Centralna Baza Orzeczeń Sądów Administracyjnych

Naczelny Sąd Administracyjny w składzie: Przewodniczący: sędzia NSA Przemysław Szustakiewicz Sędziowie: sędzia NSA Mirosław Wincenciak (sprawozdawca) sędzia del. WSA Hanna Knysiak-Sudyka Protokolant: starszy asystent sędziego Magdalena Zając po rozpoznaniu w dniu 7 maja 2026 r. na rozprawie w Izbie Ogólnoadministracyjnej skargi kasacyjnej Prezesa Urzędu Ochrony Danych Osobowych od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 26 kwietnia 2024 r. sygn. akt II SA/Wa 1645/23 w sprawie ze skargi A. Sp. z o.o. z siedzibą w [...] na punkt 1 decyzji Prezesa Urzędu Ochrony Danych Osobowych z dnia 21 czerwca 2023 r. nr DS.523.395.2020.FT.AG. w przedmiocie przetwarzania danych osobowych 1. uchyla zaskarżony wyrok i oddala skargę; 2. zasądza od A. Sp. z o.o. z siedzibą w [...] na rzecz Prezesa Urzędu Ochrony Danych Osobowych kwotę 600 (słownie sześćset) złotych tytułem zwrotu kosztów postępowania kasacyjnego.

Wojewódzki Sąd Administracyjny w Warszawie wyrokiem z dnia 26 kwietnia 2024 r. sygn. akt II SA/Wa 1645/23, po rozpoznaniu sprawy ze skargi A. Sp. z o.o. z siedzibą w [...] na punkt 1 decyzji Prezesa Urzędu Ochrony Danych Osobowych z dnia 21 czerwca 2023 r. nr DS.523.395.2020.FT.AG. w przedmiocie przetwarzania danych osobowych, uchylił decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia 21 czerwca 2023 r. nr DS.523.395.2020.FT.AG. w zaskarżonej części (pkt 1); zasądził od Prezesa Urzędu Ochrony Danych Osobowych na rzecz A. Sp. z o.o. z siedzibą w [...] kwotę 697 zł tytułem zwrotu kosztów postępowania (pkt 2).

U podstaw rozstrzygnięcia Sądu pierwszej instancji legły następujące ustalenia oraz ocena prawna.

Prezes Urzędu Ochrony Danych Osobowych (dalej w skrócie: "Prezes UODO" lub "organ") decyzją z dnia 21 czerwca 2023 r. nr DS.523.395.2020.FT.AG. nakazał w punkcie 1 A. Sp. z o.o. z siedzibą w [...] (dalej w skrócie: "Spółka A." lub "skarżąca") usunięcie danych osobowych W.D. (dalej w skrócie: "uczestniczka") oraz w punkcie 2 umorzył postępowanie w pozostałym zakresie.

Powyższą decyzję wydano w związku ze skargą uczestniczki na nieprawidłowości w procesie przetwarzania jej danych osobowych przez B. S.A. z siedzibą w [...] (dalej w skrócie: "Spółka B."), polegające na:

- udostępnieniu bez podstawy prawnej danych osobowych uczestniczki na rzecz skarżącej;

- niespełnieniu przez skarżącą obowiązków informacyjnych wynikających z art. 13 i 14 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z 04.05.2016, str. 1, Dz. Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 04.03.2021, str. 35, dalej w skrócie: "RODO");

- nieuwzględnieniu przez skarżącą żądania wynikającego z art. 17 RODO.

Prezes UODO w podstawie prawnej w/w decyzji powołał m.in. art. 104 § 1 i art. 105 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (t.j.: Dz. U. z 2023 r., poz. 775 ze zm., dalej w skrócie: "k.p.a.") w związku z art. 7 ust. 1 i 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (t.j.: Dz. U. z 2019 r., poz. 1781, dalej w skrócie: "u.o.d.o.") oraz art. 6 ust. 1 i art. 58 ust. 2 lit. c RODO.

W uzasadnieniu decyzji organ wskazał, że w toku postępowania ustalono, iż uczestniczka otrzymała w dniu 9 stycznia 2020 r. od sieci należącej do skarżącej wiadomość SMS informującą o wniosku – którego nie złożyła – o przeniesienie numeru telefonu. Uczestniczka poinformowała o tym Spółkę B., a jej pracownik w rozmowie telefonicznej wskazał, że wniosek złożono w dniu 9 stycznia 2020 r., ale zawierał on dane innej osoby niż uczestniczka, co mogło być wynikiem omyłki. Uczestniczka w dniu 9 stycznia 2020 r. otrzymała też od Spółki A. wiadomość, że Spółka B. przekazała dane podane przez uczestniczkę we wniosku – inne niż te, które znajdują się w systemie skarżącej, dlatego też wniosek o przeniesienie numeru anulowano. Wskazano ponadto, żeby odwiedzić punktu obsługi klienta i złożyć nowy wniosek oraz sprawdzić, czy najważniejsze dane (typ usługi: abonament, karta, lub identyfikator: PESEL, NIP, REGON) są takie same, jak w sieci Spółki B. Uczestniczka w dniu 19 stycznia 2020 r. otrzymała od skarżącej wiadomość SMS, że oczekuje na złożenie nowego wniosku do dnia 8 lutego 2020 r., a po tym terminie na numerze tymczasowym będą opłaty i warunki oferty wybranej przy zakupie. W tym samym dniu uczestniczka skierowała do Spółki A. wniosek o wyjaśnienie sytuacji, a w dniu 21 stycznia 2020 r. doradca telefoniczny skarżącej poinformował uczestniczkę o pomyślnym załatwieniu jej sprawy. Skarżąca w odpowiedzi z dnia 20 marca 2020 r. na pismo uczestniczki z dnia 6 marca 2020 r. o potwierdzenie załatwienia sprawy na piśmie, poinformowała ją, że numer telefonu uczestniczki nie zostanie przeniesiony, a skarżąca nie będzie do niej kierować korespondencji w związku z przeniesieniem numeru. Wnioskiem z dnia 6 maja 2020 r. uczestniczka zwróciła się do Spółki A. o realizację uprawnień wynikających z art. 15 ust. 1 RODO, usunięcie jej danych na podstawie art. 17 ust. 1 lit. d RODO, poinformowanie o każdym odbiorcy, któremu ujawniono jej dane oraz poinformowaniu o sposobie załatwienia jej sprawy. Wskazała, że w dniu 29 kwietnia 2020 r. konsultant Spółki A. podczas rozmowy telefonicznej podał, że jej numer telefonu jest w bazie klientów skarżącej. Spółka A. w odpowiedzi z dnia 22 maja 2020 r. poinformowała, że jest administratorem danych osobowych uczestniczki, które przetwarzano w związku ze zgłoszeniami. Numeru telefonu uczestniczki nie przeniesiono do Spółki A. i nie posiada ona wobec uczestniczki roszczeń majątkowych i niemajątkowych. Kontakt w sprawie oferty był błędem konsultantki. Uczestniczka w dniach 3 i 9 czerwca 2020 r. wycofała wszelkie zgody udzielone skarżącej na przetwarzanie jej danych osobowych i ponowiła żądanie o usunięcie jej danych osobowych. Skarżąca w odpowiedzi z dnia 19 czerwca 2020 r. podtrzymała wyjaśnienia z poprzednich pism. Wskazała, że w piśmie z dnia 21 maja 2020 r. udzieliła odpowiedzi uczestniczce na żądanie zaprzestania przetwarzania i usunięcia jej danych osobowych, informując, że przesłane pisma i zawarte w nich dane przechowuje w celach dowodowych i archiwizacyjnych do 7 lat. Jest to jednoznaczne z brakiem możliwości usunięcia danych osobowych uczestniczki przed upływem w/w terminu. Skoro w dniu 8 stycznia 2020 r. zarejestrowano wniosek o przeniesienie wskazanego numeru telefonu ze Spółki B. do innej sieci, a do przeniesienia nie doszło z powodu odmowy wydania numeru ze Spółki B. (dane osobowe zarejestrowane w Spółce B. nie zgadzały się z danymi na wniosku), to niespełnienie wobec uczestniczki obowiązku informacyjnego było uzasadnione, bowiem Spółka A. nie przetwarzała danych osobowych uczestniczki w tym czasie. Skarżąca pozyskała dane osobowe uczestniczki (imię i nazwisko, adres, numer telefonu) na podstawie art. 6 ust. 1 lit. c RODO, w związku z pismami uczestniczki z dnia: 19 stycznia, 6 marca i 6 maja 2020 r. Skarżąca nie mogła odnaleźć pism uczestniczki w systemie informatycznym podczas udzielania odpowiedzi na poprzednie pisma organu, gdyż w systemie zostały zarejestrowane na dane "anonimowe". Skarżąca aktualnie przetwarza dane osobowe uczestniczki na podstawie: art. 6 ust. 1 lit. c i f RODO, art. 58 ust. 1 lit. a i e RODO oraz w związku z ustawą z dnia 23 kwietnia 1964 r. Kodeks cywilny (t.j.: Dz. U. z 2020 r., poz. 1740 ze zm., dalej w skrócie: "k.c.") w celach: archiwizacji danych i dokumentów, udzielenia odpowiedzi na pisma, wnioski i reklamacje, ustalania obrony oraz dochodzenia roszczeń. Skarżąca nie wystąpiła i nie zamierza występować wobec uczestniczki z roszczeniami, ani też uczestniczka nie wystąpiła wobec skarżącej z roszczeniem i reklamacją. Z kolei Spółka B. wskazała, że przetwarza dane osobowe uczestniczki, pozyskane od skarżącej, w związku z zawarciem i realizacją umowy o świadczenie usług telekomunikacyjnych dla wskazanego numeru, którą realizowała od dnia 21 września 2000 r. do dnia 23 stycznia 2012 r. oraz w związku z rejestracją w dniu 16 stycznia 2017 r. mobilnej usługi telekomunikacyjnej na kartę dla wskazanego numeru, która jest nadal świadczona (imię, nazwisko, adres, numer kontaktowy, PESEL, numer i seria dowodu osobistego, numer rachunku bankowego). Spółka B. nie udostępniła danych osobowych uczestniczki Spółce A., która weszła w posiadanie danych podczas wypełniania w punkcie obsługi klienta skarżącej wniosku o przeniesienie numeru telefonu. Spółka B. otrzymała wniosek od skarżącej w związku z brakiem zgodności danych znajdujących się na wniosku z danymi właściciela numeru telefonu. Spółka B. przekazuje dane abonentów tylko podmiotom uprawnionym.

Prezes UODO, po zapoznaniu się z całością materiału dowodowego, stwierdził, że choć uczestniczka zakwestionowała w skardze proces przetwarzania jej danych osobowych, polegający na ich udostępnieniu przez Spółkę B. na rzecz Spółki A., to materiał dowodowy nie potwierdził, aby doszło do ich udostępnienia. Zarówno Spółka B., jak i skarżąca, w wyjaśnieniach wskazały, że do tego nie doszło. Inny wnioskodawca, aniżeli uczestniczka, złożył do skarżącej wniosek o przeniesienie numeru telefonu, w którym wskazano numer telefonu tożsamy z numerem uczestniczki, ale z uwagi na brak zgodności pozostałych danych osobowych z danymi osobowymi właściciela numeru – Spółka B. odmówiła realizacji tego wniosku. Wymienione podmioty przetwarzały numer telefonu jako dane osobowe wnioskodawcy, będącego inną osobą niż uczestniczka. Podmioty te wskazały ponadto, że przetwarzają dane osobowe uczestniczki pozyskane bezpośrednio od niej, a uczestniczka nie przedstawiła, poza zarzutami, innych dowodów potwierdzających domniemane udostępnienie. Prezes UODO dysponuje zatem jedynie sprzecznymi oświadczeniami stron. Zdaniem organu, należało stwierdzić, że proces przetwarzania danych osobowych przez Spółkę B., kwestionowany przez uczestniczkę, nie istniał, bowiem Spółka B. nie udostępniła Spółce A. danych osobowych uczestniczki. Istniała więc przesłanka bezprzedmiotowości postępowania i zasadne było jego umorzenie na podstawie art. 105 § 1 k.p.a.

Odnosząc się do niespełnienia przez Spółkę B. obowiązku informacyjnego z art. 13 ust. 3 i art. 14 RODO, Prezes UODO wskazał, po odwołaniu się do treści tych przepisów, że Spółka B. pozyskała dane osobowe bezpośrednio od samej uczestniczki w związku z zawarciem umowy z dnia 21 września 2000 r. oraz w związku z rejestracją w dniu 16 stycznia 2017 r. mobilnej usługi telekomunikacyjnej na kartę, gdy nie obowiązywały w Polsce przepisy RODO. Uczestniczka w dniu 10 maja 2018 r., po wejściu w życie RODO, otrzymała od Spółki B. informację stanowiącą realizację art. 13 RODO (wiadomość tekstowa).

Odnosząc się z kolei do żądania nakazania usunięcia danych osobowych uczestniczki przetwarzanych przez skarżącą, organ stwierdził, że nakazał Spółce A. usunięcie tych danych, z uwagi na brak przesłanek legalizujących przetwarzanie danych osobowych (imię, nazwisko, adres, numer telefonu). Odwołał się do motywu 47 RODO i wskazał, że podstawą prawną przetwarzania danych osobowych mogą być prawnie uzasadnione interesy administratora, w tym administratora, któremu mogą zostać ujawnione dane osobowe, lub strony trzeciej, o ile w świetle rozsądnych oczekiwań osób, których dane dotyczą, opartych na ich powiązaniach z administratorem, nadrzędne nie są interesy lub podstawowe prawa i wolności osoby, której dane dotyczą. Zdaniem Prezesa UODO, z materiału dowodowego nie wynika, aby skarżąca wystąpiła z roszczeniem wobec uczestniczki, a uczestniczka wobec skarżącej, co uzasadniałoby zachowanie i przechowywanie danych osobowych uczestniczki. Brak jest zatem spełnienia wskazywanej przez skarżącą przesłanki niezbędności do celów wynikających z prawnie usprawiedliwionych interesów realizowanych przez administratora co do przetwarzania danych osobowych uczestniczki. Przesłanka z art. 6 ust 1 lit. f RODO dotyczy sytuacji już istniejącej, w której celem wynikającym z prawnie uzasadnionych interesów realizowanych przez administratora jest konieczność udowodnienia, potrzeba dochodzenia lub obrony przed roszczeniem istniejącym, nie zaś sytuacji, gdy dane są przetwarzane w celu zabezpieczenia się przed ewentualnym roszczeniem. Skoro w postępowaniu nie wykazano, aby uczestniczka skierowała wobec skarżącej jakiekolwiek roszczenie, to Spółka A. przetwarza dane osobowe uczestniczki w w/w celu wyłącznie "na zapas". Prezes UODO, odnosząc się do wskazanego przez skarżącą jako podstawa prawna przetwarzania danych osobowych uczestniczki obowiązku wynikającego z art. 58 ust. 1 lit. a i e RODO, podniósł, że zakończenie postępowania prowadzonego przed organem spowoduje wygaśniecie tego celu przetwarzania.

W skardze do Wojewódzkiego Sądu Administracyjnego w Warszawie na powyższą decyzję skarżąca zarzuciła naruszenie wskazanych przepisów k.p.a. oraz przepisów RODO oraz wniosła o uchylenie zaskarżonej decyzji w części, tj. w zakresie jej punktu 1 (nakazu usunięcia danych osobowych uczestniczki). W uzasadnieniu skargi wskazała, że prawodawca unijny, wprowadzając kategorię "uzasadnionego interesu administratora", ustanowił szerszą przesłankę przetwarzania danych osobowych, nie przesądzając arbitralnie, co stanowi interes administratora. Stwarza to możliwość określania interesu przez zainteresowanych z uwzględnieniem okoliczności każdego konkretnego przypadku. Samo postępowanie jest najlepszym przykładem zasadności działania skarżącej w zakresie polityki zarządzania danymi osobowymi. Interes Spółki A. jest w pełni zgodny z przedmiotem działalności administratora, który jako dostawca usług telekomunikacyjnych musi chronić dane swoich użytkowników w sposób dużo bardziej profesjonalny od innych administratorów, gdyż dodatkowe obowiązki wynikają z konieczności dochowania tajemnicy telekomunikacyjnej. Uczestniczka nie była klientem skarżącej, ale zasady przetwarzania danych w zakresie ich ochrony dla potencjalnego klienta nie odbiegają standardami od przetwarzania ich dla faktycznego klienta.

Prezes UODO w odpowiedzi na skargę wniósł o jej oddalenie, podtrzymując dotychczasowe stanowisko w sprawie.

Wojewódzki Sąd Administracyjny w Warszawie uznał, że skarga zasługuje na uwzględnienie. W uzasadnieniu powołanego na wstępie wyroku stwierdził, że organ w punkcie 1 sentencji zaskarżonej decyzji nie wskazał zakresu usunięcia przez skarżącą danych uczestniczki, co powoduje nieodwracalne skutki w odniesieniu do uzasadnionych interesów skarżącej, o których mowa m.in. w motywie 47 RODO, jak również w art. 6 ust. 1 lit. f RODO. Według Sądu pierwszej instancji, prawnie uzasadniony interes trzeba rozumieć nie jako interes wynikający z przepisów prawa, lecz jako interes, który jest zgodny z prawem. Owa zgodność z prawem stanowi ograniczenie pojęcia interesu administratora lub strony trzeciej jako potencjalnej podstawy do przetwarzania danych osobowych. W ocenie WSA w Warszawie, nie sposób uznać – jak sugeruje Prezes UODO – że przesłanka z art. 6 ust. 1 lit. f RODO dotyczy sytuacji już istniejącej, w której celem wynikającym z prawnie uzasadnionych interesów realizowanych przez administratora jest konieczność udowodnienia, potrzeba dochodzenia lub obrony przed roszczeniem istniejącym, nie zaś sytuacji, gdy dane są przetwarzane w celu zabezpieczenia się przed ewentualnym roszczeniem. Według Sądu pierwszej instancji, takie stanowisko organu nadzorczego prowadziłoby do tego, że nie byłyby uznawane za uzasadnione interesy skarżącej, które w rzeczywistości istnieją przez cały okres przedawnienia roszczeń. W konsekwencji przyjęcie za prawidłowe takiego stanowiska organu nadzorczego powodowałoby, że skarżąca zostałaby zmuszona do usunięcia wszystkich danych osobowych uczestniczki, które wciąż mogą okazać się niezbędne do realizacji prawa do obrony skarżącej przed sądem.

Skargę kasacyjną od powyższego wyroku do Naczelnego Sądu Administracyjnego wywiódł Prezes UODO. Zaskarżając wyrok w całości, na podstawie art. 174 pkt 1 i 2 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (t.j.: Dz. U. z 2023 r., poz. 1634 ze zm., dalej w skrócie: "p.p.s.a.") zarzucił:

1) naruszenie przepisów postępowania mające istotny wpływ na wynik sprawy, tj. art. 145 § 1 pkt 1 lit. c p.p.s.a. w zw. z art. 6, art. 7 i art. 8 § 1 k.p.a. oraz art. 7 Konstytucji RP, poprzez niezasadne uznanie, że wydając zaskarżoną decyzję Prezes UODO naruszył zasadę praworządności, zasadę prawdy obiektywnej i zasadę zaufania obywateli do organów praworządnego państwa oraz stosowanego przez nie prawa, co w konsekwencji doprowadziło do uchylenia decyzji w zaskarżonej części;

2) naruszenie przepisów postępowania mające istotny wpływ na wynik sprawy, tj. art. 145 § 1 pkt 1 lit. c p.p.s.a. w zw. z art. 58 ust. 2 lit. c RODO, poprzez niezasadne uznanie, że sentencja zaskarżonej decyzji Prezesa UODO powinna zawierać wskazanie zakresu danych uczestniczki podlegających usunięciu, w przeciwnym razie powoduje nieodwracalne skutki w odniesieniu do uzasadnionych interesów Spółki A., o których mowa m.in. w motywie 47 RODO, jak również w art. 6 ust. 1 lit. f RODO;

3) naruszenie przepisu prawa materialnego, tj. art. 6 ust. 1 lit. f RODO, poprzez jego błędną wykładnię i uznanie, że przetwarzanie danych osobowych uczestniczki przez Spółkę A. jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez Spółkę A. w postaci dochodzenia przyszłych, ewentualnych, roszczeń w terminie przedawnienia roszczeń uregulowanym w przepisach k.c., podczas gdy przesłanka z art. 6 ust. 1 lit. f RODO dotyczy sytuacji istniejącej, w której celem wynikającym z prawnie uzasadnionych interesów realizowanych przez administratora jest konieczność udowodnienia, potrzeba dochodzenia lub obrony przez roszczeniem istniejącym i brak jest uzasadnienia dla przyjęcia, iż terminy dotyczące przedawnienia roszczeń wynikających ze stosunków zobowiązaniowych określają jednocześnie ramy czasowe, w których dane osobowe mogą być przetwarzane przez Spółkę A. na wypadek zaistnienia takich roszczeń w przyszłości, bowiem przedawnienie roszczenia nie wywołuje skutków na gruncie ochrony danych osobowych, gdyż nie wpływa na fakt istnienia roszczenia, a powoduje jedynie zmianę w sferze zarzutów procesowych w postaci możliwości podniesienia okoliczności przedawnienia w sporze sądowym.

Wskazując na powyższe zarzuty, skarżący kasacyjnie organ wniósł o uchylenie zaskarżonego wyroku w całości i oddalenie skargi na decyzję Prezesa UODO z dnia 21 czerwca 2023 r., ewentualnie o uchylenie zaskarżonego wyroku w całości i przekazanie sprawy Wojewódzkiemu Sądowi Administracyjnemu w Warszawie do ponownego rozpoznania. Ponadto wniósł o zasądzenie zwrotu kosztów postępowania, w tym kosztów zastępstwa procesowego, według norm przepisanych oraz oświadczył, że zrzeka się prawa do rozpoznania skargi kasacyjnej na rozprawie.

W uzasadnieniu skargi kasacyjnej przedstawił argumentację mającą wykazać zasadność podniesionych w niej zarzutów.

W odpowiedzi na skargę kasacyjną Spółka A. wniosła o jej oddalenie oraz o rozpoznanie sprawy na rozprawie.

Naczelny Sąd Administracyjny zważył, co następuje:

W świetle art. 174 p.p.s.a. skargę kasacyjną można oprzeć na następujących podstawach:

1) naruszeniu prawa materialnego przez błędną jego wykładnię lub niewłaściwe zastosowanie,

2) naruszeniu przepisów postępowania, jeżeli uchybienie to mogło mieć istotny wpływ na wynik sprawy.

Naczelny Sąd Administracyjny jest związany podstawami skargi kasacyjnej, ponieważ w świetle art. 183 § 1 p.p.s.a. rozpoznaje sprawę w granicach skargi kasacyjnej, biorąc z urzędu pod rozwagę jedynie nieważność postępowania. Jeżeli zatem nie wystąpiły przesłanki nieważności postępowania wymienione w art. 183 § 2 p.p.s.a., a w rozpoznawanej sprawie przesłanek tych brak, to Sąd związany jest granicami skargi kasacyjnej. Oznacza to, że Sąd nie jest uprawniony do samodzielnego dokonywania konkretyzacji zarzutów skargi kasacyjnej, a upoważniony jest do oceny zaskarżonego orzeczenia wyłącznie w granicach przedstawionych we wniesionej skardze kasacyjnej.

Skarga kasacyjna zawiera usprawiedliwione podstawy.

Zgodnie z motywem 40 RODO, aby przetwarzanie danych było zgodne z prawem, powinno się odbywać na podstawie zgody osoby, której dane dotyczą, lub na innej uzasadnionej podstawie przewidzianej prawem: albo w niniejszym rozporządzeniu, albo w innym akcie prawnym Unii lub w prawie państwa członkowskiego, o których mowa w niniejszym rozporządzeniu, w tym musi się ono odbywać z poszanowaniem obowiązku prawnego, któremu podlega administrator, lub z poszanowaniem umowy, której stroną jest osoba, której dane dotyczą, lub w celu podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy. Powyższe znalazło wyraz w art. 6 ust. 1 RODO, określającym przesłanki legalności przetwarzania danych osobowych. Zgodnie z tym przepisem, przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy – i w takim zakresie, w jakim – spełniony jest co najmniej jeden z poniższych warunków:

a) osoba, której dane dotyczą wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów;

b) przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy;

c) przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze;

d) przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej;

e) przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi;

f) przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem.

Akapit pierwszy lit. f nie ma zastosowania do przetwarzania, którego dokonują organy publiczne w ramach realizacji swoich zadań.

Odnosząc się do zarzutu naruszenia art. 6 ust. 1 lit. f RODO, w nawiązaniu do twierdzeń Spółki A. o przetwarzaniu danych na wypadek ewentualnych przyszłych roszczeń, wskazać należy, że art. 6 ust. 1 lit. f RODO stanowi o uprawnieniu do przetwarzania, gdy jest ono niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem. Za usprawiedliwiony cel w rozumieniu w/w przepisu nie może zostać uznane przetwarzanie danych osobowych na wypadek ewentualnego dochodzenia lub obrony roszczeń. Z akt sprawy nie wynika, aby uczestniczka, która zażądała usunięcia jej danych, miała jakiekolwiek roszczenie na drodze cywilnoprawnej do Spółki A. Jednoznacznie zażądała natomiast usunięcia swoich danych osobowych, powołując się na ich przetwarzanie bez podstawy prawnej. Z tego względu wadliwe jest rozumowanie Sądu pierwszej instancji, że to art. 6 ust. 1 lit. f RODO mógłby stanowić podstawę do "dalszego" przetwarzania jej danych, na wypadek ewentualnego dochodzenia roszczeń. W toku postępowania administracyjnego nie wykazano, jakich ewentualnie roszczeń mógłby dochodzić podmiot, który zażądał usunięcia swoich danych.

Ważąc zatem interesy uczestniczki, która zażądała respektowania jej praw do ochrony danych osobowych, wynikających z RODO oraz interesy Spółki A., w sytuacji, gdy do przetwarzania danych osobowych doszło na skutek pomyłki, należało uznać, że brak było podstaw do przyjęcia, iż spełniona została przesłanka z art. 6 ust. 1 lit. f RODO.

Sąd w składzie rozpoznającym niniejszą sprawę podziela pogląd Naczelnego Sądu Administracyjnego, zgodnie z którym niedopuszczalne jest przetwarzanie danych osobowych niejako "na zapas", z założeniem, że mogą być one ewentualnie przydatne w przyszłości, na przykład z odwołaniem się do przepisów dotyczących przedawnienia roszczeń (por. wyroki NSA z dnia: 27 marca 2018 r., sygn. akt I OSK 1459/16; 1 października 2025 r., sygn. akt III OSK 872/22). Wywodzenie zatem także z kwestii przedawnienia roszczeń samodzielnej podstawy do przetwarzania danych – w sytuacji, gdy mowa o danych osoby, z którą nie zawarto żadnej umowy – nie jest uprawnione i nie stanowi przesłanki do ich dalszego przetwarzania.

Celem RODO, tak jak poprzednio Dyrektywy 95/46/WE, jest ochrona prywatności, która powinna być rozpatrywana także w świetle art. 8 Konwencji o Ochronie Praw Człowieka i Podstawowych Wolności. W tej sprawie nie istnieje tego rodzaju powiązanie pomiędzy osobą, której dane dotyczą a Spółką A., które pozwalałoby "wyprowadzić" istnienie prawnie uzasadnionego interesu po stronie Spółki A. w "dalszym" przetwarzaniu danych tej osoby.

Pamiętać trzeba również, że dane osobowe uczestniczki były przetwarzane w związku z omyłkowo wysłanym SMS. Powyższe nie daje podstaw do dalszego przetwarzania danych "na przyszłość". W demokratycznym państwie prawnym nie jest dopuszczalne dowolne rozszerzanie uprawnień jakiegokolwiek podmiotu, ani organu władzy, ani spółki prawa handlowego, ani też żadnego innego podmiotu będącego administratorem w zakresie przetwarzania danych osobowych (art. 47 i art. 51 Konstytucji RP). Dane osobowe mogą być przetwarzane, co do zasady, w celach, w jakich je zebrano. Cele te powinny być adekwatne i ograniczone do tego, co niezbędne do ich osiągnięcia (art. 5 ust. 1 lit. c RODO).

W konsekwencji skarga kasacyjna zasadnie podnosi również zarzut naruszenia wskazanych przepisów postępowania. Prawidłowe ustalenie stanu faktycznego sprawy stanowi istotę postępowania wyjaśniającego. Niewyjaśnienie lub niedostateczne wyjaśnienie stanu faktycznego sprawy może prowadzić do wydania wadliwej decyzji. Zakres i przedmiot postępowania wyjaśniającego determinują przepisy prawa materialnego, bowiem to normy prawa materialnego przesądzają o przedmiocie sprawy i okolicznościach prawnie istotnych. W postępowaniu wyjaśniającym należy również uwzględnić specyfikę danej sprawy – inność i odrębność okoliczności, które stanowią o stanie faktycznym. To zatem przedmiot sprawy determinuje zakres postępowania wyjaśniającego. W rozpoznawanej sprawie wszystkie istotne okoliczności z punktu widzenia przedmiotu postępowania zostały przez organ wyjaśnione. Ustalono bowiem, że uczestniczka nie ma żadnych roszczeń względem Spółki A., a sprawa przetwarzania jej danych wynikła zapewne z omyłkowo wysłanego SMS. Powyższe ustalenia faktyczne były wystarczające do nakazania Spółce A. usunięcia danych osobowych uczestniczki.

Z tych względów zarzuty skargi kasacyjne należało uznać za uzasadnione.

W tym stanie rzeczy Naczelny Sąd Administracyjny, na podstawie art. 188 w zw. z art. 151 p.p.s.a., orzekł jak w pkt 1 sentencji wyroku.

O kosztach postępowania kasacyjnego orzeczono w pkt 2 sentencji wyroku na podstawie art. 203 pkt 2 p.p.s.a.