Centralna Baza Orzeczeń Sądów Administracyjnych

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Joanna Kruszewska-Grońska, Sędzia WSA Piotr Borowiecki (spr.), Sędzia WSA Andrzej Wieczorek, po rozpoznaniu na posiedzeniu niejawnym w dniu 29 lipca 2021 r. sprawy ze skargi E. sp. z o. o. z siedzibą w W. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] lipca 2020 r. nr [...] w przedmiocie nakazu usunięcia danych osobowych oddala skargę.

Zaskarżoną decyzją z dnia [...] lipca 2020 r., nr [...], Prezes Urzędu Ochrony Danych Osobowych (dalej także: "Prezes UODO" lub "organ nadzorczy"), działając na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego (tekst jednolity Dz. U. z 2020 r., poz. 256 ze zm. - dalej: "k.p.a.") w zw. z art. 7 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (tekst jednolity Dz. U. z 2019 r., poz. 1781, dalej także: "u.o.d.o.") oraz w zw. z art. 6 ust. 1 lit. f i art. 17 ust. 1 i ust. 3 oraz w zw. z art. 58 ust. 2 lit. c rozporządzenia Parlamentu Europejskiego i Rady UE 2016/679 z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. EU L 119 z 04.05.2016, str. 1 oraz Dz. Urz. UE L 127 z 23.05.2018, str. 2, ze zm., dalej: "RODO"), po przeprowadzeniu postępowania administracyjnego zainicjowanego skargą D. B. (dalej: "wnioskodawca") na nieprawidłowości w procesie przetwarzania jego danych osobowych przez spółkę [...] z siedzibą w [...] (dalej także: "skarżąca spółka" lub "strona skarżąca") - nakazał skarżącej spółce usunięcie danych osobowych D. B., w zakresie imienia, nazwiska oraz numeru telefonu.

Zaskarżona decyzja Prezesa UODO została wydana w następującym stanie faktycznym.

W dniu [...] grudnia 2018 r. do Urzędu Ochrony Danych Osobowych wpłynęła skarga D. B. na nieprawidłowości w procesie przetwarzania jego danych osobowych przez [...] z siedzibą w [...].

Wnioskodawca wniósł o sprawdzenie przez organ nadzorczy, na jakiej podstawie skarżąca spółka posługiwała się jego imieniem, nazwiskiem oraz numerem telefonu. Wnioskodawca zauważył, że pracownicy skarżącej spółki dzwonili do niego oraz proponowali udzielenie wakacji od długu. Tymczasem, jak wskazał wnioskodawca, nie wyrażał on zgody na przetwarzanie jego danych osobowych przez skarżącą spółkę oraz na dokonanie cesji jego wierzytelności. Ponadto, wnioskodawca podniósł, że upłynął okres przedawnienia wierzytelności. W konsekwencji, wnioskodawca wniósł o nakazanie przez organ nadzorczy usunięcia jego danych osobowych z baz danych skarżącej spółki.

W toku przeprowadzonego postępowania wyjaśniającego Prezes UODO ustalił następujący stan faktyczny w sprawie:

W dniu [...] stycznia 2007 r. skarżąca spółka zawarła z [...] z siedzibą w [...] (dalej także: "[...]") umowę cesji wierzytelności, w wyniku której wstąpiła w prawa wierzyciela względem D. B. Następnie, wspomniana wierzytelność została zbyta na rzecz spółki [...] z siedzibą w [...],[...]. Od dnia [...] marca 2010 r. skarżącą spółkę oraz [...] łączy umowa ramowa o świadczenie usług, na podstawie której skarżąca spółka świadczy usługi windykacyjne. Z wyjaśnień skarżącej spółki wynika ponadto, że obsługa windykacyjna sprawy dotyczącej D. B. została zakończona w dniu [...] lipca2018 r. Ponadto, ustalono, iż skarżąca spółka przekazała dane osobowe wnioskodawcy spółce [...] w celu dokonania wysyłki korespondencji kierowanej do wnioskodawcy, na podstawie zawartej z tym podmiotem umowy powierzenia przetwarzania danych (dowód: wyjaśnienia skarżącej spółki zawarte w piśmie z dnia [...] maja 2019 r.).

W dniu [...] lipca 2018 r. D. B., reprezentowany przez pełnomocnika, wezwał skarżącą spółkę do zaprzestania przetwarzania jego danych osobowych.

W dniu [...] sierpnia 2018 r. skarżąca spółka udzieliła odpowiedzi na powyższe wezwanie.

W wyniku analizy zgromadzonego w toku postępowania wyjaśniającego materiału dowodowego, Prezes Urzędu Ochrony Danych Osobowych - działając na podstawie art. 104 § 1 k.p.a. w zw. z art. 7 ust. 1 u.o.d.o. oraz w zw. z art. 6 ust. 1 lit. f art. 17 ust. 1 i ust. 3 oraz w zw. z art. 58 ust. 2 lit. c RODO - nakazał skarżącej spółce [...] z siedzibą w [...] usunięcie danych osobowych D. B., w zakresie imienia, nazwiska oraz numeru telefonu.

W uzasadnieniu decyzji Prezes UODO, analizując na wstępie kwestię podstaw prawnych przetwarzania danych osobowych wnioskodawcy przez skarżącą spółkę - zauważył, że dane osobowe wnioskodawcy zostały pozyskane przez skarżącą spółkę na podstawie umowy cesji wierzytelności zawartej w dniu [...] stycznia 2007 r. z [...]. Organ nadzorczy wskazał, że sprzedaż tej wierzytelności została dokonana na podstawie art. 509 § 1 ustawy z dnia 23 kwietnia 1964 r. - Kodeks cywilny (tekst jednolity Dz. U. z 2019 r., poz. 1145 - dalej także: "k.c."), zgodnie z którym wierzyciel może bez zgody dłużnika przenieść wierzytelność na osobę trzecią (przelew), chyba że sprzeciwiałoby się to ustawie, zastrzeżeniu umownemu albo właściwości zobowiązania. Organ nadzorczy podniósł, że w wyniku kolejnego zbycia wierzytelności administratorem danych osobowych wnioskodawcy stał się [...], który następnie przekazał skarżącej spółce dane osobowe wnioskodawcy na podstawie art. 31 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (tekst jednolity Dz. U. z 2016 r., poz. 922 ze zm.; dalej także: "u.o.d.o. z 1997 r."), który stanowił, że administrator danych może powierzyć innemu podmiotowi, w drodze umowy zawartej na piśmie, przetwarzanie danych. Organ nadzorczy stwierdził, że powyższa umowa zawarta została w celu realizacji prawnie usprawiedliwionego celu, jakim było dochodzenie wierzytelności, co wiązało się z realizacją przesłanki określonej w art. 23 ust. 1 pkt 5 u.o.d.o. z 1997 r., który stanowił, że przetwarzanie danych jest dopuszczalne tylko wtedy, gdy jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą. Zgodnie zaś, jak zauważył organ nadzorczy, z art. 23 ust. 4 pkt 2 u.o.d.o. z 1997 r. za prawnie usprawiedliwiony cel, o którym mowa w ust. 1 pkt 5, uważa się w szczególności dochodzenie roszczeń z tytułu prowadzonej działalności gospodarczej.

Ponadto, Prezes UODO wskazał, że w okresie między [...] maja 2018 r. a [...] lipca 2018 r. dane osobowe wnioskodawcy przetwarzane były na podstawie art. 6 ust. 1 lit. f RODO, zgodnie z którym przetwarzanie jest zgodne z prawem, gdy przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem. Organ nadzorczy stwierdził, że w przedmiotowej sprawie takim prawnie uzasadnionym interesem było dochodzenie roszczeń finansowych wobec D.B.

Organ nadzorczy podkreslił, że obsługa windykacyjna wierzytelności ustała w dniu [...] lipca 2018 r., w związku z czym skarżąca spółka przestała przetwarzać dane osobowe wnioskodawcy w tym celu.

Prezes UODO zauważył, że według wyjaśnień strony skarżącej, istotne jest to, że nawet zobowiązanie, które uległo przedawnieniu, staje się naturalnym (niezupełnym), efektem czego istnieje możliwość uchylenia się od zaspokojenia przedawnionego roszczenia, natomiast sam fakt przedawnienia nie jest tożsamy z jego wygaśnięciem. W tej sytuacji, jak wskazał organ nadzorczy, skarżąca spółka podkreśliła, że przetwarza dane osobowe wnioskodawcy wyłącznie w celu realizacji spoczywających na niej obowiązków prawnych oraz ochrony przed roszczeniami.

Organ nadorczy uznał jednak, że skarżąca spółka nie wskazała precyzyjnie obowiązków prawnych, które wiążą się z koniecznością przetwarzania danych osobowych wnioskodawcy.

Prezes UODO stwierdził, iż nie podziela stanowiska skarżącej spółki, że obecnie przetwarza ona dane osobowe wnioskodawcy wyłącznie w celu ewentualnego ustalenia, dochodzenia lub obrony przed możliwymi roszczeniami na podstawie art. 6 ust 1 lit. f RODO.

Organ nadzorczy uznał, że zebrany materiał dowodowy nie wykazał, by wnioskodawca wystąpił z roszczeniem wobec skarżącej spółki, bądź też by skarżaca spółka dochodziła jakichkolwiek roszczeń od wnioskodawcy na drodze sądowej, które uzasadniałyby uprawnienie skarżącej spółki do zachowania i przetwarzania danych osobowych wnioskodawcy w związku z ich zabezpieczeniem i dochodzeniem przez wnioskodawcę lub skarżąca spółkę.

W tej sytuacji, Prezesa UODO stwierdził, że brak jest zatem spełnienia wskazywanej przez skarżącą spółkę przesłanki niezbędności do celów wynikających z prawnie usprawiedliwionych interesów realizowanych przez administratora odnośnie przetwarzania danych osobowych wnioskodawcy.

Organ nadzorczy uznał, że przesłanka z art. 6 ust. 1 lit. f RODO dotyczy sytuacji już istniejącej, w której celem wynikającym z prawnie uzasadnionych interesów realizowanych przez administratora jest konieczność udowodnienia, potrzeba dochodzenia lub obrony przed roszczeniem istniejącym, nie zaś sytuacji, gdy dane są przetwarzane w celu zabezpieczenia się przed ewentualnym roszczeniem.

W związku z powyższym, Prezes UODO stwierdził, że skoro przeprowadzone postępowanie administracyjne nie wykazało, aby wnioskodawca oprócz niniejszego postępowania skierował wobec skarżącej spółki jakiekolwiek roszczenie, uznać trzeba, iż skarżąca spółka przetwarza dane osobowe wnioskodawcy wyłącznie w celu "na zapas", aby zabezpieczyć się przed ewentualnym przyszłymi i niepewnymi roszczeniami wnioskodawcy.

W tym miejscu, organ nadzorczy powołał się na stanowisko Wojewódzkiego Sądu Administracyjnego w Warszawie wyrażone w wyroku z dnia 1 grudnia 2010 r., sygn. akt II SA/Wa 1212/10 (LEX nr 755113), w którym stwierdził, że przesłanka z art. 23 ust. 1 pkt 5 u.o.d.o. z 1997 r. dotyczy sytuacji już istniejącej i pewnej, a więc przypadku, gdy istnieje potrzeba udowodnienia, potrzeba dochodzenia roszczenia z tytułu prowadzonej działalności gospodarczej, nie zaś sytuacji, gdy dane są przetwarzane na wypadek ewentualnego procesu i ewentualnej potrzeby udowodnienia, iż dane osobowe pozyskane bez zgody osoby, której dotyczą są przetwarzane zgodnie z prawem. Organ nadzorczy zauważył, że w przedmiotowym wyroku Sąd uznał, iż spółka nie może przetwarzać danych osobowych skarżącego tylko w celu zabezpieczenia się przed ewentualnym przyszłym i niepewnym roszczeniem skarżącego.

Prezes UODO uznał, że w sytuacji przyjęcia odmiennej interpretacji analizowanych powyżej przepisów, wnioskodawca pozbawiony byłby ochrony na gruncie RODO. Organ nadzorczy zaznaczył bowiem, że przyjęcie za prawidłowe stanowiska skarżącej spółki, iż przetwarzanie danych osobowych w celu uchylenia się od negatywnych skutków, w przypadku zgłoszenia w przyszłości ewentualnego i nieokreślonego roszczenia, stanowi prawnie usprawiedliwiony cel, w rozumieniu art. 6 ust. 1 lit. f RODO, oznaczałoby, że dane osobowe wnioskodawcy mogłyby być przetwarzane przez skarżącą spółkę permanentnie, bez konieczności ich usunięcia.

Ponadto, Prezes UODO stwierdził, że brak jest jednocześnie uzasadnienia dla przyjęcia tezy, iż terminy dotyczące przedawnienia roszczeń wynikających ze stosunków zobowiązaniowych określają jednocześnie ramy czasowe, w których dane osobowe mogą być przetwarzane przez skarżącą spółkę. Organ nadzorczy wskazał, że przedawnienie roszczenia nie wywołuje skutków na gruncie ochrony danych osobowych, nie wpływa bowiem na fakt istnienia roszczenia, a powoduje jedynie zmianę w sferze zarzutów procesowych w postaci możliwości podniesienia okoliczności przedawnienia w sporze sądowym. Organ nadzorczy podkreślił, że okolicznością usprawiedliwiającą przetwarzanie danych osobowych w celu dochodzenia roszczeń jest sam fakt istnienia roszczenia oraz zamiar jego dochodzenia, natomiast nie jest nią zmiana w uprawnieniach procesowych podmiotu pozwanego.

W konsekwencji, organ uznał, że z uwagi na fakt, iż skarżąca spółka nie wskazała roszczenia, którego zaspokojenia domaga się od niej wnioskodawcy, jak również z uwagi na fakt, iż brak jest obecnie sporu toczącego się między wnioskodawcą a skarżącą spółką dotyczącego stosunku zobowiązaniowego, stwierdzić trzeba, że brak jest celu uzasadniającego przetwarzanie danych osobowych wnioskodawcy, w rozumieniu art. 6 ust. 1 lit. f RODO.

Wobec powyższego, organ nadzorczy stwierdził, że kontynuowanie do chwili obecnej przetwarzania danych osobowych wnioskodawcy D.B. w celu zabezpieczenia i dochodzenia lub obrony przed ewentualnymi, przyszłymi i niepewnymi roszczeniami, należy uznać za zbędne i niezgodne z obowiązującymi przepisami o ochronie danych osobowych.

Ponadto, organ nadzorczy zauważył, że skarżąca spółka nie wskazała w precyzyjny sposób innych przepisów prawa, które obligowałyby ją do dalszego przetwarzania danych osobowych wnioskodawcy.

W związku z powyższym, Prezes UODO uznał, że istnieją podstawy do zastosowania przepisu art. 58 ust. 2 lit. c RODO, który stanowi, iż w przypadku naruszenia przepisów o ochronie danych osobowych organ nadzorczy nakazuje administratorowi lub podmiotowi przetwarzającemu dane spełnienia żądania osoby, której dane dotyczą, wynikającego z praw przysługujących jej na mocy rozporządzenia 2016/679.

W konsekwencji, organ nadzorczy stwierdził zatem, że zaistniała niezbędna przesłanka do wydania decyzji nakazującej skarżącej spółce usunięcie danych osobowych wnioskodawcy w zakresie obejmującym jego imię i nazwisko, a także numer telefonu.

W piśmie z dnia [...] sierpnia 2020 r. skarżąca spółka, działając za pośrednictwem organu nadzorczego, wniosła do Wojewódzkiego Sądu Administracyjnego w Warszawie skargę na powyższą decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] lipca 2020 r.

Wnosząc w petitum skargi o uchylenie zaskarżonej decyzji Prezesa UODO, a także o zasądzenie od organu nadzorczego zwrotu kosztów postępowania sądowego według norm przepisanych, skarżąca spółka zarzuciła:

1. naruszenie przepisów postępowania, które mogło mieć istotny wpływ na wynik sprawy, a w szczególności:

- naruszenie art. 7, art. 77 § 1 i art. 80 k.p.a. - polegające na niewyczerpującym rozpatrzeniu materiału dowodowego oraz na jego dowolnej ocenie przejawiającej się w uznaniu, że skarżąca spółka powinna usunąć dane osobowe D. B., z uwagi na fakt, iż przetwarzanie jego danych nie jest dla strony skarżącej niezbędne do ustalenia, dochodzenia lub obrony roszczeń, co doprowadziło do wadliwego uznania, że skarżąca spółka dopuściła się naruszenia przepisów o ochronie danych osobowych (art. 17 RODO) i w konsekwencji nakazania jej usunięcia danych osobowych wskazanych w decyzji;

2. naruszenie przepisów prawa materialnego, które miało wpływ na wynik sprawy, a w szczególności:

a) naruszenie art. 6 ust. 1 lit. f RODO - poprzez jego błędne zastosowanie i przyjęcie, że zakończenie działań windykacyjnych skutkuje brakiem uzasadnionych interesów realizowanych przez administratora do przetwarzania danych osobowych D. B.,

b) naruszenie art. 17 ust. 3 lit. e RODO - poprzez jego błędne zastosowanie i przyjęcie, że strona skarżąca jest zobowiązana do usunięcia danych w warunkach art. 17 ust. 1 lit a RODO, mimo że skarżąca spółka może przetwarzać dane do celów ustalenia, dochodzenia lub obrony roszczeń (art. 17 ust. 3 lit. e RODO), co w konsekwencji oznacza, że strona skarżący nie dopuściła się naruszenia ww. przepisów.

W uzasadnieniu skargi strona skarżąca zarzuciła, że w konsekwencji uznania za słuszne przyjętego w zaskarżonej decyzji stanowiska oraz argumentacji organu nadzorczego doszło do naruszenia interesu prawnego skarżącej spółki, jakim jest prawo do skutecznej obrony swoich praw w przypadku wystąpienia sporu dochodzonego na drodze sądowej w postępowaniu cywilnym lub karnym. Ponadto, zdaniem strony skarżącej, zaburzona zostanie także równowaga procesowa stron postępowania sądowego na etapie rozpoznawczym lub przygotowawczym.

Skarżąca spółka wskazała, że w przedmiotowej decyzji została zakwestionowana podstawa przetwarzania danych osobowy po zakończeniu realizacji działań windykacyjnych, tj. w chwili, w którym wygasa pierwotny cel przetwarzania danych osobowych przez skarżącego. Tymczasem, skarżąca spółka zauważyła, że w tej sytuacji przechowuje dane osobowe dłużnika przez maksymalny okres, w którym mogą być dochodzone ewentualne roszczenia przeciwko skarżącej spółce.

Skarżąca spółka podniosła, że powyższa praktyka pozwala zachować stronie skarżącej informacje o podejmowanych działaniach w etapie realizacji czynności windykacyjnych, które to stanowią materiał dowodowy niezbędny do przedłożenia w przypadku skierowania przeciwko skarżącej spółce powództwa na drodze cywilnej lub wezwania organów ścigania do udzielenia wyjaśnień w toczącym się postępowaniu przygotowawczym i tym samym pozwalają stronie skarżącej na skuteczną obronę swoich praw.

W konsekwencji, strona skarżąca uznała, że sporne dane osobowe przetwarzane są w celu realizacji prawnie uzasadnionego interesu, jakim jest obrona przed roszczeniami, zaś podstawę prawną przetwarzania danych stanowi art. 6 ust. 1 lit. f RODO.

Jednocześnie, skarżąca spółka zauważyła, iż w art. 6 ust. 1 lit. f RODO wskazuje się nie na prawnie uzasadniony cel, gdyż jako jedną z przesłanek dopuszczalności przetwarzania danych osobowych kwalifikuje się prawnie uzasadniony interes, co oznacza, że administrator nie może już przetwarzać tych danych osobowych, chyba że wykaże istnienie ważnych prawnie uzasadnionych podstaw do przetwarzania, nadrzędnych wobec interesów, praw i wolności osoby, której dane dotyczą, lub podstaw do ustalenia, dochodzenia lub obrony roszczeń, przy czym - w ocenie skarżącej spółki - roszczenia te mogą zmaterializować się poprzez wniesienie np. pozwu także po usunięciu danych osobowych, a przed upływem okresu przedawnienia roszczenia lub karalności.

Ponadto, strona skarżąca podniosła, że w obecnym stanie prawnym zasadne jest m.in. pozyskiwanie przy zawieraniu umowy numeru PESEL kontrahenta ze względu na możliwość ewentualnego dochodzenia roszczeń w postępowaniu uproszczonym - EPU, z wykorzystaniem tzw. elektronicznego sądu (przez Internet), gdyż przepisy Kodeksu postępowania cywilnego uniemożliwiają wniesienie powództwa w tym postępowaniu bez wskazania przez wierzyciela numeru PESEL dłużnika. Skarżąca spółka uznał zatem, że skoro numer PESEL może być pozyskiwany na "możliwość ewentualną", z której strona skarżąca skorzysta lub nie, to niezrozumiałe i wewnętrznie sprzeczne jest dla strony skarżącej stanowisko, iż numer PESEL nie może być już na ewentualne roszczenie lub zarzuty przeciwko skarżącemu przechowywany, gdyż miałoby to charakter warunkowy, czyli skuteczność przetwarzania miałaby zależeć od ziszczenia się warunku, a przetwarzanie danych byłoby uzasadnione dopiero po ziszczeniu się tego warunku.

W ocenie strony skarżącej, przywołane przez PUODO kwestie dotyczące przedawnienia roszczeń, czy przekształcenia w tzw. zobowiązanie niezupełne (naturalne), jest zupełnie niezwiązane z niniejszym stanem faktycznym, gdyż ze względu na określone w przepisach prawa terminy przedawnienia roszczeń oraz przedawnienia karalności, dotyczą terminów do zainicjowania postępowania wobec lub przeciwko skarżącej spółce przez klienta lub dłużnika, a dane osobowe mogą być przechowywane do momentu upływu dłuższego z tych terminów, po tym okresie dane osobowe są usuwane, przy czym powyższe terminy należy rozdzielić na dwa rodzaje postępowań, jakie są kierowane przeciwko skarżącemu:

- postępowania na gruncie przepisów ustawy z dnia 23 kwietnia 1964 r. - Kodeks cywilny, m.in. o odszkodowanie, zadośćuczynienie, roszczenia finansowe; organ nadzorczy wskazał, że w przypadku powyższych termin przedawnienia roszczeń jest najdłuższym okresem dającym podstawę prawną do przechowywania danych osobowych Dłużnika i jest on określony w przepisach art. 118 k.c.

- postępowania na gruncie przepisów ustawy z dnia 6 czerwca 1997 r. - Kodeks kamy (dalej: "k.k."), w szczególności przestępstwo z art. 190a k.k. (stalking) ścigane na wniosek pokrzywdzonego.

W dalszej części uzasadnienia do skargi, skarżący uznał, że podniesione w decyzji argumenty dot. braku ochrony danych Dłużnika przewidzianej w RODO a także założenie, iż przetwarzanie danych w celu obrony przed przyszłym i niepewnym zdarzeniem prowadziłoby do możliwości przetwarzania danych permanentnie, bez konieczności ich usunięcia są błędne.

Odnosząc się do powyższego, a także uwzględniając, iż dane osobowe dłużnika w chwili zakończenia prowadzenia działań windykacyjnych, są jedynie przechowywane do upływu okresu przedawnienia roszczeń, realizując przyjęte zasady przezorności na wypadek konieczności przechowania materiału dowodowego w sprawie i nie są przetwarzane dla innych celów oraz wykorzystywane do bieżącej działalności, a po upływie okresu przedawnienia roszczeń są trwale usuwane - skarżąca spółka uznała, że poprzez swoje działania zapewnia wymaganą prawem ochronę danych dłużników na każdym etapie ich przetwarzania.

W tej sytuacji, skarżąca spółka stwierdziła, że przyjęcie tezy, iż niedopuszczalne jest przechowywanie danych dla przyszłych i niepewnych zdarzeń, w przypadku, w którym przepisy prawne określają terminy, w jakich mogą być zgłaszane roszczenia, a określony przez skarżącego termin usunięcia danych osobowych oraz metoda wyliczania powyższego terminu wynikają wprost z przepisów prawnych, skutkuje zobowiązaniem skarżącej spółki do usuwania danych niezwłocznie po zakończeniu działań windykacyjnych i tym samym pozbawia całkowitej możliwości obrony przed roszczeniami, w przypadku w którym w przewidzianym przepisami prawa terminie przedawnienia roszczeń lub ustania karalności przestępstwa, zostanie złożony pozew przeciwko skarżącemu.

Zdaniem strony skarżącej, zobowiązanie do usunięcia danych osobowych, zgodnie z przyjętymi w decyzji warunkami, prowadzi do niemożliwości zidentyfikowania dłużnika przez stronę skarżącą i tym samym przedłożenia wiarygodnych informacji i dowodów, w przypadku wystąpienia sporu, co przekłada się bezpośrednio na pozbawienie skarżącego przewidzianego przepisami - prawa do obrony.

Wskazując na powyższe, skarżący wyraźnie stwierdził, że takie podejście uniemożliwia również realizację obowiązku udzielenia informacji na wezwania organów ścigania w przypadku toczącego się postępowania.

Skarżący podkreślił, iż może dojść do sytuacji, w której usunięcie danych osobowych będzie niekorzystne nie tylko dla strony skarżącej, ale także dla klienta lub dłużnika skarżącego, w obliczu np. prowadzenia przeciwko niemu postępowania przygotowawczego, albowiem - jak zauważył skarżący - na wezwanie odpowiednich i uprawnionych organów skarżący nie będzie mógł przedstawić żadnych danych, dokumentów, czy też informacji dotyczących tego klienta lub dłużnika.

W tej sytuacji, skarżący uznał, że terminy przedawnienia roszczeń/karalności, w których to okresach możliwe jest zgłoszenie roszczeń przeciwko skarżącemu, przyjęcie argumentacji wskazanej w decyzji, iż przetwarzanie danych w celu dochodzenia lub obrony przed roszczeniami, prawnie dopuszczalne jest tylko dla roszczeń istniejących, skutkuje nierównością procesową stron i niemożliwością skutecznej obrony praw, w przypadku, w którym roszczenie przeciwko skarżącemu zostaje wniesione po zakończeniu prowadzenia działań windykacyjnych.

W konsekwencji, strona skarżąca stwierdziła, że założone przez nią okresy przetwarzania danych, mające na celu umożliwienie obrony praw skarżącego, znajdują oparcie w przepisach prawnych i pozwalają na realizację podstawowych praw podmiotów prawnych, zaś zastosowane mechanizmy bezpieczeństwa i zasady przetwarzania danych, nie naruszają praw podmiotu danych, pozwalają zachować równość stron zaangażowanych w przetwarzanie danych i dają pełną gwarancję ochrony danych osobowych dłużnika.

W odpowiedzi na skargę Prezes Urzędu Ochrony Danych Osobowych wniósł o jej oddalenie, podtrzymując swoje dotychczasowe stanowisko wyrażone w uzasadnieniu zaskarżonej decyzji.

W skierowanym do Sądu piśmie procesowym z dnia [...] lipca 2021 r. skarżąca spółka podtrzymała swoje dotychczasowe zarzuty oraz stanowisko wyrażone w skardze.

Strona skarżąca stwierdziła, iż zarzuca organowi nadzorczemu:

I. naruszenie wskazanych zarówno w skardze, jak i pozostałych pismach złożonych w niniejszym postępowaniu przepisów materialnych, polegające na niewyczerpującym rozpatrzeniu materiału dowodowego oraz na jego dowolnej ocenie przejawiającej się w uznaniu, że skarżąca spółka powinna usunąć dane osobowe dłużnika, albowiem przetwarzanie danych nie jest dla skarżącej spółki niezbędne do ustalenia, dochodzenia lub obrony roszczeń, co doprowadziło w konsekwencji do wadliwego uznania, że skarżąca spółka dopuścił się naruszenia przepisów o ochronie danych osobowych, w sytuacji, gdy owa przesłanka została spełniona - o czym bez wątpienia świadczy niniejsze postępowanie administracyjne i sądowoadministracyjne - a tym samym nie sposób przyjąć narracji, iż przetwarzanie danych osobowych przez skarżącą spółkę odbywa się niejako "na zapas" lub na "wszelki wypadek";

II. naruszenie wskazanych zarówno w skardze, jak i w pozostałych pismach złożonych w niniejszym postępowaniu przepisów RODO - poprzez ich błędne zastosowanie i przyjęcie, że zakończenie działań windykacyjnych skutkuje brakiem uzasadnionych interesów, zwłaszcza w obliczu faktu, iż dane osobowe dłużnika, do usunięcia których skarżąca spółka została zobowiązana, zostały także bezpośrednio przekazane przez Urząd Ochrony Danych Osobowych w treści decyzji w związku z wszczętym w sprawie postępowaniem administracyjnym i obecnie toczącym się postępowaniem sądowoadministracyjnym. Skarżący podkreślił, że działając w imieniu i na rzecz administratora danych osobowych, przetwarza tylko taki ich zakres, który jest konieczny do realizacji celu przetwarzania.

Skarżąca spółka stwierdziła, iż w analizowanym przypadku przetwarzanie danych osobowych dokonane zostało w zakresie niezbędnym dla wypełnienia prawnie uzasadnionego celu administratora danych, w sposób niewykraczający poza ten cel, i z zachowaniem zasady minimalizacji danych (art. 5 ust. 1 lit. c RODO), a założone przez skarżącą spółkę okresy przetwarzania danych, mające na celu umożliwienie praw skarżącej spółki, znajdują oparcie zarówno w przepisach prawnych, jak też pozwalają w praktyce na realizację podstawowych praw podmiotów prawnych.

Skarżąca spółka uznała ponadto, że trafne jest założenie, iż roszczenia dłużnika mogą zmaterializować się w każdej chwili, a więc także po usunięciu danych osobowych.

Jednocześnie, strona skarżąca podtrzymała swoje wcześniejsze stanowisko, iż po uzyskaniu pewności, że wszystkie wymagane przez prawo okresy przechowywania danych upłynęły, skarżąca spółka podejmie decyzję o trwałym i nieodwracalnym usunięciu danych osobowych dłużnika.

Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje.

Zgodnie z art. 1 § 1 i 2 ustawy z dnia 25 lipca 2002 r. - Prawo o ustroju sądów administracyjnych (tekst jednolity Dz. U. z 2021 r., poz. 137), sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej, przy czym kontrola ta sprawowana jest pod względem zgodności z prawem, jeżeli ustawy nie stanowią inaczej.

W świetle powołanych przepisów cyt. ustawy, Wojewódzki Sąd Administracyjny w Warszawie, w zakresie swojej właściwości, ocenia zaskarżoną decyzję administracyjną, postanowienie, czy też inny akt lub czynność z zakresu administracji publicznej dotyczącą uprawnień lub obowiązków wynikających z przepisów prawa, z punktu widzenia ich zgodności z prawem materialnym i przepisami postępowania administracyjnego, według stanu faktycznego i prawnego obowiązującego w dacie wydania tego aktu lub podjęcia spornej czynności. Chodzi więc o kontrolę aktów lub czynności z zakresu administracji publicznej dokonywaną wyłącznie pod względem ich zgodności z prawem materialnym i przepisami procesowymi, nie zaś według kryteriów słuszności, czy też zgodności z zasadami współżycia społecznego.

Ponadto, co wymaga podkreślenia, Sąd rozstrzyga w granicach danej sprawy, nie będąc jednak związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną (vide: art. 134 § 1 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi - tekst jednolity Dz. U. z 2019 r., poz. 2325 ze zm. - dalej także: "P.p.s.a.").

Należy jednocześnie wyraźnie zaznaczyć, że od dnia wejścia w życie Traktatu Akcesyjnego z dnia 16 kwietnia 2003 r. (Dz. U. z 2004 r. Nr 90, poz. 864), na mocy którego Polska stała się państwem członkowskim Unii Europejskiej, kontrola sądu administracyjnego obejmuje również zgodność rozstrzygnięć organów administracji publicznej z prawem europejskim (prawem Unii Europejskiej), rozumianym, jako całokształt dorobku prawnego Unii Europejskiej (acquis communautaire), w tym zasad ogólnych prawa europejskiego, interpretowanych oraz stosowanych w sposób jednolity na całym obszarze Unii Europejskiej.

W tej sytuacji, Wojewódzki Sąd Administracyjny w Warszawie, dokonując oceny legalności zaskarżonej decyzji Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] lipca 2020 r., zobowiązany był zbadać jej zgodność przede wszystkim z przepisami prawa europejskiego, w tym w szczególności z regulacjami prawnymi zawartymi w rozporządzeniu Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych - zwane także: "RODO").

W ocenie Wojewódzkiego Sądu Administracyjnego w Warszawie, analizowana pod tym kątem skarga spółki [...] z siedzibą w [...] nie zasługuje na uwzględnienie, albowiem zaskarżona decyzja Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] lipca 2020 r., nr [...] nie narusza obowiązujących przepisów prawa.

Sąd uznał, że Prezes UODO, wydając sporną decyzję z dnia [...] lipca 2020 r., nie dopuścił się naruszenia zarówno wiążących Polskę przepisów prawa europejskiego, jak i regulacji prawa krajowego, w stopniu mogącym mieć jakikolwiek istotny wpływ na końcowy wynik sprawy.

Analizując niniejszą sprawę, Sąd doszedł bowiem do wniosku, że organ nadzorczy, wydając przedmiotową decyzję administracyjną nakazującą skarżącej spółce usunięcie danych osobowych D. B., w zakresie imienia, nazwiska oraz numeru telefonu, nie dopuścił się przede wszystkim - mogącego mieć zasadniczy wpływ na wynik sprawy - naruszenia przepisów procedury administracyjnej, a w szczególności art. 7 k.p.a., art. 77 § 1 k.p.a., art. 80 k.p.a., a także art. 107 § 3 k.p.a. w związku z art. 7 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych, albowiem - nakazując usunięcie wspomnianych danych osobowych wnioskodawcy na podstawie prawidłowo ustalonego stanu faktycznego - wyjaśnił wszystkie okoliczności istotne dla prawidłowego i pełnego rozstrzygnięcia sprawy.

Organ nadzorczy nie dopuścił się jednocześnie naruszenia przepisów prawa materialnego, w tym w szczególności art. 6 ust. 1 lit. f, a także art. 17 ust. 1 i ust. 3 w zw. z art. 58 ust. 2 lit. c rozporządzenia Parlamentu Europejskiego i Rady UE 2016/679 z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych).

Przechodząc do oceny legalności spornej decyzji, należy zauważyć na wstępie, że istota sprawy w niniejszym postępowaniu sprowadzała się do oceny tego, czy skarżąca spółka [...] wykazała, iż ma nadal prawnie uzasadniony interes, by - pomimo zakończenia postępowania windykacyjnego i braku roszczeń ze strony byłego dłużnika D. B. skierowanych wobec strony skarżącej - przetwarzać jego dane osobowe takie, jak imię, nazwisko oraz numerem telefonu.

Rozstrzygając powyższą wątpliwość, przede wszystkim należy mieć na względzie to, iż zgodnie z konstytucyjną zasadą legalizmu, w oparciu o którą muszą działać wszystkie podmioty publiczne, Prezes UODO, jako organ nadzorczy, będąc podmiotem publicznym może podejmować wyłącznie takie działania, które znajdują swoje źródło w przepisach obowiązującego prawa. Nie ulega więc wątpliwości, że aby organ nadzorczy mógł podjąć określone działania, musi mieć do tego stosowne umocowanie ustawowe.

W toku postępowania, a następnie w skardze skierowanej do Sądu, skarżąca spółka, jako administrator spornych danych osobowych byłego dłużnika, podniosła, że obecnie przetwarza wspomniane dane osobowe wyłącznie w celu ewentualnego ustalenia, dochodzenia lub obrony przed możliwymi roszczeniami, na podstawie art. 6 ust 1 lit. f RODO.

Z kolei, Prezes UODO, nie zgadzając się z twierdzeniem skarżącej spółki co do podstawy przetwarzania danych osobowych - wskazał, że z uwagi na fakt, iż zebrany materiał dowodowy nie wykazał, by D. B., jako były dłużnik, wystąpił z roszczeniem wobec skarżącej spółki bądź też, by spółka ta dochodziła jakichkolwiek roszczeń od byłego dłużnika na drodze sądowej, brak jest uzasadnionych uprawnień po stronie skarżącej spółki, które dawałyby usprawiedliwioną podstawę do dalszego przetwarzania danych osobowych skarżącego. Organ nadzorczy uznał tym samym, że brak jest spełnienia wskazywanej przez stronę skarżącą przesłanki niezbędności przetwarzania danych osobowych wynikającej z prawnie usprawiedliwionych interesów realizowanych przez administratora odnośnie przetwarzania danych osobowych byłego dłużnika.

Należy zauważyć, że przepis art. 6 ust. 1 lit. f RODO pozwala na przetwarzanie danych osobowych, jeżeli jest to niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, przy czym możliwość oparcia się na tej przesłance legalizującej przetwarzanie jest wyłączona, jeżeli w danej sytuacji nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności podmiotu danych, które wymagają ochrony danych osobowych. Prawodawca unijny podkreślił, że ma to szczególne znaczenie, gdy chodzi o dane osobowe dzieci. Równocześnie komentowany przepis przesądza, że na prawnie uzasadniony interes, jako na podstawę przetwarzania danych osobowych nie mogą powołać się organy publiczne w ramach realizacji swoich zadań.

Przepis art. 6 ust. 1 lit. f RODO miał swój odpowiednik w poprzednio obowiązującej ustawie z dnia 29 sierpnia 1997 r. o ochronie danych osobowych, albowiem przepis art. 23 ust. 1 pkt 5 u.o.d.o. z 1997 r. dopuszczał przetwarzanie danych osobowych, gdy było to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie naruszało praw i wolności podmiotu danych. Porównanie obu tych przepisów prowadzi do wniosku, że rozporządzenie ogólne nie przyniosło w tym zakresie dużych zmian, które powodowałyby modyfikację sensu poprzedniej regulacji.

W doktrynie przyjmuje się, że dla możliwości oparcia przetwarzania danych osobowych na przepisie art. 6 ust. 1 lit. f RODO konieczne jest, by przetwarzanie było niezbędne dla realizacji prawnie uzasadnionych interesów. Nie wystarczy zatem samo ich występowanie, lecz dodatkowo urzeczywistnienie takich interesów musi wymagać przetwarzania danych osobowych (por. D. Lubasz i W. Chomiczewski /w:/ E. Bielak-Jomaa (red.), D. Lubasz (red.), RODO. Ogólne rozporządzenie o ochronie danych. Komentarz, WKP 2018).

Pojęcie niezbędności należy rozumieć w ten sposób, że przetwarzanie danych dla realizacji prawnie uzasadnionego interesu administratora lub strony trzeciej musi być, rozsądnie oceniając, potrzebne. Musi w tym przypadku występować bezpośredni związek pomiędzy realizacją prawnie uzasadnionego interesu a potrzebą przetwarzania danych osobowych.

Warto zauważyć, że w motywie 47 preambuły do RODO wskazano, że interesy i prawa podstawowe osoby, której dane dotyczą, mogą być nadrzędne wobec interesu administratora danych, w szczególności w przypadkach, gdy dane osobowe są przetwarzane w sytuacji, w której osoby, których dane dotyczą, nie mają rozsądnych przesłanek, by spodziewać się dalszego przetwarzania.

Wobec powyższego, stwierdzić należy, że w przypadku, gdyby administrator chciał skorzystać z tej podstawy przetwarzania danych, powinien przeprowadzić tzw. test równowagi, tzn. dokonać oceny, czy interes administratora lub strony trzeciej, przemawiający za przetwarzaniem danych, jest prawnie uzasadniony, czy przetwarzanie jest niezbędne do realizacji celu wynikającego z tego interesu, a następnie rozważyć, czy interesy lub podstawowe prawa i wolności osoby, której dane dotyczą nie przeważają nad prawnie uzasadnionym interesem administratora lub strony trzeciej.

Mając powyższe na względzie, Sąd uznał, że bezpodstawne są zarzuty skarżącej spółki dotyczące naruszenia art. 6 ust. 1 lit. f oraz art. 17 ust. 1 i ust. 3 lit. e RODO.

Podkreślić należy, że zebrany materiał dowodowy nie wykazał, by po zakończeniu postępowania windykacyjnego były dłużnik wystąpił wobec skarżącej spółki z jakimikolwiek roszczeniami bądź też, by skarżąca spółka dochodziła od byłego dłużnika zaspokojenia swoich roszczeń. Tymczasem, przesłanka legalności przetwarzania danych osobowych, o której mowa w art. 6 ust. 1 lit. f RODO, dotyczy sytuacji już istniejącej, w której celem wynikającym z prawnie uzasadnionych interesów realizowanych przez administratora jest konieczność udowodnienia potrzeby dochodzenia lub obrony przed roszczeniem istniejącym, nie zaś sytuacji, gdy dane są przetwarzane w celu zabezpieczenia się przed ewentualnym roszczeniem, a więc wyłącznie "na zapas", aby zabezpieczyć się przed ewentualnym przyszłymi i niepewnymi roszczeniami byłego dłużnika.

Sąd uznał, że organ nadzorczy zasadnie przyjął w tej sytuacji, że skarżąca spółka nie może przetwarzać danych osobowych D. B. tylko w celu zabezpieczenia się przed ewentualnymi przyszłymi i niepewnymi roszczeniami byłego dłużnika.

Przepis art. 17 ust. 3 lit. e RODO stanowi, że ust. 1 i 2 nie mają zastosowania w zakresie, w jakim przetwarzanie jest niezbędne do ustalenia, dochodzenia lub obrony roszczeń.

Tymczasem, w przedmiotowej sprawie skarżąca spółka nie wskazała w sposób precyzyjny roszczeń, z którymi związana jest konieczność dalszego przetwarzania danych osobowych byłego dłużnika, co w konsekwencji oznacza, że przepis ten nie znajdował zastosowania w niniejszej sprawie.

W ocenie Sądu, uznać należy, iż okolicznością usprawiedliwiającą przetwarzanie danych osobowych w celach dochodzenia roszczeń lub obrony przed nimi jest sam fakt istnienia roszczenia oraz zamiar jego dochodzenia, a nie ewentualna możliwość zaistnienia sporu w przyszłości.

W tej sytuacji, stwierdzić należy, że z uwagi na fakt, iż skarżąca spółka nie wskazała roszczenia, którego zaspokojenia domaga się od niej były dłużnika, jak również z uwagi na brak obecnie jakiegokolwiek sporu toczącego się miedzy byłym dłużnikiem a skarżącą spółką, który dotyczyłby stosunku zobowiązaniowego, czy też przestępstwa, organ nadzorczy zasadnie przyjął w uzasadnieniu zaskarżonej decyzji, iż brak jest prawnie uzasadnionego interesu, w rozumieniu art. 6 ust. 1 lit. f RODO, dla dalszego przetwarzania danych osobowych byłego dłużnika.

W związku z powyższym, Prezes UODO - prawidłowo stosując przepis art. 58 ust. 2 lit. c RODO - nakazał skarżącej spółce zaprzestanie przetwarzania danych osobowych byłego dłużnika we wskazanym powyżej celu.

Mając na względzie powyższe, uznać trzeba, że w niniejszym postępowaniu, uwzględniając wspomniany wyżej motyw 47 Preambuły RODO, organ nadzorczy zasadnie przyjął, że interesy i prawa podstawowe wnioskodawcy D. B. są nadrzędne wobec interesu administratora danych [...], albowiem dane osobowe byłego dłużnika przetwarzane są w sytuacji, w której skarżąca spółka nie ma rozsądnych przesłanek, by wykorzystywać je do dalszego przetwarzania.

W konsekwencji, Sąd stwierdził, że w uzasadnieniu zaskarżonej decyzji należycie wykazano, iż brak jest podstaw materialnoprawnych do przetwarzania danych osobowych D. B. przez skarżącą spółkę [...].

Mając powyższe na uwadze, należy uznać, że wydając sporną decyzję administracyjną z dnia [...] lipca 2020 r., Prezes UODO nie dopuścił się w toku postępowania jakichkolwiek istotnych uchybień formalnych, które uniemożliwiłyby Sądowi dokonanie prawidłowej oceny zarzutów skargi i wypowiedzenie się co do legalności podjętego rozstrzygnięcia.

Zdaniem Sądu, nie ulega wątpliwości, że związanie rygorami procedury administracyjnej oznacza, iż organ nadzorczy jest obowiązany m.in. do przestrzegania zasady pogłębiania zaufania obywateli do organów praworządnego państwa (art. 8 § 1 k.p.a.). W tej sytuacji, organ nadzorczy, uwzględniając powyższą zasadę, zobowiązany jest przede wszystkim dokładnie wyjaśnić okoliczności sprawy, konkretnie ustosunkować się do żądań i twierdzeń strony skarżącej oraz uwzględnić w decyzji zarówno interes społeczny, jak i słuszny interes strony skarżącej. Organ nadzorczy jest ponadto obowiązany w sposób wyczerpujący zebrać i ocenić cały materiał dowodowy (art. 7, art. 77 § 1 i art. 80 k.p.a.) oraz uzasadnić swoje rozstrzygnięcie według wymagań określonych w przepisie art. 107 § 3 k.p.a.

Uwzględniając powyższe, Sąd stwierdził, że organ nadzorczy nie uchybił wskazanym wyżej obowiązkom.

W ocenie Sądu, uzasadnienie zaskarżonej decyzji spełnia wymogi przewidziane przez ustawodawcę w przepisie art. 107 § 3 k.p.a., gdyż w jej treści organ nadzorczy wyraźnie wskazał, dlaczego - pomimo podniesionych przez stronę skarżącą argumentów - administrator danych dopuścił się istotnego naruszenia przepisów o ochronie danych osobowych.

W konsekwencji, w ocenie Sądu, wbrew twierdzeniom strony skarżącej, prawidłowe ustalenia faktyczne poczynione w toku postępowania wyjaśniającego przez Prezesa UODO dały temu organowi pełną podstawę do wydania zaskarżonej decyzji nakazującej skarżącej spółce [...] z siedzibą w [...] usunięcie danych osobowych D. B., w zakresie imienia, nazwiska oraz numeru telefonu

Biorąc powyższe pod uwagę, Wojewódzki Sąd Administracyjny w Warszawie - działając na podstawie art. 151 P.p.s.a. - orzekł, jak w sentencji wyroku.[pic][pic][pic]