrował i przetwarzał wszystkie rozmowy telefoniczne wbrew woli i bez wiedzy Wnioskodawcy - usługa taka nigdy nie mieściła się w ramach świadczonych przez Operatora na rzecz Wnioskodawcy - na podstawie umowy, dotyczącej usługi [...]; umowa dotyczyła zarządzania połączeniami przychodzącymi i wychodzącymi z numerów telefonów, na których aktywowana była usługa [...] - w zakresie numeru telefonu klienta (Wnioskodawcy) oraz ID rozmowy - bez dostępu do treści rozmów telefonicznych, w tym ewentualnych danych osobowych klientów Wnioskodawcy (tak: pismo Spółki z [...] lipca 2023 r. wraz z załącznikami).
- co wynika z przedstawionej przez Operatora kopii umowy z [...] kwietnia 2019 r. o świadczenie usługi [...]:
a) umowa określa wzajemne prawa i obowiązki stron w ramach udostępniania klientowi przez Operatora usługi [...], polegającej na zarządzaniu połączeniami przychodzącymi i wychodzącymi z numerów telefonicznych, na których ją aktywowano,
b) Operator udostępnia klientowi aplikację administracyjną do samodzielnego zarządza funkcjonalnością nagrywania rozmów - dostępną przez publiczną sieć internet, pod wskazanym w treści umowy adresem,
klient może rozwiązać umowę za pisemnym wypowiedzeniem;
jak z kolei wskazano w porozumieniu do umowy o świadczenie usług [...] zawartej [...] kwietnia 2019 r. dotyczącej numerów [...] i [...]:
a) Wnioskodawca, jako klient oświadcza, że jest administratorem w rozumieniu art. 4 pkt 7 RODO,
b) Wnioskodawca powierza Operatorowi przetwarzanie danych w celu wykonywania umowy, polegających na zarządzaniu połączeniami przychodzącymi i wychodzącymi z numerów telefonicznych, na których aktywowana jest usługa [...] za pośrednictwem funkcjonalności nagrywania rozmów, umożliwiających rejestrację przychodzących oraz wychodzących rozmów,
c) powierzenie przetwarzania danych obejmuje dane powierzone na potrzeby świadczenia funkcjonalności "nagrywanie rozmów" w szczególności (ale niewyłącznie) zakres powierzonych danych obejmuje numer telefonu klienta, ID rozmowy (tak: pismo Operatora z [...] lipca 2023 r. wraz z załącznikami),
d) Operator przedstawił kopię regulaminu świadczenia usługi [...]; wskazał, że informacje dotyczące dostępu do nagrań w usłudze [...] znajdują się w §2 pkt 3, 7, 11 oraz w § 6 pkt 53; co wynika z przedstawionej kopii regulaminu:
a) § 2 pkt 3: Administrator Nagrywania Rozmów - osoba po stronie Klienta wskazana na pierwszej stronie Umowy, która ma odpowiednie uprawnienia do zarządzania funkcjonalnością Nagrywania Rozmów Administrator Nagrywania Rozmów jest osobą, z którą [...] będzie się kontaktował wyłącznie w sprawie zmiany hasła tegoż administratora oraz zmian konfiguracji funkcjonalności Nagrywania Rozmów",
b) § 2 pkt 7: "Aplikacja Administracyjna Nagrywania Rozmów - zestaw narzędzi informatycznych i aplikacji służących do konfiguracji i zarządzania funkcjonalnością Nagrywania Rozmów, udostępnionych Klientowi przez [... ]w ramach Umowy",
c) § 2 pkt 11 "Hasło Administracyjne Nagrywania Rozmów - ciąg znaków ustalonych przez Administratora Nagrywania Rozmów w Aplikacji Administracyjnej Nagrywania Rozmów, zgodnie z Polityką Haseł opisaną w § 14 Regulaminu. Hasło Administracyjne Nagrywania Rozmów umożliwia dostęp do Aplikacji Administracyjnej Nagrywania Rozmów Hasła będą przekazane Klientowi za pomocą wiadomości SMS na numer telefonu komórkowego Administratora Nagrywania Rozmów"
(tak: pismo Operatora z [...] grudnia 2023 r. wraz z załącznikami);
Operator wskazał:
w związku z brakiem uregulowania przez Wnioskodawcę należności, wynikających z wystawionych faktur VAT - z dniem [...] lipca 2023 r. - dług z konta abonenckiego Wnioskodawcy - wraz z naliczonymi odsetkami w łącznej kwocie 319,78 zł - przekazano do windykacji zewnętrznej - w ramach zlecenia Spółce czynności windykacyjnych; do danej firmy windykacyjnej Operator przekazał następujące dane Wnioskodawcy: imię, nazwisko, nazwa działalności gospodarczej, NIP, REGON, adres prowadzonej działalności gospodarczej, telefon kontaktowy oraz adres e-mail (tak: pismo Operatora z [...] października 2023 r. wraz z załącznikami);
[...] i [...] lipca oraz [...] sierpnia 2023 r. wpłynęły do Operatora pisma Wnioskodawcy; dotyczyły rozliczenia finansowego konta abonenckiego; Operator anulował zaległości wraz z odsetkami; na dzień dzisiejszy saldo na koncie abonenckim Wnioskodawcy wynosi 0,00 zł.; wynikało to z polityki wobec klientów; nie oznacza, że wymaganie od Wnioskodawcy należności nie było zasadne; [...] września 2023 r. dług Wnioskodawcy wycofano z obsługi firmy windykacyjnej - Spółki; windykacja roszczeń stanowi prawnie uzasadniony interes wierzyciela (jako administratora danych), uprawniający do przetwarzania danych osobowych - na podstawie art. 6 ust. 1 lit. f RODO (tak: pisma Operatora: z [...] października - wraz z załącznikami - oraz z [...] listopada 2023 r. wraz z załącznikami);
- co wynika z przedstawionej przez Operatora kopii umowy o obsługę wierzytelności, zawartej ze Spółką [...] czerwca 2019 r., zobowiązała się ona przetwarzać dane powierzonych przez Operatora zgodnie postanowieniami umowy oraz przepisami prawa - w szczególności RODO; szczegółowe regulacje, dotyczące m.in. celu powierzenia przetwarzania, czy też zakresu danych opisano szczegółowo w załącznik nr 3 do umowy (tak: pismo Spółki z [...] sierpnia 2023 r. wraz z załącznikami),
- Spółka wskazała (pismo z [...] listopada 2023 r. wraz z załącznikami): aktualnie Wnioskodawca nie widnieje w jej bazie; wobec tego może się tylko ogólnie ustosunkować, co do prowadzenia czynności windykacyjnych na zlecenie Operatora; Spółka zawarła z Operatorem umowę o obsługę wierzytelności (z [...] czerwca 2019 r.); stanowiła ona jednocześnie "umowę powierzenia przetwarzania danych osobowych", o której mowa w z art. 28 ust. 3 RODO; aktualny proces przetwarzania danych osobowych Wnioskodawcy rozpoczęto [...] listopada 2023 r. - w wyniku wpływu pisma od organu - zaadresowanego do Spółki,
co do zarzutu, dotyczącego przetwarzania przez Operatora danych osobowych Wnioskodawcy bez podstawy prawnej, po rezygnacji z usługi centrali telefonicznej oraz usługi nagrywania rozmów telefonicznych (od stycznia 2022 roku), jak wynika z zebranego materiału dowodowego, zarzucane nieprawidłowości dotyczą świadczenia przez Operatora na rzecz Wnioskodawcy usługi [...]; w zakresie tym Spółka pełniła jedynie rolę podmiotu przetwarzającego - działającego w imieniu Wnioskodawcy; wynika to z treści porozumienia do umowy o świadczenie usług [...] - zawartej między Operatorem a Wnioskodawcą [...] kwietnia 2019 r.; jak wskazał Operator, nie ma on możliwości odsłuchiwania nagrań rozmów; są one bowiem zaszyfrowane - z kodem dostępu po stronie klientów (w przedmiotowym przypadku - Wnioskodawcy); odsłuch nagrań jest dostępny wyłącznie dla klientów; ma to oparcie w § 2 ust. 2 porozumienia z [...] kwietnia 2019 r.; wynika zeń, że powierzenie przetwarzania danych nastąpiło w celu zarządzania połączeniami przychodzącymi i wychodzącymi z numerów telefonów, na których aktywowano usługę [...]; wobec tego Operator nie przetwarza danych osobowych Wnioskodawcy w kwestionowanym przezeń zakresie, organ podziela wyrażany w doktrynie pogląd: "bezprzedmiotowość postępowania administracyjnego, o której stanowi art. 105 § 1 Kpa, oznacza, że brak jest któregoś z elementów materialnego stosunku prawnego, a wobec tego nie można wydać decyzji załatwiającej sprawę przez rozstrzygnięcie jej co do istoty. Przesłanka umorzenia postępowania może istnieć jeszcze przed wszczęciem postępowania, co zostanie ujawnione dopiero w toczącym się postępowaniu, a może ona powstać także w czasie trwania postępowania, a więc w sprawie już zawisłej przed organem administracyjnym." (B. Adamiak, J. Borkowski, Kodeks postępowania administracyjnego. Komentarz, C.H.Beck, Warszawa 2006, str. 489); ustalenie przez organ publiczny zaistnienia przesłanki, o której mowa w art. 105 § 1 K.p.a., zobowiązuje go - jak podkreśla się w doktrynie - do umorzenia postępowania; nie ma bowiem - w razie zaistnienia tej przesłanki - podstaw do rozstrzygnięcia sprawy co do istoty; dalsze zaś prowadzenie postępowania w takim przypadku stanowiłoby o jego wadliwości - mającej istotny wpływ na wynik sprawy; bezprzedmiotowość postępowania może być także wynikiem zmiany stanu faktycznego sprawy; zgodnie bowiem z art. 105 § 1 K.p.a., gdy postępowanie z jakiejkolwiek przyczyny stało się bezprzedmiotowe wydaje się decyzję o jego umorzeniu, w niniejszej sprawie zaistniała przesłanka bezprzedmiotowości postępowania i jego umorzenia wobec art. 105 § 1 K.p.a.; co wynika ze zgromadzonego materiału dowodowego, kwestionowany przez Wnioskodawcę proces przetwarzania jego danych osobowych przez Operatora - w zakresie dotyczącym przetwarzania danych osobowych bez podstawy prawnej ' po rezygnacji z usługi centrali telefonicznej oraz usługi nagrywania rozmów telefonicznych od stycznia 2022 roku - nie zaistniał; wobec tego postępowanie stało się bezprzedmiotowe, co do kwestionowanego przez Wnioskodawcę przetwarzania jego danych osobowych w celach windykacyjnych przez Spółkę, po pierwsze wskazano, że wyspecjalizowany w sprawie ochrony danych osobowych organ nie jest właściwy do rozstrzygania kwestii, związanych z prawidłowością realizacji umów, a także zasadnością roszczeń z nich wynikających - w tym nie jest uprawniony do oceny skuteczności wniesienia oświadczenia o wypowiedzeniu umowy; zgodnie z art. 1 ustawy z dnia 17 listopada 1964 r. - Kodeks postępowania cywilnego (Dz.U. z 2023 r. poz. 1550) sprawy takie są cywilnymi; należy je rozpatrywać w postępowaniach prowadzonych przez sądy powszechne; organ podzielił opinię, wyrażaną w orzecznictwie Naczelnego Sądu Administracyjnego; m.in. w wyroku z 2 marca 2001 r. (sygn. akt II SA 401/00) stwierdzono: "Generalny Inspektor Ochrony Danych Osobowych, (...), nie jest organem kontrolującym ani nadzorującym prawidłowość stosowania prawa materialnego i procesowego w sprawach należących do właściwości innych organów, służb czy sądów, których orzeczenia podlegają ocenom w toku instancji czy w inny sposób określony odpowiednimi procedurami", przepisem, którym uprawniono administratorów do przetwarzania danych osób fizycznych, w tym ich udostępniania, jest art. 6 ust. 1 RODO; zgodnie z nim, jest to dopuszczalne tylko gdy wystąpi jedną ze wskazanych w tym przepisie przesłanek; ich katalog jest zamknięty; każda z nich ma charakter autonomiczny i niezależny; oznacza to, że przesłanki te są - co do zasady - równoprawne; wobec tego spełnienie co najmniej jednej z nich stanowi o zgodnym z prawem przetwarzaniu danych osobowych; w konsekwencji zgoda osoby, której dane osobowe dotyczą, nie jest jedyną podstawą ich przetwarzania; proces przetwarzania danych będzie zgodny z RODO również wówczas, gdy administrator danych wykaże spełnienie innej z przesłanek określonych w danym przepisie; niezależnie od zgody osoby, której dane osobowych dotyczą (art. 6 ust. 1 lit. a RODO), przetwarzanie jest
dopuszczalne m.in., gdy jest niezbędne do wypełnienia ciążącego na administratorze obowiązku prawnego (art. 6 ust. 1 lit. c RODO) lub do realizowanych przez administratora - wynikających z prawnie uzasadnionych interesów - celów (art. 6 ust. 1 lit. f RODO),
wedle motywu 47 RODO podstawą prawną przetwarzania mogą być prawnie uzasadnione interesy administratora, w tym tego, któremu mogą zostać ujawnione dane osobowe, lub strony trzeciej, o ile - w świetle rozsądnych oczekiwań osób, których dane dotyczą, opartych na ich powiązaniach z administratorem - nadrzędne nie są interesy lub podstawowe prawa i wolności osoby, której dane dotyczą; taki prawnie uzasadniony interes może istnieć, gdy zachodzi istotny i odpowiedni rodzaj powiązania między osobą, której dane dotyczą, a administratorem, np. osoba, której dane dotyczą, jest klientem administratora lub działa na jego rzecz; dochodzenie przez podmiot roszczeń finansowych jest prawnie uzasadnionym interesem i - w tym sensie - nadrzędnym nad prawami i wolnościami osoby, której dane dotyczą; dochodzenie roszczeń nie stanowi bowiem nieproporcjonalnego ograniczenia tych praw i wolności,
co wynika z wyjaśnień Operatora, przetwarzał dane osobowe Wnioskodawcy w celu windykacji należności, wynikających z braku uregulowania przezeń należności z wystawionych faktur VAT; dochodzenie roszczeń stanowiło prawnie uzasadniony interes Operatora, o którym mowa w art. 6 ust. 1 lit. f RODO; przetwarzania przez Operatora danych osobowych Wnioskodawcy we wskazanym celu nie można było uznać za naruszające jego prawa i wolności; gdyby każdy przypadek przetwarzania danych osobowych dłużnika uznać za godzący w jego prawa i wolności doszłoby - z jednej strony - do niczym nieusprawiedliwionej ochrony podmiotów, niewywiązujących się ze swoich zobowiązań - z drugiej natomiast - do naruszenia zasady swobody działalności gospodarczej; Wnioskodawca musi się liczyć jako dłużnik, że - popadając w zwłokę w spełnianiu zobowiązania - jego prawo do prywatności może zostać ograniczone - ze względu na dochodzone przez wierzyciela roszczenia (tak również: wyrok NSA o sygn. akt I OSK 2463/12, dostępny na stronie internetowej orzeczenia.nsa.gov.pl/cbo/query - w Centralnej Bazie Orzeczeń Sądów Administracyjnych, zwanej dalej "CBOSA"); w pojęciu dochodzenia roszczeń mieszczą się natomiast zarówno sądowe, jak i pozasądowe działania, zmierzające do zaspokojenia wierzytelności przez wierzyciela - mieszczące się w granicach obowiązujących przepisów (tak również: wyrok NSA o sygn. akt I OSK 1210/14 - dostępny w CBOSA); podzielając powyższe rozważania wskazano, że w obowiązujących przepisach nie określono katalogu możliwych sposobów postępowań, służących dochodzeniu roszczeń; tym samym działania, polegające na telefonicznym kontaktowaniu się z dłużnikiem w celu odzyskania istniejącej i należnej wierzytelności, należy uznać za służące dochodzeniu roszczeń,
Operator - w celu prowadzenia względem Wnioskodawcy czynności windykacyjnych - przekazał jego dane osobowe na rzecz Spółki - na podstawie umowy o obsługę wierzytelności z [...] czerwca 2019 r.; zawarto tam również uregulowania, dotyczące powierzenia Spółce przetwarzania danych osobowych; zgodnie z art. 28 ust. 3 RODO, przetwarzanie przez podmiot przetwarzający odbywa się na podstawie umowy lub innego instrumentu prawnego, które podlegają prawu Unii Europejskiej lub państwa członkowskiego oraz wiążą przetwarzający podmiot i administratora, określają przedmiot i czas trwania przetwarzania, charakter i cel przetwarzania, rodzaj danych osobowych oraz kategorie osób, których dane dotyczą, obowiązki i prawa administratora; co istotne nie była wymagana zgoda Wnioskodawcy, na takie powierzenie Spółce przetwarzania jego danych osobowych w imieniu Operatora,
Spółka przetwarzał dane osobowe Wnioskodawcy w imieniu Operatora, jako administratora - realizując jego cele, związane prowadzeniem czynności windykacyjnych; proces ten znajdował zatem oparcie w przesłance z art. 6 ust. 1 lit. f RODO; po zakończeniu prowadzenia czynności windykacyjnych, Spółka zaprzestała przetwarzania danych osobowych Wnioskodawcy w imieniu Operatora; anulował on bowiem zaległości Wnioskodawcy wraz z odsetkami; aktualny proces przetwarzania jego danych osobowych przez Spółkę jest konsekwencją otrzymania od organu pisma, informującego ją o złożeniu przez Wnioskodawcę skargi do organu nadzoru,
co do aktualnego procesu przetwarzania danych osobowych Wnioskodawcy przez Operatora obecnie czyni to jako dane byłego abonenta; zgodnie z art. 74 ust. 2 ustawy o rachunkowości pozostałe zbiory przechowuje się co najmniej przez okres: dowody księgowe dotyczące środków trwałych w budowie, pożyczek, kredytów oraz umów handlowych, roszczeń dochodzonych w postępowaniu cywilnym lub objętych postępowaniem karnym albo podatkowym - przez 5 lat od początku roku następującego po roku obrotowym, w którym operacje, transakcje i postępowanie zostały ostatecznie zakończone, spłacone, rozliczone lub przedawnione (pkt 4); okresy przechowywania ustalone w ust. 2 oblicza się od początku roku następującego po roku obrotowym, którego dane zbiory dotyczą; Wnioskodawcę z Operatorem łączyły umowy z 2006, 2009, 2010, 2011, 2012, 2015, 2017, 2018 i roku oraz dodatkowa umowa o świadczenie usługi [...] z [...] kwietnia 2019 r.; co wynika z wyjaśnień Operatora, umowy te rozwiązano [...] marca i [...] kwietnia 2023 r.; nie minął zatem jeszcze termin, wskazany w art. 74 ust. 2 ustawy o rachunkowości; Operator przetwarza zatem dane osobowe Wnioskodawcy z uwagi na niezbędność tego procesu do realizacji obowiązków archiwalnych, wynikających z powyższego przepisu; tym samym przetwarzanie danych osobowych Wnioskodawcy w tym celu ma oparcie w art. 6 ust. 1 lit. c RODO, Spółka wskazała, że przetwarza dane osobowe Wnioskodawcy również dla celów dowodowych i obrony roszczeń - m.in. w związku z niniejszym prowadzonym przez tutejszy urząd postępowaniem wyjaśniającym (art. 6 ust. 1 lit. f RODO) - przez okres wskazany w obowiązujących przepisach prawa; gdy chodzi o przetwarzanie danych w tych celach - w związku z niniejszym postępowaniem - dane osobowe mogą być przetwarzane przez okres niezbędny do realizacji celu; zakończenie postępowania administracyjnego powoduje zatem wygaśnięcie tego celu przetwarzania; co do przetwarzania danych osobowych Wnioskodawcy w zakresie niezwiązanym z niniejszym postępowaniem, przetwarzanie danych osobowych w celu dochodzenia ewentualnych roszczeń lub ewentualnej obrony przed roszczeniami stanowi niedopuszczalne przetwarzanie danych osobowych Wnioskodawcy - na zapas, administrator musi mieć na uwadze wskazaną w art. 5 ust. 1 lit. e RODO zasadę ograniczenia przechowywania danych; zgodnie z nią, dane osobowe należy przechowywać w formie umożliwiającej identyfikację osoby, której dane dotyczą, przez okres nie dłuższy, niż jest to niezbędne do celów, w których dane te są przetwarzane; dane osobowe można przechowywać przez okres dłuższy, gdy będą one przetwarzane wyłącznie do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych na mocy art. 89 ust. 1 RODO, z zastrzeżeniem że wdrożone zostaną odpowiednie środki techniczne i organizacyjne - wymagane na mocy RODO - w celu ochrony praw i wolności osób, których dane dotyczą ("ograniczenie przechowywania"); na niedopuszczalność przetwarzania danych osobowych "na zapas" wskazał Naczelny Sąd Administracyjny w wyroku z 27 marca 2018 r. (sygn. akt I OSK 1459/16 - dostępny w CBOSA), odnoszącym się do art. 25 ust. 1 pkt 5 ustawy z 29 sierpnia 1997 r. o ochronie danych osobowych (Dz.U. z 2016 r., poz. 922 ze zm.), który był analogicznym przepisem względem art. 6 ust. 1 lit. f RODO: "Należy zwrócić uwagę, że przepis art. 23 ust. 1 pkt 5 ustawy na pierwszym miejscu wymienia warunek, że przetwarzanie danych winno być niezbędne dla wypełnienia prawnie usprawiedliwionych celów. Niedopuszczalne jest więc przetwarzanie danych osobowych niejako "na zapas" z założeniem, że mogą być one ewentualnie przydatne w przyszłości, na przykład z odwołaniem się do przepisów dotyczących przedawnienia roszczeń cywilnoprawnych, czy postępowań administracyjnych bądź karnych"; organ podziela powyższe stanowisko; przy przyjęciu odmiennej interpretacji Wnioskodawca byłby pozbawiony ochrony na gruncie RODO; przyjęcie bowiem za prawidłowe stanowiska, że przetwarzanie danych osobowych w celu uchylenia się od negatywnych skutków w przypadku zgłoszenia w przyszłości ewentualnego i nieokreślonego roszczenia, stanowi prawnie usprawiedliwiony cel - w rozumieniu art. 6 ust. 1 lit. f RODO - oznaczałoby, że Operatora może permanentnie przetwarzać dane osobowe Wnioskodawcy - bez konieczności usunięcia; teoretycznie możliwym jest przecież, aby Wnioskodawca zwrócił się do Operatora z roszczeniem po upływie terminu przedawnienia roszczenia; prowadziłoby to tym samym do uznania, że przetwarzanie danych przez Operatora osobowych Wnioskodawcy ma uzasadnienie w przesłance określonej art. 6 ust. 1 lit. f RODO - w celu realizacji prawa do obrony przed ewentualnym roszczeniem również po upływie danego terminu; nie ma uzasadnienia dla przyjęcia, że terminy, dotyczące przedawnienia wynikających ze stosunków zobowiązaniowych roszczeń, określają jednocześnie ramy czasowe, w których mogą być
przetwarzane przez Operatora dane osobowe; przedawnienie roszczenia nie wywołuje skutków na gruncie ochrony danych osobowych; nie wpływa bowiem na fakt istnienia roszczenia, a powoduje jedynie zmianę w sferze zarzutów procesowych - w postaci możliwości podniesienia okoliczności przedawnienia w sporze sądowym; okolicznością, usprawiedliwiającą przetwarzanie danych osobowych w celu dochodzenia roszczeń, jest samo istnienie roszczenia oraz zamiar jego dochodzenia; nie jest nią natomiast zmiana w uprawnieniach procesowych podmiotu pozwanego, - dokonywana przez organ ocena służy w każdym przypadku zbadaniu zasadności skierowania pod adresem określonego podmiotu nakazu, odpowiadającego dyspozycji art. 58 ust 2 RODO - dla przywróceniu stanu zgodnego z prawem w procesie przetwarzania danych; jest więc uzasadniona i potrzebna tylko, o ile skarżony proces przetwarzania danych osobowych istnieje; w niniejszej sprawie nie stwierdzono takich nieprawidłowości; przetwarzanie przez Operatora danych osobowych Wnioskodawcy w celach windykacyjnych miało bowiem oparcie w art. 6 ust 1 lit. f RODO; przekazanie przez Operatora danych osobowych na rzecz Spółki odbyło się natomiast zgodnie z art. 28 ust. 3 RODO; Spółka jest ponadto aktualnie uprawniona do przetwarzania danych osobowych Wnioskodawcy - na podstawie art. 6 ust. 1 lit. c RODO; w zakresie natomiast nieprawidłowości, polegających na przetwarzaniu jego danych osobowych bez podstawy prawnej - po rezygnacji z usługi centrali telefonicznej oraz usługi nagrywania rozmów telefonicznych od stycznia 2022 roku - wobec stwierdzonej bezprzedmiotowości postępowania organ był obowiązany je umorzyć - na podstawie art. 105 § 1 K.p.a.
W skardze zarzucono wydanie kwestionowanego aktu z naruszeniem przepisów:
postępowania:
- art. 105 § 1 K.p.a., poprzez uznanie, że postępowanie stało się bezprzedmiotowe, a tym samym w sprawie zaszły przesłanki do jego umorzenia - z uwagi na przyjęcie, że Operator w ogóle nie przetwarzał danych osobowych, pełnił jedynie zaś rolę podmiotu przetwarzającego, działającego w imieniu Wnioskodawcy na podstawie porozumienia z [...] kwietnia 2019 r.;
pominięto natomiast całkowicie, że umowę o świadczenie usługi [...] skutecznie wypowiedziano, a wraz z nią powołane porozumienie; w sprawie jest istotne, że Operator - bez podstawy prawnej oraz zgody Wnioskodawcy, pomimo skutecznego wypowiedzenia umowy - gromadził, a tym samym przetwarzał dane osobowe Wnioskodawcy; tym samym nie sposób uznać, aby Operator nie przetwarzał danych osobowych Wnioskodawcy w sposób opisany w skardze do organu; przyczyny, na które powołał się organ nie stanowią przy tym podstawy do umorzenia postępowania - na podstawie art. 105 § 1 K.p.a.; nie sposób bowiem uznać, aby będąca przedmiotem niniejszego postępowania sprawa utraciła charakter administracyjny lub nigdy nie miała takiego charakteru;
- art. 7 w zw. z art. 77 § 1 i art. 80 K.p.a., wobec nie niepodjęcia wszelkich czynności, niezbędnych do dokładnego wyjaśnienia stanu faktycznego sprawy, niewyczerpującego i niedokładnego zebrania i rozpatrzenia materiału dowodowego oraz jego dowolnej oceny - z naruszeniem zasady prawdy obiektywnej; w szczególności przez uznanie, że: '
Operator w ogóle nie przetwarzał danych osobowych Wnioskodawcy w kwestionowanym przezeń zakresie - mimo tego, że z przedstawionego przez stronę materiału dowodowego wynika niewątpliwie, że - pomimo wypowiedzenia umowy o świadczenie usługi [...] - Operator nadal rejestrował i gromadził nagrania rozmów telefonicznych Wnioskodawcy - i to przez ponad rok;
po stronie Operatora istniał uzasadniony interes prawny do przetwarzania danych osobowych Wnioskodawcy, jak również do ich przekazywania podmiotowi trzeciemu (zewnętrznej firmie windykacyjnej); po stronie Operatora nie istniała tymczasem wobec Wnioskodawcy wierzytelność, która była przedmiotem działań windykacyjnych; umowę bowiem rozwiązano zaś Wnioskodawca nie miał żadnych zaległości; tym samym Operator także w tym zakresie przetwarzał - w niezgodny z prawem sposób - dane osobowe Wnioskodawcy, materialnego:
- art. 5, 6 oraz 7 RODO, poprzez uznanie, że działania Operatora nie były sprzeczne i nie naruszono nimi wskazanych przepisów; okoliczności faktyczne sprawy jednoznacznie tymczasem wskazują, że Operator nie przestrzegał obowiązujących zasad przetwarzania danych osobowych, jak również przetwarzał dane Wnioskodawcy bez podstawy prawnej - bez jego zgody i przez znaczny czas;
- art. 6. ust. I pkt f oraz art. 28 ust. 3 RODO, poprzez niewłaściwe ich zastosowanie i przyjęcie, że przetwarzanie danych osobowych Wnioskodawcy przez Operatora, jak również przekazanie i przetwarzanie tych danych przez Spółkę, miało oparcie w powołanych przepisach - z uwagi na występujący prawnie chroniony interes Operatora - w postaci dochodzenia jego roszczeń; w rzeczywistości tymczasem windykowana wierzytelność nigdy nie istniała - z uwagi na fakt rozwiązania umowy i zakończenia współpracy stron; w tej sytuacji nie można uznać, aby istniał prawnie uzasadniony interes do przetwarzania danych osobowych Wnioskodawcy i powierzenia tej czynności zewnętrznej firmie windykacyjnej.
W szerokim uzasadnieniu rozwinięto powyższe zarzuty. Wywodzono m.in., że organ niewystarczający wnikliwie rozważył sprawę w kontekście argumentacji Wnioskodawcy, która miałaby przemawiać za jego tezą o faktycznym przetwarzaniu danych osobowych w związku z rejestrowaniem przez Operatora rozmów po rozwiązaniu umowy. Wnioskodawca miał wątpliwości, czy twierdzenia jakoby dostęp do zgromadzonych danych osobowych miał wyłącznie klient Operatora były prawdziwe - organ zaś tego nie weryfikował. Podnoszono też, że Spółka - w ramach działań windykacyjnych - posługiwała się adresem e-mail, którego Wnioskodawca nie udostępniał Operatorowi.
W odpowiedzi na skargę organ administracji wniósł o jej oddalenie, podtrzymując dotychczasowa argumentację.
W piśmie procesowym (k. 92-96) Operator wniósł o oddalenie skargi, przyłączając się do argumentacji organu.
Sąd zważył, co następuje:
Skarga nie zasługuje na uwzględnienie, gdyż zaskarżoną decyzją nie naruszono prawa, w zakresie, gdzie wymagałoby to wyeliminowania jej z obrotu prawnego.
Trafna jest generalnie argumentacja organu administracji. Z uwagi na uprzednie pełne przytoczenie, ponowne jej powtarzanie byłoby bezzasadne. Sąd przyjmuje ją za własną z zastrzeżeniem umówionych dalej dwóch kwestii - zasadności zakończenia postępowania w formie jego umorzenia w pkt 1 (co do skargi w części dotyczącej przetwarzania danych osobowych przez Operatora przez nagrywanie rozmów z numerów [...] i [...]) oraz możliwości przyszłego przetwarzania danych Wnioskodawcy, w celu ochrony przed potencjalnymi roszczeniami. Organ właściwie skonstatował, że - wobec niepotwierdzenia zarzutu przetwarzania danych osobowych przez Operatora z naruszeniem prawa, w zakresie gdzie kwestie te mogą być przedmiotem oceny przez organ, wyspecjalizowany w sprawach ochrony danych osobowych - nie mógł uwzględnić skargi Wnioskodawcy. W uzasadnieniu skarżonego aktu opisano wszystkie istotne uwarunkowania i okoliczności faktyczne sprawy, stanowiące o zasadności takiego poglądu.
Na wstępie wypada odnotować, że trafny jest zarzut skargi, gdzie wywiedziono, iż - w ustalonym przez organ stanie faktycznym - nie zachodziły przesłanki umorzenia postępowania. W skierowanej do organu skardze podnoszono mianowicie, jakoby Operator przetwarzał dane Wnioskodawcy z naruszeniem reguł, dotyczących ochrony danych osobowych w rozumieniu RODO. Organ zaś - w następstwie przeprowadzonego postępowania - skonstatował, że Operator w istocie przetwarzał dane osobowe Wnioskodawcy, lecz jako tzw. podmiot przetwarzający (posesor) w rozumieniu art. 4 pkt 8 i przy zachowaniu reguł, określonych art. 28 RODO. Nie dopatrzył się tu nieprawidłowości. W zakresie zaś, gdzie Wnioskodawca przypisywał Operatorowi przetwarzanie danych w ramach rejestracji rozmów z numerów [...] i [...] w charakterze administratora, uznano zarzut za bezzasadny. W ocenie organu, przetwarzanie w tym zakresie nie miało w ogóle miejsca. W obu kwestiach zajęto w uzasadnieniu oskarżonego aktu stanowisko, co do meritum sprawy. Wobec takich uwarunkowań faktycznych nie było przesłanek dla orzeczenia o umorzeniu postępowania. Organ bowiem zbadał sprawę
merytorycznie - w kwestii zakresu przetwarzania danych osobowych przez Operatora oraz ich podstaw - a następnie skonstatował, że jego działania nie naruszają prawa zaś zarzuty Wnioskodawcy nie są zasadne. Skoro sprawę rozpatrywano, co do meritum, nie było przesłanek dla umorzenia postępowania w stosownym zakresie. Nie może być bowiem przesłanką ku temu samo stwierdzenie bezzasadności skargi.
Umorzenie postępowania byłoby natomiast zasadne, gdyby - na podstawie dokonanych ustaleń - organ skonstatował, że nie jest w ogóle właściwy w sprawie - np. zarzuty w istocie nie dotyczyły w wcale przetwarzania danych osobowych w rozumieniu RODO. Analogicznie ocena taka, gdyby można jej było dokonać na podstawie samej treści wniosku, stanowiłaby przesłankę odmowy wszczęcia postępowania - w myśl art. 61a § 1 K.p.a.
Jednocześnie - w radiach rozpoznawanej sprawy - należy wskazać, że uchybienie przepisom postępowania - poprzez nadanie niewłaściwej formy rozstrzygnięcia w pkt 1 (orzeczenie o umorzeniu postępowania, miast odmowy uwzględnienia wniosku) - nie mogą mieć istotnego wpływu na wynik sprawy, rozumianej jako właściwe i merytoryczne jej rozpoznanie wobec skargi Wnioskodawcy. Trafnie bowiem organ wywiódł, że zarzuty w danym zakresie są bezzasadne - o czym w dalszej części uzasadnienia. Wobec tej okoliczności, uchybienie przepisom postępowania w danym zakresie (bezzasadne umorzenie postępowanie z przywołaniem art. 105 § 1 K.p.a.), nie mogło mieć istotnego wpływu na wynik sprawy w rozumieniu art. 145 § 1 pkt 1 lit. c ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (Dz.U. z 2024 r. poz. 935 ze zm.). Stwierdzone naruszenie przepisów nie może więc stanowić przesłanki dla uchylenia skarżonego aktu - wedle reguł wynikających ze wskazanej regulacji, przy rozumowaniu a contrario. Z perspektywy interesów Wnioskodawcy, nadanie orzeczeniu nieprawidłowej formy nie mogło mieć żadnego znaczenia, gdy chodzi o zakres ochrony jego słusznych praw. Kluczowe w sprawie było bowiem, czy istotnie przetwarzano jego dane osobowe z naruszeniem przepisów, co było przedmiotem postępowania zainicjowanego skargą Wnioskodawcy i wnikliwie to oceniono, zaś odzwierciedlono dany proces myślowy w uzasadnieniu.
W kwestiach merytorycznych należy wskazać, że w sprawie podstawowe znaczenie ma okoliczność pozostawania przez Operatora i Wnioskodawcę w sporze, czy w określonym czasie wiązała ich umowa, której następstwem mogłoby być
przetwarzanie danych osobowych Wnioskodawcy - co do rejestracji rozmów lub prowadzenia działań windykacyjnych, wobec braku realizacji jej warunków (płatności po stronie Wnioskodawcy).
Trafnie w tym kontekście wskazał organ - przywołując stosowny pogląd wyrażany w judykaturze - że nie jest on w danym przypadku właściwy do oceny, czy strony pozostawały w spornym okresie faktycznie związane umową. Trafnie zauważa Wnioskodawca, że gdyby tak nie było - mianowicie doszłoby do skutecznego wypowiedzenia umowy na etapie rozmowy telefonicznej w styczniu 2022 roku - przetwarzanie danych - zarówno w ramach rejestracji rozmów, jak i w podejmowania czynności windykacyjnych (w tym przekazanie danych Spółce) - można by traktować jako obiektywnie nieuzasadnione. Kategorycznego wniosku w tym względzie nie może jednak formułować organ, właściwy wyłącznie w kwestii ochrony danych osobowych. Akceptacja takiej koncepcji prowadziłaby bowiem do rozstrzygnięcia przezeń typowego sporu o charakterze cywilnoprawnym. Przyjmuje się stąd, że przetwarzanie danych osobowych w ramach czynności, związanych z realizacją umów - także gdy strony pozostają w sporze - mieści się w granicach przesłanki legalizującej, wskazanej w art. 6 § 1 lit. b lub f RODO.
W tym kontekście chybione są zarzuty skargi, jakoby organ stosownie wnikliwie nie ustalił, czy strony były związane umową - w tym kwestie nie wyjaśnienia znaczenia szeregu powoływanych przez Wnioskodawcę faktów - oraz, jaki był zakres przetwarzania danych przez Operatora, w kontekście wywodów, jakoby umowę skutecznie wypowiedziano.
Wbrew wywodom skargi - wobec zarzutów wniesionej do organu skargi - wyjaśnił on - w granicach swoich kompetencji - jaki był dopuszczalny zakres przetwarzania danych osobowych w kontekście rejestracji rozmów z numerami [...] i [...]. Skonstatował, że działania Operatora nie wykraczały poza ustalone umową. Czy zaś obowiązywała ona strony nie mogło być - jak wskazano - przedmiotem rozstrzygania przez organ. Odnotował on trafnie, że wedle ustaleń stron Operator - co do danych osobowych, które mogą być zawarte w rejestrowanych rozmowach z numerami [...] i [...] - pełni funkcję podmiotu przetwarzającego, zaś administratorem danych jest sam Wnioskodawca, prowadzący działalność gospodarczą. Formułowanych w skardze hipotez, jakoby Operator miał w istocie dostęp do danych osobowych, zgromadzonych wobec rejestracji rozmów, w żaden sposób nie uprawdopodobniono. W szczególności nie może o tym przesądzać sama
przywoływana w skardze okoliczność ich usunięcia w określonej dacie. Wyeliminowanie zbioru plików nie determinuje, że był możliwy dostęp do ich zawartości (w tym znajdujących się tam danych osobowych). Organ nie miał więc przesłanek dla prowadzenia szerszego postępowania wyjaśniającego wobec przedłożonych przez operatora informacji - spójnych z treścią łączących strony umów. Wedle ich treści, dostęp do rejestrowanych rozmów miał włącznie Wnioskodawca - dysponujący stosownym kodem (hasłem).
Wobec występowania sporu, co do zakresu obowiązujących umów pomiędzy Wnioskodawcą a Operatorem oraz będących tego następstwem obowiązków stron (w tym należności), organ trafnie skonstatował istnienie podstaw dla przekazania danych osobowych Wnioskodawcy firmie windykacyjnej - Spółce. Stosowną podstawę legalizującą stanowił tu jak uprzednio art. 6 ust. 1 lit. f RODO.
Poza granicami niniejszej sprawy pozostaje natomiast, sygnalizowana w skardze, kwestia użycia przez Spółkę adresu e-mail nieudostępnionego przez Wnioskodawcę Operatorowi (tak twierdzenie skargi). Z jego wyjaśnień nie wynikało, aby przekazywał on Spółce dane w zakresie szerszym niż pozyskane od samego Wnioskodawcy. Ewentualne nieprawidłowości, co do przetwarzania danych osobowych Wnioskodawcy przez Spółkę, nie były zaś przedmiotem danego postępowania - tak granice rozpoznanej sprawy, zakończonej oskarżoną decyzją, zakreślone w sentencji danego aktu.
Organ trafnie też skonstatował istnienie podstaw dla dalszego przetwarzania przez Operatora danych osobowych Wnioskodawcy w kontekście przesłanek, wymienionych w art. 6 ust. 1 lit. c RODO - wobec obowiązku prawnego.
Chybione są natomiast wywody organu w kwestii legalności dalszego przetwarzania danych osobowych Wnioskodawcy w kontekście ochrony Operatora przed ewentualnymi roszczeniami. Zdaniem organu, jest to uzasadnione względami określonymi w art. 6 ust. 1 lit. f RODO, jedynie w czasie do zakończenia niniejszego postępowania.
Prezentowane przez organ koncepcja nie jest jednak racjonalna ani też nie znajduje potwierdzenia w treści regulacji normatywnych, gdzie określono granice możliwości przetwarzania danych osobowych - choć jest także prezentowana w judykaturze (tak powołane przez organ orzeczenie). Sąd w tym składzie podziela natomiast stanowisko wyrażone w wyroku Naczelnego Sądu Administracyjnego z 20 lutego 2024 r (sygn. akt III OSK 2700/22 - dostępne
w CBOSA). W jego uzasadnieniu trafnie wskazano m.in,: "Wyłączenie stosowania art. 6 ust. 1 lit f RODO, gdy administrator przetwarza dane osobowe na wypadek ewentualnego sporu sądowego, wyłącznie z uwagi na jego potencjalność jest nieuzasadnione. Taka interpretacja art. 6 ust. 1 lit. f RODO byłaby zbyt formalistyczna i nieznajdująca potwierdzenia w przyjętym sposobie jego rozumienia", zaś dalej: "Jeżeli łącząca te dwa podmioty relacja zawiera w sobie prawnie dopuszczalne roszczenie, które może być dochodzone na drodze sądowej, to nie można z góry wyłączyć dopuszczalności przetwarzania danych osobowych na podstawie art. 6 ust. 1 lit. f RODO, wyłącznie z uwagi na potencjalność realizacji tego roszczenia.[...] relacja łącząca administratora z osobą której dane za jej zgodą są przetwarzane może ulec zmianie, przekształceniu, wygaśnięciu, co może się wiązać z powstaniem innej, (nowej) relacji, w ramach której uprzednio wyrażona zgoda na przetwarzanie nie będzie już adekwatna. Istotą tej "nowej" relacji może być potencjalny i zarazem prawnie dopuszczalny spór sądowy wynikający z niewłaściwej realizacji praw i obowiązków będących przedmiotem relacji "starej". Nie można w takim układzie wykluczyć, że przetwarzanie danych osobowych przez administratora do czasu wystąpienia przez którąkolwiek ze stron z roszczeniem na drogę sądową, lub do czasu przedawnienia tego roszczenia, będzie zgodne z art. 6 ust. 1 lit. f RODO. Celem administratora wynikającym z jego prawnie uzasadnionych interesów będzie zabezpieczenie się na wypadek konieczności wejścia w spór sądowy.". Sąd w tym składzie w pełni te oceny podziela.
Nie jest wobec tego trafne stanowisko organu, jakoby możliwość przetwarzania danych osobowych - w kontekście potencjalnych przyszłych roszczeń - mogła być ograniczona wyłącznie do przypadków, gdy toczy się stosowne postępowanie lub przetwarzający dany planuje wystąpić z konkretnym roszczeniem.
Intencji ograniczenia możliwości przetwarzania danych osobowych klientów przez podmioty prowadzące profesjonalnie działalność gospodarczą - w kontekście ochrony przed ich potencjalnymi roszczeniami czy możliwości dochodzenia własnych, ujawnionych później - nie sposób przypisać racjonalnemu prawodawcy na gruncie ogólnej reguły, wyrażonej art. 6 ust. 1 RODO - w szczególności sformułowania użytego w lit. f tego aktu - w kontekście ewentualnego, realnego i drastycznego ograniczenia ochrony praw podmiotów w obrocie gospodarczym. Analogiczne reguły nie dotyczą bowiem będących klientami osób - tak przechowywanie danych o transakcjach, operacjach, należnościach na potrzeby
własne osób fizycznych. Uznanie, jakoby - wobec zakończenia aktualnego sporu o należności z Wnioskodawcą (czy rozpatrzenia skargi przez wyspecjalizowany organ) - obowiązkiem Operatora było usunięcie danych tego klienta, ograniczałoby lub wręcz w istocie wyłączało możliwość ochrony przed ewentualnymi, późniejszymi roszczeniami - jeszcze przed ich przedawnieniem w świetle reguł K.c. Mogłoby też prowadzić do istotnego ograniczenia praw samych klientów Operatora - wobec braku stosownej dokumentacji po stronie wyspecjalizowanych podmiotów, świadczących usługi w kontekście dokumentacji, która z określonych przyczyn nie pozostaje w dyspozycji klienta.
Reasumując, prezentowane przez organ rozumienie przepisów, określających także ramy przetwarzania danych osobowych klientów podmiotów, prowadzących działalność gospodarczą, ograniczało by - bądź wręcz w niektórych przypadkach pozbawiałby - prawa obu stron, wynikających wprost z generalnych reguł prawa materialnego (K.c.). Miałoby to istotny wpływ na zmianę istotnych realiów obrotu gospodarczego. Intencji wprowadzenia tak głębokiej modyfikacji w relacje między kontrahentami nie sposób przypisać prawodawcy, wobec aktualnego brzmienia regulacji w danym zakresie - w szczególności, gdy ma być to efektem pewnej wykładni. Wolę ustanowienia takich zmian musiałby prawodawca wyrazić wprost.
Nie jest trafna argumentacja organu, jakoby odnoszenie się do kwestii przedawnienia roszczeń - w kontekście podstaw prawnych przetwarzania danych osobowych - było niezasadne, skoro upływ terminu nie powoduje wygaśnięcia roszczeń. Po upływie terminu przedawnienia możliwość dochodzenia roszczeń jest bowiem znacznie ograniczona (instytucja zarzutu przedawnienia). Oceny występowania podstaw przetwarzania danych osobowych dokonuje się zaś w kontekście niezbędności dla celów, wynikających z prawnie uzasadnionych interesów realizowanych przez administratora. Przetwarzanie więc danych - gdy realizacja potencjalnych roszczeń nie jest faktycznie prawdopodobna - nie znajduje w istocie racjonalnych podstaw. Istnieje więc obiektywna cezura czasowa, gdy odpada podstawa do dalszego przetwarzania danych dla określonego celu. Nie można więc wywodzić, jakoby - przy przyjęciu danej interpretacji - ochrona przed bezterminowym przetwarzaniem danych osobowych stawała się iluzoryczna.
Wypada w końcu zauważyć, że prezentowane tu przez Sąd rozumienie przepisów RODO, określających ramy dopuszczalności przetwarzania danych osobowych, nie jest sprzeczne z brzmieniem regulacji tego rozporządzenia
ani wyrażonymi celami jego wydania. Otóż, przetwarzanie danych osobowych klientów, z którymi profesjonalne podmioty gospodarcze wchodzą w relacje - gdy służyć ma ochronie przed ewentualnymi roszczeniami, czy dochodzeniu własnych, o ile ujawnią się w przyszłości - nie godzi - z perspektywy powszechnie akceptowanego systemu wartości - w żadne, mające nadrzędny charakter interesy klientów lub ich podstawowe prawa i wolności, w rozumieniu art. 6 ust. 1 pkt 1 lit. f in fine RODO. Rzecz natomiast dotyczy tego, czy dane te są gromadzone jedynie w tym celu oraz zabezpieczone przy zastosowaniu odpowiednich procedur (w tym warunków dostępu uprawniony pracowników podmiotu) i środków technicznych - aby nie można było ich wykorzystać w inny sposób. W tej jednak kwestii organ nie formułował żadnych zarzutów bądź wskazań. Jeżeli natomiast dane właściwie zabezpieczono nie sposób zakładać, aby klienci podmiotów gospodarczych nie mogli oczekiwać, że są one przechowywane - zgodnie z akceptowaną dotychczas praktyką - gdzie racjonalnie ważono interesy podmiotów gospodarczych (ochrony przed roszczeniami oraz własnych potencjalnych roszczeń) oraz ich klientów.
Przetwarzanie danych w przedmiotowym zakresie nie sprzeciwia się też regule, wyrażonej w motywie 47 RODO. Wskazano tam, że dopuszczalność przetwarzania danych bez zgody zainteresowanych - wobec uzasadnionego interesu administratora - wyznaczają także ramy "rozsądnych oczekiwań", że administrator to czyni. Przy formułowaniu oceny zakresu stanowionej przepisami RODO ochrony należy więc - z woli samego prawodawcy - odnosić się w istocie do powszechnej praktyki w danym względzie. Nie sposób więc zakładać, aby intencją tegoż prawodawcy - stanowiącego przepisy w zakresie ochrony danych osobowych w RODO - było ingerowanie w praktyki gospodarcze (ich istotna modyfikacja) - na przykład ograniczenie możliwości dochodzenia roszczeń przed terminem ich przedawnienia. Chodziło natomiast, aby - w ramach tych, stosowanych powszechnie praktyk - dane osobowe były zabezpieczone - przez minimalizacji ich przetwarzania jedynie do niezbędnych granic.
Nie sposób wobec tego z reguł RODO wywodzić, aby aktem tym wprowadzono ograniczenia, co do przetwarzania danych osobowych w zakresie przydatnym dla racjonalnego - opartego na powszechnej praktyce - prowadzenia obrotu gospodarczego. Zamieszczone tam reguły mają zaś służyć ograniczeniu przetwarzania danych osobowych poza tymi ramami, także przez ich stosowne zabezpieczenie - przez zastosowanie środków technicznych i procedur dostępu - przed wykorzystaniem, wykraczającym poza cele, dla których je gromadzono.
Nie jest w końcu racjonalny pogląd, jakoby ramy przetwarzania danych osobowych - w kontekście ochrony przed roszczeniami bądź dochodzenia potencjalnych własnych - należało ograniczać każdorazową analizą przypadków wszystkich klientów, czy istnieje realne prawdopodobieństwo ich przydatności - realność roszczeń obu stron. Praktyka taka determinowałaby po stronie podmiotów, prowadzących działalność gospodarczą w relacjach z wieloma osobami fizycznymi (jak operatorzy telekomunikacyjni), potrzebę ustanowienia procedur analizy każdego przypadku i budowy modeli postępowania w oparciu o kryteria prawdopodobieństwa. Intencji obciążenia przedsiębiorców tego rodzaju powinnościami nie sposób wywieźć z przepisów, dotyczących ochrony danych osobowych, gdzie umożliwiano ich przetwarzanie, gdy jest to racjonalnie uzasadnione i nie godzi w chronione interesy zainteresowanych osób, w rozumieniu art. 6 ust. 1 lit. f in fine RODO. Bezpodstawne byłoby zaś wywodzenie, że przypadek godzenia w te interesy ma miejsce zawsze, gdy gromadzone (a więc przetwarzane) dane osobowe mogą być jedynie potencjalnie przydatne (tak: sformułowanie "gromadzenie na zapas").
Chybiona jest więc ocena, jakoby podstawą dalszego przetwarzania przez Operatora danych Wnioskodawcy nie mogła być potrzeba ochrony przed ewentualnymi jego roszczeniami czy możliwość zaspokojenia przyszłych, własnych. Osobną kwestią jest natomiast istnienie po stronie Operatora stosownych środków, gwarantujących bezpieczeństwo danych - możliwość ich wykorzystania jedynie dla zakładanych celów.
Sygnalizowane uchybienie - wobec zawarcia we fragmencie uzasadnienia skarżonego aktu oceny prawnej, która nie jest trafna (naruszenie reguły z art. 107 § 3 w zw. z art. 8 § 1 i art. 11 K.p.a.) - nie mogło mieć jednak wpływu na wynik sprawy. Trafnie bowiem skonstatowano, że zarzuty skargi Wnioskodawcy nie są zasadne. Dostrzeżenie przez Sąd danego naruszenia przepisów postępowania nie mogło więc stanowić przesłanki dla wyeliminowania z obrotu prawnego skarżonego aktu, wobec przywołanej już zasady, wyrażonej a w art. 145 § 1 pkt 1 lit c ustawy - Prawo o postępowaniu przed sądami administracyjnymi - przy rozumowaniu a contrańo.
W tej sytuacji - wobec zarzutów skargi ani też z urzędu - Sąd nie dopatrzył się wadliwości skarżonej decyzji, która uzasadniałaby jej wyeliminowanie z obrotu prawnego.
Z przytoczonych wyżej przyczyn, na podstawie art. 151 ustawy - Prawo o postępowaniu przed sądami administracyjnymi, orzeczono jak w sentencji wyroku.