III OSK 250/23

III OSK 250/23 - Wyrok NSA
Data orzeczenia
2026-01-08
orzeczenie prawomocne
Data wpływu
2023-02-08
Sąd
Naczelny Sąd Administracyjny
Sędziowie
Hanna Knysiak - Sudyka
Przemysław Szustakiewicz /sprawozdawca/
Zbigniew Ślusarczyk /przewodniczący/
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne
Inne
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Oddalono skargę kasacyjną
Powołane przepisy
Dz.U. 2019 poz 2325
art. 184
Ustawa z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi - t.j.
Sentencja
Naczelny Sąd Administracyjny w składzie: Przewodniczący: sędzia NSA Zbigniew Ślusarczyk Sędziowie: sędzia NSA Przemysław Szustakiewicz (spr.) sędzia del. WSA Hanna Knysiak-Sudyka Protokolant starszy asystent sędziego Przemysław Iżycki po rozpoznaniu w dniu 8 stycznia 2026 r. na rozprawie w Izbie Ogólnoadministracyjnej skargi kasacyjnej Prezesa Urzędu Ochrony Danych Osobowych od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 12 października 2022 r. sygn. akt II SA/Wa 584/22 w sprawie ze skargi Biura Informacji Gospodarczej InfoMonitor S.A. z siedzibą w Warszawie na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia 21 stycznia 2022 r. nr DS.523.1911.2021.FT.MW/154679 w przedmiocie przetwarzania danych osobowych 1. oddala skargę kasacyjną, 2. zasądza od Prezesa Urzędu Ochrony Danych Osobowych na rzecz Biura Informacji Gospodarczej InfoMonitor S.A. z siedzibą w Warszawie kwotę 360 (słownie: trzysta sześćdziesiąt) zł tytułem zwrotu kosztów postępowania kasacyjnego.
Uzasadnienie
Wojewódzki Sąd Administracyjny w Warszawie, wyrokiem z dnia 12 października 2022 r., sygn. akt II SA/Wa 584/22, po rozpoznaniu sprawy ze skargi Biura Informacji Gospodarczej InfoMonitor S.A. z siedzibą w Warszawie; uchylił zaskarżoną decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia 21 stycznia 2022 r., nr DS.523.1911.2021.FT.MW/154679 w przedmiocie przetwarzania danych osobowych oraz zasądził zwrot kosztów postępowania. W sprawie ustalono następujący stan faktyczny i prawny:
Do Prezesa Urzędu Ochrony Danych Osobowych wpłynęła skarga W.C. na nieprawidłowości w procesie przetwarzania jego danych osobowych przez Biuro Informacji Gospodarczej InfoMonitor S.A. z siedzibą w Warszawie (zwane dalej "BIG"), polegające na niespełnieniu przez BIG wobec W.C. żądania wynikającego z art. 15 ust. 3 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z 4 maja 2016 r., str. 1, Dz. Urz. L 127 z 23 maja 2018 r., str. 2 oraz Dz. Urz. UE L 74 z 4 marca 2021, str. 35, dalej RODO).
W toku prowadzonego postępowania administracyjnego Prezes Urzędu Ochrony Danych Osobowych ustalił, że W.C. pismem z dnia 4 marca 2021 r. złożył do BIG wniosek o udostępnienie tzw. informacji ustawowej. BIG pismem z dnia 22 marca 2021 r. odmówił wydania żądanych informacji, uzależniając ich udzielenie od przekazania kopii dowodu osobistego wnioskodawcy. Wnioskodawca, uznając, że brak jest ku temu podstawy prawnej, jak i faktycznej odmówił przesłania dodatkowych danych. BIG w związku z tym nie zrealizował obowiązku wynikającego art. 15 ust. 3 RODO, co do udostępnienia kopii przetwarzanych danych osobowych wnioskodawcy. Wobec powyższego wnioskodawca wniósł o zrealizowanie jego żądania oraz nałożenie kary na BIG. Prezes UODO ustalił ponadto, że BIG przetwarza aktualnie dane osobowe wnioskodawcy w postaci jednej negatywnej informacji gospodarczej, tzn. świadczącej o nieuregulowaniu zobowiązania przekazanej przez B. oraz że wnioskodawca podjął kontakt z BIG pismem z dnia 4 marca 2021 r., w którym wniósł o udostępnienie dotyczących go informacji gospodarczych (w piśmie tym wskazane były jego dane osobowe w zakresie imienia, nazwiska, numeru PESEL i adresu). BIG wskazał, że w takich przypadkach udostępnia dane przesyłając tzw. "Raport o Sobie". Zasady udostępnienia "Raportu o Sobie" osobie fizycznej, która złożyła listowny wniosek, są uregulowane w Regulaminie Zarządzania Danymi uchwalonym przez BIG oraz zatwierdzonym przez ministra właściwego ds. gospodarki. W ocenie BIG, przedłożenie kserokopii dokumentu potwierdzającego tożsamość z informacjami zawierającymi: imię, nazwisko, numer PESEL, serię i numer dokumentu potwierdzającego tożsamość oraz datę ważności tego dokumentu jest konieczne w celu weryfikacji osoby występującej o raport. Służy to zapobieżeniu przypadkom, w których osoby nieuprawnione pozyskiwałyby informacje gospodarcze dotyczące innych osób. BIG wskazał także, że zgodnie z § 9 ust. 4 Regulaminem Zarządzania Danymi, pytający będący osobą fizyczną, który złożył listownie wniosek o udostępnienie Raportu o Sobie, Raportu z Rejestru Zapytań lub Raportu o Przedsiębiorcy, zobowiązany jest dołączyć do wniosku dowód wniesienia opłaty określonej w Cenniku oraz kserokopię dokumentu potwierdzającego tożsamość z informacjami zawierającymi: imię i nazwisko, PESEL, serię i numer dokumentu, datę ważności dokumentu. Pozostałe dane powinny być nieczytelne (zamazane). Raport, którego dotyczy wniosek, jest wysyłany pocztą na wskazany przez Pytającego adres do korespondencji w terminie 30 dni od dnia otrzymania wniosku przez BIG. Zgodnie z § 2 ust. 1 pkt 20 Regulaminu Zarządzania Danymi, "Raport o sobie" to zbiór informacji gospodarczych dotyczących Klienta lub Pytającego, udostępniony w zakresie określonym we wniosku. Z kolei przez informacje gospodarcze rozumie się dane określone w art. 2 ust. 1 ustawy z dnia 9 kwietnia 2010 r. o udostępnianiu informacji gospodarczych i wymianie danych gospodarczych (Dz. U. z 2020 r. poz. 389, dalej "ustawa o udostępnieniu informacji gospodarczych")
Mając na uwadze powyższe, Prezes UODO wskazał, że prawo dostępu do danych osobowych przetwarzanych przez BIG, nie jest równoznaczne z prawem dostępu do informacji gospodarczych przechowywanych przez BIG, na podstawie art. 22b ust. 1 ustawy o udostępnieniu informacji gospodarczych, których sposób i metody realizacji określone są w Regulaminie Zarządzania Danymi, na podstawie art. 11 ust. 1 pkt 4 ustawy o udostępnieniu informacji gospodarczych. W takiej sytuacji wniosek nie powinien być oceniany pod kątem spełnienia przesłanek ustalonych w powoływanym przez BIG Regulaminie Zarządzania Danymi, a zastosowanie powinny mieć przepisy RODO, w tym art. 12 ust. 6 RODO, zgodnie z którym, jeżeli administrator ma uzasadnione wątpliwości co do tożsamości osoby fizycznej składającej żądanie, o którym mowa w art. 15-21, może zażądać dodatkowych informacji niezbędnych do potwierdzenia tożsamości osoby, której dane dotyczą. W ocenie organu, dane osobowe w zakresie imienia i nazwiska oraz numeru PESEL są wystarczające, aby ustalić tożsamość wnioskodawcy. Wobec powyższego Prezes UODO uznał, że BIG naruszył obowiązek wskazany w art. 15 ust. 3 RODO. Realizując obowiązek wynikający z art. 15 ust. 3 RODO, administrator może poprzestać na wskazaniu treści danych dotyczących osoby, z wyłączeniem pozostałych informacji zawartych na nośniku. Wykonanie obowiązku określonego w art. 15 ust. 3 RODO może być zatem realizowane zarówno poprzez sporządzenie kopii lub odpisu dokumentu (nośnika) zawierającego dane osobowe oraz inne dane, jak i poprzez podanie uprawnionemu treści jego danych osobowych, z pominięciem informacji znajdujących się w nośniku, które nie są danymi osobowymi w rozumieniu art. 4 pkt 1 RODO. W przypadku udostępniania kopii danych osobowych przetwarzanych przez BIG podstawowe znaczenie ma treść danych. RODO nie posługuje się pojęciem udostępniania kopii dokumentów zawierających dane osobowe, jest w nim natomiast używane pojęcie kopii danych. Dlatego też Prezes UODO: 1) nakazał Biuru Informacji Gospodarczej InfoMonitor S.A. z siedzibą w Warszawie spełnienie wobec W.C. obowiązku określonego w art. 15 ust. 3 RODO poprzez udostępnienie mu kopii jego danych osobowych przetwarzanych przez Biuro Informacji Gospodarczej InfoMonitor S.A. z siedzibą w Warszawie; 2) w pozostałym zakresie odmówił uwzględnienia wniosku.
Z powyższą decyzją nie zgodziło się Biuro Informacji Gospodarczej InfoMonitor S.A. z siedzibą w Warszawie, które wniosło do Wojewódzkiego Sądu Administracyjnego w Warszawie skargę.
W odpowiedzi na skargę organ wniósł o jej oddalenie.
Powołanym na wstępie wyrokiem, Wojewódzki Sąd Administracyjny w Warszawie, na podstawie art. 145 § 1 pkt 1 lit. a i c ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2019 r., poz. 2325 ze zm., dalej "P.p.s.a.") uznał, że skarga zasługiwała na uwzględnienie.
Sąd I instancji wskazał, że wnioskodawca zwrócił się do BIG o: "(...) nadesłanie pod w/w adres kopii przetwarzanych przez Państwa moich danych osobowych w zakresie moich wpisów własnych, jak i dokonanych przez podmioty trzecie (...)".
Prezes UODO nakazał natomiast w decyzji Biuru Informacji Gospodarczej spełnienie wobec wnioskodawcy obowiązku określonego w art. 15 ust. 3 RODO poprzez udostępnienie mu kopii jego danych osobowych przetwarzanych przez Biuro Informacji Gospodarczej InfoMonitor S.A. z siedzibą w Warszawie. W pozostałym zakresie odmówił uwzględnienia wniosku.
Zgodnie z art. 4 ust. 1 RODO "dane osobowe" oznaczają wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej ("osobie, której dane dotyczą"); możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora takiego jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej.
Zakres wniosku złożonego przez wnioskodawcę do BIG nie dotyczył zatem udostępnienia kopii danych osobowych, a przynajmniej nie tylko tego zakresu informacji. Prezes UODO błędnie uznał powyższy wniosek za wniosek o udostępnienie kopii danych osobowych. Takim ustaleniom przeczy literalna treść złożonego wniosku. Powyższe błędne założenie doprowadziło Prezesa UODO do całkowicie mylnych konstatacji.
Zgodnie z art. 2 ust. 2 i ust. 4 ustawy o udostępnianiu informacji gospodarczych, przez informacje gospodarcze rozumie się m.in. dane dotyczące osoby fizycznej w zakresie imion i nazwiska, adresu miejsca zamieszkania lub adresu do doręczeń, numeru PESEL lub innego numeru potwierdzającego tożsamość, serii i numeru dowodu osobistego lub innego dokumentu potwierdzającego tożsamość oraz zobowiązania pieniężne w zakresie tytułu prawnego, kwoty i waluty, kwoty zaległości, daty powstania zaległości, informacji o postępowaniach dotyczących zobowiązania, informacji o kwestionowaniu przez dłużnika istnienia całości lub części zobowiązania, daty wysłania listem poleconym albo doręczenia dłużnikowi do rąk własnych wezwania do zapłaty, zawierającego ostrzeżenie o zamiarze przekazania danych do biura informacji gospodarczej, z podaniem firmy i adresu siedziby tego biura, informacji o zbyciu wierzytelności, innych informacji przekazanych w trybie i na zasadach określonych w art. 18, informacji w przedmiocie przedawnienia roszczenia.
Przy czym BIG wyjaśnił, iż organ nie zweryfikował, jakie dane BIG udostępnia w ramach kopii danych oraz na Raportach z Rejestru Zapytań i Raportach o Sobie. Powyższe jest o tyle istotne, iż w praktyce działalności BIG na kopię danych wydawaną na podstawie art. 15 ust. 3 RODO łącznie składają się: Raport o Sobie oraz Raport z Rejestru Zapytań. Jak wskazuje skarżący w treści kopii danych znaleźć się mogą jeszcze inne dane osobowe wnioskodawcy, jeśli BIG je przetwarza. Zakres danych zawartych w kopii danych niekiedy bywa nawet szerszy niż w obu powołanych raportach, przy czym kopia danych nigdy nie zawiera węższego zakresu danych niż informacje zawarte w treści omawianych raportów.
Zgodnie z definicją art. 15 ust. 1 i 3 RODO to wyłącznie osoba, której dane dotyczą ma prawo do otrzymania kopii danych, a administrator ma obowiązek dostarczenia wyłącznie osobie, której dane dotyczą kopii danych.
BIG nie zgodził się z decyzją organu w zakresie naruszenia art. 15 ust. 3 RODO oraz w zakresie poglądu, iż dane w postaci imienia, nazwiska i nr PESEL są danymi wystarczającymi do identyfikacji, a konkretnie potwierdzenia tożsamości osoby wnioskującej czy to o Raport o Sobie, Raport z Rejestru Zapytań czy też o kopię danych. Argumentował, iż podzielenie stanowiska organu oznaczałoby, iż otrzymanie kopii danych (zawierającej niejednokrotnie szerszy zakres danych niż Raport o Sobie i Raport z Rejestru Zapytań łącznie) jest łatwiejsze i podlega mniej rygorystycznym zasadom bezpieczeństwa niż uzyskanie wspomnianych raportów. Ponadto, w przypadku wniosków o udostępnienie informacji, które zawierają m.in. dane osobowe, BIG weryfikuje tożsamość osoby wnioskującej na zasadach określonych w Regulaminie Zarządzania Danymi. Regulamin ten przewiduje m.in. obowiązek przedstawienia BIG skanu dokumentu tożsamości. Taki sposób zapewnienia bezpieczeństwa danych zawartych w Raportach o Sobie oraz w Raportach z Rejestru Zapytań (które składają się na główną część kopii danych) został pozytywnie zaopiniowany przez organ na podstawie art. 11 ust. 2 ustawy o BIG.
Powyższe argumenty należy uznać za istotne w sprawie, a zaskarżona decyzja z dnia 21 stycznia 2022 r., nie zawiera żadnych rozważań w powyższym zakresie.
W ocenie Sądu, organ naruszył dyspozycję art. 15 ust. 3 RODO, błędnie wywodząc, iż zakres wniosku obejmował jedynie żądanie udostępnienia kopii danych osobowych przetwarzanych przez BIG (takie rozważania wynikają z treści uzasadnienia do decyzji). Jednocześnie Prezes UODO naruszył art. 7, art. 77 § 1 i art. 107 § 3 k.p.a. poprzez zaniechanie dokładnego wyjaśnienia stanu faktycznego sprawy oraz niedostateczne i niepełne uzasadnienie decyzji. Organ nie odniósł się do wskazanych powyżej wątpliwości. Zakres udzielonej na wniosek odpowiedzi oraz przyjęta przez BIG forma weryfikacji (pozytywnie zaopiniowana przez organ) determinują natomiast kierunek rozważań, w zakresie wykładni przepisów prawa materialnego.
Wskazania co do dalszych czynności wynikają wprost z treści uzasadnienia wyroku i sprowadzają się do uwzględnienia dokonanej przez Sąd wykładni przepisów ustawy oraz oceny prawnej zaskarżonej decyzji. Następnie organ zobowiązany będzie do ponownego rozpatrzenia sprawy, analizy złożonego do BIG wniosku, oceny działania BIG na podstawie właściwie zastosowanych przepisów oraz oceny prawidłowości weryfikacji danych z uwzględnieniem wyrażonej przez siebie oceny Regulaminu Zarządzania Danymi.
W dniu 16 grudnia 2022 r. skargę kasacyjną na powyższy wyrok złożył Prezes Urzędu Ochrony Danych Osobowych, zaskarżając wyrok w całości i wnosząc o uchylenie w całości zaskarżonego wyroku i rozpoznanie skargi, ewentualnie uchylenie w całości zaskarżonego wyroku i przekazanie sprawy do ponownego rozpoznania Wojewódzkiemu Sądowi Administracyjnemu w Warszawie oraz zasądzenie zwrotu kosztów postępowania według norm przepisanych. Zaskarżonemu wyrokowi zarzucono naruszenie:
1. art. 145 § 1 pkt 1 lit. c P.p.s.a. w zw. z art. 7, art. 77 § 1 i art. 107 § 3 k.p.a., poprzez błędne uznanie, że Prezes Urzędu Ochrony Danych Osobowych zaniechał dokładnego wyjaśnienia stanu faktycznego sprawy oraz niedostatecznie i niepełnie uzasadnił decyzję, podczas gdy organ nadzorczy ustalił i wyjaśnił wszystkie fakty istotne w sprawie, zgodnie z przysługującymi mu kompetencjami oraz uzasadnił w sposób dostateczny i pełny decyzję, co miało istotny wpływ na wynik sprawy;
2. art. 15 ust. 3 RODO, poprzez błędną jego wykładnię, w wyniku której WSA w Warszawie uznał, że żądanie wnioskodawcy z dnia 4 marca 2021 r. skierowane do Biura Informacji Gospodarczej InfoMonitor S.A. z siedzibą w Warszawie nie stanowiło żądania dostępu do danych na podstawie art. 15 ust. 3 RODO;
3. art. 22b ust. 1 i 2 ustawy o udostępnianiu informacji gospodarczych, poprzez jego niezastosowanie oraz pominięcie dokonania jego wykładni, wskutek czego WSA w Warszawie błędnie uznał, że organ nadzorczy przy ocenie sposobu rozpatrzenia żądania o kopię danych osobowych zgłoszonego na podstawie art. 15 ust. 3 RODO, powinien uwzględnić procedury dotyczące udostępniania informacji gospodarczej.
W odpowiedzi na skargę BIG wniosło o jej oddalenie jako niezasadnej oraz zasądzenie kosztów postępowania według norm przepisanych, w tym kosztów zastępstwa procesowego.
Naczelny Sąd Administracyjny zważył, co następuje:
Zgodnie z art. 183 § 1 P.p.s.a Naczelny Sąd Administracyjny rozpoznaje sprawę w granicach skargi kasacyjnej, bierze jednak z urzędu pod rozwagę nieważność postępowania, której przesłanki określone w § 2 art. 183 P.p.s.a. w rozpoznawanej sprawie nie występują.
Związanie Naczelnego Sądu Administracyjnego podstawami skargi kasacyjnej wymaga prawidłowego ich określenia w samej skardze. Należy zatem wskazać konkretne przepisy prawa, którym - zdaniem skarżącego - uchybił sąd i zamieścić uzasadnienie podstawy kasacyjnej, czyli uzasadnić uchybienia zarzucane sądowi. Uzasadnienie podstaw kasacyjnych polega na wykazaniu przez autora skargi kasacyjnej, że stawiane przez niego zarzuty mają usprawiedliwioną podstawę i zasługują na uwzględnienie. Uzasadniając zarzut naruszenia prawa materialnego przez jego błędną wykładnię wykazać należy, że sąd mylnie zrozumiał stosowany przepis prawa, natomiast uzasadniając zarzut niewłaściwego zastosowania przepisu prawa materialnego wykazać należy, iż sąd stosując przepis popełnił błąd w subsumcji czyli, że niewłaściwie uznał, iż stan faktyczny przyjęty w sprawie odpowiada stanowi faktycznemu zawartemu w hipotezie normy prawnej zawartej w przepisie prawa. W obu tych przypadkach autor skargi kasacyjnej wykazać musi ponadto w uzasadnieniu, jak, w jego ocenie, powinien być rozumiany stosowany przepis prawa, czyli jaka powinna być jego prawidłowa wykładnia bądź, jak powinien być stosowany konkretny przepis prawa ze względu na stan faktyczny sprawy, a w przypadku zarzutu niezastosowania przepisu - dlaczego powinien być zastosowany. Uzasadniając zaś naruszenie przepisów postępowania wykazać należy, że uchybienie im mogło mieć istotny wpływ na wynik sprawy. Skarga kasacyjna nieodpowiadająca powyższym wymaganiom uniemożliwia sądowi ocenę jej zasadności.
W rozpoznawanej sprawie zarzuty skargi kasacyjnej obejmują zarówno naruszenie przepisów postępowania, jak i przepisów prawa materialnego, aczkolwiek nie określają formy naruszeń.
W pierwszej kolejności rozpoznaniu podlegały zarzuty naruszenia przepisów postępowania, ponieważ dopiero po przesądzeniu, że stan faktyczny sprawy został ustalony w sposób prawidłowy, możliwe jest badanie zasadności zarzutów naruszenia prawa materialnego.
Zarzut naruszenia art. 145 § 1 pkt 1 lit. c P.p.s.a. w zw. z art. 7, art. 77 § 1 i art. 107 § 3 k.p.a. jest niezasadny. Przypomnieć należy, że Sąd I instancji, uchylając zaskarżoną decyzję jako podstawę wydanego wyroku wskazał art. 145 § 1 pkt 1 lit. a) i c) P.p.s.a. oraz przywołał art. 133 § 1 i art. 134 § 1 P.p.s.a., wedle których sąd administracyjny przy rozstrzyganiu sprawy nie jest związany zarzutami i wnioskami skargi oraz wskazaną podstawą prawną. Sąd orzeka na podstawie akt sprawy. WSA w Warszawie precyzyjnie i jednoznacznie wskazał na wybór podstaw prawnych uchylenia zaskarżonej decyzji. Jak podniesiono w uzasadnieniu zaskarżanego wyroku "warto też wyjaśnić, że sąd administracyjny w postępowaniu sądowo-administracyjnym nie ustala stanu faktycznego, lecz bada czy w trakcie postępowania administracyjnego ujawniono wszelkie istotne okoliczności i czy były one uwzględnione przy wydawaniu decyzji" (s. 10-11 uzasadnienia). WSA w Warszawie za podstawę rozstrzygnięcia przyjął zatem zarówno argumentację przedstawioną przez Prezesa UODO jak i argumentację przedstawioną przez BIG, niezależnie od etapu na jakim argumentacja została przedstawiona. W ten sposób wszechstronnie ocenił argumentację stron postępowania sądowoadministracyjnego i zgodnie z zasadą kontrakcyjności wskazał, które motywy są przekonujące w świetle mających zastosowanie w sprawie przepisów RODO, jak i ustawy o udostępnienie informacji gospodarczych. W tym zakresie uzasadnieniu zaskarżonego orzeczenia nie można zarzucić braku logiki lub wybiórczość argumentacji. Sąd I instancji ocenił zarówno argumenty przedstawiane w kierowanych do niego pismach procesowych, jak i zebrany w toku postępowania administracyjnego materiał dowodowy.
Nie sposób więc przyjąć, że samo stwierdzenie skarżącego kasacyjnie, że Sąd I instancji błędnie przyjął, iż organ nie dokonał prawidłowego i zupełnego wyjaśnienia sprawy jest wystarczające do stwierdzenia, że naruszył on przepisy postępowania. WSA w Warszawie wyraźnie wskazał, że naruszenie przez Prezesa UODO art. 7, art. 77 § 1 i art. 107 § 3 k.p.a. nastąpiło poprzez zaniechanie dokładnego wyjaśnienia stanu faktycznego sprawy oraz niedostateczne i niepełne uzasadnienie wydanej decyzji.
Nie mogły też być uznane za uprawnione zarzuty naruszenia prawa materialnego.
WSA w Warszawie nie naruszył art. 15 ust. 3 RODO, poprzez przyjęcie, że wniosek z dnia 4 marca 2021 r. nie dotyczył dostępu do danych, o których mowa w art 15 ust. 3 RODO. W tym zakresie wykładania żądania osoby fizycznej dokonana przez Sąd I instancji jest prawidłowa. Przypomnieć należy, że pismem z dnia 4 marca 2021 r. skierowanym do BIG wnioskodawca napisał "działając w imieniu własnym wnoszę o nadesłanie pod w/w adres kopii przetwarzanych przez Państwo moich danych osobowych w zakresie moich wpisów własnych jak i dokonanych przez podmioty trzecie" (k. 14 akt administracyjnych). Wskazać należy, że zgodnie z § 2 pkt 20 Regulaminu Zarzadzania Danymi, Raport o Sobie stanowi "zbiór informacji gospodarczych dotyczących Klienta lub Pytającego udostępniony w zakresie określonym we wniosku". Zbiór taki jest zatem sumą wpisów dotyczących wiarygodności płatniczej danego podmiotu (w tym osoby fizycznej), które wpłynęły do BIG. Oczywistym jest, że w przypadku osób fizycznych tego rodzaju wpisy wiążą się z ich danymi osobowymi. Treść wniosku z dnia 4 marca 2021 r. dotyczy więc nie danych osobowych wnioskodawcy, ale danych, które BIG otrzymuje, przechowuje i udostępnia na podstawie ustawy o udostępnienie informacji gospodarczych, wedle których informacją gospodarczą są dane osobowe osoby fizycznej wraz z jej zobowiązaniami pieniężnymi (art. 2 pkt 2-4 ustawy o udostępnienie informacji gospodarczych), a wpisy dotyczące osoby fizycznej są przekazywane na podstawie umowy zawartej pomiędzy biurem informacji gospodarczej, a wierzycielem (por. M. Zawisza-Saj [w:] B. Kotowicz, Ł. Nosarzewski, M. Zawisza-Saj, Ustawa o udostępnianiu informacji gospodarczych i wymianie danych gospodarczych. Komentarz, LEX/el. 2025, art. 12). Tak więc treść wniosku z dnia 4 marca 2021 r. wyraźnie wskazuje, że chciał on otrzymać dane, do których udostępnienia stosuje się tryb określony w ustawie o udostępnienie informacji gospodarczych, a nie przepisy RODO.
W świetle powyższych rozważań równie nieuprawniony jest zarzut naruszenia art. 22b ust. 1 i 2 ustawy o udostępnianiu informacji gospodarczych poprzez jego niezastosowanie. W tym bowiem zakresie, skoro BIG prawidłowo uznał, że wniosek z dnia 4 marca 2021 r. dotyczy udostępnienia Raportu o Sobie, to nie stosuje się do niego art. 22b ust. 2 ustawy o udostępnianiu informacji gospodarczych, ponieważ nie dotyczy on udostępnienia stricte jego danych osobowych, lecz informacji gospodarczych.
Biorąc zatem pod uwagę, że skarga kasacyjna nie zawierała usprawiedliwionych podstaw, Naczelny Sąd Administracyjny, w oparciu o art. 184 P.p.s.a., orzekł jak w sentencji.
O kosztach postępowania kasacyjnego Naczelny Sąd Administracyjny rozstrzygnął zgodnie z art. 209 w zw. z art. 204 pkt 2 i art. 205 § 2 P.p.s.a.