II SA/Wa 840/23

II SA/Wa 840/23 - Wyrok WSA w Warszawie
Data orzeczenia
2024-04-22
orzeczenie nieprawomocne
Data wpływu
2023-05-04
Sąd
Wojewódzki Sąd Administracyjny w Warszawie
Sędziowie
Iwona Maciejuk /przewodniczący/
Joanna Kube /sprawozdawca/
Mateusz Rogala
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne
Ochrona danych osobowych
Sygn. powiązane
III OZ 663/23 - Postanowienie NSA z 2024-01-19
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Oddalono skargę
Powołane przepisy
Dz.U. 2023 poz 1634
art. 151
Ustawa z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi - t.j.
Dz.U.UE.L 2016 nr 119 poz 1 art. 4 pkt 8, art. 5 ust. 1 lit. e, art. 6 ust. 1 lit. f
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z  przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE
Sentencja
Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Iwona Maciejuk, Sędzia WSA Joanna Kube (spr.), Asesor WSA Mateusz Rogala, , Protokolant specjalista Joanna Głowala, po rozpoznaniu na rozprawie w dniu 22 kwietnia 2024 r. sprawy ze skarg [...] sp. z o.o. z siedzibą w W. i [...] 1 Funduszu [...] z siedzibą w W. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] lutego 2023 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargi.
Uzasadnienie
Prezes Urzędu Ochrony Danych Osobowych decyzją z dnia [...] lutego 2023 r. nr [...] , na podstawie art. 104 § 1 Kodeksu postępowania administracyjnego (Dz. U. z 2022 r., poz. 2000 z późn. zm.), dalej: "k.p.a.", art. 7 ust. 1 i 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781) oraz art. 57 ust. 1 lit. f, art. 58 ust. 2 lit. d rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 4.05.2016, str. 1, Dz. Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35, dalej: "RODO"), po przeprowadzeniu postępowania administracyjnego w sprawie skargi M. W. na przetwarzanie jego danych osobowych przez [...] sp. z o.o. z siedzibą w W. (obecnie: [...]sp. z o.o. z siedzibą w W.) oraz [...]F. reprezentowany przez [...] T. S.A. z siedzibą w W., stwierdzając naruszenie przez [...]sp. z o.o. z siedzibą w Warszawie oraz [...]F. reprezentowany przez [...] T. S.A. z siedzibą w W. przepisu art.
6 ust. 1 RODO, polegające na przetwarzaniu danych osobowych M. W., bez podstawy prawnej, a w szczególności bez wykazania prawnie uzasadnionego interesu wskazanego w art. 6 ust. 1 lit. f RODO, realizowanego przez administratora tych danych, tj. [...]F. zarządzany przez [...] T. S.A. z siedzibą w W., w imieniu którego i na którego polecenie przedmiotowe dane przetwarza [...]sp. z o.o. - co stanowi naruszenie zasady przetwarzania danych osobowych zgodnie z prawem, o której mowa w art. 5 ust. 1 lit. a RODO, nakazał:
[...]sp. z o.o. z siedzibą w Warszawie, jako podmiotowi przetwarzającemu
w rozumieniu art. 4 pkt 8 RODO, oraz [...]F., jako administratorowi w rozumieniu art. 4 pkt 7 RODO reprezentowanemu przez [...] T. S.A. z siedzibą w Warszawie, dostosowanie operacji przetwarzania do przepisów RODO poprzez zaprzestanie przetwarzania bez podstawy prawnej danych osobowych M. W. w celu dochodzenia od niego roszczeń majątkowych związanych z zawartą przez niego [...] listopada 2012 r. umową z V. S.A. z siedzibą we W., z uwagi na brak prawnie uzasadnionego interesu wskazanego w art. 6 ust. 1 lit. f RODO.
Do Prezesa Urzędu Ochrony Danych Osobowych, (dalej: "Prezes UODO", "organ"), wpłynęła [...] sierpnia 2018 r. skarga M. W. (dalej: "Uczestnik"), dotycząca przetwarzania jego danych osobowych przez [...]sp. z o.o. (wcześniej: [...]sp. z o.o.) z siedzibą w W., (dalej: "Spółka") oraz przez administratora ww. danych, tj. [...]F. (dalej: "Administrator", "Fundusz"), reprezentowany przez [...] T. S.A. z siedzibą
w W. (dalej: "[...]").
Uczestnik wskazał w skardze, że jego dane są przetwarzane bez podstawy prawnej przez Spółkę oraz Administratora, w zakresie: imienia i nazwiska, adresu zamieszkania, numeru telefonu oraz adresu poczty elektronicznej. Wyjaśnił także, że administrator nabył przedawnioną i sporną wierzytelność, przy czym, według niego, wcześniejszy wierzyciel, tj. V. S.A. z siedzibą we W., który przeniósł wierzytelność na Administratora, zaniechał wobec niego windykacji. Podkreślił
w skardze, że domagał się od Spółki wytoczenia powództwa i rozwiązania sporu na drodze sądowej albo zaniechania nawiązywania z nim kontaktu.
Wyjaśnił w skardze, że pomimo składanych przez niego wniosków w wyżej wskazanym przedmiocie, Spółka nawiązywała z nim nadal kontakt, celem wyegzekwowania spornego i przedawnionego długu. Wskazał ponadto, że Spółka nie odpowiadała na jego wiadomości wysłane za pośrednictwem poczty elektronicznej, zaś w trakcie rozmowy telefonicznej z osobą reprezentującą Spółkę, zażądał zaniechania przetwarzania jego danych osobowych i ich usunięcia.
Jak ustalił organ w postepowaniu wyjaśniającym, zakres przetwarzanych przez Spółkę danych osobowych Uczestnika obejmuje: imię, nazwisko, adres korespondencyjny, nr PESEL, numer telefonu, adres poczty elektronicznej, informacje dotyczące podstawy roszczenia w podziale na składniki finansowe, numer umowy oraz datę zawarcia i rozwiązania umowy.
Organ, odwołując się do zebranego w toku postępowania materiału dowodowego, w tym kopii umów przedłożonych przez Spółkę oraz wyjaśnień złożonych przez jego strony, stwierdził, że Administrator miał w określonym czasie podstawę prawną do przetwarzania danych osobowych Uczestnika z tytułu dochodzenia od niego roszczeń tytułem wierzytelności w postaci należności pieniężnej związanej z zawartą przez niego umową z V. S.A. o świadczenie usług, która to wierzytelność następnie została przeniesiona na mocy umowy cesji przez V. S.A. na Administratora i powierzona do egzekucji Spółce. W związku
z powyższym, dane osobowe Uczestnika zostały powierzone do przetwarzania Spółce na mocy umów zawartych przez nią z Administratorem oraz z [...].
Zaznaczył, że prawnie uzasadniony interes w postaci dochodzenia roszczeń od Uczestnika przez Administratora oraz działającą w jego imieniu Spółkę,
w przedmiotowej sprawie nie występuje przez cały okres przetwarzania danych Uczestnika. Tym samym, nie można przyjąć, że na dzień wydania niniejszej decyzji, Administrator oraz Spółka, jako podmiot przetwarzający, nadal mogą przetwarzać dane Uczestnika, w szczególności na podstawie art. 6 ust. 1 lit. f RODO.
Organ stwierdził, że co do zasady dochodzenie roszczeń majątkowych związanych z prowadzeniem działalności gospodarczej stanowi prawnie uzasadniony interes realizowany przez administratora danych osobowych, a w przedmiotowej sprawie w jego imieniu przez podmiot przetwarzający, tj. Spółkę. Jednakże przetwarzanie danych do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratorów danych osobowych nie może być dokonywane w dowolnej sytuacji i w dowolnie określonych przez administratorów celach. Przy przetwarzaniu danych na podstawie art. 6 ust. 1 lit. f RODO należy wziąć pod uwagę okoliczność, czy przetwarzanie takie jest niezbędne i proporcjonalne ze względu na cel określony przez administratora. Ponadto, należy także mieć na względzie prawa
i wolności osób, których dane mają być przetwarzane i ich ewentualną priorytetowość w stosunku do celów administratora. Aby powyższe kwestie rozstrzygnąć, każdy administrator powinien przeprowadzić tzw. test równowagi, którego celem jest uzyskanie bilansu ważenia ww. dóbr leżących zarówno po stronie podmiotu danych, jak i ich administratora.
W przedmiotowej sprawie istotną okolicznością jest fakt, że roszczenia dochodzone przez Spółkę od Uczestnika uległy przedawnieniu [....] października
2016 r., co Spółka sama potwierdziła w swoich wyjaśnieniach skierowanych do Prezesa UODO. Kolejną istotną okolicznością sprawy jest fakt nieuznania przez Uczestnika roszczeń dochodzonych przez Spółkę, co wynika z jego pisma skierowanego do V. S.A. oraz z treści rozmowy telefonicznej z przedstawicielem Spółki, podczas której podniósł on także argument przedawnienia roszczeń z umowy zawartej przez niego z V. S.A. a także wezwał Spółkę do zaprzestania przetwarzania jego danych osobowych. W związku z tym organ uznał, że roszczenie dochodzone przez Spółkę, jest nie tylko przedawnione, ale również sporne. Powyższym ustaleniom Spółka w swoich wyjaśnieniach nie tylko nie zaprzeczyła, ale je potwierdziła.
W ocenie Prezesa UODO, ze względu na fakt braku przymusu państwowego, dochodzenie roszczeń z tzw. zobowiązań naturalnych zasadniczo nie podlega zasadom sankcjonowanym przez państwo, ponieważ zobowiązania te, poza nielicznymi wyjątkami, nie są uregulowane w polskim prawie. W tej sytuacji niemożliwym jest skuteczne żądanie przez wierzyciela spełnienia roszczenia przez dłużnika, a spełnienie roszczenia zależy wyłącznie od woli dłużnika, która
w przedmiotowej sprawie została wyrażona przez Uczestnika.
Wobec powyższego organ zauważył, że roszczenie sporne i przedawnione, tak jak w przedmiotowej sprawie, nie korzysta z waloru arbitralnego i sankcjonowanego prawnie przyznania mu cech słuszności i zasadności, jak ewentualnie mogłoby to nastąpić w orzeczeniu sądu, przez co niemożliwe jest stwierdzenie, czy roszczenie to w istocie rzeczy obiektywnie przysługuje wierzycielowi, czy też nie. Przy czym zaznaczył, że samo subiektywne twierdzenie Administratora, jako wierzyciela, iż roszczenie jest słuszne i zasadne, nie może być wiążące dla organu administracji państwowej, w tym Prezesa UODO, skoro nie jest ono uregulowane przepisami prawa i nie zostało arbitralnie, jednoznacznie i ostatecznie osądzone przez przeznaczony do tego organ państwowy, tj. sąd, czy to powszechny, czy to polubowny, zgodnie z przepisami ustawy z dnia 17 listopada 1964 r. Kodeks postępowania cywilnego (Dz. U. z 2021 r. poz. 1805 z późn. zm.).
W przedmiotowej sprawie nie została również zawarta ugoda, z której treści jasno wynikałyby wzajemne zobowiązania Administratora i Uczestnika.
Zdaniem Prezesa UODO, przedstawiony opis funkcji instytucji przedawnienia
w prawie cywilnym wskazuje, że nieskorzystanie przez wierzyciela z drogi sądowej
w dochodzeniu roszczeń majątkowych pozbawia go możliwości uzyskania arbitralnego i sankcjonowanego przez państwo rozstrzygnięcia sporu oraz możliwości skutecznego domagania się spełnienia świadczenia, ale dodatkowo wskazuje też na lekceważący stosunek wierzyciela, w szczególności gdy prowadzi on działalność gospodarczą, do kwestii dołożenia należytej staranności w kwestii dochodzenia roszczeń, które - w jego ocenie - mu przysługują. Zatem intencjonalna rezygnacja z wytoczenia procesu sądowego oraz założenie wierzyciela, że będzie on dochodzić roszczeń jedynie na drodze pozasądowej, musi mieć swoje konsekwencje nie tylko w sferze cywilnoprawnej, tj. w zakresie skuteczności dochodzenia roszczeń, ale również w sferze przepisów o ochronie danych osobowych.
Nie może bowiem być tak, że świadoma rezygnacja z wytoczenia procesu sądowego, miałaby prowadzić do sytuacji, w której administrator danych, który dochodzi roszczeń w procesie sądowym i którego granice prawnie uzasadnionego interesu wyznaczają terminy przedawnienia roszczeń zawarte w przepisach prawa cywilnego, jest w mniej korzystnej sytuacji prawnej, niż administrator, który intencjonalnie rezygnuje z wytoczenia procesu, np. dla zaoszczędzenia na jego kosztach i nie ograniczają go przy identyfikowaniu swojego prawnie uzasadnionego interesu, stanowiącego uzasadnienie przetwarzania danych, w zasadzie żadne konkretne terminy (np. przedawnienia roszczeń).
Taka właśnie sytuacja potencjalnie miałaby miejsce w przedmiotowej sprawie, o ile uznano by za uzasadnioną argumentację Spółki i Funduszu, że pomimo przedawnienia spornego roszczenia, Administrator, tj. [...]F., oraz działająca w jego imieniu Spółka nadal mają prawo przetwarzać dane Uczestnika, pomimo wniesienia przez niego w tej kwestii sprzeciwu, powołania się na okoliczność przedawnienia oraz złożenia oświadczenia Spółce o nieuznaniu roszczenia co do meritum.
Organ zaznaczył, że każdy administrator danych ma obowiązek dokonywania retencji danych, z określeniem, w miarę możliwości, planowanego terminu usunięcia danych poszczególnych kategorii. Informacje w ww. zakresie powinny być ujęte
m. in. w treści rejestru czynności przetwarzania (art. 30 ust. 1 lit. f RODO). Określanie przez Spółkę terminu usunięcia danych jedynie enigmatycznym stwierdzeniem o chwili ustania prawnie uzasadnionego interesu Administratora, jest zbyt ogólnikowe, niekonkretne i prowadzi do rozmycia istoty prawem określonych obowiązków Administratora, przetwarzającego, między innymi, dane Uczestnika. To z kolei sprzeciwia się zasadzie przejrzystości przetwarzania danych osobowych,
o której mowa w art. 5 ust. 1 lit. a RODO.
W ocenie Prezesa UODO, występowanie prawnej kategorii zobowiązań naturalnych (niezupełnych), nie może być powodem do uznania, że ich dochodzenie w warunkach braku przymusu państwowego i arbitralnej, jednoznacznej oceny mającej ochronę sankcji prawnej, jest równoznaczne z istnieniem prawnie uzasadnionego interesu administratora, który wówczas niemalże dowolnie może określać czas przetwarzania danych. Działanie takie musiałoby być uznane -
w perspektywie obowiązujących przepisów dotyczących ochrony danych - za swego rodzaju obejście prawa.
Organ wskazał, że z motywu 39 preambuły RODO wynika, iż dla przejrzystości przetwarzania danych, musi być przestrzegana zasada czasowego ograniczenia przechowywania danych osobowych. Określenie przez Administratora, tj. [...]F., planowanego terminu usunięcia danych stwierdzeniem "po upływie okresu niezbędnego do wykonywania umowy, wypełniania obowiązków prawnych ciążących na administratorze, zakończenia obsługi wierzytelności, oraz dochodzenia i obrony przed roszczeniami przez okres wynikający z biegu ogólnych terminów przedawnienia roszczeń (6 lat) liczony od zamknięcia sprawy dotyczącej danej wierzytelności" jest nieadekwatne do dochodzenia roszczeń przedawnionych i odnosi się do dochodzenia roszczeń przed sądem, o czym nie może być mowy
w przedmiotowej sprawie.
Tak więc, Prezes UODO przyjął, iż zarówno Administrator, jak i Spółka,
w związku z zawartymi przez nią umowami z [...], nie mieli i nadal nie mają wyznaczonych przejrzystych terminów retencji danych w związku z dochodzeniem roszczeń na drodze pozasądowej. To z kolei oznacza, że Spółka i Administrator nie stosują się do zasady czasowego ograniczenia przetwarzania danych
w dostatecznym stopniu. Przy czym stwierdził, że koncepcja zobowiązań naturalnych, nieuregulowana zasadniczo w polskim prawie, w sytuacji gdy Administrator nie może skutecznie dochodzić od Uczestnika roszczeń z racji braku przymusu państwowego, który taką skuteczność całkowicie determinuje, nie może być argumentem do uznania, że Administrator ma prawo nadal przetwarzać dane Uczestnika.
W ocenie Prezesa UODO, podstawa prawna do przetwarzania danych Uczestnika z racji prawnie uzasadnionego interesu Administratora (art. 6 ust. 1 lit. f RODO), tzn. dochodzenia roszczenia na drodze pozasądowej, z uwagi na brak możliwości jego skutecznego osądzenia oraz wyegzekwowania, nie ma zastosowania do przedmiotowej sprawy od chwili oświadczenia przez Uczestnika Spółce, że roszczenie jest przedawnione i że Uczestnik go nie uznaje, a więc podważa w ogóle jego istnienie. Ww. oświadczenie Uczestnika, przy jednoczesnym wystąpieniu pozostałych ww. okoliczności sprawy, uchyla możliwość powoływania się przez Spółkę i Administratora na prawnie uzasadniony interes. Interes ten musi być realny i mający podstawę w przepisach prawa, podczas gdy dochodzenie roszczenia od Uczestnika bez przymusu państwowego i braku możliwości obiektywnej
i sankcjonowanej prawnie oceny sporu prawnego pomiędzy Uczestnikiem
a Administratorem (Spółką), wyklucza realność uzasadnionego interesu Administratora. Oświadczenie Uczestnika wyraźnie wykluczyło realną możliwość dochodzenia od niego jakichkolwiek roszczeń przez Administratora oraz działającą
w jego imieniu Spółkę. Tym samym kontynuowanie przez Administratora oraz Spółkę, w świetle tego oświadczenia, przetwarzania danych Uczestnika dla celów windykacji należności, stanowiło nadinterpretację pojęcia prawnie uzasadnionego interesu Administratora i instrumentalizację art. 6 ust. 1 lit. f RODO.
Prezes UODO podkreślił, że działania windykacyjne prowadzone przez określonego wierzyciela przed terminem przedawnienia roszczeń, np. zmierzające do ugodowego załatwienia sprawy przed wniesieniem powództwa do sądu,
w przeciwieństwie do takich działań po tym terminie, należy ocenić inaczej, z punktu widzenia ochrony danych osobowych. W pierwszej sytuacji przetwarzanie danych osobowych stanowi niewątpliwie prawnie uzasadniony interes administratora z uwagi na realność uprawnień przysługujących wierzycielowi (administratorowi danych),
a nawet ciążące na nim obowiązki procesowe w postępowaniu przed sądem cywilnym, dotyczące podjęcia próby ugodowego rozwiązania sporu i mające realne znaczenie dla jego sytuacji prawnej w toku postępowania. Natomiast w drugim przypadku, windykacyjne działania pozasądowe podejmowane po przekształceniu się roszczenia w tzw. zobowiązanie naturalne, zasadniczo pozostają w ogóle poza sferą regulowanych przez prawo działań, a więc pozbawionych jakiegokolwiek skutku określonego prawem, także z uwagi na brak przymusu państwowego.
Status prawny tzw. zobowiązania naturalnego, w ocenie Prezesa UODO, nie uzasadnia przyjęcia tezy, iż dochodzenie przez Administratora oraz Spółkę zapłaty poza drogą sądową i bez przymusu państwowego, stanowi bezwzględnie w każdej sytuacji prawnie uzasadniony interes administratora danych osobowych
w rozumieniu art. 6 ust. 1 lit. f RODO, a już tym bardziej wówczas, gdy określony spór prawny, jak w przedmiotowej sprawie, w ogóle nie został poddany postępowaniu sądowemu, a związane z nim roszczenie jest kwestionowane przez Uczestnika. Kwestia zobowiązania naturalnego, jako prawnie uzasadnionego interesu Administratora, na którego istnienie powołuje się w swoich wyjaśnieniach Spółka oraz Administrator, nie może być rozpatrywana bez uwzględnienia realnych uprawnień z nim wiążących się, które przysługują Administratorowi wobec Uczestnika.
Z uwagi na fakt, iż zasadniczo Administratorowi, czy też Spółce nie przysługują jakiekolwiek ww. uprawnienia, mogące prowadzić do domagania się zapłaty przez Uczestnika, sama okoliczność występowania zobowiązania naturalnego, w ocenie Prezesa UODO, jest niewystarczająca do uznania, że zobowiązanie to stanowi prawnie uzasadniony interes w rozumieniu art. 6 ust. 1 lit. f RODO. Powyższe z kolei oznacza, że w przedmiotowej sprawie przepis ten nie stanowi, wbrew twierdzeniu Spółki i Funduszu, podstawy prawnej przetwarzania przez Administratora danych Uczestnika. Jednocześnie organ zwrócił uwagę na okoliczność, że brak prawnie uzasadnionego interesu Administratora, wyklucza "niezbędność" przetwarzania danych Uczestnika, o której mowa w ww. przepisie.
W ocenie Prezesa UODO, Administrator oraz Spółka powinni powstrzymać się od przetwarzania danych osobowych Uczestnika najpóźniej od chwili, w której podczas rozmowy telefonicznej Uczestnika z przedstawicielem Spółki w dniu 31 lipca 2018 r., wniósł on o usunięcie jego danych osobowych, powołując się na przedawnienie długu i w związku z tym bezzasadność przetwarzania jego danych przez Administratora oraz Spółkę. Dalsze przetwarzanie przez Administratora
i Spółkę danych osobowych Uczestnika odbywało się bez podstawy prawnej.
Prezesa UODO zaznaczył, że wyżej poczyniony wywód nie stanowi przejawu wkraczania w sferę sporów z zakresu zobowiązań umownych i przesądzania
o przysługiwaniu roszczeń z tytułu tych zobowiązań. Prezes UODO nie jest uprawniony do rozstrzygania w ww. zakresie, zaś kompetencja taka przysługuje wyłącznie właściwemu sądowi. Wyjaśnił, że uzasadnienie rozstrzygnięcia
w przedmiotowej sprawie odnosi się do istoty prawnej zobowiązań naturalnych i ich znaczenia w obrocie prawnym wyłącznie dla celów i w zakresie, w którym jest to niezbędne dla dokonania oceny, czy mogą one stanowić prawnie uzasadniony interes Administratora w rozumieniu przepisów RODO. Zdaniem organu, nie sposób byłoby ww. oceny dokonać, nie oceniając prawnej istoty tzw. zobowiązania naturalnego, na które powołuje się w swoich wyjaśnieniach Spółka oraz [...].
Zważywszy na okoliczność, iż dane osobowe Uczestnika są przetwarzane
w celu dochodzenia od niego roszczeń majątkowych związanych z zawartą przez niego 13 listopada 2012 r. umową z V. S.A. bez podstawy prawnej, Prezes UODO nakazał zaprzestanie przetwarzania tych danych w ww. celu zarówno Administratorowi, jak i Spółce działającej jako podmiot przetwarzający.
Spółka oraz Administrator zaskarżyły dwiema skargami do Wojewódzkiego Sądu Administracyjnego w Warszawie decyzję Prezesa UODO z dnia [...] lutego
2023 r. nr [....], wnosząc o jej uchylenie oraz o zasądzenie zwrotu kosztów postępowania, w tym kosztów zastępstwa procesowego według norm przepisanych oraz kwoty 68 zł uiszczonej tytułem opłat skarbowych od pełnomocnictwa.
We wniesionych skargach, Spółka oraz Administrator zarzucili zaskarżonej decyzji:
1) naruszenie prawa materialnego, tj. przepisu art. 34 ust. 1 ustawy z 10 maja 2018 r. o ochronie danych osobowych w związku z przepisami art. 51 ust. 1 oraz art. 57 ust. 1 lit. f RODO poprzez ich błędną wykładnię polegającą na uznaniu, że Prezes UODO jest organem właściwym do rozstrzygania zagadnień z zakresu prawa cywilnego,
w szczególności zasadności roszczeń, możliwości dochodzenia wierzytelności spornych, przedawnionych lub nabytych na podstawie umowy cesji wierzytelności, podczas gdy prawidłowa wykładnia tych przepisów wskazuje, że Prezes UODO jest organem właściwym wyłącznie w sprawach ochrony danych osobowych;
2) naruszenie prawa materialnego, tj. przepisu art. 6 ust. 1 RODO w związku
z przepisem art. 58 ust. 2 lit. d RODO poprzez ich błędną wykładnię polegającą na uznaniu, że Spółka, jako podmiot przetwarzający, o którym mowa w przepisie art. 4 pkt 8 RODO, powinna legitymować się podstawą prawną przetwarzania danych osobowych wskazaną w przepisie art. 6 ust. 1 lit. a - f RODO, podczas gdy prawidłowa wykładnia tych przepisów powinna skutkować uznaniem, że wyłączną podstawą prawną przetwarzania danych osobowych przez podmiot przetwarzający (Spółkę) jest umowa powierzenia przetwarzania danych osobowych, o której mowa
w przepisie art. 28 ust. 3 RODO, co doprowadziło do nałożenia na Spółkę niezgodnego z prawem nakazu dostosowania operacji przetwarzania do przepisów RODO poprzez zaprzestanie przetwarzania danych osobowych Uczestnika bez podstawy prawnej, o którym mowa w przepisie art. 58 ust. 2 lit. d RODO;
3) naruszenie prawa materialnego, tj. przepisów art. 5 ust. 1 lit. a i b RODO
w związku z art. 5 ust. 2 RODO poprzez ich niewłaściwe zastosowanie wobec Spółki, jako podmiotu przetwarzającego, i uznanie, że obowiązkiem Spółki, jako podmiotu przetwarzającego, było ograniczenie okresu retencji danych osobowych, podczas gdy adresatem norm wskazanych w tych przepisach jest wyłącznie Administrator,
a nie podmiot przetwarzający (Spółka), który to jest zobowiązany wyłącznie do działania zgodnie z umową powierzenia przetwarzania danych osobowych oraz instrukcjami otrzymanymi od Administratora, tj. [...]F., wyłącznie odpowiedzialnego za przestrzeganie tych zasad;
4) naruszenie prawa materialnego, tj. przepisu art. 5 ust. 1 lit. a RODO poprzez jego niewłaściwą interpretację polegającą na przyjęciu, że przepis ten uniemożliwia powiązanie okresu retencji z prawnie uzasadnionym interesem Administratora, podczas gdy Fundusz, uzależniając okres retencji od swojego prawnie uzasadnionego interesu, wskazał konkretne kryteria ustalania tego okresu, co skutkowało wydaniem przez Prezesa UODO bezzasadnego nakazu dostosowania operacji przetwarzania do przepisów RODO poprzez zaprzestanie przetwarzania bez podstawy prawnej danych osobowych Uczestnika;
5) naruszenie prawa materialnego, tj. przepisu art. 5 ust. 1 lit. b RODO poprzez jego niewłaściwą interpretację polegającą na przyjęciu, że przepis ten ustanawia zasadę czasowego ograniczenia przechowywania, w sytuacji gdy przepis ten ustanawia zasadę ograniczenia celu, a w konsekwencji niezasadnie uznano, że Spółka naruszyła zasadę czasowego ograniczenia przechowywania, co skutkowało wydaniem przez Prezesa UODO bezzasadnego nakazu dostosowania operacji przetwarzania do przepisów RODO poprzez zaprzestanie przetwarzania bez podstawy prawnej danych osobowych Uczestnika;
6) naruszenie prawa materialnego, tj. przepisów art. 58 ust. 2 lit. d RODO w związku z art. 28 ust. 3 RODO poprzez ich błędne zastosowanie polegające na nałożeniu na Spółkę niezgodnego z prawem nakazu dostosowania operacji przetwarzania do przepisów RODO poprzez zaprzestanie przetwarzania danych osobowych Uczestnika bez podstawy prawnej, o którym mowa w przepisie art. 58 ust. 2 lit. d RODO, podczas gdy obowiązek zaprzestania przetwarzania danych osobowych może być nałożony jedynie na Administratora, tj. Fundusz, a przetwarzanie przez podmiot przetwarzający (Spółkę) danych osobowych jest całkowicie uzależnione od instrukcji wydanych podmiotowi przetwarzającemu przez Administratora, co
w konsekwencji doprowadziło do nałożenia na podmiot przetwarzający (Spółkę) obowiązku, który nie został na nią nałożony przez przepisy RODO;
7) naruszenie przepisów postępowania, które miało istotny wpływ na wynik sprawy, tj. przepisów art. 19, art. 20 w związku z art. 6 k.p.a. poprzez orzeczenie w decyzji
o zasadności roszczeń cywilnoprawnych Funduszu wobec Uczestnika,
a w konsekwencji poprzez orzeczenie o obowiązkach cywilnoprawnych Spółki
z naruszeniem przepisów o właściwości rzeczowej Prezesa UODO, tj. przepisu art. 34 ust. 1 ustawy o ochronie danych osobowych w sytuacji, gdy właściwy do rozstrzygnięcia o zasadności roszczeń Funduszu był sąd cywilny;
8) naruszenie przepisów postępowania, które miało istotny wpływ na wynik sprawy, tj. przepisów art. 7 w związku z art. 77 § 1 i art. 80 k.p.a. polegające na dokonaniu dowolnej i nieprawidłowej oceny dowodów, skutkującej błędnym przyjęciem, że Fundusz, od momentu nabycia wierzytelności przysługującej wobec Uczestnika
w drodze "zawarcia umowy cesji wierzytelności", miał zamiar dochodzić wierzytelności, jako wierzytelności nieprzedawnionej, podczas gdy Fundusz nabył wierzytelność wobec Uczestnika już jako wierzytelność przedawnioną, pozbawioną (poza określonymi wyjątkami) ochrony sądowej, co skutkowało wydaniem przez Prezesa UODO bezzasadnego nakazu dostosowania operacji przetwarzania do przepisów RODO poprzez zaprzestanie przetwarzania bez podstawy prawnej danych osobowych Uczestnika;
9) naruszenie przepisów postępowania, które miało istotny wpływ na wynik sprawy, tj. przepisów art. 7 w związku z art. 77 § 1 i art. 80 k.p.a. poprzez dokonanie dowolnej
i nieprawidłowej oceny dowodów, skutkującej błędnym ustaleniem faktycznym, że V. S.A., Fundusz i Spółka przed upływem terminu przedawnienia zrezygnowały
z sądownego dochodzenia roszczenia od Uczestnika, podczas gdy żaden
z dokumentów nie dowodzi, aby V. S.A. zrzekła się roszczenia, z kolei Fundusz nabył wierzytelność przedawnioną i we współpracy ze Spółką aktywnie prowadził polubowne działania windykacyjne, dochodząc wierzytelności przedawnionej, co skutkowało wydaniem przez Prezesa UODO bezzasadnego nakazu dostosowania operacji przetwarzania do przepisów RODO poprzez zaprzestanie przetwarzania bez podstawy prawnej danych osobowych Uczestnika;
10) naruszenie przepisu postępowania, które miało istotny wpływ na wynik sprawy, tj. przepisu art. 107 § 3 k.p.a. polegające na niedostatecznym i niepełnym uzasadnieniu decyzji poprzez brak dokładnego uzasadnienia dlaczego i w jaki sposób Spółka dopuściła się naruszenia zasad wyrażonych w przepisach art. 5 ust. 1 lit. a i b RODO, w sytuacji gdy przepisy te nie mają zastosowania do Spółki, co skutkuje brakiem możliwości kontroli instancyjnej i skutecznego sformułowania zarzutów wobec decyzji.
W uzasadnieniu skarg Spółka i Administrator przedstawili argumentację na poparcie postawionych zarzutów.
W odpowiedzi na skargę na skargę Prezes UODO wniósł o jej oddalenie. Odnosząc się do zarzutów skargi wskazał m.in., iż nie podziela zastrzeżeń
i wątpliwości zawartych w skardze Spółki, dotyczących kwestii sensu rozstrzygnięcia i jego właściwego adresata. Podniósł, że Prezes UODO kieruje decyzję do obu podmiotów przede wszystkim z uwagi na fakt, że są one stronami w sprawie
w rozumieniu art. 28 k.p.a. i działają w ścisłym porozumieniu wynikającym chociażby z zawartych przez nie umów. Dlatego też decyzja jest skierowana, z uwagi na rolę administrowania danymi, wobec Administratora, natomiast do Spółki jedynie w takim zakresie, w którym działa ona co najmniej na rzecz Administratora i wykonuje jego polecenia w związku z powierzeniem przetwarzania danych. Tak więc, Spółka jest adresatem przedmiotowej decyzji nie jako podmiot mający uprawnienia i obowiązki Administratora, ale jako podmiot przetwarzający, działający na jego zlecenie
i wykonujący czynności przetwarzania na jego rzecz, w zakresie określonym (co do sposobu i celu przetwarzania) przez Administratora.
Prezes UODO stwierdził, iż nie naruszył art. 34 ust. 1 ustawy z 10 maja
2018 r. o ochronie danych osobowych w związku z art. 51 ust. 1 oraz art. 57 ust. 1 lit. f RODO z uwagi na fakt, że rozstrzygnięcie zaskarżonej decyzji dotyczy wyłącznie kwestii prawnych związanych z ochroną danych osobowych i w szczególności nie rozstrzyga zagadnień z zakresu prawa cywilnego (chociaż do nich się odnosi), ważności zawartych umów przez Administratora i Spółkę oraz kwestii, czy Administratorowi przysługuje wobec Uczestnika roszczenie z zakresu stosunków zobowiązaniowych. Uzasadnienie zaskarżonej decyzji odnosi się do kwestii
z zakresu zobowiązań cywilnoprawnych jedynie z uwagi na ogólne zasady dotyczące stosunków prawnych, w tym istotę instytucji prawa cywilnego (w tym przedawnienia), a więc czyni to tylko pomocniczo, dla celów analizy i wyjaśnienia rozstrzygnięcia
w zakresie dotyczącym wyłącznie ochrony danych osobowych w kontekście skargi Uczestnika na działania Administratora oraz Spółki i konieczności ustalenia istnienia bądź nieistnienia prawnie uzasadnionych interesów realizowanych przez Administratora w związku z przetwarzaniem danych Uczestnika, o których mowa
w art. 6 ust. 1 lit. f RODO, przy jednoczesnym ich skonfrontowaniu z prawami
i wolnościami osoby, której dane dotyczą. Innymi słowy, zaskarżona decyzja nie rozstrzyga w żadnym razie kwestii statusu zobowiązań uregulowanych w Kodeksie cywilnym, wynikających z zawartej przez Administratora oraz V. S.A. umowy cesji wierzytelności.
Organ podkreślił, że w zaskarżonej decyzji nie orzekał o zasadności roszczeń cywilnoprawnych, tylko odniósł się wyłącznie do ich statusu prawnego w kontekście ich nieosądzenia, a więc niepotwierdzenia przez właściwy do tego organ, czyli sąd powszechny, do którego właściwości rzeczowej należy rozstrzyganie sporów na gruncie prawa cywilnego. W ten sposób wskazano także, że wobec faktu przedawnienia roszczeń, na które powołują się Administrator i Spółka, a w rezultacie także niemożności oceny, czy roszczenia te w ogóle istniały (np. z uwagi na fakt ich niepotwierdzenia przez właściwy do tego organ państwowy), niemożliwym jest uznanie, że Administrator wykazał prawnie uzasadniony cel przetwarzania,
w szczególności biorąc pod uwagę fakt, że nie określił on konkretnych terminów zaprzestania przetwarzania danych ani konkretnych kryteriów niezbędnych do ustalenia takich terminów, jak również nie uwzględnił w dostatecznym stopniu przy przetwarzaniu danych praw (wolności) Uczestnika, chociażby w postaci takich jego dóbr, jak: prawo do dobrostanu psychicznego, prawo do prywatności oraz godności osobistej.
Organ zaznaczył, że wydając zaskarżoną decyzję, odniósł się wyłącznie do statusu prawnego zobowiązań naturalnych w przepisach prawa oraz orzecznictwa sądów w tym przedmiocie. Zignorowanie powyższych kwestii i ich oceny
w orzecznictwie stanowiłoby przeszkodę do wnikliwego zbadania i rozpatrzenia sprawy.
Zdaniem Prezesa UODO, zaskarżona decyzja nie rozstrzyga i nie odnosi się do ważności umowy cesji zawartej przez Administratora z V. S.A., a wręcz przeciwnie, z jej stwierdzeń wynika, że organ uznaje ww. umowę, w świetle przepisów Kodeksu cywilnego, za ważną i obowiązującą. Jednak zawarcie umowy samo w sobie nie musi determinować (jak w przedmiotowej sprawie) w każdym przypadku istnienia prawnie uzasadnionego interesu przetwarzania, bowiem ten musi być oceniany z uwzględnieniem wszystkich przepisów prawa oraz podstawowych wartości chronionych w ramach przepisów prawa.
W przedmiotowej sprawie organ nadzorczy w odniesieniu do kwestii z zakresu prawa cywilnego stwierdził jedynie, że roszczenia dochodzone przez Administratora są przedawnione i niepotwierdzone arbitralnie przez kompetentny organ (sąd),
a nadto, że zobowiązania naturalne, na które powołuje się Administrator, są nieuregulowane (poza nielicznymi wyjątkami niemającymi związku z przedmiotową sprawą) w przepisach prawa, a ich znaczenie w obrocie prawnym jest kwestionowane niejednokrotnie przez sądy (powołane przez Prezesa UODO
w zaskarżonej decyzji orzeczenie Sądu Apelacyjnego w G. [...] Wydział Cywilny
z [...] marca 2013 r., sygn. akt [...]).
Prezes UODO stwierdził, że nie naruszył, wbrew twierdzeniom skarżących, art. 7, art. 77 § 1 i art. 80 k.p.a., ponieważ dokumenty powstałe w toku postępowania,
a w szczególności pytania skierowane do Administratora i Spółki, wskazują, że postępowanie zostało przeprowadzone w sposób zapewniający wnikliwą analizę stanu faktycznego sprawy, z uwzględnieniem wszystkich jego okoliczności mających wpływ na rozstrzygnięcie zaskarżonej decyzji.
Prezes UODO uznał za chybiony zarzut, dotyczący nieprawidłowej oceny dowodów, skutkującej dokonaniem ustaleń sprzecznych z treścią zgromadzonego materiału dowodowego, zaznaczając, że treść uzasadnienia decyzji nie zawiera stwierdzeń, które sugerowałyby wolę Administratora dochodzenia roszczeń nieprzedawnionych, lecz wskazanie, że Administrator świadomie zamierzał prowadzić windykację wyłącznie pozasądową (a więc dochodzić roszczenia przedawnionego), co Administrator i Spółka sami przyznali w złożonych na piśmie
w toku postępowania wyjaśnieniach.
Organ podkreślił, iż indyferentna pod względem prawnym jest w przedmiotowej sprawie okoliczność, czy Administrator nabył już przedawnioną wierzytelność
w drodze umowy cesji, czy też nabył ją przed jej przedawnieniem. Istotną dla sprawy jest okoliczność, że Administrator od początku zamierzał dochodzić i dochodził wierzytelności wyłącznie na drodze pozasądowej, jako wierzytelność przedawnioną
i nieosądzoną. Wyjaśnił, że wbrew zarzutom skargi, nie orzekł w zaskarżonej decyzji, że Administrator nie nabył wierzytelności przedawnionej i mógł dochodzić jej na drodze sądowej.
Spółka i Administrator pismami z dnia [...] listopada 2023 r. skierowali do Sądu replikę do odpowiedzi na skargę.
Na posiedzeniu w dniu [...] marca 2024 r. Wojewódzki Sąd Administracyjny
w Warszawie, na podstawie art. 111 § 1 p.p.s.a., połączył sprawy o sygn. akt
II SA/Wa 840/23 ze skargi [...]sp. z o.o. z siedzibą w Warszawie oraz
o sygn. akt II SA/Wa 841/23 ze skargi [...]F. reprezentowany przez [...] T. S.A. z siedzibą w Warszawie, w celu ich łącznego rozpoznania i rozstrzygnięcia pod sygn. akt II SA/Wa 840/23.
Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje.
Skargi [...]sp. z o.o. z siedzibą w W. (Spółka) oraz
[...]F. reprezentowany przez [...] T. S.A. z siedzibą w W. (Fundusz, Administrator) są nieuzasadnione. Zaskarżona decyzja Prezesa UODO z dnia [...] lutego 2023 r. nie narusza prawa.
Prezes UODO ustalił w sposób wyczerpujący stan faktyczny sprawy i na jego podstawie rozstrzygnął sprawę co do istoty w oparciu o wskazaną w decyzji podstawę prawną w granicach przedmiotu postępowania wyznaczonego skargą wniesioną przez Uczestnika postępowania.
W świetle RODO, przetwarzanie danych osobowych uważa się za legalne, jeśli ich administrator spełni co najmniej jedną z przesłanek wskazanych w art. 6 ust. 1 tego aktu, a mianowicie: a) osoba, której dane dotyczą wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów, b) przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy, c) przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze, d) przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą lub innej osoby fizycznej, e) przetwarzanie jest niezbędne do wykonania zadania realizowanego
w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi, f) przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności, gdy osoba, której dane dotyczą, jest dzieckiem.
Zarówno Spółka, jak i Fundusz (Administrator), były uprawnione do przetwarzania danych osobowych Uczestnika z tytułu dochodzenia od niego roszczeń z wierzytelności związanej z zawartą przez Uczestnika umową z V. S.A. o świadczenie usług, która to wierzytelność została przeniesiona na mocy umowy cesji przez V. S.A. na Administratora (Fundusz), i powierzona do egzekucji Spółce. Przy czym dane osobowe Uczestnika zostały powierzone do przetwarzania Spółce na mocy umów zawartych z Administratorem oraz z [...].
W rozpatrywanej sprawie spór sprowadzał się do oceny, czy Spółka i Fundusz na dzień wydania zaskarżonej decyzji mogły nadal przetwarzać dane osobowe Uczestnika na podstawie prawnie uzasadnionego interesu wskazanego w art. 6 ust. 1 lit. f RODO.
Roszczenie, którego dochodzi od Uczestnika Spółka w imieniu Administratora, jest sporne. Uczestnik go nie uznaje i nie zamierza go uiścić, a nadto jest ono przedawnione. Fakt nieuznania roszczenia Uczestnik potwierdził również kopią pisma, które skierował w dniu [...] października 2013 r. do pierwotnego wierzyciela, tj. V. S.A.
Zdaniem Sądu, rację ma Prezes UODO, że podstawa prawna do przetwarzania danych Uczestnika z racji prawnie uzasadnionego interesu administratora (art. 6 ust. 1 lit. f RODO), tzn. dochodzenia roszczenia na drodze pozasądowej, z uwagi na brak możliwości jego skutecznego osądzenia oraz wyegzekwowania, nie ma zastosowania do przedmiotowej sprawy od chwili oświadczenia przez Uczestnika Spółce, że roszczenie jest przedawnione oraz, że go nie uznaje, a więc podważa w ogóle jego istnienie.
Sąd podziela stanowisko organu, że roszczenie sporne i przedawnione, tak jak w przedmiotowej sprawie, nie korzysta z waloru arbitralnego i sankcjonowanego prawnie przyznania mu cech słuszności i zasadności, jak ewentualnie mogłoby to nastąpić w orzeczeniu sądu, przez co niemożliwe jest stwierdzenie, czy roszczenie to
w istocie rzeczy obiektywnie przysługuje wierzycielowi, czy też nie.
Samo twierdzenie Administratora, jako wierzyciela, iż roszczenie jest słuszne
i zasadne, nie jest wiążące dla organu administracji państwowej, w tym Prezesa UODO, skoro nie jest ono uregulowane przepisami prawa i nie zostało arbitralnie, jednoznacznie i ostatecznie osądzone przez przeznaczony do tego organ państwowy, tj. sąd, czy to powszechny, czy to polubowny, zgodnie z przepisami kodeksu postępowania cywilnego. Nie została również zawarta ugoda, z której treści jasno wynikałyby wzajemne zobowiązania Administratora i Uczestnika.
Zatem prawnie uzasadniony interes, w postaci dochodzenia roszczeń od Uczestnika przez Administratora oraz działającą w jego imieniu Spółkę,
w przedmiotowej sprawie nie występuje przez cały okres przetwarzania jego danych. Oświadczenie Uczestnika przy zaistnieniu przedawnienia, uchyla możliwość powoływania się przez Spółkę i Administratora na prawnie uzasadniony interes.
Prawnie uzasadniony interes musi być realny i mający podstawę
w przepisach prawa, podczas gdy dochodzenie roszczenia od Uczestnika bez przymusu państwowego i braku możliwości obiektywnej i sankcjonowanej prawnie oceny sporu prawnego pomiędzy Uczestnikiem a Administratorem (Spółką), wyklucza realność uzasadnionego interesu Administratora.
Tym samym, nie można przyjąć, że na dzień wydania zaskarżonej decyzji Administrator oraz Spółka, jako podmiot przetwarzający, nadal mogą przetwarzać dane Uczestnika, w szczególności na podstawie art. 6 ust. 1 lit. f RODO.
Prawidłowe jest stanowisko organu, że sama okoliczność występowania zobowiązania naturalnego jest niewystarczająca do uznania, że zobowiązanie to stanowi prawnie uzasadniony interes w rozumieniu art. 6 ust. 1 lit. f RODO.
Słusznie Prezes UODO zwrócił uwagę, że gdyby przyjąć, iż pomimo przedawnienia spornego roszczenia wobec Uczestnika, Administrator oraz działająca w jego imieniu Spółka nadal mają prawo przetwarzać jego dane, pomimo wniesienia przez niego w tej kwestii sprzeciwu, powołania się na okoliczność przedawnienia oraz złożenia oświadczenia Spółce o nieuznaniu roszczenia co do meritum, to potencjalnie doszłoby do sytuacji, w której Administrator danych, dochodzący roszczeń w procesie sądowym, którego granice prawnie uzasadnionego interesu wyznaczają terminy przedawnienia roszczeń z kodeksu cywilnego, byłby w mniej korzystnej sytuacji prawnej, niż administrator, który nie wytoczył procesu sądowego
i dzięki temu nie byłby ograniczony przy realizacji prawnie uzasadnionego interesu uzasadniającego przetwarzanie danych w zasadzie żadnym konkretnym terminem (np. przedawnienia roszczeń).
Trafnie Prezes UODO, odwołując się do motywu 39 preambuły RODO wskazał, że dla zapewnienia przejrzystości przetwarzania danych osobowych,
o której mowa w art. 5 ust. 1 lit. a RODO, musi być przestrzegana zasada czasowego ograniczenia przechowywania danych osobowych. Każdy administrator danych
w związku z tą zasadą ma zatem obowiązek dokonywania retencji danych,
z określeniem, w miarę możliwości, planowanego terminu usunięcia danych poszczególnych kategorii.
W przedmiotowej sprawie termin retencji danych nie został wyrażony ani konkretnym terminem wyrażonym w latach, czy datą, ani też w inny niepozostawiający wątpliwości sposób, nie wskazano też konkretnego kryterium jego ustalenia.
Określenie przez Administratora planowanego terminu usunięcia danych jedynie poprzez wskazanie chwili ustania prawnie uzasadnionego interesu Administratora, jest niekonkretne i prowadzi do rozmycia istoty prawem określonych obowiązków Administratora, przetwarzającego dane osobowe, co godzi w zasadę przejrzystości przetwarzania danych osobowych.
Przyjęcie założenia, że terminy retencji danych mogą być ustalane w taki sposób, że ich przetwarzanie będzie mogło odbywać się "w nieskończoność" prowadziłoby do całkowitego wypaczenia ratio legis przepisów RODO i koncepcji ochrony danych osobowych.
Niewątpliwie spór, co do zasadności roszczenia, jest sprawą cywilną
w rozumieniu art. 1 Kodeksu postępowania cywilnego, do którego rozstrzygnięcia jest właściwy sąd powszechny. Jednakże - zdaniem Sądu - Prezes UODO
w zaskarżonej decyzji nie rozstrzygał o zasadności roszczeń cywilnoprawnych, lecz oceniał ich status prawny z punktu widzenia przepisów z zakresu ochrony danych osobowych.
Prezes Urzędu Ochrony Danych Osobowych jest wyspecjalizowanym
w sprawach dotyczących ochrony danych osobowych i niezależnym organem, który ma status i kompetencje organu nadzorczego określone w przepisach RODO. Z tego względu jest uprawniony do samodzielnego dokonywania interpretacji przepisów prawa w zakresie dotyczącym ochrony danych osobowych.
Wobec zaś niepotwierdzenia roszczeń, niemożliwym było uznanie, że Administrator wykazał prawnie uzasadniony cel przetwarzania, biorąc pod uwagę fakt, że nie określił on konkretnych terminów zaprzestania przetwarzania danych ani konkretnych kryteriów niezbędnych do ustalenia takich terminów, jak również nie uwzględnił w dostatecznym stopniu przy przetwarzaniu danych praw (wolności) skarżącego, chociażby w postaci takich jego dóbr, jak: prawo do dobrostanu psychicznego, prawo do prywatności oraz godności osobistej, a także zignorował, skierowany wobec niego, sprzeciw Uczestnika odnośnie zaprzestania przetwarzania jego danych, w związku z odmową spełnienia świadczenia.
Tak więc, w przedmiotowej sprawie Administrator (Spółka) nie wykazał prawnie uzasadnionego interesu realizowanego w związku z przetwarzaniem
i przestrzeganiem zasad przetwarzania danych, w szczególności biorąc pod uwagę jego jednoczesny obowiązek uwzględnienia i ważenia praw i wolności Uczestnika oraz obowiązywanie zasady ograniczonego w czasie przetwarzania danych (retencji), wynikającej z art. 5 ust. 1 lit. e RODO.
Nieuzasadnione okazały się również zarzuty skarg dotyczące naruszenia przepisów prawa procesowego, tj. art. 7, art. 77 § 1 oraz art. 80 k.p.a., bowiem organ prawidłowo zebrał i ocenił zgromadzony w sprawie materiał dowodowy, opierając się na wyjaśnieniach Spółki oraz Funduszu dotyczących przetwarzania danych osobowych Uczestnika. Odmienna ocena zarówno Administratora, jak i Spółki
w zakresie wykładni i zastosowania powołanych przez organ przepisów prawa, nie świadczy o ich naruszeniu.
W ocenie Sądu, uzasadnienie zaskarżonej decyzji odpowiada wymogom określonym w art. 107 § 3 k.p.a.
Konkludując, ustalenie Prezesa UODO w zakresie stwierdzenia naruszenia przez Spółkę oraz Fundusz reprezentowany przez [...] przepisu art. 6 ust. 1 lit. f RODO polegającego na przetwarzaniu danych osobowych Uczestnika bez podstawy prawnej, a w szczególności bez wykazania prawnie uzasadnionego interesu wskazanego w tym przepisie, realizowanego przez administratora tych danych (tj. Fundusz), w imieniu którego i na którego rzecz działa Spółka, stanowi naruszenie zasady przetwarzania danych osobowych zgodnie z prawem, o której mowa w art. 5 ust. 1 lit. a RODO.
W ocenie Sądu, organ zasadnie nakazał Spółce, jako podmiotowi przetwarzającemu w rozumieniu art. 4 pkt 8 RODO, oraz Funduszowi, jako administratorowi w rozumieniu art. 4 pkt 7 RODO reprezentowanemu przez [...], dostosowanie operacji przetwarzania do przepisów RODO poprzez zaprzestanie przetwarzania bez podstawy prawnej danych osobowych Uczestnika w celu dochodzenia od niego roszczeń majątkowych związanych z zawartą przez niego [...]listopada 2012 r. umową z V. S.A., z uwagi na brak prawnie uzasadnionego interesu wskazanego w art. 6 ust. 1 lit. f RODO. Nakaz jest jasny, skierowany do właściwych podmiotów, nie ma wątpliwości co do jego zakresu i jest wykonalny.
Prezes UODO właściwie skierował decyzję, z uwagi na rolę administrowania danymi, wobec Administratora, natomiast do Spółki jedynie w takim zakresie,
w którym działa ona co najmniej na rzecz Administratora i wykonuje jego polecenia
w związku z powierzeniem przetwarzania danych. Spółka jest adresatem przedmiotowej decyzji nie jako podmiot mający uprawnienia i obowiązki Administratora, ale jako podmiot przetwarzający, działający na jego zlecenie
i wykonujący czynności przetwarzania na jego rzecz, w zakresie określonym (co do sposobu i celu przetwarzania) przez Administratora.
Mając na względzie powyższe Wojewódzki Sąd Administracyjny w Warszawie, na podstawie art. 151 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (t.j. Dz. U. z 2023 r. poz. 1634 z późn. zm.), orzekł jak w sentencji wyroku.
-----------------------
euoi