II SA/Wa 1658/24
Podsumowanie
Przejdź do pełnego tekstuSprawa dotyczyła skargi R. Ż. na postanowienie Prezesa Urzędu Ochrony Danych Osobowych (PUODO) o odmowie wszczęcia postępowania. Skarżący zarzucił licznym przedsiębiorcom naruszenie obowiązków informacyjnych wynikających z RODO, w tym art. 13, 14 i 15, a także niedostarczenie kopii jego danych osobowych. PUODO odmówił wszczęcia postępowania, opierając się na art. 61a § 1 k.p.a. i art. 57 ust. 4 RODO, uznając, że wskazani przedsiębiorcy działali jedynie jako podmioty przetwarzające dane na zlecenie administratora (Orange) i z tego względu nie byli zobowiązani do realizacji żądań skarżącego. Wojewódzki Sąd Administracyjny w Warszawie uchylił zaskarżone postanowienie. Sąd uznał, że PUODO nie przeprowadził wystarczającego postępowania dowodowego, aby prawidłowo ustalić, czy przedsiębiorcy byli jedynie podmiotami przetwarzającymi, czy też administratorami danych osobowych w rozumieniu RODO. Organ nie zbadał umów powierzenia ani nie ocenił, czy przedsiębiorcy nie zaczęli przetwarzać danych we własnych celach. W ocenie Sądu, PUODO naruszył zasady prawdy obiektywnej i wyczerpującego zebrania materiału dowodowego (art. 7 i 77 § 1 k.p.a.), a także przedwcześnie ocenił meritum sprawy, co było sprzeczne z charakterem postanowienia o odmowie wszczęcia postępowania. W konsekwencji, wadliwość proceduralna miała istotny wpływ na wynik sprawy, co uzasadniało uchylenie postanowienia PUODO.
Przeanalizuj tę sprawę w pełnym kontekście orzecznictwa.
Analiza orzecznictwa · odpowiedzi na pytania · badanie przepisów · drafting pism.
Wartość praktyczna
Siła precedensu: WysokaUstalanie statusu administratora i podmiotu przetwarzającego w kontekście obowiązków RODO, prawidłowość prowadzenia postępowania przez organy nadzorcze, stosowanie art. 61a § 1 k.p.a.
Dotyczy specyficznej sytuacji, w której organ nadzorczy odmawia wszczęcia postępowania w sprawie naruszenia obowiązków RODO przez podmioty przetwarzające.
Zagadnienia prawne (2)
Czy Prezes UODO zasadnie odmówił wszczęcia postępowania administracyjnego na podstawie art. 61a § 1 k.p.a. w związku z art. 57 ust. 4 RODO, uznając przedsiębiorców za podmioty przetwarzające, a nie administratorów danych osobowych, w kontekście zarzutów naruszenia obowiązków informacyjnych?Ratio decidendi
Odpowiedź sądu
Nie, Prezes UODO niezasadnie odmówił wszczęcia postępowania, ponieważ nie przeprowadził wystarczającego postępowania dowodowego w celu ustalenia statusu prawnego przedsiębiorców (administrator czy podmiot przetwarzający) i przedwcześnie ocenił meritum sprawy.
Uzasadnienie
Sąd uznał, że organ nadzorczy nie ustalił prawidłowo, czy przedsiębiorcy byli administratorami czy podmiotami przetwarzającymi dane osobowe, co jest kluczowe dla oceny obowiązku informacyjnego. Brak wystarczających ustaleń faktycznych i oceny prawnej naruszył zasady postępowania administracyjnego.
Czy przedsiębiorcy, którzy przetwarzają dane osobowe na zlecenie administratora (np. operatora telekomunikacyjnego), mogą być uznani za administratorów danych osobowych w rozumieniu RODO, jeśli wykonują czynności związane z obsługą klienta lub udzielaniem odpowiedzi na żądania?
Odpowiedź sądu
Sąd nie udzielił jednoznacznej odpowiedzi, ale wskazał, że organ powinien zbadać, czy przedsiębiorcy nie zaczęli przetwarzać danych we własnych celach lub czy ich rola nie wykracza poza zwykłe przetwarzanie na zlecenie, co mogłoby nadać im status administratora.
Uzasadnienie
Sąd podkreślił, że ustalenie statusu administratora lub podmiotu przetwarzającego wymaga analizy konkretnych umów i okoliczności, a organ nie może poprzestać na oświadczeniach stron, zwłaszcza gdy skarżący podnosi zarzuty dotyczące przetwarzania danych.
Przepisy (13)
Główne
k.p.a. art. 61a § 1
Ustawa - Kodeks postępowania administracyjnego
Stosowany do sytuacji, które w sposób oczywisty stanowią przeszkodę do wszczęcia postępowania, a nie do oceny meritum żądania.
RODO art. 4 § 7
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679
Definicja administratora danych osobowych.
RODO art. 4 § 8
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679
Definicja podmiotu przetwarzającego.
RODO art. 13 § 1-3
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679
Obowiązek informacyjny administratora przy zbieraniu danych od osoby, której dane dotyczą.
RODO art. 14 § 1-5
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679
Obowiązek informacyjny administratora, gdy dane nie pochodzą od osoby, której dotyczą.
RODO art. 15 § 1 i 3
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679
Prawo dostępu do danych i obowiązek dostarczenia kopii danych przez administratora.
RODO art. 57 § 4
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679
Możliwość odmowy podjęcia działań przez organ nadzorczy w przypadku oczywistej nieuzasadnioności lub nadmierności żądania.
Pomocnicze
k.p.a. art. 61 § 1
Ustawa - Kodeks postępowania administracyjnego
k.p.a. art. 77 § 1
Ustawa - Kodeks postępowania administracyjnego
Nakazuje organom wyczerpujące zebranie i rozpatrzenie materiału dowodowego.
p.p.s.a. art. 134 § 1
Ustawa - Prawo o postępowaniu przed sądami administracyjnymi
Sąd rozstrzyga w granicach sprawy, nie będąc związany zarzutami skargi.
p.p.s.a. art. 145 § 1
Ustawa - Prawo o postępowaniu przed sądami administracyjnymi
RODO art. 24
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679
RODO art. 28 § 3 lit. e)
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679
Obowiązek podmiotu przetwarzającego wspierania administratora w realizacji żądań osób, których dane dotyczą.
Argumenty
Skuteczne argumenty
Organ nadzorczy nie przeprowadził wystarczającego postępowania dowodowego w celu ustalenia statusu prawnego przedsiębiorców (administrator czy podmiot przetwarzający). • Organ nadzorczy przedwcześnie ocenił meritum sprawy, co jest sprzeczne z charakterem postanowienia o odmowie wszczęcia postępowania. • Naruszenie zasad postępowania administracyjnego (prawdy obiektywnej, wyczerpującego zebrania materiału dowodowego).
Godne uwagi sformułowania
Decydujące znaczenie dla podjętego rozstrzygnięcia miało to, że z brzmienia art. 15 ust. 1 oraz ust. 3 RODO jasno wynika, że ich adresatem jest administrator danych osobowych. • Osoba, której dane dotyczą, nie może zatem skutecznie żądać od podmiotu przetwarzającego realizacji tych obowiązków. • W ocenie Sądu, za niewystarczające należy uznać poprzestanie PUODO na oświadczeniach ww. przedsiębiorców, czy też Orange, w sytuacji gdy skarżący podnosi nieprawidłowości w procesie przetwarzania jego danych osobowych przez tych przedsiębiorców. • Organ nadzorczy de facto rozpoznał sprawę co do istoty, choć – jak wskazano wyżej - przy wadliwie prowadzonym postępowaniu dowodowym.
Skład orzekający
Łukasz Krzycki
przewodniczący
Izabela Głowacka-Klimas
członek
Anna Pośpiech-Kłak
sprawozdawca
Informacje dodatkowe
Wartość precedensowa
Siła: Wysoka
Powoływalne dla: "Ustalanie statusu administratora i podmiotu przetwarzającego w kontekście obowiązków RODO, prawidłowość prowadzenia postępowania przez organy nadzorcze, stosowanie art. 61a § 1 k.p.a."
Ograniczenia: Dotyczy specyficznej sytuacji, w której organ nadzorczy odmawia wszczęcia postępowania w sprawie naruszenia obowiązków RODO przez podmioty przetwarzające.
Wartość merytoryczna
Ocena: 7/10
Sprawa dotyczy powszechnego problemu ochrony danych osobowych i relacji między administratorem a podmiotem przetwarzającym, a także błędów proceduralnych organu nadzorczego, co jest istotne dla prawników i przedsiębiorców.
“Czy podwykonawca danych osobowych odpowiada za ich ochronę? Sąd wyjaśnia granice odpowiedzialności.”
Twój asystent do analizy prawnej.
Zadaj pytanie prawne, zleć analizę orzecznictwa i przepisów, lub poproś o projekt pisma — AI przeszuka 1,4 mln orzeczeń i aktualne akty prawne.
- Analiza orzecznictwa i przepisów
- Drafting pism i dokumentów
- Odpowiedzi na pytania prawne
- Pogłębiona analiza z doktryny
Pełny tekst orzeczenia
Oryginalna treść postanowienia (niezmieniona). Otwiera się jako osobna strona.