II SA/Wa 1658/24

II SA/Wa 1658/24 - Wyrok WSA w Warszawie
Data orzeczenia
2025-03-04
orzeczenie nieprawomocne
Data wpływu
2024-10-15
Sąd
Wojewódzki Sąd Administracyjny w Warszawie
Sędziowie
Anna Pośpiech-Kłak /sprawozdawca/
Izabela Głowacka-Klimas
Łukasz Krzycki /przewodniczący/
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Uchylono zaskarżone postanowienie
Sentencja
Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Łukasz Krzycki, Sędzia WSA Izabela Głowacka-Klimas, Asesor WSA Anna Pośpiech-Kłak (spr.), , po rozpoznaniu w trybie uproszczonym w dniu 4 marca 2025 r. sprawy ze skargi R. Ż. na postanowienie Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] września 2024 r. nr [...] w przedmiocie odmowy wszczęcia postępowania 1. uchyla zaskarżone postanowienie, 2. zasądza od Prezesa Urzędu Ochrony Danych Osobowych na rzecz skarżącego R. Ż. kwotę 200 (słownie: dwieście) złotych, tytułem zwrotu kosztów postępowania.
Uzasadnienie
Prezes Urzędu Danych Osobowych, zw. dalej "PUODO", postanowieniem z dnia [...] września 2024 r. nr [...], na podstawie art. 61a § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz.U. z 2024 r., poz. 572), zw. dalej "k.p.a.", w zw. z art. 7 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz.U. z 2019 r. poz. 1781) oraz w zw. z art. 57 ust. 4 rozporządzenia Parlamentu Europejskiego i Rady UE 2016/679 z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z 4.05.2016 r., str. 1, Dz. Urz. UE L 127 z 23.05.2018 r., str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021 r.), zw. dalej "RODO", odmówił wszczęcia postępowania w sprawie ze skargi R. Z., zw. dalej "skarżącym", na nieprawidłowości w procesie przetwarzania jego danych osobowych przez:
1) I. S. (prowadzącą w [...] przy ul. [...] działalność gospodarczą pod firmą [...]. Szkolenia i Konsultacje I. S.),
2) M. F. (prowadzącego w [...] przy ul. [...] działalność gospodarczą pod firmą [...] M. F.),
3) A. S. (prowadzącego w [...] przy ul. [...] działalność gospodarczą pod firmą [...] A. S.),
4) K. K. (prowadzącego w [...] przy ul. [...] działalność gospodarczą pod firmą Usługi Szkoleniowe K. K.),
5) A. S. (prowadzącego w [...] pod numerem [...] ([...]gmina [...]) działalność gospodarczą pod firmą A. S. Usługi Szkoleniowe),
6) M. W. (prowadzącą w [...] przy ul. [...] działalność gospodarczą pod firmą W. M. Usługi Szkoleniowe),
7) C. M. (prowadzącego w [...] przy ul. [...] działalność gospodarczą pod firmą "[...]" C. M.),
8) E. S. (prowadzącą w [...] przy ul. [...] działalność gospodarczą pod firmą Usługi Szkoleniowe E. S.),
9) P. G. (prowadzącego w [...] przy ul. [...] działalność gospodarczą pod firmą [...] P. G.),
10) J. C. (prowadzącego w [...] przy ul. [...] działalność gospodarczą pod firmą " [...]" J. C.),
11) [...] Sp. z o.o. z siedzibą w [...] przy ul. [...],
12) S. W. (prowadzącą w [...] przy ul. [...] działalność gospodarczą pod firmą S. W.),
13) R. K. (prowadzącego w [...] przy ul. [...] działalność gospodarczą pod firmą R. K.),
14) [...] Sp. z o.o. z siedzibą w [...] przy ul. [...],
15) K. M. (prowadzącego w [...] przy ul. [...] działalność gospodarczą pod firmą [...] K. M.),
16) R. S. (prowadzącego w [...], [...] działalność gospodarczą pod firmą R. S. - Szkolenia I Trening),
17) E. M. (prowadzącą w [...] przy [...] działalność gospodarczą pod firmą E. M. [...] Import Eksport),
18) D. B. (prowadzącą w [...] przy ul. [...] działalność gospodarczą pod firmą [...]),
19) [...] Sp. z o.o. z siedzibą w [...] przy ul. [...],
20) M. K. (prowadzącą w [...] przy ul. [...] działalność gospodarczą pod firmą Firma [...] M. K.),
21) H. S. (prowadzącego w [...] przy ul. [...] działalność gospodarczą pod firmą H. S. Firma Handlowo Usługowa),
22) G. L. (prowadzącego w [...] (kod pocztowy [...]) działalność gospodarczą pod firmą G. L. Firma Usługowa-Handlowa),
23) T. W. (prowadzącego w miejscowości [...] pod numerem [...] (kod pocztowy [...]) działalność gospodarczą pod firmą K. T. W.),
24) K. S. (prowadzącą w [...] przy ul. [...] działalność gospodarczą pod firmą K. S.- Usługi Szkoleniowe [...]),
polegające na niewypełnieniu wobec skarżącego obowiązku informacyjnego, o którym mowa w art. 13 RODO, nierzetelnym wypełnieniu obowiązków informacyjnych, o których mowa w art. 14 i 15 ust. 1 RODO oraz niedostarczeniu mu kopii jego danych osobowych.
W uzasadnieniu decyzji PUODO wskazał, że w dniu [...] lipca 2024 r. wpłynęła skarga R. Z, na nieprawidłowości w procesie przetwarzania jego danych osobowych przez podmioty wskazane w sentencji postanowienia, zw. dalej "przedsiębiorcami", m.in. polegające na niewypełnieniu wobec skarżącego obowiązku informacyjnego, o którym mowa w art. 13 RODO, nierzetelnym wypełnieniu przez nich wobec skarżącego obowiązków informacyjnych, o których mowa w art. 14 i art. 15 ust. 1 RODO oraz niedostarczeniu skarżącemu kopii jego danych osobowych.
Do skargi skarżący dołączył m.in. odpowiedź [...] S.A. z siedzibą w [...], zw. dalej "[...]", udzieloną na żądanie skarżącego wniesione w trybie art. 15 RODO w której wskazał, że jest administratorem jego danych osobowych, oraz wymienił odbiorców jego danych osobowych w postaci ww. przedsiębiorców.
Mając dane ww. przedsiębiorców skarżący wystąpił do nich z żądaniem zrealizowania wobec niego obowiązku informacyjnego, o którym mowa w art. 15 ust. 1 i 3 r RODO. Do skargi załączył ich odpowiedzi i zarzucił, że były one nierzetelne, ponieważ zostały ustalone między nimi a [...]. Zarzucił także, że nie otrzymał kopii danych osobowych ani nie został wobec niego zrealizowany obowiązek informacyjny, o którym mowa w art. 13 RODO, mimo że wobec otrzymania przez przedsiębiorców jego żądania z danymi osobowymi taki obowiązek, zdaniem skarżącego, powstał. W przesłanych skarżącemu odpowiedziach przedsiębiorcy wskazywali, że są podwykonawcami [...] i działają na podstawie umów z tym podmiotem, których elementem są postanowienia o powierzeniu do przetwarzania danych osobowych wynikające z art. 28 RODO. Pouczyli także skarżącego, że podmiotem zobowiązanym do realizacji żądania z art. 15 RODO jest administrator danych osobowych, którym jest [...], i że to żądanie zostało już przez [...] zrealizowane.
Mając powyższe na uwadze oraz treść art. 61a § 1 k.p.a. PUODO wydał postanowienie o odmowie wszczęcia postępowania bowiem z innych uzasadnionych przyczyn postępowanie nie może być wszczęte
PUODO przywołał treść art. 57 ust. 4 RODO w świetle którego, jeżeli żądanie jest w sposób oczywisty nieuzasadnione lub nadmierne, w szczególności ze względu na swą powtarzalność, organ nadzorczy może pobrać opłatę w rozsądnej wysokości wynikającej z kosztów administracyjnych lub może odmówić podjęcia żądanych działań. Obowiązek wykazania, że żądanie jest w sposób oczywisty nieuzasadnione lub nadmierne, spoczywa na organie nadzorczym.
W konsekwencji ocena dokonywana na podstawie art. 57 ust. 4 RODO musiała sięgać dalej, aniżeli ta dokonywana w ramach art. 61a § 1 k.p.a. Artykuł 57 ust. 4 RODO w swej treści w zakresie "oczywistej niezasadności" jest oceny, choć w innym zakresie, niż art. 61 a § 1 k.p.a. O ile art. 61 a § 1 k.p.a. obliguje do odmowy podjęcia działań, gdy formalne przeszkody do wszczęcia postępowania widać na pierwszy rzut oka, to art. 57 ust. 4 RODO wymaga oceny żądania stanowiącego podstawę do wszczęcia postępowania.
W kontekście powyższego PUODO wskazał, że zgodnie z art. 15 ust. 1 RODO osoba, której dane dotyczą, jest uprawniona do uzyskania od administratora potwierdzenia, czy przetwarzane są dane osobowe jej dotyczące, a jeżeli ma to miejsce, jest uprawniona do uzyskania dostępu do nich oraz następujących informacji: a) cele przetwarzania; b) kategorie odnośnych danych osobowych; c) informacje o odbiorcach lub kategoriach odbiorców, którym dane osobowe zostały lub zostaną ujawnione, w szczególności o odbiorcach w państwach trzecich lub organizacjach międzynarodowych; d) w miarę możliwości planowany okres przechowywania danych osobowych, a gdy nie jest to możliwe, kryteria ustalania tego okresu; e) informacje o prawie do żądania od administratora sprostowania, usunięcia lub ograniczenia przetwarzania danych osobowych dotyczącego osoby, której dane dotyczą, oraz do wniesienia sprzeciwu wobec takiego przetwarzania; f) informacje o prawie wniesienia skargi do organu nadzorczego; g) jeżeli dane osobowe nie zostały zebrane od osoby, której dane dotyczą - wszelkie dostępne informacje o ich źródle oraz h) informacje o zautomatyzowanym podejmowaniu decyzji, w tym o profilowaniu, o którym mowa w art. 22 ust. 1 i 4, oraz - przynajmniej w tych przypadkach - istotne informacje o zasadach ich podejmowania, a także o znaczeniu i przewidywanych konsekwencjach takiego przetwarzania dla osoby, której dane dotyczą. W świetle ustępu 3 tego artykułu administrator dostarcza osobie, której dane dotyczą, kopię danych osobowych podlegających przetwarzaniu.
W RODO zawarto definicję podmiotu przetwarzającego, zgodnie z którą jest nim osoba fizyczna lub prawna, organ publiczny, jednostka lub inny podmiot, który przetwarza dane osobowe w imieniu administratora (art. 4 pkt 8). Przetwarzanie przez podmiot przetwarzający odbywa się na podstawie umowy lub innego instrumentu prawnego, które podlegają prawu Unii lub prawu państwa członkowskiego i wiążą podmiot przetwarzający i administratora, określają przedmiot i czas trwania przetwarzania, charakter i cel przetwarzania, rodzaj danych osobowych oraz kategorie osób, których dane dotyczą, obowiązki i prawa administratora (art. 28 ust. 3 RODO).
Decydujące znaczenie dla podjętego rozstrzygnięcia miało to, że z brzmienia art. 15 ust. 1 oraz ust. 3 RODO jasno wynika, że ich adresatem jest administrator danych osobowych. Osoba, której dane dotyczą, nie może zatem skutecznie żądać od podmiotu przetwarzającego realizacji tych obowiązków.
W treści skargi skarżący zarzucił również nierzetelne wypełnienie obowiązku informacyjnego, o którym mowa w art. 14 RODO, oraz niewypełnienie obowiązku informacyjnego, o którym mowa w art. 13 RODO. Zgodnie z tym drugim przepisem, jeżeli dane osobowe osoby, której dane dotyczą, zbierane są od tej osoby, administrator podczas pozyskiwania danych osobowych podaje jej wszystkie następujące informacje: a) swoją tożsamość i dane kontaktowe oraz, gdy ma to zastosowanie, tożsamość i dane kontaktowe swojego przedstawiciela; b) gdy ma to zastosowanie - dane kontaktowe inspektora ochrony danych; c) cele przetwarzania danych osobowych, oraz podstawę prawną przetwarzania; d) jeżeli przetwarzanie odbywa się na podstawie art. 6 ust. 1 lit. f) - prawnie uzasadnione interesy realizowane przez administratora lub przez stronę trzecią; e) informacje o odbiorcach danych osobowych lub o kategoriach odbiorców, jeżeli istnieją; f) gdy ma to zastosowanie - informacje o zamiarze przekazania danych osobowych do państwa trzeciego lub organizacji międzynarodowej oraz o stwierdzeniu lub braku stwierdzenia przez Komisję odpowiedniego stopnia ochrony lub w przypadku przekazania, o którym mowa w art. 46, art. 47 lub art. 49 ust. 1 akapit drugi, wzmiankę o odpowiednich lub właściwych zabezpieczeniach oraz informację o sposobach uzyskania kopii tych zabezpieczeń lub o miejscu ich udostępnienia (ust. 1). Poza informacjami, o których mowa w ust. 1, podczas pozyskiwania danych osobowych administrator podaje osobie, której dane dotyczą, następujące inne informacje niezbędne do zapewnienia rzetelności i przejrzystości przetwarzania: a) okres, przez który dane osobowe będą przechowywane, a gdy nie jest to możliwe, kryteria ustalania tego okresu; b) informacje o prawie do żądania od administratora dostępu do danych osobowych dotyczących osoby, której dane dotyczą, ich sprostowania, usunięcia lub ograniczenia przetwarzania lub o prawie do wniesienia sprzeciwu wobec przetwarzania, a także o prawie do przenoszenia danych; c) jeżeli przetwarzanie odbywa się na podstawie art. 6 ust. 1 lit. a) lub art. 9 ust. 2 lit. a) - informacje o prawie do cofnięcia zgody w dowolnym momencie bez wpływu na zgodność z prawem przetwarzania, którego dokonano na podstawie zgody przed jej cofnięciem; d) informacje o prawie wniesienia skargi do organu nadzorczego; e) informację, czy podanie danych osobowych jest wymogiem ustawowym lub umownym lub warunkiem zawarcia umowy oraz czy osoba, której dane dotyczą, jest zobowiązana do ich podania i jakie są ewentualne konsekwencje niepodania danych; f) informacje o zautomatyzowanym podejmowaniu decyzji, w tym o profilowaniu, o którym mowa w art. 22 ust. 1 i 4, oraz - przynajmniej w tych przypadkach - istotne informacje o zasadach ich podejmowania, a także o znaczeniu i przewidywanych konsekwencjach takiego przetwarzania dla osoby, której dane dotyczą (ust. 2). W świetle ust. 4 tego przepisu, ustępy 1,2 i 3 nie mają zastosowania, gdy - i w zakresie, w jakim - osoba, której dane dotyczą, dysponuje już tymi informacjami.
Zgodnie natomiast z art. 14 RODO, jeżeli danych osobowych nie pozyskano od osoby, której dane dotyczą, administrator podaje osobie, której dane dotyczą, następujące informacje: a) swoją tożsamość i dane kontaktowe oraz, gdy ma to zastosowanie, tożsamość i dane kontaktowe swojego przedstawiciela; b) gdy ma to zastosowanie - dane kontaktowe inspektora ochrony danych; c) cele przetwarzania, do których mają posłużyć dane osobowe, oraz podstawę prawną przetwarzania; d) kategorie odnośnych danych osobowych; e) informacje o odbiorcach danych osobowych lub o kategoriach odbiorców, jeżeli istnieją; f) gdy ma to zastosowanie - informacje o zamiarze przekazania danych osobowych odbiorcy w państwie trzecim lub organizacji międzynarodowej oraz o stwierdzeniu lub braku stwierdzenia przez Komisję odpowiedniego stopnia ochrony lub w przypadku przekazania, o którym mowa w art. 46, art. 47 lub art. 49 ust. 1 akapit drugi, wzmiankę o odpowiednich lub właściwych zabezpieczeniach oraz informację o sposobach uzyskania kopii tych zabezpieczeń lub o miejscu ich udostępnienia (ust. 1). Poza informacjami, o których mowa w ust. 1, administrator podaje osobie, której dane dotyczą, następujące informacje niezbędne do zapewnienia rzetelności i przejrzystości przetwarzania wobec osoby, której dane dotyczą: a) okres, przez który dane osobowe będą przechowywane, a gdy nie jest to możliwe, kryteria ustalania tego okresu; b) jeżeli przetwarzanie odbywa się na podstawie art. 6 ust. 1 lit. f) - prawnie uzasadnione interesy realizowane przez administratora lub przez stronę trzecią; c) informacje o prawie do żądania od administratora dostępu do danych osobowych dotyczących osoby, której dane dotyczą, ich sprostowania, usunięcia lub ograniczenia przetwarzania oraz o prawie do wniesienia sprzeciwu wobec przetwarzania, a także o prawie do przenoszenia danych; d) jeżeli przetwarzanie odbywa się na podstawie art. 6 ust 1 lit a) lub art. 9 ust. 2 lit. a) - informacje o prawie do cofnięcia zgody w dowolnym momencie bez wpływu na zgodność z prawem przetwarzania, którego dokonano na podstawie zgody przed jej cofnięciem; e) informacje o prawie wniesienia skargi do organu nadzorczego; f) źródło pochodzenia danych osobowych, a gdy ma to zastosowanie - czy pochodzą one ze źródeł publicznie dostępnych; g) informacje o zautomatyzowanym podejmowaniu decyzji, w tym o profilowaniu, o którym mowa w art. 22 ust. 1 i 4, oraz - przynajmniej w tych przypadkach - istotne informacje o zasadach ich podejmowania, a także o znaczeniu i przewidywanych konsekwencjach takiego przetwarzania dla osoby, której dane dotyczą (ust. 2).
Obowiązki wynikające z art. 13 i 14 RODO skierowane są tylko i wyłącznie do administratora danych osobowych. Natomiast z przedłożonej skargi wynika, że ww. przedsiębiorcy, o ile w ogóle przetwarzali dane osobowe skarżącego, czynili to tylko jako podmioty przetwarzające na polecenie administratora danych osobowych, czyli Orange. Z tych też względów nie mieli obowiązku realizować dyspozycji przywołanych przepisów.
Odnośnie zarzutu skarżącego, że po otrzymaniu żądania od skarżącego ww. przedsiębiorcy przetwarzali jego dane osobowe PUODO wskazał, że czynili to jako podmioty przetwarzające, a nie jako administratorzy danych osobowych. Z treści żądania skarżącego wynikało bowiem jasno, że zostało ono skierowane w związku z udostępnieniem ww. przedsiębiorcom danych osobowych przez Orange jako administratora danych. Wszelka zatem komunikacja odbywała się w imieniu administratora, dlatego też odpowiedzi były tożsame.
PUODO zauważył, że z treści skargi wynika, iż ww. przedsiębiorcy pełnili funkcję podmiotów przetwarzających dane, co zwalnia ich z obowiązków określonych w artykułach 13, 14 i 15 RODO. W związku z tym nie można im przypisać naruszenia tych obowiązków ani nakazać ich realizacji w stosunku do skarżącego. Z tego względu skarga wobec ww. przedsiębiorców okazała się w oczywisty sposób nieuzasadniona, co stanowiło podstawę do odmowy wszczęcia postępowania.
R. Z. złożył skargę na postanowienie PUODO z dnia [...] września 2024 r., wnosząc o jego uchylenie. Zaskarżając postanowienie w całości wskazał na następujące naruszenia: art. 61 a § 1 k.p.a. przez jego błędną interpretacji i zastosowanie, co doprowadziło do mylnego stwierdzenia, iż skarżący nie jest stroną postępowania, lub że z innych uzasadnionych przyczyn jego wszczęcie jest niemożliwe; art. 77 § 1 k.p.a. przez dobrowolną oraz oderwaną od rzeczywistości ocenę zgromadzonego materiału dowodowego przez organ, co skutkowało błędnymi wnioskami prowadzącymi do odmowy wszczęcia postępowania; art. 4 pkt. 2 RODO przez pominięcie istoty przetwarzania danych, które obejmuje wszelkie operacje wykonywane na danych osobowych, zarówno automatycznie, jak i manualnie, w tym w formie papierowej; art. 57 ust. 4 RODO przez nadinterpretację, błędnie oceniając, iż żądanie skierowane wobec ww. przedsiębiorców jest nieuzasadnione; art. 13 ust. 1-3 RODO przez błędną interpretację oraz niewłaściwe wnioski wyciągnięte w odniesieniu do zgromadzonego materiału dowodowego; art. 14 ust. 1-5 RODO przez błędną interpretację tego przepisu oraz niedopatrzenie (pominięcie) art. 24 RODO i art. 28 RODO.
W uzasadnieniu skargi podniesiono, że w piśmie datowanym na [...] kwietnia 2024 r., [...] zidentyfikowało przedsiębiorców jako odbiorców jego danych osobowych, podkreślając, że uczestniczą oni w realizacji zadań związanych z obsługą klienta, sprzedażą usług, zarządzaniem systemami teleinformatycznymi, wysyłką korespondencji oraz zarządzaniem i utrzymywaniem sieci Orange. Niestety, nie zostało sprecyzowane, które podmioty, w jakim zakresie uzyskały moje dane, jak je przetwarzają ani przez jaki czas to trwa. Informacje te ograniczono jedynie do wymienienia ww. przedsiębiorców.
Skarżący stwierdza, ze rzeczą niepodważalną jest, że ww. przedsiębiorcy przetwarzają jego dane osobowe w rozumieniu art. 4 pkt. 2 RODO. Zgodnie z tym przepisem, przetwarzanie danych obejmuje różnorodne operacje, takie jak ich zbieranie, przechowywanie, przetwarzanie czy ujawnianie. Również fakt, że wnioski te zawierały jego dane kontaktowe, powoduje, że nie można uznać tych podmiotów jedynie za podmioty przetwarzające, a wręcz przeciwnie - stają się administratorami tych danych, zgodnie z definicją zawartą w art. 4 pkt. 7 RODO.
W odpowiedziach, które otrzymał od tych podmiotów, zawarte były informacje związane z jego danymi osobowymi - część z nich dotarła do niego drogą elektroniczną, a część w formie papierowej, co oznacza, że każdy z tych podmiotów, aby udzielić odpowiedzi, musiał przetwarzać jego dane osobowe. Stanowisko PUODO, że wskazane przedsiębiorstwa nie mają obowiązków informacyjnych zgodnie z art. 13-15 RODO, jest zatem nieuzasadnione.
Skarżący zwraca uwagę na art. 24 RODO, który przewiduje, że w przypadku zaistnienia takiej sytuacji, podmioty te są administrującymi jego danych osobowych. Nawet gdyby jednak przyjąć, hipotetycznie, stanowisko PUODO jako uzasadnione, to pominięto aspekt wynikający z art. 28 ust. 3 lit. e) RODO, który nakłada na podmioty przetwarzające obowiązek wspierania administratorów w zakresie realizacji żądań osób, których dane dotyczą.
Dlatego też uważa, iż postanowienie PUODO o odmowie wszczęcia postępowania na podstawie art. 61a § 1 k.p.a. jest co najmniej chybione i narusza obowiązujące przepisy.
Nadto, PUODO dokonując oceny materiału dowodowego, wykazał pobieżność i dobrowolność w swoim podejściu, co narusza art. 77 § 1 k.p.a. Do akt sprawy dołączono obszerny materiał dowodowy, który wskazuje, że przedsiębiorcy pełnią rolę administratorów danych osobowych. Skarżący uznał, że przedsiębiorcy, mimo iż są podmiotami przetwarzającymi dane osobowe, są jednocześnie samodzielnymi administratorami jego danych. Wnioski oraz odpowiedzi kierowane do tych podmiotów jednoznacznie wskazują na ich zobowiązanie do zrealizowania obowiązku informacyjnego, wynikającego z art. 13 ust. 1 i 2 RODO. Obejmuje on m.in. aspekty związane z pozyskiwaniem danych, ich przetwarzaniem, przechowywaniem, celami przetwarzania oraz tym, komu dane mogą być udostępniane.
Skoro przedsiębiorcy są samodzielnymi administratorami, przetwarzają dane osobowe skarżącego i wykorzystują je m.in. do udzielania odpowiedzi na wnioski, to na nich spoczywa również obowiązek wynikający z art. 15 ust. 1 i 3 RODO. Skarżący zwrócił uwagę na wyrok Trybunału Sprawiedliwości Unii Europejskiej, który dostarcza istotnych wskazówek dotyczących interpretacji art. 15 ust. 3 RODO (wyrok z dnia 4 maja 2023 r., C-487/21). W orzeczeniu tym zaznaczono, jak powinna wyglądać kopia danych osobowych, które powinny być dostarczone skarżącemu, a także jakie elementy powinna zawierać, w tym m.in. wyciągi z dokumentów, w których znajdują się dane osobowe osoby zainteresowanej oraz przetwarzane przez podmiot, do którego kierowane jest żądanie.
W odpowiedzi na skargę PUODO, podtrzymując dotychczasową argumentację, wniósł o oddalenie skargi.
Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje:
Na wstępie należy wskazać, że złożona w niniejszej sprawie skarga została rozpoznana przez Sąd na posiedzeniu niejawnym w trybie uproszczonym stosownie do art. 119 pkt 3 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz.U. z 2024 r., poz. 935 ze zm.), zw. dalej "p.p.s.a.". Zgodnie z tym przepisem, sprawa może być rozpoznana w trybie uproszczonym, jeżeli przedmiotem skargi jest postanowienie wydane w postępowaniu administracyjnym, na które służy stronie zażalenie albo kończące postępowanie, a także postanowienie rozstrzygające sprawę co do istoty oraz postanowienia wydane w postępowaniu egzekucyjnym i zabezpieczającym, na które służy zażalenie. Stosownie zaś do art. 120 p.p.s.a., w trybie uproszczonym sąd rozpoznaje sprawy na posiedzeniu niejawnym w składzie trzech sędziów.
Rozpoznając przedmiotową sprawę Sąd wskazuje, że na podstawie art. 184 Konstytucji RP w związku z art. 1 § 1 ustawy z dnia 25 lipca 2002 r. Prawo o ustroju sądów administracyjnych (Dz.U. z 2022 r., poz. 2492) sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej. Kontrola ta sprawowana jest pod względem zgodności z prawem, jeżeli ustawy nie stanowią inaczej.
Z kolei przepis art. 3 § 2 pkt 1 p.p.s.a. stanowi, że kontrola działalności administracji publicznej przez sądy administracyjne obejmuje orzekanie w sprawach skarg na decyzje administracyjne (oraz odpowiednio na postanowienia).
W wyniku takiej kontroli decyzja (postanowienie) może zostać uchylona w razie stwierdzenia, że naruszono przepisy prawa materialnego w stopniu mającym wpływ na wynik sprawy lub doszło do takiego naruszenia przepisów prawa procesowego, które mogłoby w istotny sposób wpłynąć na wynik sprawy, ewentualnie w razie wystąpienia okoliczności mogących być podstawą wznowienia postępowania (art. 145 § 1 pkt 1 lit. a), b) i c) p.p.s.a.).
Sprawując kontrolę w oparciu o powołane kryterium zgodności z prawem sąd administracyjny orzeka na podstawie akt sprawy administracyjnej, biorąc pod uwagę stan faktyczny i prawny istniejący w dacie wydania ocenianego rozstrzygnięcia, nie uwzględniając okoliczności, które zaistniały w okresie późniejszym. Należy przy tym podkreślić, że sąd administracyjny nie ustala stanu faktycznego, a jedynie wskazuje, które ustalenia organu zostały przez niego przyjęte, a które nie (por. wyrok NSA z dnia 6 lutego 2008 r., sygn. akt II FSK 1665/06).
Jednocześnie, zgodnie z art. 134 § 1 p.p.s.a. Sąd rozstrzyga w granicach danej sprawy, nie będąc jednak związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną, z zastrzeżeniem art. 57a p.p.s.a. (który w niniejszej sprawie nie ma zastosowania).
Istota sporu w niniejszej sprawie sprowadza się do kwestii czy PUODO, działając na podstawie art. 61a § 1 k.p.a. w związku z art. art. 57 ust. 4 RODO, zasadnie odmówił wszczęcia postępowania administracyjnego w związku z podniesionymi przez skarżącego nieprawidłowościami w procesie przetwarzania jego danych osobowych przez ww. przedsiębiorców.
Zdaniem PUODO, decydujące znaczenie dla podjętego miała okoliczność, że z brzmienia art. 15 ust. 1 i ust. 3 RODO jasno wynika, że ich adresatem jest administrator danych osobowych. Osoba, której dane dotyczą, nie może zatem skutecznie żądać od podmiotu przetwarzającego realizacji tych obowiązków. PUODO zauważył także, że, podobnie jak w przypadku prawa dostępu do danych, obowiązki wynikające z art. 13 i 14 RODO skierowane są tylko i wyłącznie do administratora danych osobowych. Z przedłożonej zaś skargi wynikało, że ww. przedsiębiorcy, o ile w ogóle przetwarzali dane osobowe skarżącego, czynili to tylko jako podmioty przetwarzające na polecenie administratora danych osobowych, czyli Orange. Co więcej, zdaniem PUODO skarżący sam udowodnił tę okoliczność w przedłożonej skardze na naruszenie jego danych osobowych.
Przy tak zakreślonych granicach skargi oraz stanowiskach stron, Sąd stwierdza, że skarga zasługuje na uwzględnienie, choć zasadniczo z innych powodów, niż wskazane w skardze, do czego upoważnia Sąd i jednocześnie zobowiązuje przywołany na wstępie art. 134 § 1 p.p.s.a., zgodnie z którym Sąd rozstrzyga w granicach danej sprawy, nie będąc jednak związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną.
Dokonując oceny legalności zaskarżonego postanowienia Sąd, w punkcie wyjścia swoich rozważań wskazuje, iż zgodnie z art. 61 § 1 k.p.a., postępowanie administracyjne wszczyna się na żądanie strony lub z urzędu.
Z art. 61a § 1 k.p.a. wynika natomiast, że jeżeli żądanie, o którym mowa wyżej (tj. w art. 61 k.p.a.), zostało wniesione przez osobę niebędącą stroną lub z innych uzasadnionych przyczyn postępowanie nie może być wszczęte, organ administracji publicznej wydaje postanowienie o odmowie wszczęcia postępowania.
Jak wynika z treści przytoczonego przepisu, ustawodawca wprowadził w nim dwie samodzielne i niezależne przesłanki wydania postanowienia o odmowie wszczęcia postępowania. Celem wprowadzenia opisanej wyżej nowelizacji (art. 61a § 1 k.p.a.) było odróżnienie postępowania wstępnego, polegającego na wszczęciu lub odmowie wszczęcia postępowania administracyjnego od postępowania właściwego, które kończy się rozstrzygnięciem sprawy co do istoty przez wydanie decyzji administracyjnej. W intencji ustawodawcy rozwiązanie takie w sposób bardziej zrozumiały dla wnioskodawców odróżnia etap wstępny dotyczący wszczęcia lub odmowy wszczęcia postępowania od etapu merytorycznego rozstrzygnięcia wniosku (por. wyrok NSA z dnia 30 stycznia 2015 r., sygn. akt II OSK 1575/13).
Podkreślenia również wymaga, że zarówno w doktrynie, jak i orzecznictwie sądowoadministracyjnym wskazuje się, że regulację art. 61a § 1 k.p.a., tj. odmowę wszczęcia postępowania "z innych uzasadnionych przyczyn", co stanowiło podstawę prawną zaskarżonego postanowienia, stosuje się do sytuacji, które w sposób oczywisty stanowią przeszkodę do wszczęcia postępowania, np.:
a) gdy w tej samej sprawie postępowanie administracyjne już się toczy albo w sprawie takiej zapadło już rozstrzygnięcie;
b) w przepisach prawa brak jest podstawy materialnoprawnej do rozpatrzenia żądania w trybie administracyjnym (por. np. wyrok WSA w Warszawie z dnia 5 lutego 2013 r., sygn. akt VII SA/Wa 1163/12);
c) przedawnienie materialnoprawne, tj. upływ terminu, po którym jednostka nie może domagać się uprawnienia (por. B. Adamiak, J. Borkowski, Kodeks postępowania administracyjnego. Komentarz, Wydawnictwo C.H. Beck, Warszawa 2011 r., s. 298);
d) sprawa została już uprzednio rozstrzygnięta; gdy żądanie wszczęcia postępowania dotyczy sytuacji, której legalność kontrolował sąd administracyjny, ale skargę oddalił (tak m.in. (w:) wyroku WSA w Poznaniu z dnia 3 grudnia 2015 r., sygn. akt II SA/Po 826/15).
Z powyższego wynika zatem, że istnienie "przeszkody" uniemożliwiającej wszczęcie i prowadzenie postępowania musi być oczywiste, a więc takie, której ustalenie i wskazanie nie wymaga prowadzenia postępowania wyjaśniającego przez organ (por. m.in. wyrok WSA w Gdańsku z dnia 15 maja 2019 r. sygn. akt II SA/Gd 45/19).
Postanowienie o odmowie wszczęcia postępowania jest bowiem orzeczeniem formalnym, a nie merytorycznym (nie rozstrzyga sprawy co do jej istoty), co prowadzi do wniosku, że w postanowieniu wydanym w trybie art. 61a § 1 k.p.a. organ nie może formułować wniosków i ocen dotyczących meritum żądania (por. wyrok NSA z dnia 8 marca 2017 r., sygn. akt II OSK 2600/16 oraz wyrok NSA z dnia 28 kwietnia 2020 r., sygn. akt I OSK 135/19).
Odnosząc powyższe uwagi natury ogólnej co do istoty istnienia "przeszkody" uniemożliwiającej wszczęcie i prowadzenie postępowania w rozumieniu art. 61a § 1 k.p.a. do realiów rozpoznawanej sprawy, Sąd zauważa, że skarżący w swoim wniosku kierowanym do PUODO wskazał na nieprawidłowości w procesie przetwarzania jego danych osobowych przez ww. przedsiębiorców, w tym w szczególności na niewywiązanie się przez nich z obowiązków wynikających z art. 13, art. 14 i art. 15 RODO. Wywiódł go z enigmatycznej odpowiedzi ww. przedsiębiorców, że uczestniczą w procesie obsługi klienta, sprzedaży usług systemów teleinformatycznych, wysyłaniu korespondencji, obsłudze i utrzymaniu sieci Orange na podstawie łączących ich umów dotyczących powierzenia przetwarzania danych. Nie wskazano kto, w jakim zakresie uzyskał dane i w jakim zakresie je przetwarza oraz przez jaki okres.
Zaznaczenia wymaga, że jakkolwiek w aktach administracyjnych sprawy znajdują się oświadczenia ww. przedsiębiorców, że przetwarzają dane osobowe skarżącego, jako podmioty przetwarzające na polecenie administratora danych osobowych (Orange), tym niemniej PUODO nie zażądał przedłożenia umów powierzenia przetwarzania danych która by te postanowienia między [...] a ww. przedsiębiorcami potwierdzała.
Brak poczynienia przez organ administracyjny ustaleń w tym zakresie wskazuje, że PUODO w sposób należyty nie ustalił czy ww. przedsiębiorcy byli jedynie "podmiotami przetwarzającymi", o których mowa w art. 4 pkt 8 RODO, czy też ww. przedsiębiorcy wypełniają przesłankę z art. 4 pkt 7 RODO i mogliby być uznani za administratorów danych osobowych.
Ustalenie rodzaju relacji pomiędzy podmiotami zaangażowanymi w proces przetwarzania danych osobowych sprowadza się do przypisania im odpowiednich ról zdefiniowanych w art. 4 pkt 7 i 8 RODO. Administrator to każda osoba fizyczna lub prawna, organ publiczny, jednostka lub inny podmiot, który samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych osobowych. Z kolei podmiot przetwarzający to osoba fizyczna lub prawna, organ publiczny, jednostka lub inny podmiot, który przetwarza dane osobowe w imieniu administratora.
Na podstawie tych definicji wyraźnie zarysowują się różnice między statusami poszczególnych podmiotów. Administrator odgrywa dominującą rolę, mając decydujący głos w kwestii tego, czy w ogóle dojdzie do przetwarzania danych osobowych, jakie dane będą przetwarzane, w jaki sposób oraz na jakiej podstawie prawnej. Status administratora może wynikać z przepisów regulujących działalność i uprawnienia niektórych podmiotów, lecz w większości przypadków jest ustalany w oparciu o konkretne okoliczności związane z przetwarzaniem danych. W praktyce administrator pełni rolę kontrolującą i zarządzającą całym procesem przetwarzania danych osobowych, a co za tym idzie, ponosi pełną odpowiedzialność za zgodność tego procesu z wymaganiami RODO.
Do zadań administratora należy szereg obowiązków prawnych, które mają na celu zapewnienie zgodności przetwarzania danych osobowych z przepisami RODO. Wśród nich można wymienić m.in. przestrzeganie zasad przetwarzania danych, wdrożenie odpowiednich środków organizacyjnych i technicznych, zapewnienie odpowiedniego poziomu bezpieczeństwa danych, przeprowadzania analizy ryzyka oraz realizowanie obowiązków informacyjnych i praw podmiotów danych osobowych.
Administrator, ustalając cele i sposoby przetwarzania danych osobowych, decyduje również o organizacji całego procesu przetwarzania oraz o tym, czy w jego imieniu zostaną zaangażowane podmioty przetwarzające, czy też jedynie osoby mu bezpośrednio podległe, uprawnione do przetwarzania danych. Uzyskanie statusu procesora nie jest zatem procesem samodzielnym; jest on uzależniony od decyzji administratora. Ponadto, podmiot przetwarzający, działając na zlecenie administratora, powinien pełnić swoje obowiązki w zgodzie z jego interesami oraz w ramach ustalonych przez niego celów. Procesor powinien realizować operacje przetwarzania wyłącznie na podstawie udokumentowanych poleceń administratora, co oznacza, że dysponuje ograniczoną swobodą działania. Nie może on przekroczyć ram przetwarzania wyznaczonych przez administratora.
Zdarza się również, że podmiot przetwarzający zaczyna wykorzystywać powierzone mu dane osobowe w celach własnych, wówczas traci status procesora i staje się administratorem w odniesieniu do własnych operacji przetwarzania, co wiąże się z dodatkowymi obowiązkami i konsekwencjami.
W świetle powyższego, w ocenie Sądu, za niewystarczające należy uznać poprzestanie PUODO na oświadczeniach ww. przedsiębiorców, czy też Orange, w sytuacji gdy skarżący podnosi nieprawidłowości w procesie przetwarzania jego danych osobowych przez tych przedsiębiorców. Brak poczynienia przez PUODO ustaleń faktycznych i ocen co do tego, czy ww. przedsiębiorcy byli podmiotami, o których mowa w art. 4 pkt 7 RODO, czy podmiotami, o których mowa w art. 4 pkt 8 RODO, było kluczowe i miało charakter nadrzędny z punktu widzenia potrzeby i możliwości wypełnienia przewidzianych w RODO obowiązków informacyjnych, których wykonanie kwestionował skarżący.
PUODO nie podejmując wystarczających czynności pozwalających na pełne ustalenie stanu faktycznego sprawy naruszył zasadę prawdy obiektywnej, wrażoną w art. 7 k.p.a. oraz art. 77 § 1 k.p.a. nakazującą organom administracji publicznej w sposób wyczerpujący zebrać i rozpatrzyć cały materiał dowodowy.
Dalej Sąd zauważa, że organ mimo, iż odmówił wszczęcia postępowania przypisał im rolę podmiotów przetwarzających na polecenie administratora (Orange) i wykluczył podleganie obowiązkom wynikającym z art. 13, art. 14 i art. 15 RODO.
W świetle tych okoliczności stwierdzić więc należy, że organ nadzorczy de facto rozpoznał sprawę co do istoty, choć – jak wskazano wyżej - przy wadliwie prowadzonym postępowaniu dowodowym.
W ten sposób, wbrew przywołanemu w podstawie prawnej przepisowi art. 61a § 1 k.p.a. w związku z art. art. 57 ust. 4 RODO na podstawie których odmówiono wszczęcia postępowania z powodu "oczywistego nieuzasadnionego żądania", PUODO jednak dokonał merytorycznej oceny żądania skarżącego.
W konsekwencji, mając na względzie występujące w zaskarżonym postanowieniu wadliwości natury procesowej, za nieuzasadnione i przedwczesne należy uznać stwierdzenie PUODO o braku obowiązków informacyjnych po stronie ww. przedsiębiorców. Stwierdzenie to winno zostać poprzedzone analizą podziału obowiązków przez strony w umowie powierzenia lub innym instrumencie prawnym odzwierciedlającym status podmiotów na gruncie RODO. W procesie ustalania istotne jest, że administrator decyduje o zasadniczych elementach procesu przetwarzania odnoszących się do celów i sposobów przetwarzania, jak i mniej kluczowych, tj. dotyczących kwestii techniczno-organizacyjnych, w konkretnej relacji gospodarczej.
W ocenie Sądu, naruszenie procesowe, z przyczyn omówionych wyżej, miało istotny wpływ na wynik sprawy. Działanie organu nadzorczego w sposób ewidentny uchybia przesłance warunkującej zastosowanie instytucji przewidzianej przez ustawodawcę w art. 61a § 1 k.p.a. W związku z tym, zaskarżone postanowienie należało wyeliminować z obrotu prawnego.
Reasumując powyższe, z uwagi na wskazane naruszenia, Sąd działając na podstawie art. 145 § 1 pkt 1 lit. c) p.p.s.a. – orzekł jak sentencji wyroku, uchylając zaskarżone postanowienie. O kosztach Sąd orzekł na podstawie art. 200 p.p.s.a.