Centralna Baza Orzeczeń Sądów Administracyjnych

Naczelny Sąd Administracyjny w składzie: Przewodniczący: Sędzia NSA Tamara Dziełakowska (spr.) Sędziowie Sędzia NSA Olga Żurawska – Matusiak Sędzia NSA Przemysław Szustakiewicz po rozpoznaniu w dniu 30 listopada 2021 r. na posiedzeniu niejawnym w Izbie Ogólnoadministracyjnej skargi kasacyjnej W. S. od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 19 października 2020 r. sygn. akt II SA/Wa 2837/19 w sprawie ze skargi W. S. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] października 2019 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę kasacyjną.

Zaskarżonym wyrokiem z 19 października 2020 r. Wojewódzki Sąd Administracyjny w Warszawie (sygn. akt II SA/Wa 2837/19) oddalił skargę W. S. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z [...] października 2019 r. w przedmiocie przetwarzania danych osobowych.

W uzasadnieniu powyższego wyroku Sąd pierwszej instancji wskazał, że W. S. złożył do Urzędu Ochrony Danych Osobowych skargę na przetwarzanie jego danych osobowych przez Fundację [...] z siedzibą w W. (zwaną dalej Fundacją) dla potrzeb związanych z funkcjonowaniem serwisu internetowego [...], dostępnego pod adresem [...]. Skarżący wyraził również sprzeciw wobec przetwarzania jego danych osobowych i wniósł o zobowiązanie administratora danych – Fundację [...] do usunięcia danych osobowych mocodawcy i zaprzestanie ich przetwarzania, w szczególności usunięcie i zaprzestanie przetwarzania w całości jakichkolwiek jego danych osobowych.

W toku przeprowadzonego postępowania organ ustalił, że Fundacja przetwarza dane osobowe skarżącego jako aktualnego członka organów i wspólnika, a także byłego członka organów i wspólnika w fundacji, spółce z o. o. w likwidacji, spółce komandytowej, spółce z o. o. sp. k., spółce jawnej i szeregu spółek z o. o. Przedmiotowe dane osobowe zostały przez Fundację pozyskane "(...) ze źródła powszechnie dostępnego tj. ze strony internetowej Ministra Sprawiedliwości prowadzonej dla Krajowego Rejestru Sądowego (...) oraz Monitora Sądowego i Gospodarczego (...)" – pismo Fundacji z 21 sierpnia 2019 r. Zakres pozyskanych przez Fundację danych osobowych skarżącego objął ujawnione w KRS informacje na jego temat: imię, nazwisko, numer ewidencyjny PESEL, informacje o funkcjach pełnionych w organach podmiotów wpisanych do KRS oraz informacje na temat liczby i wartości udziałów w tych podmiotach. Organ ustalił, że Fundacja do chwili obecnej przetwarza dane osobowe skarżącego w zakresie: imienia, nazwiska, numeru PESEL, informacji o funkcjach w podmiotach ujawnionych w KRS (w tym o okresie ich pełnienia), informacji o liczbie i wartości udziałów w tych podmiotach oraz okresie ich posiadania, a także informacji wynikających z numeru PESEL, tj. daty urodzenia, wieku i płci z funkcjonowaniem serwisu [...] i udostępniane w tym serwisie (za wyjątkiem numeru PESEL, który nie podlega udostępnianiu). Organ podał, że "(...) Fundacja udostępnia dane osobowe w serwisie [...] w celu wynikającym z przedmiotu działalności Fundacji, jakim jest wspomaganie rozwoju demokracji poprzez upowszechnianie praw obywatela w zakresie dostępu do informacji publicznej oraz ponownego wykorzystywania informacji sektora publicznego (...)". Jednocześnie Fundacja poinformowała, że dane te - w zakresie, w jakim stanowią komunikat na temat aktualnej (kontynuowanej do chwili obecnej) aktywności skarżącego w podmiotach podlegających wpisowi do KRS (o funkcjach pełnionych w ich organach, czy o posiadanych w nich udziałach) są przetwarzane, w tym udostępniane użytkownikom serwisu, w jego nieodpłatnej wersji. Z kolei dane osobowe skarżącego w zakresie, w jakim stanowią komunikat na temat przeszłej, historycznej (nie kontynuowanej już obecnie) aktywności skarżącego w podmiotach podlegających wpisowi do KRS (o funkcjach pełnionych w ich organach, czy o posiadanych w nich udziałach) są przetwarzane, w tym udostępniane użytkownikom serwisu, w jego odpłatnej wersji. Organ podał, że "(...) Fundacja udostępnia obecnie dane Skarżącego w wersji odpłatnej serwisu [...] w zakresie imienia, nazwiska, informacji o funkcji w podmiocie ujawnionym w KRS (w tym okres trwania), liczby i wartości posiadanych udziałów (gdy występuje), w zakresie płci (poprzez ikonę graficzną) oraz w zakresie tożsamym z zakresem danych udostępnianych w odpisie z KRS - poprzez umożliwienie za pośrednictwem serwisu pobrania i dostępu do odpisów z KRS podmiotów, w których strukturach figuruje Skarżący (...) Zakres danych Skarżącego udostępnianych przez Fundację w wersji odpłatnej serwisu [...] poza tym, że obejmuje dane Skarżącego w wersji nieodpłatnej, zawiera obecnie dane historyczne, tj. dane Skarżącego ujawnione w poprzednich wpisach do KRS dotyczących podmiotów, w którego strukturach został ujawniony Skarżący (...)". Fundacja zaakcentowała, że kwestionowane dane osobowe skarżącego zarówno w obszarze ich zakresu, jak i treści odpowiadają danym ujawnionym w KRS. Fundacja przetwarza numer PESEL skarżącego w celach identyfikacyjnych – numer ten podlega automatycznej analizie "(...) w celu uzyskania informacji o roku urodzenia osób, których dane są przetwarzane, co pozwala Fundacji na wprowadzenie funkcjonalności wyświetlania roku urodzenia osób o tych samych imionach i nazwiskach (dla ich rozróżnienia od innych, tak samo nazywających się osób występujących w Krajowym Rejestrze Sądowym (...)" – pismo Fundacji z 18 czerwca 2019 r. skierowane do pełnomocnika skarżącego.

Organ przywołał wyjaśnienia Fundacji, że jest organizacją działającą na rzecz rozwoju demokracji, otwartej i przejrzystej władzy publicznej oraz zaangażowania obywatelskiego. Korzystając z uprawnień gwarantowanych w ustawie o dostępie do informacji publicznej oraz ustawie o ponownym wykorzystywaniu informacji sektora publicznego, Fundacja gromadzi zbiory danych powszechnie dostępnych i udostępnia je obywatelom w ramach serwisów internetowych prowadzonych przez Fundację. Fundacja w zakresie swojej statutowej działalności wspiera rozwój demokracji poprzez upowszechnienie praw obywatela w zakresie dostępu do informacji publicznej i tworzy rozwiązania informatyczne, które pozwalają obywatelom w łatwiejszy sposób dotrzeć do danych udostępnionych przez państwo. Realizowanie jej prawnie uzasadnionego interesu jako administratora danych osobowych znajduje swoje gospodarcze i prawne uzasadnienie w kontekście statutowej działalności organizacji. Dane osobowe prezentowane w serwisie zostały zaś pozyskane z Krajowego Rejestru Sądowego.

Pismem z 18 czerwca 2019 r. Fundacja odmówiła uwzględnienia żądania strony "usunięcia danych osobowych z serwisu [...] ".

Decyzją z [...] października 2019 r. Prezes Urzędu Ochrony Danych Osobowych na podstawie art. 104 § 1 K.p.a., art. 7 ust. 1 w zw. z art. 60 ustawy z 10 maja 2018 r. o ochronie danych osobowych (tekst jedn. Dz. U. z 2019 r., poz. 1781) oraz art. 6 ust. 1 lit. f i art. 57 ust. 1 lit. a i lit. f rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz.U.UE.L.2016.119.1 i Dz.U.UE.L.2018.127.2 – zwanego dalej RODO) odmówił uwzględnienia wniosku.

Odwołując się do ustawy z 20 sierpnia 1997 r. o Krajowym Rejestrze Sądowym (tekst jedn. Dz. U. z 2019 r., poz. 1500), organ stwierdził, że Fundacja przetwarza tożsamy zakres informacji na temat skarżącego z zakresem jego danych ujawnionych w KRS co oznacza, że przetwarza ona również (przy czym nie publikuje) nr PESEL skarżącego. Natomiast każdy podmiot przetwarzający numer PESEL określonej osoby przetwarza również informację o dacie jej urodzenia (wieku) oraz płci (art. 15 ust. 2 ustawy z 24 września 2010 r. o ewidencji ludności, tekst jedn. Dz. U. z 2019 r., poz. 1397).

Zdaniem organu cele i zadania Fundacji mają bez wątpienia prawnie usprawiedliwiony charakter zaś fakt, że prowadzi swoją działalność w sposób częściowo odpłatny świadczy, że realizuje równolegle cel zarobkowy i informacyjny, czyniąc to przy wykorzystaniu dopuszczonych prawem instrumentów. Realizacja celów Fundacji jest uwarunkowana przetwarzaniem danych osobowych ujawnionych w publicznie dostępnych rejestrach, w tym danych osobowych skarżącego, jako osoby pełniącej określone funkcje w podmiotach podlegających wpisowi do Rejestru. Brak zarazem w ocenie organu podstaw do przyjęcia, że realizacja prawnie uzasadnionego interesu administratora (Fundacji), polegającego na prowadzeniu działalności związanej z upowszechnianiem treści zawartych w KRS/Monitorze, musiała ustąpić wobec nadrzędnych w stosunku do niej interesów lub podstawowych praw i wolności skarżącego, wymagających ochrony danych osobowych. Przetwarzane przez Fundację dane osobowe skarżącego są danymi powszechnie dostępnymi, zaś zakres danych osobowych skarżącego publikowanych w serwisie internetowym jest adekwatny (nie nadmierny) w kontekście realizowanego celu informacyjnego (dane te są w istocie publikowane w zakresie węższym w porównaniu do zakresu danych ujawnionych w KRS – nie obejmują bowiem numeru PESEL), natomiast ich treść jest zbieżna z treścią danych ujawnionych w KRS. Organ nie znalazł także podstaw, aby zakwestionować legalność pozyskania i dalszego przetwarzania przez Fundację w zbiorze utworzonym dla potrzeb funkcjonowania serwisu informacji o numerze PESEL w celu umożliwienia jednoznacznego odróżnienia skarżącego od innych osób o tym samym imieniu i nazwisku.

W odniesieniu do publikowania w ww. serwisie informacji o płci skarżącego "(...) poprzez ikonę graficzną (...)" organ wskazał, że informacje tego rodzaju wynikają już z jego imienia.

Odnosząc się do kwestii publikowania przez Fundację tych danych osobowych skarżącego, które dotyczą przeszłego jego uczestnictwa w podmiotach podlegających wpisowi do KRS, organ wskazał, że uczestnictwo to pozostaje faktem, a informacje na temat aktywności skarżącego w szeroko rozumianym obrocie gospodarczym mogą nadal pozostawać w sferze publicznego zainteresowania. Z tego samego względu informacje te są nadal publikowane w KRS. Uwzględniając publiczny charakter ww. informacji (które - wobec nieusuwalności danych ujawnionych w KRS - nadal są publicznie dostępne w tym Rejestrze), ich merytorycznej poprawności oraz waloru informacyjnego fakt, iż mają one obecnie charakter historyczny, pozostaje bez wpływu na możliwość ich dalszego przetwarzania (w tym publikowania) przez Fundację. Znajduje to oparcie w art. 6 ust. 1 lit. f RODO oraz ustawie z 25 lutego 2016 r. o ponownym wykorzystywaniu informacji sektora publicznego (Dz. U. 2019 r., poz. 1446).

Nie zasługiwało na uwzględnienie w ocenie organu żądanie strony dotyczące zaprzestania przetwarzania kwestionowanych danych. Dane osobowe skarżącego w dalszym ciągu są niezbędne w kontekście celów realizowanych przez Fundację (brak przesłanki z art. 17 ust. 1 lit. a RODO), podstawą ich przetwarzania jest prawnie usprawiedliwiony interes realizowany przez administratora (art. 6 ust. 1 lit. f RODO) a nie zgoda skarżącego (brak przesłanki z art. 17 ust. 1 lit. b). Proces przetwarzania danych osobowych skarżącego jest realizowany w sposób legalny (brak przesłanki z art. 17 ust. 1 lit. d RODO) i nie istnieje przepis, który obligowałby Fundację do usunięcia kwestionowanych danych osobowych. Nadto skarżący nie wniósł sprzeciwu wobec przetwarzania jego danych osobowych, skoro twierdzi, że Fundacja nie ma w ogóle podstaw prawnych do przetwarzania jego danych – wobec niespełnienia którejkolwiek z przesłanek z art. 6 ust. 1 RODO.

Skargę na powyższą decyzję złożył W. S., zarzucając jej naruszenie art. 6 ust. 1 lit. f i art. 17 pkt 1 lit. d RODO, art. 5 ust. 1 ustawy o ponownym wykorzystywaniu informacji sektora publicznego w związku z art. 4 pkt 2 RODO.

W odpowiedzi na skargę organ wniósł o jej oddalenie.

Wojewódzki Sąd Administracyjny w Warszawie oddalił powyższą skargę na podstawie art. 151 w zw. z art. 119 pkt 2 i art. 120 ustawy z 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (tekst jedn. Dz. U. z 2019 r., poz. 2325). Zdaniem Sądu organ dokonał w sprawie pełnych ustaleń faktycznych niezbędnych do jej rozstrzygnięcie. Rozpatrzył należycie wszystkie okoliczności mające znaczenie dla wyniku sprawy, dokonał prawidłowej wykładni przepisów RODO i właściwie je zastosował, zasadnie odmawiając uwzględnienia wniosku strony. Uzasadnienie zaskarżonej decyzji spełnia wszystkie wymogi art. 107 § 3 K.p.a. Natomiast zarzuty skargi są nieuzasadnione.

W ocenie Sądu pierwszej instancji organ trafnie stwierdził, że przetwarzanie przez Fundację publicznie dostępnych danych osobowych skarżącego, jako osoby pełniącej określone funkcje w podmiotach podlegających wpisowi do KRS, w tym ich publikacja, znajduje oparcie w art. 6 ust. 1 lit. f RODO. Za prawidłowe uznał Sąd stwierdzenie organu o legalności przetwarzania na tej podstawie danych osobowych skarżącego przez Fundację, a także o adekwatności przetwarzanych danych oparte zarówno na celach działalności Fundacji (w tym w szczególności na wspieraniu demokracji poprzez upowszechnianie praw obywatela w zakresie m. in. ponownego wykorzystywania informacji sektora publicznego, które pozwalają obywatelom w łatwiejszy sposób dotrzeć do danych udostępnionych przez Państwo), jak i źródłach pozyskania danych osobowych przetwarzanych następnie przez Fundację (Krajowy Rejestr Sądowy, Monitor Sądowy i Gospodarczy). Wobec przetwarzania danych osobowych skarżącego ujawnionych w publicznie dostępnych rejestrach, zgoda na ich przetwarzanie nie była wymagana. Nie zmienia tego podnoszony przez skarżącego fakt udostępniania przez Fundację danych w formie odpłatnej. Kwestia oferowania przez Fundację komercyjnego opracowania danych nie ma wpływu na istnienie przesłanki przetwarzania tych danych przez Fundację na podstawie art. 6 ust. 1 lit.f RODO.

Jak niezasadny uznał Sąd pierwszej instancji zarzut naruszenia art. 5 ust. 1 ustawy o ponownym wykorzystywaniu informacji sektora publicznego w zw. z art. 4 pkt 2 (a także art. 4 punkt 1) RODO, gdyż ustawa o Krajowym Rejestrze Sądowym nie wprowadza ograniczenia ponownego wykorzystania tych informacji.

W ocenie Sądu pierwszej instancji brak było podstaw do nakazania Fundacji usunięcia danych skarżącego. Organ również trafnie stwierdził, że skarżący nie wniósł sprzeciwu wobec przetwarzania danych, o którym mowa w art. 21 ust. 1 RODO, albowiem nie powoływał się na przyczyny związane ze swoją szczególną sytuacją, a kwestionował zgodność z prawem ich przetwarzania na podstawie art. 6 ust. 1 lit. f RODO.

Skargę kasacyjną od powyższego wyroku wniósł W. S., zaskarżając go w całości i zarzucając mu:

- naruszenie prawa materialnego:

1. art. 6 ust. 1 lit. f rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (RODO) poprzez jego niewłaściwe zastosowanie w niniejszej sprawie i stwierdzenie, że przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora Fundację [...] w sytuacji, gdy serwis [...] należy uznać za serwis de facto komercyjny, nastawiony na zysk i osiąganie korzyści majątkowych, co w opinii pełnomocnika skarżącego stoi w sprzeczności z deklarowanymi celami administratora jakoby miał on działać dla wsparcia pewności i jawności obrotu gospodarczego w sytuacji, gdy oferuje on komercyjne opracowanie danych, które i tak są powszechnie dostępne, co w pewien sposób (tworząc wrażenie, że tylko w tym serwisie są dostępne te dane i należy je kupić) wręcz ogranicza jawność obrotu gospodarczego, a więc jest sprzeczne z celami rzekomo podawanymi przez administratora jako uzasadnienie przetwarzania danych,

2. art. 17 pkt 1 lit. d RODO poprzez niewłaściwe zastosowanie i uznanie przez Sąd, że brak podstaw do zobowiązania administratora danych osobowych do niezwłocznego usunięcia danych skarżącego, w sytuacji gdy w niniejszej sprawie dane skarżącego przetwarzane są niezgodnie z prawem, tj. niezgodnie z art. 6 ust. 1 lit. f RODO,

3. art. 5 ust. 1 ustawy o ponownym wykorzystywaniu informacji sektora publicznego w związku z art. 4 ust. 1 RODO poprzez błędną jego wykładnię oraz niewłaściwe zastosowanie w niniejszej sprawie i stwierdzenie, że administrator danych osobowych w niniejszej sprawie legalnie przetwarza dane osobowe w sytuacji, gdy przepis ten daje podstawę jedynie do wykorzystywania danych osobowych nie zaś do przetwarzania, albowiem w świetle art. 4 pkt 1 RODO wykorzystywanie danych osobowych stanowi w świetle przepisów pojęcie węższe niż przetwarzanie, a zatem nawet jeżeli by uznać, że administrator danych osobowych miał prawo do wykorzystywania danych osobowych, to jedynie w zakresie wykorzystywania danych, nie zaś w zakresie ich przetwarzania,

4. art. 5 ust. 5 ustawy o fundacjach w zw. z art. 5 ust. 1 lit. b RODO poprzez jego niezastosowanie w niniejszej sprawie, podczas gdy działalność gospodarcza prowadzona przez Fundację [...] w postaci odpłatnego dostępu do danych KRS w ramach serwisu [...] nie stanowi działalności w rozmiarach służących realizacji jej celów statutowych, albowiem z analizy statutu oraz działalności Fundacji [...] wynika, że przetwarzanie danych KRS w ramach de facto komercyjnego serwisu [...] nie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora, stanowiąc działalność nastawioną wyłącznie na zysk, ograniczając tym samym jawność obrotu gospodarczego, co stanowi zachowanie sprzeczne z celami statutowymi podawanymi przez administratora jako uzasadnienie przetwarzania danych,

- naruszenie przepisów postępowania, jeżeli uchybienie to mogło mieć istotny wpływ na wynik sprawy, tj.:

5. art. 145 § 1 pkt 1 lit a i c P.p.s.a. poprzez jego niezastosowanie i w konsekwencji oddalenie skargi w sytuacji, z której z okoliczności sprawy wynikało, iż doszło do naruszenia przez Prezesa Urzędu Ochrony Danych Osobowych prawa materialnego, które miało istotny wpływ na wynik sprawy.

Mając powyższe na uwadze, skarżący wniósł o uchylenie zaskarżonego wyroku w całości, względnie o przekazanie sprawy do ponownego rozpoznania Wojewódzkiemu Sądowi Administracyjnemu w Warszawie oraz o zasądzenie na jego rzecz zwrotu kosztów postępowania, w tym kosztów zastępstwa procesowego według norm przepisanych. Skarżący złożył oświadczenie o zrzeczeniu się rozprawy oraz wyraził zgodę na rozpoznanie sprawy na posiedzeniu niejawnym.

Odpowiedź na skargę kasacyjną złożył Prezes Urzędu Ochrony Danych Osobowych, wnosząc o jej oddalenie.

Naczelny Sąd Administracyjny zważył, co następuje:

Skarga kasacyjna nie zasługuje na uwzględnienie.

Oceniając wniesioną skargę kasacyjną w granicach określonych treścią art. 183 § 1 P.p.s.a. i nie dostrzegając przy tym przypadków nieważności postępowania wymienionych w § 2 tego artykułu, podkreślić na wstępie należało kluczowy dla jej oceny fakt, że dane osobowe przetwarzane przez Fundację w okolicznościach niniejszej sprawy pochodzą z jawnego rejestru publicznego, jakim jest Krajowy Rejestr Sądowy oraz z ogólnokrajowego dziennika urzędowego przeznaczony do zamieszczania obwieszczeń lub ogłoszeń, jakim jest Monitor Sądowy i Gospodarczy. Tym samym dane osobowe skarżącego pochodzące tak z aktualnych jak i poprzednich wpisów zostały przez Fundację pozyskane legalnie (art. 8 ust. 1 i 2, art. 10 ust. 1, art. 12 ust. 1 i art. 13 ustawy z 20 sierpnia 1997 r. o Krajowy Rejestrze Sądowym, tekst jedn. Dz. U. z 2019 r., poz. 1500 ze zm.), co w okolicznościach niniejszej sprawy nie budziło wątpliwości. Zdaniem strony skarżącej nielegalne było jednak ich przetwarzanie, które naruszało art. 6 ust. 1 lit. f RODO. Zgodnie z tym przepisem: "[p]rzetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy - i w takim zakresie, w jakim - spełniony jest co najmniej jeden z poniższych warunków: f) przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem". Jak stwierdza się w doktrynie prawnie uzasadniony interes to interes wynikający (choćby pośrednio) z przepisów prawa, w sytuacji, gdy przepisy te nie regulują dopuszczalności przetwarzania danych, a jedynie wskazują jakiś interes (np. uprawnienie), do realizacji którego przetwarzanie danych jest potrzebne. Ujęta w komentowanym przepisie podstawa dopuszczalności przetwarzania nie ma jednak charakteru bezwarunkowego, gdyż jest skonstruowana jako mechanizm ważenia interesów. Na jednej szali nakazuje umieścić prawnie uzasadniony interes administratora danych (lub strony trzeciej), a na drugiej – wymagające ochrony podstawowe prawa i wolności osoby, której dane dotyczą (P. Fajgielski. Komentarz do rozporządzenia nr 2016/679 w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych (...) - komentarz do art. 6 – pkt 28, 31, 33, publ. LEX/el). Wskazując na cel działalności Fundacji, Sąd pierwszej instancji a wcześniej organ, prawidłowo uznały, że realizuje ona prawnie uzasadniony interes, o którym mowa w art. 6 ust. 1 pkt f RODO, jakim jest wspomaganie rozwoju demokracji poprzez upowszechnianie praw obywatela w zakresie dostępu do informacji publicznej oraz ponownego wykorzystywania informacji sektora publicznego. Interes ten wynika z przepisów prawa, realizując prawo do informacji publicznej (art. 61 ust. 1 Konstytucji RP, art. 1 ust. 1 ustawy z 6 września 2001 r. o dostępie do informacji publicznej, tekst jedn. Dz. U. 2020 r., poz. 2176), prawo do ponownego wykorzystania informacji sektora publicznego (ustawa z 25 lutego 2016 r. o ponownym wykorzystywaniu informacji sektora publicznego) jak również prowadząc do wzmocnienia szeroko rozumianego bezpieczeństwa obrotu gospodarczego. Jak słusznie zauważył organ w odpowiedzi na skargę kasacyjną, dane osobowe skarżącego, które dotyczą jego przeszłego uczestnictwa w podmiotach podlegających wpisowi do KRS jako informacje o aktywności skarżącego w obrocie gospodarczym mogą nadal pozostawać w sferze publicznego zainteresowania. Nie ma przy tym znaczenia, czy interes ten jest realizowany bezpłatnie czy też odpłatnie, bowiem ww. rozporządzenie (RODO) nie wprowadziło ani takiego wymogu, ani rozróżnienia. Pobieranie odpłatności za udzielenie informacji, które mają charakter historyczny (nie stanowią aktualnych wpisów), pomimo że istotnie zapewnia Fundacji możliwość uzyskania dochodu, nie wyklucza tego, że dalej realizuje ona prawnie uzasadniony interes, który świadczy tak o legalności jak i adekwatności przetwarzania danych osobowych skarżącego pozyskanych z jawnych źródeł. Z tego też względu nie zasługiwały na uwzględnienie zarzuty naruszenia art. 6 ust. 1 lit. f RODO (zarzut 1) i art. 5 ust. 5 ustawy o fundacjach w zw. z art. 5 ust. 1 lit. b RODO (zarzut 4). Odnośnie tego ostatniego zauważyć należy, że fundacja może prowadzić działalność gospodarczą w rozmiarach służących realizacji jej celów. W okolicznościach niniejszej sprawy nie zostało natomiast wykazane, że jej celem pozostaje jedynie uzyskanie dochodu, a nie realizacja zadań statutowych opisanych powyżej.

Nie zasługiwał także na uwzględnienie zarzut naruszenia art. 5 ust. 1 ustawy z 26 lutego 2016 r. o ponownym wykorzystywaniu informacji sektora publicznego w związku z art. 4 ust. 1 RODO (zarzut 3). Jak trafnie uznał Sąd pierwszej instancji, analizując tę kwestię, przepis art. 6 ww. ustawy z 26 lutego 2016 r. wskazuje przypadki, gdy prawo do ponownego wykorzystania podlega ograniczeniu, w tym m.in. wówczas, gdy dostęp ten jest ograniczony na podstawie innych ustaw. Ustawa o Krajowym Rejestrze Sądowym takiego ograniczenia nie zawiera. Wprost przeciwnie, w art. 12 ust. 1 ustawy z 20 sierpnia 1997 r. o Krajowym Rejestrze Sądowym wprowadza zasadę, że "[d]ane zawarte w Rejestrze nie mogą być z niego usunięte, chyba że ustawa stanowi inaczej", zaś każdy zainteresowany dostępem do danych zawartych w KRS może zrealizować swoje uprawnienie za pośrednictwem Centralnej Informacji, która udostępnia bezpłatnie, w ogólnodostępnych sieciach teleinformatycznych, aktualne i pełne informacje o podmiotach wpisanych do Rejestru oraz listę dokumentów zawartych w katalogu (art. 8 ust. 2 w związku z art. 4 ust. 4a ustawy o Krajowym Rejestrze Sądowym).

Odnosząc się do zarzutu naruszenia art. 17 ust. 1 lit. d RODO, stwierdzić natomiast należy, że przepis ten określa uprawnienia osoby, której dane dotyczą, a która ma prawo żądania od administratora niezwłocznego usunięcia dotyczących jej danych osobowych, w przypadku, gdy dane te były przetwarzane niezgodnie z prawem. Wobec jednak powyższych ustaleń co do zgodności z prawem przetwarzania przez Fundację danych osobowych skarżącego, brak było podstaw do nakazania Fundacji przez organ usunięcia danych skarżącego.

W konsekwencji powyższego na uwzględnienie nie zasługiwał również zarzut naruszenia art. 145 § 1 pkt 1 lit. a i c P.p.s.a. (zarzut 5). Przeprowadzona przez Sąd pierwszej instancji kontrola nie uchybiła żadnym z wymienionych w skardze kasacyjnej przepisów prawa materialnego. Skarżący nie sformułował natomiast w niej zarzutów naruszenia przepisów postępowania, które mogłyby zostać ocenione przez pryzmat art. 145 1 pkt 1 lit. c P.p.s.a.

Mając powyższe na uwadze, Naczelny Sąd Administracyjny na podstawie art. 184 P.p.s.a. oddalił skargę kasacyjną, rozpoznaną na posiedzeniu niejawnym na podstawie art. 182 § 2 P.p.s.a. z uwagi na stosowny wniosek skarżącego o zrzeczeniu się rozprawy i brak sprzeciwu w tym zakresie organu.