III OSK 6553/21

III OSK 6553/21 - Wyrok NSA
Data orzeczenia
2025-02-05
orzeczenie prawomocne
Data wpływu
2021-09-14
Sąd
Naczelny Sąd Administracyjny
Sędziowie
Paweł Mierzejewski
Rafał Stasikowski /sprawozdawca/
Tamara Dziełakowska /przewodniczący/
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne
Ochrona danych osobowych
Sygn. powiązane
III OSK 6353/21 - Wyrok NSA z 2024-12-04
II SA/Sz 252/21 - Wyrok WSA w Szczecinie z 2021-06-10
II SA/Wa 1340/20 - Wyrok WSA w Warszawie z 2021-03-11
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Oddalono skargę kasacyjną
Powołane przepisy
Dz.U. 2024 poz 935
art. 184
Ustawa z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (t. j.)
Sentencja
Naczelny Sąd Administracyjny w składzie: Przewodnicząca: sędzia NSA Tamara Dziełakowska Sędziowie: sędzia NSA Rafał Stasikowski (spr.) sędzia del. WSA Paweł Mierzejewski Protokolant asystent sędziego Adam Płusa po rozpoznaniu w dniu 5 lutego 2025 r. na rozprawie w Izbie Ogólnoadministracyjnej skargi kasacyjnej D. Sp.k. z siedzibą w W. od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 11 marca 2021 r. sygn. akt II SA/Wa 1340/20 w sprawie ze skargi D. Sp.k. z siedzibą w W. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia 13 marca 2020 r. nr ZSPR.440.147.2019.PR.MS.70191,70192 w przedmiocie przetwarzania danych osobowych oddala skargę kasacyjną.
Uzasadnienie
Wyrokiem z 11 marca 2021 r., II SA/Wa 1340/20, Wojewódzki Sąd Administracyjny w Warszawie oddalił skargę D. sp. k. w W.
na decyzję Prezesa Urzędu Ochrony Danych Osobowych z 13 marca 2020 r.,
nr ZSPR.440.147.2019.PR.MS.70191,70192, w przedmiocie przetwarzania danych osobowych.
Wyrok zapadł w następujących okolicznościach faktycznych i prawnych.
Do Prezesa Urzędu Ochrony Danych Osobowych 6 sierpnia 2019 r. wpłynęła skarga M. P. na przetwarzanie jego danych osobowych przez D. sp. k. w W. Skarżący zarzucił spółce przetwarzanie jego danych osobowych w sposób niezgodny z prawem w związku z zawartą 11 marca 2018 r. umową najmu samochodu (w tym za pomocą kopii/skanu jego dowodu osobistego i prawa jazdy). Pismem z 17 grudnia 2018 r. wniósł o nakazanie spółce zaprzestania przetwarzania jego danych osobowych, w tym dalszego ich udostępniania innym podmiotom oraz nakazanie usunięcia jego danych osobowych ze wszystkich baz danych spółki.
Prezes Urzędu ustalił, że spółka prowadzi działalność polegającą na wynajmowaniu samochodów osobowych i aut dostawczych. W dniu 11 marca 2018 r. skarżący zawarł ze spółką umowę najmu samochodu osobowego. Skarżący od byłego współpracownika otrzymał wiadomość sms zawierającą skan wiadomości wysłanej z numeru [...]. Wiadomość ta zawierała skan dowodu osobistego oraz skan prawa jazdy skarżącego. Skarżący korzystał z usług innej wypożyczalni samochodów. Skarżący kontaktował się z byłym współpracownikiem oraz pracownikami ww. spółki , tj. B. sp. z o.o. w celu ustalenia kto i w jakim celu posługuje się skanem dowodu osobistego i skanem prawa jazdy skarżącego. Zgodnie z oświadczeniem pełnomocnika skarżącego "(...) skarżącemu nie udało się ustalić, kto i w jakim celu posługuje się skanami jego dowodu osobistego i prawa jazdy". Pełnomocnik skarżącego skierował do spółki wezwania do zaniechania przetwarzania danych osobowych skarżącego w postaci skanu dowodu osobistego i prawa jazdy oraz zwrócił się z wnioskiem o udzielenie informacji na podstawie art. 12 ust. 3 w zw. z art. 15 ust. 1 i 2 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz.U.UE.L.2016.119.1 oraz Dz. Urz. L 127 z 23.05.2018 str. 2; dalej "RODO").
Spółka podniosła, iż nie przetwarza danych osobowych skarżącego w kwestionowany przez niego sposób, tj. poprzez posiadanie kopii/skanu dowodu osobistego skarżącego. Spółka wskazała, iż dane osobowe skarżącego uzyskała od niego samego w związku z zawarciem umowy najmu samochodu 11 marca 2018 r. w zakresie jego imienia, nazwiska, adresu, numeru dowodu osobistego, numeru prawa jazdy, numeru telefonu, które aktualnie przetwarza w systemie informatycznym, tj. w programie przeznaczonym do obsługi wypożyczalni samochodów. Spółka wskazała, iż jej pracownik nie wykonał skanu ani fotokopii dowodu osobistego oraz prawa jazdy skarżącego, tym samym nie udostępniła ich na rzecz osób trzecich.
Decyzją z 13 marca 2020 r., na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2018 r., poz. 2096 z późn. zm.; dalej: "k.p.a.’) w zw. z art. 7 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r., poz. 1781 z późn. zm.; dalej: "u.o.d.o.") i art. 6 ust. 1 RODO, Prezes Urzędu nakazał spółce usunięcie danych osobowych skarżącego w zakresie imienia, nazwiska, adresu, numeru dowodu osobistego, numeru prawa jazdy.
Organ wskazał, że skarżący udostępnił spółce swoje dane osobowe dobrowolnie, w związku z zawarciem umowy najmu samochodu. Stwierdził, iż przeprowadzone postępowanie nie wykazało, że spółka lub jej pracownik wykonał kopię/skan dowodu osobistego i prawa jazdy skarżącego, albowiem brak jest na tę okoliczność dowodu. Przy czym zwrócił uwagę, że twierdzenie to opiera się jedynie na przypuszczeniu skarżącego. Zdaniem organu przetwarzanie było dopuszczalne z uwagi na zawarcie i wykonywanie umowy najmu samochodu, której stroną był skarżący. Spółka podniosła, iż aktualnie przetwarza dane osobowe skarżącego wyłącznie w celu ewentualnego ustalenia, dochodzenia lub obrony przed roszczeniami związanymi z wynajęciem samochodu, na podstawie art. 6 ust 1 lit. f RODO.
Prezes Urzędu zakwestionował wskazywaną przez spółkę podstawę przetwarzania danych osobowych skarżącego, ponieważ z zebranego materiału dowodowego nie wynika by skarżący wystąpił z roszczeniem wobec spółki, bądź też, by spółka dochodziła jakichkolwiek roszczeń od skarżącego na drodze sądowej, które uzasadniałyby uprawnienie do zachowania i przetwarzania jego danych osobowych w związku z ich zabezpieczeniem i dochodzeniem przez skarżącego lub spółkę. W ocenie Prezesa Urzędu brak jest zatem spełnienia wskazywanej przez spółkę przesłanki niezbędności do celów wynikających z prawnie usprawiedliwionych interesów realizowanych przez administratora odnośnie przetwarzania danych osobowych skarżącego. Zwrócił uwagę na fakt, że skarżący jedynie zapowiedział, lecz nie zrealizował swoich zapowiedzi odnośnie skierowania sprawy na drogę sądową. Stąd też spółka nie może przetwarzać danych osobowych skarżącego tylko w celu zabezpieczenia się przed ewentualnym przyszłym i niepewnym roszczeniem skarżącego.
Skargę na powyższą decyzję do Wojewódzkiego Sądu Administracyjnego
w Warszawie wniosła spółka.
W odpowiedzi na skargę Prezes Urzędu wniósł o jej oddalenie.
Oddalając skargę, sąd I instancji wskazał, że kluczowe dla wydania przez Prezesa Urzędu decyzji nakazującej spółce usunięcie danych osobowych skarżącego ma fakt, iż spółka nie wykazała, poza koniecznością ochrony roszczeń mogących powstać w przyszłości, innej prawnie uzasadnionej podstawy dalszego przetwarzania danych osobowych skarżącego. Spółka, powołując się na art. 6 ust. 1 lit f RODO, podała jako wyłączną podstawę przetwarzania danych osobowych skarżącego w programie komputerowym spółki ochronę przed przyszłymi niepewnymi roszczeniami. Zdaniem sądu w rozstrzyganej sprawie organ prawidłowo przyjął, że nie została spełniona przez spółkę przesłanka niezbędności do celów wynikających z prawnie usprawiedliwionych interesów realizowanych przez administratora odnośnie przetwarzania danych osobowych skarżącego przed organem, ponieważ z ustaleń faktycznych nie wynika, aby wymieniony wystąpił z roszczeniem wobec spółki, bądź też, by spółka dochodziła jakichkolwiek roszczeń od niego na drodze sądowej, które uzasadniałyby uprawnienie do zachowania i przetwarzania jego danych osobowych w związku z ich zabezpieczeniem i dochodzeniem roszczeń. Tak więc spółka przetwarza jego dane osobowe w ww. celu wyłącznie "na zapas", aby zabezpieczyć się przed ewentualnym przyszłymi i niepewnymi roszczeniami.
Zdaniem sądu rację ma Prezes Urzędu, że przesłanka z art. 6 ust. 1 lit. f RODO dotyczy sytuacji już istniejącej, w której celem wynikającym z prawnie uzasadnionych interesów realizowanych przez administratora jest konieczność udowodnienia, potrzeba dochodzenia lub obrony przed roszczeniem istniejącym, nie zaś sytuacji, gdy dane są przetwarzane w celu zabezpieczenia się przed ewentualnym roszczeniem. Skoro
w okolicznościach przedmiotowej sprawy skarżący nie wyraził zgody na przetwarzanie jego danych osobowych przez spółkę, stosownie do art. 6 ust. 1 lit. a RODO,
a administrator danych nie wykazał innej podstawy legalizującej czynności przetwarzania, to Prezes Urzędu miał podstawę nakazać spółce usunięcie jego danych osobowych w zakresie imienia, nazwiska, adresu, numeru dowodu osobistego, numeru prawa jazdy.
W ocenie sądu w sprawie nie został naruszony przepis art. 7, art. 77 § 1, art. 80 oraz art. 107 § 3 k.p.a. Prezes Urzędu w sposób wyczerpujący zebrał i rozpatrzył cały materiał dowodowy. Natomiast uzasadnienie zaskarżonej decyzji zawiera wskazania faktów, które organ uznał za udowodnione, dowodów, na których się oparł, oraz przyczyn, z powodu których innym dowodom odmówił wiarygodności i mocy dowodowej, zaś uzasadnienie prawne zawiera, w nawiązaniu do powyższego, należyte wyjaśnienia podstawy prawnej podjętego rozstrzygnięcia.
W tych okolicznościach Wojewódzki Sąd Administracyjny w Warszawie, uznając skargę za niezasadną, na podstawie art. 151 ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2019 r., poz. 2325 ze zm.; dalej "p.p.s.a."), ją oddalił.
Skargę kasacyjną od powyższego wyroku wywiodła skarżąca spółka, zaskarżając wyrok w całości. Wniosła o uchylenie zaskarżonego wyroku w całości i rozpoznanie skargi, ewentualnie o uchylenie w całości zaskarżonego wyroku i przekazanie sprawy do ponownego rozpoznania Wojewódzkiemu Sądowi Administracyjnemu w Warszawie. Nadto wniosła o rozpoznanie sprawy na rozprawie i zasądzenie zwrotu kosztów postępowania. Zaskarżonemu wyrokowi zarzuciła naruszenie:
1) na podstawie art. 174 pkt 1 p.p.s.a. naruszenie prawa materialnego, tj. art. 6 ust. 1 lit. f w zw. z motywem 4 w zw. z motywem 39 RODO poprzez jego błędną wykładnię polegającą na przyjęciu, że norma ta nie może być stosowana do zabezpieczenia interesów w postaci roszczeń wynikających z istniejącego uprzednio stosunku prawnego, a które mogą ujawnić się w przyszłości i w konsekwencji nakazanie skarżącej usunięcia danych osobowych skarżącego przed organem w zakresie imienia, nazwiska adresu, numeru dowodu osobistego, numeru prawa jazdy, w związku z uznaniem, że nie jest spełniona przesłanka niezbędności do celów wynikających z prawnie usprawiedliwionych interesów realizowanych przez administratora odnośnie do przetwarzania danych osobowych skarżącego przed Prezesem Urzędu;
2) na podstawie art. 174 pkt 2 p.p.s.a. naruszenie przepisów postępowania mogące mieć istotny wpływ na wynik sprawy, tj. art. 145 § 1 pkt 1 lit c p.p.s.a. poprzez brak wszechstronnej analizy postępowania organu administracji przy wydaniu decyzji, w szczególności brak zbadania uzasadnionych interesów skarżącego
w kontekście specyfiki roszczeń dochodzonych przez skarżącego w związku z prowadzoną działalnością gospodarczą oraz zakresu danych osobowych klientów niezbędnych skarżącemu do skutecznej obrony swoich praw po ustaniu stosunku umownego, w kontekście naruszenia art. 7, 77, 80 i 107 § 3 k.p.a.
Odpowiedzi na skargi kasacyjne nie wniesiono.
Naczelny Sąd Administracyjny zważył, co następuje.
Skarga kasacyjna nie zawiera usprawiedliwionych podstaw.
Stosownie do treści art. 183 § 1 p.p.s.a. Naczelny Sąd Administracyjny rozpoznaje sprawę w granicach skargi kasacyjnej, z urzędu biorąc pod rozwagę wystąpienie przesłanek nieważności postępowania. W tej sprawie sąd nie stwierdza wystąpienia jakiejkolwiek przesłanki nieważności postępowania. Związanie granicami skargi oznacza związanie podstawami zaskarżenia wskazanymi w skardze kasacyjnej oraz jej wnioskami. Naczelny Sąd Administracyjny bada przy tym wszystkie podniesione przez stronę skarżącą kasacyjnie zarzuty naruszenia prawa (por. uchwała pełnego składu sędziów NSA z 26 października 2009 r., I OPS 10/09, ONSAiWSA 2010 z. 1 poz. 1).
Skarga kasacyjna oparta została na obu podstawach wynikających z przepisów art. 174 pkt 1 i 2 p.p.s.a. Ich istota sprowadza się do ustalenia podstawy prawnej przetwarzania danych osobowych skarżącego. Zdaniem autora skargi kasacyjnej podstawą tą był przepis art. 6 ust. 1 lit. f RODO, co ma ten skutek, iż organ nadzoru nie przeprowadził koniecznego postępowania wyjaśniającego nakierowanego na ustalenie prawnie uzasadnionych interesów, które uzasadniały przetwarzanie danych osobowych skarżącego. Zarzut naruszenia prawa materialnego określono jako błąd wykładni. Naruszenie prawa materialnego poprzez błędną wykładnię, w swym systemowym wzorcu, sprowadza się do zakwestionowania sposobu rozumienia przepisu, z którego sąd I instancji wywiódł normę prawną stanowiącą podstawę wydanego orzeczenia. Celem zarzutu błędnej wykładni prawa materialnego jest więc zakwestionowanie treści zastosowanej w sprawie normy prawnej, w jej abstrakcyjnym i generalnym ujęciu. Zarzut błędnej wykładni prawa materialnego nie może zatem wyrażać negatywnej oceny co do zastosowania normy prawnej do ustalonego przez sąd stanu faktycznego. Zarzut o takiej treści można podnosić wyłącznie w ramach podstawy kasacyjnej "niewłaściwego zastosowania prawa materialnego". Zarzut błędnej wykładni art. 6 ust. 1 lit. f RODO powinien zmierzać do wykazania, że sąd I instancji wadliwie zrozumiał jego treść, odtwarzając nieadekwatną do tej treści normę prawną. Skarżący kasacyjnie próbuje wykazać, że sąd meriti błędnie przyjął, że w sprawie nie dokonano prawidłowej oceny przesłanki, wskazanej w art. 6 ust. 1 lit. f RODO. W istocie więc w skardze kasacyjnej nie kwestionuje się przyjętego przez WSA sposobu rozumienia art. 6 ust. 1 lit. f RODO, lecz sformułowaną przez ten sąd ocenę co do zasadności jego zastosowania w okolicznościach faktycznych. Kierując się gwarancyjną zasadą dążenia do umożliwienia stronie skorzystania z konstytucyjnego prawa do sądu, Naczelny Sąd Administracyjny, mimo częściowo wadliwej konstrukcji analizowanego zarzutu kasacyjnego, zdecydował się na jego rozpatrzenie, przy uwzględnieniu intencji skarżącego kasacyjnie, odtworzonej z treści uzasadnienia skargi kasacyjnej.
Zgodnie z postanowieniami art. 6 ust. 1 RODO "[p]rzetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy - i w takim zakresie, w jakim - spełniony jest co najmniej jeden z poniższych warunków - lit. f - przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem."
Zastosowanie art. 6 ust. 1 lit. f RODO jest więc uzasadnione, gdy łącznie spełnione są następujące przesłanki:
1) po stronie administratora istnieją cele, dla osiągnięcia których przetwarzanie danych osobowych jest niezbędne;
2) cele te wynikają z "prawnie uzasadnionych interesów" realizowanych przez administratora;
3) "prawnie uzasadnione interesy" realizowane przez administratora mają charakter nadrzędny wobec interesów lub podstawowych praw i wolności osoby, której dotyczą przetwarzane dane.
Poprzez cel, dla osiągnięcia którego przetwarzanie danych osobowych jest niezbędne, należy rozumieć stan rzeczy, układ rzeczywistości, do którego dąży administrator poprzez to przetwarzanie. "Niezbędność" przetwarzania danych osobowych do osiągnięcia obranego przez administratora celu sprowadza się do ustalenia, że bez tego przetwarzania nie da się go zrealizować. Chodzi więc o wykazanie logicznie uzasadnionego i weryfikowalnego związku przyczynowo-skutkowego pomiędzy przetwarzaniem danych osobowych a realizacją stanu rzeczy, do którego dąży administrator. Ustalenie "niezbędności" przetwarzania danych osobowych dla celów administratora musi opierać się na przesłankach konkretnych, uwzględniających możliwie najszersze spektrum uwarunkowań jego realizacji. Przetwarzanie danych osobowych na podstawie art. 6 ust. 1 lit. f RODO wymaga od administratora wykazania, że jest to konieczne z uwagi na charakter celu, okoliczności faktyczne i prawne jego realizacji oraz relacje podmiotowe pomiędzy administratorem a osobą, której te dane dotyczą. Zgodnie z zasadą rozliczalności (art. 5 ust. 2 RODO) administrator będzie zobowiązany wykazać, że zarówno zakres, jak i sposób przetwarzania danych osobowych jest adekwatny do obranego przez niego celu i warunków jego realizacji - zasada ograniczonego celu przetwarzania (art. 5 ust. 1 lit. b RODO) i zasada minimalizacji przetwarzanych danych (art. 5 ust. 1 lit. c RODO).
Kolejnym warunkiem przetwarzania danych osobowych na podstawie art. 6 ust. 1 lit. f RODO jest ustalenie, że cel, dla osiągnięcia którego przetwarzanie to jest niezbędne "wynika z prawnie uzasadnionych interesów realizowanych przez administratora (lub przez stronę trzecią)". Zasadnie sąd I instancji zwraca uwagę, że desygnatami "prawnie uzasadnionych interesów administratora" nie są wyłącznie te interesy, które ściśle wiążą się z realizacją praw i obowiązków wynikających z przepisów prawa. Takie wąskie rozumienie tego pojęcia prowadziłoby bowiem do częściowego zdublowania przesłanki przetwarzania danych osobowych z art. 6 ust. 1 lit. f z przesłanką określoną w art. 6 ust. 1 lit. c RODO; art. 6 ust. 1 lit. c RODO legitymizuje przetwarzanie danych osobowych, jeżeli "jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze". Prawnie uzasadniony interes administratora należy więc rozumieć jako interes prawnie dopuszczony, niesprzeczny z porządkiem prawnym.
Do prawnie uzasadnionych interesów administratora danych osobowych prawodawca unijny odwołał się w motywie 47 preambuły RODO, w którym stwierdził, że "[t]aki prawnie uzasadniony interes może istnieć na przykład w przypadkach, gdy zachodzi istotny i odpowiedni rodzaj powiązania między osobą, której dane dotyczą, a administratorem, na przykład gdy osoba, której dane dotyczą, jest klientem administratora lub działa na jego rzecz. Aby stwierdzić istnienie prawnie uzasadnionego interesu, należałoby w każdym przypadku przeprowadzić dokładną ocenę, w tym ocenę tego, czy w czasie i w kontekście, w którym zbierane są dane osobowe, osoba, której dane dotyczą, ma rozsądne przesłanki by spodziewać się, że może nastąpić przetwarzanie danych w tym celu."
Treść motywu 47 preambuły RODO nie wskazuje więc konkretnie, matrycowo, jakie warunki powinny zostać spełnione, aby można było stwierdzić, że administrator przetwarza dane osobowe zgodnie ze swoimi prawnie uzasadnionymi interesami. Podano jedynie przykładowo, iż może chodzić o szczególnego rodzaju relację pomiędzy administratorem a osobą, której dane są przetwarzane. W każdym, konkretnym układzie należy rozstrzygnąć, czy treść i charakter tej relacji w sposób rozsądny uzasadnia takie przetwarzanie w określonym zakresie i czasie. Wyeksponować trzeba, że w motywie 47 prawodawca unijny w ogóle nie powiązał "prawnie uzasadnionych interesów" administratora z porządkiem prawnym. Akcent położył natomiast na charakter relacji łączącej administratora z osobą, której dane są przetwarzane, jej kontekstowość oraz wynikającą z jej indywidualnych uwarunkowań racjonalnie uzasadnioną potrzebę tego przetwarzania. Motyw 47 preambuły RODO w kontekście rekonstrukcji zakresu stosowania art. 6 ust. 1 lit. f RODO przesądza, że dopuszczalność przetwarzania danych osobowych na tej podstawie powinna być oceniana kauzalnie,
z uwzględnieniem, że zasadnicze znaczenie w tym przedmiocie powinny mieć uwarunkowania konkretnej relacji pomiędzy administratorem a osobą, której dotyczą przetwarzane dane. Porządek prawny - w tej przestrzeni formułowania ocen - należy traktować jako granicę dopuszczalności prawnie uzasadnionego interesu administratora, na którym opiera przetwarzanie danych osobowych. Porządek prawny może więc być przeszkodą do przetwarzania danych osobowych na podstawie art. 6 ust. 1 lit. f RODO, jeżeli interesu administratora nie da się z nim pogodzić - interes administratora będzie sprzeczny z porządkiem prawnym, a więc nie będzie prawnie uzasadniony. Porządek prawny nie stanowi ścisłej podstawy uzasadnionego interesu administratora do przetwarzania danych osobowych na podstawie art. 6 ust. 1 lit. f RODO, wyznacza natomiast granicę tego przetwarzania. Potwierdzeniem przyjętego założenia, jest zastrzeżenie uczynione in fine w art. 6 ust. 1 lit. f RODO, że przepis ten "nie ma zastosowania do przetwarzania, którego dokonują organy publiczne w ramach realizacji swoich zadań.". Tłumacząc intencje uczynionego wyłączenia w motywie 47 preambuły RODO podano: "Ponieważ dla organów publicznych podstawę prawną przetwarzania danych osobowych powinien określić ustawodawca, prawnie uzasadniony interes administratora nie powinien mieć zastosowania jako podstawa prawna do przetwarzania, którego dokonują organy publiczne w ramach realizacji swoich zadań.".
Dostrzegając, że zakres przedmiotowy stosowania art. 6 ust. 1 lit. f RODO nie obejmuje wyłącznie tych sytuacji, w których podstawa prawna przetwarzania danych osobowych jest wyraźnie określona, prawodawca unijny wyłączył z zakresu podmiotowego jego stosowania organy władzy publicznej, których podstawy i granice działania muszą być zawsze ściśle wyznaczone przez prawo. Uczynione wyłączenie potwierdza więc elastyczność przedmiotowego zakresu stosowania art. 6 ust. 1 lit. f RODO.
Argumentacyjnym wsparciem dla przedstawionych ocen prawnych jest fakt, że artykuł 6 ust. 1 lit. f RODO miał swój odpowiednik w przepisie art. 23 ust. 1 pkt 5 ustawy o ochronie danych osobowych z 1997 r., który dopuszczał przetwarzanie danych osobowych, gdy było to "niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie naruszało praw i wolności podmiotu danych.". Porównanie obu tych przepisów prowadzi do wniosku, że RODO nie przyniosło w tym zakresie zmian, które powodowałyby modyfikację sensu poprzedniej regulacji (D. Lubasz, W. Chomiczewski (w:) RODO. Ogólne rozporządzenie o ochronie danych. Komentarz, red. E. Bielak-Jomaa, Warszawa 2018, Lex/el, uwaga 1 do art. 6 ust. 1 lit. f RODO).
Z tego względu w przekonaniu Naczelnego Sądu Administracyjnego aktualny pozostaje pogląd wyrażony w wydanej na tle treści art. 23 ust. 1 pkt 5 ustawy o ochronie danych osobowych z 1997 r. uchwale 7 sędziów NSA z 6 czerwca 2005 r.,
I OPS 2/05, w której stwierdzono, że "prawnie usprawiedliwiony cel", o jakim mowa w art. 23 ust. 1 pkt 5 ww. ustawy, to cel "prawnie dopuszczalny". W ocenie Naczelnego Sądu Administracyjnego orzekającego w niniejszej sprawie nie ma żadnych racjonalnych przeszkód do uwzględnienia tego poglądu przy rekonstrukcji znaczenia użytego w art. 6 ust. 1 lit. f RODO pojęcia "prawnie uzasadnionych interesów". Kwantyfikatorem rozstrzygającym o dopuszczalności przetwarzania danych osobowych na podstawie art. 6 ust. 1 lit. f RODO jest charakter relacji istniejącej pomiędzy administratorem danych osobowych, a osobą, której dane podlegają przetwarzaniu. Jeżeli z charakteru tej relacji da się racjonalnie wywieść, że przetwarzanie danych osobowych jest niezbędne do zrealizowania przez administratora celu wynikającego z tej relacji i jest to cel przez prawo dopuszczony, to zastosowanie art. 6 ust. 1 lit. f RODO będzie uzasadnione, chyba że interesy lub podstawowe prawa i wolności osoby, której przetwarzane dane dotyczą będę nadrzędne wobec interesu administratora. Jak stwierdzono w motywie 47 preambuły RODO: "Interesy i prawa podstawowe osoby, której dane dotyczą, mogą być nadrzędne wobec interesu administratora danych w szczególności w przypadkach, gdy dane osobowe są przetwarzane w sytuacji, w której osoby, których dane dotyczą, nie mają rozsądnych przesłanek, by spodziewać się dalszego przetwarzania.".
Rozważając przedstawione uwagi natury ogólnej w kontekście rozpoznawanej sprawy, należy podać, że dane osobowe skarżącego zostały pozyskane i przetwarzane w związku z zawarciem przez niego w dniu 11 marca 2018 r. z D. sp. k.
w Warszawie umową najmu samochodu osobowego. Skarżący przekazał dobrowolnie spółce dane w zakresie swego imienia, nazwiska, adresu, numeru dowodu osobistego, numeru prawa jazdy, numeru telefonu, które spółka przetwarzała w systemie informatycznym, tj. w programie firm [...] przeznaczonym do kompleksowej obsługi wypożyczalni samochodów. Nie został wykonany skan prawa jazdy i dowodu osobistego skarżącego. Przetwarzanie było zatem dopuszczalne w związku z zawarciem i wykonywaniem umowy najmu samochodu. Z chwilą jej zakończenia, tj. jej wykonania, odpadła podstawa przetwarzania z art. 6 ust. 1 lit b RODO. Z chwilą skierowania przez pełnomocnika skarżącego pism z 21 maja i 7 czerwca 2018 r., wzywającego do zaniechania dalszego przetwarzania danych osobowych, odpadła ewentualna podstawa przetwarzania z art. 6 ust. 1 lit. a RODO.
W związku z wykonaniem umowy najmu samochodu pierwotny cel przetwarzania danych osobowych został skonsumowany, co nie oznacza jednak, że dalsze ich przetwarzania a limine należy ocenić, jako nieuprawnione. Jak wynika z motywu 50 preambuły RODO przetwarzanie danych osobowych do celów innych niż cele, w których dane te zostały pierwotnie zebrane, jest dozwolone wyłącznie w przypadkach, gdy jest zgodne z celami, w których dane osobowe zostały pierwotnie zebrane. Ustalenie, czy pomiędzy pierwotnym celem przetwarzania a wtórnym celem przetwarzania zachodzi zgodność, wymaga uwzględnienia między innymi: wszelkich powiązań pomiędzy tymi celami; kontekstu, w którym dane osobowe zostały zebrane, w szczególności rozsądne przesłanki pozwalające osobom, których dane dotyczą, oczekiwać dalszego wykorzystania danych oparte na rodzaju ich powiązania z administratorem; charakter danych osobowych; konsekwencje zamierzonego dalszego przetwarzania dla osób, których dane dotyczą; oraz istnienie odpowiednich zabezpieczeń zarówno podczas pierwotnej, jak i zamierzonej operacji dalszego przetwarzania.
Powołany motyw 50 preambuły RODO został rozwinięty w art. 6 ust. 4 RODO, w którym zastrzeżono, że przetwarzanie danych osobowych w celach innych niż ten, w którym dane osobowe zostały zebrane, jest dopuszczalne przy uwzględnieniu:
a) wszelkich związków między celami, w których zebrano dane osobowe, a celami zamierzonego dalszego przetwarzania;
b) kontekstu, w którym zebrano dane osobowe, w szczególności relację między osobami, których dane dotyczą, a administratorem;
c) charakteru danych osobowych, w szczególności czy przetwarzane są szczególne kategorie danych osobowych zgodnie z art. 9 lub dane osobowe dotyczące wyroków skazujących i czynów zabronionych zgodnie z art. 10;
d) ewentualnych konsekwencji zamierzonego dalszego przetwarzania dla osób, których dane dotyczą;
e) istnienia odpowiednich zabezpieczeń, w tym ewentualnie szyfrowania lub pseudonimizacji.
Uwzględnienie powołanych regulacji RODO potwierdza wnioski WSA, że przetwarzanie danych osobowych uzyskanych w procesie zawarcia i wykonania umowy, celem zabezpieczenia uzasadnionych prawnych interesów administratora oraz skarżącego na wypadek ewentualnego postępowania sądowego w przedmiocie dochodzenia roszczeń z tytułu umowy najmu samochodu może mieć podstawę w treści art. 6 ust. 1 lit. f RODO. Rzecz jednak w tym, iż z chwilą zakończenia umowy najmu dochodzi do dość jednoznacznego ustalenia okoliczności faktycznych związanych ze stanem technicznym zwracanego pojazdu, gdyż zasadniczo tylko one mogą być podstawą roszczeń wynajmującej spółki względem osoby najemcy. Zatem ewentualne roszczenia firmy wynajmującej samochód są najpóźniej znane w dniu zwrotu auta lub w bardzo krótkim czasie po jego zwrocie, gdyż niektóre szkody wyrządzone przez najemcę mogą ujawnić się po zwrocie auta i sprawdzeniu jego walorów użytkowych. Generalnie zatem przetwarzanie danych osobowych skarżącego na podstawie art. 6 ust. 1 lit. f RODO mogło mieć miejsce w krótkim okresie po wykonaniu umowy najmu samochodu, w którym mogły zostać ujawnione szkody w wynajętym aucie spowodowane przez skarżącego. Nie stwierdzenie ich po zakończeniu umowy i zwrocie przedmiotu najmu oznaczało, że umowa została wykonana prawidłowo, co zaś oznaczało odpadnięcie podstawy dalszego legalnego przetwarzania danych osobowych najemcy auta. Z kolei ewentualne stwierdzenie podstaw odpowiedzialności kontraktowej lub deliktowej uprawniałoby do dalszego przetwarzania danych na potrzeby dochodzenia roszczeń od skarżącego, co nie miało miejsca na gruncie rozpoznawanej sprawy. Rekapitulując, prawidłowe wykonanie umowy przez obie strony oznaczało, iż niezwłocznie po stwierdzeniu takiego stanu rzeczy odpadła podstawa dalszego przetwarzania danych osobowych skarżącego w oparciu o art. 6 ust. 1 lit. f RODO.
Jak już wyżej zaznaczono, przetwarzanie danych osobowych na podstawie art. 6 ust. 1 lit. f RODO powinno być niezbędne dla realizacji celu wynikającego z prawnie uzasadnionych interesów administratora, a te należy ustalać z uwzględnieniem charakter i kontekstu relacji łączącej administratora z osobą, której dane osobowe są przetwarzane. Jeżeli łącząca te dwa podmioty relacja zawiera w sobie prawnie dopuszczalne roszczenie, które może być dochodzone na drodze sądowej, to nie można z góry wyłączyć dopuszczalności przetwarzania danych osobowych na podstawie art. 6 ust. 1 lit. f RODO, wyłącznie z uwagi na potencjalność realizacji tego roszczenia. Jeśli zaś układ okoliczności faktycznych związanych z prawidłowym wykonaniem umowy najmu samochodu wskazuje na brak roszczeń stron względem siebie, to należy przyjąć, iż nie dojdzie do nawiązania "nowej relacji" między nimi (np. postępowania sądowego) i nie jest w takiej sytuacji dalsze przetwarzanie danych osobowych na tej podstawie, np. do upływu terminów przedawnienia. Notabene termin przedawnienia wynajmującego względem najemcy, o którym mowa w art. 677 Kodeksu cywilnego, minął już w chwili wydawania decyzji Prezesa UODO.
Zdaniem Naczelnego Sądu Administracyjnego nie istniały zatem cele administratora wynikające z jego prawnie uzasadnionych interesów, które w tych okolicznościach faktycznych i prawnych nakazywałyby mu zabezpieczenie się na wypadek konieczności wejścia w spór sądowy. Okoliczności takich nie była skądinąd w stanie wskazać sama spółka wynajmująca samochody. Z wyłożonych względów nie było podstaw do uwzględnienia zarzutu naruszenia art. 6 ust. 1 lit. f RODO. Negatywnej weryfikacji podlega także zarzut naruszenia art. 145 § 1 pkt 1 lit. c p.p.s.a. w zw. z art. 7, art. 77, art. 80, art. 107 § 3 k.p.a. Zarzut ten jest abstrakcyjny, gdyż w żaden sposób autor skargi kasacyjnej nie był w stanie określić jakie działanie sądu I instancji doprowadziło do naruszenia tych przepisów. Nie był on w stanie wskazać także jakie okoliczności nie zostały wyjaśnione, a które byłyby istotne z punktu widzenia ustalenia podstawy dalszego przetwarzania danych osobowych skarżącego w oparciu o art. 6 ust. 1 lit. f RODO. Dodać należy również, że zarzut naruszenia art. 77 k.p.a. nie nadaje się do merytorycznego rozpoznania.
Artykuł 77 k.p.a. jest jednostką redakcyjną wewnętrznie rozbudowaną, składającą się z czterech paragrafów o dość dużym zróżnicowaniu treściowym. W orzecznictwie zgodnie przyjmuje się, że odniesieniu do jednostki redakcyjnej aktu prawnego, który nie stanowi jednej zamkniętej całości a składa się z ustępów, punktów i innych pomniejszych jednostek redakcyjnych, wymóg skutecznie wniesionego zarzutu skargi kasacyjnej jest spełniony wówczas, gdy wskazuje on konkretny przepis naruszony przez sąd I instancji, z podaniem numeru artykułu, ustępu, punktu i ewentualnie innej jednostki redakcyjnej przepisu. Naruszony przez sąd I instancji przepis musi być wyraźnie wskazany, gdyż w przeciwnym razie ocena zasadności skargi kasacyjnej nie jest możliwa. Naczelny Sąd Administracyjny jest związany granicami skargi kasacyjnej i nie ma w związku z tym kompetencji do dokonywania za wnoszącego skargę kasacyjną wyboru, który przepis prawa został naruszony i dlaczego. Stanowi to powinność autora skargi kasacyjnej, który jest profesjonalnym pełnomocnikiem strony. W związku z tym zarzut ten nie zasługuje na uwzględnienie.
Z tych względów oba zarzuty nie zasługują na uwzględnienie.
Naczelny Sąd Administracyjny, działając na podstawie art. 184 p.p.s.a., orzekł o oddaleniu skargi kasacyjnej.