Decyzja

Na podstawie art. 105 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2018 r., poz. 2096 ze zm.), art. 160 ust. 1 i 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781) w związku z art. 12 pkt 2 i art. 22 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r. poz. 922 ze zm.) oraz z art. 57 ust. 1 pkt a) i f) rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z 04.05.2016 r. str. 1 oraz Dz. Urz. UE L 127 z 23.05.2018 r. str. 2),  po przeprowadzeniu postępowania administracyjnego w sprawie skargi Pani H. C., na przetwarzanie jej danych osobowych przez podmiot W., reprezentowany w Rzeczypospolitej Polskiej przez przedstawiciela: T. Sp. z o.o., Prezes Urzędu Ochrony Danych Osobowych

umarza postępowanie.

UZASADNIENIE

Do Prezesa Urzędu Ochrony Danych Osobowych (dawniej: Generalnego Inspektora Ochrony Danych Osobowych) wpłynęła skarga Pani H. C., zwanej dalej Skarżącą, na przetwarzanie jej danych osobowych przez podmiot W. (błędnie oznaczony przez Skarżącą jako G.), zwany dalej także Spółką, reprezentowany w Rzeczypospolitej Polskiej przez przedstawiciela: T. Sp. z o.o.

Skarżąca zarzuciła ww. podmiotowi, iż ten w sposób nielegalny pozyskał jej dane osobowe  i przetwarzał je w celu wyłudzenia środków pieniężnych. Jednocześnie Skarżąca wskazała, iż sama nigdy nie udostępniła swoich danych osobowych tak W., jak i przedstawicielowi reprezentującemu Spółkę na terytorium Rzeczypospolitej Polskiej. W związku z powyższym, Skarżąca wniosła do organu nadzorczego o zbadanie, w jaki sposób ww. podmioty weszły w posiadanie dotyczących jej danych osobowych oraz ustalenie czy zbiór, w którym dane te są przetwarzane, został zgłoszony do rejestracji zgodnie z art. 24 i 25 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych. Nadto, Skarżąca zażądała przywrócenia stanu zgodnego z prawem, poprzez usunięcie wszelkich jej danych osobowych z bazy danych firmy W.

W toku postępowania wyjaśniającego przeprowadzonego w niniejszej sprawie Prezes Urzędu Ochrony Danych Osobowych ustalił następujący stan faktyczny:

1. Zgodnie z wyciągiem z Rejestru Handlowego […], W. jest spółką prawa handlowego […] (numer identyfikacyjny: […]). Przedmiotem działalności Spółki jest m.in. zakup, sprzedaż, dystrybucja i handel towarami, w szczególności zaś bezpośrednia sprzedaż towarów konsumpcyjnych klientom Spółki na podstawie dokonanych subskrypcji.
2. Spółka prowadzi na terenie Rzeczypospolitej Polskiej sprzedaż przy wykorzystaniu środków porozumiewania się na odległość. Jak wynika z „Regulaminu Sprzedaży” (kopia w aktach), Spółka może oferować sprzedaż towarów również za pośrednictwem podmiotów działających w jej imieniu i na jej rzecz. Działania takie na terytorium Rzeczypospolitej Polskiej  podejmuje zwłaszcza za pośrednictwem Biura Obsługi Klienta, prowadzonego przez T. Sp. z o.o. Administratorem danych osobowych klientów – przekazanych Spółce lub Biuru Obsługi Klienta w ramach procesu zawierania umów sprzedaży – jest Spółka. Przedstawicielem Spółki w Rzeczypospolitej Polskiej w zakresie przetwarzania danych osobowych jest T. Sp. z o.o.
3. Jak wynika z pisemnych wyjaśnień Spółki z dnia […]  czerwca 2015 r., dane osobowe Skarżącej w zakresie: numeru telefonu, imienia, nazwiska oraz miejsca zamieszkania (miejscowości) Spółka pozyskała z ogólnodostępnej bazy numerów dostępnej w sieci Internet.
4. Nadto, w dniu […]  marca 2014 r., pracownik T. Sp. z o.o., Pani W. R., skontaktowała się telefonicznie ze Skarżącą pod numerem telefonu […]. Telemarketerka poinformowała Skarżącą o warunkach oferty związanej z możliwością nabycia darmowego zestawu maszynek do golenia […], za wyłącznym pokryciem kosztów jego przesyłki. Skarżąca zgodziła się na zakup i subskrypcję produktów marki […], a następnie – celem realizacji zamówienia – podała telefonicznie przedstawicielowi Spółki swój dokładny adres zamieszkania oraz datę urodzenia. Jednocześnie Skarżąca została pouczona o konieczności zapoznania się z warunkami (regulaminem) sprzedaży dołączonymi do pierwszej przesyłki, w tym informacją o przetwarzaniu jej danych osobowych – co potwierdza kopia nagrania przedmiotowej rozmowy telefonicznej, utrwalona na nośniku CD stanowiącym załącznik do pisemnych wyjaśnień Spółki z dnia […] czerwca 2015 r.
5. W czerwcu 2014 r. na adres zamieszkania Skarżącej wpłynęło pisemne „Przypomnienie”,  w którym Spółka wskazywała na konieczność uiszczenia ujętych w fakturze VAT nr […], wystawionej na dane Skarżącej: kwoty […], tytułem zaległych kosztów przesyłki zamówionego zestawu startowego oraz dodatkowo kwoty […], tytułem opłaty za monit.
6. W związku z faktem, iż Spółka nie wywiązała się z zawartej umowy i faktycznie  nie dostarczyła Skarżącej zamówionego przez nią towaru, Skarżąca udała się w dniu  […]  czerwca 2014 r. do Biura Obsługi Klienta celem anulowania subskrypcji. Na potwierdzenie przyjęcia jej dyspozycji, Biuro Obsługi Klienta wystawiło pisemne potwierdzenie rezygnacji z abonamentu W. na czas nieokreślony. Tym samym, z dniem  […]  czerwca 2014 r. wstrzymano kolejne wysyłki produktów […] do Skarżącej, anulowano fakturę numer […]  oraz zaprzestano przetwarzania danych osobowych Skarżącej.
7. Aktualnie dane osobowe Skarżącej nie są przetwarzane przez W., ani przedstawiciela ww. podmiotu na terytorium Rzeczypospolitej Polskiej, tj. T. Sp. o.o.

Po zapoznaniu się z całością zgromadzonego w sprawie materiału dowodowego, Prezes Urzędu Ochrony Danych Osobowych zważył, co następuje.

Na wstępie wskazać należy, iż z dniem 25 maja 2018 r. w życie weszły przepisy ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r., poz. 1781), zwanej dalej „u.o.d.o.”.

W myśl art. 160 ust. 1-3 u.o.d.o., postępowania prowadzone przez Generalnego Inspektora Ochrony Danych Osobowych, wszczęte i niezakończone przed dniem wejścia w życie niniejszej ustawy, prowadzone są przez Prezesa Urzędu Ochrony Danych Osobowych na podstawie ustawy  z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r. poz. 922 ze zm.), zgodnie z zasadami określonymi w ustawie z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2018 r., poz. 2096 ze zm.). Jednocześnie, czynności dokonane w postępowaniach, wszczętych i niezakończonych przed dniem wejścia w życie przepisów u.o.d.o., pozostają skuteczne.

Od dnia 25 maja 2018 r. zastosowanie ma również rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z 04.05.2016, str. 1 oraz Dz. Urz. UE L 127  z 23.05.2018 r. str. 2.), zwane dalej „Rozporządzeniem 2016/679”.

Stosownie do art. 57 ust. 1 Rozporządzenia 2016/679, bez uszczerbku dla innych zadań określonych na mocy tego rozporządzenia, każdy organ nadzorczy na swoim terytorium monitoruje i egzekwuje stosowanie tego rozporządzenia (lit. a) oraz rozpatruje skargi wniesione przez osobę, której dane dotyczą, lub przez umocowany przez nią – zgodnie z art. 80 Rozporządzeniem 2016/679 – podmiot, organizację lub zrzeszenie, w odpowiednim zakresie prowadzi postępowania  w przedmiocie tych skarg i w rozsądnym terminie informuje skarżącego o postępach i wynikach tych postępowań (lit. f).

Uwzględniając powyższe stwierdzić zatem należy, iż niniejsze postępowanie, wszczęte i niezakończone przed dniem 25 maja 2018 r., prowadzone jest na podstawie ustawy  z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (w zakresie dotyczącym przepisów regulujących procedurę administracyjną) oraz na podstawie Rozporządzenia 2016/679 (w zakresie rozstrzygającym o legalności procesu przetwarzania danych osobowych). Wynikający w przepisów prawa sposób prowadzenia postępowań w sprawach rozpoczętych i niezakończonych przed dniem wejścia w życie nowych regulacji z zakresu ochrony danych osobowych koreluje z ugruntowanym stanowiskiem doktryny, zgodnie z którym „organ administracji publicznej ocenia stan faktyczny sprawy według chwili wydania decyzji administracyjnej. Reguła ta odnosi się także do oceny stanu prawnego sprawy, co oznacza, że organ administracji publicznej wydaje decyzję administracyjną  na podstawie przepisów prawa obowiązujących w chwili jej wydania” (Komentarz do ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. 00.98.1071) M. Jaśkowska,  A. Wróbel, Lex., el/2012).

Odnosząc powyższe do ustalonego stanu faktycznego podkreślić należy, że w toku prowadzonego postępowania wyjaśniającego Prezes Urzędu Ochrony Danych Osobowych ustalił,  iż obecnie dane osobowe Skarżącej nie są przetwarzane przez W., ani też przedstawiciela Spółki na terenie Rzeczypospolitej Polskiej, tj. T. Sp. z o.o. Oba ww. podmioty przetwarzały wprawdzie dane osobowe Skarżącej w zakresie jej imienia, nazwiska, numeru telefonu oraz miejsca zamieszkania – co do których ustalono, iż dane te pozyskane zostały z ogólnodostępnej bazy numerów z sieci Internet – a nadto w zakresie adresu zamieszkania oraz daty urodzenia, udostępnionych przedstawicielowi Spółki dobrowolnie przez samą Skarżącą, w związku z zawarciem umowy na zakup produktów […]. Jednakże, jak zostało to wykazane na wstępie, w części uzasadnienia niniejszej decyzji opisującej dokonane ustalenia faktyczne, w związku z rezygnacją Skarżącej z abonamentu W. na czas nieokreślony, Spółka oraz podmiot ją reprezentujący zaprzestały przetwarzania jej danych osobowych z dniem […]  czerwca 2014 r., a zatem usunęły sporne dane trwale ze swoich baz danych.

Z powyższych względów należało stwierdzić, że postępowanie prowadzone w niniejszej sprawie stało się bezprzedmiotowe, co skutkowało jego umorzeniem na podstawie art. 105 § 1 k.p.a., wobec jego bezprzedmiotowości.

Zgodnie z wyżej powołanym przepisem, gdy postępowanie z jakiejkolwiek przyczyny stało się bezprzedmiotowe w całości lub w części, organ administracji publicznej wydaje decyzję o umorzeniu postępowania odpowiednio w całości lub w części. Jak wynika ze wskazanej regulacji, stwierdzenie bezprzedmiotowości postępowania stanowi obligatoryjną przesłankę jego umorzenia przez organ to postępowanie prowadzący. Jednocześnie w literaturze przedmiotu wskazuje się,  że bezprzedmiotowość postępowania administracyjnego, o której stanowi art. 105 § 1 k.p.a. oznacza, że brak jest któregoś z elementów materialnego stosunku prawnego, a wobec tego nie można wydać decyzji załatwiającej sprawę przez rozstrzygnięcie jej co do istoty. Przesłanka umorzenia postępowania może istnieć jeszcze przed wszczęciem postępowania, co zostanie ujawnione dopiero w toczącym się postępowaniu [jak miało to miejsce w niniejszej sprawie], a może ona powstać także w czasie trwania postępowania, a więc w sprawie już zawisłej przed organem administracyjnym  (B. Adamiak, J. Borkowski „Kodeks postępowania administracyjnego. Komentarz”, 14. Wydanie, Wydawnictwo C.H. Beck, Warszawa 2016 r., str. 491). Takie samo stanowisko zajął Wojewódzki Sąd Administracyjny w Krakowie w wyroku z dnia 27 lutego 2008 r. w sprawie o sygn. akt III SA/Kr 762/2007, w którym to stwierdził, że „postępowanie staje się bezprzedmiotowe, gdy brak któregoś z elementów stosunku materialnoprawnego, co powoduje, że nie można załatwić sprawy przez rozstrzygnięcie co do istoty”.

W niniejszej sprawie tym elementem stosunku materialnoprawnego, który nie istniał  od chwili wszczęcia postępowania było przetwarzanie danych osobowych Skarżącej przez podmioty, których skarga dotyczy. Stwierdzenie istnienia takiego przetwarzania pozwoliłoby dopiero rozstrzygnąć o jego legalności (istnieniu podstawy prawnej przetwarzania) i zgodności z przepisami o ochronie danych osobowych (w tym o wywiązywaniu się przez administratora danych z ciążących na nim obowiązków wymienionych w art. 25-25 oraz 36-39a ustawy z dnia 29 sierpnia 1997 r.  o ochronie danych osobowych, o zbadanie czego wnosiła Skarżąca).

Ustalenie przez organ administracji publicznej istnienia przesłanki, o której mowa  w art. 105 § 1 k.p.a. zobowiązuje go, jak podkreśla się w doktrynie i orzecznictwie, do umorzenia postępowania, albowiem brak jest podstaw do rozstrzygnięcia sprawy co do istoty, zaś dalsze prowadzenie postępowania w takim przypadku stanowiłoby o jego wadliwości, mającej istotny wpływ na wynik sprawy.

W tym stanie faktycznym i prawnym Prezes Urzędu Ochrony Danych Osobowych rozstrzygnął, jak w sentencji.

Na podstawie art. 127 § 3 Kpa od decyzji przysługuje stronie prawo do wniesienia wniosku o ponowne rozpatrzenie sprawy w terminie 14 dni od dnia jej doręczenia stronie. Jeżeli strona nie chce skorzystać z prawa do złożenia wniosku o ponowne rozpatrzenie sprawy, ma prawo do wniesienia skargi na decyzję  do Wojewódzkiego Sądu Administracyjnego w Warszawie w terminie 30 dni od dnia doręczenia jej stronie. Skargę wnosi się za pośrednictwem Prezesa Urzędu (adres: ul. Stawki 2, 00-193 Warszawa). Wpis od skargi wynosi 200 złotych. Strona ma prawo ubiegania się o prawo pomocy, w tym zwolnienie od kosztów sądowych.