II SA/WA 961/22

II SA/Wa 961/22 - Wyrok WSA w Warszawie
Data orzeczenia
2023-01-30
orzeczenie nieprawomocne
Data wpływu
2022-06-07
Sąd
Wojewódzki Sąd Administracyjny w Warszawie
Sędziowie
Agnieszka Góra-Błaszczykowska /przewodniczący/
Andrzej Góraj
Łukasz Krzycki /sprawozdawca/
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne
Ochrona danych osobowych
Sygn. powiązane
III OSK 1377/23 - Postanowienie NSA z 2023-07-07
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Oddalono skargę
Powołane przepisy
Dz.U. 2023 poz 259
ART. 151
Ustawa z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi - t.j.
Dz.U.UE.L 2016 nr 119 poz 1 ART. 58 UST. 2 LIT. F, ART. 82 UST. 3, ART. 17 UST. 3 LIT. E, ART. 6 UST. 1 LIT. C
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z  przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE
Sentencja
Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący: sędzia WSA Agnieszka Góra – Błaszczykowska Sędziowie: sędzia WSA Andrzej Góraj sędzia WSA Łukasz Krzycki ( spr.) Protokolant st. sekr. sądowy Maryla Wiśniewska po rozpoznaniu na rozprawie w dniu 30 stycznia 2023 r. sprawy ze skargi K. Sp. j. z siedzibą we W. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] marca 2022 r. nr: [...] w przedmiocie przetwarzania danych osobowych oddala skargę
Uzasadnienie
Zaskarżoną decyzją – przywołując art. 104 ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego (Dz.U. z 2021 r., poz. 735 ze zm.), zwanej dalej "K.p.a.", wobec skargi p. M. M., zwanego dalej "Wnioskodawcą", na nieprawidłowości w procesie przetwarzania jego danych osobowych przez [...] sp.j., zwaną dalej "Spółką", polegające na odmowie usunięcia jego danych osobowych – nakazano Spółce usunięcie danych osobowych Wnioskodawcy.
W uzasadnieniu decyzji przywołano następujące okoliczności faktyczne i prawne uwarunkowania sprawy:
- do organu wpłynęła skarga Wnioskodawcy,
- w toku postępowania ustalono następujący stan faktyczny:
- wedle Wnioskodawcy [...] kwietnia 2019 r. odebrał on automatyczne połączenie telefoniczne od Spółki; żadne jego dane osobowe nie były wcześniej, jak i w trakcie połączenia telefonicznego, udostępniane Spółce; w tym samym dniu Wnioskodawca wysłał pocztą elektroniczną pismo z żądaniem zaprzestania gromadzenia, przetwarzania i usunięcia wszystkich swoich danych; [...] maja 2019 r. otrzymał pismo informujące o odmowie zaprzestania przetwarzania i usunięcia jego danych osobowych posiadanych przez Spółkę i podmioty z nią powiązane (tak: skarga z [...] maja 2019 r.),
- Spółka wskazała, że pozyskała dane osobowe Wnioskodawcy, dotyczące prowadzonej przez niego działalności gospodarczej, z bazy Centralnej Ewidencji i Informacji o Działalności Gospodarczej, zwanej dalej "CEIDG ([...] stycznia 2018 r.) oraz - dwa numery telefonów Wnioskodawcy - od spółki [...] sp. z o.o., zwanej "Spółką II" ([...] kwietnia 2019 r.); podstawę prawną pozyskania danych osobowych był art. 6 ust. 1 lit. f rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz.Urz. UE L. nr 119. str. 1, ze zm.), zwanego dalej "RODO",, a jego celem był prawnie uzasadniony interes Spółki - marketing produktów i usług Spółki; zakres pozyskanych danych osobowych z bazy CEIDG obejmował: nazwę firmy, adres siedziby, numer NIP i numer REGON; dane osobowe dotyczące numeru telefonu Wnioskodawcy pozyskano na podstawie jego zgody, udzielonej Spółce II (tak: pisma Spółki z [...] lipca 2019 r., [...] sierpnia oraz [...] października 2020 r.),
- Spółka przetwarza obecnie dane osobowe Wnioskodawcy z uwagi na dyspozycję art. 17 ust. 3 lit. e RODO - do ustalenia, dochodzenia lub obrony roszczeń; będzie je przetwarzać zgodnie z powszechnie obowiązującymi przepisami regulującymi przedawnienie roszczeń (tak: pismo Spółki z [...] lipca 2019 r.),
- [...] kwietnia 2019 r. Wnioskodawca złożył do Spółki sprzeciw wobec dalszego przetwarzania jego danych osobowych oraz zwrócił się - na podstawie art. 17 RODO - o usunięcie wszystkich danych osobowych, które go dotyczą; Spółka ustosunkowała się do żądania Wnioskodawcy - kierując doń pismo z [...] kwietnia 2019 r.; powiadomiła w nim o usunięciu jedynie części danych osobowych Wnioskodawcy i dalszym przetwarzaniu: numeru NIP, numeru telefonu oraz adresu e-mail; odmówiła także spełnienia w całości żądania; twierdziła, że - jako administrator - ma prawo przetwarzać dane osobowe Wnioskodawcy w celu ustalenia, dochodzenia lub obrony roszczeń oraz aby móc wykazać, że spełniła częściowo żądanie usunięcia danych, a także w celu uniknięcia ponownego wykorzystania danych osobowych Wnioskodawcy w celach marketingowych (tak: załącznik do skargi z [...] maja 2019 r.),
- Spółka poinformowała, że nie przetwarza danych osobowych Wnioskodawcy w zakresie adresu email (tak: pismo Spółki z [...] października 2020 r.),
- Wnioskodawca nie wystąpił wobec Spółki z żadnym roszczeniem, ani Spółka nie wystąpiła z żadnym roszczeniem wobec niego (tak: pismo Spółki z [...] sierpnia 2020 r.),
- przedmiotowa sprawa dotyczy danych z zakresu tzw. "zwykłych"; ich przetwarzanie reguluje art. 6 ust. 1 RODO; zgodnie z nim, przetwarzanie danych osobowych jest dopuszczalne tylko przy spełnieniu jednej ze wskazanych w tym przepisie przesłanek; ich katalog jest zamknięty; każda z przesłanek, legalizujących proces przetwarzania danych osobowych, ma charakter autonomiczny i niezależny; są więc one - co do zasady – równoprawne; wobec tego spełnienie co najmniej jednej z nich stanowi o zgodnym z prawem przetwarzaniu danych osobowych; stosownie do art. 6 ust. 1 lit. f RODO, przetwarzanie jest zgodne z prawem gdy jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec nich mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych,
- ponadto - zgodnie z art. 17 ust. 1 RODO - osoba, której dane dotyczą, ma prawo żądania niezwłocznego usunięcia dotyczących jej danych osobowych, - a administrator ma obowiązek bez zbędnej zwłoki usunąć dane osobowe, jeżeli zachodzi jedna z następujących okoliczności:
a) dane nie są już niezbędne do celów, w których zostały zebrane lub w inny sposób przetwarzane,
b) osoba, której dane dotyczą, cofnęła zgodę, na której opiera się przetwarzanie i nie ma innej podstawy prawnej przetwarzania,
c) osoba, której dane dotyczą, wnosi sprzeciw na mocy art. 21 ust, 1 wobec przetwarzania i nie występują nadrzędne prawnie uzasadnione podstawy przetwarzania lub osoba, której dane dotyczą, wnosi sprzeciw na mocy art. 21 ust. 2 wobec przetwarzania,
d) dane osobowe były przetwarzane niezgodnie z prawem,
e) dane osobowe muszą zostać usunięte w celu wywiązania się z obowiązku prawnego przewidzianego w prawie Unii lub prawie państwa członkowskiego, któremu podlega administrator,
f) dane osobowe zostały zebrane w związku z oferowaniem usług społeczeństwa informacyjnego, o których mowa w art. 8 ust. 1;
zgodnie z art. 21 ust. 3 lit. e RODO przepis ten nie ma natomiast zastosowania, gdy przetwarzanie jest niezbędne m.in. do ustalenia, dochodzenia lub obrony roszczeń,
- w toku postępowania ustalono, że Spółka przetwarzała dane osobowe Wnioskodawcy w celu realizacji swoich prawnie uzasadnionych interesów - marketingu produktów i usług Spółki; [...] kwietnia 2019 r. Wnioskodawca wniósł do Spółki sprzeciw i wynikające z art. 17 RODO żądanie usunięcia danych osobowych; Spółka powinna więc uwzględnić sprzeciw Wnioskodawcy i - wobec braku innych podstaw przetwarzania - usunąć jego dane - zgodnie z art. 17 ust. 1 lit. c RODO,
- w związku z tym Spółka niezasadnie odmówiła spełnienia żądania Wnioskodawcy,
- odnosząc się do powołanego przez Spółkę celu ewentualnego ustalenia, dochodzenia lub obrony przed roszczeniami wskazano: zebrany materiał dowodowy nie wykazał, aby Wnioskodawca wystąpił z jakimkolwiek roszczeniem wobec Spółki, które uzasadniałoby zachowanie i przetwarzanie jego danych osobowych dla celów dowodowych - w związku z dochodzeniem przez Wnioskodawcę roszczenia; przesłanka z art. 6 ust. 1 lit. f RODO dotyczy sytuacji już istniejącej, gdzie celem - wynikającym z prawnie uzasadnionych interesów administratora - jest udowodnienie, dochodzenie lub obrona przed roszczeniem istniejącym, nie zaś przypadku, gdy dane są przetwarzane w celu zabezpieczenia się przed ewentualnym roszczeniem; organ podziela stanowisko judykatury, sformułowane wobec analogicznej do art. 6 ust. 1 lit. f RODO przesłanki - wynikającej z art. 23 ust. 1 pkt 5 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz.U. z 2016 r. poz. 922 ze zm.), dotyczącej dopuszczalności przetwarzania danych osobowych dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, gdy przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą; Naczelny Sąd Administracyjny – w wyroku z 6 marca 2019 r. (sygn. akt I OSK 994/17 – dostępny na stronie internetowej orzeczenia.nsa.gov.pl/cbo/query - w Centralnej Bazie Orzeczeń Sądów Administracyjnych, zwanej dalej "CBOSA") - wskazał: "[...] art. 23 ust. 1 pkt 5 ustawy na pierwszym miejscu wymienia warunek, że przetwarzanie danych winno być niezbędne dla wypełnienia prawnie usprawiedliwionych celów. Prawidłowe jest stanowisko Sądu pierwszej instancji, że niedopuszczalne jest przetwarzanie danych osobowych niejako "na zapas" z założeniem, że mogą być one ewentualnie przydatne w przyszłości.",
- przy przyjęciu odmiennej interpretacji wskazanych przepisów, Wnioskodawca byłby pozbawiony ochrony na gruncie RODO; akceptacja stanowiska, że przetwarzanie danych osobowych w celu uchylenia się od negatywnych skutków w przypadku zgłoszenia w przyszłości ewentualnego i nieokreślonego roszczenia, stanowi prawnie usprawiedliwiony cel - w rozumieniu art. 6 ust. 1 lit. f RODO - oznaczałoby możliwość permanentnego przetwarzania przez Spółkę danych osobowych Wnioskodawcy - bez konieczności ich usunięcia; teoretycznie jest przecież możliwe aby zwrócił się on do Spółki z roszczeniem po upływie terminu przedawnienia roszczenia; prowadziłoby to więc do uznania, że przetwarzanie danych osobowych Wnioskodawcy ma uzasadnienie w przesłance określonej art. 6 ust. 1 lit. f RODO w celu realizacji prawa do obrony przed ewentualnymi roszczeniami również po upływie terminu przedawnienia,
- nie ma uzasadnienia dla przyjęcia, że dotyczące przedawnienia roszczeń wynikających ze stosunków zobowiązaniowych terminy określają jednocześnie ramy czasowe, w których dane osobowe mogą być przetwarzane przez Spółkę; przedawnienie roszczenia nie wywołuje skutków na gruncie ochrony danych osobowych, nie wpływa bowiem na istnienie roszczenia; powoduje jedynie zmianę w sferze zarzutów procesowych - w postaci możliwości podniesienia okoliczności przedawnienia w sporze sądowym; okolicznością usprawiedliwiającą przetwarzanie danych osobowych w celu dochodzenia roszczeń jest samo istnienia roszczenia oraz zamiar jego dochodzenia, nie jest nią natomiast zmiana w uprawnieniach procesowych podmiotu pozwanego,
- nie zasługuje na uwzględnienie twierdzenie Spółki, że przetwarzanie danych osobowych Wnioskodawcy - w zakresie numeru NIP, numeru telefonu oraz adresu e-mail w celu uniknięcia ponownego wykorzystania danych osobowych Wnioskodawcy w celach marketingowych - znajduje uzasadnienie w którejkolwiek z przesłanek z art. 6 ust. 1 RODO; usunięcie danych osobowych na podstawie wynikającego z art. 17 ust. 1 RODO żądania może być też zrealizowane za pomocą dowolnych działań, które jednak mają przynieść jeden konkretny efekt - wykluczyć możliwość identyfikacji określonej osoby (tak wyrok NSA o sygn. akt I OSK 2170/15 – dostępny w CBOSA); działania Spółki - polegające na ograniczeniu zakresu danych osobowych Wnioskodawcy, przetwarzanych w celu uniknięcia ponownego wykorzystania jego danych - nie realizują wskazanego celu; w art. 17 ust. 3 RODO przewidziano też szereg włączeń od wskazanych uprawnień; żaden z nich nie obejmuje jednak wskazanego przez Spółkę celu,
- w niniejszej sprawie brak jest więc celu, uzasadniającego dalsze przetwarzanie danych osobowych Wnioskodawcy przez Spółkę; nie zaistniała żadna z wyrażonych w art. 6 ust. 1 RODO przesłanka, która stanowiłaby o legalności tego procesu; dlatego - korzystając z uprawnienia, przewidzianego w art. 58 ust. 2 lit. c RODO - nakazano Spółce usunięcie danych osobowych Wnioskodawcy.
W skardze zarzucono wydanie skarżonej decyzji z naruszeniem naruszenie przepisów prawa materialnego:
- art. 58 ust. 2 lit. c wobec lit. f RODO, w zw. z art. 118 ustawy z dnia 23 kwietnia 1964 r. - Kodeks cywilny (Dz. U. z 2020 r., poz. 1740), zwanej dalej: "K.c.", polegające na ich niewłaściwym zastosowaniu i przyjęciu, że przetwarzanie przez Spółkę danych osobowych Wnioskodawcy dla celów ustalenia, dochodzenia lub obrony przed roszczeniami nie stanowi prawnie uzasadnionego interesu w rozumieniu art. 6 ust. 1 lit. f RODO; w konsekwencji uznano, że Spółka nie legitymuje się przesłanką uzasadniającą przetwarzanie i wydano bezzasadny nakaz usunięcia danych; Spółka tymczasem legitymowała się i nadal legitymuje podstawą prawną do przetwarzania danych osobowych Wnioskodawcy - wyrażoną w art. 6 ust. 1 lit. f RODO,
- art. 58 ust. 2 lit. c wobec art. 17 ust. 1 i 3 lit. e RODO, w zw. z art. 118 K.c., polegające na ich niewłaściwym zastosowaniu i przyjęciu, że przetwarzanie przez Spółkę danych osobowych Wnioskodawcy dla celów ustalenia, dochodzenia lub obrony przed roszczeniami nie stanowi wyjątku, o którym mowa w art. 17 ust. 3 lit. e RODO; w konsekwencji wydano bezzasadny nakaz usunięcia danych,
- art. 58 ust. 2 lit. f RODO w zw. z art. 118 K.c. polegające na jego niezastosowaniu i nienałożeniu przez organ na Spółkę ograniczenia przetwarzania danych osobowych; ograniczenie to powinno skutkować zawężeniem przetwarzania przez Spółkę danych osobowych Wnioskodawcy do celu ustalenia, dochodzenia lub obrony przed jego roszczeniami do upływu terminu przedawnienia tych roszczeń; z materiału dowodowego wynika zaś, że Spółka ma podstawy do przetwarzania danych w celu ustalenia, dochodzenia lub obrony przed roszczeniami; nałożenie na Spółkę obowiązku usunięcia danych Wnioskodawcy - w oparciu o art. 58 ust. 2 lit. c RODO - uniemożliwi jednocześnie Spółce ustalenie, dochodzenie lub obronę przed roszczeniami Wnioskodawcy,
- art. 58 ust. 2 lit. f w zw. z art. 5 ust. 2 i art. 17 ust. 3 lit. b oraz art. 82 ust. 1 RODO, polegające na jego niezastosowaniu i nienałożeniu przez organ na Spółkę ograniczenia przetwarzania danych osobowych; ograniczenie to powinno skutkować zawężeniem przetwarzania danych osobowych Wnioskodawcy do celu spełnienia przez Spółkę obowiązku prawnego, wynikającego z art. 5 ust. 2 RODO - obowiązku wykazania przez Spółkę przestrzegania tzw. zasady rozliczalności, o której mowa w tym przepisie; w konsekwencji uniemożliwi to Spółce wykazanie, że spełniła bądź nie spełniła żądania Wnioskodawcy w zakresie jego wniosku, opartego o art. 17 ust. 1 RODO i jej zwolnienie z odpowiedzialności zgodnie z art. 82 ust. 3 RODO.
W szerokim uzasadnieniu rozwinięto powyższe zarzuty.
W odpowiedzi na skargę organ wniósł o jej oddalenie, podtrzymując dotychczasową argumentację.
W dodatkowym piśmie procesowym (k. 55-56) Wnioskodawca przyłączył się do stanowiska organu podnosząc, że nie występował z żadnym roszczeniem przeciw w Spółce zaś ta - formując swoje stanowisko - nie wskazała nawet z jakimi teoretycznie roszczeniami mógłby wystąpić i wobec jakich regulacji. Podnoszono też, że - w razie ewentualnego wystąpienia przez Wnioskodawcę na drogę sądową - Spółkę uzyska wszystkie jego dane osobowe, jako wskazane przez inicjującego sprawę.
W ripoście do tego stanowiska (k. 66-70) Spółka wskazała, że organ nie odnosił się w odpowiedzi do argumentacji jej skargi, gdzie wskazywano na znaczne prawdopodobieństwo wystąpienia z roszczeniem wobec zapowiedzi samego Wnioskodawcy - w piśmie z [...] kwietnia 2019 r. Podnoszono, że rolą Spółki nie może być analiza, jakie ewentualnie szkody mógł ponieść Wnioskodawca dla oceny, czy przetwarzać jego dane dla ochrony przed roszczeniami. Usunięcie danych osobowych Wnioskodawcy - wedle nakazu w zaskarżonej decyzji - uniemożliwi zaś ochronę uzasadnionych interesów Spółki przed wszelkimi jego roszczeniami.
Sąd zważył, co następuje.
Skarga nie zasługuje na uwzględnienie, gdyż zaskarżona decyzja nie narusza prawa.
Trafnie organ ustalił istotne uwarunkowania faktyczne sprawy a także przywołał jej ramy prawne w kwestii braku podstaw prawnych do dalszego przetwarzania danych osobowych Wnioskodawcy przez Spółkę i wynikającej stąd powinności ich usunięcia w następstwie konkretnego żądania zainteresowanego. Wobec szczegółowego zreferowanie jego stanowiska, powtarzanie wcześniejszej argumentacji byłoby bezzasadne. Sąd przyjmuje ją za własną, z zastrzeżeniem uwagi dotyczącej znaczenia terminu przedawnienia roszczeń (w dalszej części uzasadnienia), co jednak nie ma istotnego znaczenia dla wyniku sprawy.
Odnosząc się do wywodów skargi należy dodać, że Sąd w pełni podziela utrwalone już w judykaturze stanowisko, wyrażone w powołanym przez organ wyroku o sygn. akt I OSK 994/17.
W sprawie jest poza sporem, że pomiędzy Spółką i Wnioskodawcą nie nawiązał się żaden stosunek zobowiązaniowy - nie skorzystał on ze złożonej drogą telefoniczną oferty, lecz zażądał wyłącznie usunięcia przetwarzanych przez Spółkę jego danych osobowych. Brak stosunku zobowiązaniowego między stronami nie wyklucza oczywiście potencjalnie możliwości wystąpienia z określonymi roszczeniami np. o charakterze odszkodowawczym wobec uszczerbku we dobrach majątkowych lub innych, jakie może wyrządzić Spółka każdej osobie trzeciej ewentualnymi działaniami bezprawnymi - np. w kontekście przetwarzania danych osobowych. Kwestią sporną jest, czy samo zagrożenie wystąpieniem z roszczeniami może stanowić podstawę przetwarzania danych, zwłaszcza wobec osoby, która taką potencjalną groźbę formułuje (tak część końcowa pisma Wnioskodawcy do Spółki z [...] kwietnia 2019 r.).
Zdaniem Sądu, jak trafnie wywiódł organ, samo zagrożenie roszczeniem nie może w rozpatrywanej sytuacji stanowić wystarczającej podstawy przetwarzania danych osobowych – w szczególności w myśl art. 6 ust. 1 lit. f bądź art. 17 ust. 3 lit. e RODO.
Wpierw wypada wskazać, że brak generalnie podstaw do oddzielenia od pozostałych przypadku, gdy w żądaniu o usunięciu danych osobowych zapowiedziano ewentualne roszczenia. Także bowiem w razie braku stosownej zapowiedzi potencjalnie możliwe jest wystąpienie z roszczeniem. O ile więc już sama ewentualność roszczeń uzasadniałaby dalsze przytrzymywanie danych osoby w zasobach administratora, podstawa do ich przetwarzania musiałaby istnieć w każdym przypadku. Wystąpienie z roszczeniami jest wszak zawsze potencjalnie możliwe. Możliwość żądania usunięcia danych wedle treści art. 17 ust. 1 RODO byłaby w takim przypadku w istocie iluzoryczna a dotyczyłaby dopiero okresu po przedawnieniu ewentualnych roszczeń. Dodatkowo, gdyby podstawą przetwarzania danych mogłoby być samo ich posiadania w zasobie przez określony czas - wobec ryzyka wystąpienia z roszczeniami, co do prawidłowości przetwarzania czy ich usunięcia w odpowiednim zakresie czy terminie (tak argumentacja Spółki) - w istocie dane identyfikujące konkretną osobę nie mogłyby być usunięte nigdy. Od terminu pełnego usunięcia należałoby bowiem obliczać dopiero termin przedawnienia roszczeń, dotyczących legalności przetwarzania przed tym zdarzeniem. Dla pełnego zabezpieczenia przed roszczeniami podmioty mogłyby więc nigdy nie usunąć danych osób, których dane przetwarzały kiedykolwiek.
Powyższe konstatacja prowadzi do wniosku, że właściwe wyłożenie reguł przetwarzania danych osobowych - w tym realizacji możliwości żądania ich usunięcia, wobec ograniczenia z art. 17 ust. 3 lit. e RODO - musi być oparte na założeniu braku pełnego zabezpieczenia przed ewentualnymi roszczeniami interesu administratora, który czasowo przetwarza dane osobowe podmiotów. Jego interes nie może być zabezpieczony (w rozumieniu pojęcia "prawnie usprawiedliwiony cel") do tego stopnia, aby mógł on przechowywać dane osobowe, które przetwarzał wyłącznie w celu ochrony - w razie wystąpienia roszczeń, związanych z samym tym zdarzeniem. W tym kontekście nie może mieć też istotnego znaczenia sama ogólna zapowiedź, że określony podmiot może wystąpić z roszczeniami - jak w rozpatrywanym przypadku.
Chybiona jest jedynie, w ocenie Sądu, argumentacja organu, jakoby w istocie termin przedawnienia roszczeń nie mógł nigdy mieć znaczenia w kontekście określenia końcowego czasu przetwarzania danych dla ochrony przed roszczeniami, wobec możliwości ich dochodzenia nieskończenie długo, zaś dopuszczalne jest tylko powołanie się na ich przedawnienie. Podstawą przetwarzania danych jest bowiem "prawnie usprawiedliwiony cel" administratora, co musi poddawać się zobiektywizowanej ocenie także z perspektywy założenia racjonalnego działania stron. Nie sposób zaś uznać, aby "prawnie usprawiedliwionym celem" było dalsze przechowywanie danych, gdy ochrona przed wszelkimi ewentualnymi roszczeniami może być już zrealizowana przez powołanie na przedawnienie - bez konieczności ustalania czy faktycznie po stronie administratora istniał jakiekolwiek nieprawidłowości w procesie przetwarzania danych. Przetwarzanie danych po przedawnieniu roszczeń nie może być więc, co do zasady uzasadnione prawnie usprawiedliwionym celem administratora, w rozumieniu art. 6 ust. 1 lit. f RODO. Mylne stanowisko organu w tym względzie nie ma jednak istotnego znaczenia dla meritum taj sprawy.
Formując powyższą ocenę Sąd miał na uwadze, że - co zauważa Spółka w skardze oraz w replice - całkowite usunięcie danych osobowych Wnioskodawcy, może uniemożliwić - jeżeli wystąpi on z konkretnymi roszczeniami - odtworzenie po stronie administratora zdarzeń związanych z relacjami pomiędzy Spółką a Wnioskodawcą, jeżeli mogą być one identyfikowane wyłącznie jego danymi osobowymi - te zaś zostaną usunięte. Trzeba mieć jednak na uwadze, że w takim przypadku (braku danych po stronie pozwanego) to na Wnioskodawcy będzie spoczywać ciężar udowodnienia ewentualnych nieprawidłowości w procesie przetwarzania jego danych. Skoro administrator nie był obowiązany dalej przetwarzać danych Wnioskodawcy – nawet tego nie mógł tego czynić, wobec wniesienia stosownego sprzeciwu – nie dotyczy go obowiązek wykazania realizacji zasady minimalizacji przetwarzania danych i rozliczalności w kontekście konkretnego zasobu, dotyczącego samego Wnioskodawcy. Nie sposób uznać, aby obowiązek minimalizacji czy rozliczalności przetwarzania danych miał stanowić samodzielną podstawę ich przetwarzania, wobec żądania ich usunięcia przez zainteresowanego (tak wywody skargi). Nie może tez stanowić podstawy poszerzenia zakresu przetwarzania danych reguła z art. 82 ust. 3 RODO (obowiązek udowodnienie, że administrator w żaden sposób nie ponosi winy za zdarzenie, które doprowadziło do powstania szkody). Taka wykładania stosownych regulacji nie byłaby racjonalna, w kontekście ogólnych celów RODO – minimalizacji przetwarzania danych.
Z kolei ocena samego bezpodstawnego przetwarzania danych osobowych Wnioskodawcy - w okresie pomiędzy przedłożeniem przezeń Spółce stosownego żądania ich usunięcia a wykonaniem zaskarżonej decyzji, którą nakazano usunięcie danych - nie będzie wymagała dokonywania dodatkowych ustaleń faktycznych wobec przesądzenia danej kwestii - stwierdzenia nieprawidłowości i jej zakresu - prawomocną decyzją administracyjną.
W tych realiach, przy ważeniu interesu administratora oraz osób zainteresowanych ograniczeniem przetwarzania ich danych osobowych - wedle kryterium "prawnie usprawiedliwionego celu" w rozumieniu art. 6 ust. 1 lit. f RODO - uzasadniona jest konkluzja, że słuszny interes tych ostatnich przemawia za takim rozumieniem art. 17 ust. 3 lit. e RODO, aby sama potencjalna możliwość wystąpienia z roszczeniami osoby, której dane były przetwarzane dla celów złożenia telefonicznej oferty - co uczyniono bez dokonywania dalszych czynności zaś oferty nie przyjęto - nie może stanowić podstawy przetwarzanie danych.
Słusznie także skonstatował organ, że – gdy zainteresowany wystąpi z żądaniem usunięcia swoich danych osobowych - podstawą ich przetwarzania nie może być interes oferenta, upatrywany w wyeliminowaniu sytuacji ponownego składania propozycji tej samej osobie. W razie późniejszego ponownego, legalnego pozyskania przez administratora danych osobowych Wnioskodawcy ze źródeł zewnętrznych, może zostać do niego skierowana kolejna oferta. Spółka nie będzie bowiem mogła go zidentyfikować – np. w bazie osób, wobec których oferty nie mają być przedstawiane - wobec żądanie samego Wnioskodawcy usunięcia wszelkich jego danych z baz Spółki nie zaś tylko z zasobów osób, którym proponuje się usługi.
Wobec powyższych uwarunkowań chybione są zarzuty, jakoby naruszono powołane w skardze przepisy prawa materialnego, zakreślające ramy, gdy prawodawca dopuszcza przetwarzanie danych osobowych, zwłaszcza wbrew woli zainteresowanego - w szczególności art. 17 ust. 3 lit. e wobec treści art. 6 ust. 1 lit. f RODO, przez jego niewłaściwą – zawężającą - wykładnię. Nie naruszono też przepisu określającego kompetencje wyspecjalizowanego organu do wydawania decyzji o charakterze naprawczym, w następstwie stwierdzenia nieprawidłowości - nie usunięcie danych osobowych Wnioskodawcy pomimo skierowania do Spółki stosownego, zasadnego żądania w danym zakresie. W szczególności nie było też podstaw, aby nakazać usunięcie danych osobowych Wnioskodawcy jedynie w określonym czasie lub zakresie - tak powołany w skardze art. 58 ust. 2 lit. f RODO. Jak wskazano, podstawą dla przetwarzania danych Wnioskodawcy nie mogą być też same, powołane w skardze przepisy K.c., gdzie określono zasady przedawnienia roszczeń bądź określone art. 82 ust. 3 RODO reguły dowodowe.
Sąd nie dopatrzył się więc w zaskarżonym akcie - w świetle zarzutów skargi ani z urzędu - wad, które uzasadniałyby jego wyeliminowanie z obrotu prawnego.
Z przytoczonych wyżej przyczyn - na podstawie art. 151 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (Dz.U. z 2022 r., poz. 329 ze zm.) - orzeczono jak w sentencji.
-----------------------
19