Centralna Baza Orzeczeń Sądów Administracyjnych

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Piotr Borowiecki (spr.), Sędzia WSA Andrzej Wieczorek, Asesor WSA Joanna Kruszewska-Grońska, Protokolant specjalista Ewa Kielak po rozpoznaniu na rozprawie w dniu 27 lutego 2020 r. sprawy ze skargi P. U. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] lipca 2019 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę

Zaskarżoną decyzją z dnia [...] lipca 2019 r., nr [...] Prezes Urzędu Ochrony Danych Osobowych (dalej także: "Prezes UODO" lub "organ nadzorczy"), działając na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego (tekst jednolity Dz. U. z 2018 r., poz. 2096 ze zm. - dalej także: "k.p.a.") w zw. z art. 7 ust. 1 i art. 60 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2018 r., poz. 1000 ze zm. - dalej także: "u.o.d.o.") oraz art. 57 ust. 1 lit. f rozporządzenia Parlamentu Europejskiego i Rady UE 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych (Dz. Urz. EU L 119 z dnia 4 maja 2016 r., str. 1 oraz Dz. Urz. UE L 127 z dnia 23 maja 2018, str. 2 ze zm. dalej także: "RODO"), po przeprowadzeniu postępowania administracyjnego w sprawie zainicjowanej skargą wniesioną przez P.U. (dalej także: "skarżący" lub "strona skarżąca") na przetwarzanie jego danych osobowych przez firmę G. Sp. z o.o. S.k. z siedzibą w W. (dalej także: "spółka G[...]") - odmówił uwzględnienia wniosku.

Zaskarżona decyzja została wydana w następującym stanie faktycznym.

W dniu [...] września 2018 r. do Biura Urzędu Ochrony Danych Osobowych wpłynęła skarga P.U. na przetwarzanie jego danych osobowych w postaci: imienia i nazwiska, numeru telefonu, adresu i miejsca zatrudnienia, adresu zamieszkania i adresu mailowego przez firmę G. Sp. z o.o. S.k. z siedzibą w W., przy ul. S..

W uzasadnieniu skargi skarżący wskazał, iż w dniu [...] lipca 2018 r. skontaktowała się z nim telefonicznie S.W., która złożyła mu ofertę handlową, jako przedstawiciel spółki G. Sp. z o.o. S.k. z siedzibą w W.. Jak zauważył skarżący, wspomniana wyżej rozmówczyni, zapytana przez niego o źródło danych kontaktowych do skarżącego, wskazała firmę S. Sp. z o.o. z siedzibą w P. (dalej także: "spółka S."), której wcześniej była pracownikiem, a której skarżący jest klientem. Skarżący wskazał, że S.W. w trakcie zatrudnienia w spółce S. miała dostęp do jego danych osobowych, jako klienta tej spółki, które w momencie zmiany pracodawcy przejęła celem wykorzystania w spółce G. Skarżący zauważył, iż spółka S. i spółka G. prowadzą działalność o podobnym profilu, co miało uzasadniać "kradzież" jego danych, celem dalszego wykorzystania. Skarżący poinformował, iż tego samego dnia dwukrotnie miał jeszcze kontakt z S.W.: raz w formie SMS-a, kiedy przeprosiła za telefonowanie i obiecała usunąć numer telefonu skarżącego, zaś drugim razem skarżący sam dzwonił do niej celem potwierdzenia jej imienia i nazwiska. Skarżący podniósł, że S.W. prosiła o niezawiadamianie o incydencie jej byłego pracodawcy oraz organów ścigania. Jako dowód skarżący przedstawił jedynie wydruk SMS-a wysłanego z telefonu o numerze [...] w dniu [...] lipca 2018 roku, o godzinie [...], o treści: "Najmocniej Pana przepraszam za zaistniałą sytuację, rozumiem Pana reakcję. W tej chwili usuwam Pana numer z telefonu. Jeszcze raz przepraszam. Pozdrawiam".

Skarżący podniósł, że zwracał się osobiście do spółki G. o udzielenie informacji na podstawie art. 15 RODO, jednakże wobec nieotrzymania odpowiedzi od tego podmiotu, wystąpił ze skargą do Urzędu Ochrony Danych Osobowych, wnosząc o nakazanie administratorowi usunięcia jego danych.

W związku z wniesioną skargą Prezes Urzędu Ochrony Danych Osobowych przeprowadził stosowne postępowanie wyjaśniające, w wyniku którego zgromadził odpowiedni materiał dowodowy, ustalając stan faktyczny konieczny do wydania rozstrzygnięcia.

W piśmie z dnia [...] lutego 2019 r. organ nadzorczy zwrócił się przede wszystkim do spółki G. Sp. z o.o. S.k. z siedzibą w W. z prośbą o przedstawienie szczegółowych wyjaśnień dotyczących zarzutów zawartych we wniesionej skardze.

Ustosunkowując się do powyższego wezwania organu nadzorczego, spółka G. w piśmie z dnia [...] marca 2019 r. wyjaśniła, iż nie przetwarza danych osobowych skarżącego P.U.. Jednocześnie, spółka G. poinformowała organ nadzorczy, iż skarżący nie zgłaszał spółce G. zastrzeżeń dotyczących przetwarzania danych osobowych bez jego zgody, a jedynie zwrócił się o udzielenie informacji w zakresie przetwarzania jego danych osobowych, na które spółka G. udzieliła odpowiedzi pismem z dnia [...] marca 2019 r. Ponadto, spółka G. zaprzeczyła jakoby korzystała z danych osobowych klientów spółki S., zapewniając, iż swoją bazę klientów buduje w oparciu o ogólnodostępne i jawne rejestry prowadzone przez Ministerstwo Sprawiedliwości oraz dane zamieszczone w CEIDG.

W piśmie z dnia [...] kwietnia 2019 r. organ nadzorczy zwrócił się również do spółki S. Sp. z o.o. z prośbą o przedstawienie szczegółowych wyjaśnień dotyczących zarzutów zawartych w skardze P.U..

Ustosunkowując się do powyższego wezwania, spółka S. w piśmie z dnia [...] kwietnia 2019 r. poinformowała organ nadzorczy, iż przetwarza dane skarżącego od dnia [...] grudnia 2017 r. Z informacji tej wynikało, że dane te zostały pozyskane bezpośrednio od skarżącego w trakcie zakładania Karty Klienta S., w związku z przystąpieniem do programu lojalnościowego S.. Z wyjaśnień tych wynikało, że dane te obejmują imię, nazwisko, adres zamieszkania i zatrudnienia, numer telefonu, dane firmy, w której skarżący jest zatrudniony – I. Sp. z o.o. z siedzibą w W.. Ponadto, spółka S. wskazała, iż dane osobowe skarżącego, pozyskane za pośrednictwem formularzy rejestracyjnych, będą przetwarzane do momentu, w którym skarżący pozostaje reprezentantem Klienta instytucjonalnego T. Sp. z o.o. oraz posiadaczem Karty Klienta S. i uczestnikiem Programu S. lub do momentu wyrażenia sprzeciwu lub wycofania zgody wobec przetwarzania danych osobowych. Jednocześnie, spółka S. wyjaśniła, iż w dniu [...] lipca 2018 r. skarżący poinformował ją o możliwości nieuprawnionego wykorzystywania jego danych osobowych przez byłego pracownika spółki S.. W tej sytuacji, spółka S. poinformowała organ nadzorczy, że w wyniku zainicjowanego przez skarżącego postępowania wyjaśniającego, spółka ta dokonała weryfikacji możliwości i prawdopodobieństwa kradzieży bazy przez S.W.. Spółka wskazała, że dokonano weryfikacji podobnych zgłoszeń i skarg związanych z przetwarzaniem danych osobowych innych klientów, z którymi S.W. miała kontakt, które sugerowałyby możliwość nieuprawnionego skopiowania lub udostępnienia bazy danych. Spółka S. zauważyła, że dokonano weryfikacji zaistnienia ewentualnych negatywnych skutków związanych z możliwością i prawdopodobieństwem naruszenia praw skarżącego w przypadku, gdyby doszło do kradzieży bazy klientów. Ponadto, przeprowadzono analizę, czy zgłoszone zdarzenie stanowiło naruszenie ochrony danych osobowych w rozumieniu przepisów rozporządzenia 2016/679. Spółka S. poinformowała organ nadzorczy, że w oparciu o zebrane informacje ustaliła, że nie zachodziły żadne przesłanki, które wskazywały na możliwość kradzieży bazy danych klientów spółki S. przez S.W.. W tej sytuacji, spółki S. uznała, że skarga nie dawała wystarczającej podstawy do złożenia zawiadomienia o możliwości popełnienia przez S.W. przestępstwa. Ponadto, spółka S. przedstawiła również organowi nadzorczemu, jakie podjęła środki organizacyjne i techniczne mające na celu zapewnienie ochrony danych osobowych.

Przed wydaniem decyzji, organ nadzorczy poinformował stronę skarżącą w piśmie z dnia [...] maja 2019 r. o tym, że został zgromadzony materiał dowodowy wystarczający do wydania decyzji administracyjnej, pouczając ją jednocześnie o prawach wynikających zarówno z przepisu art. 10 § 1 k.p.a., jak i art. 73 § 1 k.p.a.

W wyniku analizy zgromadzonego materiału dowodowego, Prezes Urzędu Ochrony Danych Osobowych - działając na podstawie art. 104 § 1 k.p.a. oraz art. 7 ust. 1 i art. 60 ustawy o ochronie danych osobowych, a także art. 57 ust. 1 lit. f RODO - wydał w dniu [...] lipca 2019 r. decyzję nr [...], w której odmówił uwzględnienia wniosku skarżącego zawartego w skardze z dnia [...] września 2018 r.

W uzasadnieniu wydanej decyzji Prezes UODO wskazał na wstępie, że analiza materiału dowodowego zebranego w przedmiotowej sprawie nie wykazała, aby doszło do kwestionowanego przez skarżącego wykorzystania jego danych osobowych przetwarzanych przez spółkę S. przez wskazanego w skardze pracownika spółki G. Sp. z o.o. S.k. z siedzibą w W..

Prezes UODO podkreślił, że decydujące znaczenie dla rozstrzygnięcia, jakie musi być wydane w przedmiotowej sprawie, ma fakt, że spółka G. nie przetwarza danych osobowych skarżącego, natomiast spółka S. przetwarza dane skarżącego zgodnie z wyrażoną przez niego zgodą, w związku z reprezentacją klienta instytucjonalnego oraz uczestnictwem w programie lojalnościowym S..

Organ nadzorczy zauważył, że jeśli chodzi o przetwarza danych osobowych skarżącego przez spółkę S., to spełnione są materialne przesłanki legalności przetwarzania danych osobowych z art. 6 ust. 1 lit. a RODO, zgodnie z którym przetwarzanie jest zgodne z prawem, gdy osoba, której dane dotyczą wyraziła zgodę na ich przetwarzanie w jednym lub większej liczbie określonych celów.

Ponadto, Prezes UODO podniósł, że przeprowadzona w spółce S. wewnętrzna weryfikacja zgłoszenia przez skarżącego kradzieży jego danych nie wykazała, aby doszło do nieuprawnionego wykorzystania jego danych przez byłą pracownicę tej spółki – S.W..

Organ nadzorczy zauważył, że sam skarżący swoje zarzuty opiera jedynie na przypuszczeniach, że jego dane osobowe zostały pozyskane nielegalnie ze spółki S.. Organ wskazał wprawdzie, że z ustaleń dokonanych w toku postępowania wyjaśniającego wynika, iż S.W. była rzeczywiście pracownikiem spółki S. i miała dostęp do bazy danych osobowych klientów tej spółki, w tym danych skarżącego. Niemniej, organ nadzorczy zaznaczył, że skarżący powołuje się jedynie na to, iż S.W. dzwoniła do niego w dniu [...] lipca 2018 r., jako dowód przedstawiając kopię wydruku SMS-a z numeru telefonicznego [...], w treści której to wiadomości tekstowej jej autor przeprosił za zaistniałą sytuację i obiecał usunąć numer telefonu skarżącego ze swojego telefonu.

Prezes UODO stwierdził ponadto, że z ustaleń dokonanych w toku postępowania wyjaśniającego wynika, iż dane osobowe skarżącego nie są przetwarzane przez spółkę GBD, dla której - jak twierdzi skarżący – S.W. podjęła pracę.

W związku z powyższym, organ nadzorczy stwierdził, że brak jest dowodów na potwierdzenie oskarżeń zawartych w treści skargi.

Prezes UODO podkreślił, że organ administracji publicznej może uznać stan faktyczny rozstrzyganej sprawy za ustalony jedynie na podstawie niebudzących wątpliwości dowodów i nie może poprzestać w tym zakresie na uprawdopodobnieniu - chyba, że przepisy k.p.a. stanowią inaczej.

W tym miejscu, powołując się na stanowisko wyrażone w wyroku Naczelnego Sądu Administracyjnego z dnia 9 lipca 1999 r., sygn. akt III SA 5417/98, organ nadzorczy wskazał, że prowadząc postępowanie musi dążyć do ustalenia prawdy materialnej i według swej wiedzy, doświadczenia oraz wewnętrznego przekonania ocenić wartość dowodową poszczególnych środków dowodowych, wpływ udowodnienia jednej okoliczności na inne okoliczności. Ponadto, jak zauważył organ nadzorczy, w postępowaniu administracyjnym również obowiązuje zasada, zgodnie z którą ciężar dowodu spoczywa na tym, kto z określonego faktu wyprowadza skutki prawne.

Mając powyższe na względzie, Prezes UODO wskazał, iż w toku postępowania dowodowego nie potwierdziły się zarzuty skarżącego dotyczące kradzieży jego danych osobowych ze zbiorów spółki S., jak również nie potwierdziło się, aby spółka G. przetwarzała dane osobowe niezgodnie z prawem.

Jednocześnie, organ nadzorczy stwierdził, że brak również przesłanek do wszczęcia postępowania w sprawie naruszenia przepisów o ochronie danych osobowych lub kontroli przestrzegania przepisów o ochronie danych osobowych (vide: art. 60 i art. 78 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych), wszczynanych z urzędu przez Prezesa UODO.

W tym stanie faktycznym i prawnym, Prezes Urzędu Ochrony Danych Osobowych uznał, iż należy rozstrzygnąć, jak w sentencji decyzji.

W piśmie z dnia [...] sierpnia 2019 r. skarżący wniósł do Wojewódzkiego Sądu Administracyjnego w Warszawie skargę na powyższą decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] lipca 2019 r.

Wnosząc o uchylenie w całości zaskarżonej decyzji Prezesa UODO, skarżący zarzucił:

1. naruszenie art. 7 k.p.a., art. 77 § 1 k.p.a. i art. 80 k.p.a. - poprzez brak dokładnego wyczerpującego ustalenia stanu faktycznego w sprawie, co miało istotny wpływ na wydanie decyzji administracyjnej,

2. naruszenie art. 75 § 1 k.p.a. - poprzez zignorowanie faktu, że jako dowód powinno zostać dopuszczone wszystko, co może się przyczynić do wyjaśnienia sprawy, a nie jest sprzeczne z prawem, w szczególności zaś zeznania świadków i opinie biegłych.

W uzasadnieniu skargi strona skarżąca wskazała na wstępie, że z jej skargi z dnia [...] września 2018 r., złożonej w Urzędzie Ochrony Danych Osobowych w [...] wynika, że doszło do kradzieży danych osobowych skarżącego w postaci mojego imienia i nazwiska, adresu i miejsca zatrudnienia, a także prywatnego numeru telefonu. Zdaniem skarżącego, wspomnianej kradzieży danych osobowych skarżącego z firmy T. Sp. z o.o. na rzecz firmy G. Sp. z o.o. Sp. k w W. dokonała była pracownica firmy T. Sp. z o.o. – S.W., która miała bezpośredni dostęp do wspomnianych wyżej danych osobowych, a która następnie, już jako pracownik w nowym zakładzie pracy, tj. G. Sp. z o.o. Sp.k. - wykorzystała dane osobowe skarżącego, w celu osiągnięcia korzyści majątkowych poprzez pozyskanie nowego kontrahenta.

Skarżący zarzucił, że prowadzone przez Prezesa UODO postępowanie wyjaśniające zainicjowane powyższą skargą z dnia [...] września 2018 r., przeprowadzone zostało z rażącym naruszeniem przepisów art. 7 k.p.a., art. 77 § 1 k.p.a. i art. 80 k.p.a. z uwagi na niedokładne ustalenie stanu faktycznego w sprawie.

Zdaniem skarżącego, organ nadzorczy ograniczył się tylko do pisemnych wyjaśnień, które należy uznać za niedostateczne i niedokładne, a w konsekwencji świadczące o naruszeniu przez organ nadzorczy wspomnianych wyżej przepisów art. 7 k.p.a., art. 77 § 1 k.p.a. i art. 80 k.p.a.

Skarżący zauważył, że na żadnym etapie prowadzonego przez organ postępowania nie została zlecona i wszczęta kontrola zarówno w firmie T. Sp. z o.o. oraz w firmie G. Sp. z o.o. Sp. k., mająca na celu sprawdzenie zabezpieczenia systemów informatycznych, a przede wszystkim sprawdzenie, czy nie tylko dane osobowe skarżącego, ale także innych klientów zostały skradzione z firmy T. Sp. z o.o. przez S.W..

Skarżący zarzucił ponadto, że Prezesa UODO nie dokonał przesłuchania S.W. na okoliczność posiadania i przetwarzania danych osobowych skarżącego, jako pracownika firmy G. Sp. z o.o. Sp.k., co - w ocenie skarżącego - stanowi rażące naruszenie art. 75 § 1 k.p.a., albowiem jako dowód powinno zostać dopuszczone wszystko, co może się przyczynić do wyjaśnienia sprawy a nie jest sprzeczne z prawem, w szczególności zeznania świadków i opinie biegłych.

Skarżący uznał, że organ powinien zadać pytanie S.W. skąd i w jakich okolicznościach weszła w posiadanie danych osobowych skarżącego i skąd dane te pozyskała.

Ponadto, skarżący podniósł również, że wątpliwości co do prowadzonego postępowania budzi także kwestia interpretacji faktów przez organ, który stwierdził w decyzji, że "(...) podkreślić należy, że decydujące znaczenie dla rozstrzygnięcia, jakie musi być wydane w przedmiotowej sprawie, ma fakt, że Spółka G. Sp. z o.o. Sp.k nie przetwarza danych osobowych (...)", gdy tymczasem - jak twierdził skarżący - pracownik firmy G. Sp. z o.o. Sp.k – S.W. dokonuje przetwarzania jego danych osobowych, dzwoniąc z ofertą handlową swojej firmy.

Zdaniem skarżącego, powyższa sytuacja stanowczo przeczy stwierdzeniu organu, że do bezprawnego przetwarzania nie doszło, czego potwierdzeniem jest również sms od S.W., który ewidentnie świadczy o tym, że osoba ta dokonuje bezprawnego przetwarzania danych osobowych skarżącego.

Skarżący zarzucił, że Prezes UODO nawet nie sprawdził, czy S.W. na etapie prowadzonego postepowania była pracownikiem w firmie G. Sp. z o.o. Sp.k., pomimo, iż fakt potwierdzenia jej zatrudnienia we wspomnianej firmie stanowił podstawę do bezprawnego przetwarzania danych osobowych skarżącego przez tego pracownika, czyli S.W..

W tej sytuacji, skarżący uznał, że ograniczenie się przez Prezesa UODO do pozyskania pisemnych wyjaśnień w sprawie zainicjowanej skargą wniesioną przez skarżącego narusza wiarygodność i rzetelność prowadzonego postępowania. Według skarżącego, potwierdzeniem braku rzetelności jest m.in. brak zawartej informacji w skierowanym do Prezesa UODO piśmie spółki G. z dnia [...] marca 2019 r. o braku zgody na przetwarzanie danych osobowych, czego dowodem są wykonane rozmowy telefoniczne do siedziby spółki.

Skarżący zauważył, że w dniu [...] października 2018 r. wysłał na adres G. Sp. z o.o. Sp. k w W. ul. [...],[...] do S.W. - wezwanie do zapłaty dotyczące naruszenia jego dóbr osobistych, zgodnie z art. 23 i art. 24 § 1 Kodeksu cywilnego, które zostało odebrane w dniu [...] października 2018 r., a na które to wezwanie zarówno S.W., jak i spółka G. do dnia wniesienia skargi nie udzielili odpowiedzi.

W tej sytuacji, skarżący stwierdził, że wyjaśnienia pisemne złożone przez strony postępowania można uznać absolutnie za niewystarczające zebranie całego materiału dowodowego, skoro w pisemnych wyjaśnieniach złożonych do Prezesa UODO przez jedną ze stron postępowania nie zostaje zawarta ta informacja.

Skarżący uznał ponadto, że faktem, który budzi również wątpliwość co do rzetelności i wiarygodności prowadzonego postępowania, jest również to, że w rozmowie telefonicznej S.W. przyznała się, że posiadała dane osobowe z firmy T. Sp. z o.o., a co również potwierdził otrzymany od jej osoby sms.

W ocenie skarżącego, niezrozumiałe jest zatem, dlaczego Prezes UODO nie wziął pod uwagę bardzo dziwnego zbiegu okoliczności, że ta sama osoba, pracując w jednej firmie, w której są dane osobowe skarżącego, dzwoni później jako pracownik firmy G. Sp. z o.o. Sp.k. z ofertą handlową do skarżącego.

Mając powyższe na względzie, skarżący zarzucił Prezesowi UODO niedokładne i nierzetelne prowadzenie postepowania poprzez ograniczanie się tylko do pisemnych wyjaśnień stron, co stanowi naruszenie art. 7 k.p.a., art. 75 § 1 k.p.a., art. 77 § 1 i art. 80 k.p.a.

W odpowiedzi na skargę Prezes Urzędu Ochrony Danych Osobowych wniósł o jej oddalenie, podtrzymując swoje dotychczasowe stanowisko wyrażone w uzasadnieniu zaskarżonej decyzji.

Ustosunkowując się do zarzutów strony skarżącej, Prezes UODO uznał przede wszystkim, iż skarżący nie przedstawił jednoznacznych dowodów świadczących bezspornie o przetwarzaniu jego danych osobowych na rzecz spółki G., jak też przez S.W.. Organ nadzorczy stwierdził, że skoro skarżący wywodzi skutki prawne z faktu, że jego dane osobowe są przetwarzane przez spółkę GBD, to tym samym powinien w sposób wiarygodny udowodnić tą okoliczność. Tymczasem, jak zauważył organ nadzorczy, w niniejszej sprawie skarżący ciężarem udowodnienia powyższej okoliczności wyraźnie obarcza Prezesa UODO, czego przejawem jest domaganie się od organu przeprowadzenia czynności kontrolnych w siedzibie spółki G. i przesłuchania S.W..

Prezes UODO wskazał, iż podjęcie przez organ działań zmierzających do skorzystania z ww. uprawienia stanowi zawsze jego suwerenną decyzję. W tej sprawie organ nie znalazł jednak podstaw do skorzystania z tego uprawnienia.

Organ nadzorczy uznał, że zarzuty skarżącego skierowane wobec S.W. i spółki G. opierają się jedynie na jego domysłach i pewnych przypuszczeniach, lecz brak jest jakichkolwiek innych dowodów na poparcie jego tezy dotyczącej nielegalnego pozyskania danych osobowych skarżącego ze spółki S. przez S.W. i przetwarzania ich przez spółkę G..

Prezes UODO stwierdził, że brak jest dowodów, które potwierdziłyby m.in. to, iż treść rozmowy telefonicznej dotyczyła oferty handlowej spółki G., a tym samym brak jest dowodów potwierdzających oskarżenia zawarte w treści skargi.

Jednocześnie, Prezes UODO podkreślił, że organ administracji publicznej może uznać stan faktyczny rozstrzyganej sprawy za ustalony jedynie na podstawie niebudzących wątpliwości dowodów i nie może poprzestać w tym zakresie na uprawdopodobnieniu, chyba, że przepisy k.p.a. stanowią inaczej.

Odnosząc się z kolei do zasygnalizowanych przez skarżącego roszczeń majątkowych skierowanych przez niego wobec S.W. oraz spółki G., organ nadzorczy stwierdził, że nie są one przedmiotem postępowania administracyjnego i zarzuty skarżącego podnoszone w tym zakresie nie są istotne dla rozpoznania niniejszej sprawy.

Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje.

Zgodnie z art. 1 § 1 i 2 ustawy z dnia 25 lipca 2002 r. - Prawo o ustroju sądów administracyjnych (tekst jednolity Dz. U. z 2019 r., poz. 2167 ze zm.), sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej, przy czym kontrola ta sprawowana jest pod względem zgodności z prawem, jeżeli ustawy nie stanowią inaczej.

W świetle powołanych przepisów cyt. ustawy, Wojewódzki Sąd Administracyjny w Warszawie, w zakresie swojej właściwości, ocenia zaskarżoną decyzję administracyjną, postanowienie, czy też inny akt lub czynność z zakresu administracji publicznej dotyczącą uprawnień lub obowiązków wynikających z przepisów prawa, z punktu widzenia ich zgodności z prawem materialnym i przepisami postępowania administracyjnego, według stanu faktycznego i prawnego obowiązującego w dacie wydania tego aktu lub podjęcia spornej czynności. Chodzi więc o kontrolę aktów lub czynności z zakresu administracji publicznej dokonywaną pod względem ich zgodności z prawem materialnym i przepisami procesowymi, nie zaś według kryteriów słuszności, czy też zgodności z zasadami współżycia społecznego.

Ponadto, co wymaga podkreślenia, Sąd rozstrzyga w granicach danej sprawy, nie będąc jednak związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną (vide: art. 134 § 1 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi - tekst jednolity Dz. U. z 2019 r., poz. 2325, dalej także: "P.p.s.a.").

Należy jednocześnie wyraźnie zaznaczyć, że od dnia wejścia w życie Traktatu Akcesyjnego z dnia 16 kwietnia 2003 r. (Dz. U. z 2004 r. Nr 90, poz. 864), na mocy, którego Polska stała się państwem członkowskim Unii Europejskiej, kontrola sądu administracyjnego obejmuje również zgodność rozstrzygnięć organów administracji publicznej z prawem europejskim (prawem Unii Europejskiej), rozumianym, jako całokształt dorobku prawnego Unii Europejskiej (acquis communautaire), w tym zasad ogólnych prawa europejskiego, interpretowanych oraz stosowanych w sposób jednolity na całym obszarze Unii Europejskiej.

Należy zauważyć, że zgodnie z zasadą pierwszeństwa, prawo Unii Europejskiej ma wartość nadrzędną nad prawem krajowym państw członkowskich Unii Europejskiej. Nie ulega wątpliwości, że zasada pierwszeństwa dotyczy wszystkich aktów wspólnotowych, które mają moc wiążącą. W konsekwencji, państwa członkowskie UE nie mogą więc stosować przepisu krajowego, który jest niezgodny z prawem UE, gdyż zasada pierwszeństwa gwarantuje jednolitą ochronę prawną obywateli na całym terytorium UE. Jednocześnie, nie ulega wątpliwości, że sądy krajowe muszą czuwać nad przestrzeganiem zasady pierwszeństwa.

Warto również zwrócić uwagę na zasadę bezpośredniego skutku prawa UE, która umożliwia podmiotom indywidualnym powoływanie się bezpośrednio na prawo unijne przed sądami i to niezależnie od tego, czy w prawie krajowym istnieją podobne regulacje prawne. W ten sposób zasada bezpośredniego skutku gwarantuje stosowanie i skuteczność prawa unijnego w krajach UE.

Zasada bezpośredniego skutku dotyczy nie tylko prawa pierwotnego zawartego w Traktatach UE, ale także aktów prawa wtórnego, a więc aktów przyjętych przez instytucje Unii Europejskiej na podstawie wspomnianego prawa traktatowego. W tym miejscu, należy jednak wyraźnie zauważyć, że zakres bezpośredniego skutku zależy od rodzaju danego aktu. W świetle zarówno przepisów traktatowych, jak i dotychczasowego orzecznictwa Trybunału Sprawiedliwości Unii Europejskiej, pełny skutek bezpośredni mają przepisy rozporządzeń, które są bezpośrednio stosowane w państwach członkowskich UE.

W tej sytuacji, Wojewódzki Sąd Administracyjny w Warszawie, dokonując oceny legalności zaskarżonej decyzji Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] lipca 2019 r., zobowiązany był zbadać również jej zgodność z przepisami prawa europejskiego, w tym przede wszystkim regulacjami zawartymi w rozporządzeniu Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych - zwane także: "RODO"; publikowane /w:/ Dz. Urz. UE L 119 z dnia 4 maja 2016 r. oraz Dz. Urz. UE L 127 z dnia 23 maja 2018, str. 2 ze zm.).

W ocenie Wojewódzkiego Sądu Administracyjnego w Warszawie, analizowana pod tym kątem skarga P.U. nie zasługuje na uwzględnienie, albowiem zaskarżona decyzja Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] lipca 2019r., nr [...] - nie narusza w sposób istotny obowiązujących przepisów prawa.

Sąd uznał, że Prezes Urzędu Ochrony Danych Osobowych, wydając sporną decyzję z dnia [...] lipca 2019 r., nie dopuścił się naruszenia zarówno wiążących Polskę przepisów prawa europejskiego, jak i regulacji prawa krajowego, w stopniu mającym istotny wpływ na końcowy wynik sprawy zakończonej wydaniem wspomnianej decyzji.

Przede wszystkim, przyjąć należy, iż odmawiając uwzględnienia wniosku zawartego w inicjującej postępowanie administracyjne skardze P.U. z dnia [...] września 2018 r., Prezes Urzędu Ochrony Danych Osobowych nie naruszył obowiązujących przepisów, albowiem - wbrew zarzutom strony skarżącej - prawidłowo przyjął, iż w niniejszej sprawie zachodzi sytuacja, w której zgromadzony przez organ nadzorczy materiał dowodowy nie wykazał, aby doszło do kwestionowanego przez skarżącego wykorzystania jego danych osobowych przetwarzanych przez spółkę S. przez wskazaną w powyższej skardze S.W. - pracownika spółki G. Sp. z o.o. S.k. z siedzibą w W..

Ponadto, w wyniku przeprowadzenia analizy stanowiska organu nadzorczego zaprezentowanego w uzasadnieniu zaskarżonej decyzji, Sąd stwierdził, że - wbrew zarzutom skargi - Prezes UODO, wydając w dniu [...] lipca 2019 r. sporne rozstrzygnięcie, nie dopuścił się - mogącego mieć zasadniczy wpływ na wynik sprawy - naruszenia przepisów procedury administracyjnej, a w szczególności art. 7 k.p.a., art. 75 § 1 k.p.a., art. 77 § 1 k.p.a., art. 80 k.p.a., a także art. 107 § 3 k.p.a. w zw. z art. 7 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych, albowiem wyjaśnił wszystkie okoliczności istotne dla prawidłowego i pełnego rozstrzygnięcia sprawy, a także dokonał właściwej oceny zebranego w sprawie materiału dowodowego, przeprowadzając jednocześnie ową ocenę w kontekście właściwie zastosowanych przepisów prawa materialnego.

W działaniu Prezesa Urzędu Ochrony Danych Osobowych, jako organu administracji publicznej wydającego sporną decyzję, Sąd nie dopatrzył się jakichkolwiek istotnych nieprawidłowości, zarówno, gdy idzie o ustalenie stanu faktycznego sprawy, jak i o zastosowanie do jego oceny przepisów prawa materialnego. Ponadto, Sąd uznał, że w uzasadnieniu zaskarżonej decyzji Prezesa UODO wyjaśnione zostały w sposób dostatecznie jasny i przekonywujący motywy jej podjęcia, zaś przytoczona w tym zakresie argumentacja jest wyczerpująca i w pełni odnosząca się do stanowiska strony skarżącej.

W konsekwencji, zdaniem Sądu, organ nadzorczy nie dopuścił się również naruszenia przepisów prawa materialnego, w tym mających kluczowe znaczenie dla rozstrzygnięcia niniejszej sprawy przepisów art. 7 ust. 1 i art. 60 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych oraz art. 57 ust. 1 lit. f RODO.

Tym samym, Sąd uznał, że Prezes UODO, wydając zaskarżoną decyzję administracyjną - nie dopuścił się w powyższym zakresie istotnego naruszenia zasady praworządności wyrażonej w przepisach art. 6 k.p.a. i art. 7 in principio k.p.a. oraz art. 7 Konstytucji RP.

Przechodząc do merytorycznej oceny legalności spornej decyzji z dnia [...] lipca 2019 r., należy na wstępie wyraźnie wskazać, że Prezes Urzędu Ochrony Danych Osobowych jest organem właściwym w sprawie ochrony danych osobowych (art. 34 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych) i jednocześnie organem nadzorczym, w rozumieniu rozporządzenia 2016/679 (art. 34 ust. 2 u.o.d.o.).

Jak stanowi przepis art. 57 ust. 1 lit. f RODO, bez uszczerbku dla innych zadań określonych na mocy niniejszego rozporządzenia, każdy organ nadzorczy na swoim terytorium monitoruje i egzekwuje stosowanie niniejszego rozporządzenia, m.in. rozpatrując skargi wniesione przez osobę, której dane dotyczą.

Nie ulega wątpliwości, że rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) stanowi kompleksową regulację dotyczącą ochrony danych osobowych, która nie wymaga implementacji ustawą krajową, aby mogła być stosowana w danym państwie.

Jednocześnie, państwom członkowskim Unii Europejskiej pozostawiono jednak pewien zakres swobody w zakresie regulacji na poziomie krajowym, aby niektóre zagadnienia doprecyzować (np. w przypadku organu nadzorczego, czy odpowiedzialności za naruszenie zasad ochrony danych osobowych), czy też dostosować zasady wprowadzone przez RODO do innych obowiązujących w danym porządku prawnym zasad.

Ze wskazanego wyżej przepisu art. 57 ust. 1 lit. f RODO wynika m.in., iż procedura, w ramach której prowadzone są postępowania zainicjowane skargą wniesioną przez osobę, której dane dotyczą, określana jest przez poszczególne państwa członkowskie Unii Europejskiej. Pozostawienie w tym zakresie państwom członkowskim autonomii jest wyrazem realizacji zasady autonomii proceduralnej państw członkowskich. W tej sytuacji, skargi są wnoszone i rozpatrywane na podstawie przepisów proceduralnych obowiązujących w danym państwie członkowskim UE.

Art. 60 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych stanowi, że postępowanie w sprawie naruszenia przepisów o ochronie danych osobowych, zwane dalej "postępowaniem", jest prowadzone przez Prezesa Urzędu.

Nie ulega wątpliwości, że postępowanie w sprawie naruszenia przepisów o ochronie danych jest jednym z postępowań administracyjnych przed Prezesem Urzędu Ochrony Danych Osobowych. O takim jego charakterze rozstrzyga art. 7 ust. 1 ustawy o ochronie danych osobowych, który postępowanie z rozdziału 7 kwalifikuje jako administracyjne i przewiduje w sprawach w niej nieuregulowanych stosowanie do tego postępowania Kodeksu postępowania administracyjnego. Warto przy tym zauważyć, że ustawodawca w art. 7 ust. 1 cyt. ustawy nie przewiduje stosowania odpowiedniego, oznacza to zatem stosowanie przepisów ogólnej procedury administracyjnej wprost, z modyfikacjami wynikającymi z regulacji ustawy o ochronie danych osobowych.

Użyte w art. 60 u.o.d.o. określenie "naruszenie przepisów o ochronie danych osobowych" ma zakres szeroki i obejmuje naruszenia wszystkich przepisów o ochronie danych, zarówno zawartych w unijnym rozporządzeniu, jak i w przepisach krajowych, które uzupełniają lub modyfikują regulacje unijne.

Zgodnie z art. 7 ust. 1 u.o.d.o., w sprawach nieuregulowanych w ustawie do postępowań administracyjnych przed Prezesem Urzędu Ochrony Danych Osobowych, o których mowa w rozdziale 4–7 i 11 (a więc również w rozdziale 7 dotyczącym postępowania w sprawie naruszenia przepisów o ochronie danych osobowych), stosuje się przepisy Kodeksu postępowania administracyjnego.

Zdaniem Sądu, nie ulega wątpliwości, że związanie rygorami procedury administracyjnej oznacza, że Prezes UODO jest obowiązany m.in. do przestrzegania zasady pogłębiania zaufania obywateli do organów praworządnego Państwa (art. 8 § 1 k.p.a.). W tej sytuacji, organ nadzorczy, uwzględniając powyższą zasadę, zobowiązany jest przede wszystkim dokładnie wyjaśnić okoliczności sprawy, konkretnie ustosunkować się do żądań i twierdzeń strony skarżącej oraz uwzględnić w decyzji zarówno interes społeczny, jak i słuszny interes strony skarżącej. Organ nadzorczy jest ponadto obowiązany w sposób wyczerpujący zebrać i ocenić cały materiał dowodowy (art. 7, art. 77 § 1 i art. 80 k.p.a.) oraz uzasadnić swoje rozstrzygnięcie według wymagań określonych w przepisie art. 107 § 3 k.p.a.

Przedmiotem skargi, o której mowa w art. 57 ust. 1 lit. f RODO, może być na przykład brak dbałości administratora o merytoryczną poprawność przetwarzanych danych, przetwarzanie tych danych w innym celu niż ten, dla którego zostały zebrane, bezpodstawne nieudostępnianie danych. Skarga może dotyczyć również podejrzenia przetwarzania danych przez osobę nieuprawnioną.

Jeżeli zatem określona osoba zgłasza Prezesowi Urzędu Ochrony Danych Osobowych nieprawidłowości w zakresie przetwarzania swoich danych osobowych, organ ten jest zobligowany do wszczęcia postępowania wyjaśniającego, którego zadaniem jest ustalenie, czy dane osobowe są w istocie przetwarzane, a jeżeli tak, to w jakim celu i czy proces ten następuje z poszanowaniem przepisów zarówno RODO, jak i ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych.

Taka sytuacja miała miejsce w rozpoznawanej sprawie. Otóż, Prezes Urzędu Ochrony Danych Osobowych, rozpatrując skargę P.U. z dnia [...] września 2018 r., zobowiązany był dokonać oceny, czy w sprawie doszło w ogóle do przetwarzania danych osobowych skarżącego, a w konsekwencji, czy ewentualnie sporne przetwarzanie - o ile do niego rzeczywiście doszło - było zgodne z prawem, przy jednoczesnym uwzględnieniu okoliczności przetwarzania tych danych, jeśli miało ono miejsce, a także przy uwzględnieniu całokształtu zgromadzonego w sprawie materiału dowodowego oraz w kontekście odpowiednio zastosowanych przepisów prawa, w tym przede wszystkim przepisów RODO oraz ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych.

Należy zauważyć, iż w świetle przepisu art. 4 pkt 2 RODO, przez "przetwarzanie" rozumie się operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, takie jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie.

W tej sytuacji, mając na względzie powyższą definicję przetwarzania, Prezes Urzędu Ochrony Danych Osobowych, jako organ nadzorczy, zobowiązany był, analizując wniesioną w dniu [...] września skargę, przeprowadzić stosowne postępowanie wyjaśniające i na podstawie całokształtu zgromadzonego materiału dowodowego ustalić, czy powoływana przez skarżącego okoliczność bezprawnego przetwarzania jego danych osobowych została udowodniona.

Z uwagi na fakt, iż zarówno RODO, jak i ustawa o ochronie danych osobowych nie regulują kwestii postępowania dowodowego i powinności organu nadzorczego związanych z czynieniem ustaleń faktycznych, zastosowanie w tym zakresie znajdują reguły i zasady określone w Kodeksie postępowania administracyjnego.

Organ nadzorczy, rozstrzygając sprawę zainicjowaną wspomnianą skargą P.U., zobowiązany był więc uwzględnić fakt, iż dowodami w postępowaniu mogą być w szczególności dokumenty, zeznania świadków, opinie biegłych oraz oględziny (art. 75 § 1 k.p.a.).

Celem postępowania administracyjnego jest rozstrzygnięcie sprawy administracyjnej dotyczącej konkretnie wskazanego adresata. Jednym ze stadiów postępowania jest stadium wyjaśniające - pozwalające ustalić dokładny stan faktyczny w danej sprawie. W wyniku postępowania wyjaśniającego organ administracji publicznej ma dojść do wskazanej w art. 7 k.p.a. prawdy obiektywnej, co czyni za pomocą środków dowodowych.

Warto zauważyć, że zasada ogólna prawdy obiektywnej wyłącza dopuszczalność ustalenia okoliczności faktycznych w wyniku uprawdopodobnienia ich wystąpienia. Podkreślił to Naczelny Sąd Administracyjny w wyroku z dnia 4 marca 2016 r., sygn. akt I OSK 1/15 (Legalis), w którym stwierdził, że istota postępowania dowodowego wynika z art. 7 i art. 77 § 1 k.p.a., albowiem postępowanie dowodowe ma prowadzić do wykazania istnienia danej okoliczności, a nie jej uprawdopodobnienia. Temu właśnie mają służyć środki dowodowe, o jakich mowa w art. 75 § 1 k.p.a. i art. 76 § 1 k.p.a. Organ administracyjny prowadzi postępowania wyjaśniające i ma uwzględnić wszystkie dowody zgromadzone w sprawie, by ocenić czy dana okoliczność została udowodniona. W innym wypadku ocena może prowadzić do naruszenia reguł obowiązujących podczas stosowania zasady swobodnej oceny dowodów. W szczególności, ocenie podlega znaczenie i wartość zebranych w postępowaniu dowodów. Postępowanie dowodowe i wnioski z niego płynące muszą eliminować wątpliwości. Nie można bowiem uznać danej okoliczności za udowodnioną w sytuacji, gdy te same środki dowodowe prowadzą do zupełnie odmiennych wniosków i w zasadzie tylko istniejące wątpliwości pogłębiają.

Warto przy tym zauważyć, że Kodeks postępowania administracyjnego nie wskazuje dowodów "mocniejszych" oraz "słabszych", przyjmując zasadę równej mocy środków dowodowych.

Kodeks postępowania administracyjnego nie określa również zamkniętego katalogu środków dowodowych, jakie mogą być stosowane w toku postępowania administracyjnego. Ustawodawca posłużył się jedynie przykładowym wyliczeniem, wskazując, że w szczególności mogą nimi być dokumenty, zeznania świadków, opinie biegłych oraz oględziny. Jako dowód może natomiast posłużyć wszystko, co jest zgodne z prawem i może przyczynić się do wyjaśnienia sprawy. Należy podkreślić, że chodzi tu o sprzeczność zarówno z prawem materialnym, jak i proceduralnym. Przyjęta w art. 75 § 1 k.p.a. koncepcja wskazuje, że wymienione przykładowo w tym przepisie dowody powinny zostać uznane za podstawowe i najczęściej stosowane w postępowaniu administracyjnym.

Mając na względzie powyższe, należy zauważyć, że Prezes UODO, przeprowadzając postępowanie wyjaśniające, uzyskał stosowne wyjaśnienia zarówno od podmiotu, który - według zapewnień skarżącego - miał rzekomo przetwarzać dane osobowe skarżącego, tj. spółki G. Sp. z o.o. S.k. z siedzibą w W. (vide: wyjaśnienia zawarte w piśmie tej spółki z dnia [...] marca 2019 r.), jak i od podmiotu, z którego zasobów miały - jak twierdził skarżący - wyciec jego dane, tj. spółki T. Sp. z o.o. z siedzibą w P. (vide: wyjaśnienia zawarte w piśmie tej spółki z dnia [...] kwietnia 2019 r.).

Jak wynika z akt administracyjnych niniejszej sprawy, spółka G. w piśmie z dnia [...] marca 2019 r. wyraźnie wskazała, iż nie przetwarza danych osobowych skarżącego, zaprzeczając jednocześnie, aby korzystała z danych osobowych klientów spółki S. przy tworzeniu bazy klientów.

Z kolei, spółka T. Sp. z o.o. poinformowała organ nadzorczy, że w oparciu poczynione ustalenia uznała, że nie zachodziły jakiekolwiek przesłanki, które wskazywałyby na możliwość kradzieży bazy danych klientów spółki S. przez jej byłego pracownika S.W.. Jednocześnie, spółka ta wskazała, że brak jest - w jej ocenie - uzasadnionych podstawy do złożenia zawiadomienia o możliwości popełnienia przez S.W. przestępstwa. Ponadto, spółka ta poinformowała organ nadzorczy, że przetwarza dane osobowe skarżącego zgodnie z wyrażoną przez niego zgodą.

W tej sytuacji, uznać należy, że w wyniku analizy zgromadzonego materiału dowodowego organ nadzorczy zasadnie przyjął w uzasadnieniu decyzji z dnia [...] lipca 2019 r., że postępowanie wyjaśniające nie dało podstaw do przyjęcia tezy, że doszło do kwestionowanego przez skarżącego wykorzystania jego danych osobowych, będących w posiadaniu spółki S., przez jej byłego pracownika – S.W. na rzecz spółki G..

Zdaniem Sądu, Prezes UODO zasadnie uznał, iż skarżący nie przedstawił jednoznacznych dowodów świadczących bezspornie o przetwarzaniu jego danych osobowych przez S.W. na rzecz spółki G., czy też przez samą tą spółkę.

Tymczasem, nie ulega wątpliwości, że skoro skarżący wywodzi skutki prawne z faktu, że jego dane osobowe są przetwarzane przez dany podmiot, to tym samym powinien w sposób wiarygodny udowodnić tą okoliczność, a nie przerzucać ciężar udowodnienia powyższej okoliczności jedynie na organ nadzorczy, w sposób nieuzasadniony domagając się post factum od organu przeprowadzenia czynności kontrolnych w siedzibie spółki G., czy też przesłuchania w charakterze świadka S.W., pomimo - co warto zauważyć - braku w tym zakresie jakichkolwiek wniosków dowodowych złożonych w toku postępowania.

Według Sądu, uznać należy, że w kontekście poczynionych ustaleń, w tym m.in. pozyskanych pisemnych wyjaśnień od spółek, które miały naruszyć dane osobowe skarżącego, Prezes UODO miał prawo nie podejmować dodatkowych działań (czynności) w celu zgromadzenia kolejnych dowodów, skoro w świetle poczynionych dotychczas ustaleń miał zgromadzony odpowiedni materiał dowodowy, który dawał wszelkie podstawy do końcowego rozstrzygnięcia sprawy.

Organ nadzorczy zasadnie uznał, że zarzuty skarżącego skierowane wobec S.W. i spółki G. opierają się jedynie na jego domysłach i pewnych przypuszczeniach, które nie mogły jednak w żadnym razie stanowić podstawy do nałożenia przez organ nadzorczy jakichkolwiek obowiązków na podmioty wskazane w skardze z dnia [...] września 2018 r., albowiem organ administracji publicznej może wydać wspomniane rozstrzygnięcie opierając się jedynie na podstawie niebudzących wątpliwości dowodów, a nie poprzestając w tym zakresie jedynie na uprawdopodobnieniu.

W ocenie Sądu, należy uznać, że w rozpoznawanej sprawie Prezes Urzędu Ochrony Danych Osobowych przeprowadził postępowanie dowodowe w zakresie niezbędnym do jej rozstrzygnięcia.

Sąd stwierdził, iż ustalenia faktyczne, jakich dokonał organ nadzorczy, pozwoliły na wyprowadzenie wniosków końcowych, które uznać należy za prawidłowe i zgodne z obowiązującymi zasadami postepowania.

Według Sądu, przeciwne twierdzenia skarżącego nie zostały dostatecznie wykazane i poparte istotnymi dowodami zarówno w skardze inicjującej postępowanie, jak i na późniejszym etapie postępowania, a także w skardze złożonej do Sądu, a których to dowodów nie uwzględniłby lub nie omówił w swej decyzji organ nadzorczy.

Mając powyższe na uwadze, należy uznać, że wydając sporną decyzję administracyjną z dnia [...] lipca 2019 r., Prezes Urzędu Ochrony Danych Osobowych nie dopuścił się w toku postępowania jakichkolwiek istotnych uchybień formalnych, które uniemożliwiłyby Sądowi dokonanie prawidłowej oceny zarzutów skargi i wypowiedzenie się co do legalności podjętego rozstrzygnięcia.

Sąd uznał, że uzasadnienie zaskarżonej decyzji spełnia wymogi przewidziane przez ustawodawcę w przepisie art. 107 § 3 k.p.a., gdyż w jej treści organ wyraźnie wskazał, dlaczego - pomimo podniesionych przez stronę skarżącą argumentów i przedłożonych materiałów dowodowych - nie wykazano, aby doszło do przetwarzania danych osobowych dotyczących skarżącego na rzecz spółki G., jak też przez S.W., a w konsekwencji, by podmioty te dopuściły się naruszenia przepisów o ochronie danych osobowych.

W konsekwencji, w ocenie Sądu, wbrew twierdzeniom skarżącego, prawidłowe ustalenia faktyczne poczynione w toku postępowania wyjaśniającego przez Prezesa UODO dały temu organowi pełną podstawę do wydania zaskarżonej decyzji z dnia [...] lipca 2019 r. odmawiającej uwzględnienia wniosku skarżącego zawartego w jego skardze z dnia [...] września 2018 r.

Biorąc powyższe pod uwagę, Wojewódzki Sąd Administracyjny w Warszawie - działając na podstawie art. 151 P.p.s.a. - orzekł, jak w sentencji wyroku.