II SA/WA 2012/24

II SA/Wa 2012/24 - Wyrok WSA w Warszawie
Data orzeczenia
2025-04-16
orzeczenie nieprawomocne
Data wpływu
2024-12-11
Sąd
Wojewódzki Sąd Administracyjny w Warszawie
Sędziowie
Andrzej Wieczorek
Danuta Kania /przewodniczący/
Dorota Kozub-Marciniak /sprawozdawca/
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne
Ochrona danych osobowych
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Oddalono skargę
Powołane przepisy
Dz.U. 2024 poz 935
art. 151
Ustawa z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (t. j.)
Sentencja
Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Danuta Kania, Sędzia WSA Andrzej Wieczorek, Asesor WSA Dorota Kozub-Marciniak (spr.), Protokolant referent Marta Stec po rozpoznaniu na rozprawie w dniu 16 kwietnia 2025 r. sprawy ze skargi [...] z siedzibą w [..] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] września 2024 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę
Uzasadnienie
[...] Izba Gospodarcza [...] (dalej, jako: skarżący lub Izba) wniosła do Wojewódzkiego Sądu Administracyjnego w Warszawie skargę na decyzję Prezesa Urzędu Ochrony Danych Osobowych (dalej, jako: organ lub PUODO) z dnia [...] września 2024 r., która organ:
1. nakazał skarżącemu, usunięcie danych osobowych M. K. (dalej także, jako: uczestnik), w zakresie imienia, nazwiska, adresu korespondencyjnego oraz adresu email ([...]), przetwarzanych bez podstawy prawnej;
2. udzielił skarżącemu, upomnienia za naruszenie art. 6 ust. 1 w zw. z art. 17 ust. 1 lit c rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/(ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 4.05.2016, str. 1, Dz. Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, str.35), dalej, jako: RODO, polegające na przetwarzaniu danych osobowych M. K., w celach marketingowych, pomimo wyrażonego żądania ich usunięcia;
3. udzielił skarżącemu upomnienia za naruszenie art. 12 ust. 1 i 2 w zw. z art. 17 ust. 1 lit c RODO, polegające na niepoinformowaniu zgodnie z prawdą i dyspozycją art. 12 ust. 1 i 2 RODO M. K., o działaniach podjętych w związku z jego żądaniem usunięcia danych;
4. udzielił skarżącemu upomnienia w zakresie stwierdzonego naruszenia art. 12 ust. 3 i 4 w zw. z art. 17 ust. 1 lit. c RODO, polegające na braku odpowiedzi na żądanie M. K., w zakresie usunięcia jego danych osobowych, w terminie wynikającym z art. 12 ust. 3 RODO oraz niedopełnieniu obowiązku wynikającego z art. 12 ust 4 RODO, tj. poinformowania go, o powodach niepodjęcia działań oraz o możliwości wniesienia skargi do organu nadzorczego oraz skorzystania ze środków ochrony prawnej przed sądem.
W uzasadnieniu zaskarżonej decyzji podniesiono, że uczestnik wystąpił do PUODO ze skargą na nieprawidłowości w procesie przetwarzania danych osobowych przez skarżącego polegające na przetwarzaniu jego danych osobowych bez podstawy prawnej, w tym w celach marketingowych, oraz pomimo wniesionego przez niego żądania usunięcia tych danych.
W toku postępowania PUODO ustalił, że w dniu [...] sierpnia 2023 r. uczestnik otrzymał na swój adres e-mail, tj. [...], wiadomość od Izby. Wiadomość została zatytułowana "[...]". W treści wiadomości Izba zapraszała do wzięcia udziału w Programie poprzez złożenie odpowiedniego wniosku. Ponadto, w treści owej wiadomości Izba wskazała - cyt.: "Jako jednostka samorządu gospodarczego, po wielu rozmowach z Przedsiębiorcami, dotyczącymi dynamicznej sytuacji na rynku energii oraz przeprowadzonych konsultacjach z podmiotami obrotu energią, wdrożyliśmy program wsparcia w ww. zakresie. Mając na względzie, iż znaczną część Przedsiębiorców do końca 2023 r., obejmuje zamrożona cena energii (785,00netto/1MWh), natomiast po tym terminie obowiązywać będą zaktualizowane stawki rynkowe, które już dzisiaj nierzadko przekraczają 2.100,00 netto/1MWh), objęcie programem wsparcia przedsiębiorców w zakresie energii elektrycznej pozwoli Przedsiębiorcom otrzymać zamrożoną cenę do końca 2026r lub możliwość zakupu energii w cenach hurtowych z niższą opłatą za bilansowanie". Ponadto Izba w wiadomości zachęcała do zapoznania się z jej działaniami - cyt.: "[...] Izba Gospodarcza od 1991 r. wspiera Przedsiębiorców [...] i nie tylko w rozwoju ich firm. Zachęcamy do zapoznania się z Naszymi działaniami: [...]". Uczestnik podniósł, że nigdy nie wyrażał zgody na przetwarzanie jego danych osobowych przez Izbę na potrzeby wysyłania takich informacji. Ponadto wskazał, że nigdy nie miał żadnego związku z Izbą.
W dniu [...] sierpnia 2023 r. uczestnik wysłał do skarżącego wiadomość, w której zapytał - cyt.: "(...) proszę o informacje skąd mają państwo mój adres e-mail, pod który skierowana została korespondencja dotycząca [...] oraz kiedy i w jaki sposób miałbym wyrazić zgodę na kierowanie do mnie takich wiadomości?". Tego samego dnia Izba w wiadomości e-mail odpowiedziała - cyt.: "(...) 1. Informujemy, iż Pana dane (w tym dane kontaktowe) związane z wykonywaną przez Pana działalnością gospodarczą są ogólnodostępne i widoczne w wyszukiwarce [...] - [...], służącej prowadzeniu powszechnej, ogólnodostępnej bazy przedsiębiorców, w tym prezentacji podmiotów gospodarczych. 2. W zakresie danych niezbędnych do przesłania Panu poniższej wiadomości e-mail oraz wyłącznie na potrzeby udostępnienia poniższej oferty przystąpienia do programu administratorem Pańskich danych osobowych jest [...] Izba Gospodarcza z siedzibą w [...], podejmująca w poniższym zakresie działania w zakresie marketingu bezpośredniego, co stanowi prawnie uzasadniony interes administratora (art. 6 ust. 1 lit. f RODO)".
W dniu [...] sierpnia 2023 r. w wiadomości e-mail uczestnik zażądał od Izby cyt.: "2. Zaprzestania przetwarzania moich danych osobowych; 3. Trwałego usunięcia go z wszystkich baz, w których zostały zarejestrowane". W kolejnej wiadomości z dnia [...] września 2023 r. zapytał się Izby, kiedy może spodziewać się realizacji jego żądań. Z kolei w wiadomości z dnia [...] października 2023 r.. napisał - cyt.: "(...) nie uzyskałem żadnych odpowiedzi w zakresie realizacji moich praw, zatem sprawę kieruję w drodze skargi do PUODO".
Uczestnik podniósł, że Izba wysłała do niego kolejne wiadomości e-mail, na dowód czego przedstawił wydruk z poczty e-mail. Wiadomości uczestnik otrzymał kolejno w dniach: [...] grudnia 2023 r. o tytule "[...]", [...] grudnia 2023 r. o tym samym tytule, [...] stycznia 2024 r. o tytule "[...]".
W dniu [...] grudnia 2023 r. uczestnik wysłał na adres siedziby Izby pismo, w którym napisał m.in. o tym, że treść otrzymanych przez niego w dniach [...] października 2023 r., [...] grudnia 2023 r. oraz [...] grudnia 2023 r. wiadomości e-mail od Izby stanowi marketing bezpośredni. Ponadto, napisał, że - cyt.: "(...) w dniu [...] sierpnia 2023 r., w reakcji na uprzednią niezamówioną informację handlową od [...] Izby Gospodarczej, datowaną na dzień [...] sierpnia br., wysłałem na adres [...] wiadomość z żądaniem zaprzestania dalszego przetwarzania moich danych osobowych oraz usunięcia ich z baz danych wykorzystywanych przez [...] Izbę Gospodarczą. Moje żądania ponowiłem w wiadomościach z [...] września oraz [...] października br.".
Izba pismem z dnia [...] grudnia 2023 r. odpowiedziała uczestnikowi, że kierowane do niego informacje przez Izbę nie stanowią czynności z zakresu marketingu bezpośredniego. Oferta nie dotyczy wprost sprzedaży towarów lub usług, obejmuje bowiem możliwość przystąpienia do programu organizowanego przez Izbę, reprezentującą interesy przedsiębiorców, a która nie jest uprawniona do samodzielnego zawierania umów w przedmiocie sprzedaży energii elektrycznej. Ponadto, w tym samym piśmie Izba zaprzeczyła, aby informacje, które wysyła w wiadomościach e-mail miały charakter handlowy w rozumieniu ustawy z dnia 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną (zwanej dalej u.ś.u.d.e).
W piśmie z dnia [...] grudnia 2023 r. Izba wskazała - cyt.: "Poczytując Pańskie stanowisko za brak woli otrzymywania dalszych ofert w zakresie realizowanych przez Izbę programów dla przedsiębiorców, Izba podejmie działania w celu zaprzestania dalszego kontaktu z Panem (...)".
Izba wskazała w złożonych w sprawie wyjaśnieniach, że jest izbą gospodarczą w rozumieniu art. 2 ustawy z dnia 30 maja 1989 r. o izbach gospodarczych której zadania określone zostały w Statucie [...] Izby Gospodarczej, zwanym dalej Statutem. Izba wskazała na zadanie określone w § 7 pkt 1 lit. a, c, d i e Statutu. Izba pozyskała dane osobowe uczestnika - jak stwierdziła - w dniu [...] sierpnia 2023 r. z internetowej bazy firm "[...]". Profil uczestnika - jak wskazała Izba - znajduje się pod linkiem: [...]. Zakres pozyskanych przez Izbę danych to imię, nazwisko oraz adres e-mail. Dane osobowe uczestnika Izba pozyskała - jak oznajmiła - w celu przesłania mu informacji dotyczącej Programu, w tym możliwości złożenia w tym zakresie wniosku.
Zdaniem Izby, udostępnione uczestnikowi w wiadomościach e-mail informacje (dotyczące Programu) nie stanowiły czynności z zakresu marketingu bezpośredniego, ani niezamówionej informacji handlowej w rozumieniu przepisów ustawy z dnia 16 lipca 2004 r. Prawo telekomunikacyjne, w tym art. 172 ust. 1 tego aktu. Izba wskazała - cyt.: "(...) korzystając z kompetencji określonych w art. 5 ust. 2 pkt 1 ustawy o izbach gospodarczych, informuje o możliwości złożenia zgłoszenia do programu pozwalającego jego członkom na uzyskanie obniżonych cen energii elektrycznej. Zgłoszenia są realizowane w formie naborów ograniczonych co do terminu, natomiast Strona [Izba - dopisek Prezesa UODO] nie pobiera opłat od zainteresowanych podmiotów, jak również nie zawiera samodzielnie umów w przedmiocie sprzedaży energii elektrycznej. Brak jest zatem podstaw do przyjęcia, że Strona sformułowała w stosunku do Skarżącego (uczestnika – przyp. Sądu) informację w przedmiocie sprzedaży usługi, nie stanowi bowiem ona propozycji wykonywania przez Stronę czynności na zlecenie podmiotu, do którego jest ona skierowana, tym samym nie stanowi usługi realizowanej na rzecz adresata wiadomości". Ponadto Izba podniosła, że przekazana uczestnikowi informacja nie służy promowaniu, w tym pośrednio, towarów, usług lub wizerunku przedsiębiorcy lub osoby wykonującej zawód. Zdaniem Izby, poprzez udostępnianie informacji o możliwości przystąpienia przez przedsiębiorców do programu pozwalającego na uzyskanie preferencyjnych cen energii elektrycznej, wpływa na tworzenie warunków rozwoju życia gospodarczego, tym samym realizuje swoje zadania na rzecz zainteresowanych przedsiębiorców poza sferą działalności gospodarczej, w szczególności zważywszy, że skorzystanie z naboru nie wiąże się z przysporzeniem korzyści dla Izby od potencjalnie zainteresowanego podmiotu. Izba wskazała również, że nie działa w charakterze przedsiębiorcy w rozumieniu art. 4 ust. 1 ustawy z dnia 6 marca 2018 r. - Prawo przedsiębiorców. Jako podstawę prawną do przetwarzania danych Izba podała art. 6 ust. 1 lit. f RODO, tj. prawnie uzasadniony interes administratora, którym jest - jej zdaniem - realizacja jej zadań jako izby gospodarczej, tj. podmiotu wspierającego tradycje gospodarności, propagowanie i wspieranie przedsiębiorczości obywateli, w ramach swoich kompetencji ustawowych (art. 5 ust. 2 ustawy o izbach gospodarczych) oraz statutowych.
Działania polegające na udostępnieniu uczestnikowi informacji dotyczących Programu, nie wymagały - zdaniem Izby - zgody, o której mowa w art. 172 ust. 1 ustawy – Prawo telekomunikacyjne oraz art. 10 u.ś.u.d.e. Uczestnik - jak wskazała Izba - nie wyraził zgody na przetwarzanie jego danych osobowych w celach marketingu bezpośredniego oraz na otrzymywanie informacji marketingowych za pośrednictwem wiadomości e-mail, SMS, MMS lub połączeń telefonicznych.
Izba w złożonych w sprawie wyjaśnieniach oznajmiła, że udzieliła odpowiedzi uczestnikowi na jego pismo z dnia [...] grudnia 2023 r. stwierdzając, że podejmie działania zmierzające do zaprzestania dalszego kontaktu z uczestnikiem.
Dalej Izba podniosła, że aktualnie przetwarza dane osobowe uczestnika, w zakresie imienia, nazwiska, adresu korespondencyjnego, numeru PESEL oraz numeru telefonu, m.in. w związku z niniejszym postępowaniem (art. 6 ust. 1 lit. f RODO). Dane w ww. celach Izba będzie przetwarzać do czasu prawomocnego zakończenia postępowania przez PUODO. Ponadto Izba przetwarza dane uczestnika, w zakresie imienia, nazwiska, adresu korespondencyjnego oraz adresu e-mail, w celu ochrony przed ewentualnymi roszczeniami cywilnoprawnymi uczestnika w przedmiocie zadośćuczynienia. Izba wskazała, że owe roszczenia wynikają z pisma uczestnika z dnia [...] grudnia 2023 r. (art. 6 ust. 1 lit. f RODO). Izba wskazała, że dane będzie przetwarzać do upływu terminu przedawnienia roszczeń uczestnika, powołując się przy tym na art. 118 Kodeksu cywilnego.
Skarżący w piśmie do Izby z dnia [...] grudnia 2023 r. stwierdził - cyt.: "W wyniku braku jakiejkolwiek reakcji po stronie [...] Izby Gospodarczej na dotychczasowe wezwania, ostatecznie wzywam Pana do zaniechania dalszych naruszeń moich dóbr osobistych oraz bezzwłocznej realizacji pozostałych przedstawionych przeze mnie żądań, wskazując jednocześnie, że w przypadku braku oczekiwanej przeze mnie reakcji wystąpię na drogę sądową. Ponadto, żądam zapłaty zadośćuczynienia za wyrządzoną mi krzywdę w wysokości 1000 zł (jednego tysiąca) złotych w terminie 7 dni od daty otrzymania niniejszego wezwania".
Rozpoznając sprawę PUODO wskazał, że jego zdaniem wysłana do uczestnika przez Izbę wiadomość e-mail z dnia [...] sierpnia 2023 r., w tym jej treść, stanowiły informacje o treści marketingowej. Choć pojęcie marketingu bezpośredniego nie jest wprost zdefiniowane w przepisach o ochronie danych osobowych, to w ocenie PUODO marketing bezpośredni należy rozumieć jako ogół działań administratora danych, który poprzez przekazywanie informacji do indywidualnych podmiotów, ma na celu wywołanie reakcji ze strony osoby, której dane dotyczą. Wobec powyższego, wysłanie przez Izbę do uczestnika ww. wiadomości e-mail miało służyć promowaniu jej działań (związanych z organizacją Programu) oraz wizerunku. Promowanie wizerunku Izby odbywało się w tym przypadku poprzez wywoływanie pozytywnej reakcji po stronie potencjalnych zainteresowanych Programem przedsiębiorców, w tym uczestnika, wywołanej korzyściami związanymi ze skorzystaniem z Programu. Ponadto Izba stwierdzając, że działania podejmowane wobec uczestnika nie miały charakteru marketingu bezpośredniego przeczy własnemu stanowisku w tym zakresie - które zostało przez nią wyrażone w wiadomości e-mail z dnia [...] sierpnia 2023 r., jako odpowiedź na zadane przez uczestnika pytania w wiadomości e-mail z tego samego dnia. W owej wiadomości Izba stwierdziła, że w zakresie danych niezbędnych do przesłania wiadomości e-mail z dnia [...] sierpnia 2023 r. oraz wyłącznie na potrzeby udostępnienia oferty przystąpienia do programu administratorem danych osobowych jest [...] Izba Gospodarcza z siedzibą w [...], podejmująca w tym zakresie działania w zakresie marketingu bezpośredniego, co stanowi prawnie uzasadniony interes administratora (art. 6 ust. 1 lit. f RODO). Z powyższej wiadomości Izby jasno wynika, że jej działania kierowane wobec uczestnika miały charakter marketingu bezpośredniego. Ponadto wiadomość e-mail z dnia [...] sierpnia 2023 r. - ze względu na chęć wywołania pożądanej przez Izbę reakcji podmiotu danych, w tym przypadku uczestnika, a także promocję czy umocnienie wizerunku Izby - stanowiła informacje handlowe w rozumieniu u.ś.u.d.e. ustawy o świadczeniu usług drogą elektroniczną (wbrew twierdzeniom Izby).
Dalej PUODO wskazał, że dane uczestnika, w zakresie imienia, nazwiska oraz adresu e-mail, Izba pozyskała i przetworzyła - jak wskazała - w celu przesłania mu informacji dotyczącej Programu, kierując się - jej zdaniem - swoim prawnie uzasadnionym interesem (art. 6 ust. 1 lit. f RODO), na co wskazywała również w korespondencji e-mail oraz tradycyjnej prowadzonej z uczestnikiem. Prawnie uzasadnionym interesem Izby była w tym przypadku - według niej - realizacja jej zadań jako izby gospodarczej.
PUODO przytoczył treść art. 6 ust. 1 RODO i wyjaśnił, że kwestię warunków prowadzenia marketingu bezpośredniego przy wykorzystaniu połączeń i wiadomości telefonicznych oraz przy wykorzystaniu poczty elektronicznej regulują także ustawa – Prawo telekomunikacyjne (art. 172 ust. 1) oraz u.ś.u.d.e. (art. 10 ust. 1 i 2). Przepisy te uzależniają możliwość zgodnego z prawem prowadzenia marketingu bezpośredniego oraz przesyłania informacji handlowej dodatkowo od uzyskania odpowiednich zgód w tym zakresie. Z zebranego w sprawie materiału dowodowego wynika, że uczestnik nie wyraził zgody na przetwarzanie jego danych w celach marketingowych (art. 6 ust. 1 lit. a RODO), tak jak zgody, o której mowa w art. 172 oraz art. 10 ww. ustaw, na prowadzenie marketingu w takiej formie.
PUODO wyjaśnił dalej, że przetwarzanie danych do celów marketingowych może odbywać się nie tylko na podstawie zgody podmiotu danych. RODO w motywie 47 dopuszcza także możliwość prowadzenia marketingu bezpośredniego na podstawie prawnie uzasadnionych interesów administratora. Aby jednak wskazane przetwarzanie było dopuszczalne na podstawie art. 6 ust. 1 lit. f RODO interesy administratora danych muszą być nadrzędne wobec praw i wolności osób, których dane dotyczą. W ocenie organu, w tej sprawie, nie było jednak podstaw aby uczestnik mógł spodziewać się zarówno pozyskania, jak i przetwarzania jego danych osobowych dla celów marketingu bezpośredniego. Nie zachodziło bowiem żadne powiązanie pomiędzy uczestnikiem a Izbą. Izba nie miała podstaw do pozyskania oraz następczo przetwarzania danych osobowych uczestnika do ww. celów. Takie działanie Izby narusza interesy uczestnika z uwagi na fakt, że nie mógł on spodziewać się przetwarzania, a w konsekwencji ograniczona została możliwość realizacji jego praw, w tym między innymi podjęcia czynności zmierzających do wstrzymania przetwarzania przez administratora. Organ podał, że Izba reprezentuje interesy gospodarcze zrzeszonych w niej przedsiębiorców (art. 2 ustawy o izbach gospodarczych oraz § 7 pkt 1 lit. a Statutu). Wobec powyższego, nie sposób przyjąć, aby wypełnianie swoich zadań przez Izbę, w tym przypadku wysłanie na adres e-mail uczestnika wiadomości zachęcającej do wzięcia udziału w Programie, prowadzone było w oderwaniu od sfery działalności gospodarczej. To, że Izba nie pobiera od zainteresowanych Programem przedsiębiorców opłat oraz nie zawiera samodzielnie umów, których przedmiotem jest sprzedaż energii elektrycznej, nie jest równoznaczne z tym, iż nie działa ona w sferze gospodarczej, bowiem działa w interesie przedsiębiorców, działających w owej sferze. Zdaniem PUODO, Izba nie działa w charakterze przedsiębiorcy w rozumieniu art. 4 ust. 1 ustawy Prawo przedsiębiorców, aczkolwiek działa w interesie przedsiębiorców, co wynika z jej zadań statutowych. Stąd, wysłanie na adres e-mail uczestnika wiadomości zachęcającej do wzięcia udziału w Programie, było działaniem w ramach zadań Izby, na korzyść zrzeszonych w niej przedsiębiorców. W związku z tym, że Izba, wysyłając wiadomość e-mail z dnia [...] sierpnia 2023 r., reprezentowała interesy zrzeszonych w niej przedsiębiorców (wykonujących działalność gospodarczą), zaś pomiędzy Izbą a uczestnikiem nie zachodziło żadne powiązanie, w tym nie łączyła ich żadna umowa, zatem uczestnik nie mógł spodziewać się przetwarzania jego danych. PUODO uznał interesy uczestnika za nadrzędne wobec interesu administratora, tj. Izby.
Następnie PUODO przytoczył treść art. 21 ust. 1,2 i 3 RODO oraz art. 17 ust. 1 lit. c RODO i wskazał, że uczestnik skorzystał z przysługujących mu praw w zakresie ochrony danych osobowych i w dniu [...] sierpnia 2023 r. wysłał do Izby wiadomość e-mail, w której wniósł sprzeciw wobec przetwarzania jego danych w celach marketingowych, bowiem zażądał zaprzestania przetwarzania jego danych osobowych, a także zażądał ich trwałego usunięcia. W związku z tym, że żądanie usunięcia danych wyrażone przez uczestnika niejako konsumuje wyrażony przez niego sprzeciw Prezes UODO uznał, że żądanie uczestnika dotyczyło w rzeczywistości usunięcia danych. Zdaniem PUODO, w związku z żądaniem uczestnika Izba powinna zaprzestać przetwarzania jego danych w ww. celach i usunąć dane. Izba pomimo żądania usunięcia danych nadal je przetwarzała w celach marketingowych, bowiem w dniach [...] grudnia 2023 r. oraz [...] grudnia 2023 r. przesłała kolejne wiadomości e-mail do uczestnika. Pomimo zapewnień Izby w wiadomości z dnia [...] grudnia 2023 r., Izba w dniu [...] stycznia 2024 r. ponownie przesłała do uczestnika wiadomość. Działanie Izby doprowadziło do sytuacji, w której uczestnik, pomimo informacji o uwzględnieniu jego żądania, doświadczył kwestionowanego przez siebie procesu przetwarzania swoich danych osobowych, co skutkowało wniesieniem przez niego skargi do Prezesa UODO. Aktualnie Izba nie przetwarza danych osobowych uczestnika w celach marketingowych. Zdaniem PUODO Izba przetwarzając dane osobowe uczestnika w celach marketingowych, pomimo wyrażonego żądania usunięcia danych osobowych naruszyła art. 6 ust. 1 w zw. z art. 17 ust. 1 lit. c RODO.
W ocenie organu skarżący naruszył również art. 12 ust. 1 i 2 w zw. z art. 17 ust. 1 lit. c RODO bowiem informacje, które przekazał uczestnikowi okazały się nieprawdziwe, skoro jego dane dalej były przetwarzane w celach marketingowych. Dodatkowo, przekazując mu owe informacje Izba nie tylko nie ułatwiła, ale wręcz utrudniła mu realizację jego praw, zmuszając go do podejmowania kolejnych czynności celem ich realizacji. W tej sytuacji osoba, której dane dotyczą, może żądać od administratora usunięcia danych osobowych, a administrator powinien niezwłocznie to żądanie spełnić i o tym fakcie poinformować osobę, której dane dotyczą. Izba była zobowiązana na podstawie art. 12 RODO do prowadzenia przejrzystej, jasnej konwersacji z uczestnikiem w zakresie praw przysługujących mu na mocy art. 15-22. W ocenie organu, Izba nie wykonała ciążącego na niej obowiązku.
Nadto, Izba nie odpowiedziała na żądanie usunięcia danych uczestnika wystosowane pierwotnie w dniu [...] sierpnia 2023 r. Izba odpowiedziała dopiero na pismo z dnia [...] grudnia 2023 r. w dniu [...] grudnia 2023 r. Izba nie odpowiadając na żądanie zawarte w wiadomości e-mail z dnia [...] sierpnia 2023 r. naruszyła zatem art. 12 ust. 3 i 4 w zw. z art. 17 ust. 1 lit. c RODO.
PUODO wskazał również, że aktualny proces przetwarzania przez Izbę danych osobowych uczestnika nie znajduje prawnego uzasadnienia w przepisach RODO. Z zebranego w sprawie materiału dowodowego wynika, że co prawda uczestnik wniósł do skarżącego o zapłatę zadośćuczynienia za wyrządzoną mu krzywdę, aczkolwiek od dnia, w którym Izba otrzymała owe pismo do złożenia przez Izbę wyjaśnień w niniejszej sprawie ([...] lipca 2023 r.) upłynęło ponad 6 miesięcy. W złożonych przez Izbę wyjaśnieniach nie podnosiła ona, aby uczestnik w tym czasie dokonał dalszych czynności związanych z jego żądaniem zapłaty zadośćuczynienia (np. skierował sprawę w tym zakresie do sądu). W ocenie PUODO brak jest po stronie Izby przesłanek do przetwarzania danych osobowych uczestnika na podstawie art. 6 ust. 1 lit. f RODO. Nie jest dopuszczalne przetwarzanie danych osobowych niejako "na zapas" aby zabezpieczyć się przed ewentualnymi przyszłymi i niepewnymi roszczeniami. Organ dodał, że w jego ocenie brak jest uzasadnienia dla przyjęcia, iż terminy dotyczące przedawnienia roszczeń wynikających ze stosunków zobowiązaniowych określają jednocześnie ramy czasowe, w których dane osobowe mogą być przetwarzane. Przedawnienie roszczenia nie wywołuje skutków na gruncie ochrony danych osobowych, nie wpływa bowiem na fakt istnienia roszczenia, bądź możliwości wystąpienia do Izby z roszczeniem. Okolicznością usprawiedliwiającą przetwarzanie danych osobowych w celu obrony przed roszczeniem jest sam fakt istnienia konkretnego roszczenia oraz zamiar jego dochodzenia, nie jest nią natomiast zmiana w uprawnieniach procesowych stron postępowania.
Zdaniem organu, powyższe powoduje, że zaistniała podstawa do zastosowania przez organ art. 58 ust. 2 lit. b i c RODO i orzeczenie jak w sentencji decyzji.
Z tym rozstrzygnięciem skarżący nie zgodził się i wywiódł skargę do Wojewódzkiego Sądu Administracyjnego w Warszawie, wnosząc o uchylenie zaskarżonej decyzji, umorzenie postępowania administracyjnego i zasądzenie kosztów postępowania według norm przepisanych.
Zaskarżonej decyzji zarzucono:
1. naruszenie art. 3 ustawy z dnia 6 marca 2018 r. - Prawo przedsiębiorców poprzez jego niewłaściwe zastosowanie, a to przez niezasadne uznanie, że działanie skarżącego, polegające na wystąpieniu do uczestnika z informacjami o prowadzonych naborach mieściło się w definicji działalności gospodarczej, podczas gdy z ustalonego stanu faktycznego wynika, iż takie działanie nie wiązało się z odpłatnością, co wyklucza przyjęcie, że tak prowadzona działalność przez skarżącego ma charakter gospodarczej;
2. naruszenie przepisu art. 10 ust. 1 w zw. z art. 2 pkt 2 u.ś.u.d.e. poprzez jego niewłaściwe zastosowanie, a to przez niezasadne stwierdzenie, że informacja udostępniona przez skarżącego na rzecz uczestnika miała charakter informacji handlowej, mimo że nie służyła ona promowaniu towarów, usług lub wizerunku skarżącego jako przedsiębiorcy,
3. naruszenie przepisu art. 172 ust. 1 ustawy - Prawo telekomunikacyjne w zw. z art. 5 ust. 1 lit. a RODO przez jego niewłaściwe zastosowanie, a to wobec nieuzasadnionego przyjęcia - w konsekwencji wyartykułowanych powyżej naruszeń - że działanie skarżącego w stosunku do uczestnika wymagało dla swojej zgodności z prawem wyrażenia przez uczestnika zgody;
4. naruszenie przepisu art. 17 ust. 1 lit. c RODO w zw. z art. 17 ust. 3 lit. e RODO poprzez jego niewłaściwe zastosowanie, a to z uwagi na niezasadne stwierdzenie, że skarżący nie jest uprawniony do dalszego przechowywania danych uczestnika pomimo niezbędności ich dalszego przetwarzania na potrzeby obrony przed potencjalnymi roszczeniami.
W uzasadnieniu skargi przedstawiono szczegółową argumentację na poparcie stawianych zarzutów.
W odpowiedzi na skargę organ wniósł o jej oddalenie i podtrzymał swoje dotychczasowe stanowisko. PUODO odniósł się do zarzutów skargi, uznając je za pozbawione racji.
Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje:
W pierwszej kolejności należy przypomnieć, że zamknięty katalog przesłanek dopuszczalności przetwarzania danych osobowych określa art. 6 ust. 1 RODO. Stosownie do treści tego przepisu, przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy - i w takim zakresie, w jakim - spełniony jest co najmniej jeden z poniższych warunków:
a) osoba, której dane dotyczą wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów;
b) przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy;
c) przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze;
d) przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej;
e) przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi;
f) przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem.
Akapit pierwszy lit. f nie ma zastosowania do przetwarzania, którego dokonują organy publiczne w ramach realizacji swoich zadań.
W rozpoznawanej sprawie punktem spornym między stronami jest kwalifikacja wiadomości e-mail z dnia [...] sierpnia 2023 r. skierowanej do uczestnika dotyczącej "[...]" – jako działań marketingowych, w tym marketingu bezpośredniego/informacji handlowej w rozumieniu ustawy Prawo telekomunikacyjne oraz u.ś.u.d.e.
W tym kontekście należy odwołać się do definicji pojęcia "marketingu bezpośredniego" zawartej w rekomendacji R (85)20 Komitetu Ministrów dla Państw Członkowskich w sprawie ochrony danych osobowych używanych dla celów marketingu bezpośredniego Rady Europy "Ochrona danych osobowych wykorzystywanych dla potrzeb marketingu bezpośredniego" z dnia 25 października 1985 r. Zgodnie z tą definicją, "marketing bezpośredni" to ogół działań, a także wszelkich dotyczących go usług pomocniczych, umożliwiających oferowanie produktów lub usług bądź przekazywanie innych informacji do grupy ludności - za pośrednictwem poczty, telefonu lub innych bezpośrednich środków - w celach informacyjnych bądź w celu wywołania reakcji ze strony osoby, której dane dotyczą. Zasadność odwołania się do przywołanej definicji dostrzegł też Sąd Ochrony Konkurencji i Konsumentów w wyroku z [...] marca 2014 r., sygn. akt [...] (Lex nr [...]) oraz Sąd Okręgowy w [...] w wyroku z dnia [...] grudnia 2020 r., sygn. akt [...].
W ocenie Sądu, w takim rozumieniu pojęcia marketingu bezpośredniego mieści się przesłanie oferty "[...]". W przesłanej uczestnikowi drogą mailową, wiadomości zamieszczona została oferta służąca promowaniu działań związanych z organizacją ww. Programu oraz wizerunku. Podkreślić trzeba w kontekście tej sprawy, że Izba reprezentuje interesy gospodarcze zrzeszonych w niej przedsiębiorców (art. 2 ustawy o izbach gospodarczych oraz § 7 pkt 1 lit. a Statutu). Słusznie więc przyjął organ, że to, że Izba nie pobiera od zainteresowanych Programem przedsiębiorców opłat oraz nie zawiera samodzielnie umów, których przedmiotem jest sprzedaż energii elektrycznej, nie jest równoznaczne z tym, iż nie działa ona w sferze gospodarczej, bowiem działa w interesie przedsiębiorców, działających w owej sferze. Wbrew twierdzeniom skarżącego, organ wyraźnie wskazał w uzasadnieniu zaskarżonej decyzji, że Izba nie działa w charakterze przedsiębiorcy w rozumieniu art. 4 ust. 1 ustawy Prawo przedsiębiorców, podkreślał jednak, że działa w interesie przedsiębiorców, co wynika z jej zadań statutowych. W ocenie Sądu zupełnie nietrafione jest w świetle przepisów dotyczących ochrony danych osobowych twierdzenie skarżącego, że skoro podejmowanie przez Izbę działań w stosunku do uczestnika nie następowało w ramach prowadzonej przez skarżącego działalności gospodarczej, to nie można przypisać takiemu działaniu charakteru marketingu bezpośredniego. Skarżący, zrzeszający określnych przedsiębiorców, z całą stanowczością prowadził w korespondencji z uczestnikiem chociażby działalność pomocniczą dla zrzeszonych przedsiębiorców umożliwiającą oferowanie produktów lub usług bądź przekazywanie innych informacji w celach informacyjnych bądź w celu wywołania reakcji ze strony osoby, której dane dotyczą. Nawet jeśli przesłany w dniu [...] sierpnia 2023 r. komunikat do uczestnika nie był bezpośrednio powiązany z prowadzeniem działności gospodarczej nadawcy wiadomości (skarżącego) to nie można uznać, iż nie mamy do czynienia z marketingiem bezpośrednim. Bez wątpienia bowiem wiadomość służyć miała promowaniu towarów i usług zrzeszonych w Izbie przedsiębiorców. Przyjęcie stanowiska skarżącego prowadziłoby do ominięcia przepisów o ochronie danych osobowych i pozostawienie uczestnika bez ochrony prawnej z uwagi na formę prawną administratora danych osobowych.
W kontekście powyższego nie sposób nie dostrzec, że sam skarżący w wiadomości e-mail skierowanej do uczestnika w dniu [...] sierpnia 2023 r. stwierdził, że w zakresie danych niezbędnych do przesłania wiadomości e-mail z dnia [...] sierpnia 2023 r. oraz wyłącznie na potrzeby udostępnienia oferty przystąpienia do programu administratorem danych osobowych jest [...] Izba Gospodarcza z siedzibą w [...], podejmująca w tym zakresie działania w zakresie marketingu bezpośredniego, co stanowi prawnie uzasadniony interes administratora (art. 6 ust. 1 lit. f RODO). Dopiero następczo Izba wycofała się z tego stanowiska.
Stwierdzenie, iż przetwarzanie danych osobowych uczestnika odbywało się dla celów marketingu bezpośredniego ma o tyle istotne znaczenie, że zgodnie z art. 6 ust. 1 lit. f RODO, przetwarzanie jest zgodne z prawem, gdy jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem. W świetle natomiast motywu 47 zd. 6 RODO, za działanie wykonywane w prawnie uzasadnionym interesie można uznać przetwarzanie danych osobowych do celów marketingu bezpośredniego. Taki prawnie uzasadniony interes może istnieć na przykład, gdy zachodzi istotny i odpowiedni rodzaj powiązania między osobą, której dane dotyczą, a administratorem, na przykład gdy osoba, której dane dotyczą, jest klientem administratora lub działa na jego rzecz. Jednakże aby stwierdzić istnienie prawnie uzasadnionego interesu, należałoby w każdym przypadku przeprowadzić dokładną ocenę, w tym ocenę tego, czy w czasie i w kontekście, w którym zbierane są dane osobowe, osoba, której dane dotyczą, ma rozsądne przesłanki by spodziewać się, że może nastąpić przetwarzanie danych w tym celu (vide motyw 47 zd. 1 - zd. 3 RODO). Takie okoliczności w rozpoznawanej sprawie nie występują, co organ wykazał w uzasadnieniu zaskarżonej decyzji, podnosząc, że między Izbą, a uczestnikiem nie istniały żadne powiązania, nie łączyła tych podmiotów żadna umowa.
Natomiast w świetle dookreślającego i precyzującego przepisy RODO art. 172 ust. 1 ustawy Prawo telekomunikacyjne (w brzmieniu obowiązującym w dniu wydania zaskarżonej decyzji), zakazane jest używanie telekomunikacyjnych urządzeń końcowych i automatycznych systemów wywołujących dla celów marketingu bezpośredniego lub przesyłania niezamówionej informacji handlowej w rozumieniu ustawy z dnia 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną, chyba że abonent lub użytkownik końcowy uprzednio wyraził na to zgodę. Zgodnie zaś z art. 174 powołanej ustawy, do uzyskania zgody abonenta lub użytkownika końcowego stosuje się przepisy o ochronie danych osobowych. Dodatkowo jakkolwiek przesyłanie przez administratora danych w wiadomości e-mail - w celu umożliwienia odbiorcom zapoznania się z Programem i możliwością przystąpienia do niego – może (potencjalnie) stanowić formę uzasadnionego interesu administratora danych na gruncie art. 6 ust. 1 lit. f RODO, to jednak, aby była ona zgodna z prawem, wymaga spełnienia warunku określonego w art. 10 u.ś.u.d.e. (w brzmieniu obowiązującym w dniu wydania zaskarżonej decyzji).
Z kolei wedle motywu 32 zd. 1 RODO, zgoda powinna być wyrażona w drodze jednoznacznej, potwierdzającej czynności, która wyraża odnoszące się do określonej sytuacji dobrowolne, świadome i jednoznaczne przyzwolenie osoby, których dane dotyczą, na przetwarzanie dotyczących jej danych osobowych i która ma na przykład formę pisemnego (w tym elektronicznego) lub ustnego oświadczenia.
Na gruncie przedmiotowej sprawy nie można mówić o zgodzie uczestnika na przetwarzanie jego danych osobowych w omawianym zakresie. Ta okoliczność nie jest sporna w sprawie. Również i Izba przyznała, że zgodą taką nie dysponuje.
Podsumowując, PUODO trafnie stwierdził, że Izba przetwarzała dane osobowe uczestnika bez podstawy prawnej w celach marketingowych, przez co naruszyła art. 6 ust. 1 RODO. Właściwe zatem było skorzystanie z art. 58 ust. 2 lit. c RODO.
W myśl art. 21 ust. 2 RODO, jeżeli dane osobowe są przetwarzane na potrzeby marketingu bezpośredniego, osoba, której dane dotyczą, ma prawo w dowolnym momencie wnieść sprzeciw wobec przetwarzania dotyczących jej danych osobowych na potrzeby takiego marketingu, w tym profilowania, w zakresie, w jakim przetwarzanie jest związane z takim marketingiem bezpośrednim. Jeżeli osoba, której dane dotyczą, wniesie sprzeciw wobec przetwarzania do celów marketingu bezpośredniego, danych osobowych nie wolno już przetwarzać do takich celów (art. 21 ust. 3 RODO). Złożenie sprzeciwu wobec przetwarzania do celów marketingu bezpośredniego oznacza, że administrator danych nie posiada uprawnień do przetwarzania w tym celu danych w żadnej formie, a nie tylko w formie, w której złożony został taki sprzeciw.
Ponadto art. 17 ust. 1 lit. c RODO stanowi, że osoba, której dane dotyczą, ma prawo żądania od administratora niezwłocznego usunięcia dotyczących jej danych osobowych, a administrator ma obowiązek bez zbędnej zwłoki usunąć dane osobowe, m.in. wtedy, gdy osoba, której dane dotyczą, wnosi sprzeciw na mocy art. 21 ust. 1 wobec przetwarzania i nie występują nadrzędne prawnie uzasadnione podstawy przetwarzania lub osoba, której dane dotyczą, wnosi sprzeciw na mocy art. 21 ust. 2 wobec przetwarzania.
Ponadto, w myśl art. 12 ust. 1 RODO administrator podejmuje odpowiednie środki, aby w zwięzłej, przejrzystej, zrozumiałej i łatwo dostępnej formie, jasnym i prostym językiem - w szczególności gdy informacje są kierowane do dziecka - udzielić osobie, której dane dotyczą, wszelkich informacji, o których mowa w art. 13 i 14, oraz prowadzić z nią wszelką komunikację na mocy art. 15-22 i 34 w sprawie przetwarzania. Informacji udziela się na piśmie lub w inny sposób, w tym w stosownych przypadkach - elektronicznie. Jeżeli osoba, której dane dotyczą, tego zażąda, informacji można udzielić ustnie, o ile innymi sposobami potwierdzi się tożsamość osoby, której dane dotyczą. Zgodnie zaś z ust. 2 ww. artykułu administrator ułatwia osobie, której dane dotyczą, wykonanie praw przysługujących jej na mocy art. 15-22. W myśl art. 12 ust. 3 RODO, administrator bez zbędnej zwłoki - a w każdym razie w terminie miesiąca od otrzymania żądania - udziela osobie, której dane dotyczą, informacji o działaniach podjętych w związku z żądaniem na podstawie art. 15-22. W razie potrzeby termin ten można przedłużyć o kolejne dwa miesiące z uwagi na skomplikowany charakter żądania lub liczbę żądań. W terminie miesiąca od otrzymania żądania administrator informuje osobę, której dane dotyczą o takim przedłużeniu terminu, z podaniem przyczyn opóźnienia. Informacji udziela się na piśmie lub w inny sposób, w tym w stosownych przypadkach - elektronicznie.
W tej sprawie prawidłowe są ustalenia organu, że uczestnik już w piśmie z dnia [...] sierpnia 2023 r. złożył sprzeciw wobec przetwarzania jego danych w celach marketingowych, bowiem zażądał zaprzestania przetwarzania jego danych osobowych. Dodatkowo uczestnik zażądał ich trwałego usunięcia. Przy tak sformułowanym żądaniu słuszna była ocena PUODO, że żądanie uczestnika dotyczyło w rzeczywistości usunięcia danych (art. 17 ust. 1 lit. c RODO). Pomimo jasno sformułowanego żądania, Izba pozostała bierna, co skutkowało tym, że uczestnik kierował do skarżącego kolejną korespondencję w dniach: [...] września 2023 r. oraz [...] października 2023 r.. Izba w dalszym ciągu pozostawała bierna w stosunku do żądania uczestnika i dalej przetwarzała jego dane osobowe kierując do niego kolejne wiadomości e-mail w dniach: [...] października 2023r., [...] grudnia 2023 r. i [...] grudnia 2023 r. Brak reakcji ze strony skarżącego spowodowała, że uczestnik w dniu [...] grudnia 2023 r. wystosował pismo na adres siedziby Izby, w którym ponownie wezwał do usunięcia jego danych osobowych i "zaprzestania naruszania dób osobistych". Dopiero w odpowiedzi na to pismo Izba wskazała, że "podejmie działania w celu zaprzestania dalszego kontaktu" z uczestnikiem. Pomimo tego uczestnik w dniu [...] stycznia 2024 r. otrzymał kolejną widomość e-mail od skarżącego.
Wskazane ustalenia faktyczne przesądzają o zasadności wskazania przez PUODO naruszenia przez skarżącego art. 6 ust. 1 w związku z art. 17 ust. 1 lit. c RODO, art. 12 ust. 1 i 2 w zw. z art. 17 ust. 1 lit. c RODO oraz art. 12 ust. 3 i 4 w zw. z art. 17 ust. 1 lit. c RODO. Właściwe zatem było nałożenie na Izbę kary upomnienia na podstawie art. 58 ust. 2 lit. b RODO, która jest karą najłagodniejszą. Organ pomimo tego, że nie poświęcił więcej uwagi w uzasadnieniu decyzji wyjaśnieniu proporcjonalności zastosowanego środka do stwierdzonej nieprawidłowości w przetwarzaniu danych osobowych nie przekroczył zasad proporcjonalności. Zdaniem Sądu zastosowany środek jest adekwatny do stwierdzonego w decyzji naruszenia RODO. Waga stwierdzonego naruszenia i jego charakter dawały podstawę do zastosowania upomnienia.
Odnosząc się do kwestii uprawnienia skarżącego do dalszego przetwarzania danych osobowych uczestnika na potrzeby obrony przed potencjalnymi roszczeniami, wskazać trzeba, że w orzecznictwie sądów administracyjnych w odniesieniu do przesłanki analogicznej do art. 6 ust. 1 lit. f RODO wynikającej z art. 23 ust. 1 pkt 5 uprzednio obowiązującej ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. 2016 r. poz. 922 ze zm.) wypracowane zostało stanowisko, że przetwarzanie danych winno być niezbędne dla wypełnienia prawnie usprawiedliwionych celów. Niedopuszczalne jest więc przetwarzanie danych osobowych niejako "na zapas" z założeniem, że mogą być one ewentualnie przydatne w przyszłości oraz z odwołaniem się przy tym do przepisów dotyczących przedawnienia roszczeń cywilnoprawnych.
Z kolei w doktrynie przyjmuje się, że dla możliwości oparcia przetwarzania danych osobowych na przepisie art. 6 ust. 1 lit. f RODO konieczne jest, by przetwarzanie było niezbędne dla realizacji prawnie uzasadnionych interesów. Nie wystarczy zatem samo ich występowanie, lecz dodatkowo urzeczywistnienie takich interesów musi wymagać przetwarzania danych osobowych (por. D. Lubasz i W. Chomiczewski /w:/ E. Bielak-Jomaa (red.), D. Lubasz (red.), RODO. Ogólne rozporządzenie o ochronie danych. Komentarz, WKP 2018). Pojęcie niezbędności należy rozumieć w ten sposób, że przetwarzanie danych dla realizacji prawnie uzasadnionego interesu administratora lub strony trzeciej musi być, rozsądnie oceniając, potrzebne. Musi w tym przypadku występować bezpośredni związek pomiędzy realizacją prawnie uzasadnionego interesu a potrzebą przetwarzania danych osobowych.
W tej sprawie nie budzi wątpliwości, że na etapie postępowania przed PUODO, jak i obecnie nie toczyły się żadne postępowania cywilne czy karne, których uczestnik oraz skarżący byliby stronami. W ocenie Sądu dane osobowe uczestnika, gdyby były niezbędne Izbie do realizacji wskazanego przez nią celu, to wówczas zostałyby w tym celu wykorzystane, a nie gromadzone na zapas i nie byłoby to uzależnione od wystąpienia zdarzenia przyszłego i niepewnego. Trafnie więc PUODO argumentuje, że Izba w toku postępowania przed organem nie wykazała niezbędności przetwarzania danych osobowych uczestnika w celu ustalenia dochodzenia lub obrony roszczeń, a przedstawiła wyłącznie przypuszczenie, że dane te może zostaną przez nią wykorzystane, jeżeli okażą się konieczne. Izba nie wykazała przy tym wystąpienia samego roszczenia, dla którego dochodzenia, ustalenia czy obrony przetwarzanie miałoby być niezbędne. Przy czym z roszczeniem o zadośćuczynienie, o którym wspominał uczestnik w piśmie z dnia [...] grudnia 2023 r. – pomimo upływu ponad roku – strona nie wystąpiła, a już w piśmie z dnia [...] grudnia 2023 r. Izba odpowiedziała uczestnikowi, iż żądania tego nie uwzględni. Izba wskazała wyłącznie na toczące się już postępowanie przed PUODO, ale nie na roszczenie, z którym wiązałaby niezbędność ich przetwarzania.
Odnosząc się do tego ostatniego aspektu wyjaśnić trzeba, że zupełnie pozbawiony racji jest argument Izby, iż toczące się postępowania przed PUODO stanowi podstawę do legalizacji przetwarzania danych osobowych uczestnika. Gdyby tak było, to absolutnie iluzoryczna byłaby ochrony jakiegokolwiek podmiotu, którego dane osobowe są przetwarzane. Wystarczyłoby bowiem aby taki podmiot wystąpił ze skargą do PUODO, a automatycznie istniałaby podstawa przetwarzania jego danych osobowych. Tymczasem pierwotne źródło naruszenia danych osobowych uczestnika zasadza się na widomości e-mail skierowanej do niego przez Izbę w dniu [...] sierpnia 2023 r.
Z tych wszystkich względów Sąd uznał, że zaskarżona decyzja odpowiada prawu. Sąd nie dopatrzył się żadnego naruszenia przepisów prawa materialnego w stopniu mającym wpływ na wynik sprawy, bądź przepisu postępowania w stopniu mogącym mieć istotny wpływ na rozstrzygnięcie, albo też przepisu prawa dającego podstawę do wznowienia postępowania lub stwierdzenia nieważności. Organ prawidło ustalił stan faktyczny sprawy, w wystarczający sposób zebrał i ocenił materiał dowodowy, a następnie w przekonywujący sposób uzasadnił swoje rozstrzygnięcie. Postępowanie administracyjne zostało przeprowadzone zgodnie z zasadami ogólnymi K.p.a., a w szczególności art. 7, art. 8, art. 11, art. 77, art. 80 i art. 107 § 3 K.p.a., a zaskarżone rozstrzygnięcie zostało oparte na prawidłowej interpretacji norm prawa materialnego.
Z tych wszystkich względów, Wojewódzki Sąd Administracyjny w Warszawie, działając na podstawie art. 151 ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2024 r. poz. 935 ze zm.), oddalił skargę.