II SA/Wa 1100/23

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Ewa Radziszewska-Krupa, Sędzia WSA Waldemar Śledzik, Asesor WSA Arkadiusz Koziarski (spr.), , po rozpoznaniu w trybie uproszczonym w dniu 18 stycznia 2024 r. sprawy ze skargi T. sp. z o.o. z siedzibą w [...] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] marca 2023 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę.

Prezes Urzędu Ochrony Danych Osobowych, dalej "PUODO", decyzją z dnia [...] marca 2023 r. nr [...], wydaną na podstawie art. 104 § 1 oraz ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz.U.

z 2022 r. poz. 2000, z późn. zm.), dalej "k.p.a." w zw. z art. 7 ust. 1 ustawy z dnia 10 maja

2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781), i art. 6 ust. 1, art. 17 ust. 1 oraz art. 58 ust. 2 lit. c rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27.04.2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1 oraz Dz. Urz. L 127 z 23.05.2018, str. 2 ze zm. oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35), dalej "RODO":

1) nakazał [...] sp. z o.o. z siedzibą w [...], usunięcie danych osobowych M. K., w zakresie jego numeru PESEL;

2) odmówił uwzględnienia wniosku w pozostałym zakresie.

W uzasadnieniu organ wyjaśnił, że do Urzędu wpłynęła skarga M. K., na nieprawidłowości w procesie przetwarzania jego danych osobowych przez [...] sp. z o.o. z siedzibą w [...], dalej "Spółka", polegające na przetwarzaniu danych osobowych skarżącego bez podstawy prawnej, pomimo wniesionego żądania ich usunięcia, o którym mowa w art. 17 ust. 1 RODO.

PUODO wskazał, że w toku przeprowadzonego postępowania wyjaśniającego

w niniejszej sprawie, ustalił następujący stan faktyczny:

1. skarżący [...] września 2021 r. skierował do Spółki żądanie usunięcia konta

w serwisie Spółki oraz zażądał usunięcia jego danych osobowych. W korespondencji mailowej Spółka wskazała, że dane osobowe skarżącego w zakresie kraju wydania

i numeru prawa jazdy, adresu e-mail, numeru telefonu, loginu zostały zanonimizowane

a konto usunięte. Natomiast dane osobowe w zakresie imienia, nazwiska, adresu zamieszkania, numeru PESEL oraz danych telemetrycznych przejazdów nadal będą przetwarzane na podstawie art. 112 ustawy o podatku towarów i usług przez 5 lat od końca roku kalendarzowego, w którym upłynął termin płatności podatku za fakturę oraz art. 118 Kodeksu cywilnego przez 6 lat od ostatniej transakcji;

2. Spółka przekazała, że pozyskała dane osobowe skarżącego w zakresie imienia, nazwiska, adresu zamieszkania, numeru PESEL, kraju wydania i numeru prawa jazdy, numeru telefonu oraz adresu e-mail [...].07.2019 r. poprzez rejestrację skarżącego

w serwisie Spółki, co było związane z zawarciem ze Spółką umowy. Spółka wskazała, że aktualnie przetwarza dane osobowe skarżącego w zakresie imienia, nazwiska, adresu zamieszkania, numeru PESEL oraz danych telemetrycznych pojazdu, a podstawą prawną przetwarzania tych danych osobowych skarżącego jest art. 6 ust. 1 lit. b rozporządzenia 2016/679, do czasu przedawnienia roszczeń wynikających z umowy zawartej pomiędzy skarżącym a Spółką oraz art. 6 ust. 1 lit. c ww. aktu prawnego, do czasu upływu terminów wskazanych w przepisach na ich wykonanie. Obowiązki te dotyczą przechowywania dokumentacji księgowej (art. 74 ust. 2 pkt 4 ustawy o rachunkowości) oraz przechowywania ewidencji wynikającej z przepisów ustawy (art. 112 ustawy o podatku od towarów i usług w zw. z art. 70 § 1 Ordynacji podatkowej);

3. Spółka wskazała, że [...] września 2021 r. otrzymała od skarżącego żądanie usunięcia konta oraz wszystkich danych osobowych - cyt. "[...] dokonał realizacji żądania Skarżącego w możliwym zakresie, tj. zanonimizował dane Skarżącego (kraj wydania i numer prawa jazdy, adres e-mail, numer telefonu) i usunął konto użytkownika. W zakresie pozostałych danych (imię, nazwisko, adres zamieszkania, nr PESEL i dane telemetryczne pojazdu) dane te nie mogły zostać usunięte przez [...] z uwagi na nadal aktualne podstawy prawne do ich przetwarzania (...) [...] podnosi, iż ustosunkował się do żądania Skarżącego w korespondencji mailowej (...)";

4. Spółka załączyła do swoich wyjaśnień z [...] listopada 2021 r. regulamin korzystania z jej usług, z którego wynika, że numer PESEL użytkowników przetwarzany jest jedynie na podstawie art. 6 ust. 1 lit. a RODO (pkt 81 lit. c regulaminu), a wycofanie ww. zgody możliwe jest w każdym czasie (pkt 85 regulaminu).

Następnie organ wskazał, że Spółka pozyskała dane osobowe skarżącego [...] lipca 2019 r. poprzez rejestrację skarżącego w serwisie Spółki, tj. przez zawarcie umowy. W związku z powyższym, Spółka przetwarzała dane osobowe skarżącego w oparciu

o art. 6 ust. 1 lit. b RODO, zgodnie z którym przetwarzanie jest zgodne z prawem, gdy jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy.

PUODO wyjaśnił, że zgodnie z treścią art. 17 ust. 1 RODO w przypadku zaistnienia jednej z wymienionych w tym artykule przesłanek, każda osoba, której dane dotyczą, ma prawo żądania od administratora niezwłocznego usunięcia dotyczących jej danych osobowych. Dzieje się tak m.in. w sytuacji, gdy dane osobowe nie są już niezbędne do celów, w których zostały zebrane lub w inny sposób przetwarzane; (art. 17 ust. 1 lit. a) lub gdy osoba, której dane dotyczą, cofnęła zgodę, na której opiera się przetwarzanie zgodnie z art. 6 ust. 1 lit. a) lub art. 9 ust. 2 lit. a), i nie ma innej podstawy prawnej przetwarzania (art. 17 ust. 1 lit. b). Jednocześnie w świetle art. 17 ust. 3 RODO, art. 17 ust. 1 i 2 RODO nie ma zastosowania w enumeratywnie wymienionych w tym przepisie sytuacjach, m.in. gdy przetwarzanie jest niezbędne do wywiązania się z prawnego obowiązku wymagającego przetwarzania na mocy prawa Unii lub prawa państwa członkowskiego, któremu podlega administrator, lub do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi (art. 17 ust. 3 lit. b RODO).

Organ zwrócił uwagę, że [...] września 2021 r. skarżący zażądał usunięcia swoich danych osobowych oraz konta w serwisie. Spółka spełniła żądanie w zakresie usunięcia konta i zanonimizowała dane skarżącego w zakresie kraju wydania i numeru prawa jazdy, adresu e-mail oraz numeru telefonu. Pozostałe dane osobowe, tj. imię, nazwisko, adres zamieszkania, numer PESEL oraz dane telemetryczne przejazdów są aktualnie przetwarzane przez Spółkę, zgodnie z jej oświadczeniem, w związku z obowiązkami, które ciążą na Spółce a wynikają z art. 74 ust. 2 pkt 4 ustawy o rachunkowości z 29 września 1994 r. (Dz.U. z 2023 r. poz. 120) oraz art. 112 ustawy o podatku od towarów i usług z 11 marca 2004 r. (Dz.U. z 2022 r. poz. 931) w zw. z art. 70 § 1 ustawy Ordynacja podatkowa z 29 sierpnia 1997 r. (Dz.U. z 2022 r. poz. 2651). Zgodnie z art. 74 ust. 2 pkt 4 ustawy o rachunkowości, dowody księgowe dotyczące środków trwałych w budowie, pożyczek, kredytów oraz umów handlowych, roszczeń dochodzonych w postępowaniu cywilnym lub objętych postępowaniem karnym albo podatkowym są przechowywane przez 5 lat od początku roku następującego po roku obrotowym, w którym operacje, transakcje i postępowanie zostały ostatecznie zakończone, spłacone, rozliczone lub przedawnione. Natomiast art. 70 § 1 ustawy Ordynacja podatkowa stanowi, że zobowiązanie podatkowe przedawnia się z upływem 5 lat, licząc od końca roku kalendarzowego, w którym upłynął termin płatności podatku. Z uwagi na powyższe, w momencie gdy Spółka podlega pod ww. obowiązek prawny obligujący ją do przetwarzania określonych danych osobowych, nie musi realizować żądania skarżącego obejmującego usunięcie jego danych, co wynika z wyłączenia określonego w art. 17 ust. 3 lit. b RODO.

PUODO uznał, że w związku z powyższym, Spółka w oparciu o art. 6 ust. 1 lit. c RODO jest jednak uprawniona do przetwarzania danych osobowych skarżącego jedynie w zakresie imienia, nazwiska, adresu zamieszkania oraz danych telemetrycznych przejazdów. Na mocy art. 17 ust. 3 lit. b RODO, Spółka nie była obowiązana do spełnienia żądania usunięcia tych danych.

Organ podniósł, że z zebranego materiału dowodowego wynika, że numer PESEL użytkowników serwisu Spółki przetwarzany jest jedynie na podstawie zgody użytkownika i w każdym czasie przysługuje mu uprawnienie do jej cofnięcia. W związku z powyższym, numer PESEL skarżącego był przetwarzany na podstawie art. 6 ust. 1 lit. a RODO do czasu skierowania przez niego żądania usunięcia jego danych osobowych do Spółki. PUODO uznał, że skarżący skutecznie wniósł żądanie a jego numer PESEL winien być usunięty przez Spółkę zgodnie z art. 17 ust. 1 lit. b RODO, na mocy którego każda osoba, której dane dotyczą, ma prawo żądania od administratora niezwłocznego usunięcia dotyczących jej danych osobowych, gdy ta cofnęła zgodę, na której opiera się przetwarzanie zgodnie z art. 6 ust. 1 lit. a) lub art. 9 ust. 2 lit. a), i nie ma innej podstawy prawnej przetwarzania.

Dalej organ wyjaśnił, że dokonywana przez niego ocena w każdym przypadku służy zbadaniu zasadności skierowania pod adresem określonego podmiotu rozstrzygnięcia odpowiadającego dyspozycji art. 58 ust. 2 RODO, służącego zastosowaniu określonych w tym przepisie uprawnień naprawczych, których zastosowanie jest uzasadnione i potrzebne tylko o tyle, o ile nieprawidłowości w skarżonym procesie przetwarzania danych osobowych istnieją. Jak wykazało postępowanie wyjaśniające przeprowadzone w niniejszej sprawie, Spółka do chwili wniesienia przez skarżącego żądania usunięcia jego danych osobowych uprawniona była do ich przetwarzania na podstawie art. 6 ust. 1 lit. b RODO, natomiast po wniesieniu przez skarżącego żądania usunięcia jego danych, do przetwarzania uprawniał ją art. 6 ust. 1 lit. c RODO w zakresie imienia, nazwiska, adresu zamieszkania oraz danych telemetrycznych przejazdów. Spółka nie jest uprawniona do przetwarzania numeru PESEL skarżącego. W związku z powyższym, uzasadnionym jest zastosowanie przepisu art. 58 ust. 2 lit. c RODO, w myśl którego w przypadku naruszenia przepisów o ochronie danych osobowych PUODO może nakazać administratorowi lub podmiotowi przetwarzającemu spełnienia żądania osoby, której dane dotyczą, wynikającego z praw przysługujących jej na mocy RODO. Organ wyjaśnił, że w pozostałym zakresie należało odmówić uwzględnienia żądania ze względu na zgodność z prawem przetwarzania pozostałych danych osobowych skarżącego.

PUODO odniósł się ponadto do stanowiska Spółki wskazującego, że obrona przed ewentualnymi roszczeniami skarżącego stanowi jej prawnie uzasadniony interes wynikający z art. 6 ust. 1 lit. f RODO. W ocenie organu przetwarzanie danych osobowych skarżącego przez Spółkę z uwagi na ww. cel nie znajduje jednak prawnego uzasadnienia w przepisach RODO. Zebrany w postępowaniu materiał dowodowy nie wykazał, aby skarżący wystąpił z jakimkolwiek roszczeniem wobec Spółki, które uzasadniałoby uprawnienie Spółki do zachowania i przetwarzania jego danych osobowych dla celów związanych z dochodzeniem przez Skarżącego roszczeń, w szczególności w sytuacji gdy - jak ustalono - pomiędzy stronami postępowania doszło do skutecznego rozwiązania umowy. W ocenie PUODO, brak jest zatem spełnienia wskazywanej przez Spółkę przesłanki niezbędności do celów wynikających z prawnie usprawiedliwionych interesów realizowanych przez administratora odnośnie, przetwarzania danych osobowych Skarżącego. Przesłanka z art. 6 ust 1 lit. f RODO, dotyczy sytuacji już istniejącej, w której celem wynikającym z prawnie uzasadnionych interesów realizowanych przez administratora jest konieczność udowodnienia, potrzeba dochodzenia lub obrony przed roszczeniem istniejącym, nie zaś sytuacji, gdy dane są przetwarzane w celu zabezpieczenia się przed ewentualnym roszczeniem. W ocenie organu Spółka przetwarza dane osobowe skarżącego w ww. celu wyłącznie "na zapas", aby zabezpieczyć się przed ewentualnym przyszłymi i niepewnymi roszczeniami skarżącego. Przyjęcie zaś za prawidłowe stanowiska, iż przetwarzanie danych osobowych w celu uchylenia się od negatywnych skutków w przypadku zgłoszenia w przyszłości ewentualnego i nieokreślonego roszczenia, stanowi prawnie usprawiedliwiony cel w rozumieniu art. 6 ust. 1 lit. f RODO oznaczałoby, że dane osobowe skarżącego mogą być przetwarzane przez Spółkę permanentnie, bez konieczności ich usunięcia. PUODO stwierdził, że brak jest uzasadnienia dla przyjęcia, iż terminy dotyczące przedawnienia roszczeń wynikających ze stosunków zobowiązaniowych określają jednocześnie ramy czasowe, w których dane osobowe mogą być przetwarzane przez Spółkę. Przedawnienie roszczenia nie wywołuje skutków na gruncie ochrony danych osobowych, nie wpływa bowiem na fakt istnienia roszczenia, a powoduje jedynie zmianę w sferze zarzutów procesowych w postaci możliwości podniesienia okoliczności przedawnienia w sporze sądowym.

Na powyższą decyzję Spółka wniosła skargę do Wojewódzkiego Sądu Administracyjnego w Warszawie. Spółka wskazała, że zaskarża tę decyzję w części, tj. w zakresie pkt 1.

Zaskarżonej decyzji zarzuciła:

1. naruszenie prawa materialnego, a to art. 17 ust. 1 lit. b) RODO poprzez jego błędne zastosowanie i uznanie, że Spółka ma obowiązek bez zbędnej zwłoki usunąć dane osobowe w zakresie numeru PESEL w sytuacji, gdy w sprawie nie występowały łącznie wszystkie przesłanki wskazane w przywołanym przepisie uzasadniające usunięcie, co miało istotny wpływ na wynik sprawy;

2. naruszenie prawa materialnego, a to art. 17 ust. 3 lit. e) RODO poprzez jego błędne niezastosowanie i uznanie, że Spółka ma obowiązek bez zbędnej zwłoki usunąć dane osobowe w zakresie numeru PESEL w sytuacji, gdy prawo do usunięcia danych osobowych nie ma zastosowania, w zakresie w jakim przetwarzanie jest niezbędne do ustalenia, dochodzenia lub obrony roszczeń w omawianym zakresie, co miało istotny wpływ na wynik sprawy;

3. naruszenie prawa materialnego, a to art. 6 ust. 1 lit. f) RODO poprzez jego błędną wykładnię i uznanie, że przesłanka ze wskazanego przepisu dotyczy jedynie sytuacji roszczenia zaktualizowanego na datę rozwiązania umowy pomiędzy administratorem a osobą, której dane osobowe dotyczą, podczas gdy prawidłowe rozumienie przepisu nie ogranicza się jedynie do takich przypadków i obejmuje ogólnie sytuacje, kiedy bez przetwarzania danych realizacja prawnie uzasadnionych interesów jest niemożliwa, co miało istotny wpływ na wynik sprawy;

4. ewentualnie także w razie braku podzielenia zarzutu z pkt 3 powyżej - naruszenie prawa materialnego, a to art. 6 ust. 1 lit. f) RODO poprzez jego błędne niezastosowanie i uznanie, że w sprawie nie występują przesłanki uzasadniające przetwarzanie danych przez skarżącą na tej podstawie, podczas gdy ze stanu faktycznego sprawy wynika przeciwnie, co miało istotny wpływ na wynik sprawy;

5. naruszenie prawa procesowego, a to art. 7 k.p.a. w zw. z art. 77 § 1 k.p.a. poprzez brak dokładnego wyjaśnienia przez organ stanu faktycznego sprawy, a to w szczególności w zakresie ustalenia:

a. wszystkich podstaw prawnych przetwarzania przez skarżącą danych osobowych w postaci numeru PESEL,

b. celów i okresów przetwarzania danych osobowych w postaci numeru PESEL, w tym dla celów archiwizacji związanych z ryzykiem dochodzenia i obrony przed ewentualnymi roszczeniami z uwzględnieniem wszystkich obowiązków ciążących na użytkowniku zgodnie z umową najmu, którą określa Regulamin korzystania z usługi Spółki załączony do akt sprawy, w tym w szczególności pkt 36 i 87 w zw. z pkt 39-40 tegoż Regulaminu,

c. w konsekwencji czy istnieją, bądź nie istnieją, okoliczności uzasadniające dalsze przetwarzanie numeru PESEL użytkownika przez skarżącą,

co miało istotny wpływ na wynik sprawy;

6. naruszenie prawa procesowego, a to art. 10 § 1 k.p.a. w zw. z art. 81 k.p.a. poprzez brak poinformowania skarżącej o zakończeniu przedmiotowego postępowania i pouczenia skarżącej o przysługującym jej prawie do wypowiedzenia się co do zebranych materiałów i dowodów przed wydaniem zawiadomienia co do czynności, co mogło mieć istotny wpływ na wynik sprawy.

Spółka wniosła o:

1. uchylenie decyzji w zaskarżonej części, tj. w zakresie pkt 1;

2. przeprowadzenie dowodów uzupełniających z następujących dokumentów:

a. wezwań Policji, Straży Miejskiej, Urzędów Miast i Głównego Inspektoratu Transportu Drogowego z lat 2020-2023 na okoliczność ich treści, w tym daty wysłania pism, dat popełnienia wykroczenia, występku lub zdarzeń będących podstawą nałożenia opłaty dodatkowej, podstaw prawnych i zakresu żądanych danych przez organ, w tym numeru PESEL, rygorów prawnych braku podania danych, w tym konsekwencji prawnych i finansowych dla skarżącej;

b. zestawienia wezwań w związku z mandatami, występkami i opłatami dodatkowymi od Policji, Straży Miejskiej, Urzędów Miasta, Zarządów Dróg Miast

i Głównego Inspektoratu Transportu Drogowego za lata 2019 - I kwartał 2023 na okoliczności: liczby wezwań o wskazanie danych osobowych (w tym nr PESEL) użytkowników pojazdów w ramach usługi Spółki, opóźnień w dacie zdarzenia objętego wezwaniem a datą skierowania wezwania do skarżącej lub [...] sp. z o.o. sp.k. będącej właścicielem/korzystającym w ramach leasingu z pojazdów udostępnionych umownie skarżącej, skali zjawiska związanego z mandatami, wykroczeniami i opłatami dodatkowymi w ramach działalności prowadzonej przez skarżącą;

c. umowy ramowej współpracy nr [...] z [...].12.2016 r. pomiędzy Spółką a [...] sp. z o.o. sp. k. na okoliczność podstaw udostępnienia skarżącej przez [...] sp. z o.o. sp. k. pojazdów będących przedmiotem usługi Spółki, w tym pojazdów objętych wezwaniami, o których mowa w dowodach z dokumentów w lit. a i b powyżej;

2. zasądzenie kosztów postępowania, w tym kosztów zastępstwa przez profesjonalnego pełnomocnika wraz z opłatami skarbowymi od pełnomocnictw;

3. skierowanie sprawy do rozpoznania w trybie uproszczonym;

4. wstrzymanie wykonania przez Sąd decyzji w zaskarżonej czynności (pkt 1) decyzji).

W uzasadnieniu skargi Spółka wyjaśniła, że prowadzi działalność gospodarczą polegającą na carsharingu, tj. krótkoterminowym wynajmie pojazdów "na minuty". Pojazdy będące przedmiotem usługi Spółki są pojazdami, co do których własność lub prawo korzystania na mocy umów leasingu przysługuje bezpośrednio Spółce lub które są własnością lub przedmiotem leasingu [...] sp. z o.o., która udostępnia je następnie Spółce na mocy umowy ramowej współpracy w zakresie usług najmu nr [...] z [...] grudnia 2016 r. Dlatego też w Regulaminie zamieszczono pkt 87, który wskazuje podstawę udostępnienia danych osobowych użytkowników tejże spółce w celu realizacji uzasadnionego interesu tej spółki polegającego na wskazaniu właściwym organom osoby, która jest zobowiązana do uiszczenia opłaty dodatkowej lub kwestii wykroczeń drogowych. W ramach zawartej umowy najmu użytkownik jest zobowiązany bowiem do przestrzegania przepisów ruchu drogowego oraz przepisów administracyjnych. W przypadku naruszenia tych regulacji obowiązkiem Spółki jest przekazanie odpowiednich danych takiego użytkownika organom prowadzącym postępowanie w zakresie popełnienia czynu zabronionego oraz organom administracji nakładającym opłaty związane z parkowaniem pojazdów (pkt 36 Regulaminu). Pojazd będący przedmiotem usługi Spółki może być parkowany w każdym miejscu, o ile jest to zgodne z przepisami i Regulaminem. Co do zasady bezpłatne parkowanie dla użytkowników w obrębie miejskich stref płatnego parkowania jest dostępne tylko w wybranych miejscowościach, z wyłączeniem lokalizacji, gdzie możliwość wjazdu i parkowania jest uzależniona od dodatkowych wymagań, np. strefa płatnego parkowania tylko dla mieszkańców i parkingów prywatnych, np. w centrach handlowych, na prywatnych posesjach. Koszty parkowania w takich miejscach obciążają wyłącznie użytkownika (tak pkt 39 i 40 Regulaminu).

Spółka dalej wskazała, że w ramach świadczenia usług najmu i korzystania

z aplikacji mobilnej przetwarza określony katalog danych osobowych użytkownika.

W ramach tego katalogu znajduje się także nr PESEL (jeżeli został nadany). Nr PESEL jest przetwarzany na następujących podstawach: 1) dla podjęcia czynności przed zawarciem umowy i później na potrzeby jej wykonania (art. 6 ust. 1 lit. b) RODO), 2)

z uwagi na uzasadniony interes skarżącej wynikający z celów archiwalnych w razie konieczności (potencjalnego ryzyka) dochodzenia ewentualnych roszczeń i obrony przed roszczeniami wynikającymi z zawartych umów najmu (art. 6 ust. 1 lit. f) RODO; tak pkt 81 lit. a Regulaminu) oraz 3) w celu weryfikacji wiarygodności płatniczej użytkownika za pośrednictwem Krajowego Rejestru Długów na podstawie zgody użytkownika (art. 6 ust. 1 lit. a) RODO).

Ponadto Spółka wyjaśniła, że jeżeli chodzi o roszczenia dotyczące umów, nie są to tylko stricte roszczenia wynikające z Kodeksu cywilnego dotyczącego najmu, tj. art. 659-679 k.c., ale także roszczenia mające swoje podstawy w przepisach umowy najmu zawartej między użytkownikiem a Spółką, które precyzuje Regulamin. Taką podstawę określają m.in. punkty 36, 29 i 40 Regulaminu dotyczące przestrzegania przepisów ruchu drogowego i przepisów administracyjnych, w tym w zakresie parkowania. Opłaty dodatkowe i mandaty wynikające z naruszenia tych przepisów obciążają w pełni użytkownika w związku z ww. punktami Regulaminu. W przypadku naruszenia organ w celu ustalenia użytkownika pojazdu z daty zdarzenia zwraca się do Spółki lub do [...] sp. z o.o. sp. k. (w przypadkach opisanych w pkt 87 Regulaminu) z wezwaniem o udostępnienie następującego katalogu danych:

1. Policja - imię i nazwisko, adres, nr PESEL, nr telefonu;

2. Straż miejska, Zarząd Dróg danego Miasta - imię i nazwisko, adres zamieszkania/korespondencji i nr PESEL lub nr dowodu osobistego;

3. Główny Inspektorat Transportu Drogowego - nazwisko, nazwisko rodowe, imię, imię drugie, imię matki, imię ojca, płeć, miejsce urodzenia, data urodzenia, PESEL, obywatelstwo, rodzaj, seria i nr dokumentu tożsamości (dowód osobisty, paszport lub karta pobytu), adres zamieszkania i adres do doręczeń (jeżeli jest inny niż adres zamieszkania, opcjonalnie nr telefonu kontaktowego;

Przy czym zakres żądanych danych zawsze obejmuje obligatoryjnie wskazanie numeru PESEL, alternatywnie z danymi dotyczącymi dokumentu tożsamości. Ww. organy też często korzystają z uniwersalnych oświadczeń na drukach, które zawierają jeszcze szerszy zakres danych niż ww. (przykładowe załączone do niniejszej skargi).

Spółka wskazała, że podstawami prawnymi wskazywanymi przez ww. organy są:

1. Policja, Straż miejska, Główny Inspektorat Transportu Drogowego - art. 78 ust. 4 i 5 ustawy prawo o ruchu drogowym;

2. Policja - art. 15 ust. 1 pkt 6-8 w zw. z art. 14 ust. 2 i 4 i art. 20 ust. Ic i ld ustawy z 6.04.1990 r. o Policji, rozporządzenie wykonawcze Rady Ministrów w sprawie postępowania przy wykonywaniu niektórych uprawnień policjantów wydawane na podstawie art. 15 ust. 8 ustawy o Policji (ostatnia wersja z 4.02.2020 r.), art. 15 § 1 -3 Kodeksu postępowania karnego, także w zw. z art. 8 Kodeks postępowania w sprawach o wykroczenia;

3. Straż miejska - art. 129b ust. 3 pkt 7 ustawy prawo o ruchu drogowym i art. 12 ust. 1 pkt 5 ustawy z 29.08.1997 r. o strażach gminnych;

4. Główny Inspektorat Transportu Drogowego - art. 129a ust. 1 pkt 3 lit. b albo art. 129g ust. 2 pkt 2 ustawy prawo o ruchu drogowym w zw. z art. 54 Kodeksu postępowania w sprawach o wykroczenia;

5. Zarząd Dróg danego Miasta - art. 13 ust. 1 pkt 1 lit. a-b, art. 13b, art. 13f ustawy o drogach publicznych;

Spółka zarzuciła, że w toku postępowania organ w istocie nie przeprowadził postępowania dowodowego i nie wyjaśnił tym samym istotnych okoliczności sprawy, które pozwoliłyby mu na prawidłowe zastosowanie przepisów materialnych dotyczących usunięcia danych w zakresie nr PESEL. Organ przede wszystkim nie wyjaśnił wszystkich podstaw prawnych przetwarzania przez skarżącą danych osobowych w postaci numeru PESEL, celów i okresów przetwarzania danych osobowych w postaci numeru PESEL, w tym dla celów dochodzenia i obrony przed roszczeniami z uwzględnieniem wszystkich obowiązków ciążących na użytkowniku zgodnie z umową najmu, którą określa Regulamin. W konsekwencji organ nie ustalił w sposób kompletny, czy istnieją, bądź nie istnieją, okoliczności uzasadniające dalsze przetwarzanie numeru PESEL użytkownika przez skarżącą. Organ w ogóle nie podjął trudu analizy samego Regulaminu celem szczegółowego i pełnego ustalenia stanu faktycznego sprawy. Tym samym organ naruszył przepisy art. 7 i 77§ 1 k.p.a.

Spółka wskazała, że o ile zgoda została faktycznie skutecznie wycofana przez skarżącego (przed organem), o tyle organ pominął inne podstawy prawne przetwarzania danych w zakresie nr PESEL, a to art. 6 ust. 1 lit. f RODO - cel archiwizacyjny dotyczący ryzyka dochodzenia lub obrony przed ewentualnymi roszczeniami związanymi z umową najmu. Organ konkretnie w zakresie nr PESEL skupił się jedynie na podstawach przetwarzania określonych w lit. c i b komentowanego przepisu, odrzucając zupełnie możliwość przetwarzania numeru PESEL na podstawie lit. f - uzasadnionego prawnie interesu skarżącej jako administratora danych, co skarżąca niniejszym kwestionuje.

Następnie Spółka zarzuciła, że prawidłowa wykładnia tego przepisu nie zakłada bowiem, że dotyczy jedynie sytuacji, kiedy roszczenie administratora danych albo osoby, której dane dotyczą zostało zaktualizowane. Zgodnie z orzecznictwem i samymi decyzjami PUODO obejmuje to także sytuacje, gdy dane są przetwarzane w celu zabezpieczenia się przez administratora przed ewentualnymi roszczeniami mogącymi powstać w przyszłości. Na poparcie tego stanowiska Spółka przytoczyła tezy

z orzecznictwa

Ponadto Spółka podniosła, że organ - pomimo ciążącego na nim obowiązku - przed wydaniem zaskarżonej decyzji nie umożliwił stronie skorzystania z prawa do wypowiedzenia się co do zebranego w toku postępowania materiału i dowodów, czym naruszył przepisy postępowania, a to art. 10 k.p.a. w zw. z art. 81 k.p.a. Zdaniem Spółki brak w aktach przedmiotowej sprawy końcowego oświadczenia strony oraz dowodu, że organ prowadzący postępowanie pouczył stronę o przysługującym jej prawie - uzasadnia wniosek, że organ prowadzący postępowanie naruszył obowiązek ustalony w art. 10 § 1 k.p.a. Gdyby organ prawidłowo pouczył Spółkę o ww. prawie, skarżąca miałaby możliwość przedstawienia swojego finalnego stanowiska wraz z nowymi dowodami na jego poparcie i zwrócenia na nie uwagi organowi, co być może doprowadziłoby do uzupełnienia postępowania dowodowego przez organ i dokładnego wyjaśnienia stanu faktycznego sprawy.

W odpowiedzi na skargę organ wniósł o oddalenie skargi, podtrzymując argumentację zawartą w zaskarżonej decyzji.

Ponadto organ zwrócił uwagę, że w skardze Spółka podnosi możliwość wystąpienia ewentualnych roszczeń, które zobowiązują ją do wskazania osoby, której "powierzyła pojazd do kierowania lub używania w oznaczonym czasie". Spółka przytacza przepisy ustaw i innych aktów prawnych, które nakładają na nią obowiązek udzielenia informacji o osobie, która kierowała bądź używała w danym czasie pojazdu należącego do Spółki w celu uwolnienia się od ewentualnego zobowiązania. PUODO podniósł, że w żadnym z aktów prawnych wskazanych przez Spółkę nie pojawia się zakres danych, które jest zobligowana podać. Z przepisów prawa, na które powołuje się Spółka (ustawa o Policji, prawo o ruchu drogowym, ustawa o strażach gminnych, ustawa o drogach publicznych) nie wynika, aby wymagane było podanie numeru PESEL osoby, która takim pojazdem kierowała lub która go używała. To m.in. policja, straż miejska, ale także inne organy są uprawnione do pozyskania numeru PESEL z właściwego rejestru w trybie wnioskowym. Ponadto, Spółka wnosi o przeprowadzenie nowych dowodów załączonych do skargi, są to m.in. przykładowe wezwania do udostępnienia danych osoby kierującej/używającej pojazdu. W załączonych wezwaniach widnieją formularze, na których wskazane są dane osobowe wymagające uzupełnienia. Idąc tokiem rozumowania Spółki, należy wypełnić każdą daną wymienioną w formularzu, na którym znajdują się niekiedy dane o miejscu pracy, czy nazwisku rodowym, a które w przypadku Skarżącego nie były przetwarzane przez Spółkę.

Organ zwrócił również uwagę, że Spółka, na żądanie skarżącego sprzed wniesienia skargi inicjującej postępowanie przed PUODO, zanonimizowała dane skarżącego w zakresie m.in. kraju wydania i numeru prawa jazdy oraz numeru telefonu a dane te także występują w załączonych formularzach. Zdaniem organu Spółka nie zdołałaby uzupełnić każdej z danych osobowych skarżącego, co - zgodnie z jej twierdzeniami - podobnie jak w przypadku braku numeru PESEL, powodowałoby po jej stronie odpowiedzialność. Dodatkowo na ww. formularzach niekiedy ważne dane zaznaczone zostały gwiazdką (brak oznaczenia przy numerze PESEL), a sam numer PESEL wskazany został jako dana wymagająca uzupełnienia, o ile jest znana Spółce, natomiast w zakresie pouczeń o odpowiedzialności Spółki, te informowały jedynie

o odpowiedzialności w przypadku braku reakcji na żądanie organu, nie zaś w przypadku niepodania którejkolwiek z danych.

PUODO podniósł również, że Spółka wskazuje, iż "organ pominął w swoich rozważaniach art. 17 ust. 3 RODO, zgodnie z którym prawo do bycia zapomnianym nie ma charakteru bezwzględnego i jest ograniczone w zakresie wskazanym w tym przepisie. W obecnej sytuacji wyłączenie zastosowania prawa do bycia zapomnianym aktualizuje się w zakresie lit. e) tego przepisu — niezbędność do ustalenia, dochodzenia lub obrony roszczeń." Organ zaznaczył, że Spółka w toku postępowania administracyjnego nie powoływała się na istnienie ww. przesłanek a w treści przedmiotowej skargi nie uzasadniła możliwości zastosowania ww. przepisu. Jednak zgodnie z treścią ww. artykułu przewidziane w nim wyłączenie ma zastosowanie w zakresie w jakim przetwarzanie jest niezbędne do ustalenia, dochodzenia lub obrony roszczeń. Wskazane wyłączenie na kanwie niniejszej sprawy nie może zostać uwzględnione m.in. ze względu na brak przesłanki niezbędności w przetwarzaniu numeru PESEL,

Odnośnie zarzutu naruszenia art. 10 w zw. z art. 81 k.p.a. organ wyjaśnił, że pismem z [...] listopada 2021 r., doręczonym adresatowi dnia [...] listopada 2021 r. (co wynika ze zwrotnego potwierdzenia odbioru - w aktach sprawy) poinformowano Spółkę o zebraniu materiału dowodowego oraz pouczono o możliwości wypowiedzenia się co do zebranych dowodów i materiałów oraz zgłoszonych żądań. Spółka miała możliwość wypowiedzenia się co do zebranego materiału dowodowego w sprawie, pismo zostało jej doręczone prawidłowo (dowód w aktach sprawy), wobec powyższego zdaniem PUODO uznać należy, że nowe dowody i twierdzenia powołane w skardze Spółka winna była przedłożyć w toku postępowania przed PUODO, nie zaś przy przedmiotowej skardze.

W piśmie procesowym z dnia 31 sierpnia 2023 r. Spółka podtrzymała zarzuty skargi, przedstawiając dodatkową argumentację. Spółka wniosła również

o przeprowadzenie dowodów uzupełniających z następujących dokumentów:

1. korespondencji mailowej Policji, Straży Miejskiej, Urzędów Miast (Wydziałów Windykacji Zarządów Dróg Miejskich) z okresu 08.2022 -03.2023 r. wraz

z załącznikami na okoliczność ich treści, w tym zakresu żądanych danych w ramach prowadzonych postępowań, konieczności podania numeru PESEL użytkownika pojazdu, problemów z identyfikacją użytkownika jedynie w oparciu o imię, nazwisko i adres, bez numeru PESEL, powoływanych przez organ podstaw prawnych do przetwarzania danych osobowych użytkownika pojazdu, w tym jego/jej numeru PESEL;

2. umowy ramowej współpracy nr [...] z [...].12.2016 r. pomiędzy skarżącą a [...] sp. z o.o. sp. k. (załączonej do skargi jako zał. nr 7) na okoliczność faktu zawarcia umowy między stronami i jej treści, w tym podstaw udostępnienia skarżącej przez [...] sp. z o.o. sp. k. pojazdów będących przedmiotem usługi Spółki, w tym pojazdów objętych wezwaniami, o których mowa w dowodach z dokumentów w pkt 1.

W piśmie procesowym z dnia 18 września 2023 r. Spółka wniosła

o przeprowadzenie dowodów uzupełniających z dokumentów, tj. faktur VAT i zrzutów

z systemu Spółki w odniesieniu do wymienionych w tym piśmie pojazdów na okoliczność ich treści, w tym faktu, że ww. pojazdy były przedmiotem najmu w ramach usługi Spółki w dacie popełnienia zdarzenia (wykroczenie drogowe, opłaty dodatkowe za parkowanie na drogach publicznych) w odniesieniu do wezwań, o których mowa w dowodach

z dokumentów przedłożonych do skargi i do ostatniego pisma procesowego.

W kolejnym piśmie procesowym z dnia 20 września 2023 r. Spółka wniosła

o przeprowadzenie dowodów uzupełniających z dokumentów, tj. z zestawienia pojazdów wydanych jej przez [...] sp. z o.o. sp. k. w ramach umowy ramowej współpracy nr [...] z [...].12.2016 r. na okoliczność ich treści, w tym faktu, że ww. pojazdy były przedmiotem ww. umowy, wydania ich Spółce i daty wydania.

Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje:

Na wstępie należy wyjaśnić, że złożona w niniejszej sprawie skarga została rozpoznana na posiedzeniu niejawnym w trybie uproszczonym, stosownie do art. 119 pkt 2 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2023 r. poz. 1634, z późn. zm.), dalej "p.p.s.a." Zgodnie z powołaną regulacją, sprawa może być rozpoznana w trybie uproszczonym, jeżeli strona zgłosi wniosek o skierowanie sprawy do rozpoznania w trybie uproszczonym, a żadna z pozostałych stron w terminie czternastu dni od zawiadomienia o złożeniu wniosku nie zażąda przeprowadzenia rozprawy.

W skardze Spółka wniosł o rozpoznanie sprawy w trybie uproszczonym, zaś żadna z pozostałych stron nie zażądała przeprowadzenia rozprawy.

Zgodnie z art. 1 § 1 i § 2 ustawy z dnia 25 lipca 2002 r. - Prawo o ustroju sądów administracyjnych (Dz. U. z 2022 r., poz. 2492, z późn. zm.) oraz art. 3 § 1 p.p.s.a., sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej. Kontrola ta polega na ocenie zgodności zaskarżonego aktu z przepisami postępowania administracyjnego, a także prawidłowości zastosowania i wykładni norm prawa materialnego. Kontrola ta jest dokonywana według stanu faktycznego i prawnego obowiązującego w dacie wydania zaskarżonego aktu.

W myśl art. 134 § 1 i 2 p.p.s.a. sąd rozstrzyga w granicach danej sprawy nie będąc związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną, z zastrzeżeniem art. 57a, przy czym sąd nie może wydać orzeczenia na niekorzyść skarżącego, chyba że stwierdzi naruszenie prawa skutkujące stwierdzeniem nieważności zaskarżonego aktu lub czynności.

Rozpatrując skargę wedle powyższych kryteriów Sąd uznał, że nie zasługuje ona na uwzględnienie.

Kontrolując zaskarżona decyzję Sąd zważył, że w świetle RODO przetwarzanie danych osobowych uważa się za legalne, jeśli ich administrator spełni co najmniej jedną z przesłanek wskazanych w art. 6 ust. 1 RODO, a mianowicie: a) osoba, której dane dotyczą wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów, b) przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy, c) przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze, d) przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej, e) przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi, f) przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem.

W sprawie niesporne jest, że Spółka pozyskała dane osobowe M. K. (dalej "uczestnik postępowania") bezpośrednio od niego w związku z rejestracją

w serwisie Spółki, tj. przez zawarcie umowy. Jak słusznie organ zauważa w zaskarżonej decyzji w związku z powyższym, Spółka przetwarzała dane osobowe w oparciu o art. 6 ust. 1 lit. b RODO. Przepis ten stanowi, że przetwarzanie jest zgodne z prawem, gdy jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy.

Niemniej jednak uczestnik postępowania zażądał usunięcia jego konta z serwisu Spółki, zakończenia umowy oraz usunięcia jego danych osobowych.

Organ w zaskarżonej decyzji uznał, iż Spółka jest uprawniona do dalszego przetwarzania dennych osobowych uczestnika postępowania w zakresie imienia, nazwiska, adresu zamieszkania oraz danych telemetrycznych przejazdów, mimo wniesionego żądania ich usunięcia, w oparciu o art. 6 ust. 1 lit. c RODO. Wynika to

z obowiązków nałożonych na Spółkę w oparciu o przepisy powołanych wyżej ustaw: ustawy o rachunkowości, ustawy o podatku od towarów i usług oraz ustawy Ordynacja podatkowa.

Sporne w sprawie jest, czy Spółka jest uprawniona do dalszego przetwarzania danych osobowych uczestnika postępowania w zakresie nr PESEL.

Jak słusznie zwrócił uwagę organ w zaskarżonej decyzji z przedstawionego w toku postępowania przez Spółkę regulamin korzystania z jej usług wynika, że numer PESEL użytkowników przetwarzany jest jedynie na podstawie art. 6 ust. 1 lit. a RODO (pkt 81 lit. c regulaminu) a wycofanie ww. zgody możliwe jest w każdym czasie (pkt 85 regulaminu).

W toku postępowania przed organem Spółka wyjaśniła, że przetwarza dane osobowe uczestnika postępowania m. in. w zakresie nr PESEL w celu dochodzenia roszczeń związanych z zawarciem i wykonaniem umowy najmu (przez Spółkę oraz wobec Spółki) do czasu przedawnienia roszczeń z tytułu tej umowy. Tak określony przez Spółkę cel przetwarzania należałoby zatem rozpatrywać w kontekście art. 6 ust. 1 lit. f RODO, który to przepis stanowi, że przetwarzanie jest zgodne z prawem jeżeli jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem.

Sąd podziela stanowisko organu wskazujące, że Spółka nie była uprawniona do przetwarzania danych osobowych uczestnika postępowania w powyższym zakresie

w oparciu o tego rodzaju podstawę.

W motywie 47 preambuły RODO wskazuje się, że "Podstawą prawną przetwarzania mogą być prawnie uzasadnione interesy administratora, w tym administratora, któremu mogą zostać ujawnione dane osobowe, lub strony trzeciej, o ile w świetle rozsądnych oczekiwań osób, których dane dotyczą, opartych na ich powiązaniach z administratorem nadrzędne nie są interesy lub podstawowe prawa i wolności osoby, której dane dotyczą. Taki prawnie uzasadniony interes może istnieć na przykład w przypadkach, gdy zachodzi istotny i odpowiedni rodzaj powiązania między osobą, której dane dotyczą, a administratorem, na przykład gdy osoba, której dane dotyczą, jest klientem administratora lub działa na jego rzecz. Aby stwierdzić istnienie prawnie uzasadnionego interesu, należałoby w każdym przypadku przeprowadzić dokładną ocenę, w tym ocenę tego, czy w czasie i w kontekście, w którym zbierane są dane osobowe, osoba, której dane dotyczą, ma rozsądne przesłanki by spodziewać się, że może nastąpić przetwarzanie danych w tym celu. (...)."

Oparcie przetwarzania danych osobowych na przepisie art. 6 ust. 1 lit. f RODO wymaga kumulatywnego spełnienia dwóch przesłanek. Po pierwsze, musi występować prawnie uzasadniony interes, który jest realizowany przez administratora lub przez stronę trzecią. Po drugie, niezbędna jest weryfikacja, czy przetwarzanie danych osobowych jest niezbędne dla realizacji celu wynikającego z powyższego interesu.

Zdaniem Sądu w niniejszej sprawie nie można uznać, że przetwarzanie danych osobowych uczestnika postępowania jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez Spółkę, tj. dochodzenia roszczeń związanych z zawarciem i wykonaniem umowy najmu. Skoro bowiem Spółka nie wystąpiła i nie zamierza wystąpić z jakimikolwiek roszczeniami względem uczestnika postępowania, ani też uczestnik postępowania nie wystąpił z roszczeniami względem Spółki, to trudno uznać, że przetwarzanie jej danych osobowych jest niezbędne do wskazywanych przez Spółkę celów. Tak określony cel przetwarzania danych osobowych jest bowiem celem ewentualnym. Ta jego cecha pozbawia zaś proces przetwarzania danych osobowych elementu niezbędności.

Słusznie organ podnosi, że przesłanka z art. 6 ust 1 lit. f RODO dotyczy sytuacji już istniejącej, w której celem wynikającym z prawnie uzasadnionych interesów realizowanych przez administratora jest konieczność udowodnienia, potrzeba dochodzenia lub obrony przed roszczeniem istniejącym, nie zaś sytuacji, gdy dane są przetwarzane w celu zabezpieczenia się przed ewentualnym roszczeniem.

W ocenie Sądu w składzie orzekającym w niniejszej sprawie, organ trafnie uznał, wbrew temu co podnosi Spółka, że brak jest podstaw, aby uznać, że prawidłowo przetwarza dane osobowe uczestniczka postępowania w oparciu o przesłankę z art. 6 ust. 1 lit. f RODO. Słusznie jest stwierdzenie, że Spółka przetwarza dane osobowe uczestnika postępowania w celu zabezpieczenia się przed ewentualnym roszczeniem wyłącznie "na zapas".

Podnieść należy, że przetwarzanie danych w celu dochodzenia roszczeń (przetwarzanie w celach windykacyjnych) oraz obrony przed roszczeniami, nie jest tożsame z przetwarzaniem na wypadek przyszłej i niepewnej konieczności dochodzenia roszczeń, które dopiero mogą pojawić się w przyszłości lub obrony przed nimi. Podkreślić bowiem należy, że przesłanka z art. 6 ust. 1 lit. f RODO dotyczy sytuacji już istniejącej, w której celem wynikającym z prawnie uzasadnionych interesów realizowanych przez administratora jest konieczność udowodnienia, potrzeba dochodzenia lub obrony przed roszczeniem istniejącym, nie zaś sytuacji, gdy dane są przetwarzane w celu zabezpieczenia się przed ewentualnym roszczeniem, które uczestnik postępowania być może skieruje do Spółki w przyszłości, a być może taka sytuacja nie będzie mieć miejsca. Spółka pomija, że przetwarzanie danych osobowych w oparciu o przesłankę określoną w art. 6 ust. 1 lit. f RODO może odbywać się, gdy przetwarzanie to jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych. Nie można zaś uznać, że przetwarzanie danych osobowych prowadzone niejako "na wszelki wypadek" jest nadrzędne nad interesami oraz podstawowymi prawami i wolnościami uczestnika postępowania.

Sąd podziela stanowisko Naczelnego Sądu Administracyjnego wyrażone

w wyroku z 27 marca 2018 r., sygn. akt I OSK 1459/16, odnoszące się do art. 25 ust. 1 pkt 5 ustawy z 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. 2016 r. poz. 922 ze zm.), zwanej dalej "u.o.d.o.", które pozostaje aktualne także w świetle obowiązującego art. 6 ust. 1 lit. f RODO. W wyroku tym NSA wskazał, że przepis art. 23 ust. 1 pkt 5 ustawy na pierwszym miejscu wymienia warunek, że przetwarzanie danych winno być niezbędne dla wypełnienia prawnie usprawiedliwionych celów. Niedopuszczalne jest więc przetwarzanie danych osobowych niejako "na zapas" z założeniem, że mogą być one ewentualnie przydatne w przyszłości, na przykład z odwołaniem się do przepisów dotyczących przedawnienia roszczeń cywilnoprawnych, czy postępowań administracyjnych bądź karnych.

Przywołać też należy stanowisko Naczelnego Sądu Administracyjnego wyrażone w wyroku z 6 marca 2019 r., sygn. akt I OSK 994/17, w którym wskazano, że fakt, iż poszczególne procedury zawierają przepisy dotyczące ciężaru dowodu nie może uzasadniać przetwarzania danych osobowych skoro między stronami nie toczy się żadne postępowanie. Tego rodzaju działanie uznać należy także za sprzeczne z art. 26 ust. 1 u.o.d.o, który stanowi, że administrator danych, przetwarzający dane, powinien dołożyć szczególnej staranności w celu ochrony interesów osób, których dane dotyczą,

a w szczególności jest obowiązany zapewnić, aby dane te były przetwarzane zgodnie

z prawem, a także merytorycznie poprawne i adekwatne w stosunku do celów, w jakich są przetwarzane.

Podkreślenia wymaga, że przy przyjęciu odmiennej interpretacji ww. przepisów, uczestnik postępowania zostałby pozbawiony ochrony na gruncie przepisów o ochronie danych osobowych. Zaznaczyć bowiem należy, że przyjęcie za prawidłowe stanowiska, że przetwarzanie danych osobowych w celu uchylenia się od negatywnych skutków w przypadku zgłoszenia w przyszłości ewentualnego i nieokreślonego roszczenia, stanowi prawnie usprawiedliwiony cel w rozumieniu art. 6 ust. 1 lit. f RODO oznaczałoby, że dane osobowe uczestnika postępowania mogą być przetwarzane przez Spółkę permanentnie, bez konieczności ich usunięcia.

Należy zwrócić uwagę na stanowisko Sądu Najwyższego wyrażone

w postanowieniu z 18 czerwca 2015 r., sygn. akt III CZ 27/15, wskazujące, że roszczenie to możliwość domagania się od konkretnej osoby, aby w stosunku do uprawnionego zachowała się w ten sposób, że spełni na jej rzecz świadczenie pieniężne lub niepieniężne, wykona pewną czynność, powstrzyma się od jakiegoś działania lub zniesie działanie uprawnionego. Powstaje ono w następstwie zaistnienia w relacjach między uprawnionym i zobowiązanym faktów, z którymi przepisy prawa wiążą konsekwencje determinujące treść poszczególnych roszczeń. Skutkiem przedawnienia, o którym mowa w art. 117 k.c., nie jest wygaśnięcie roszczenia, a tylko niemożność uzyskania ochrony sądowej i w konsekwencji możliwości uzyskania jego przymusowego zaspokojenia z majątku dłużnika. Zobowiązanie na skutek przedawnienia przekształca się w naturalne (tak również: wyrok Sądu Najwyższego z dnia 9 lutego 2018 r., I CSK 246/17, LEX nr 2483686). Oznacza to, że zobowiązanie nadal istnieje a wierzyciel może podejmować szereg czynności windykacyjnych zmierzających do pozasądowej regulacji zobowiązania. W pojęciu bowiem dochodzenia roszczeń, mieszczą się zarówno sądowe, jak i pozasądowe działania zmierzające do zaspokojenia wierzytelności przez wierzyciela, mieszczące się w granicach obowiązujących przepisów (tak również: Naczelny Sąd Administracyjny w wyroku z 10 listopada 2015 r. sygn. akt I OSK 1210/14). Wskazać ponadto należy, że obowiązujące przepisy prawa nie określają katalogu, który przewidywałby możliwe sposoby postępowań służące dochodzeniu roszczeń. Tym samym dochodzenie roszczeń może mieć miejsce również po upływie okresu jego przedawnienia.

Teoretycznie zatem możliwym jest by uczestnik postępowania zwrócił się do Spółki z roszczeniem po upływie terminu przedawnienia roszczenia. Prowadziłoby to tym samym do uznania, że przetwarzanie jego danych osobowych przez Spółkę ma uzasadnienie w przesłance określonej art. 6 ust. 1 lit. f RODO w celu realizacji prawa do obrony przed ewentualnym roszczeniem wnioskodawczyni również po upływie ww. terminu. Uzależnienie zatem okresu przetwarzania danych osobowych w celu obrony przed ewentualnymi roszczeniami od okresu przedawnień roszczeń cywilnoprawnych nie ma zatem jakiegokolwiek uzasadnienia.

Podkreślenia wymaga, że PUODO nie może opierać się na przyszłych niepewnych zdarzeniach, które mogą, lecz nie muszą nastąpić. Organ wydając decyzję administracyjną, zobowiązany jest do rozstrzygania sprawy w oparciu o stan faktyczny istniejący w chwili wydania tej decyzji. Tym samym decyzja organu nie może opierać się na przyszłych i niepewnych okolicznościach faktycznych.

Sąd w składzie orzekającym w niniejszej sprawie nie podziela poglądów zawartych w przywołanych przez Spółkę wyrokach Wojewódzkiego Sądu Administracyjnego

w Warszawie. Zauważyć bowiem należy, że tutejszy Sąd wydał w ostatnim czasie szereg innych wyroków, w których wypowiedział się o braku możliwości przetwarzania danych osobowych na podstawie art. 6 ust. 1 lit. f RODO w celu zabezpieczenia się przed ewentualnym przyszłymi i niepewnymi roszczeniami (patrz wyroki Wojewódzkiego Sądu Administracyjnego w Warszawie z 11 marca 2021 r. sygn. akt II SA/Wa 1340/20, z 13 stycznia 2021 r. o sygn. akt II SA/Wa 607/20, z 29 lipca 2021 r. sygn. II SA/Wa 1725/20, z 16 listopada 2020 r. sygn. II SA/Wa 781/20, z 5 maja 2021 r. sygn. II SA/Wa 2014/20, z 15 listopada 2023 r. sygn. akt II SA/Wa 236/23, z 31 maja 2023 r., sygn. akt II SA/Wa 2058/22).

Niezasadny jest zarzut naruszenia art. 7 k.p.a. w zw. z art. 77 § 1 k.p.a. poprzez brak dokładnego wyjaśnienia przez organ stanu faktycznego sprawy, w szczególności

w zakresie ustalenia wszystkich podstaw prawnych przetwarzania przez Spółkę danych osobowych w postaci numeru PESEL uczestnika postępowania.

Zauważyć należy, że w toku postępowania organ skierował do Spółki pismo z dnia [...] października 2021 r., w którym zwrócił się o wskazanie m.in. na jakiej podstawie prawnej oraz w jakim celu przetwarza dane osobowe uczestnika postępowania (k. 8).

W odpowiedzi (k. 18) Spółka wskazała, że przetwarza dane osobowe uczestnika postępowania, m.in. w zakresie nr PESEL, w celu dochodzenia roszczeń związanych

z zawarciem umowy przez Spółkę oraz wobec Spółki, jak również w celu realizacji obowiązków prawnych ciążących na niej w związku z umową, tj. obowiązków wynikających z ustawy o rachunkowości, ustawy o podatku od towarów i usługo oraz ustawy Ordynacja podatkowa. Spółka nie wskazywała innych celów ani też innych podstaw przetwarzania danych osobowych uczestnika postępowania. Stąd też przedmiotem oceny organu w postępowaniu zakończonym zaskarżoną decyzją były wyłącznie te kwestie.

Pamiętać należy, że to Spółka jest administratorem danych uczestnika postępowania. Wobec tego to Spółka ustala cele i sposoby przetwarzania danych osobowych (art. 4 pkt 7 RODO). Organ nie miał zatem obowiązku oceniać legalność przetwarzania danych osobowych uczestnika postępowania w kontekście innych celów ich przetwarzania niż te, które Spółka przedstawiła w toku postępowania.

W tej sytuacji argumentacja Spółki dotycząca tego, iż jest ona zobowiązana, na żądanie odpowiednich służb, do przekazywania tym służbom danych osobowych osób kierujących pojazdami w tym numeru PESEL jest przede wszystkim spóźniona. Organ nie miał możliwości aby wypowiedzieć się w tej kwestii w wydanej w sprawie decyzji, ponieważ Spółka takich kwestii w toku postępowania nie podnosiła. Ponadto argumentacja ta nie jest zasadna, albowiem jak słusznie zauważa organ w odpowiedzi na skargę żaden z przepisów wskazywanych przez Spółkę, tj. art. 78 ust. 4 i 5 ustawy Prawo o ruchu drogowym, art. 15 ust. 1 pkt 6-8 w zw. z art. 14 ust. 2 i 4 i art. 20 ust. 1c i ust. 1d ustawy o Policji, art. 15 ust. 1-3 Kodeksu postępowania karnego w zw. z art. 8 Kodeksu postępowania w sprawach o wykroczenia, art. 129b ust. 3 pkt 7 ustawy Prawo o ruchu drogowym, art. 129a ust. 1 pkt 3 lit b i art. 129g ust. 2 pkt 2 ustawy Prawo o ruchu drogowym w zw. z art. 54 8 Kodeksu postępowania w sprawach o wykroczenia oraz art. 13 ust. 1 pkt 1 lit. a i b, art. 13b, art. 13f ustawy o drogach publicznych, nie nakłada na podmiot prowadzący tego rodzaju działalność co Spółka obowiązku przekazywania odpowiednim służbom numeru PESEL kierującego pojazdem. Trafnie przy tym organ wskazuje w odpowiedzi na skargę, że to m.in. Policja, straż miejska, ale także inne organy są uprawnione do pozyskania numeru PESEL z właściwego rejestru w trybie wnioskowym.

Na uwzględnienie nie zasługiwał zarzut naruszenia art. 10 § 1 w zw. z art. 81 k.p.a. Organ przed wydaniem decyzji skierował do Spółki drogą elektroniczną zawiadomienie (pismo z dnia [...] listopada 2021 r. k. 40) o tym, że zebrany został materiał dowodowy wystarczający do wydania decyzji oraz o możliwości wypowiedzenia się co do zebranych dowodów i materiałów oraz zgłoszonych żądań. Z akt sprawy wynika, że adresat otrzymał powyższe pismo, niemniej jednak nie wystawiono urzędowego poświadczenia przedłożenia (k. 42). W związku z tym organ skierował do Spółki za pośrednictwem poczty pismo z dnia [...] listopada 2021 r. o tożsamej treści jak powyższe zawiadomienie z [...] listopada 2021 r. Pismo to zostało doręczone na ówczesny adres siedziby Spółki, będący jej adresem korespondencyjnym w postępowaniu przed PUODO. Organ dopełnił zatem obowiązku wynikającego z art. 10 § 1 k.p.a.

Wyjaśnić też należy, że Sąd nie uwzględnił wniosków dowodowych Spółki zawartych w skardze oraz w złożonych w toku postępowania przed Sądem pismach procesowych. Zgodnie z art. 106 § 3 p.p.s.a. sąd może z urzędu lub na wniosek stron przeprowadzić dowody uzupełniające z dokumentów, jeżeli jest to niezbędne do wyjaśnienia istotnych wątpliwości i nie spowoduje nadmiernego przedłużenia postępowania w sprawie. W sprawie nie było istotnych wątpliwości, które miałyby być wyjaśnione przy pomocy dowodu z tych dokumentów. Przywołane przez Spółkę dowody odnosiły się bowiem do argumentacji, którą co do zasady Sąd uznał za niezasadną. Przeprowadzenie dowodów celem wykazania okoliczności mających wesprzeć tę argumentację było zatem zbędne.

Biorąc pod uwagę powyższe należy stwierdzić, że organ prawidło ustalił stan faktyczny sprawy, w wystarczający sposób zebrał i oceniły materiał dowodowy,

a następnie w przekonywujący sposób uzasadnił swoje rozstrzygnięcie. Organ wykazał, że w okolicznościach niniejszej sprawy Spółka nie ma podstaw do dalszego przetwarzania danych osobowych uczestnika postępowania w zakresie numeru PESEL. Prawidłowo zatem organ zastosował uprawnienia naprawcze przewidziane w art. 58 ust. 2 lit c RODO i nakazał Spółce usunięcie danych osobowych uczestnika postępowania

w tym zakresie.

Zaskarżona decyzja odpowiada zatem prawu, a zarzuty podniesione w skardze oraz w piśmie procesowym z dnia z dnia 31 sierpnia 2023 r. nie zasługiwały na uwzględnienie.

W tym stanie rzeczy, Wojewódzki Sąd Administracyjny w Warszawie na podstawie art. 151 p.p.s.a., orzekł jak w sentencji wyroku