II SA/Wa 882/23

II SA/Wa 882/23 - Wyrok WSA w Warszawie
Data orzeczenia
2024-02-09
orzeczenie nieprawomocne
Data wpływu
2023-05-08
Sąd
Wojewódzki Sąd Administracyjny w Warszawie
Sędziowie
Dorota Kozub-Marciniak
Iwona Maciejuk /przewodniczący sprawozdawca/
Waldemar Śledzik
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne
Ochrona danych osobowych
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Uchylono zaskarżoną decyzję
Powołane przepisy
Dz.U. 2023 poz 1634
art. 145 par. 1 pkt 1 lit. c, art. 200 w zw. z art. 205
Ustawa z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi - t.j.
Dz.U. 2022 poz 2000
art. 7, art. 77 par. 1, art. 80, art. 107 par. 1, art. 124 par. 1
Ustawa z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego - t.j.
Dz.U.UE.L 2016 nr 119 poz 1 art. 15 ust. 3 w zw. z art. 12, art. 58 ust. 2 lit. c
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z  przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE
Sentencja
Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Iwona Maciejuk (spr.), Sędzia WSA Waldemar Śledzik, Asesor WSA Dorota Kozub-Marciniak, Protokolant specjalista Joanna Głowala, po rozpoznaniu na rozprawie w dniu 9 lutego 2024 r. sprawy ze skargi [...] S.A. z siedzibą w W. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] sierpnia 2022 r. nr [...] w przedmiocie przetwarzania danych osobowych 1. uchyla zaskarżoną decyzję, 2. zasądza od Prezesa Urzędu Ochrony Danych Osobowych na rzecz strony skarżącej [...] S.A. z siedzibą w W. kwotę 697 (słownie: sześćset dziewięćdziesiąt siedem) złotych tytułem zwrotu kosztów postępowania.
Uzasadnienie
Prezes Urzędu Ochrony Danych Osobowych decyzją z dnia [...] sierpnia 2022r. nr [...], na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz.U. z 2021 r., poz. 735 ze zm.) - zwanej dalej k.p.a., w zw. z art. 7 ust. 1 i 2 ustawy z 10 maja 2018 r. o ochronie danych osobowych (Dz.U. z 2019 r., poz. 1781) - zwanej dalej u.o.d.o. oraz art. 58 ust. 2 lit. c oraz art. 15 ust. 3 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz.Urz.UEL 119 z 4.05.2016 r., s. 1, Dz.Urz.UEL 127 z 23.05.2018 r., s. 2 oraz Dz.Urz.UE L 74 z 4.03.2021 r., s. 35) - zwanego dalej RODO, po przeprowadzeniu postępowania administracyjnego w sprawie ze skargi A. R., zwanego dalej także wnioskodawcą, na nieprawidłowości w procesie przetwarzania jego danych osobowych przez [...] sp. j. z siedzibą w [...] (poprzednio: [...] Sp. z ograniczoną odpowiedzialnością Sp. k. z siedzibą w [...]) – zwana dalej Firmą windykacyjną lub Podmiotem przetwarzającym, działającą jako podmiot przetwarzający dane w imieniu [...] S.A. z siedzibą w [...]– zwany dalej [...] lub Spółką, polegające na przetwarzaniu jego danych osobowych bez podstawy prawnej oraz niewykonaniu obowiązku przekazania kopii przetwarzanych danych na jego żądanie, nakazał [...] dostarczenie na podstawie art. 15 ust. 3 RODO A. R. kopii jego danych osobowych w zakresie zgodnym z jego wnioskiem z dnia [...] marca 2019 r.
Prezes UODO w uzasadnieniu wskazał, że A. R. złożył skargę na nieprawidłowości w procesie przetwarzania jego danych przez Firmę windykacyjną działającą jako podmiot przetwarzający dane w imieniu Spółki, polegające na przetwarzaniu danych osobowych wymienionego bez podstawy prawnej, nieprzekazaniu kopii przetwarzanych danych na jego żądanie oraz niewypełnieniu wobec niego obowiązku informacyjnego.
Prezes UODO w toku postepowania administracyjnego ustalił następujący stan faktyczny:
1. Wnioskodawca zarzucił, że Spółka przekazała jego dane osobowe na rzecz Podmiotu przetwarzającego próbując wyegzekwować nieistniejące zadłużenie. W dniu [...] marca 2019 r. złożył on do Podmiotu przetwarzającego wniosek o przekazanie mu kopii jego danych osobowych, chcąc zweryfikować, czy Spółka przekazała tylko te dane, które są niezbędne w procesie windykacji. Wnioskodawca nie otrzymał żadnej odpowiedzi w ciągu 30 dni od daty wysłania wniosku, wobec czego dnia [...] kwietnia 2019 r. ponowił żądanie. Nie otrzymał żadnej odpowiedzi. Wniósł o nakazanie Podmiotowi przetwarzającemu wypełnienia obowiązku informacyjnego oraz ewentualnie o kontrolę w obu podmiotach w zakresie respektowania przepisów RODO (dowód: treść skargi z dnia 25 kwietnia 2019 r. wraz z załącznikami).
2. Spółka wyjaśniła, że w dniu [...] września 2018 r. doszło do rozwiązania zawartej A. R. umowy. Zgodnie z obowiązującym regulaminem, był on zobowiązany do zwrotu udostępnionego sprzętu w terminie 30 dni od daty rozwiązania tej umowy. Z uwagi na brak zwrotu sprzętu została wystawiona nota obciążeniowa [...] na kwotę 799 zł. Spółka wskazała, że A. R. wielokrotnie reklamował zasadność naliczonego obciążenia. Powyższe było również przedmiotem wystąpienia Powiatowego Rzecznika Konsumentów. Należność nie została anulowana z uwagi na fakt, że A. R. dokonał utylizacji sprzętu, zamiast dokonać jego zwrotu do Spółki (dowód: wyjaśnienia Spółki z dnia [...] kwietnia 2020 r. i [...] czerwca 2020 r. wraz z załącznikami).
3. Wskutek braku dokonania wpłaty pozwalającej na rozliczenie zaległych należności, Spółka przekazała Podmiotowi przetwarzającemu prowadzenie działań windykacyjnych zmierzających do wyegzekwowania należnych opłat od A. R. Powyższej czynności dokonano na podstawie umowy o obsługę wierzytelności z dnia [...] marca 2017 r., aneksowanej w dniu [...] maja 2018 r., której przedmiotem jest uregulowanie zasad podejmowania w imieniu i na rzecz Spółki windykacji pozasądowej roszczeń pieniężnych i niepieniężnych. Celem wykonania tej umowy strony zawarły ponadto porozumienie o powierzeniu przetwarzania danych w dniu [...] maja 2018 r. Zgodnie z postanowieniami ww. porozumienia Spółka powierzyła Firmie windykacyjnej przetwarzanie danych osobowych swoich dłużników w zakresie imienia i nazwiska; nazwy (w przypadku dłużnika prowadzącego działalność gospodarczą); nr PESEL; nr NIP (w przypadku dłużnika prowadzącego działalność gospodarczą); nr REGON (w przypadku dłużnika prowadzącego działalność gospodarczą), numerów identyfikujących dłużnika i umowy dłużnika w systemach [...]; adresu zameldowania; adresu do korespondencji; adresu email; numeru telefonu; MSISDN; danych dotyczących umowy zawartej przez dłużnika i przebiegu jej realizacji; danych dotyczących sprzętu; danych dotyczących zadłużenia; danych finansowych dotyczących płatności dłużnika; danych dotyczących przekazania informacji o zadłużeniu do Biur Informacji Gospodarczej; danych dotyczących prowadzonego poprzednio procesu windykacji zewnętrznej; numeru konta bankowego do wpłat. Podmiot przetwarzający wskazał, że od dnia [...] marca 2019 r; przetwarzał dane osobowe A. R. w zakresie: imienia i nazwiska, numeru PESEL, adresu zameldowania, numeru telefonu, adresu mailowego, informacji o zaległości (numer dokumentu, data wystawienia, data płatności, kwotę zaległości), celem windykacji wierzytelności wynikającej z umowy (numer [...]) zawartej między Spółką a Wnioskodawcą (dowód: wyjaśnienia Spółki z dni [...] kwietnia 2020 r. i [...] czerwca 2020 r. wraz z załącznikami oraz wyjaśnienia Podmiotu przetwarzającego z [...] lipca 2019 r. oraz z dnia [...] kwietnia 2020 r. wraz z załącznikami).
4. Podmiot przetwarzający wskazał, że kontaktował się z wnioskodawcą za pośrednictwem poczty elektronicznej oraz telefonicznie w celu dochodzenia należności na zlecenie Spółki. Po otrzymaniu pierwszej wiadomości mailowej od wnioskodawcy z dnia [...] marca 2019 r., w której domagał się udostępnienia kopii dokumentacji. Podmiot przetwarzający próbował telefonicznie skontaktować się z wnioskodawcą. Pierwszy skuteczny kontakt telefoniczny nastąpił w dniu [...] marca 2019 r., podczas którego wnioskodawca odmówił podjęcia dalszej rozmowy. Podczas rozmowy przedstawiciel Podmiotu przetwarzającego chciał wyjaśnić wnioskodawcy wszelkie wątpliwości. Do Wnioskodawcy skierowane zostało pisemne wezwanie do zapłaty z dnia [...] marca 2019 r., w treści którego zawarto informację, iż administratorem danych jest Spółka. W wiadomości mailowej, skierowanej do Wnioskodawcy, zawarta również była informacja o roli Firmy windykacyjnej w procesie przetwarzania danych osobowych, wyraźnie wskazująca na to, że przetwarza dane w celu prowadzenia czynności windykacyjnych w imieniu Spółki. W ocenie Podmiotu przetwarzającego w piśmie tym zawarto wystarczającą informację dla Wnioskodawcy wskazującą, że żądania w zakresie praw wynikających z RODO należy kierować do Spółki, a nie do Podmiotu przetwarzającego. Wskazano ponadto, że wobec trwałego usunięcia wszelkich danych oraz dokumentów powstałych w trakcie obsługi sprawy, nie ma możliwości przedłożenia kopii pism, o których mowa powyżej (dowód: wyjaśnienia Podmiotu przetwarzającego z dnia [...] lipca 2019 r.).
5. Spółka wyjaśniła, że zgodnie z postanowieniami umowy powierzenia zawartej pomiędzy Firmą windykacyjną a [...], Firma windykacyjna zobowiązana jest do poinformowania Spółki o wszystkich wnioskach o realizację praw z rozdziału III RODO osób, których dane zostały powierzone do przetwarzania. Stosownie do postanowień przedłożonej umowy Firma windykacyjna zobowiązała się wpierać Spółkę (w szczególności poprzez stosowanie odpowiednich środków technicznych i organizacyjnych) w realizacji obowiązku odpowiadania na żądania osób, których dane dotyczą, w zakresie wykonywania ich praw określonych w rozdziale III RODO. Współpraca stron w ww. zakresie powinna odbywać się w formie i terminie umożliwiającym realizację tych obowiązków przez Spółkę. W związku z realizacją tego obowiązku Firma windykacyjna została zobowiązana do udzielania informacji oraz ujawnienia powierzonych danych (lub ich kopii) na żądanie Spółki w terminie 5 dni, w formie określonej przez Spółkę. Ponadto stosownie do regulacji umowy Firma windykacyjna powinna również niezwłocznie, jednak nie później niż w terminie 2 dni, poinformować Spółkę o wniosku dotyczącym realizacji praw osoby, której dane zostały powierzone Firmie windykacyjnej przez Spółkę, złożonym u Podmiotu przetwarzającego, jednak nie będzie on odpowiadał na taki wniosek bez uprzedniej zgody lub wyraźnego polecenia Spółki (dowód: wyjaśnienia Spółki z dnia [...] czerwca 2020 r. wraz z załącznikami).
6. Spółka wyjaśniła, że nie odnotowała wpływu korespondencji w sprawie realizacji prawa do otrzymania kopii danych, o której mowa w skardze Wnioskodawcy, ani nie została poinformowana przez Firmę windykacyjną o wnioskach A. R. w przedmiocie udzielenia odpowiedzi na wniosek dotyczący kopii danych. Wobec powyższego wniosek Wnioskodawcy nie mógł zostać zrealizowany. Spółka wystąpiła do Firmy windykacyjnej z żądaniem ustosunkowania się do wskazanej przez Wnioskodawcę okoliczności wskazującej na brak reakcji na wniosek o kopię danych. Zgodnie z otrzymanymi przez Spółkę informacjami, Firma windykacyjna usunęła korespondencję otrzymaną od Wnioskodawcy w dniu [...] września 2019 r., nie przekazując jej do Spółki. W związku z powyższym Spółka wezwała Firmę windykacyjną do realizowania postanowień Porozumienia o powierzeniu przetwarzania danych osobowych, w szczególności w zakresie realizacji praw osób, których dane dotyczą (dowód: wyjaśnienia Spółki z dnia [...] września 2020 r. wraz z załącznikami).
7. Z uwagi na toczące się postępowanie przed tut. organem Spółka wysłała do Wnioskodawcy listem poleconym kopię jego danych osobowych jako załącznik do pisma z dnia [...] grudnia 2020 r. (dowód: wyjaśnienia Spółki z dnia [...] grudnia 2020 r. wraz z załącznikami).
Prezes UODO po zapoznaniu się z całością materiału dowodowego wskazał, że stosownie do treści art. 15 ust. 3 RODO administrator dostarcza osobie, której dane dotyczą, kopię danych osobowych podlegających przetwarzaniu. Jeżeli zaś osoba, której dane dotyczą, zwraca się o kopię drogą elektroniczną i jeżeli nie zaznaczy inaczej, informacji udziela się w powszechnie stosowanej formie elektronicznej. Powyższy przepis dotyczy wszystkich danych osobowych przetwarzanych przez administratora, a także podmioty którym powierzył on przetwarzanie danych w myśl art. 28 ust. 1 i 3 RODO. Zgodnie natomiast z art. 12 ust. 3 RODO administrator bez zbędnej zwłoki - a w każdym razie w terminie miesiąca od otrzymania żądania - udziela osobie, której dane dotyczą, informacji o działaniach podjętych w związku z żądaniem na podstawie art. 15-22. W razie potrzeby termin ten można przedłużyć o kolejne dwa miesiące z uwagi na skomplikowany charakter żądania lub liczbę żądań. W terminie miesiąca od otrzymania żądania administrator informuje osobę, której dane dotyczą o takim przedłużeniu terminu, z podaniem przyczyn opóźnienia. Jeśli osoba, której dane dotyczą, przekazała swoje żądanie elektronicznie, w miarę możliwości informacje także są przekazywane elektronicznie, chyba że osoba, której dane dotyczą, zażąda innej formy.
Prezes UODO zaznaczył, że kwestia sposobu realizacji przez administratora obowiązku z art. 15 RODO uregulowana została w art. 12 RODO. Stosownie do art. 12 ust. 1 administrator podejmuje odpowiednie środki, aby w zwięzłej, przejrzystej, zrozumiałej i łatwo dostępnej formie, jasnym i prostym językiem - w szczególności gdy informacje są kierowane do dziecka – udzielić osobie, której dane dotyczą, wszelkich informacji, o których mowa w art. 13 i 14, oraz prowadzić z nią wszelką komunikację na mocy art. 15-22 i 34 w sprawie przetwarzania. Informacji udziela się na piśmie lub w inny sposób, w tym w stosownych przypadkach - elektronicznie. Jeżeli osoba, której dane dotyczą, tego zażąda, informacji można udzielić ustnie, o ile innymi sposobami potwierdzi się tożsamość osoby, której dane dotyczą. Zgodnie natomiast z art. 12 ust. 3 RODO administrator bez zbędnej zwłoki - a w każdym razie w terminie miesiąca od otrzymania żądania - udziela osobie, której dane dotyczą, informacji o działaniach podjętych w związku z żądaniem na podstawie art. 15-22. W razie potrzeby termin ten można przedłużyć o kolejne dwa miesiące z uwagi na skomplikowany charakter żądania lub liczbę żądań. W terminie miesiąca od otrzymania żądania administrator informuje osobę, której dane dotyczą o takim przedłużeniu terminu, z podaniem przyczyn opóźnienia. Jeśli osoba, której dane dotyczą, przekazała swoje żądanie elektronicznie, w miarę możliwości informacje także są przekazywane elektronicznie, chyba że osoba, której dane dotyczą, zażąda innej formy. Niezależnie zatem od sposobu uregulowania kwestii realizacji praw osób, których dane dotyczą w umowie powierzenia przetwarzania, powyższy przepis nakłada obowiązek dostarczenia kopii danych podlegających przetwarzaniu na administratora. Stosownie zaś do treści art. 28 ust. 3 lit. e RODO podmiot, któremu administrator powierza przetwarzanie danych, zobowiązany jest wyłącznie do pomagania w miarę możliwości administratorowi poprzez odpowiednie środki techniczne i organizacyjne wywiązać się z obowiązku odpowiadania na żądania osoby, której dane dotyczą, w zakresie wykonywania jej praw określonych w rozdziale III. Tym samym odpowiedzialność za niewywiązanie się z tych obowiązków spoczywa na administratorze. Prezes UODO podkreślił, że administrator zobowiązany jest, zgodnie z art. 28 ust. 1 RODO do korzystania wyłącznie z usług takich podmiotów przetwarzających, które zapewniają wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych, by przetwarzanie spełniało wymogi RODO i chroniło prawa osób, których dane dotyczą.
Prezes UODO ustalił, że wnioskodawca złożył wniosek o udostępnienie mu kopii jego danych osobowych w dniu [...] marca 2019 r. nie otrzymał żadnej odpowiedzi w ciągu 30 dni od daty wysłania wniosku, wobec czego dnia [...] kwietnia 2019 r. ponowił swoje żądanie. Firma windykacyjna wskazała zaś, że po otrzymaniu pierwszej wiadomości mailowej od wnioskodawcy z dnia [...] marca 2019 r., w której domagał się udostępnienia kopii dokumentacji, próbowała telefonicznie skontaktować się z wnioskodawcą. Pierwszy skuteczny kontakt telefoniczny nastąpił w dniu [...] marca 2019 r., podczas którego wnioskodawca odmówił podjęcia dalszej rozmowy. Podczas rozmowy przedstawiciel Podmiotu przetwarzającego chciał wyjaśnić wnioskodawcy wszelkie wątpliwości. Firma windykacyjna nie przekazała jednakże wniosku A. R. Spółce. Następnie w związku z trwałym usunięciem wszelkich danych oraz dokumentów powstałych w trakcie obsługi sprawy wnioskodawcy, wnioskowi nie nadano prawidłowego biegu i nie został wykonany. Jak wynika z wyjaśnień Spółki złożonych w toku niniejszego postępowania, Spółka zrealizowała wniosek A. R. w trybie art. 15 ust. 3 RODO pismem z dnia [...] grudnia 2020 r., przekazując wnioskodawcy kopię jego danych osobowych w trybie art. 15 ust. 3 RODO.
Prezes UODO zauważył, że udzielenie przez Spółkę odpowiedzi na wniosek, który wpłynął do Firmy windykacyjnej w dniu [...] marca 2019 r., nastąpiło z naruszeniem miesięcznego terminu przewidzianego w art. 12 ust. 3 RODO. Co więcej nie poinformowano wnioskodawcy o przedłużeniu terminu realizacji jego wniosku, z podaniem przyczyn opóźnienia. Ponadto wnioskodawca żądał udostępnienia mu kopii tych danych, które zostały przez Spółkę przekazane Firmie windykacyjnej. Natomiast z przedmiotowego pisma Spółki z dnia [...] grudnia 2020 r. nie wynika, jaki zakres danych osobowych został przez Spółkę przekazany do Firmy windykacyjnej. Tym samym Spółka nie spełniła żądania A. R. zgodnie z jego wnioskiem. Prezes UODO podkreślił, że wolą Wnioskodawcy, realizowaną w trybie prawa dostępu do danych, uregulowanego w art. 15 ust. 3 RODO, było ustalenie, czy Spółka przekazała tylko te dane, które są niezbędne w procesie windykacji, żądał więc udostępnienia kopii tych danych, które zostały przekazane do Firmy windykacyjnej.
Prezes UODO podzielił stanowisko wyrażone w doktrynie, zgodnie z którym "Podmiot danych może wedle swego uznania, choć w ramach katalogu zamkniętego określonego w art. 15, kształtować zakres uzyskanych informacji czy danych przekazanych w postaci kopii. Realizując przyznane mu uprawnienia, może więc żądać przekazania zarówno każdej, jak i wszystkich informacji, kopii czy wglądu do wybranych bądź wszystkich danych.". (J. Łuczak [w:] RODO. Ogólne rozporządzenie o ochronie danych. Komentarz, red. E. Bielak-Jomaa, D. Lubasz, Warszawa 2018, art. 15.)
Prezes UODO wyjaśnił, że w każdym przypadku bada zasadność skierowania pod adresem określonego podmiotu nakazu odpowiadającego dyspozycji art. 58 ust. 2 RODO służącego przywróceniu stanu zgodnego z prawem w procesie przetwarzania danych. Wobec powyższego korzystając z kompetencji przyznanej mu na mocy art. 58 ust. 2 lit. c RODO, nakazał Spółce dostarczenie wnioskodawcy kopii jego danych osobowych w zakresie zgodnym z jego wnioskiem z dnia [...] marca 2019r.
Spółka, reprezentowana przez radcę prawnego, pismem z [...] sierpnia 2022 r. zwróciła się o uzupełnienie decyzji co do rozstrzygnięcia poprzez umorzenie przez organ postępowania w zakresie dotyczącym podstawy prawnej przetwarzania danych osobowych Wnioskodawcy przez Firmę windykacyjną. W uzasadnieniu Spółka podzieliła ocenę dokonaną przez Organ odnośnie podstaw prawnych przetwarzania danych osobowych Wnioskodawcy w zakresie działań podejmowanych na podstawie umowy zawartej pomiędzy Spółka a [...] sp. j. Spółka jest jednak zdania, iż ocena ta winna znaleźć odzwierciedlenie w treści rozstrzygnięcia, czyli w osnowie decyzji.
Prezes UODO postanowieniem z dnia [...] lutego 2023 r. nr [...] na podstawie art. 123 § 1 w zw. z art. 111 § 1b k.p.a. w zw. z art. 7 ust. 1 i 2 u.o.d.o. odmówił uwzględnienia wniosku Spółki o uzupełnieni decyzji. W uzasadnieniu Prezes UODO wskazał, że analiza treści żądania wskazanego w skardze inicjującej postępowanie w niniejszej sprawie nie pozwala na uznanie, że wydana decyzja nie załatwia sprawy w całości. A. R. kwestionował wyłącznie brak spełnienia obowiązku przekazania mu kopii jego danych. Uzyskanie kopii danych miało zatem dopiero umożliwić wnioskodawcy sprawdzenie czy zakres danych udostępnionych przez Spółkę Podmiotowi przetwarzającemu był niezbędny do przeprowadzenia procesu windykacji. Natomiast w związku z zakresem żądania wnioskodawcy, niezbędne były ustalenia dotyczące relacji pomiędzy ww. podmiotami i ustalenie czy i na jakiej podstawie prawnej ww. podmioty przetwarzały dane osobowe wnioskodawcy, a następnie w rezultacie rozstrzygnięcie, czy i na którym z podmiotów, jako na administratorze danych, ciążył obowiązek ustosunkowania się do żądania wnioskodawcy zgłoszonego na podstawie RODO. Rozważania dotyczące powierzenia przetwarzania musiały więc znaleźć się w uzasadnieniu decyzji, gdyż było to niezbędne dla rozstrzygnięcia sprawy. Samo zatem udostępnienie danych osobowych Wnioskodawcy przez Spółkę na rzecz Firmy windykacyjnej nie było przedmiotem oceny Organu w niniejszej sprawie, stanowiło natomiast istotny element ustaleń faktycznych, w oparciu o które organ mógł wydać merytoryczne rozstrzygnięcie w zakresie żądania Wnioskodawcy. Natomiast dokonanie oceny legalności udostępnienia danych przez Spółkę na rzecz Podmiotu przetwarzającego stanowiłoby wyjście poza zakres żądania strony, która domagała się wyłącznie nakazania dostarczenia jej kopii danych jej dotyczących. W pouczeniu organ wskazał, że na niniejsze postanowienie Stronie nie przysługuje zażalenie. Postanowienie, na które nie służy zażalenie, strona może zaskarżyć tylko w odwołaniu od decyzji. Na podstawie art. 111 § 2 k.p.a. termin dla strony do wniesienia odwołania, powództwa lub skargi biegnie od dnia doręczenia niniejszego postanowienia.
Spółka, reprezentowana przez pełnomocnika radcę prawnego, w skardze do Wojewódzkiego Sądu Administracyjnego w Warszawie na decyzję Prezesa UODO z dnia [...] sierpnia 2022 r. nr [...] wniosła o uchylenie decyzji Prezesa UODO z dnia [...] sierpnia 2022 r. nr [...] oraz orzeczenie o kosztach postępowania sądowoadministracyjnego, w tym kosztach zastępstwa procesowego, według właściwych przepisów prawa. Spółka zakwestionowała też prawidłowość postanowienia Prezesa UODO z dnia [...] lutego 2023 r. Zaskarżonej decyzji zarzucono naruszenie:
- art. 105 w zw. z art. 107 § 1 oraz art. 111 § 2 k.p.a. - poprzez rozstrzygnięcie w decyzji jedynie o części postępowania prowadzonego w sprawie, tj. zawarcie w jej sentencji nakazu dotyczącego jednego z badanych w sprawie aspektów oraz nieumorzenie postępowania co do pozostałych elementów, a także odmowę uzupełnienia Decyzji w powyższym zakresie stosownie do wniosku Spółki z dnia [...] sierpnia 2022 r., co stanowi także o wadzie postanowienia;
- art. 124 § 1 k.p.a. i art. 107 § 1 k.p.a. - poprzez niezawarcie w postanowieniu pełnego pouczenia o prawie do wniesienia środka zaskarżenia wobec postanowienia, a także wobec samej decyzji w związku z wydaniem postanowienia;
- art. 107 § 1 k.p.a. - poprzez wydanie decyzji zawierającej nakaz, który nie został dostatecznie sprecyzowany, co stanowi również o naruszeniu art. 58 ust. 2 pkt c) RODO oraz jest niewykonalna w rozumieniu art. 156 § 1 pkt 5) k.p.a. (i była niewykonalna w dacie jej wydania) z powodu zaprzestania przetwarzania przez Skarżącą części danych osobowych Wnioskodawcy związanych z powierzeniem przez Spółkę działań windykacyjnych podmiotowi przetwarzającemu, co wiąże się również z zarzutem naruszenia art. 7 i 77 k.p.a. poprzez niezbadanie i nieuwzględnienie przez Organ istotnych w sprawie elementów stanu faktycznego;
- art. 15 ust. 3 RODO w zw. z art. 58 ust. 2 lit. c) RODO, przez błędne uznanie, że przekazując osobie, której dane dotyczą, kopię jej danych aktualnie przetwarzanych przez Spółkę, nie zrealizowała ona uprawnienia podmiotu danych wynikającego z art. 15 ust. 3 RODO i w konsekwencji błędne nakazanie Spółce dostarczenia Skarżącemu kopii jego danych osobowych "w zakresie zgodnym z jego wnioskiem z dnia [...] marca 2019 r.", podczas gdy:
1) prawo do żądania wydania przez administratora kopii danych podlegających przetwarzaniu dotyczy aktualnych danych tego podmiotu (tj. danych przetwarzanych przez administratora na dzień przekazania kopii danych osobowych w myśl zasady prawidłowości danych, o której mowa w art. 5 ust. 1 pkt d) RODO);
2) prawo, o którym mowa w art. 15 ust. 3 RODO, nie obejmuje uprawnienia podmiotu danych do żądania wydania dokumentacji zawierającej jego dane osobowe.
Spółka w uzasadnieniu przytoczyła przebieg postępowania oraz omówiła szerzej zarzuty skargi na poparcie których przytoczyła liczne orzecznictwo sądów administracyjnych. Wyjaśniła m.in., że pismo Wnioskodawcy z dnia [...] marca 2019 r. skierowane do [...] sp.j. nie wpłynęło do Spółki ani nie zostało Spółce przekazane przez ten Podmiot przetwarzający. Skarga Wnioskodawcy wpłynęła do Prezesa UODO w kwietniu 2019 r., natomiast Spółka została poinformowana o prowadzonym przez Organ postępowaniu w dniu [...] marca 2020 r. (data wpływu do Spółki pierwszego pisma Organu w tej sprawie). Do pisma Organu została załączona treść skargi, jednakże bez załącznika w postaci "wezwania do udostępnienia kopii danych osobowych". W związku z tym Spółka nie miała wiedzy, co do faktycznego zakresu wniosku Wnioskodawcy, ani adresata tego wniosku. Spółka wyjaśniła Organowi, że we wrześniu 2019 r. zlecenie obsługi wierzytelności pomiędzy Spółką i [...] sp.j. zostało zakończone. W dniu [...] września 2019 r. Podmiot przetwarzający usunął wszystkie dane Wnioskodawcy, w tym jego żądanie z dnia [...] marca 2019 r. Ponadto [...] września 2020 r. Spółka, w związku z niepowodzeniem windykacji wierzytelności wobec Wnioskodawcy z udziałem Podmiotu przetwarzającego, dokonała cesji tych wierzytelności na rzecz innego podmiotu, tj. firmie [...] Fundusz Inwestycyjny Zamknięty Niestandaryzowany Fundusz Sekurytyzacyjny. W wyniku tego Spółka przestała być wierzycielem Wnioskodawcy. Po powzięciu wiedzy o wystąpieniu Wnioskodawcy, Spółka przekazała mu kopię danych osobowych przetwarzanych przez Spółkę w chwili realizacji tego obowiązku. Z pisma Spółki do Wnioskodawcy wynika, iż stan zadłużenia wobec Spółki wynosi wówczas 0 zł - wynikało to z faktu, iż w tej dacie Spółka nie była już wierzycielem Wnioskodawcy w następstwie dokonanej cesji wierzytelności.
Spółka podniosła, że organ w toku postępowania prowadził czynności w obszarach dotyczących ustalenia podstawy prawnej przetwarzania danych Wnioskodawcy przez podmiot przetwarzający, a także spełnienia przez Spółkę obowiązku informacyjnego, i komunikował Spółce taki właśnie przedmiot (zakres) postępowania – zatem w ocenie Spółki właściwym rozstrzygnięciem powinno być umorzenie postępowania w odpowiedniej części, stosownie do treści art. 105 § 1 k.p.a. Odnosząc się do treści pouczenia zawartego w postanowieniu Spółka zaznaczyła, że postanowienie o uzupełnieniu decyzji powinno zawierać nowe pouczenie o terminie wniesienia odwołania od decyzji objętej żądaniem uzupełnienia uwzględniające treść art. 111 § 2 (wyrok NSA z 22 listopada 2000 r., II SA/Gd 1783/98, ON SA 2002, nr 1, poz. 23)
- w treści postanowienia o odmowie uzupełnienia decyzji powinno znaleźć się pouczenie o tym, czy i jaki konkretnie środek zaskarżenia przysługuje wobec takiego rozstrzygnięcia - w postanowieniu znalazło się wprawdzie pouczenie, iż postanowienie to nie jest odrębnie zaskarżalne, jednakże nie został skonkretyzowany właściwy środek zaskarżenia decyzji, w ramach którego strona może zaskarżyć także postanowienie (P. M. Przybysz [w:] Kodeks postępowania administracyjnego. Komentarz aktualizowany, LEX/el. 2022, art. 124).
Spółka wskazała, że "Zgodnie z art. 111 k 2 k.p.a. zgłoszenie żądania uzupełnienia decyzji przesuwa początek liczenia terminu wniesienia odwołania na dzień doręczenia stronie odpowiedzi (decyzji uzupełniającej lub postanowienia o odmowie uzupełnienia). Dlatego zgodnie z ort. 107 1 k.p.a. akt wydany w wyniku rozpoznania żądania powinien zawierać nowe pouczenie o terminie wniesienia odwołania od decyzji objętej żądaniem, uwzględniające treść art. 111 § 2 k.p.a." (wyrok WSA w Gdańsku z 18.11.2010 r., III SA/Gd 337/10, LEX nr 756333). Spółka podniosła, że nakaz zawarty w decyzji nie został sformułowany zgodnie z wymaganiami przepisu prawa materialnego będącego podstawą prawną jego nałożenia (art. 15 ust. 3 RODO), jak i art. 107 § 1 k.p.a. Spółka wyjaśniła, że nakaz wprawdzie dotyczy przekazania wnioskodawcy kopii danych, ale odwołuje się do jego "wniosku z dnia [...] marca 2019 r." bez wskazania i skonkretyzowania w sentencji decyzji, o kopię "jakiego zakresu danych osobowych" chodzi Organowi. Spółka przypomniała, że przekazała kopię danych w piśmie do Wnioskodawcy z dnia [...] grudnia 2020 r., o czym organ został poinformowany i czego nie pomija w uzasadnieniu Decyzji. Ponadto Spółka nie otrzymała żądania Wnioskodawcy z dnia [...] marca 2019 r., które było skierowane do [...] sp.j., co również jest znane i niekwestionowane przez organ.
Spółka podniosła, że organ nie zweryfikował, czy i jaki wpływ na możliwości wykonania nakazu zawartego w jej sentencji ma także fakt, iż od momentu skierowania przez Wnioskodawcy do Podmiotu przetwarzającego żądania wydania kopii danych do chwili wydania decyzji upłynęły ponad 3 lata, a sam Podmiot przetwarzający zaniechał przetwarzania danych w związku z rozwiązaniem zlecenia obsługi wierzytelności ze Spółką. Procesor usunął dane osobowe, w tym wniosek Wnioskodawcy z dnia [...] marca 2019 r., co zostało protokolarnie stwierdzone i udokumentowane w aktach niniejszej sprawy. Organ nie zwrócił nawet uwagi, iż w kopii danych przekazanej Skarżącemu przy piśmie Spółki z dnia [...] grudnia 2020 r. jako saldo bilingowe (zadłużenie) widnieje kwota "0 zł", co potwierdza, iż Spółka również zaniechał przetwarzania danych o nieaktualnym już zadłużeniu Wnioskodawcy. Miało to miejsce w związku z cesją wierzytelności na rzecz innego podmiotu. Niewykonalne jest zatem nakazanie w decyzji, by Spółka przekazała wnioskodawcy kopię danych - inną niż aktualnie przetwarza w związku z innymi celami i na innych podstawach, która to kopia została mu przekazana przez Spółkę. Niewykonalność ta istniała w momencie wydania decyzji i ma charakter trwały, co przesądza o nieważności decyzji w rozumieniu art. 156 § 1 pkt 5 k.p.a.
W ocenie Spółki z uzasadnienia decyzji nie wynika jednoznacznie, dlaczego Prezes UODO uznał, że przekazanie wnioskodawcy kopii jego danych osobowych w sposób, w jaki Spółka uczyniła to w piśmie z dnia [...] grudnia 2020 r., nie stanowiło o dostarczeniu podmiotowi danych kopii jego danych "w zakresie zgodnym z jego wnioskiem z dnia [...] marca 2019 r.". Spółka wskazała, że zgodnie z art. 15 ust. 3 RODO administrator dostarcza osobie, której dane dotyczą, kopię danych osobowych podlegających przetwarzaniu. Brzmienie tej normy wskazuje, że kopia danych, o której wydanie może wystąpić osoba, której dane dotyczą, obejmuje te dane osobowe, które podlegają przetwarzaniu przez administratora w chwili skierowania do niego takiego żądania oraz udzielania na nie odpowiedzi. Znajduje to potwierdzenie także w motywie 63. preambuły RODO, zgodnie z którym "(...) każda osoba, której dane dotyczą, powinna mieć prawo do wiedzy i informacji, w szczególności w zakresie celów, w jakich dane osobowe są przetwarzane, w miarę możliwości okresu, przez jaki dane osobowe są przetwarzane, odbiorców danych osobowych, założeń ewentualnego zautomatyzowanego przetwarzania danych osobowych oraz, przynajmniej w przypadku profilowania, konsekwencji takiego przetwarzania (wyróżnienie - własne).". Ponadto z literalnym wykładnią art. 15 ust. 3 RODO koresponduje również cel tej normy, którym jest przede wszystkim zapewnienie podmiotowi danych możliwości weryfikacji, czy jego dane osobowe przetwarzane przez administratora są prawidłowe, aktualne i czy administrator dysponuje ważną podstawą prawną do ich przetwarzania. Zgodnie z motywem 59 preambuły RODO prawo dostępu osoby, której dane dotyczą, do jej danych osobowych przetwarzanych przez administratora (w tym prawo do żądania kopii tych danych) służy zwłaszcza zagwarantowaniu możliwości weryfikacji prawidłowości i aktualności danych, aby podmiot danych mógł w razie potrzeby żądać sprostowania lub usunięcia nieaktualnych lub błędnych danych.
Spółka zwróciła uwagę, że Prezes UODO mógł zmierzać w decyzji do zobowiązania Spółki do przekazania wnioskodawcy nie tyle katalogu jego danych osobowych podlegających przetwarzaniu przez administratora (co przecież Spółka już uczyniła), ile wymienionej między Spółką jako administratorem a Podmiotem przetwarzającym dokumentacji, w której zawarte są dane osobowe zainteresowanej osoby.
Spółka podniosła, że art. 15 ust. 3 RODO nie może być interpretowany jako podstawa do żądania przez podmiot danych kopii dokumentacji, w której zawarte są jego dane osobowe. Na poparcie powyższego przytoczyła orzecznictwo Wojewódzkiego Sądu Administracyjnego w Warszawie, zgodnie z którym przepis RODO "nie uprawnia Prezesa UODO do wydawania nakazów udostępnienia/zwrotu dokumentów lub udzielania informacji dotyczących danego dokumentu (protokołu). W ww. aktach normatywnych nie ma również przepisów mogących stanowić podstawę do żądania od administratora danych przez osobę, której dane dotyczą, wydania dokumentów zawierających jej dane osobowe" oraz decyzję Prezesa UODO z dnia [...] marca 2019 r., nr [...], w której Prezes UODO wskazał, że zgodnie z art. 15 ust. 3 RODO, nie jest równoznaczne z obowiązkiem udostępnienia kopii dokumentów. Administrator nie ma bowiem obowiązku udostępniania osobie zainteresowanej nośnika, na którym przetwarzane są dane osobowe oraz danych, które nie stanowią danych osobowych w rozumieniu art. 4pkt 1 RODO i nie dotyczą wnioskującego.
Prezes UODO w odpowiedzi na skargę wniósł o jej oddalenie podtrzymując dotychczasowe stanowisko. Prezes UODO odniósł się do zarzutów skargi. Wskazał m.in., że fakt braku otrzymania przez Spółkę żądania był nieprawidłowością stwierdzoną w toku niniejszego postępowania, za którą to nieprawidłowość odpowiedzialność ponosi Spółka jako administrator. Treść korespondencji pomiędzy Podmiotem przetwarzającym i wnioskodawcą, która powinna trafić do Spółki, lecz na skutek nieprawidłowej organizacji procesu przetwarzania danych osobowych wnioskodawcy, nie została jej przekazana, stanowi część akt niniejszej sprawy.
A.R. w piśmie procesowym z dnia [...] lipca 2023 r. wskazał m.in., że podziela stanowisko organu, że jego celem było uzyskanie informacji jakie jego dane osobowe zostały przekazane przez Spółkę do podmiotu przetwarzającego (firmy windykacyjnej).
Spółka w piśmie z dnia [...] stycznia 2024 r. stanowiącym replikę na odpowiedź na skargę, podtrzymała dotychczasowe stanowisko. Odnosząc się do treści odpowiedzi na skargę podniosła m.in., że pouczenie zawarte w postanowieniu z dnia [...] lutego 2023 r. było błędne, gdyż informacja o "odwołaniu od decyzji" jest sprzeczna z art. 7 ust. u.o.d.o. Ponadto zdaniem Spółki udzielenie wnioskodawcy informacji o zaprzestaniu przetwarzania danych oznaczałoby po prostu, że decyzja obiektywnie nie może zostać wykonana i niewykonalność ta nie byłaby zależna od postawy Spółki. Zdaniem Spółki żądanie wydania kopii danych to żądanie "zestawu danych" przetwarzanych przez administratora. Zawsze też chodzi o dane aktualnie przetwarzane przez administratora. Nie jest natomiast "żądaniem kopii danych" wystąpienie, które odnosi się do jakiegoś historycznego procesu, w dodatku jeśli ten już się zakończył. Żądanie kopii danych przekazanych firmie windykacyjnej – jest żądaniem dokumentacji, która odzwierciedlała przebieg procesów współpracy spółki z tą firmą windykacyjną.
Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje.
Skarga podlegała uwzględnieniu, choć nie wszystkie jej zarzuty okazały się zasadne.
Zgodnie z art. 1 § 1 i 2 ustawy z dnia 25 lipca 2002 r. – Prawo o ustroju
sądów administracyjnych (t.j. Dz. U. z 2022 r. poz. 2492 ze zm.), sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej, przy czym kontrola ta sprawowana jest pod względem zgodności z prawem, jeżeli
ustawy nie stanowią inaczej. Sąd rozstrzyga w granicach danej sprawy, nie będąc jednak związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną (art. 134 § 1 ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi ( t.j. Dz.U. z 2023 r. poz. 1634 ze zm.).
Uwzględniając powyższe Sąd stwierdził, że zaskarżona decyzja narusza przepisy prawa procesowego, tj. art. 7, art. 77 § 1, art. 80 i art. 107 § 1 k.p.a. w stopniu, który mógł mieć istotny wpływ na wynik sprawy. Sąd nie podzielił natomiast pozostałych zarzutów skargi, w tym zarzutu naruszenia prawa materialnego, tj. art. 15 ust. 3 RODO.
Zaskarżoną decyzją Prezes UODO nakazał [...] dostarczenie na podstawie art. 15 ust. 3 RODO A. R. - uczestnikowi niniejszego postępowania kopii jego danych osobowych w zakresie zgodnym z jego wnioskiem z dnia [...] marca 2019 r. Sąd za bezsporne, na podstawie zgromadzonego przez organ materiału dowodowego, uznał ustalenia faktyczne organu co do tego, że [...] jest administratorem danych A. R., a firma windykacyjna, do której wpłynęło żądanie wnioskodawcy (e-mailem) z dnia [...] września 2019 r. o udostępnienie kopii danych osobowych, którymi ta firma dysponowała, jest podmiotem przetwarzającym (art. 28 ust. 3 RODO). Ustalenia te nie były kwestionowane w postępowaniu i są bezsporne.
Zgodnie z art. 15 ust. 3 RODO, administrator dostarcza osobie, której dane dotyczą, kopię danych osobowych podlegających przetwarzaniu. Za wszelkie kolejne kopie, o które zwróci się osoba, której dane dotyczą, administrator może pobrać opłatę w rozsądnej wysokości wynikającej z kosztów administracyjnych. Jeżeli osoba, której dane dotyczą, zwraca się o kopię drogą elektroniczną i jeżeli nie zaznaczy inaczej, informacji udziela się w powszechnie stosowanej formie elektronicznej.
W świetle powołanego przepisu nie ma wątpliwości, że obowiązek dostarczenia podmiotowi danych (uczestnikowi niniejszego postępowania) kopii jego danych osobowych, o którym to uprawnieniu jest mowa w art. 15 ust. 3 RODO spoczywa na administratorze, tj. [...].
Organ nie ustalił jednakże w toku postępowania, czy [...] przetwarzał na dzień wydania zaskarżonej decyzji (w tym np. przechowywał, archiwizował) dane A. R., które były przekazane przez [...] do podmiotu przetwarzającego (firmy windykacyjnej) w celu dochodzenia należności, a zatem czy [...] dysponował na dzień wydania zaskarżonej decyzji kopią danych, co do których wnioskodawca złożył żądanie w dniu [...] marca 2019 r. Kwestia ta ma kluczowe znaczenie dla możliwości nałożenia przez organ na administratora danych, tj. [...] obowiązku dostarczenia kopii danych, o którym to żądaniu jest mowa we wniosku A. R. z dnia [...] marca 2019 r., a zatem ma podstawowe znaczenie dla wykonalności decyzji. Dla dokonania ustaleń w tym zakresie nie mają przy tym znaczenia takie okoliczności podnoszone w skardze przez [...] jak to, że [...] na dzień wydania decyzji nie był już wierzycielem A. R., jak i to, że we wrześniu 2019 r. zostało zakończone przez [...] zlecenie obsługi wierzytelności pomiędzy [...] a podmiotem przetwarzającym (firmą windykacyjną), do której wpłynęło żądanie z [...] marca 2019 r. udostępnienia kopii danych.
Podkreślenia wymaga, że o niewykonalności obowiązku nałożonego decyzją ostateczną można mówić w sytuacji, gdy niewykonalność jest następstwem przeszkód o charakterze nieusuwalnym. Na tym etapie postępowania administracyjnego takich ustaleń faktycznych organ nie dokonał.
W orzecznictwie sądowoadministracyjnym wskazuje się, że trwała niewykonalność obowiązku zachodzi wówczas, gdy czynności składające się na treść tego obowiązku zawartego w decyzji są niewykonalne z przyczyn technicznych lub prawnych tkwiących w ich naturze. Obowiązek taki musi być niemożliwy do wykonania przy uwzględnieniu aktualnych osiągnięć wiedzy i techniki (wyrok NSA z 13 listopada 2007 r., II OSK 1365/07, orzeczenia.nsa.gov.pl).
Natomiast wszystkie inne kwestie, w tym dokonywana przez Spółkę odmienna wykładnia art. 15 ust. 3 RODO, o czym będzie mowa w dalszej części rozważań Sądu w związku z zarzutem skargi w tym zakresie, nie daje podstaw do wyprowadzenia twierdzenia o niewykonalności obowiązku. Na tym etapie postępowania, wobec braku wskazanego wyżej istotnego ustalenia faktycznego, w ogóle nie może być mowy o niewykonalności decyzji.
Okolicznością istotną, w związku z tym, że żądanie wystosowane zostało przez A. R. w dniu [...] marca 2019 r., co jest bezsporne, było zatem ustalenie, czy na dzień wydania decyzji [...] miał możliwość wykonania nakazu, tj. czy dysponował kopią danych przetwarzanych w 2019 r., które przekazane zostały przez [...] podmiotowi przetwarzającemu (firmie windykacyjnej). Ustalenia takiego w decyzji nie ma, a [...] utrzymuje, że dostarczył A. R. kopię danych, tych które posiadał na dzień [...] grudnia 2020 r. Jednocześnie w toku postępowania przed Prezesem UODO [...] nie twierdził, aby usunął dane A. R.
W skardze do Sądu i w postępowaniu przed Prezesem UODO [...] podnosił też, że w związku z cesją wierzytelności dokonaną [...] września 2020 r. nie jest już wierzycielem A. R. To, że [...] nie jest już wierzycielem A. R. nie wpływa na sam obowiązek dostarczenia kopii danych.
Ma natomiast znaczenie ustalenie, czy [...] dysponuje kopią danych przekazanych firmie windykacyjnej w 2019 r. To jest zasadnicza kwestia. Raz jeszcze podkreślenia wymaga, że kwestia ta nie została wyjaśniona, ustalona w postępowaniu przed organem.
Jednocześnie z zaskarżonej decyzji nie wynika jednoznacznie dlaczego organ nie uznał kopii danych przekazanych A. R. przy piśmie [...] z dnia [...] grudnia 2020 r. za wypełnienie obowiązku z art. 15 ust. 3 RODO w aspekcie kopii danych przekazanych podmiotowi przetwarzającemu (firmie windykacyjnej). Z zaskarżonej decyzji Prezesa UODO nie wynika, aby organ dokonał jakiejkolwiek analizy zakresu danych wskazanych w tej kopii danych i aby stwierdził jednoznacznie, że z takiej a takiej przyczyny nie stanowi to kopii danych przekazanych firmie windykacyjnej na żądanie wnioskodawcy z dnia [...] marca 2019 r. Powyższe również stanowi naruszenie art. 80 k.p.a., albowiem ocenę organu w tym zakresie, na tym etapie postępowania, uznać należało za dowolną. Powyższe także mogło mieć istotny wpływ na wynik sprawy. Organ nie dokonał pełnej i wszechstronnej oceny materiału dowodowego w tym zakresie (art. 77 § 1 k.p.a.).
Sąd nie podzielił natomiast pozostałych zarzutów skargi. Niezasadny jest zarzut skargi dotyczący naruszenia art. 105 w zw. z art. 107 § 1 oraz art. 111 § 2 k.p.a. poprzez rozstrzygnięcie w decyzji jedynie o części postępowania prowadzonego w sprawie, tj. zawarcie w jej sentencji nakazu dotyczącego jednego z badanych w sprawie aspektów oraz brak umorzenia postępowania co do pozostałych elementów, a także odmowę uzupełnienia decyzji, co zdaniem Spółki stanowi także o wadzie postanowienia.
W ocenie Sądu, opartej na zgromadzonym przez organ materiale dowodowym, A. R., który zainicjował postępowanie przed Prezesem UODO kwestionował zasadniczo brak spełnienia zgłoszonego przez niego e-mailem w dniu [...] marca 2019 r. żądania dostarczenia mu kopii danych osobowych. Bez wątpienia inicjujący postępowanie przed UODO chciał zweryfikować na tej podstawie, jakie jego dane osobowe zostały przekazane przez [...] podmiotowi przetwarzającemu (firmie windykacyjnej) i czy [...] przekazał tylko te dane, które były niezbędne w procesie windykacji prowadzonym przez ten podmiot w imieniu [...] (v. skarga A. R. do Prezesa UODO z dnia [...] kwietnia 2019 r.). A. R. także w uzupełnieniu skargi do Prezesa UODO (pismo z dnia [...] maja 2019 r.) – poza tym, że wskazywał, że nie ma żadnych zobowiązań wobec [...] – podnosił, że firma windykacyjna nie odpowiedziała na jego żądanie (jak PUODO ustalił w toku postępowania, żądanie z dnia [...] marca 2019 r.).
Istotą sprawy, jak zasadnie przyjął organ do spraw ochrony danych osobowych była zatem kwestia niedostarczenia kopii danych przetwarzanych w związku z procesem windykacji. A. R. mimo, że wskazywał na nieistniejące zadłużenie, nie kwestionował przed PUODO samego przekazania przez [...] danych firmie windykacyjnej. Podzielić należało zatem argumentację organu, że rozstrzyganie w odniesieniu do [...] w innych kwestiach niż dostarczenie kopii danych, o czym jest mowa w art. 15 ust. 3 RODO, nie mogło mieć miejsca. Postanowienie o odmowie uwzględnienia wniosku Spółki nie naruszało zatem prawa. Czynienie przez organ w decyzji ustaleń faktycznych dotyczących procesu przetwarzania danych, relacji między [...] a podmiotem przetwarzającym (firmą windykacyjną), która wówczas dysponowała danymi uczestnika postępowania, było niezbędne dla dokonania oceny w zakresie rozstrzygania o obowiązku dostarczenia kopii danych osobowych (art. 15 ust. 3 RODO).
Raz jeszcze podkreślenia wymaga, że rozstrzyganie w decyzji przez Prezesa OUDO w odniesieniu do [...] w zakresie szerszym i żądanym przez [...] w ramach postępowania dotyczącego uzupełnienia decyzji (oceny legalności udostępnienia danych) stanowiłoby, tak jak stwierdził to organ, wyjście poza zakres żądania A. R., który domagał się wyłącznie dostarczenia kopii danych.
Sąd podziela twierdzenie organu zawarte w odpowiedzi na skargę, że to wnioskodawca (inicjator postępowania przed Prezesem UODO) decyduje o zakresie żądania i wskazuje, czego się domaga na gruncie RODO. W odniesieniu do [...] w postępowaniu przed Prezesem UODO – poza obowiązkiem z art. 15 ust. 3 RODO – nie jawiły się żadne inne żądania. Sama zaś kwestia obowiązku z art. 15 ust. 3 RODO z oczywistych względów znajdowała odniesienie do [...]. Jest on bowiem administratorem danych, a kwestia dostarczenia kopii danych spoczywa zgodnie z art. 15 ust. 3 RODO na administratorze. W tym zakresie podmiot przetwarzający nie ma interesu prawnego.
Odnosząc się do drugiego zarzutu skargi, tj. naruszenia art. 124 § 1 k.p.a. i art. 107 § 1 k.p.a. - poprzez niezawarcie w postanowieniu z dnia 7 lutego 2023 r. pełnego pouczenia o prawie do wniesienia środka zaskarżenia wobec tego postanowienia, a także wobec samej decyzji w związku z wydaniem postanowienia Sąd wskazuje, że kwestia pouczenia w postanowieniu z dnia [...] lutego 2023 r. nie ma żadnego znaczenia w niniejszej sprawie. Pouczenie to nie było pełne i prawidłowe, albowiem sprowadzało się w istocie do przywołania art. 111 § 2 k.p.a., jednakże to uchybienie pozostało bez wpływu na wynik sprawy. [...] prawidłowo wniósł skargę na decyzję z dnia [...] sierpnia 2022 r. w terminie 30 dni od dnia doręczenia postanowienia o odmowie uwzględnienia wniosku o uzupełnienie decyzji co do rozstrzygnięcia.
W ocenie Sądu nie jest też zasadny zarzut trzeci skargi dotyczący naruszenia art. 107 § 1 k.p.a. poprzez wydanie decyzji zawierającej nakaz, który zdaniem [...] nie został dostatecznie sprecyzowany, co stanowi zdaniem Spółki również o naruszeniu art. 58 ust. 2 pkt c RODO.
Zdaniem Sądu zawarty w decyzji nakaz dostarczenia przez [...] A. R. na podstawie art. 15 ust. 3 RODO kopii jego danych osobowych w zakresie zgodnym z jego wnioskiem z dnia [...] marca 2019 r. jest jasny. Sprecyzowany został wystarczająco klarownie. Nie ma wątpliwości, jakiego obowiązku dotyczy. Mieści się w uprawnieniu organu do nakazania administratorowi lub podmiotowi przetwarzającemu, jak stanowi art. 58 ust. 2 lit. c RODO, spełnienia żądania osoby, której dane dotyczą, wynikającego z praw przysługujących jej na mocy niniejszego rozporządzenia. Kwestia wykonania tego nakazu jest odrębnym zagadnieniem, o czym była już mowa wyżej, albowiem organ nie ustalił bezspornie, czy [...] dysponował na dzień wydania decyzji kopią danych, o której mowa w nakazie.
Natomiast argumentacja [...], że nakaz odwołuje się do wniosku z dnia [...] marca 2019 r. bez wskazania i skonkretyzowania w sentencji decyzji, o kopię, "jakiego zakresu danych osobowych" chodzi organowi jest całkowicie niezrozumiała. To nie organ ma wskazać Spółce, jakie dane ma zawierać kopia danych, tylko administrator jest obowiązany przedstawić osobie fizycznej, w związku z jej jasnym i oczywistym prawem wynikającym z art. 15 ust. 3 RODO, kopię danych.
Także to, że [...] nie otrzymał żądania o kopię danych A. R. z dnia [...] marca 2019 r., które było skierowane e-mailem do podmiotu przetwarzającego (firmy windykacyjnej), nie niweczy prawidłowości nakazu zawartego w decyzji. To, że [...] nie otrzymał tego żądania (od podmiotu – firmy windykacyjnej, której powierzył w tamtym czasie przetwarzanie danych) obciąża [...] jako administratora i nie stanowi podstawy do uchylenia się od obowiązku wynikającego z art. 15 ust. 3 RODO wobec podmiotu danych. Przyjęcie odmiennego stanowiska niweczyłoby całkowicie ochronę podmiotu danych na gruncie RODO. [...] miał dostęp do akt sprawy administracyjnej, w których znajduje się wniosek z dnia [...] marca 2019 r. o udostępnienie kopii danych. Treść tej wiadomości, mimo usunięcia wszelkich dokumentów przez podmiot przetwarzający (firmę windykacyjną), nie była kwestionowana w postępowaniu administracyjnym. Twierdzenie zaś przez [...] jako administratora, że żądanie było skierowane do firmy przetwarzającej i nie można automatycznie uznać, że żądanie takie – o kopię danych - byłoby skierowane do [...] wskazuje na niezrozumienie istoty ochrony danych osobowych jednostki. Żądanie dostarczenia kopii danych przetwarzanych w związku z windykacją należności skierowane było do firmy windykacyjnej (podmiotu przetwarzającego), ale jest oczywiste, że skoro ten podmiot nie udostępnił w imieniu [...] kopii danych, a obowiązek dostarczenia kopii danych spoczywa zgodnie z art. 15 ust. 3 RODO na administratorze, to właśnie [...] jest odpowiedzialny za wypełnienie tego obowiązku.
Dla wykonania decyzji nie ma przy tym znaczenia, co wskazywano już wyżej, że podmiot przetwarzający (firma windykacyjna) zaniechał przetwarzania danych w związku z rozwiązaniem zlecenia obsługi wierzytelności z [...]. Nakaz dotyczy dostarczenia kopii danych przez administratora, a nie podmiot przetwarzający(art. 15 ust. 3 RODO). Zwrócić też trzeba uwagę, że istotą sprawy nie jest kwestia istnienia bądź nieistnienia zadłużenia i nie ona była przedmiotem tej sprawy. Istotą jest dostarczenie podmiotowi danych kopii danych przetwarzanych przez administratora w 2019 r. w związku z windykacją należności.
Jednocześnie, w nawiązaniu do poczynionych wyżej rozważań i ocen, wskazania wymaga, że nietrafny jest zarzut skargi dotyczący naruszenia prawa materialnego, tj. art. 15 ust. 3 RODO w zw. z art. 58 ust. 2 lit. c RODO poprzez błędną jego wykładnię i zastosowanie w sytuacji, gdy zdaniem Skarżącej Spółki prawo "do żądania wydania przez administratora kopii danych podlegających przetwarzaniu dotyczy aktualnych danych tego podmiotu (tj. danych przetwarzanych przez administratora na dzień przekazania kopii danych osobowych w myśl zasady prawidłowości danych, o której mowa w art. 5 ust. 1 pkt d) RODO)", jak też prawo, o którym mowa w art. 15 ust. 3 RODO, nie obejmuje, jak wskazano w skardze, uprawnienia podmiotu danych do żądania wydania dokumentacji zawierającej jego dane osobowe.
Odnosząc się do powyższego przede wszystkim zauważyć należy, że organ nie nakazał [...] "wydania dokumentacji zawierającej dane osobowe".
Z postępowania administracyjnego nie wynika też, aby A. R. żądał w e-mailu z dnia [...] marca 2019 r. "wydania dokumentacji zawierającej dane osobowe". Zarzut ten jest całkowicie nietrafny.
Poza tym, twierdzenie, że prawo żądania kopii danych ujęte w art. 15 ust. 3 RODO dotyczy danych aktualnych w znaczeniu "danych przetwarzanych przez administratora na dzień przekazania kopii danych osobowych w myśl zasady prawidłowości danych", jak ujmuje to Spółka w skardze, także nie jest trafne. Nawet na przykładzie niniejszej sprawy można wskazać, że przy takiej interpretacji art. 15 ust. 3 RODO dochodziłoby w istocie do faktycznego pozbawienia podmiotu danych możliwości faktycznej realizacji uprawnień wynikających z RODO. Żądanie dostarczenia kopii danych składane przez podmiot danych w określonym czasie mogłoby nie być realizowane przez np. 3 lata, a administrator po 3 latach dostarczałby kopię danych tzw. aktualnych, czyli właściwych (przetwarzanych) na dzień ich dostarczenia przez administratora.
Taka interpretacja, jak zaprezentowana w skardze co do stosowania art. 15 ust. 3 RODO prowadziłaby do pozbawienia podmiotu danych kontroli nad procesem przetwarzania tych danych, a uprawnienie z art. 15 ust. 3 RODO czyniłaby iluzorycznym. Oczywiście można mówić o aktualności dostarczonych danych w sytuacji, gdy administrator wypełnia obowiązek niezwłocznie po wpłynięciu żądania dostarczenia kopii danych (bądź w terminie miesiąca) – art. 15 ust. 3 RODO w zw. z art. 12 RODO. W takim rozumieniu mamy do czynienia z aktualnymi danymi. Sytuacja taka nie ma jednakże miejsca w niniejszej sprawie.
Nadto, także powołanie się przez [...] w kontekście wykonania nałożonego w decyzji obowiązku dostarczenia kopii danych (żądanych we wniosku z dnia [...] marca 2019 r.) na zasadę prawidłowości danych w rozumieniu art. 5 ust. 1 lit.d RODO, nie jest zrozumiałe. W przepisie art. 15 ust. 3 RODO dotyczącym obowiązku dostarczenia przez administratora kopii danych osobowych podlegających przetwarzaniu chodzi o to, żeby podmiot danych (osoba fizyczna) dysponował kopią danych, które na dany moment były przetwarzane (przekazane przez administratora podmiotowi przetwarzającemu) i po ich uzyskaniu miał możliwość oceny, czy według niego to przetwarzanie nie naruszało jego praw. Nie chodzi o wybranie dogodnego dla administratora momentu. Kwestie prawidłowości danych (art. 5 ust. 1 lit. d RODO) oceni podmiot danych. Kopia danych ma odzwierciedlać dane faktycznie przetwarzane (przekazane) podmiotowi przetwarzającemu. Administrator odpowiada za takie zorganizowanie procesu przetwarzania danych, aby realizacja praw osób, których dane dotyczą, w tym realizacja obowiązku dostarczenia kopii danych, była możliwa i faktycznie egzekwowalna przez podmiot danych.
W skardze [...] argumentując w zakresie przedstawionego zarzutu podniósł m.in., że "Już samo brzmienie tej normy wskazuje, że kopia danych, o której wydanie może wystąpić osoba, której dane dotyczą, obejmuje te dane osobowe, które podlegają przetwarzaniu przez administratora w chwili skierowania do niego takiego żądania oraz udzielania na nie odpowiedzi."
Należy zgodzić się ze skarżącą Spółką, że "już samo brzmienie tej normy wskazuje, że kopia danych, o której wydanie może wystąpić osoba, której dane dotyczą, obejmuje te dane osobowe, które podlegają przetwarzaniu przez administratora w chwili skierowania do niego takiego żądania". W istocie chodzi o moment, dzień skierowania żądania. Kopia danych powinna być dostarczona niezwłocznie, najpóźniej w terminie miesiąca (art. 15 ust. 3 RODO w zw. z art. 12 RODO). Taka sytuacja nie nastąpiła w niniejszej sprawie. Zgodnie z RODO to administrator odpowiada za dostarczenie kopii danych i wzajemne relacje administratora i podmiotu przetwarzającego (uregulowania umowne między podmiotami) nie mogą prowadzić do pokrzywdzenia na gruncie RODO podmiotu danych, nie mogą prowadzić do pozbawienia podmiotu danych realnej ochrony praw. Gdyby przyjąć wykładnię art. 15 ust. 3 zaprezentowaną w skardze, wskazującą na moment udzielenia odpowiedzi administratora na żądanie (jako moment, z którego powinna pochodzić kopia danych), to podmiot danych nie miałby faktycznej możliwości kontroli procesu przetwarzania swoich danych.
Skoro prawo dostępu przewidziane w art. 15 RODO powinno umożliwiać osobie, której dane dotyczą, upewnienie się, że dotyczące jej dane osobowe są prawidłowe i przetwarzane zgodnie z prawem (v. pkt 34 wyroku Trybunału (pierwsza izba) z dnia 4 maja 2023 r. sygn. C-487/21), to nie może być wątpliwości, że dostarczenie na żądanie kopii danych osobowych dotyczy przetwarzania z momentu zgłoszonego żądania w związku z operacją przetwarzania danych, która w tym przypadku zaniepokoiła podmiot danych, a nie z momentu dogodnego dla administratora. Istotą uprawnienia z art. 15 ust. 3 RODO jest zweryfikowanie przez podmiot danych zgodności ich przetwarzania z prawem.
Warto jednocześnie wskazać, że Trybunał wyraźnie w powołanym wyroku stwierdził, że kopia danych osobowych, którą administrator musi przedstawić na podstawie art. 15 ust. 3 zdanie pierwsze RODO powinna posiadać wszystkie cechy umożliwiające osobie, której dane dotyczą, skuteczne wykonywanie jej praw wynikających z tego rozporządzenia, a w konsekwencji powinna odtwarzać w całości i wiernie te dane (pkt 30 wyroku).
Zdaniem Sądu trudno o skuteczne wykonywanie praw z RODO przez podmiot danych (czyli np. weryfikacji, czy dane były adekwatne i stosowne do celu przetwarzania, ograniczone do tego co niezbędne – 5 ust. 1 lit c RODO (w tym przypadku windykacji należności), prawidłowe – art. 5 ust. 1 lit. d RODO), jeśli administrator danych nie zrealizował na żądanie podmiotu danych obowiązku dostarczenia kopii danych na ten moment przetwarzania.
Uprawnienie do otrzymania od administratora kopii danych osobowych jest elementem prawa dostępu do danych osobowych (art. 15 ust. 3 w zw. z art. 15 ust. 1 RODO).
Pozostałe kwestie podniesione w skardze pozostają bez wpływu na wynik sprawy. Prezes UODO nie nakazał udostępnienia dokumentów a dostarczenie kopii danych.
Nie ma wątpliwości, zarówno w świetle treści zaskarżonej decyzji, jak i w świetle orzecznictwa Trybunału, że pojęcie kopii odnosi się zasadniczo nie do dokumentu jako takiego ale do danych osobowych, które on zawiera (wyrok wyroku Trybunału (pierwsza izba) z dnia 4 maja 2023 r. sygn. C-487/21, wyrok Trybunału z dnia 26 października 2023 r. sygn. C- 307/22; EUR-Lex-62021CJ0487). W orzecznictwie Trybunału przesądzono przy tym, w jakich okolicznościach prawo to obejmuje prawo do uzyskania kopii fragmentów dokumentów, czy całych dokumentów. W powołanym wyroku wskazano bowiem, że prawo to obejmuje prawo do uzyskania "kopii fragmentów dokumentów lub całych dokumentów, lub też wyciągów z baz danych, które zawierają między innymi te dane jeżeli dostarczenie takiej kopii jest niezbędne do umożliwienia osobie, której dane dotyczą, skutecznego wykonywania praw przyznanych jej przez to rozporządzenie, przy czym wymaga podkreślenia, że należy w tym względzie uwzględnić prawa i wolności innych osób".
Odnosząc się do zarzutów skargi w tym aspekcie wskazania wymaga, że organ nie rozważał w sprawie, na tym etapie postępowania, kwestii dostarczenia dokumentów. Argumentacja skargi w odniesieniu do powyższego nie jest zatem zrozumiała.
W sprawie bezspornie ustalono, że przetwarzanie danych (przekazanie danych) podmiotowi przetwarzającemu miało miejsce, a podmiot danych ma prawo do uzyskania kopii danych przetwarzanych na ten moment (przekazanych przez administratora podmiotowi przetwarzającemu) w związku z procesem windykacji wierzytelności.
Ponownie rozpatrując sprawę organ uwzględni przedstawioną wyżej ocenę prawną i wskazania Sądu. Organ obowiązany jest przede wszystkim rozważyć wszechstronnie, czy przekazana uczestnikowi postępowania kopia danych przy piśmie [...] z dnia [...] grudnia 2020 r. stanowi kopię danych żądanych przez A. R. w dniu [...] marca 2019 r. W przypadku stwierdzenia, przy pełnej, wyczerpującej ocenie organu w tym zakresie, że ta kopia danych nie stanowi dostarczenia kopii danych żądanych pierwotnie przez uczestnika postępowania w dniu [...] marca 2019 r., organ podejmie dalsze działania w sprawie. Organ obowiązany będzie wówczas ustalić przede wszystkim, czy [...] przetwarza (w jakikolwiek sposób, w tym przechowuje, archiwizuje) dane A. R., które były przekazane przez [...] do podmiotu przetwarzającego (firmy windykacyjnej) w celu dochodzenia należności, a zatem czy [...] dysponuje kopią danych, co do których A. R. złożył żądanie w dniu [...] marca 2019 r. Kwestia ta ma kluczowe znaczenie dla możliwości nałożenia przez organ na administratora danych, tj. [...] obowiązku dostarczenia kopii danych osobowych, o którym to żądaniu jest mowa we wniosku A. R. z dnia [...] marca 2019 r.
Zależnie od poczynionych w sprawie pełnych ustaleń faktycznych i dokonanej wszechstronnej oceny materiału dowodowego organ podejmie stosowną decyzję.
Mając powyższe na uwadze Wojewódzki Sąd Administracyjny w Warszawie,
na podstawie art. 145 § 1 pkt 1 lit. c ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (t.j. Dz. U. z 2023 r., poz. 1634 ze zm.), orzekł jak w punkcie 1 wyroku. O zwrocie kosztów postępowania, jak w punkcie 2 wyroku Sąd orzekł na podstawie art. 200 w zw. z art. 205 powołanej ustawy. Do kosztów tych Sąd zaliczył uiszczony wpis od skargi (200 zł), wynagrodzenie pełnomocnika reprezentującego skarżącego (480 zł) i opłatę skarbową uiszczoną od dokumentu pełnomocnictwa (17 zł).