Centralna Baza Orzeczeń Sądów Administracyjnych

Naczelny Sąd Administracyjny w składzie: Przewodniczący: sędzia NSA Rafał Stasikowski (spr.) Sędziowie sędzia NSA Sławomir Wojciechowski sędzia del. WSA Arkadiusz Windak Protokolant starszy asystent sędziego Łukasz Sielanko po rozpoznaniu w dniu 29 lipca 2025 r. na rozprawie w Izbie Ogólnoadministracyjnej skargi kasacyjnej E. sp. z o.o. z siedzibą w W. od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 29 lipca 2021 r., sygn. akt II SA/Wa 1725/20 w sprawie ze skargi E. sp. z o.o. z siedzibą w W. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia 6 lipca 2020 r., nr ZSPR.440.670.2019.PR.MC.81984,81985 w przedmiocie nakazu usunięcia danych osobowych 1. oddala skargę kasacyjną; 2. zasądza od E. sp. z o.o. z siedzibą w W. na rzecz Prezesa Urzędu Ochrony Danych Osobowych kwotę 360 (trzysta sześćdziesiąt) złotych tytułem zwrotu kosztów postępowania kasacyjnego.

Wyrokiem z 29 lipca 2021 r., II SA/Wa 1725/20, Wojewódzki Sąd Administracyjny w Warszawie oddalił skargę E. sp. z o. o. z siedzibą w W. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z 6 lipca 2020 r.,

nr ZSPR.440.670.2019.PR.MC.81984,81985, w przedmiocie nakazu usunięcia danych osobowych.

Wyrok zapadł w następujących okolicznościach faktycznych i prawnych.

Decyzją z 6 lipca 2020 r., nr ZSPR.440.670.2019.PR.MC.81984,81985, Prezes Urzędu Ochrony Danych Osobowych, działając na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego (t.j. Dz. U. z 2020 r., poz. 256 ze zm.; dalej: "k.p.a.") w zw. z art. 7 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (tj. Dz. U. z 2019 r., poz. 1781; dalej: "u.o.d.o.") oraz w zw. z art. 6 ust. 1 lit. f i art. 17 ust. 1 i ust. 3 oraz w zw. z art. 58 ust. 2 lit. c rozporządzenia Parlamentu Europejskiego i Rady UE 2016/679 z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. EU L 119 z 04.05.2016, str. 1 oraz Dz. Urz. UE L 127 z 23.05.2018, str. 2, ze zm.; dalej: "RODO"), po przeprowadzeniu postępowania administracyjnego zainicjowanego skargą D.B. na nieprawidłowości w procesie przetwarzania jego danych osobowych przez spółkę E. sp. z o.o. z siedzibą w W. - nakazał skarżącej spółce usunięcie danych osobowych D.B., w zakresie imienia, nazwiska oraz numeru telefonu.

Organ ustalił, że 5 stycznia 2007 r. skarżąca spółka zawarła z P. sp. z o.o. z siedzibą w W. umowę cesji wierzytelności, w wyniku której wstąpiła w prawa wierzyciela względem D.B. Następnie wierzytelność została zbyta na rzecz spółki E2. z siedzibą w H., Niemcy. Od 1 marca 2010 r. skarżącą spółkę oraz E2 łączy umowa ramowa o świadczenie usług, na podstawie której skarżąca spółka świadczy usługi windykacyjne. Z wyjaśnień skarżącej spółki wynika, że obsługa windykacyjna sprawy dotyczącej D.B. została zakończona 12 lipca 2018 r. Ponadto, ustalono, iż skarżąca spółka przekazała dane osobowe wnioskodawcy spółce E2 sp. z o.o. w celu dokonania wysyłki korespondencji kierowanej do wnioskodawcy, na podstawie zawartej z tym podmiotem umowy powierzenia przetwarzania danych. W dniu 10 lipca 2018 r. wnioskodawca wezwał skarżącą spółkę do zaprzestania przetwarzania jego danych osobowych. W dniu 22 sierpnia 2018 r. skarżąca spółka udzieliła odpowiedzi na powyższe wezwanie. W dniu 12 grudnia 2018 r. do Urzędu Ochrony Danych Osobowych wpłynęła skarga D.B. na nieprawidłowości w procesie przetwarzania jego danych osobowych przez E sp. z o.o. z siedzibą w W. Wnioskodawca wniósł o sprawdzenie przez organ nadzorczy, na jakiej podstawie skarżąca spółka posługiwała się jego imieniem, nazwiskiem oraz numerem telefonu. Wnioskodawca zauważył, że pracownicy skarżącej spółki dzwonili do niego oraz proponowali udzielenie wakacji od długu. Tymczasem, jak wskazał wnioskodawca, nie wyrażał on zgody na przetwarzanie jego danych osobowych przez skarżącą spółkę oraz na dokonanie cesji jego wierzytelności. Ponadto podniósł, że upłynął okres przedawnienia wierzytelności.

Zaskarżoną decyzją organ nakazał skarżącej spółce usunięcie danych osobowych wnioskodawcy, w zakresie imienia, nazwiska oraz numeru telefonu. W uzasadnieniu zauważył, że dane osobowe wnioskodawcy zostały pozyskane przez skarżącą spółkę na podstawie umowy cesji wierzytelności zawartej 5 stycznia 2007 r. z [...], na podstawie art. 509 § 1 ustawy z dnia 23 kwietnia 1964 r. - Kodeks cywilny (tekst jednolity Dz. U. z 2019 r., poz. 1145; dalej "k.c."). W wyniku kolejnego zbycia wierzytelności administratorem danych osobowych wnioskodawcy stał się E2., który następnie przekazał skarżącej spółce dane osobowe wnioskodawcy na podstawie art. 31 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (tekst jednolity Dz. U. z 2016 r., poz. 922 ze zm.; dalej także: "u.o.d.o. z 1997 r."). Zdaniem organu powyższa umowa zawarta została w celu realizacji prawnie usprawiedliwionego celu, jakim było dochodzenie wierzytelności, co wiązało się z realizacją przesłanki określonej w art. 23 ust. 1 pkt 5 u.o.d.o. z 1997 r. Prezes UODO wskazał, że w okresie między 25 maja 2018 r. a 12 lipca 2018 r. dane osobowe wnioskodawcy przetwarzane były na podstawie art. 6 ust. 1 lit. f RODO. Stwierdził, że w przedmiotowej sprawie takim prawnie uzasadnionym interesem było dochodzenie roszczeń finansowych wobec D.B.. Podkreślił, że obsługa windykacyjna wierzytelności ustała 12 lipca 2018 r., w związku z czym skarżąca spółka przestała przetwarzać dane osobowe wnioskodawcy w tym celu.

Organ uznał, że zebrany materiał dowodowy nie wykazał, by wnioskodawca wystąpił z roszczeniem wobec skarżącej spółki, bądź też by skarżąca spółka dochodziła jakichkolwiek roszczeń od wnioskodawcy na drodze sądowej, które uzasadniałyby uprawnienie skarżącej spółki do zachowania i przetwarzania danych osobowych wnioskodawcy w związku z ich zabezpieczeniem i dochodzeniem przez wnioskodawcę lub skarżąca spółkę. Zdaniem organu brak jest zatem spełnienia wskazywanej przez skarżącą spółkę przesłanki niezbędności do celów wynikających z prawnie usprawiedliwionych interesów realizowanych przez administratora odnośnie przetwarzania danych osobowych wnioskodawcy. Uznał, że przesłanka z art. 6 ust. 1 lit. f RODO dotyczy sytuacji już istniejącej, w której celem wynikającym z prawnie uzasadnionych interesów realizowanych przez administratora jest konieczność udowodnienia, potrzeba dochodzenia lub obrony przed roszczeniem istniejącym, nie zaś sytuacji, gdy dane są przetwarzane w celu zabezpieczenia się przed ewentualnym roszczeniem.

Organ nadzorczy stwierdził, że kontynuowanie do chwili obecnej przetwarzania danych osobowych wnioskodawcy w celu zabezpieczenia i dochodzenia lub obrony przed ewentualnymi, przyszłymi i niepewnymi roszczeniami, należy uznać za zbędne i niezgodne z obowiązującymi przepisami o ochronie danych osobowych. Prezes UODO uznał, że istnieją podstawy do zastosowania przepisu art. 58 ust. 2 lit. c RODO i wydania decyzji nakazującej skarżącej spółce usunięcie danych osobowych wnioskodawcy w zakresie obejmującym jego imię i nazwisko, a także numer telefonu.

Skargę na powyższą decyzję do Wojewódzkiego Sądu Administracyjnego

w Warszawie wniosła spółka.

W odpowiedzi na skargę organ wniósł o jej oddalenie.

Oddalając skargę, sąd I instancji wskazał, że istota sprawy sprowadzała się do oceny tego, czy skarżąca spółka wykazała, iż ma nadal prawnie uzasadniony interes, by - pomimo zakończenia postępowania windykacyjnego i braku roszczeń ze strony byłego dłużnika skierowanych wobec strony skarżącej - przetwarzać jego dane osobowe takie, jak imię, nazwisko oraz numerem telefonu.

Sąd ten uznał, że bezpodstawne są zarzuty skarżącej spółki dotyczące naruszenia art. 6 ust. 1 lit. f oraz art. 17 ust. 1 i ust. 3 lit. e RODO. Podkreślił, że zebrany materiał dowodowy nie wykazał, by po zakończeniu postępowania windykacyjnego były dłużnik wystąpił wobec skarżącej spółki z jakimikolwiek roszczeniami bądź też, by skarżąca spółka dochodziła od byłego dłużnika zaspokojenia swoich roszczeń. Tymczasem, przesłanka legalności przetwarzania danych osobowych, o której mowa w art. 6 ust. 1 lit. f RODO, dotyczy sytuacji już istniejącej, w której celem wynikającym z prawnie uzasadnionych interesów realizowanych przez administratora jest konieczność udowodnienia potrzeby dochodzenia lub obrony przed roszczeniem istniejącym, nie zaś sytuacji, gdy dane są przetwarzane w celu zabezpieczenia się przed ewentualnym roszczeniem, a więc wyłącznie "na zapas", aby zabezpieczyć się przed ewentualnym przyszłymi i niepewnymi roszczeniami byłego dłużnika. Sąd uznał, że organ nadzorczy zasadnie przyjął w tej sytuacji, że skarżąca spółka nie może przetwarzać danych osobowych wnioskodawcy tylko w celu zabezpieczenia się przed ewentualnymi przyszłymi i niepewnymi roszczeniami byłego dłużnika.

Zdaniem sądu I instancji skarżąca spółka nie wskazała w sposób precyzyjny roszczeń, z którymi związana jest konieczność dalszego przetwarzania danych osobowych byłego dłużnika, co w konsekwencji oznacza, że przepis art. 17 ust. 3 lit. e RODO nie znajdował zastosowania w sprawie. Organ nadzorczy zasadnie więc przyjął w zaskarżonej decyzji, iż brak jest prawnie uzasadnionego interesu, w rozumieniu art. 6 ust. 1 lit. f RODO, dla dalszego przetwarzania danych osobowych byłego dłużnika. W związku z powyższym Prezes UODO - prawidłowo stosując przepis art. 58 ust. 2 lit. c RODO - nakazał skarżącej spółce zaprzestanie przetwarzania danych osobowych byłego dłużnika we wskazanym powyżej celu. W ocenie sądu I instancji organ nadzorczy zasadnie przyjął, że interesy i prawa podstawowe wnioskodawcy są nadrzędne wobec interesu administratora danych, albowiem dane osobowe byłego dłużnika przetwarzane są w sytuacji, w której skarżąca spółka nie ma rozsądnych przesłanek, by wykorzystywać je do dalszego przetwarzania.

Zatem, wydając sporną decyzję z 6 lipca 2020 r., Prezes UODO nie dopuścił się w toku postępowania jakichkolwiek istotnych uchybień formalnych, które uniemożliwiłyby sądowi dokonanie prawidłowej oceny zarzutów skargi i wypowiedzenie się co do legalności podjętego rozstrzygnięcia. Zdaniem sądu nie ulega wątpliwości, że związanie rygorami procedury administracyjnej oznacza, iż organ nadzorczy jest obowiązany m.in. do przestrzegania zasady pogłębiania zaufania obywateli do organów praworządnego państwa (art. 8 § 1 k.p.a.). Organ nadzorczy, uwzględniając powyższą zasadę, zobowiązany jest przede wszystkim dokładnie wyjaśnić okoliczności sprawy, konkretnie ustosunkować się do żądań i twierdzeń strony skarżącej oraz uwzględnić w decyzji zarówno interes społeczny, jak i słuszny interes strony skarżącej. Organ nadzorczy jest ponadto obowiązany w sposób wyczerpujący zebrać i ocenić cały materiał dowodowy (art. 7, art. 77 § 1 i art. 80 k.p.a.) oraz uzasadnić swoje rozstrzygnięcie według wymagań określonych w przepisie art. 107 § 3 k.p.a. Sąd stwierdził, że organ nadzorczy nie uchybił wskazanym wyżej obowiązkom.

W ocenie sądu I instancji, wbrew twierdzeniom strony skarżącej, prawidłowe ustalenia faktyczne poczynione w toku postępowania wyjaśniającego przez Prezesa UODO dały temu organowi pełną podstawę do wydania zaskarżonej decyzji nakazującej skarżącej spółce usunięcie danych osobowych wnioskodawcy w zakresie imienia, nazwiska oraz numeru telefonu. Z przytoczonych wyżej przyczyn, na podstawie art. 151 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (Dz.U. z 2019 r., poz. 2325 ze zm.; dalej "p.p.s.a."), sąd I instancji oddalił skargę.

Skargę kasacyjną od powyższego wyroku wywiodła skarżąca spółka, zaskarżając wyrok w całości. Wniosła o uchylenie zaskarżonego wyroku w całości i umorzenie postępowania. Nadto wniosła o rozpoznanie sprawy na rozprawie i o zasądzenie zwrotu kosztów postępowania. Zaskarżonemu wyrokowi zarzuciła:

1) naruszenie przepisów postępowania, mające istotny wpływ na wynik sprawy, tj. art. 134 § 1 oraz art. 135 p.p.s.a. w zw. z art. 156 § 1 pkt 4) i 5) k.p.a. w zw. z art. 80 k.p.a. poprzez błędne przyjęcie, że decyzja nakładająca obowiązek usunięcia danych mogła być wydana wobec skarżącej oraz że skarżąca może wykonać decyzję, podczas gdy z przekazanych przez skarżącą dowodów wynika, że nie jest ona administratorem danych, a jedynie podmiotem przetwarzającym dane powierzone jej przez E2 - rzeczywistego administratora danych, co powinno prowadzić do stwierdzenia nieważność wydanej decyzji, bowiem decyzja nakazująca usunięcie danych (i) została skierowana do podmiotu (skarżącej), który nie jest administratorem danych i jako taki nie powinien być stroną w sprawie, (ii) a skarżąca - jako podmiot wyłącznie przetwarzający dane - nie ma możliwości wykonania decyzji, gdyż nie jest podmiotem decydującym o celach i środkach przetwarzania danych w myśl art. 4 pkt 7) RODO.

Zdaniem spółki decyzja wydana przez organ jest dotknięta wadą nieważności ze względu na wydanie decyzji z naruszeniem art. 156 § 1 pkt 4) i 5) k.p.a., czego sąd meriti nie dostrzegł. W oparciu o ustalony stan faktyczny - przy czym skarżąca kategorycznie nie akceptuje go - czyniąc wywiedzioną skargę wszechstronnym i kompletnym środkiem zaskarżenia.

2) naruszenie prawa materialnego, tj. art. 151 p.p.s.a. w zw. z art. 4 pkt 7) RODO, poprzez błędne przyjęcie, że skarżąca spełnia przesłanki określone w tym przepisie i była administratorem danych osobowych w okresie wskazanym przez D.B. w piśmie wszczynającym postępowanie przed Prezesem UODO, podczas gdy skarżąca w okresie tym przetwarzała dane dłużnika wyłącznie jako podmiot przetwarzający, o którym mowa w art. 4 pkt 8) RODO, na zlecenie i na rzecz E2., będącego wierzycielem dłużnika, co konsekwentnie wyklucza możliwość uznania jej za administratora danych, a tym samym jej udział w charakterze strony postępowania administracyjnego w przedmiocie nałożenia na nią obowiązku;

3) naruszeniu prawa materialnego, tj. art. 151 p.p.s.a. w zw. z art. 58 ust. 2 lit. c w zw. z art. 17 ust. 1 RODO poprzez jego błędne zastosowanie i przyjęcie, że na podstawie powyższych przepisów możliwe jest nakazanie skarżącej, jako podmiotowi przetwarzającemu, usunięcie powierzonych jej przez administratora – E2 - danych osobowych dłużnika, podczas gdy określone w art. 17 ust. 1 RODO uprawnienie podmiotu danych do żądania niezwłocznego usunięcia dotyczących jego danych osobowych może być skierowane wyłącznie w stosunku do administratora danych.

W odpowiedzi na skargę kasacyjną Prezes UODO wniósł o jej oddalenie.

Naczelny Sąd Administracyjny zważył, co następuje.

Zgodnie z art. 183 § 1 ustawy z 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (tj.: Dz.U. z 2024 r., poz. 935; dalej p.p.s.a.) Naczelny Sąd Administracyjny rozpoznaje sprawę w granicach skargi kasacyjnej, bierze jednak z urzędu pod rozwagę nieważność postępowania. W sprawie nie występują enumeratywnie wyliczone w art. 183 § 2 p.p.s.a. przesłanki nieważności postępowania sądowoadministracyjnego. Z tego względu, przy rozpoznaniu sprawy, Naczelny Sąd Administracyjny związany był granicami skargi kasacyjnej.

W skardze kasacyjnej podniesiono zarzuty oparte o obie podstawy uregulowane w art. 174 pkt 1 i 2 p.p.s.a. Istotne jest jednak, iż zarzut naruszenia prawa procesowego nie kwestionuje poprawności ustalenia stanu faktycznego, lecz zagadnienie potencjalnej wykonalności poddanej kontroli decyzji administracyjnej związanej ze skierowaniem jej do podmiotu, który nie jest administratorem danych osobowych, których usunięcie nakazano w tej decyzji. Stąd też zauważyć należy, że Naczelny Sąd Administracyjny jest związany stanem faktycznym przyjętym przez organ oraz sąd I instancji, który uznał go za poprawny i oddalił skargę. Podkreślić należy zatem już na wstępie, że z poczynionych ustaleń faktycznych organ, a za nim sąd, wyprowadzili wniosek, że skarżąca spółka przetwarzała dane jako administrator, gdyż okoliczności faktyczne wskazują, że przetwarzała je wyłącznie w celu ochrony własnych interesów przed ewentualnymi roszczeniami. Dalej należy wskazać, że istota wszystkich zarzutów, bez względu na ich podstawę, sprowadza się do przyjęcia głównego założenia przez autora skargi kasacyjnej, że decyzja o nakazaniu usunięcia danych osobowych może być skierowana wyłącznie do administratora tych danych. Problem ten może zostać rozstrzygnięty na gruncie użycia podstawowych z punktu widzenia interpretacji prawa reguł, a mianowicie reguł wykładni językowej. Przepisy art. 58 ust. 2 RODO regulują podstawowy zespół środków prawnych stosowanych przez organ nadzoru w toku postępowania związanego z naruszeniem przepisów RODO, w tym środek określony w przepisie art. 58 ust. 2 lit. c RODO, sprowadzający się do nakazania administratorowi lub podmiotowi przetwarzającemu dane osobowe spełnienia żądania osoby, której dane dotyczą, wynikającego z praw przysługujących jej na mocy RODO. Jednym z praw podmiotowych przysługujących osobie fizycznej jest prawo zapomnienia, polegające na żądaniu usunięcia danych dotychczas przetwarzanych, regulowane przepisami art. 17 RODO. Ze wskazanych przepisów wynika zatem, iż decyzja organu nadzoru nakazująca usunięcie danych osobowych, wydana w związku z żądaniem osoby, której dane osobowe były przetwarzane, może być adresowana do administratora oraz podmiotu przetwarzającego dane osobowe. Zastosowany przez organ nadzorczy środek mógł być zatem skierowany tak do administratora, jak i podmiotu przetwarzającego dane osobowe, co a limine czyni skargę kasacyjną pozbawioną podstaw.

Należy jednak wskazać, że organ i sąd I instancji przeprowadzili istotne ustalenia faktyczne oraz towarzyszące im procesy argumentacyjne, które nie zostały prawidłowo odczytane przez autora skargi kasacyjnej. Z treści kontrolowanej decyzji wynika, że organ nadzoru organ wyraźnie odróżnił procesy przetwarzania danych osobowych przez skarżącą spółkę, jako podmiotu przetwarzającego działającego w oparciu o umowę powierzenia jej przetwarzania danych osobowych, od procesu przetwarzania danych osobowych przez skarżącą spółkę na swoją rzecz i ochronę swoich interesów,

a więc jako administratora danych osobowych. Konieczne jest zatem odróżnienie obu podmiotów.

Istota obu ww. podmiotów została uregulowana w przepisach art. 4 pkt 7 i 8 RODO. Zgodnie z nimi "administrator" oznacza osobę fizyczną lub prawną, organ publiczny, jednostkę lub inny podmiot, który samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych osobowych. Jeżeli cele i sposoby takiego przetwarzania są określone w prawie Unii lub w prawie państwa członkowskiego, to również w prawie Unii lub w prawie państwa członkowskiego może zostać wyznaczony administrator lub mogą zostać określone konkretne kryteria jego wyznaczania. Z kolei "podmiot przetwarzający" oznacza osobę fizyczną lub prawną, organ publiczny, jednostkę lub inny podmiot, który przetwarza dane osobowe w imieniu administratora. W świetle obu definicji zawartych w rozporządzeniu różnica między obu podmiotami sprowadza się do stwierdzenie, kto decyduje o celu i sposobach przetwarzania danych (kto ustala cele i sposoby przetwarzania danych).

W rozpoznawanej sprawie decyzja organu nadzoru została skierowana do skarżącej jako administratora danych osobowych, w zakresie w jakim skarżąca przetwarzała dane osobowe na potrzeby ochrony własnych interesów. Z wiążących Naczelny Sąd Administracyjny ustaleń faktycznych wynika, że z dniem 12 lipca 2018 r. ustała umowa windykacyjna, a zatem również ustało przetwarzanie danych osobowych przez spółkę jako podmiotu przetwarzającego dane osobowe. Od tego momentu skarżąca przetwarzała dane wyłącznie w celu ewentualnego ustalenia, dochodzenia lub obrony jej interesów przed możliwymi roszeniami, a podstawą prawną procesów przetwarzania miał być przepis art. 6 ust. 1 lit. f RODO. Ocena prawna organu nadzoru oraz sądu I instancji wskazywała brak podstaw do dalszego przetwarzania danych osobowych przez skarżącą o te podstawę prawną jako administratora, co przemówiło za treścią decyzji poddanej kontroli.

W związku z tym, iż środek nadzorczy, o którym mowa w art. 58 ust. 2 lit. c RODO może być kierowany do podmiotu przetwarzającego dane osobowe i administratora danych osobowych nie sposób uznać zarzutu pierwszego za uzasadniony. Ponadto w związku z tym oraz w związku z wiążącymi Sąd II instancji ustaleniami faktycznymi implikującymi uznanie jej za administratora danych osobowych brak było podstaw do uznania zasadności zarzutów drugiego i trzecie opartych na błędnym założeniu, że decyzja została skierowana do pomiotu przetwarzającego dane osobowe.

Naczelny Sąd Administracyjny, działając na podstawie art. 184 p.p.s.a., orzekł o oddaleniu skargi kasacyjnej. O kosztach postępowania Sąd orzekł na podstawie art. 204 pkt 1 w zw. z art. 205 § 2 p.p.s.a.