Centralna Baza Orzeczeń Sądów Administracyjnych

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Łukasz Krzycki (spr.), Sędzia WSA Andrzej Góraj, Sędzia WSA Piotr Borowiecki, po rozpoznaniu na posiedzeniu niejawnym w dniu 13 kwietnia 2021 r. sprawy ze skargi F. Spółka z o.o. z siedzibą w P. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] lipca 2020 r. nr [...] w przedmiocie przetwarzania danych osobowych 1. uchyla zaskarżoną decyzję; 2. zasądza od Prezesa Urzędu Ochrony Danych Osobowych na rzecz F. Spółka z o.o. z siedzibą w P. kwotę 697 (słownie: sześćset dziewięćdziesiąt siedem) złotych tytułem zwrotu kosztów postępowania.

Zaskarżonym aktem, wobec skargi p. P. H., zwanego dalej "Wnioskodawcą", na nieprawidłowości w przetwarzaniu jego danych osobowych przez [...], zwaną dalej "Spółką" – przywołując art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2020 r. poz. 256 ze zm.), zwanej dalej "K.p.a." oraz art. 4 pkt. 1, art. 6 ust. 1, art. 15 ust. 1 i 3 oraz art. 58 ust. 2 lit. b i c rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dziennik Urzędowy Unii Europejskiej, L 119 z 4 maja 2016), zwanego dalej "RODO":

- udzielono Spółce upomnienia za naruszenie art. 15 ust. 1 lit. g i art. 15 ust. 3 RODO, polegające na odmowie realizacji żądania Wnioskodawcy - udzielenia mu wszelkich dostępnych informacji o źródle pozyskania danych osobowych oraz kopii jego danych osobowych,

- nakazano Spółce wyeliminowanie nieprawidłowości w procesie przetwarzania danych osobowych Wnioskodawcy, poprzez ich usunięcie, jako przetwarzanych bez podstawy prawnej.

W uzasadnieniu rozstrzygnięcia przywołano następujące okoliczności faktyczne i prawne uwarunkowania sprawy:

- [...] października 2019 r. wpłynęła do organu skarga Wnioskodawcy, na nieprawidłowości w procesie przetwarzania jego danych osobowych przez Spółkę; upatrywał ich w przetwarzaniu swoich danych osobowych - w szczególności numeru telefonu - bez podstawy prawnej, a także niezrealizowaniu żądań w zakresie: udzielenia wszelkich dostępnych informacji o źródle pozyskania danych osobowych oraz otrzymania kopii przetwarzanych danych,

- w toku postępowania wyjaśniającego ustalono następujący stan faktyczny:

- Spółka pozyskała numer telefonu Wnioskodawcy w związku z nabyciem pakietu danych (numerów telefonu, wytypowanych w oparciu o kryterium geograficzne) od [...] z siedzibą w [...] ([...]) – zwanej dalej "Spółką II" – tak: wyjaśnienia Spółki z [...] marca 2020 r.;

- Wnioskodawca zwrócił się do Spółki [...] października 2019 r. - drogą elektroniczną - z żądaniem dostarczenia kopii jego danych, przetwarzanych przez Spółkę oraz udzielenia informacji o źródle ich pozyskania - tak: kopia korespondencji - w aktach sprawy oraz pismo Spółki z [...] czerwca 2020 r.;

- Wnioskodawca nie zwracał się z wnioskiem o usunięcie jego danych osobowych - tak korespondencji Wnioskodawcy do Spółki z [...] października 2019 r.;

- pismem z [...] października 2019 r. Spółka odmówiła realizacji żądań Wnioskodawcy; wedle niej numer telefonu nie stanowi danej osobowej – tak: pismo Wnioskodawcy z [...] października 2019 r. i Spółki z [...] czerwca 2020 r.,

- zgodnie z art. 4 pkt. 1 RODO, jako dane osobowe należy rozumieć "wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej ("osobie, której dane dotyczą"); możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora takiego jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej",

- wykładając daną definicję w kontekście możliwości zidentyfikowania osoby fizycznej zwraca szczególną uwagę, że poszczególna informacja może - w zależności od okoliczności - stanowić daną osobową bądź nie być za nią uznawana; należy wobec powyższego rozróżnić sytuację, w której:

- prawdopodobieństwo zidentyfikowania osoby nie istnieje lub jest nieznaczne a osoba nie powinna zostać uznana za "możliwą do zidentyfikowania" oraz

- identyfikacja nie jest uprawdopodobniona;

przy weryfikacji, czy dany sposób może być z uzasadnionym prawdopodobieństwem wykorzystany do zidentyfikowania danej osoby, należy wziąć pod uwagę wszelkie obiektywne czynniki, takie jak koszt i czas potrzebne do jej zidentyfikowania, oraz uwzględnić technologię dostępną w momencie przetwarzania danych, jak i postęp technologiczny; dodatkowo - jak wskazuje Grupa Robocza ds. ochrony danych, powołana na mocy art. 29 RODO, w Opinii 4/2007: "Krajowe organy ds. ochrony danych osobowych zetknęły się ze sprawami, w których administrator twierdził, że przetwarza jedynie niekompletne informacje bez jakiejkolwiek wzmianki o nazwisku lub innym bezpośrednim czynniku identyfikującym i przekonywał, że dane nie powinny być uważane za dane osobowe i nie powinny podlegać przepisom dotyczącym ochrony danych osobowych. Jednak przetwarzanie takich informacji ma sens jedynie wtedy, jeżeli umożliwia zidentyfikowanie konkretnych osób i zastosowanie wobec nich określonego sposobu traktowania. W przypadkach gdy celem przetwarzania jest identyfikacja osób, można przypuszczać, że administratorzy lub inne zainteresowane osoby dysponują sposobami, ,jakimi można się posłużyć" w celu zidentyfikowania osoby, której dane dotyczą. Twierdzenie, że osoby nie są możliwe do zidentyfikowania, podczas gdy celem przetwarzania danych jest właśnie ich identyfikacja, zawierałoby wewnętrzną sprzeczność. Dlatego informacje takie należy uważać za dotyczące osób możliwych do zidentyfikowania, a przetwarzanie ich powinno podlegać przepisom dotyczącym ochrony danych",

- w postępowaniu Spółka wskazała: "w związku z prowadzeniem przez Spółkę działalności w zakresie umawiania pokazów oraz prezentacji towarów oferowanych przez podmioty z branży sprzedaży bezpośredniej, Spółka wykonuje połączenia telefoniczne, pod posiadane przez Spółkę numery telefonów, jednakże bez przyporządkowanych do nich jakichkolwiek danych osobowych ich właścicieli lub użytkowników. Telemarketer kontaktujący się z daną osobą w imieniu Spółki nie zna jakichkolwiek danych osobowych rozmówcy, w tym imienia, nazwiska czy adresu zamieszkania, do czasu ich ewentualnego podania drogą telefoniczną, celem przesłania zaproszenia na pokaz czy prezentację. Podkreślić należy, iż w niniejszej sprawie Spółka w istocie wykonała połączenie pod wskazany w Skardze numer telefonu, niemniej w toku przeprowadzonej rozmowy nie doszło do pobrania jakichkolwiek danych osobowych Skarżącego, gdyż nie zdecydował się on na ich podanie konsultantowi"; uznać więc należy, że - dysponując informacją w postaci numeru telefonu – Spółka podejmowała działania nakierowane na identyfikację osób, w tym Wnioskodawcy; identyfikacja tych osób nie wymagała od podmiotu nadmiernych kosztów bądź czasu, a ponadto przetwarzanie numeru telefonu służyło identyfikacji Wnioskodawcy, jako klienta dla podmiotów współpracujących ze Spółką; przetwarzanie numeru telefonu Wnioskodawcy stanowi wobec tego przetwarzanie jego danych osobowych,

- Spółka pozyskała numer telefonu Wnioskodawcy, nabywając pakiet danych (numerów telefonu, wytypowanych w oparciu o kryterium geograficzne) od Spółki II; Wnioskodawca - w związku z telefonami, które otrzymywał - zwrócił się do Spółki ([...] października 2019 r.) z żądaniem udzielenia informacji odnośnie źródła pozyskania jego danych osobowych (numeru telefonu) oraz z dostarczenia mu kopii przetwarzanych przez Spółkę danych; pismem z [...] października 2019 r. Spółka odmówiła realizacji tych żądań; wyraziła stanowisko, że numer telefonu, w posiadaniu którego się znajduje, nie stanowi danej osobowej; jak jednak wskazano powyżej - z uwagi na działania nakierowane na identyfikację Wnioskodawcy, brak nadmiernych kosztów i czasu, jaki potrzeba na jej dokonanie - przetwarzanie numeru telefonu Wnioskodawcy podlega przepisom, dotyczącym ochrony danych osobowych,

- w skardze Wnioskodawcy wskazał dodatkowo na przetwarzanie jego danych osobowych, w tym numeru telefonu bez podstawy prawnej; zgodnie z przepisami RODO, przetwarzanie danych osobowych jest dopuszczalne wtedy, gdy administrator legitymuje się którąkolwiek z przesłanek, o których mowa w art. 6 ust. 1 tego aktu; każda z przesłanek wymienionych w tym przepisie ma charakter autonomiczny i niezależny; oznacza to, że spełnienie co najmniej jednej z nich stanowi w danym przypadku o zgodnym z prawem przetwarzaniu danych osobowych; w niniejszej sprawie istotna jest treść art. 6 ust. 1 lit. f; zgodnie z nim, przetwarzanie jest zgodne z prawem, gdy jest niezbędne do celów wynikających z prawnie uzasadnionych interesów, realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem; przetwarzanie danych osobowych dla celów marketingu bezpośredniego - co jak ustalono miało miejsce w przedmiotowej sprawie - może odbywać się na podstawie zgody podmiotu danych; RODO - w motywie 47 - dopuszcza także możliwość prowadzenia marketingu bezpośredniego na podstawie prawnie uzasadnionych interesów administratora; aby jednak wskazane przetwarzanie było dopuszczalne - na podstawie art. 6 ust. 1 lit. f - interesy administratora danych muszą być nadrzędne wobec praw i wolności osób, których dane dotyczą; uznaje się zatem, że powyższa przesłanka jest spełniona, kiedy podmiot danych może oczekiwać przetwarzania dla tych celów - m.in., gdy pomiędzy osobą a administratorem istnieje relacja prawna, np. strony wiąże umowa; w przedmiotowej sprawie nie było podstaw, aby Wnioskodawca mógł spodziewać się zarówno pozyskania, jak i przetwarzania jego danych osobowych dla celów marketingu bezpośredniego; nie zachodziło bowiem żadne powiązanie pomiędzy nim a Spółką; nie miała ona wobec tego podstaw do pozyskania oraz następczo przetwarzania danych osobowych Wnioskodawcy,

- umowa sprzedaży bazy danych nie jest wystarczającą przesłanką legalizującą proces przetwarzania; odmienne stanowisko oznaczałoby możliwość swoistego następczego wykreowania podstawy prawnej dla procesu przetwarzania; tymczasem zachodziłby brak podstawy pierwotnej w przepisach o ochronie danych osobowych; takie działanie narusza interesy Wnioskodawcy; nie może się on bowiem spodziewać przetwarzania; w konsekwencji ograniczona to możliwość realizacji jego praw - w tym m.in. podjęcia czynności zmierzających do wstrzymania przetwarzania przez administratora; w tych okolicznościach interesy Wnioskodawcy są nadrzędne wobec interesu administratora; w związku z tym - pozyskując i przetwarzając dane - Spółka naruszyła art. 6 ust. 1 RODO,

- przedmiotem skargi Wnioskodawca uczynił także dopełnienie wobec niego obowiązków wynikających z art. 15 ust. 1 lit. g i art. 15 ust. 3 RODO; zgodnie z tymi przepisami osoba, której dane dotyczą, jest uprawniona do uzyskania od administratora potwierdzenia, czy przetwarzane są dane osobowe jej dotyczące, a jeżeli ma to miejsce - do uzyskania dostępu do nich oraz poszczególnych informacji, w tym - jeżeli dane osobowe nie zostały zebrane od osoby, której dane dotyczą - wszelkich dostępnych informacji o ich źródle (art. 15 ust. 1 pkt. g); ponadto administrator dostarcza osobie, której dane dotyczą, kopię danych osobowych podlegających przetwarzaniu; jeżeli osoba, której dane dotyczą, zwraca się o kopię drogą elektroniczną i jeżeli nie zaznaczy inaczej, informacji udziela się w powszechnie stosowanej formie elektronicznej (tak art. 15 ust. 3); przetwarzając dane osobowe Spółka była zatem zobligowana zrealizować żądania Wnioskodawcy w tym zakresie,

- w związku z powyższym zasadnym jest - na podstawie art. 58 ust. 2 lit. b RODO - udzielenie Spółce upomnienia w zakresie stwierdzonego naruszenia art. 15 ust. 1 lit. g oraz art. 15 ust. 3 oraz - na podstawie art. 58 ust. 2 lit. c - nakazanie jej udzielenia Wnioskodawcy - na podstawie art. 15 ust. 1 lit. g - wszelkich dostępnych informacji o źródle pozyskania danych oraz udostępnienia na jego rzecz kopii jego danych osobowych,

- wobec stwierdzenia naruszenia art. 6 ust. 1 RODO - pozyskania i przetwarzania danych Wnioskodawcy bez podstawy prawnej - uzasadnione jest dodatkowo - na podstawie art. 58 ust. 2 lit. c RODO - nakazanie Spółce usunięcia tych danych.

W skardze Spółka, reprezentowana przez pełnomocnika – radcę prawnego, zarzuciła naruszenie przepisów:

- prawa materialnego:

- art. 4 pkt 1 RODO, poprzez błędne uznanie, że numer telefonu stanowi dane osobowe, umożliwiające zidentyfikowanie osoby fizycznej; tymczasem sam numer telefonu nie jest informacją o charakterze osobowym, w zakres której wchodzą dane o cechach identyfikujących daną osobę; pozwala bowiem na anonimizację osoby, która się nim posługuje i w żaden sposób nie wskazuje na personalia;

- art. 4 pkt 2 RODO, poprzez błędne uznanie, że Spółka przetwarzała dane osobowe Wnioskodawcy, gdy brak możliwości przypisania jej jakiejkolwiek roli w procesie ich przetwarzania w postaci wyłącznie numeru telefonu; dana ta nie stanowi danych osobowych w rozumieniu RODO;

- art. 4 pkt 7 i 8 RODO, poprzez błędne uznanie, że Spółka pełniła rolę administratora danych osobowych lub podmiotu przetwarzającego; tymczasem - ani samodzielnie ani wspólnie z innymi, w ramach prowadzonej działalności gospodarczej - nie decydowała ona o celach i środkach przetwarzania danych osobowych; nie przetwarzała również danych osobowych Wnioskodawcy w imieniu administratora;

- art. 15 ust. 1 lit. g RODO, poprzez błędne uznanie, że Spółka:

odmówiła realizacji żądań: udzielenia wszelkich dostępnych informacji o źródle pozyskania danych osobowych Wnioskodawcy oraz udostępnienia mu kopii jego danych osobowych; Spółka udzieliła tymczasem obszernych wyjaśnień na każde żądanie organu; dostarczyła też niezbędne dokumenty, pozwalające na ustalenie wejścia przez nią w posiadanie numeru telefonu, należącego do Wnioskodawcy;

pełniła rolę administratora danych osobowych Wnioskodawcy, gdy - ani samodzielnie ani wspólnie z innymi, w ramach prowadzonej działalności gospodarczej - nie decydowała o celach i środkach przetwarzania danych osobowych, nie przetwarzała również danych osobowych Wnioskodawcy w imieniu administratora;

- art. 15 ust. 3 RODO, poprzez błędne uznanie, że Spółka posiadała dane osobowe Wnioskodawcy, podlegające przetwarzaniu, czy mogła spełnić nałożony przepisami prawa obowiązek przekazania kopii danych osobowych; tymczasem posiadała ona wyłącznie numer telefonu; nie stanowi on danej osobowej, umożliwiającej zidentyfikowanie osoby fizycznej;

- art. 58 ust. 2 lit. b i c RODO, poprzez błędne uznanie, że Spółka pełniła rolę administratora danych lub podmiotu przetwarzającego, gdy przywołany przepis przyznaje uprawnienie organowi nadzorczemu do udzielenia upomnień lub nakazanie spełnienia żądania osoby, której dane dotyczą - wyłącznie administratorowi lub podmiotowi przetwarzającemu w przypadku naruszenia przepisów RODO przez operacje przetwarzania; w sytuacji Spółki nie może to mieć miejsca, z uwagi na brak pełnienia przez nią tych ról,

- postępowania:

- art. 8 oraz 11 K.p.a., poprzez zaniechanie odniesienia się do stanowiska zawartego w pismach Spółki - w szczególności przedstawionej argumentacji oraz załączonych dokumentów - oraz zaniechanie pełnego uzasadnienia decyzji; w konsekwencji uniemożliwiono pełne ustosunkowanie się Spółki do decyzji organu;

- art. 14 w zw. z art. 107 K.p.a., poprzez ograniczenie uzasadnienia decyzji i nie odniesienie się do wszystkich twierdzeń Spółki oraz dokumentów, przedłożonych w toku postępowania;

- art. 7, 77 § 1 oraz art. 80 K.p.a., poprzez brak wszechstronnego i dogłębnego rozważenia wszystkich okoliczności faktycznych sprawy, wybiórcze gromadzenie i weryfikowanie dowodów, zastąpienie swobodnej oceny dowodów całkowitą dowolnością; co za tym idzie nie podzielono racji Spółki przez przyznania, że:

sam numer telefonu nie stanowi danej osobowej, umożliwiającej zidentyfikowanie osoby fizycznej,

Spółka nie pełniła roli administratora, współadministratora ani podmiotu przetwarzającego dane osobowe Wnioskodawcy, w rozumieniu art. 4 pkt 1 RODO;

- art. 6 i 7 K.p.a., poprzez prowadzenie postępowania z naruszeniem zasad praworządności, demokratycznego państwa prawa oraz pewności prawa; przejawiało się to w braku:

odniesienia się do wszystkich zarzutów i twierdzeń Spółki,

ponownego zbadania sprawy na skutek uzupełnienia stanowiska oraz przedłożenia przez Spółkę korespondencji e-mail, pomiędzy nią i Wnioskodawcą, a także przedłożenia umowy, łączącej ją ze Spółką II;

- art. 8 i 11 K.p.a., poprzez prowadzenie postępowania z naruszeniem zasady przekonywania i pogłębiania zaufania do organów administracji; przejawiało się to w:

zaniechaniu pełnego uzasadnienia decyzji,

nieustosunkowaniu się do twierdzeń i dowodów Spółki;

- art. 15 K.p.a. poprzez nierozpoznanie sprawy w całokształcie wszystkich jej okoliczności faktycznych i prawnych,

- art. 124 § 2 K.p.a. poprzez nie zawarcie w uzasadnieniu zaskarżonego postanowienia uzasadnienia faktycznego obejmującego wskazanie faktów, które organ uznał za udowodnione, dowodów na których się oparł oraz przyczyn, z powodu których innym dowodom odmówił wiarygodności i mocy dowodowej.

W szerokim uzasadnieniu skargi rozwinięto powyższe zarzuty. Podkreślano m.in., że dowolne jest stanowisko organu, jakoby Spółka mogła w łatwy sposób pozyskać dane, pozwalające na faktyczną identyfikację konkretnych osób (w tym Wnioskodawcy), posiadając wyłącznie numery telefonów. O ile uzyskuje ona nawet w danym zakresie określone informacje od rozmówcy nie jest w stanie ich zweryfikować, - nawet w kontekście stwierdzenia, czy udostępniająca dane osoba jest abonentem - posiadaczem numeru. Z kolei przepisy prawa telekomunikacyjnego nie umożliwiają Spółce dostępu do informacji o abonentach - wedle numerów telefonów, posiadanych przez operatora. Osoby niezainteresowane skorzystaniem z usług Spółki nie są z kolei skłonne podawać informacji, co do swoich danych, umożliwiających ich identyfikację.

Wniesiono o uchylenie zaskarżonej decyzji.

W odpowiedzi na skargę organ wniósł o jej oddalenie, podtrzymując dotychczasową argumentację.

W dodatkowym piśmie procesowym (k. 39-44), Spółka potrzymała zarzuty i ich uzasadnienie. Wskazano, że - na gruncie art. 4 RODO - analogiczne do jej stanowisko prezentowano w doktrynie. Jak tam wskano: "sam numer telefonu w większości przypadków (tj. z wyjątkiem sytuacji, gdy administrator danych - dysponent informacji - będzie miał również inne informacje, które umożliwiają identyfikację osoby fizycznej) nie będzie stanowił danych osobowych. Możliwość identyfikowania osoby fizycznej -jak już wskazano - należy, zdaniem autorów, odnosić do określenia tożsamości konkretnej osoby fizycznej na podstawie posiadanych lub ewentualnie możliwych do uzyskania informacji. Nie można natomiast odnosić tego pojęcia do podejmowania działań zmierzających dopiero do ustalenia (uzyskania) informacji, które mogą stanowić dane osobowe (identyfikować konkretną osobę fizyczną)" (tak: Rozporządzenie UE w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i swobodnym przepływem takich danych. Komentarz, red. dr Paweł Litwiński, 2018, Legalis). Organ ewidentnie dostrzega wskazaną różnicę wywodząc: "celem wykonywania połączeń było bowiem pozyskanie dalszych danych podmiotu, niezbędnych do wysłania wskazanego wyżej zaproszenia". Pomimo jednak rozróżnienia obu kwestii nie wyciągnięto prawidłowych wniosków, że - na podstawie posiadanych danych i dostępnych zasobów - Spółka nie była w stanie (i nie jest nadal) zidentyfikować podmiotu danych. Dopiero pozyskanie dodatkowych informacji pozwala na zidentyfikowanie podmiotu oraz przypisanie zbioru danych do konkretnej osoby.

Sąd rozpoznał skargę na posiedzeniu niejawnym wobec treści § 1 rozporządzenia Rady Ministrów z dnia 9 października 2020 r. w sprawie ustanowienia określonych ograniczeń, nakazów i zakazów w związku z wystąpieniem stanu epidemii (Dz.U. poz. 1758, ze zm.), § 4 zarządzenia nr 21 Prezesa Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 16 października 2020 r. w sprawie wdrożenia w Wojewódzkim Sądzie Administracyjnym w Warszawie działań profilaktycznych służących przeciwdziałaniu potencjalnemu zagrożeniu zakażeniem wirusem SARS-CoV-2 ustalonych w zarządzeniu nr 39 Prezesa Naczelnego Sądu Administracyjnego z dnia 16 października 2020 r. oraz § 1 pkt 2 i § 3 zarządzenia nr 39 Prezesa Naczelnego Sądu Administracyjnego z dnia 16 października 2020 r. w sprawie odwołania rozpraw oraz wdrożenia w Naczelnym Sądzie Administracyjnym działań profilaktycznych służących przeciwdziałaniu potencjalnemu zagrożeniu zakażenia wirusem SARS-CoV-2 w związku z objęciem Miasta Stołecznego Warszawy obszarem czerwonym – tak zarządzenie k. 56 akt sądowych.

Sąd zważył, co następuje:

Skarga zasługuje na uwzględnienie, gdyż trafne są zarzuty Spółki gdzie podniesiono, że orzekając w sprawie naruszono przepisy prawa materialnego zakreślające, co należy traktować jako dane osobowe, których przetwarzanie podlega regułom RODO. Mylna konstatacja organu, jakoby Spółka przetwarza dane osobowe Wnioskodawcy, prowadziła do bezpodstawnego wydania orzeczenia, którym udzielono Spółce upomnienia oraz zobowiązano ją do podjęcia określonych czynności.

Na wstępie trzeba odnotować, że nie są w istocie sporne okoliczności faktyczne sprawy - przetwarzanie przez Spółkę określonych danych Wnioskodawcy, stosowne stanowiska stron - w tym odmowa realizacji żądań Wnioskodawcy przez Spółkę. Trafnie organ przewołał treść stosownych regulacji normatywnych, które mogą mieć istotne znaczenie w sprawie. Wobec zreformowania stanowiska organu w danym zakresie powtarzanie tych informacji byłoby zbędne. Sąd przyjmuje tu stanowisko organu za własne.

Trafnie jednak wywiedziono w skardze, że organ - prowadząc postępowanie oraz przywołując określone okoliczności formalne sprawy - nie wykazał w istocie, aby Spółka – dysponując wyłącznie zbiorem określonych numerów telefonów (jest to niesporne, w kontekście posiadanych danych Wnioskodawcy) przetwarzała dane osobowe - w rozumieniu art. 4 pkt 1 RODO.

Zasadnie zauważa organ, że danymi takimi mogą być informacje, które nie identyfikują konkretnej osoby lecz jest możliwe - przy ich pomocy i wykorzystaniu nieznacznych środków - zidentyfikowanie konkretnej osoby. Organ nie wywiódł jednak, aby tego rodzaju charakter miał sam numer telefonu - nieprzypisany do konkretnej osoby, w ramach zbioru informacji posiadanych przez podmiot dysponujący tymi danymi, bądź w łatwy sposób pozyskiwalnymi. Co trafnie zauważa Spółka stanowisko, że sam numer telefonu nie stanowi danej osobowej, jest także podzielone w doktrynie (patrz przywołany wcześniej pogląd).

Co również odnotowano w uzasadnieniu zaskarżonego aktu, niektóre dane – w zależności od ich powiązania z innym zbiorem informacji o osobach – mogą w pewnych sytuacjach stanowić dane osobowe bądź nimi nie być. Jak trafnie wywiedziono w skardze, sam numer telefonu nie pozwala na identyfikację konkretnej osoby. Może być wyłącznie podstawą dla podjęcia określonych czynności w celu identyfikacji posiadacze numeru – abonenta lub osoby, która faktycznie używa danego numeru. Skoro nabyty przez Spółkę od Spółki II zbiór danych (baza numerów telefonów) identyfikuje wyłącznie osoby zamieszkujące pewien teren (tak powołane przez Spółkę kryteria zasobu nabytej bazy - geograficzne) to sam numer telefonu nie jest wystarczający do identyfikacji konkretnej osoby, jako jednostki o przypisanych jej cechach indywidualnych. Nie sposób więc uznać, aby Spółka dysponowała danymi osobowymi Wnioskodawcy i je przetwarzała.

Skoro zaś Spółka nie przetwarzała danych osobowych Wnioskodawcy, nie znajdą do niej zastosowania wymagania określone RODO. Nie mogła być też wydana wobec niej decyzja w następstwie naruszenie stosownych reguł, wynikających z tego aktu.

Odnosząc się do argumentacji organu, że rzeczywistym celem Spółki - przy nabyciu praw do bazy danych, obejmującej numery telefonów - jest zgromadzenie informacje o potencjalnych odbiorcach usług przez nią oferowanych, należy wskazać, że – w takim razie - także w ocenie organu posiadane informacje mogą być wyłącznie przydatne do utworzenia w przyszłości określonego zasobu informacji o danych osobowych, a więc ich przetwarzania. Tylko jeżeli określone działania Spółki przyniosą zakładane przez nią skutki będzie ona obowiązana wobec pewnych abonentów - osób, których dane osobowe zgromadzi - do zachowania reguł określonych w RODO. Ich naruszenie uzasadni zastosowanie przez organ przypisanych mu środków dyscyplinujących.

Trafne są zatem skargi, zarzuty naruszenia wymienionych w niej przepisów prawa materialnego. Chybione są natomiast te, dotyczące naruszenia przepisów postępowania w kontekście obowiązku właściwego wyjaśnienie sprawy. Żadne bowiem okoliczności faktyczne nie były sporne zaś różnica stanowisk dotyczyła odmiennej oceny, czy określona informacja – sam numer telefonu - powinna być kwalifikowana jako dana osobowa. Nie naruszono też wymienionych w skardze przepisów art. 15 i 126 K.p.a., gdyż regulacje te nie znajdowały w ogóle w sprawie zastosowania.

Z przytoczonych wyżej przyczyn, na podstawie art. 145 § 1 pkt 1 lit. a ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (Dz.U. z 2019 r., poz. 2325 ze zm.), orzeczono jak w pkt 1 sentencji. O zwrocie kosztów postępowania Sąd orzekł jak w pkt 2 sentencji, w myśl art. 200 w zw. z art. 205 § 2 powyższej ustawy oraz § 14 ust. 1 pkt 1 lit. c rozporządzenia Ministra Sprawiedliwości z dnia 22 października 2015 r. w sprawie opłat za czynności radców prawnych (Dz. U. z 2018 r., poz. 265 ze zm.). Do kosztów zaliczono wynagrodzenie pełnomocnika Spółki w kwocie 480 zł, wpis sądowy od skargi w kwocie 200 zł oraz 17 zł tytułem opłaty skarbowej od pełnomocnictwa.

Rozpatrując ponownie sprawę organ administracji uwzględni ocenę prawną, sformułowaną w niniejszym uzasadnieniu.