II SA/WA 1645/23

II SA/Wa 1645/23 - Wyrok WSA w Warszawie
Data orzeczenia
2024-04-26
orzeczenie nieprawomocne
Data wpływu
2023-08-24
Sąd
Wojewódzki Sąd Administracyjny w Warszawie
Sędziowie
Ewa Radziszewska-Krupa /sprawozdawca/
Piotr Borowiecki
Sławomir Antoniuk /przewodniczący/
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne
Ochrona danych osobowych
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Uchylono zaskarżoną decyzję
Powołane przepisy
Dz.U.UE.L 2016 nr 119 poz 1 art. 6 ust. 1 lit. f
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z  przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE
Dz.U. 2022 poz 2000
art. 6; art. 4; art. 8 § 1
Ustawa z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego - t.j.
Dz.U. 1997 nr 78 poz 483
art. 2; art. 7
Konstytucja Rzeczypospolitej Polskiej z dnia 2 kwietnia 1997 r. uchwalona przez Zgromadzenie  Narodowe w dniu 2 kwietnia 1997 r., przyjęta przez Naród w referendum konstytucyjnym w dniu  25 maja 1997 r., podpisana przez Prezydenta Rzeczypospolitej Polskiej w dniu 16 lipca 1997 r.
Dz.U. 2019 poz 1781
art. 23 ust. 1 pkt 5
Ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych (t. j.)
Sentencja
Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Sławomir Antoniuk, Sędzia WSA Piotr Borowiecki, Sędzia WSA Ewa Radziszewska-Krupa (spr.), po rozpoznaniu w trybie uproszczonym w dniu 26 kwietnia 2024 r. sprawy ze skargi [...] sp. z o.o. z siedzibą w [...] na punkt 1 decyzji Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] czerwca 2023 r. nr [...] w przedmiocie przetwarzania danych osobowych 1. uchyla decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] czerwca 2023 r. nr [...] w zaskarżonej części, 2. zasądza od Prezesa Urzędu Ochrony Danych Osobowych na rzecz [...] sp. z o.o. z siedzibą w [...] kwotę 697 (słownie: sześćset dziewięćdziesiąt siedem) złotych tytułem zwrotu kosztów postępowania.
Uzasadnienie
I. Stan sprawy przedstawia się następująco.
1. Prezes Urzędu Ochrony Danych Osobowych (zwany dalej "Prezesem UODO") decyzją z [...] czerwca 2023r. nr [...]. nakazał [...] sp. z o.o. z siedzibą w [...] (zwana dalej "Skarżąca") usunięcie danych osobowych W. D. (zwanej dalej "Uczestniczką") i umorzył postępowanie w pozostałym zakresie. Decyzję te wydano w związku ze skargą Uczestniczki na nieprawidłowości w procesie przetwarzania jej danych osobowych przez [...] S.A. z siedzibą w [...] (zwanej dalej: "Spółką") – polegające na:
- udostępnieniu bez podstawy prawnej danych osobowych Uczestniczki na rzecz Skarżącej,
- niespełnieniu przez Skarżącą obowiązków informacyjnych, wynikających z art. 13 i 14 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z 04.05.2016, str. 1, Dz. Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 04.03.2021, str. 35, zwane dalej: "RODO")
- nieuwzględnieniu przez Skarżącą żądania wynikającego z art. 17 RODO.
Prezes UODO w podstawie prawnej decyzji powołał m.in. art. 104 § 1, 105 § 1 ustawy z 14 czerwca 1960r. – Kodeks postępowania administracyjnego (Dz.U. z 2023r., poz. 775 ze zm., zwana dalej "k.p.a.") w związku z art. 7 ust. 1 i 2 ustawy o ochronie danych osobowych z 10 maja 2018r. (Dz.U. z 2019r., poz. 1781, zwanej dalej "u.o.d.o.") i art. 6 ust. 1 oraz art. 58 ust. 2 lit. c RODO.
W uzasadnieniu decyzji Prezes UODO wskazał, że w toku postępowania ustalono, że Uczestniczka otrzymała [...] stycznia 2020r. od sieci należącej do Skarżącej wiadomość SMS, informującą o wniosku – którego nie złożyła - o przeniesienie nr telefonu. Uczestniczka poinformowała o tym Spółkę, a pracownik Spółki w rozmowie telefonicznej wskazał, że wniosek złożono [...] stycznia 2020r., ale zawierał on dane innej osoby niż Uczestniczka, co mogło być wynikiem omyłki. Uczestniczka [...] stycznia 2020r. otrzymała też od Skarżącej wiadomość, że Spółka przekazała dane podane przez Uczestniczkę we wniosku - inne niż te, które znajdując się w systemie Skarżącej. Dlatego wniosek o przeniesienie numeru anulowano. Wskazano też, żeby odwiedzić punkt i złożyć nowy wniosek oraz sprawdzić, czy najważniejsze dane (typ usługi: abonament, karta, lub identyfikator: PESEL, NIP, REGON) są takie same, jak w sieci Spółki. Uczestniczka [...] stycznia 2020r. otrzymała od Skarżącej wiadomość SMS, że oczekuje na złożenie nowego wniosku do [...] lutego 2020r., a po tym terminie na numerze tymczasowym będą opłaty i warunki oferty wybranej przy zakupie.
W ocenie Uczestniczki Spółka bezprawnie udostępniła Jej dane osobowe w zakresie nr telefonu na rzecz Skarżącej, a ta bezprawnie przetwarza jej dane osobowe w zakresie nr telefonu, imienia, nazwiska, adresu zamieszkania w celach: - kierowanie telefonicznych informacji marketingowych, - kierowanie pism dotyczących rzekomego konta abonenckiego, którego nigdy nie posiadała w tej sieci - przetwarzaniu danych osobowych nawet przez ich udostępnianie innym podmiotom, mimo braku zgody Uczestniczki na takie działania (art. 6 ust. 1 lit. a RODO). Skarżąca nie usunęła też, mimo wyraźnych żądań Skarżącej, danych osobowych i nie zaprzestała ich przetwarzania, a ponadto naruszyła art. 14, 17 i 19 RODO. Spółka naruszyła ponadto prawa do informacji (art. 13 ust. 3 i art. 14 RODO) przez wskazanie, jakie jest źródło danych osobowych Uczestniczki.
Uczestniczka [...] stycznia 2020r. skierowała do Skarżącej wniosek o wyjaśnienie sytuacji, a [...] stycznia 2020r. doradca telefoniczny Skarżącej poinformował Uczestniczkę o pomyślnym załatwieniu jej sprawy. Skarżąca w odpowiedzi z [...] marca 2020r. na pismo Uczestniczki z [...] marca 2020r. o potwierdzenie załatwienia sprawy na piśmie, poinformowała ją, że nr telefonu Uczestniczki nie zostanie przeniesiony, a Skarżąca nie będzie do Niej kierować korespondencji w związku z przeniesieniem numeru.
Uczestniczka zwróciła się do Skarżącej z wnioskiem z [...] maja 2020r. o realizację uprawnień wynikających z art. 15 ust. 1 RODO, usunięcie jej danych na podstawie art. 17 ust. 1 lit. d RODO, poinformowanie o każdym odbiorcy, któremu ujawniono jej dane oraz poinformowaniu o sposobie załatwienia jej sprawy. Uczestniczka wskazała, że [...] kwietnia 2020r. konsultant Skarżącej podczas rozmowy telefonicznej wskazał, że Jej numer telefonu jest w bazie klientów Skarżącej. Skarżąca w odpowiedzi z [...] maja 2020r. poinformowała, że jest administratorem danych osobowych Uczestniczki, które przetwarzano w związku ze zgłoszeniami. Numeru telefonu Uczestniczki nie przeniesiono do Skarżącej i nie posiada ona wobec Uczestniczki roszczeń majątkowych i niemajątkowych. Kontakt w sprawie oferty był błędem konsultantki.
Uczestniczka [...] i [...] czerwca 2020r. wycofała wszelkie zgody udzielone Skarżącej na przetwarzanie jej danych osobowych i ponowiła żądanie o usunięcie Jej danych osobowych. Skarżąca w odpowiedzi z [...] czerwca 2020r. podtrzymała wyjaśnienia z poprzednich pism. Wskazała, że w piśmie z [...] maja 2020r. udzieliła odpowiedzi Uczestniczce na żądanie zaprzestania przetwarzania i usunięcia jej danych osobowych, informując, że przesłane pisma i zawarte w nich dane przechowuje w celach dowodowych i archiwizacyjnych do 7 lat. Jest to jednoznaczne z brakiem możliwości usunięcia danych osobowych Uczestniczki przed upływem ww. terminu. Skoro [...] stycznia 2020r. zarejestrowano wniosek o przeniesienie nr [...] ze Spółki do innej sieci, a do przeniesienia nie doszło, z powodu odmowy wydania numeru ze Spółki (dane osobowe zarejestrowane w Spółce nie zgadzały się z danymi na wniosku), to niespełnienie wobec Uczestniczki obowiązku informacyjnego było uzasadnione, bo Skarżąca nie przetwarzała danych osobowych Uczestniczki w tym czasie. Skarżąca pozyskała dane osobowe Uczestniczki (imię i nazwisko, adres, nr telefonu) na podstawie art. 6 ust. 1 lit. c) RODO, w związku z pismami Uczestniczki z [...] stycznia, [...] marca i [...] maja 2020r. Skarżąca nie mogła odnaleźć pism Uczestniczki w systemie informatycznym podczas udzielania odpowiedzi na poprzednie pisma Prezesa UODO, bo w systemie zostały zarejestrowane na dane "anonimowe". Skarżąca aktualnie przetwarza dane osobowe Uczestniczki na podstawie: art. 6 ust. 1 lit. c) i f) RODO, art. 58 ust. 1 lit. a i e RODO, w związku z ustawą z 23 kwietnia 1964r. Kodeks cywilny (Dz.U. z 2020r., poz. 1740 ze zm., zwana dalej: "k.c."), w celach: archiwizacji danych i dokumentów, udzielenia odpowiedzi na pisma, wnioski i reklamacje, ustalania obrony i dochodzenia roszczeń. Skarżąca nie wystąpiła i nie zamierza występować wobec Uczestniczki z roszczeniami, ani Uczestniczka nie wystąpiła wobec Skarżącej z roszczeniem i reklamacją.
Spółka wskazała, że przetwarza dane osobowe Uczestniczki, pozyskane od Skarżącej, w związku z: 1) zawarciem i realizacją umowy o świadczenie usług telekomunikacyjnych dla numeru [...], którą realizowała od [...] września 2000r. do [...] stycznia 2012r.; 2) rejestracją [...] stycznia 2017r. mobilnej usługi telekomunikacyjnej na kartę dla nr [...]., która jest nadal świadczona (imię, nazwisko, adres, nr kontaktowy, PESEL, nr i seria dowodu osobistego, nr rachunku bankowego). Spółka nie udostępniła danych osobowych Uczestniczki Skarżącej, która weszła w posiadanie danych podczas wypełniania w salonie Skarżącej wniosku o przeniesienie nr telefonu. Spółka otrzymała wniosek od Skarżącej, w związku z brakiem zgodności danych znajdujących się na wniosku z dany właściciela nr telefonu. Spółka przekazuje dane abonentów tylko podmiotom uprawnionym.
Spółka spełniała też wobec Uczestniczki obowiązek informacyjny [...] maja 2018r., wysyłać stosowną wiadomość tekstową "Od [...] maja stosujemy RODO-nowe przepisy o ochronie danych osobowych. Nie musisz kontaktować się w tej sprawie ani składać dodatkowych oświadczeń. Informacje o tym, jak przetwarzamy Twoje dane i jakie masz uprawnienia, znajdziesz pod bezpłatnym linkiem [...]". Link w przesłanej wiadomości kierował do bezpłatnego pobrania pełnej treści Obowiązku Informacyjnego.
Prezes UODO, po zapoznaniu się z całością materiału dowodowego, wskazał, że choć Uczestniczka zakwestionowała w skardze proces przetwarzania jej danych osobowych, polegający na ich udostępnieniu przez Spółkę na rzecz Skarżącej, to materiał dowodowy nie potwierdził, aby doszło do ich udostępnienia. Zarówno Spółka, jak i Skarżąca w wyjaśnieniach wskazały, że do tego nie doszło. Inny wnioskodawca niż Uczestniczka złożyła do Skarżącej wniosek o przeniesienie nr telefonu, w którym wskazano nr telefonu tożsamy z numerem Uczestniczki, ale z uwagi na brak zgodności pozostałych danych osobowych z danymi osobowymi właściciela nr – Spółka odmówiła realizacji tego wniosku. Ww. podmioty przetwarzały nr telefonu jako dane osobowe wnioskodawcy, będącego inną osobą niż Uczestniczka. Ww. podmioty wskazały też, że przetwarzają dane osobowe Uczestniczki pozyskane bezpośrednio od niej, a Uczestniczka nie przedstawiła poza zarzutami innych dowodów, potwierdzających zarzucane udostępnienie. Prezes UODO dysponuje więc jedynie sprzecznymi oświadczeniami stron.
Zdaniem Prezesa UODO należało stwierdzić, że proces przetwarzania jej danych osobowych przez Spółkę, kwestionowany przez Uczestniczkę, nie istniał, bo Spółka nie udostępniła Skarżącej danych osobowych Uczestniczki. Istniała zatem przesłanka bezprzedmiotowości postępowania i zasadne było umorzenia postępowania, na mocy art. 105 § 1 k.p.a.
Prezes UODO, odnosząc się do niespełnienia przez Spółkę obowiązku informacyjnego z art. 13 ust. 3 i art. 14 RODO, wskazał po odwołaniu się do treści tych przepisów, że Spółka pozyskała dane osobowe bezpośrednio od samej Uczestniczki w związku z zawarciem umowy z [...] września 2000r. oraz w związku z rejestracją [...] stycznia 2017r. mobilnej usługi telekomunikacyjnej na kartę, gdy nie obowiązywały w Polsce przepisy RODO. Uczestniczka [...] maja 2018r., po wejściu w życie RODO, otrzymała od Spółki informację stanowiącą realizację art. 13 RODO (wiadomość tekstowa). Spółka zaznaczyła, że od tamtego momentu nie zmieniły się ani zakres przetwarzanych danych osobowych, ani cele ich przetwarzania, więc Spółka nie była zobowiązana do ponownego spełnienia wobec Skarżącej obowiązku informacyjnego. Spółka nie była też zobowiązana do spełnienia obowiązku informacyjnego z art. 14 RODO, bo pozyskała wszystkie dane osobowe Uczestniczki bezpośrednio od Niej, w związku z ww. okolicznościami, a nie z innego źródła. Postępowanie w tym zakresie tez było bezprzedmiotowe.
Prezes UODO, odnosząc się do żądania o nakazanie usunięcia danych osobowych Uczestniczki przetwarzanych przez Skarżącą, wskazał, że nakazał Skarżącej usunięcie tych danych, z uwagi na brak przesłanek legalizujących przetwarzanie danych osobowych (imię, nazwisko, adres, nr telefonu).
Prezes UODO odwołał się do motywu 47 RODO i wskazał, że podstawą prawną przetwarzania mogą być prawnie uzasadnione interesy administratora, w tym administratora, któremu mogą zostać ujawnione dane osobowe, lub strony trzeciej, o ile w świetle rozsądnych oczekiwań osób, których dane dotyczą, opartych na ich powiązaniach z administratorem nadrzędne nie są interesy lub podstawowe prawa i wolności osoby, której dane dotyczą. Aby stwierdzić istnienie prawnie uzasadnionego interesu, należałoby w każdym przypadku przeprowadzić dokładną ocenę, w tym ocenę tego, czy w czasie i w kontekście, w którym zbierane są dane osobowe, osoba, której dane dotyczą, ma rozsądne przesłanki by spodziewać się, że może nastąpić przetwarzanie danych w tym celu. Interesy i prawa podstawowe osoby, której dane dotyczą, mogą być nadrzędne wobec interesu administratora danych w szczególności w przypadkach, gdy dane osobowe są przetwarzane w sytuacji, w której osoby, których dane dotyczą, nie mają rozsądnych przesłanek, by spodziewać się dalszego przetwarzania.
Zdaniem Prezesa UODO z materiału dowodowego nie wynika, aby Skarżącą wystąpiła roszczeniem wobec Uczestniczki, a Uczestniczka wobec Skarżącej, które uzasadniałoby zachowanie i przechowywanie danych osobowych Uczestniczki przez Skarżącą do celów dowodowych w związku z dochodzeniem przez Uczestniczkę tego roszczenia. Skoro Uczestniczka nie jest klientem Skarżącej, a między Uczestniczką a Skarżącą nie ma powiązania, to brak jest rozsądnych przesłanek, które uzasadniałyby przetwarzanie przez Skarżącą danych Uczestniczki. Brak jest zatem spełnienia wskazywanej przez Skarżącą przesłanki niezbędności do celów wynikających z prawnie usprawiedliwionych interesów realizowanych przez administratora odnośnie przetwarzania danych osobowych Uczestniczki. Przesłanka z art. 6 ust 1 lit. f RODO dotyczy sytuacji już istniejącej, w której celem wynikającym z prawnie uzasadnionych interesów realizowanych przez administratora jest konieczność udowodnienia, potrzeby dochodzenia lub obrony przed roszczeniem istniejącym, nie zaś sytuacji, gdy dane są przetwarzane w celu zabezpieczenia się przed ewentualnym roszczeniem. Skoro w postępowaniu nie wykazano, aby Uczestniczka skierowała wobec Skarżącej jakiekolwiek roszczenie, to Skarżąca przetwarza dane osobowe Skarżącej w ww. celu wyłącznie "na zapas", aby zabezpieczyć się przed ewentualnym przyszłymi i niepewnymi roszczeniami Skarżącej. Prezes UODO podzieli stanowisko Naczelnego Sądu Administracyjnego wyrażone w wyroku z 6 marca 2019r. sygn. akt I OSK 994/17, że przetwarzanie danych osobowych podmiotu, który cofnął zgodę na ich przetwarzanie, nie jest niezbędne dla wypełnienia prawnie usprawiedliwionych celów, którym jest prawo do podjęcia obrony przed ewentualnymi roszczeniami lub zarzutami dotyczącymi przetwarzania danych. Niedopuszczalne jest przetwarzanie danych osobowych niejako "na zapas" z założeniem, że mogą być one ewentualnie przydatne w przyszłości. Przy przyjęciu odmiennej interpretacji ww. przepisów Uczestniczka byłaby pozbawiona ochrony na gruncie RODO i u.o.d.o., a przyjęcie za prawidłowe stanowiska, że przetwarzanie danych osobowych w celu uchylenia się od negatywnych skutków w przypadku zgłoszenia w przyszłości ewentualnego i nieokreślonego roszczenia, stanowi prawnie usprawiedliwiony cel w rozumieniu art. 6 ust. 1 lit. f RODO oznaczałoby, że dane osobowe Uczestniczki mogą być przetwarzane permanentnie, bez konieczności ich usunięcia. Teoretycznie możliwym jest przecież by Uczestniczka zwróciła się do Skarżącej z roszczeniem po upływie terminu przedawnienia roszczenia. Prowadziłoby to tym samym do uznania, że przetwarzanie danych osobowych ma uzasadnienie w przesłance z art. 6 ust. 1 lit. f RODO, w celu realizacji prawa do obrony przed ewentualnym roszczeniem Skarżącej, również po upływie ww. terminu.
Zdaniem Prezesa UODO brak jest uzasadnienia dla przyjęcia, iż terminy dotyczące przedawnienia roszczeń wynikających ze stosunków zobowiązaniowych określają jednocześnie ramy czasowe, w których dane osobowe mogą być przetwarzane przez Skarżącą. Przedawnienie roszczenia nie wywołuje skutków na gruncie ochrony danych osobowych, nie wpływa bowiem na fakt istnienia roszczenia, a powoduje jedynie zmianę w sferze zarzutów procesowych w postaci możliwości podniesienia okoliczności przedawnienia w sporze sądowym. Okolicznością usprawiedliwiającą przetwarzanie danych osobowych, w celu dochodzenia roszczeń jest istnienie roszczenia oraz zamiar jego dochodzenia, nie jest nią natomiast zmiana w uprawnieniach procesowych podmiotu pozwanego.
Prezes UODO, odnosząc się do wskazanego przez Skarżącą, jako podstawa prawna przetwarzania danych osobowych Uczestniczki obowiązku wynikającego z art. 58 ust. 1 lit. a i e RODO, podniósł, że zakończenie postępowania prowadzonego przed organem spowoduje wygaśniecie tego celu przetwarzania. Dalsze przetwarzanie danych osobowych Skarżącej, z uwagi na toczące się postępowania przed Prezesem UODO stanie się niedopuszczalne. Zdaniem Prezesa UODO ocena dokonywana przez organ w każdym przypadku służy zbadaniu zasadności skierowania pod adresem określonego podmiotu nakazu, odpowiadającego art. 58 ust. 2 RODO, służącego przywróceniu stanu zgodnego z prawem, w procesie przetwarzania danych jest więc ona uzasadniona i potrzebna tylko o tyle, o ile nieprawidłowości w procesie przetwarzania danych osobowych istnieją. Skoro aktualnie nie przesłanek legalizujących przetwarzanie danych osobowych Uczestniczki przez Skarżącą, zasadne było nakazanie Skarżącej przez Prezesa UODO, stosownie do art. 58 ust. 2 lit. c RODO, uwzględnienie żądania Uczestniczki przez usunięcie jej danych osobowych.
2. Skarżąca, reprezentowana przez profesjonalnego pełnomocnika, wniosła [...] lipca 2023r. do Wojewódzkiego Sądu Administracyjnego w Warszawie skargę na ww. decyzję Prezesa UODO, zarzucając mogące mieć istotny wpływ na wynik sprawy naruszenie:
- art. 7 w zw. z art. 77 § 1 w zw. z art. 107 § 3 k.p.a. - przez niepodjęcie wszelkich czynności niezbędnych do dokładnego wyjaśnienia stanu faktycznego, a w szczególności brak ustalenia okoliczności przemawiających za tym, że Skarżąca nie może usunąć danych, gdyż godziłoby to w uzasadnione interesy dostawcy usług telekomunikacyjnych jak i Uczestniczki, przez całkowitą eliminację możliwości weryfikacji Uczestniczki,
- art. 107 § 1 pkt 6 i § 2 k.p.a. - przez niewyjaśnienie podstawy prawnej nakazu zawartego w zaskarżonej decyzji.
- art. 6 ust. 1 lit. f) w zw. z art. 5 ust. 1 lit. a) i b) RODO - przez jego błędną wykładnię, skutkującą przyjęciem, że przetwarzanie danych osobowych Uczestniczki, uczestniczącej w procesie przeniesienia numeru, nie stanowi prawnie uzasadnionego interesu administratora, gdy prawidłowa interpretacja tego przepisu prowadzi do wniosku, że takie przetwarzanie jest dopuszczalne przez okres przedawnienia roszczeń wynikający z art. 118 k.c., w zakresie uzasadnionym celem takiego przetwarzania.
Skarżąca wniosła o uchylenie zaskarżonej decyzji w części - w zakresie pkt 1 (nakazu usunięcia danych osobowych Uczestniczki), wstrzymanie wykonania zaskarżonej decyzji w zakresie pkt 1 oraz zasądzenie kosztów postępowania administracyjnego według norm przepisanych.
Skarżąca w uzasadnieniu skargi, po przytoczeniu przebiegu postępowania, wskazała, że stanowisko Prezesa UODO o potrzebie usunięcie danych osobowych Uczestniczki nie ma uzasadnienia i godzi w uzasadnione interesy dostawcy usług telekomunikacyjnych oraz Uczestniczki, powodując całkowitą eliminację możliwości weryfikacji danych i wykazania realizacji decyzji. Prezes UODO nie wskazał podstawy prawnej, na mocy której domaga się usunięcia przez Skarżącą spornych danych i nie uzasadnił swojej tezy. Stwierdzenie Prezesa UODO, że dane osobowe Uczestniczki przetwarzane na podstawie art. 6 ust 1 lit. f) RODO są przez Skarżącą przetwarzane "na zapas" godzi w logiczną interpretację przepisów prawa i w sposób istotny narusza obowiązujące przepisy prawa i dlatego decyzja podnosząca takie tezy, powinna zostać wyeliminowana z obrotu prawnego. Przepisem uprawniającym administratorów do przetwarzania danych osób fizycznych jest art. 6 ust. 1 RODO, zgodnie z którym, przetwarzanie danych jest dopuszczalne tylko wtedy, gdy spełniona jest przynajmniej jedna z przesłanek wskazanych w tym przepisie. Katalog przesłanek z tego przepisu jest zamknięty, a każda z przesłanek legalizujących proces przetwarzania danych osobowych ma charakter autonomiczny i niezależny. Oznacza to, że przesłanki te co do zasady są równoprawne, a wobec tego spełnienie co najmniej jednej z nich stanowi o zgodnym z prawem przetwarzaniu danych osobowych. Przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności, gdy osoba, której dane dotyczą, jest dzieckiem (art. 6 ust. 1 lit. f) RODO).
Prawodawca unijny, wprowadzając kategorię "uzasadnionego interesu administratora", ustanowił szerszą przesłankę przetwarzania danych osobowych, nie przesądzając arbitralnie, co stanowi interes administratora. Stwarza to możliwość określania interesu przez zainteresowanych z uwzględnieniem okoliczności każdego konkretnego przypadku, pod warunkiem spełnienia pozostałych kryteriów określonych w przepisie oraz przy respektowaniu wymagań art. 5 RODO. Prawnie uzasadniony interes trzeba rozumieć nie jako interes wynikający z przepisów prawa (do której to wykładni wydaje się zmierzać Prezesa UODO), lecz jako interes, który jest zgodny z prawem, przy czym może on obejmować interesy ekonomiczne, prawne i inne. Interesy te mogą wynikać również z określonego stanu faktycznego, co ma właśnie miejsce w sprawie. Skarżąca spełniła wszystkie warunki z art. 6 ust. 1 lit. f) RODO. Cel przechowywania danych Uczestniczki był uzasadniony (usprawiedliwiony), gdyż jego gospodarczym i prawnym uzasadnieniem jest obrona przed ewentualnymi roszczeniami Uczestniczki, które mogą zostać wniesione do czasu przedawnienia (na podstawie przepisów k.c.).
Samo postępowanie jest najlepszym przykładem zasadności działania Skarżącej w zakresie polityki zarządzania danymi osobowymi. Interes Skarżącej jest w pełni zgodny z przedmiotem działalności administratora, który jako dostawca usług telekomunikacyjnych musi chronić dane swoich użytkowników w sposób dużo bardziej profesjonalny od innych administratorów, gdyż dodatkowe obowiązki wynikają z konieczności dochowania tajemnicy telekomunikacyjnej. Uczestniczka nie był klientem Skarżącej, ale zasady przetwarzania danych w zakresie ich ochrony dla potencjalnego klienta nie odbiegają standardami od przetwarzania ich dla faktycznego klienta. Usunięcie danych uczestniczki, powodowałoby także usunięcie korespondencji prowadzonej z organem, co pozbawiałoby Skarżącej historii dotyczącej prowadzonego postępowania administracyjnego i samej decyzji. Skarżąca w chwili powstania roszczeń nie dysponowałaby żadnymi środkami dowodowymi, co pozbawiłoby go realnej możliwości ochrony, w tym przed roszczeniami majątkowymi. Wykładnia Prezesa UODO, co do art. 6 ust. 1 lit. f) RODO była zatem błędna. Celem wynikającym z prawnie uzasadnionych interesów, realizowanych przez administratora jest konieczność udowodnienia potrzeby dochodzenia lub obrony przed roszczeniem istniejącym, nie zaś sytuacji, gdy dane są przetwarzane w celu zabezpieczenia się przed ewentualnym roszczeniem. Spółka powołała się na wyroku WSA w Warszawie z: 28 marca 2022r. sygn. akt II SA/Wa 3673/21; 8 sierpnia 2022r. sygn. akt II SA/Wa 542/22, potwierdzające prawidłowość stanowiska Skarżącej, że ma ona interes prawny, w rozumieniu RODO, do przetwarzania (wyłącznie poprzez ich przechowywanie) danych osobowych Uczestniczki w celu obrony przed roszczeniami tak jej, jak i innych osób, które mogły uczestniczyć w procesie przeniesienia numeru, a które mogą być skutecznie dochodzone przez okres przedawnienia roszczeń wynikający z k.c.
3. Prezes UODO w odpowiedzi na skargę wniósł o jej oddalenie, podtrzymując dotychczasowe stanowisko w sprawie.
II. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje:
1. skarga jest zasadna.
2. Sąd wskazuje, że zgodnie z art. 1 ust. 1 i 2 ustawy z 25 lipca 2002r. - Prawo o ustroju sądów administracyjnych (Dz.U. z 2022r. poz. 2492 ze zm.) w związku z art. 3 § 1 i 3 ustawy z 30 sierpnia 2002r. Prawo o postępowaniu przed sądami administracyjnymi (Dz.U. z 2023r. poz. 1634 ze zm., zwana dalej "P.p.s.a."), sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej, a kontrola ta sprawowana jest pod względem zgodności z prawem, jeżeli ustawy nie stanowią inaczej. Oznacza to, że Sądy administracyjne nie orzekają merytorycznie, tj. nie wydają orzeczeń, co do istoty sprawy, lecz badają zgodność zaskarżonego aktu administracyjnego z obowiązującymi przepisami prawa, określającymi prawa i obowiązki stron oraz przepisami procedury administracyjnej, normującymi zasady postępowania przed organami administracji publicznej.
Z art. 145 § 1 pkt 1 P.p.s.a., wynika, że Sąd uchyla decyzję lub postanowienie w całości albo w części, jeżeli stwierdzi: a) naruszenie prawa materialnego, które miało wpływ na wynik sprawy, b) naruszenie prawa dające podstawę do wznowienia postępowania administracyjnego, c) inne naruszenie przepisów postępowania, jeżeli mogło ono mieć istotny wpływ na wynik sprawy. Tym samym zaskarżone akty mogą ulec uchyleniu tylko wtedy, gdy organom administracji publicznej można postawić uzasadniony zarzut naruszenia prawa, czy to materialnego, czy to procesowego, jeżeli naruszenie to miało, bądź mogło mieć wpływ na wynik sprawy.
Sąd w razie nieuwzględnienia skargi w całości albo w części, na mocy art. 151 P.p.s.a., oddala skargę odpowiednio w całości albo w części.
3. Sąd, mając powyższe przepisy na względzie, uznał, że zaskarżona decyzja naruszała przede wszystkim normy prawa procesowego i to w stopniu mogącym mieć istotny wpływ na wynik sprawy – na prawidłowe zastosowanie przepisów prawa materialnego - co spowodowało przedwczesne zastosowanie przez Prezesa UODO powołanych w zaskarżonej decyzji przepisów prawa materialnego. Organ bowiem w punkcie pierwszym sentencji zaskarżonej decyzji nie wskazał zakresu usunięcia przez Skarżącą danych Uczestniczki, co powoduje nieodwracalne skutki w odniesieniu do uzasadnionych interesów Skarżącej, o których mowa m.in. w motywie 47 RODO, jak również w art. 6 ust. 1 lit. f) RODO.
Istota problemu w sprawie sprowadza się natomiast do udzielenia odpowiedzi na pytanie, czy art. 6 ust. 1 lit. f) RODO, stwarzający podstawę do przetwarzania danych osobowych, dotyczy wyłącznie sporu już istniejącego realnego, jak twierdzi organ, czy też może dotyczyć sporu hipotetycznego na co powołuje się Skarżąca.
Sąd w związku z tym stwierdza, że stosowanie tego przepisu następuje dwuetapowo. Przede wszystkim oparcie przetwarzania danych osobowych na przepisie art. 6 ust. 1 lit. f) RODO wymaga kumulatywnego spełnienia dwóch przesłanek. Po pierwsze, musi występować prawnie uzasadniony interes, który jest realizowany przez administratora lub przez stronę trzecią. Po drugie, niezbędna jest weryfikacja, czy przetwarzanie danych osobowych jest niezbędne dla realizacji celu wynikającego z powyższego interesu.
W drugim etapie trzeba natomiast ocenić, czy nie jest spełniona przesłanka o charakterze negatywnym w postaci występowania w danym stanie faktycznym interesów lub podstawowych praw i wolności podmiotu danych, które mają charakter nadrzędny wobec prawnie uzasadnionych interesów administratora lub strony trzeciej.
W przypadku spełnienia tego warunku nie będzie można powołać się na przepis art. 6 ust. 1 lit. f), jako uzasadnienie dla przetwarzania danych osobowych. Stosowanie tej negatywnej przesłanki polega w istocie na wyważeniu dwóch dóbr chronionych prawem, tj. prawnie uzasadnionego interesu administratora lub strony trzeciej z jednej strony i interesów, podstawowych praw oraz wolności podmiotu danych z drugiej.
Prawnie uzasadniony interes trzeba rozumieć nie jako interes wynikający z przepisów prawa, lecz jako interes, który jest zgodny z prawem. Owa zgodność z prawem stanowi ograniczenie pojęcia interesu administratora lub strony trzeciej jako potencjalnej podstawy do przetwarzania danych osobowych.
W doktrynie przyjmuje się, że wykładnia pojęcia prawnie uzasadnionego interesu powinna być szeroka i obejmować interesy gospodarcze, faktyczne, czy też prawne (por. m.in. D. Lubasz i W. Chomiczewski /w:/ E. Bielak-Jomaa (red.), D. Lubasz (red.), RODO. Ogólne rozporządzenie o ochronie danych. Komentarz, WKP 2018 i powołane tam poglądy).
Tak rozumiany prawnie uzasadniony interes musi być realizowany przez administratora lub przez stronę trzecią. Podkreślić przy tym trzeba, że może to być interes nie tylko administratora, który przetwarza już dane osobowe, lecz również administratora, któremu dane te mogą dopiero zostać ujawnione.
Pojęcie niezbędności oznacza z kolei, że przetwarzanie danych dla realizacji prawnie uzasadnionego interesu administratora lub strony trzeciej musi być, rozsądnie oceniając, potrzebne, a więc musi występować bezpośredni związek pomiędzy realizacją prawnie uzasadnionego interesu a potrzebą przetwarzania danych osobowych.
W ocenie Sądu, nie sposób uznać - jak sugeruje Prezes UODO - że przesłanka z art. 6 ust. 1 lit. f RODO dotyczy sytuacji już istniejącej, w której celem wynikającym z prawnie uzasadnionych interesów realizowanych przez administratora jest konieczność udowodnienia, potrzeba dochodzenia lub obrony przed roszczeniem istniejącym, nie zaś sytuacji, gdy dane są przetwarzane w celu zabezpieczenia się przed ewentualnym roszczeniem. Według Sądu, takie stanowisko organu nadzorczego prowadziłoby do tego, że nie byłyby uznawane za uzasadnione interesy Skarżącej, które w rzeczywistości istnieją przez cały okres przedawnienia roszczeń. W konsekwencji przyjęcie za prawidłowe takiego stanowiska organu nadzorczego, powodowałoby, że Skarżąca zostałaby zmuszona do usunięcia wszystkich danych osobowych Uczestniczki, które wciąż mogą okazać się niezbędne do realizacji prawa do obrony Skarżącej przed Sądem, w przypadku wystąpienia z roszczeniami przed upływem terminu przedawnienia. Uzależnienie legalności podstawy do przetwarzania danych osobowych od wystąpienia z roszczeniem, jest postulatem niesprawiedliwym i dającym duże możliwości nadużyć na szkodę przedsiębiorców i klientów.
Sąd zgadza się ze Skarżącą, że przesłanka przetwarzania danych, wyrażona w art. 6 ust. 1 lit. f) RODO (prawnie uzasadnione interesy realizowane przez administratora) powinna być brana pod uwagę przez organ w kontekście także ochrony interesów podmiotów sektora gospodarczego, jakim jest dostawca usług telekomunikacyjnych. Skoro bowiem podmiot posiadający dane osób trzecich (klientów i nie klientów), w tym Uczestniczki w wyniku opisanych w stanie faktycznym działań - osoby fizycznej innej niż Uczestniczka - wszedł w posiadanie konkretnych danych, to w uzasadnionym interesie tegoż podmiotu – administratora danych – leży wykazanie, w jakich okolicznościach do tego doszło, a więc jaki był zakres tychże danych, a ponadto w jakim zakresie i kiedy miało miejsce przetworzenie. Brak posiadania danych Uczestniczki przez Skarżącą, w związku z zaskarżoną decyzją, mógłby spowodować, że Skarżąca nie mogłaby dochodzić swoich racji np. przed Sądem, co nie może być uznane za racjonalne i zgodne przepisami RODO. Warto również podkreślić, że całkowicie nieuzasadnione są obawy organu nadzorczego dotyczące rzekomego, permanentnego przetwarzania danych osobowych Uczestniczki przez Skarżącą, skoro w toku postępowania wskazywano, że każdy z uczestników procesu przetwarzania danych – w związku ze złożonym wnioskiem o przeniesienie numeru telefonu – w tym Uczestniczka może wystąpić w roszczeniami odszkodowawczymi. Skoro w okresie, kiedy każda ze stron stosunku zobowiązaniowego może wystąpić do Sądu z roszczeniami wynikającymi z tego stosunku, czyli przez określony odrębnymi przepisami okres przedawnienia roszczeń, to błędne było stanowisko Prezesa UODO, że w sprawie nie istniał prawnie uzasadniony interes administratora danych – Skarżącej - do ich przetwarzania, z zastrzeżeniem, że przetwarzanie to odbywa się w sposób ograniczony wyłącznie do celu, jakim jest cel dowodowy w ewentualnym postępowaniu sądowym, a zatem co do zasady przetwarzanie to polega na przechowywaniu danych.
W tej sytuacji, uznać należy, że - wbrew obawom Prezesa UODO - po upływie terminu przedawnienia roszczeń, nie będzie można mówić już o uzasadnionym interesie do dalszego przetwarzania danych osobowych Uczestniczki przez Skarżącą.
Prezes UODO, wydając punkt 1 zaskarżonej decyzji - dopuścił się więc w powyższym zakresie istotnego naruszenia zasady praworządności wyrażonej w art. 6 k.p.a. i art. 7 in principio k.p.a. oraz w art. 7 Konstytucji RP.
Analizowane działanie Prezesa UODO w sposób istotny naruszało także zasadę zaufania obywateli do organów praworządnego państwa i stosowanego przez nie prawa, o której mowa w art. 8 § 1 k.p.a. Nie ulega bowiem wątpliwości, że zasada zaufania wyrażona w przepisie art. 8 § 1 k.p.a. ma kontekst konstytucyjny i unijny, zaś organy administracji publicznej są obowiązane, w ramach wykładni zgodnej z prawem UE i Konstytucją RP, uwzględniać, że zasada zaufania, również w aspekcie procesowym, jest zasadniczym elementem zasady demokratycznego państwa prawa i jako taka ma swoje umocowanie i źródło w art. 2 Konstytucji RP.
Zdaniem Sądu prawidłowe jest też stanowisko Skarżącej, że w sprawie aktualność poglądów wyrażanych w doktrynie na gruncie wykładni art. 23 ust. 1 pkt 5 u.o.d.o., już nieobowiązującej, która dopuszczała przetwarzanie danych, jeżeli było ono niezbędne do osiągania prawnie usprawiedliwionych celów realizowanych przez administratora danych. Sąd zgadza się ze Skarżącą, że pojęcie "interesu" wprowadzone przez ustawodawcę wspólnotowego jest kategorią szerszą niż pojęcie "celu" w rozumieniu ww. przepisu art. 23 ust. 1 pkt 5 u.o.d.o. Prawodawca unijny, wprowadzając kategorię "uzasadnionego interesu administratora", ustanowił szerszą przesłankę przetwarzania danych osobowych do ww. "celu" z art. 23 ust. 1 pkt 5 u.o.d.o. W konsekwencji prawodawca unijny, nie przesądzając arbitralnie, co stanowi interes administratora, stwarza możliwość określania go przez samych zainteresowanych z uwzględnieniem okoliczności każdego konkretnego przypadku, pod warunkiem spełnienia pozostałych kryteriów określonych w przepisie oraz przy respektowaniu wymagań art. 5 RODO. Tym samym Sąd, jeszcze raz podkreśli, że prawnie uzasadniony interes należy rozumieć jako interes wynikający z przepisów prawa (w tym np. z prawa cywilnego - art. 118 k.c., czy z prawa telekomunikacyjnego – art. 71b ust. 1 i 3), w tym uwzględniający interesy ekonomiczne, prawne i inne. Interesy te mogą wynikać również z określonego stanu faktycznego.
Zdaniem Sądu na uwzględnienie nie zasługiwały natomiast podnoszone w skardze zarzuty naruszenia przez Prezes UODO art. 7, art. 77 § 1 i art. 107 § 1 i 3 k.p.a. Stan faktyczny opisany w zaskarżonej decyzji został bowiem ustalony przy uwzględnieniu zasady prawdy obiektywnej określonej w art. 7, art. 77 § 1 k.p.a. Organ zgromadził niezbędny i wyczerpujący materiału dowodowego, z udziałem Skarżącej, mając na względzie i oceniają okoliczności wynikające z dowodów przekazanych przez Skarżącą. Organ wskazał też podstawę prawną, choć nie można uznać, że uzasadnił ją w sposób przekonywujący. Uzasadnienie zaskarżonej decyzji zawierało natomiast wskazanie faktów, które Prezes UODO uznał za udowodnione, dowodów, na których się oparł, oraz przyczyn, z powodu których innym dowodom odmówił wiarygodności i mocy dowodowej. To, że ani Sąd ani Skarżąca nie podzieliła argumentacji organu samo w sobie nie uzasadnia uznania, że doszło do naruszenia art. 107 § 1 i 3 k.p.a.
4. Sąd, mając powyższe rozważania na względzie uznał, że zasadne było uchylenie punktu pierwszego zaskarżonej decyzji, na mocy art. 145 § 1 pkt 1 lit. a) i c) P.p.s.a. w związku z art. 135 P.p.s.a. (punkt pierwszy sentencji).
Orzeczenie z punktu drugiego sentencji ma uzasadnienie w art. 200, art. 209 i art. 205 § 1 P.p.s.a. oraz § 14 ust. 1 pkt 1 lit. c) rozporządzenia Ministra Sprawiedliwości z 22 października 2015r. w sprawie opłat za czynności radców prawnych (Dz.U. z 2023r., poz. 1935), gdyż Skarżąca była reprezentowany przez radcę prawnego (wynagrodzenie pełnomocnika w wysokości 480 zł), a wpis sądowy od skargi wynosił 200 zł.