II SA/Wa 74/24

II SA/Wa 74/24 - Wyrok WSA w Warszawie
Data orzeczenia
2024-10-18
orzeczenie prawomocne
Data wpływu
2024-01-15
Sąd
Wojewódzki Sąd Administracyjny w Warszawie
Sędziowie
Dorota Kozub-Marciniak /sprawozdawca/
Iwona Maciejuk
Karolina Kisielewicz-Sierakowska /przewodniczący/
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne
Ochrona danych osobowych
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Oddalono skargę
Powołane przepisy
Dz.U. 2024 poz 1267
art. 1§ 1i 2,
Ustawa z dnia 25 lipca 2002 r. Prawo o ustroju sądów administracyjnych (t.j.)
Dz.U. 2024 poz 935
art. 134 § 1, art. 151
Ustawa z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (t. j.)
Dz.U. 2024 poz 572
art. 105 § 1
Ustawa z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (t.j.)
Sentencja
Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Karolina Kisielewicz-Sierakowska, Sędzia WSA Iwona Maciejuk, Asesor WSA Dorota Kozub-Marciniak (spr.), Protokolant starszy referent Agnieszka Fidor po rozpoznaniu na rozprawie w dniu 18 października 2024 r. sprawy ze skargi A.S. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] listopada 2023 r. nr [...] w przedmiocie umorzenia postępowania oddala skargę
Uzasadnienie
A. S. (dalej, jako: skarżący) wniósł do Wojewódzkiego Sądu Administracyjnego w Warszawie skargę na decyzję Prezesa Urzędu Ochrony Danych osobowych (dalej, jako: organ lub Prezes UODO) z dnia [...] listopada 2023 r. umarzającą postępowanie administracyjne w sprawie skargi A. S. na nieprawidłowości w procesie przetwarzania jego danych osobowych przez J. R. prowadzącego działalność gospodarczą pod firmą Firma Handlowa "[...]" [...] z siedzibą w [...] (dalej, jako: Przedsiebiorca), polegające na udostępnieniu jego danych podmiotowi nieupoważnionemu.
W uzasadnieniu zaskarżonej decyzji podniesiono, że do organu wpłynęła skarga skarżącego na nieprawidłowości w procesie przetwarzania jego danych osobowych przez Przedsiębiorcę, polegające na udostępnieniu jego danych podmiotowi nieupoważnionemu. W treści ww. skargi skarżący podniósł, iż zakupił u Przedsiębiorcy pralkę, która w trakcie użytkowania ujawniła wadę. Po wykryciu tejże wady skarżący, jak wskazał, pierwotnie zgłosił reklamację do Przedsiębiorcy na podstawie gwarancji, a ten poinformował go o konieczności złożenia reklamacji na tej podstawie bezpośrednio do producenta, co też uczynił. Dalej skarżący poinformował, że zdecydował się jednak skorzystać z rękojmi, w związku z czym wystosował pismo do producenta o anulowanie złożonej reklamacji i w dniu [...] grudnia 2021 r. zgłosił Przedsiębiorcy reklamację z tytułu rękojmi. Skarżący podkreślił przy tym, iż wystosował do Przedsiębiorcy prośbę o kontakt w formie pisemnej na wskazany ww. adres i nie wyraził zgody na udostępnianie jego numeru telefonu. Pomimo tego Przedsiębiorca udostępnił jego dane Centrum Serwisowemu [...] w zakresie imienia, nazwiska, adresu i numeru telefonu.
W ocenie skarżącego, sprzedawca był obowiązany do wymiany sprzętu na nowy i nie wymagało to ingerencji podmiotów trzecich udostępniania danych ani wydania opinii specjalistów z serwisu producenta. Skarżący podkreślił, że Przedsiębiorca pomimo naruszenia ochrony danych osobowych poprzez udostępnienie bez jego zgody podmiotowi trzeciemu imienia, nazwiska, adresu zamieszkania i numeru telefonu skarżącego, nie powiadomił skarżącego o zaistniałym naruszeniu, nie powiadomił również Urzędu Ochrony Danych Osobowych. Dopiero po skontaktowaniu się ze skarżącym przez Centrum Serwisowe [...], skarżący dowiedział się, że jego dane zostały udostępnione. Pomimo licznych powiadomień Przedsiębiorcy o zaistniałej sytuacji, ten nie uczynił nic, aby zminimalizować ryzyko udostępnienia danych osobowych skarżącego.
Dalej organ podał, że ustalił następujący stan faktyczny sprawy.
Dane osobowe skarżącego zostały pozyskane przez Przedsiębiorcę w dniu [...] grudnia 2021 r. w związku ze zgłoszeniem przez skarżącego reklamacji w następującym zakresie: imię, nazwisko, adres, numer telefonu, bezpośrednio od skarżącego.
Dane osobowe skarżącego były przetwarzane przez Przedsiębiorcę w związku ze zgłoszeniem przez skarżącego wady zakupionego towaru i realizacją złożonej przez niego reklamacji. Dane osobowe skarżącego były wykorzystane wyłącznie w celu wyjaśnienia i rozpatrzenia zgłoszonych przez niego reklamacji. Nie zostały one wykorzystane do żadnych innych celów.
Jak oświadczył Przedsiębiorca w toku postępowania cyt.: "(...) nie miała miejsca sytuacja polegająca na udostępnieniu danych osobowych podmiotowi nieupoważnionemu. (...) zgodnie z procedurami przyjętymi w sklepie, zgłoszenie reklamacji, czy to z tytułu rękojmi, czy też gwarancji, wymaga podania danych osobowych wraz z numerem telefonu Klienta. Wówczas sprzedający kieruje sprawę do autoryzowanego serwisu producenta towaru, w celu weryfikacji zasadności reklamacji, w szczególności zbadania, czy towar faktycznie posiada wadę, a jeśli tak, to czy nie przyczynił się do jej powstania Kupujący. Następnie, w zależności od tego, czy mamy do czynienia ze zgłoszeniem w ramach rękojmi, czy też gwarancji, podejmowane są dalsze kroki. Zgłoszenia bez wskazania numeru telefonu Kupującego są automatycznie odrzucane. Dana ta służy m. in. do umówienia terminu odbioru zakupionego sprzętu w celu jego zbadania lub ustalenia terminu zbadania sprzętu na miejscu u Klienta, co jest najbardziej efektywną formą kontaktu w tego typu przypadkach. (...) Sprzedający bada zareklamowany sprzęt, zawsze przez autoryzowany serwis, który dysponuje osobami posiadającymi profesjonalną i dedykowaną badanemu sprzętowi wiedzą (...)".
Jak ponadto oświadczył Przedsiębiorca w toku postępowania cyt.: "(...) Informacja o przetwarzaniu danych osobowych do ww. celów zawarta jest w Klauzuli informacyjnej, która znajduje się w sklepie, w widocznym dla Klientów miejscu. Zgodnie z punktem 4 lit. c Klauzuli: "Dostęp do Pana/Pani danych osobowych mogą mieć następujący odbiorcy danych: nasi upoważnieni pracownicy, podmioty do otrzymania danych osobowych na podstawie przepisów prawa, dostawcy usług zaopatrujących Administratora w rozwiązania techniczne, organizacyjne oraz związane z zarządzaniem naszej firmy [w szczególności firmy kurierskie i pocztowe, transportowe, autoryzowane serwisy producentów] (...)".
Przedsiębiorca w toku postępowania oświadczył dodatkowo cyt.: "(...) W momencie, kiedy do Sprzedającego dotarta informacja, że Skarżący nie zgadza się na przekazanie jego numeru telefonu serwisowi, Sprzedający odmówił podania go serwisowi, co spowodowało anulowanie zgłoszonej reklamacji. Do dnia dzisiejszego reklamacja nie została rozpatrzona (...)".
Prezes UODO wskazał, że jak wynika z Bazy Przedsiębiorców Centralnej Ewidencji i Informacji o Działalności Gospodarczej Rzeczypospolitej Polskiej (CEIDG), Przedsiębiorca został z niej wykreślony w dniu [...] stycznia 2023 r. -[...].
Dalej Prezes UODO przytoczył treść art. 57 ust. 1 lit. a oraz art. 58 ust. 2 lit. a do j rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 4.05.2016, str. 1, Dz. Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35), zwanego dalej RODO oraz art. 1 ust. 2 pkt 5 i art. 60 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781). Organ przytoczył przesłanki legalizujące przetwarzanie danych osobowych wskazane w art. 6 ust. 1 RODO i dodał, że Prezes UODO wydając decyzję administracyjną zobowiązany jest do rozstrzygania w oparciu o stan faktyczny istniejący w chwili wydania tej decyzji.
Mając powyższe na względzie organ podniósł, że z materiału dowodowego sprawy wynika, iż Przedsiębiorca przetwarzał dane osobowe skarżącego w celu wykonania zawartej z nim umowy polegającej na sprzedaży pralki (art. 6 ust. 1 lit. b RODO), jak również w celu rozpatrzenia zgłoszonej przez skarżącego reklamacji dotyczącej wady zakupionego ww. towaru wobec spoczywającej na nim jako sprzedawcy odpowiedzialności względem skarżącego z tytułu rękojmi, co było działaniem niezbędnym do wykonania obowiązku prawnego (art. 6 ust. 1 lit. c RODO). Zgodnie bowiem z art. 556 ustawy z dnia 23 kwietnia 1964 r. Kodeks cywilny (Dz. U. z 2023 r. poz. 1610 ze zm.), sprzedawca jest odpowiedzialny względem kupującego, jeżeli rzecz sprzedana ma wadę (rękojmia). Kwestionowane zaś udostępnienie danych skarżącego przez Przedsiębiorcę na rzecz autoryzowanego serwisu było działaniem koniecznym do weryfikacji zasadności złożonej reklamacji, w szczególności zbadania, czy towar faktycznie posiada wadę, a co za tym idzie działaniem niezbędnym dla realizacji jego prawnie uzasadnionego interesu przejawiającego się w ustaleniu odpowiedzialności z tytułu rękojmi (art. 6 ust. 1 lit. f RODO).
Ponadto, jak podał organ, z materiału dowodowego sprawy wynika, iż Przedsiębiorca aktualnie już nie istnieje, gdyż został wykreślony z CEIDG. Powyższe oznacza tym samym, iż brak jest możliwości wydania wobec niego jakiejkolwiek decyzji merytorycznej w przedmiocie ewentualnego naruszenia przepisów RODO w procesie przetwarzania danych osobowych skarżącego, co powoduje, iż dalsze prowadzenie postępowania w zakresie przetwarzania danych osobowych skarżącego przez Przedsiębiorcę, ukierunkowanego na ewentualne skorzystanie przez Prezesa UODO z uprawnień naprawczych przewidzianych w art. 58 ust. 2 RODO, jest bezprzedmiotowe w rozumieniu art. 105 § 1 K.p.a. W tej sytuacji postępowanie w tym zakresie podlega umorzeniu na podstawie art. 105 § 1 K.p.a. wobec jego bezprzedmiotowości.
Z tym rozstrzygnięciem skarżący nie zgodził się i wywiódł skargę do Wojewódzkiego Sądu Administracyjnego w Warszawie.
Zaskarżonej decyzji zarzucono:
naruszenie norm prawa materialnego, a to art.:
a. 6 ust. 1 lit a RODO poprzez jego błędne zastosowanie w odniesieniu do numeru telefonu skarżącego, podczas gdy skarżący nigdy nie podawał go administratorowi tj. Przedsiębiorcy, ani też nie wypełniał dla administratora żadnych formularzy zawierających numer telefonu, a sam administrator pozyskał numer telefonu skarżącego w sposób nieformalny, bez jego zgody i bez takowej go przetworzył, a organ a priori wysnuł okoliczność, iż takowy numer został podarty przez skarżącego dobrowolnie, co nie miało miejsca;
b. art. 431 i art. 439 § 1 Kodeksu cywilnego (Dz.U. z 2023 r. poz. 1610 dalej jako: kc) w zw. z art. 25 i 26 ustawy Prawo przedsiębiorców (Dz.U. z 2023 r. poz. 221) poprzez ich błędną interpretacją polegającą na przyjęciu, iż koniec prowadzenia działalności gospodarczej stanowi o zakończeniu wszelkiej odpowiedzialności za naruszenie prawa dotyczących danych osobowych, podczas gdy firma osoby fizycznej ma charakter niezbywalny, a fakt zaprzestanie prowadzenia działalności gospodarczej pozostaje bez wpływu na odpowiedzialność przedsiębiorcy za naruszenia praw dotyczących danych osobowych i innych, jakich dopuścił się w trakcie prowadzenia działalności gospodarczej oraz pozostaje bez wpływu z perspektywy roszczeń osób trzecich;
naruszenie norm prawa procesowego, a to:
a. art. 7 K.p.a. w zw. z art. 77 ust. 1 zd. 1 K.p.a. poprzez jego niezastosowanie oraz bezkrytyczne przyjęcie przy rozpoznaniu sprawy przez organ, iż administrator danych odebrał przy zawieraniu umowy sprzedaży ze skarżącym dane takie jak numer telefonu, podczas gdy nie istniały w tej materii żadne procedury administratora, a sam numer telefonu był bezprzedmiotowy do wykonania umowy sprzedaży, gdyż skarżący dokonał zgłoszenia z tytułu rękojmi, z pominięciem producenta, a numer telefonu skarżącego administrator pozyskał w sposób nieformalny, nieprzewidziany prawem i nie był on konieczny dla rozpatrzenia roszczeń skarżącego;
b. art. 7 w zw. z art. 77 ust. 1 K.p.a. poprzez brak ich zastosowania oraz przyjęcie bezkrytyczne przez organ, że informacja/procedura uzasadniająca pobranie numeru telefonu od skarżącego obowiązuje i jest widoczna w sklepie administratora, podczas gdy skarżący dokonał zakupu drogą elektroniczną (strona administratora), gdzie zautomatyzowany sposób dokonywania zakupów nie wymaga dla swojej skuteczności podania numeru telefonu, a którą to okoliczność całkowicie pominął organ rozpoznając sprawę;
c. art. 80 K.p.a. poprzez jego błędne zastosowanie oraz przyjęcie przez organ, bez przeprowadzenia stosownego postępowania dowodowego, jako udowodnionych okoliczności, iż rzekomo skarżący podał administratorowi numer telefonu, numer telefonu został pobrany od skarżącego zgodnie z procedurami administratora, numer telefonu był niezbędny do wykonania umowy sprzedaży
podczas gdy okoliczności te organ przyjął bezkrytycznie w ślad za gołosłownymi twierdzeniami administratora, bez weryfikacji dowodów na powyższe okoliczności;
d. art. 107 § 1 pkt 6 K.p.a. poprzez brak uzasadnienia zaskarżonej decyzji pozwalającej budowanie zaufania organów władzy publicznej do obywatela oraz brak oparcia okoliczności rozstrzygnięcia na właściwych podstawach prawnych (zakończenie działalności = końcowi odpowiedzialności przedsiębiorcy).
Mając powyższe na względzie skarżący wniósł o uchylenie zaskarżonej decyzji w całości i w tym zakresie orzeczenie co do istoty sprawy tj. wydanie decyzji w przedmiocie naruszenie przez administratora obowiązków zastosowania środków zabezpieczających przetwarzanie danych przed ich udostępnieniem osobom nieupoważnionym oraz ukarania administratora karą pieniężną; względnie o uchylenie zaskarżonej decyzji i przekazanie sprawy do ponownego rozpoznania. Nadto skarżący wniósł o zasądzenie od organu na jego rzecz kosztów postępowania.
W uzasadnieniu skargi przedstawiono stosowną argumentację na poparcie stawianych zarzutów.
W odpowiedzi na skargę organ wniósł o jej oddalenie i podtrzymał swoje dotychczasowe stanowisko. Organ ustosunkował się do zarzutów skargi i wskazał m.in., że u podstaw rozstrzygnięcia w sprawie legła okoliczność, że Przedsiębiorca aktualnie już nie istnieje, gdyż został wykreślony z CEIDG.
Organ wyjaśnił, że postępowanie zostało wszczęte wobec Przedsiębiorcy jako osoby fizycznej prowadzącej działalność gospodarczą, któremu właśnie z uwagi na przetwarzanie danych osobowych w związku z prowadzoną działalnością gospodarczą przysługiwał status administratora danych osobowych w rozumieniu art. 4 pkt 7 RODO, gdzie "administrator" oznacza osobę fizyczną lub prawną organ publiczny, jednostkę lub inny podmiot, który samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych osobowych. Ponadto z uwagi właśnie na przetwarzanie danych osobowych w związku z prowadzoną działalnością gospodarczą mimo że jest osobą fizyczną przepisy RODO miały w sprawie zastosowanie. W przeciwnym bowiem wypadku w grę wchodziłby art. 2 ust. 2 lit. c RODO, stosownie do którego przepisy RODO nie mają zastosowania do przetwarzania danych osobowych przez osobę fizyczną w ramach czynności o czysto osobistym lub domowym charakterze.
Przedsiębiorca na skutek zaprzestania prowadzenia działalności gospodarczej w dniu [...] grudnia 2022 r. i wykreślenia z CEIDG w dniu [...] stycznia 2023 r. utracił status przedsiębiorcy w rozumieniu art. 4 pkt 1 ustawy z dnia 6 marca 2018 r. Prawo przedsiębiorców, zgodnie z którym przedsiębiorcą jest osoba fizyczna, osoba prawna lub jednostka organizacyjna niebędąca osobą prawną której odrębna ustawa przyznaje zdolność prawną wykonująca działalność gospodarczą. Co za tym idzie, Przedsiębiorca przestał przetwarzać dane osobowe skarżącego w związku z działalnością gospodarczą bo tą zakończył i tym samym utracił status administratora danych osobowych w rozumieniu RODO, czego konsekwencją był brak możliwości wydania wobec niego decyzji na gruncie RODO. Wskutek zmiany stanu faktycznego Przedsiębiorca przestał być administratorem danych podlegającym RODO. Czym innym jest bowiem odpowiedzialność cywilnoprawna, na którą powołuje się skarżący, a czym innym odpowiedzialność na gruncie RODO uzależniona od statusu administratora danych. Zdarzenie polegające na zaprzestaniu prowadzenia działalności przez Przedsiębiorcę i jego wykreślenie z CEIDG zmieniło postępowanie pod względem podmiotowo-przedmiotowym. Skoro bowiem skarga dotyczyła przetwarzania danych przez Przedsiębiorcę jako administratora danych w związku z prowadzoną działalnością gospodarczą, a ten status już mu nie przysługuje i nie przetwarza danych w tych celach, to tym samym doszło do zmiany podmiotowo-przedmiotowej postępowania. Postępowanie stało się tym samym bezprzedmiotowe i musiało ulec umorzeniu. Aktualnie bowiem w grę mogłoby wchodzić przetwarzanie danych przez osobę fizyczną, a takie przetwarzanie nie było przedmiotem zaskarżenia i co za tym idzie wydanie decyzji merytorycznej wobec opisanej zmiany stanu faktycznego byłoby rozstrzyganiem ponad żądanie, którym organ jest związany.
W piśmie procesowym z dnia [...] września 2024 r. skarżący wskazał na brak dokonania przez organ weryfikacji dowodów, które przedstawił w postępowaniu administracyjnym i dołączył te dokumenty. Skarżący dodatkowo odniósł się do stanowiska organ zaprezentowanego w odpowiedzi na skargę, podtrzymując swoje dotychczasowe zarzuty i wnioski.
Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje:
Zgodnie z art. 1 § 1 i § 2 ustawy z dnia 25 lipca 2002 r. - Prawo o ustroju sądów administracyjnych (Dz. U. z 2024 r., poz. 1267) oraz art. 3 § 1 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2024 r., poz. 935, dalej, jako: P.p.s.a.), sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej.
W myśl art. 134 § 1 P.p.s.a., sąd rozstrzyga w granicach danej sprawy nie będąc związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną, z zastrzeżeniem art. 57a. Sąd nie może wydać orzeczenia na niekorzyść skarżącego, chyba że stwierdzi naruszenie prawa skutkujące stwierdzeniem nieważności zaskarżonego aktu lub czynności (§ 2).
Skarga oceniana w świetle powyższych kryteriów nie zasługuje na uwzględnienie, albowiem zaskarżona decyzja Prezesa UODO z dnia [...] listopada 2023 r. nie narusza prawa.
Podstawę umorzenia postępowania administracyjnego stanowi przepis art. 105 § 1 K.p.a., który zezwala organowi administracji publicznej na wydanie decyzji o umorzeniu postępowania, gdy postępowanie to z jakiejkolwiek przyczyny stało się bezprzedmiotowe. Określeniem "postępowanie z jakiejkolwiek przyczyny stało się bezprzedmiotowe" obejmuje się w literaturze sytuacje, gdy żądanie strony jest nieaktualne lub wygasło z mocy prawa (W. Hybiak, Bezprzedmiotowość..., s. 42; tenże, Umorzenie postępowania administracyjnego..., s. 14). O bezprzedmiotowości postępowania w sprawie można zatem mówić, gdy zachodzi brak jego strony lub brak przedmiotu, czyli gdy brak jest podstaw prawnych i faktycznych do rozpatrzenia i rozstrzygnięcia sprawy.
Należy przy tym mieć na uwadze, iż jak podkreśla się w doktrynie, istota bezprzedmiotowości postępowania polega na tym, że "Nastąpiło (...) takie zdarzenie prawne lub faktyczne, które spowodowało, że przestała istnieć ta szczególna relacja między faktem (sytuacją faktyczną danego podmiotu) a prawem (sytuacją prawną danego podmiotu), z którą prawo łączy obowiązek konkretyzacji normy w postaci wydania decyzji administracyjnej" (J. Zimmermann "Ordynacja podatkowa", s. 212 - pogląd powołany w "Komentarzu do Kodeksu postępowania administracyjnego". M. Matan, Cz. Martysz, G. Łaszczyca, do art. 105 k.p.a. kom. Lex 2010). Przy czym decyzja o umorzeniu postępowania nie rozstrzyga o materialnoprawnych uprawnieniach i obowiązkach strony. Wywiera ona inny skutek: przyjmuje, że nie ma przesłanek do merytorycznego orzekania co do istoty sprawy. Skutki tej decyzji mają charakter procesowy. Nie kształtuje się stosunek materialnoprawny.
W rozpoznawanej sprawie u podstaw wydania zaskarżonej decyzji o umorzeniu postępowania legło ustalenie organu, że Przedsiębiorca, któremu skarżący zarzucił niezgodne z prawem przetwarzanie danych osobowych, aktualnie już nie istnieje, gdyż został wykreślony z CEIDG.
W ocenie Sądu, prawidłowe są ustalenia Prezesa UODO, że wykazana okoliczność dawała podstawy do zastosowania art. 105 § 1 K.p.a. i umorzenia postępowania.
Zauważyć bowiem trzeba, że to Przedsiębiorcy, a więc osobie fizycznej prowadzącej działalność gospodarczą, przysługiwał status administratora danych osobowych w rozumieniu art. 4 pkt 7 RODO. Dane osobowe skarżącego były bowiem przetwarzanie w związku z prowadzoną przez Przedsiębiorcę działalnością gospodarczą. Zgodnie z art. 4 ust. 1 ustawy Prawo przedsiębiorców, przedsiębiorcą jest osoba fizyczna, osoba prawna lub jednostka organizacyjna niebędąca osobą prawną, której odrębna ustawa przyznaje zdolność prawną, wykonująca działalność gospodarczą. Prezes UODO prawidłowo zatem zidentyfikował administratora danych osobowych w tej sprawie. Wadliwa jest ocena skarżącego, że administratorem danych osobowych jest w tej sprawie "osoba fizyczna, odpowiedzialna osobiście za wszelkie roszczenia, prawa i obowiązki powstałe w trakcie prowadzenia działalności gospodarczej". Administratorem danych osobowych jest przedsiębiorca i w stosunku do niego jedynie możliwe byłoby zastosowanie przez Prezesa UODO z uprawnień naprawczych przewidzianych w art. 58 ust. 2 RODO. Skoro Przedsiębiorca z uwagi na zakończenie prowadzenia działalności gospodarczej utracił status administratora danych osobowych w rozumieniu RODO, to brak jest obecnie możliwości wydania wobec niego decyzji administracyjnej na gruncie RODO. To z kolei czyni uprawnionym wydanie decyzji umarzającej postępowanie administracyjne na podstawie art. 105 § 1 K.p.a.
Argumentacja skarżącego w omawianym zakresie zasadza się na twierdzeniu, że koniec prowadzenia działalności gospodarczej nie stanowi o zakończeniu wszelkiej odpowiedzialności za naruszenie prawa dotyczących danych osobowych. Zdaniem skarżącego, firma osoby fizycznej ma charakter niezbywalny, a fakt zaprzestanie prowadzenia działalności gospodarczej pozostaje bez wpływu na odpowiedzialność przedsiębiorcy za naruszenia praw dotyczących danych osobowych i innych, jakich dopuścił się w trakcie prowadzenia działalności gospodarczej oraz pozostaje bez wpływu z perspektywy roszczeń osób trzecich.
Wyjaśnienia zatem wymaga, że skarżący błędnie identyfikuje odpowiedzialność przedsiębiorcy jako administratora danych osobowych za naruszenia przepisów o ochronie danych osobowych z odpowiedzialnością cywilnoprawną przedsiębiorcy (także po zakończeniu prowadzenia działalności gospodarczej).
Postępowanie zakończone zaskarżoną decyzją zainicjowane zostało skargą skarżącego, która dotyczyła przetwarzania danych przez Przedsiębiorcę jako administratora danych w związku z prowadzoną działalnością gospodarczą. Słusznie w odpowiedzi na skargę zauważa organ, że zdarzenie polegające na zaprzestaniu prowadzenia działalności przez Przedsiębiorcę i jego wykreślenie z CEIDG zmieniło postępowanie w ten sposób, że brak jest możliwości merytorycznego rozstrzygnięcia sprawy i ewentualnego wydania decyzji w stosunku do Przedsiębiorcy, który utracił przymiot administratora danych osobowych. Innymi słowy – nie istnieje podmiot, w stosunku do którego dopuszczalne byłoby skierowanie decyzji administracyjnej w tej sprawie.
Z tych wszystkich względów Sąd uznał, że zaskarżona decyzja odpowiada prawu. Sąd nie dopatrzył się żadnego naruszenia przepisów prawa materialnego w stopniu mającym wpływ na wynik sprawy, bądź przepisu postępowania w stopniu mogącym mieć istotny wpływ na rozstrzygnięcie, albo też przepisu prawa dającego podstawę do wznowienia postępowania lub stwierdzenia nieważności.
Jedynie marginalnie odnieść należy się do twierdzeń organu zawartych w uzasadnieniu zaskarżonej decyzji odnoście do przesłanek legalizujących przetwarzanie danych osobowych skarżącego przez Przedsiębiorcę. Organ ustalił bowiem, że Przedsiębiorca przetwarzał dane osobowe skarżącego w celu wykonania zawartej z nim umowy polegającej na sprzedaży pralki (art. 6 ust. 1 lit. b RODO), jak również w celu rozpatrzenia zgłoszonej przez skarżącego reklamacji dotyczącej wady zakupionego ww. towaru wobec spoczywającej na nim jako sprzedawcy odpowiedzialności względem skarżącego z tytułu rękojmi, co było działaniem niezbędnym do wykonania obowiązku prawnego (art. 6 ust. 1 lit. c RODO). Z kolei udostępnienie danych skarżącego przez Przedsiębiorcę na rzecz autoryzowanego serwisu było działaniem koniecznym do weryfikacji zasadności złożonej reklamacji, w szczególności zbadania, czy towar faktycznie posiada wadę, a co za tym idzie działaniem niezbędnym dla realizacji jego prawnie uzasadnionego interesu przejawiającego się w ustaleniu odpowiedzialności z tytułu rękojmi (art. 6 ust. 1 lit. f RODO). Ustalenia organu w tym zakresie potwierdza zgromadzony materiał dowodowy. Organ ocenił te kwestie choć wskazać trzeba, że u podstaw zaskarżonego rozstrzygnięcia w sprawie legła w istocie jedynie okoliczność, że Przedsiębiorca aktualnie już nie istnieje, gdyż został wykreślony z CEIDG.
Mając powyższe na uwadze, Wojewódzki Sąd Administracyjny w Warszawie, działając na podstawie art. 151 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi, orzekł jak w sentencji.