Wyrok NSA, sygn. akt III OSK 4763/21
Naczelny Sąd Administracyjny
Data orzeczenia: 2022-01-13 00:00:00+01:00 (orzeczenie prawomocne)
Symbol z opisem: 647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne: Ochrona danych osobowych
Skarżony organ: Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku: Uchylono zaskarżony wyrok i decyzję II instancji
Powołane przepisy: article: art. 23 ust. 1 pkt 5
journal: Dz.U. 2016 poz 922
law: Ustawa z dnia 29 sierpnia 1997 r. o ochronie danych osobowych - tekst jedn.

SENTENCJA

Naczelny Sąd Administracyjny w składzie: Przewodniczący: Sędzia NSA Małgorzata Masternak - Kubiak Sędziowie Sędzia NSA Zbigniew Ślusarczyk (spr.) Sędzia del. WSA Mariusz Kotulski po rozpoznaniu w dniu 13 stycznia 2022 r. na posiedzeniu niejawnym w Izbie Ogólnoadministracyjnej skargi kasacyjnej T. K. od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 6 listopada 2020 r. sygn. akt II SA/Wa 2104/19 w sprawie ze skargi T. K. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] czerwca 2019 r. nr [...] w przedmiocie odmowy uwzględnienia wniosku 1. uchyla zaskarżony wyrok i zaskarżoną decyzję, 2. zasądza od Prezesa Urzędu Ochrony Danych Osobowych na rzecz T. K. kwotę 200 (dwieście) zł tytułem zwrotu kosztów postępowania przed Sądem pierwszej instancji.


UZASADNIENIE

Wojewódzki Sąd Administracyjny w Warszawie wyrokiem z 6 listopada 2020 r. sygn. akt II SA/Wa 2104/19, na podstawie art. 151 ustawy z 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2019 r., poz. 2325 ze zm.) zwanej dalej "p.p.s.a." oddalił skargę T. K. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z [...] czerwca 2019 r. nr [...] w przedmiocie odmowy uwzględnienia wniosku.

Wyrok został wydany w następującym stanie faktycznym i prawnym sprawy.

Pismem z [...] grudnia 2018 r. T. K. wniósł do Generalnego Inspektora Ochrony Danych Osobowych skargę na przetwarzanie danych osobowych przez [...] Fundusz Inwestycyjny Zamknięty Niestandaryzowany Fundusz Sekurytyzacyjny w W., który na podstawie umowy cesji wierzytelności nabył zobowiązanie od V. S.A. i na tej podstawie przetwarza dane osobowe wnioskodawcy niezgodnie z ustawą o ochronie danych osobowych. Wniósł o nakazanie ww. firmie przywrócenia stanu zgodnego z prawem w procesie przetwarzania danych osobowych przez usunięcie danych osobowych przetwarzanych bez podstawy prawnej.

Decyzją z [...] czerwca 2019 r., nr [...], Prezes Urzędu Ochrony Danych Osobowych (następca prawny Generalnego Inspektora Ochrony Danych Osobowych), zwany dalej "Prezesem UODO", odmówił uwzględnienia wniosku T. K. na nieprawidłowości w procesie przetwarzania jego danych osobowych przez [...] Sp. z o.o. z siedzibą w W. Decyzja została wydana na podstawie art. 104 § 1 ustawy Kodeks postępowania administracyjnego (Dz. U. z 2018 r. poz. 2096), zwanej dalej "k.p.a.", art. 18 ustawy z 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r. poz. 922 oraz z 2018 r. poz. 138) w zw. z art. 160 ust. 1 i 2 ustawy z 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2018 r. poz. 1000 ze zm.) oraz art. 6 ust. 1 lit. f i art. 28 rozporządzenia Parlamentu Europejskiego i Rady UE 2016/679 z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1 oraz Dz. Urz. L 127 z 23.05.2018, str. 2).

W uzasadnieniu decyzji organ wskazał, że wierzytelność dotycząca skarżącego została nabyta przez Fundusz na podstawie umowy sprzedaży wierzytelności. Zakres pozyskanych danych osobowych skarżącego obejmował: imię, nazwisko, datę urodzenia, płeć, numer ewidencyjny PESEL, adresy korespondencyjne, numer telefonu, adres poczty elektronicznej, informacje dotyczące podstawy roszczenia w rozbiciu na składniki finansowe, tj. należność główną, odsetki oraz numer rachunku bankowego dedykowanego do spłaty zadłużenia, datę zawarcia umowy i datę rozwiązania umowy. Oceniając zgodność działania Funduszu z obowiązującą w dacie wpływu skargi ustawą z 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r. poz. 922 ze zm.), zdaniem organu przetwarzanie danych skarżącego znajdowało uzasadnienie w przepisach tej ustawy, bowiem Fundusz działa na podstawie umowy. Skarżący jako dłużnik musi liczyć się z tym, że popadając w zwłokę w spełnieniu zobowiązania jego prawo do prywatności może zostać ograniczone w związku z dochodzeniem wierzytelności. W przeciwnym przypadku mogłoby dojść do sytuacji, w której dłużnik, powołując się na prawo do ochrony danych osobowych, skutecznie uchyliłby się od spoczywającego na nim obowiązku spełnienia świadczenia i w konsekwencji ograniczyłby prawo wierzyciela do uzyskania należnej mu zapłaty.

Organ administracji zaznaczył, że nie badał kwestii istnienia wierzytelności, ani jej wysokości, albowiem sprawy te mają charakter cywilny i powinny być rozpatrywane w postępowaniach prowadzonych przez sądy powszechne. Podobnie poza kognicją Prezesa UODO pozostaje kwestia przedawnienia roszczenia. Natomiast w odniesieniu do zarzutu natarczywego wykonywania telefonów do skarżącego przez [...] Sp. z o.o., organ wyjaśnił, iż kwestia ta może być rozpatrywana w kontekście praktyk stosowanych przez firmy windykacyjne. W myśl ustawy z 16 lutego 2007 r. o ochronie konkurencji i konsumentów (Dz. U z 2019 r. poz. 369), sprawy te należą do kompetencji Prezesa Urzędu Ochrony Konkurencji i Konsumentów.

Pismem z 23 lipca 2019 r. T. K. wniósł do Wojewódzkiego Sądu Administracyjnego w Warszawie skargę na powyższą decyzję, domagając się jej uchylenia. Zarzucił błąd w ustaleniach faktycznych polegający na przyjęciu, iż jest on dłużnikiem, podczas gdy był jedynie klientem firmy V., oraz naruszenie art. 5 ust. 1 pkt. c) RODO przez brak nakazu usunięcia numeru telefonu ze zbioru danych spółki.

W odpowiedzi na skargę Prezes Urzędu Ochrony Danych Osobowych wniósł o jej oddalenie.

Wskazanym na wstępie wyrokiem Sąd pierwszej instancji oddalił skargę. W uzasadnieniu wyroku Sąd podzielił stanowisko organu, iż przepisami uprawniającymi do przetwarzania danych osobowych skarżącego jest aktualnie art. 6 ust. 1 lit. f) rozporządzenia 2016/679, który wypełnia podstawy prawne przetwarzania danych osobowych, a także art. 28 ust. 3 wspomnianego rozporządzenia, dopuszczającego przetwarzanie danych na podstawie umowy lub innego instrumentu prawnego, które podlegają prawu Unii Europejskiej lub prawu państwa członkowskiego i wiążą podmiot przetwarzający i administratora, określają przedmiot i czas trwania przetwarzania, charakter i cel przetwarzania, rodzaj danych osobowych oraz kategorie osób, których dane dotyczą, obowiązki i prawa administratora. Sąd wskazał, że sprzedaż wierzytelności jest dopuszczalna na podstawie art. 509 § 1 Kodeksu cywilnego. Cesja wierzytelności wiąże się z uprawnieniem do przekazania nabywcy danych osobowych dłużnika. Na podstawie umowy o sprzedaż wierzytelności fundusz stał się administratorem przekazanych danych, przetwarzając je w celu windykacji nabytych wierzytelności. Przesłanką uprawniającą do przetwarzania danych osobowych skarżącego przez Fundusz do 25 maja 2018 r. był art. 23 ust. 1 pkt. 5 ustawy z 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r. poz. 922 ze zm.). Zdaniem Sądu pierwszej instancji trafnie organ nie badał kwestii istnienia wierzytelności oraz jej wysokości, pozostawiając tę ocenę sądom powszechnym. Odnosząc się do kwestii minimalizacji danych Sąd zwrócił uwagę, iż pierwotnie skarżący żądał usunięcia jego danych osobowych przez spółkę przetwarzanych bez podstawy prawnej, a nie ich minimalizacji. Żądanie minimalizacji danych przez nakazanie firmie windykacyjnej usunięcia numeru telefonu skarżącego zostało sformułowane dopiero na etapie skargi sądowoadministracyjnej, wobec czego organ trafnie ograniczył się do żądania zawartego we wniosku skarżącego z 4 stycznia 2018 r.

Skargę kasacyjną złożył T. K., zaskarżając powyższy wyrok w całości. Zarzucił naruszenie:

1. art. 145 § 1 pkt 1 p.p.s.a. w zw. z art. 134 § 1 p.p.s.a. w zw. z art. 5 ust. 1 pkt. c rozporządzenia 2016/679 RODO przez uznanie, że nierozpoznanie naruszenia zasady minimalizacji było prawidłowe, podczas gdy zgodnie z zasadą a maiore ad minus skoro żądanie było szersze, to w przypadku braku podstaw do uwzględnienia całości żądania nie wyklucza to uwzględnienia żądania w węższym zakresie,

2. art. 145 § 1 pkt 1 p.p.s.a. w zw. z art. 134 § 1 p.p.s.a. w zw. z art. 1 k.p.c. przez uznanie za prawidłowe działanie urzędu, polegające na niebadaniu kwestii istnienia lub nieistnienia wierzytelności, podczas gdy urząd był do tego zobowiązany, a co najmniej powinien był zawiesić postępowanie do czasu rozstrzygnięcia przedmiotowej kwestii przez sąd cywilny.

W oparciu o tak sformułowane zarzuty T. K. wniósł o uchylenie zaskarżonego wyroku i przekazanie sprawy do ponownego rozpoznania.

W uzasadnieniu skargi kasacyjnej wskazał, że wniosek skierowany do organu był szeroki, ponieważ dotyczył usunięcia wszystkich danych osobowych skarżącego. Organ, działając w zakresie wniosku, mógł uwzględnić wniosek w węższym zakresie. Zatem nieprawidłowo Sąd pierwszej instancji potraktował zarzut naruszenia zasady minimalizmu jako pozostający poza zakresem procedowania przez organ. Ponadto Sąd nieprawidłowo uznał, że organ nie powinien badać kwestii istnienia wierzytelności. Zdaniem skarżącego kasacyjnie okoliczność ta pozostaje istotna pod kątem wyniku sprawy, zatem organ winien był zawiesić postępowanie i zobowiązać wnioskodawcę do uruchomienia postępowania przed sądem cywilnym.

W odpowiedzi na skargę kasacyjną Prezes Urzędu Ochrony Danych Osobowych wniósł o oddalenie skargi kasacyjnej. W ocenie organu argumentacja zaprezentowana w zaskarżonym wyroku jest prawidłowa.

Naczelny Sąd Administracyjny zważył, co następuje:

Stosownie do art. 183 § 1 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (t.j. Dz. U. z 2019 r. poz. 2325 ze zm.), zwanej dalej p.p.s.a., Naczelny Sąd Administracyjny rozpoznaje sprawę w granicach skargi kasacyjnej, biorąc pod rozwagę z urzędu jedynie nieważność postępowania. W rozpoznawanej sprawie nie zachodzi żadna z okoliczności skutkujących nieważnością postępowania, o jakich mowa w art. 183 § 2 p.p.s.a. i nie zachodzi żadna z przesłanek, o których mowa w art. 189 p.p.s.a., które Naczelny Sąd Administracyjny rozważa z urzędu dokonując kontroli zaskarżonego skargą kasacyjną wyroku. W tych okolicznościach w sprawie badaniu podlegały wyłącznie zarzuty podniesione w skardze kasacyjnej na uzasadnienie przytoczonych podstaw kasacyjnych.

Sąd pierwszej instancji zaakceptował stanowisko organu, który uznał, że przepisami uprawniającymi [...] Fundusz Inwestycyjny Zamknięty Niestandaryzowany Fundusz Sekurytyzacyjny i Spółkę [...] do przetwarzania danych osobowych skarżącego aktualnie są art. 6 ust. 1 lit. f) rozporządzenia 2016/679 (RODO), który wypełnia podstawy prawne przetwarzania danych osobowych, a także art. 28 ust. 3 tego rozporządzenia, w którym przetwarzanie przez podmiot przetwarzający odbywa się na podstawie umowy lub innego instrumentu prawnego, które podlegają prawu Unii lub prawu państwa członkowskiego i wiążą podmiot przetwarzający i administratora, określają przedmiot i czas trwania przetwarzania, charakter i cel przetwarzania, rodzaj danych osobowych oraz kategorie osób, których dane dotyczą, obowiązki i prawa administratora. Na podstawie umowy cesji wierzytelności Fundusz stał się administratorem przekazanych danych dłużnika (skarżącego) i przetwarza je w celu windykacji nabytych należności. Przesłanką uprawniającą do przetwarzania danych osobowych skarżącego przez Fundusz do 25 maja 2018 r. był art. 23 ust. 1 pkt. 5 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r. poz. 922 ze zm.), a obecnie jest art. 6 ust. 1 lit. f) rozporządzenia 2016/679. Przekazanie danych osobowych skarżącego Spółce [...] egzekwującego wierzytelność na rzecz Funduszu odbywało się na podstawie art. 31 ust. 1 i 2 ustawy z 29 sierpnia 1997 r. o ochronie danych osobowych, a obecnie odbywa się na podstawie art. 28 rozporządzenia 2016/679.

Skarżący zarzuca, że wierzytelność nie istnieje, bowiem przedawniła się, w związku z tym organ powinien nakazać usunięcie wszystkich jego danych osobowych przez Spółkę.

Słuszne jest jednak stanowisko organu zaakceptowane przez Sąd, że skoro Spółka wykazała istnienie wierzytelności, to organ nie jest uprawniony do rozstrzygnięcia sporu między nią a skarżącym, co do wygaśnięcia tej wierzytelności z powodu przedawnienia. Naczelny Sąd Administracyjny podziela stanowisko, że spór co do istnienia lub nieistnienia wierzytelności jest sprawą cywilną w rozumieniu art. 1 Kodeksu postępowania cywilnego, do którego rozstrzygnięcia jest właściwy sąd powszechny, między innymi w trybie rozstrzygnięcia powództwa o ustalenie na podstawie art. 189 k.p.c. W kontrolowanym postępowaniu administracyjnym ocenie podlegała wyłącznie legalność przetwarzania danych osobowych skarżącego przez Spółkę. W skardze kasacyjnej trudno doszukać się jakiejkolwiek argumentacji przemawiającej za nieprawidłowością stanowiska organu i Sądu pierwszej instancji w tym zakresie. Skarżący podnosi jedynie, że skoro organ nie miał możliwości zbadania tej kwestii, to powinien zawiesić postępowanie i zobowiązać wnioskodawcę do uruchomienia procedury przed sądem cywilnym. Jednak zarzut ten nie został oparty na jakimkolwiek przepisie prawa, z którego wynikałby taki obowiązek organu. Związanie Sądu kasacyjnego podstawami skargi kasacyjnej (opartymi na wskazaniu naruszenia konkretnych przepisów prawa) nie pozwala na domyślanie się przez ten Sąd w związku z naruszeniem jakiego przepisu skarżący wiąże swój zarzut. To czyni twierdzenia skarżącego w kwestii obowiązku zawieszenia postępowania przez organ, bezskutecznymi.

Ponadto stwierdzić należy, że Sąd pierwszej instancji zajął stanowisko w kwestii niemożliwości badania przez organ istnienia lub nieistnienia wierzytelności. Niezgodne z oczekiwaniami skarżącego stanowisko Sądu w tym zakresie nie stanowi naruszenia art. 134 § 1 p.p.s.a.

W konsekwencji za niezasadny należy uznać zarzut naruszenia "art. 145 § 1 pkt 1 p.p.s.a." w zw. z art. 134 § 1 p.p.s.a. w zw. z art. 1 k.p.c.

Za trafny należy natomiast uznać zarzut naruszenia art. 145 § 1 pkt 1 lit. a) p.p.s.a. w zw. z art. 5 ust. 1 lit. c) RODO. Skarżący już w skardze zarzucił naruszenie zasady minimalizmu wynikającej z art. 5 ust. 1 lit. c) RODO przez nienakazanie usunięcia numeru telefonu ze zbioru danych, ponieważ przetwarzane dane osobowe w tym zakresie nie są niezbędne do celu w jakim są przetwarzane. Odnosząc się do tej kwestii Sąd pierwszej instancji wskazał, iż pierwotnie skarżący żądał usunięcia jego danych osobowych przez Spółkę przetwarzanych bez podstawy prawnej, a nie ich minimalizacji. Żądanie minimalizacji danych przez nakazanie firmie windykacyjnej usunięcia numeru telefonu skarżącego zostało sformułowane dopiero na etapie skargi sądowoadministracyjnej. W tym stanie rzeczy, Sąd pierwszej instancji uznał, że organ trafnie odniósł się do żądania zawartego we wniosku skarżącego z 4 stycznia 2018 r., odmawiając uwzględnienia tego wniosku. Zdaniem Naczelnego Sądu Administracyjnego stanowisko Sądu pierwszej instancji w tym zakresie nie jest trafne.

Stosownie do treści art. 5 ust. 1 lit. c) RODO dane osobowe muszą być: adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane ("minimalizacja danych"). Organ administracji po rozpoznaniu skargi T. K. na nieprawidłowości w przetwarzaniu jego danych osobowych przez [...] Sp. z o.o. odmówił uwzględnienia wniosku. Organ ustalił, że dane osobowe T. K. w postaci imienia, nazwiska, daty urodzenia, płci, numeru ewidencyjnego PESEL, adresu korespondencyjnego, numeru telefonu, adresu poczty elektronicznej, informacji dotyczących podstawy roszczenia w rozbiciu na składniki finansowe, tj. należność główną, odsetki oraz numer rachunku bankowego dedykowanego do spłaty zadłużenia, datę zawarcia umowy i datę rozwiązania umowy, przetwarzane są zgodnie z celem jakim jest egzekucja wierzytelności. Skarżący we wniosku zakwestionował podstawę prawną przetwarzania jego danych osobowych przez Spółkę z uwagi na przedawnienie wierzytelności wynikającej z umowy zawartej z firmą V. S.A. Wniósł o przywrócenie stanu zgodnego z prawem poprzez usunięcie jego wszystkich danych osobowych przez [...] Sp. z o.o. Jednak już w toku postępowania administracyjnego skarżący podnosił, że do egzekucji wierzytelności zbędny jest jego numer telefonu, który służy Spółce jako forma bezprawnego nacisku na niego, w celu zapłaty nieistniejącej wierzytelności. Wnioskodawca podnosił wówczas, że przetwarzanie jego danych jest niezgodne z podstawową przesłanką adekwatności i celowości przetwarzana danych osobowych. W takiej sytuacji organ zobowiązany był wziąć pod uwagę wynikającą z art. 5 ust. 1 lit. c) RODO zasadę minimalizacji danych i zbadać czy konkretne przetwarzane przez Spółkę dane osobowe wnioskodawcy są adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane. Skoro wnioskodawca w szczególności wskazywał na nieprawidłowe przetwarzania jego numeru telefonu, to organ niewłaściwie odesłał w tym zakresie wnioskodawcę do postępowania przed Prezesem Urzędu Ochrony Konkurencji i Konsumentów. Skarżący nie żądał nakazania zaprzestania natarczywego wykonywania telefonów do niego, lecz usunięcia jego danych osobowych w tym numeru telefonu. Przy czym nie konwaliduje wskazanego uchybienia organu lakoniczne i gołosłowne twierdzenie zawarte w odpowiedzi na skargę kasacyjną, że pozbawienie możliwości przetwarzania numeru telefonicznego skarżącego, utrudniłoby Spółce realizację celu.

Wbrew twierdzeniom organu, skarżący jasno sprecyzował swoje żądanie, co do przetwarzania jego danych osobowych bez podstawy prawnej i ich usunięcia. Żądanie to spełnia wymóg precyzyjności wynikający z art. 63 § 2 k.p.a. Wskazanie podstawy prawnej nie wynika z treści art. 63 § 2 k.p.a. Wnioskodawca nie był zobowiązany podawać podstawy prawnej swojego żądania a organ nie był podaną podstawą prawną związany. Zdaniem Naczelnego Sądu Administracyjnego oczywiste jest, że skoro żądanie dotyczyło nieprawidłowego przetwarzania wszystkich danych osobowych skarżącego, to jeżeli nieprawidłowość nie dotyczyła wszystkich danych lecz tylko ich części, to organ zobowiązany był uwzględnić wniosek w części a w pozostałej części go oddalić.

W rezultacie nie można też zgodzić się z twierdzeniem Sądu pierwszej instancji, że skoro pierwotnie skarżący żądał usunięcia jego danych osobowych przez Spółkę przetwarzanych bez podstawy prawnej, a nie ich minimalizacji a żądanie minimalizacji danych przez nakazanie firmie windykacyjnej usunięcia numeru telefonu skarżącego zostało sformułowane dopiero na etapie skargi sądowoadministracyjnej, to organ nie był obowiązany stosować zasady minimalizacji danych przy rozstrzygnięciu sprawy.

W konsekwencji należy uznać, że Sąd pierwszej instancji nieprawidłowo ocenił nierozpoznanie sprawy przez organ w zakresie zgodności przetwarzania danych osobowych skarżącego z zasadą minimalizacji danych wynikającą z art. 5 ust. 1 lit. c) RODO, ponieważ błędnie uznał zarzut naruszenia zasady minimalizmu jako żądanie nieobjęte niniejszą sprawą.

Mając na uwadze powyższe wywody, Naczelny Sąd Administracyjny uznał, że skarga kasacyjna zawiera usprawiedliwioną podstawę, dlatego na mocy art. 188 p.p.s.a. uwzględnił skargę kasacyjną i uznając, że istota sprawy jest dostatecznie wyjaśniona, rozpoznał skargę.

Wykazane wyżej nierozpoznanie sprawy przez organ w zakresie zgodności przetwarzana danych osobowych skarżącego z zasadą minimalizacji danych wynikającą z art. 5 ust. 1 lit. c) RODO skutkować musiało uchyleniem zaskarżonej decyzji na podstawie art. 145 § 1 pkt 1 lit. a) p.p.s.a.

Ponownie rozpoznając sprawę organ stosownie do treści art. 153 p.p.s.a. rozpozna sprawę w zakresie zgodności przetwarzana danych osobowych skarżącego przez Spółkę z zasadą minimalizacji danych wynikającą z art. 5 ust. 1 lit. c) RODO, w szczególności co do przetwarzana jego numeru telefonu.

O kosztach postępowania przed Sądem pierwszej instancji orzeczono na podstawie art. 200 p.p.s.a. w zw. z art. 210 § 2 p.p.s.a. i w zw. art. 188 p.p.s.a.