DKE.523.26.2021

Na podstawie art. 105 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. 2021 r., poz. 735), art. 160 ust. 1 i 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz.U. z 2019 r. poz. 1781) w zw. z art. 12 pkt 2 i art. 22 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r. poz. 922 ze zm.) oraz z art. 57 ust. 1 lit. a) i f) rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z 04.05.2016 r. str. 1 oraz Dz. Urz. UE L 127 z 23.05.2018 r. str. 2), po przeprowadzeniu postępowania administracyjnego w sprawie skargi Pana A.K., dotyczącej nieprawidłowości w przetwarzaniu jego danych osobowych przez K. Sp. z o.o., Prezes Urzędu Ochrony Danych Osobowych

umarza postępowanie.

UZASADNIENIE

W dniu [...] lipca 2015 r. do Biura Generalnego Inspektora Ochrony Danych Osobowych (obecnie: Urzędu Ochrony Danych Osobowych) wpłynęła skarga A.K., zwanego dalej „Skarżącym”, dotycząca nieprawidłowości w przetwarzaniu jego danych osobowych przez Ka. Sp. z o.o. Sp. k., zwana dalej ,,K.” bądź ,,Spółką”.

Skarżący wskazał w skardze, że pracownicy K. w okresie od 2014 r. do dnia [...] lutego 2015 r. bezprawnie przetwarzali jego dane osobowe w celach marketingowych poprzez przesyłanie na jego prywatny numer telefonu treści o charakterze marketingowym.

Skarżący wielokrotnie – podczas rozmów telefonicznych – żądał zaprzestania wykorzystywania jego numeru telefonu do tychże celów, wyjaśnienia podstaw ich podejmowania oraz poinformowania o przysługujących mu w związku z tym uprawnieniach. Podkreślił, że interwencje te skutkowały czasowym zaprzestaniem naruszeń. Skarżący dodał, że nigdy nie wyrażał zgody na przetwarzanie przez Spółkę jego danych osobowych do tychże celów oraz że ostateczne ponowne wykorzystanie numeru telefonu miało miejsce w dniu [...] lutego 2015 r., kiedy to cyt. ,,kategorycznie zażądał zaprzestania przetwarzania jego danych osobowych i do czasu wyjaśnienia zaistniałej sytuacji wstrzymał sprzedaż oferowanych przez Spółkę usług w postaci doładowań telefonicznych”.

W treści skargi Skarżący zarzucił również, że Spółka nie dopełniła obowiązku informacyjnego, o którym mowa w art. 33 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r. poz. 922 ze zm.), zwaną dalej ,,ustawą z 1997 r.”, pomimo złożonego wniosku o udzielenie informacji dotyczących wykorzystywania jego danych osobowych.

W toku postępowania przeprowadzonego w niniejszej sprawie Prezes Urzędu Ochrony Danych Osobowych ustalił następujący stan faktyczny:

1. W dniu [...] grudnia 2004 r. Skarżący zawarł umowę sprzedaży doładowań elektronicznych z Kab. Sp. z o.o. W dniu złożenia skargi następcą prawnym tej spółki była Sp. z o.o. Sp. k. Natomiast w dacie wydania przedmiotowej decyzji następcą prawnym Ka. Sp. z o.o. Sp. k. jest K. Sp. z o.o.
2. Zgodnie z treścią § [...] wymienionej w punkcie powyższym umowy Skarżący zobowiązał się do osiągnięcia minimalnej miesięcznej sprzedaży doładowań elektronicznych dla każdego terminala obsługiwanego przez Kab. Sp. z o.o. na poziomie [...] zł. W przypadku niespełnienia wymogu minimalnej sprzedaży [...] Kab. Sp. z o.o. mógł np. [...] rozwiązać ze Skarżącym (partnerem) umowę w trybie natychmiastowym (§ [...])). Ponadto w § [...] umowy wskazane zostało, że jeżeli Skarżący (partner) naruszy swoje zobowiązania w ramach umowy, które K. uzna za poważne naruszenie umowy lub (ii) nie dokona naprawy innego naruszenia zobowiązań po otrzymaniu od K. pisma żądającego takiej naprawy lub (iii) powtórzy naruszenie zobowiązania, K. może rozwiązać ze Skarżącym (partnerem) umowę w trybie natychmiastowym. W § [...] wskazano natomiast, że po rozwiązaniu umowy z wyżej wymienionego powodu, oprócz nieuiszczonych kwot należnych K., partner zapłaci karę umowną w wysokości do [...] PLN celem pokrycia wszystkich kosztów związanych z odłączeniem i usunięciem sprzętu i terminala z autoryzowanego punktu sprzedaży (...).
3. W związku z tym, że Skarżący z dniem [...] lutego 2015 r. zaprzestał generowania sprzedaży minimalnej na poziomie [...] zł i mimo wezwania z dnia [...] marca 2015 r. nie naprawił powyższego naruszenia, K. rozwiązała z nim umowę sprzedaży doładowań elektronicznych w trybie natychmiastowym na podstawie ww. § [...] tej umowy oraz wezwała Skarżącego do zapłaty kary umownej w kwocie [...] zł (pismo Ka. Sp. z o.o. Sp. k. z [...] kwietnia 2015 r. oraz wezwanie do zapłaty kary umownej z [...] kwietnia 2015 r.).
4. Skarżący wyraził zgodę na otrzymywanie drogą elektroniczną, a następnie wydruk z terminala materiałów reklamowych, promocyjnych i informacyjnych dotyczących różnych towarów i usług oferowanych przez K. dostawców i inne podmioty (§ [...] umowy).
5. Z wyjaśnień złożonych przez Ka. Sp. z o.o. Sp. k. w piśmie z [...] września 2018 r. wynika, że Spółka współpracowała ze Skarżącym na podstawie umowy sprzedaży doładowań elektronicznych z dnia [...] grudnia 2004 r., a pismem datowanym na dzień [...] kwietnia 2015 r. w trybie natychmiastowym rozwiązała ze Skarżącym przedmiotową umowę. Spółka K. poinformowała, że w okresie od [...] grudnia 2004 r. do [...] kwietnia 2015 r. Skarżący współpracował z Departamentem [...], który z dniem [...] maja 2017 r. został zbyty na rzecz C. Spółka Akcyjna, zwana dalej ,,P. S.A.”. Obecnie Spółka K. nie przetwarza danych osobowych Skarżącego w celach marketingowych. Jest w posiadaniu jedynie podstawowych danych w zbiorze „K.”, które przetwarza tylko w celach archiwalnych. Spółka K. nie posiada wiedzy czy Skarżący zwracał się o wypełnienie wobec niego obowiązku informacyjnego.
6. Z wyjaśnień z [...] października 2019 r. złożonych przez P. S.A. wynika, że K. nie przekazała danych osobowych Skarżącego w toku zbycia Departamentu [...]. P. S.A. wyjaśniła, że nigdy nie przetwarzała i nie przetwarza obecnie jakichkolwiek danych osobowych Skarżącego, nie wpłynął do niej sprzeciw Skarżącego dotyczący przetwarzania jego danych osobowych w celach marketingowych, nie posiada informacji odnośnie wpływu takiego sprzeciwu do K., Skarżący nie zwracał się do Spółki o wypełnienie względem niego obowiązku informacyjnego z art. 33 ustawy z 1997 r. i nie posiada wiedzy czy Skarżący skierował wskazane powyżej żądanie w stosunku do Spółki K.
7. Z uwagi na zaistniałe rozbieżności dotyczące przekazania danych osobowych Skarżącego w wyniku zbycia przez Spółkę K. Departamentu [...], Prezes Urzędu Ochrony Danych Osobowych pismem z [...] września 2020 r. zwrócił się do Spółki K. o przedstawienie dokumentów z których wynika, że dane osobowe Skarżącego w istocie zostały przekazane do P. S.A. w wyniku umowy z [...] maja 2017 r.
8. W piśmie z [...] września 2020 r. Spółka K. wyjaśniła, że w związku z tym, iż przedmiotem umowy z [...] maja 2017 r. były m.in. prawa i obowiązki wynikające z umów o współpracy z przedsiębiorcami współpracującymi ze Spółką K. w ramach Departamentu [...], a Skarżący na dzień zawarcia ww. umowy nie współpracował ze Spółką K. – jego dane osobowe nie zostały przekazane do P. S.A.
9. W wyjaśnieniach z [...] lipca 2021 r. K. Sp. z o.o. oświadczyła, że aktualnie nie przetwarza danych osobowych Skarżącego do żadnych celów. Dane osobowe Skarżącego zostały trwale usunięte i zanonimizowane bez możliwości ich ponownego odkodowania. 

Po zapoznaniu się z całością zgromadzonego w sprawie materiału dowodowego, Prezes Urzędu Ochrony Danych Osobowych zważył, co następuje.

Z dniem wejścia w życie ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781), zwanej dalej „u.o.d.o. 2018”, tj. z dniem 25 maja 2018 r., Biuro Generalnego Inspektora Ochrony Danych Osobowych stało się Urzędem Ochrony Danych Osobowych. Postępowania prowadzone przez Generalnego Inspektora Ochrony Danych Osobowych, wszczęte i niezakończone przed dniem 25 maja 2018 r. prowadzone są przez Prezesa Urzędu Ochrony Danych Osobowych, na podstawie ustawy z 1997, zgodnie z zasadami określonymi w ustawie z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2021 r., poz. 735), zwanej dalej „k.p.a.”. Wszelkie czynności podjęte przez Generalnego Inspektora Ochrony Danych Osobowych przed dniem 25 maja 2018 r. pozostają skuteczne (art. 160 ust. 1–3 u.o.d.o. 2018).

Stosownie do art. 57 ust. 1 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych osobowych) (Dz. U. UE L 119 z 4.05.2016, str. 1 oraz Dz. Urz. UE L 127 z 23.05.2018 str. 2), bez uszczerbku dla innych zadań określonych na mocy tego rozporządzenia, każdy organ nadzorczy na swoim terytorium monitoruje i egzekwuje stosowanie tego rozporządzenia (lit. a) oraz rozpatruje skargi wniesione przez osobę, której dane dotyczą, lub przez umocowany przez nią – zgodnie z art. 80 Rozporządzeniem 2016/679 – podmiot, organizację lub zrzeszenie, w odpowiednim zakresie prowadzi postępowania w przedmiocie tych skarg i w rozsądnym terminie informuje skarżącego o postępach i wynikach tych postępowań (lit. f).

W tym miejscu wskazać należy, że Prezes Urzędu Ochrony Danych Osobowych wydając decyzję administracyjną zobowiązany jest do rozstrzygania w oparciu o stan faktyczny istniejący w chwili wydania tej decyzji. Jak podnosi doktryna „organ administracji publicznej ocenia stan faktyczny sprawy według chwili wydania decyzji administracyjnej. Reguła ta odnosi się także do oceny stanu prawnego sprawy, co oznacza, że organ administracji publicznej wydaje decyzję administracyjną na podstawie przepisów prawa obowiązujących w chwili jej wydania (…). Rozstrzyganie w postępowaniu administracyjnym polega na zastosowaniu obowiązującego prawa do ustalonego stanu faktycznego sprawy administracyjnej. W ten sposób organ administracji publicznej realizuje cel postępowania administracyjnego, jakim jest urzeczywistnienie obowiązującej normy prawnej w zakresie stosunków administracyjno-prawnych, gdy stosunki te tego wymagają” (Komentarz do ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego, M. Jaśkowska, A. Wróbel, Lex., el/2012). Również Naczelny Sąd Administracyjny – w wyroku z dnia 7 maja 2008 r. w sprawie o sygn. akt I OSK 761/07 stwierdził, iż cyt.: „badając bowiem legalność przetwarzania danych osobowych, GIODO ma obowiązek ustalenia, czy na datę wydawania rozstrzygnięcia w sprawie dane konkretnego podmiotu są przetwarzane oraz czy czynione to jest w sposób zgodny z prawem”.

Decydujące znaczenie dla rozstrzygnięcia, jakie musi być wydane w przedmiotowej sprawie, ma fakt, że w chwili obecnej K. Sp. z o.o. nie przetwarza danych osobowych Skarżącego do żadnych celów (dane te zostały trwale usunięte i zanonimizowane bez możliwości ich dalszego odkodowania). Wobec braku przetwarzania danych osobowych Skarżącego przez K. Sp. z o.o. nie jest możliwe odniesienie się do żądań Skarżącego przedstawionych w treści skargi, a Prezes Urzędu Ochrony Danych Osobowych zobowiązany jest do uznania niniejszego postępowania za bezprzedmiotowe i w  konsekwencji do jego umorzenia w oparciu o art. 105 § 1 k.p.a.

Zgodnie art. 105 § 1 k.p.a. gdy postępowanie z jakiejkolwiek przyczyny stało się bezprzedmiotowe w całości lub w części, organ administracji publicznej wydaje decyzję o umorzeniu postępowania odpowiednio w całości lub w części. Brzmienie powołanego przepisu nie pozostawia wątpliwości, iż w razie stwierdzenia bezprzedmiotowości postępowania organ prowadzący to postępowanie obligatoryjnie je umarza. Jednocześnie w literaturze przedmiotu wskazuje się, że bezprzedmiotowość postępowania administracyjnego, o której stanowi art. 105 § 1 k.p.a. oznacza, że brak jest któregoś z elementów materialnego stosunku prawnego, a wobec tego nie można wydać decyzji załatwiającej sprawę przez rozstrzygnięcie jej co do istoty. Przesłanka umorzenia postępowania może istnieć jeszcze przed wszczęciem postępowania, co zostanie ujawnione dopiero w toczącym się postępowaniu, a może ona powstać także w czasie trwania postępowania, a więc w sprawie już zawisłej przed organem administracyjnym (B. Adamiak, J. Borkowski „Kodeks postępowania administracyjnego. Komentarz”, 14. Wydanie, Wydawnictwo C.H. Beck, Warszawa 2016 r., str. 491). Takie samo stanowisko zajął Wojewódzki Sąd Administracyjny w Krakowie w wyroku z dnia 27 lutego 2008 r. w sprawie o sygn. akt III SA/Kr 762/2007, w którym to stwierdził, że „postępowanie staje się bezprzedmiotowe, gdy brak któregoś z elementów stosunku materialnoprawnego, co powoduje, że nie można załatwić sprawy przez rozstrzygnięcie co do istoty”. W orzecznictwie ukształtował się pogląd, że użyty w art. 105 § 1 k.p.a. zwrot „z jakiejkolwiek przyczyny” oznacza „każdą przyczynę powodującą brak jednego z elementów materialnego stosunku prawnego w odniesieniu do jego strony podmiotowej lub przedmiotowej” (wyrok NSA z 18 marca 1997 r., SA/Rz 258/96, LEX nr 58125). Stwarza to podstawę do wyróżnienia podmiotowych i przedmiotowych przyczyn bezprzedmiotowości postępowania. Do przyczyn podmiotowych należy zaliczyć śmierć strony (o ile nie zachodzi przypadek wymieniony w art. 97 § 1 pkt 1), utratę przez stronę niebędącą osobą fizyczną jej bytu prawnego, jak również brak interesu prawnego po stronie podmiotu domagającego się wydania decyzji, o ile organ stwierdzi to już po wszczęciu postępowania (A. Krawczyk w: Kodeks postępowania administracyjnego. Komentarz do art. 105 [online], Wolters Kluwer Polska, 2019-10-30, https://sip.lex.pl/#/commentary /587785940/583380).

Odnosząc się natomiast do złożonego przez Skarżącego wniosku o ewentualne zawiadomienie organów ścigania wskazać należy, że strona postępowania administracyjnego może domagać się od Generalnego Inspektora Ochrony Danych Osobowych wyłącznie wydania decyzji administracyjnej, a nie zawiadomienia o popełnieniu przestępstwa, o konieczności złożenia którego Generalny Inspektor Ochrony Danych Osobowych decyduje z urzędu. Powyższe stanowisko Generalnego Inspektora Ochrony Danych Osobowych potwierdził Naczelny Sąd Administracyjny, który w wyroku z dnia 21 listopada 2002 r. (sygn. akt II S.A. 1682/01) stwierdził, że „w świetle ustawy naruszenie jej przepisów staje się więc źródłem odpowiedzialności administracyjnej, prowadzącej w istocie jedynie do obowiązku przywrócenia stanu zgodnego z prawem (art.18) oraz odpowiedzialności karnej (art.19, 49- 54). Przy czym jedynie ten pierwszy rodzaj odpowiedzialności realizowany jest w formie decyzji administracyjnej”. NSA stwierdził także, i „w przypadku gdy wyniki działania kontrolnego będą wskazywać, iż działanie lub zaniechanie kierownika jednostki organizacyjnej, jej pracownika lub innej osoby fizycznej będącej administratorem danych nosi znamiona przestępstwa, GIODO ma obowiązek skierowania zawiadomienia o popełnieniu przestępstwa do organu powołanego do ścigania przestępstw (...). Nie dokonuje tego jednak, jak w przypadku art. 18 w drodze decyzji administracyjnej, lecz w drodze wystąpienia, które stanowi realizację jego kompetencji w tej sprawie. Wskazuje na to zarówno wyraźne określenie formy decyzji w art. 18 ustawy, a brak tego określenia w art. 19, jak i istota i znaczenie decyzji administracyjnej. Nakłada ona bowiem na stronę pewne uprawnienia lub obowiązek lub odmawia jego przyznania. Tymczasem wystąpienie do prokuratury z informacją o podejrzeniu przestępstwa nie ma takiego charakteru. Co do zasady nie nadaje się więc do rozstrzygnięcia w formie decyzyjnej”. Równie w wyroku z dnia 19 listopada 2001 r. (sygn. akt II SA 2702/00) Naczelny Sąd Administracyjny w Warszawie wskazał, że „osoba dochodząca ochrony swych spraw w trybie w/w ustawy o ochronie danych osobowych nie jest podmiotem postępowania obliczonego na wydanie decyzji o zawiadomieniu stosownego organu o przestępstwie w zakresie przetwarzania danych osobowych i nie może się tego domagać od GIODO w administracyjno-prawnych formach tego postępowania. (...) GIODO może podejmować czynności tylko na zasadzie i w formach przewidzianych ustawą. Sposób załatwienia sprawy co do meritum reguluje w/w art. 18 ustawy, przyznając GIODO uprawnienia w zakresie nakazania administratorowi winnemu naruszenia przywrócenia stanu zgodnego z prawem”.

W tym stanie faktycznym i prawnym Prezes Urzędu Ochrony Danych Osobowych rozstrzygnął, jak w sentencji.

Na podstawie art. 127 § 3 k.p.a. od decyzji przysługuje stronie prawo do wniesienia wniosku o ponowne rozpatrzenie sprawy w terminie 14 dni od dnia jej doręczenia stronie. Jeżeli strona nie chce skorzystać z prawa do złożenia wniosku o ponowne rozpatrzenie sprawy, ma prawo do wniesienia skargi na decyzję do Wojewódzkiego Sądu Administracyjnego w Warszawie w terminie 30 dni od dnia doręczenia jej stronie. Skargę wnosi się za pośrednictwem Prezesa Urzędu Ochrony Danych Osobowych (adres: ul. Stawki 2, 00-193 Warszawa). Wpis od skargi wynosi 200 złotych. Strona ma prawo ubiegania się o prawo pomocy, w tym zwolnienie od kosztów sądowych.