II SA/Wa 1746/24

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Łukasz Krzycki (spr.), Sędzia WSA Andrzej Góraj, Asesor WSA Arkadiusz Koziarski, , Protokolant sekretarz sądowy Agnieszka Fidor, , po rozpoznaniu na rozprawie w dniu 22 maja 2025 r. sprawy ze skargi P. sp. z o.o. z siedzibą w [...] na punkt 1 i 2 decyzji Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] sierpnia 2024 r. nr [...] w przedmiocie przetwarzania danych osobowych 1. uchyla zaskarżoną decyzję w punkcie 1 i 2; 2. zasądza od Prezesa Urzędu Ochrony Danych Osobowych na rzecz skarżącego P. sp. z o.o. z siedzibą w [...] kwotę 200 (słownie: dwieście) złotych, tytułem zwrotu kosztów postępowania sądowego.

Zaskarżonym aktem - przywołując art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego (Dz.U. z 2024 r. poz. 572), zwanej dalej "K.p.a." oraz art. 58 ust. 2 lit. b i c rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz.Urz. UE L. nr 119. str. 1, ze zm.), zwanego dalej "RODO", wobec skargi p. K. B., zwanego dalej "Wnioskodawcą", na nieprawidłowości w przetwarzaniu jego danych osobowych przez P. sp. z o.o., zwana dalej "Spółką", polegające na niedopełnieniu obowiązku informacyjnego, o którym mowa w art. 15 ust. 1 lit. a-d, g i h RODO oraz niespełnieniu żądania udostępnienia kopii danych osobowych:

- udzielono Spółce upomnienia za naruszenie art. 15 ust. 1 lit. c i d oraz art. 15 ust. 3 w zw. z art. 12 ust. 3 RODO, polegające na niespełnieniu względem Wnioskodawcy w terminie określonym w art. 12 ust. 3 RODO prawa dostępu do danych w zakresie udzielenia informacji o: odbiorcach lub kategoriach odbiorców jego danych osobowych, dacie i sposobie udzielenia przez niego zgody na przetwarzanie jego danych osobowych, planowanym okresie przechowywania danych osobowych oraz w zakresie udostępnienia kopii jego danych osobowych (tak pkt 1 decyzji),

- nakazano Spółce - na podstawie art. 15 ust. 1 lit. h RODO - wypełnienie wobec Wnioskodawcy prawa dostępu do danych w zakresie informacji o zautomatyzowanym podejmowaniu decyzji, w tym o profilowaniu, o którym mowa w art. 22 ust. 1 i 4 RODO, oraz - przynajmniej w tych przypadkach - istotnych informacji o zasadach ich podejmowania, a także o znaczeniu i przewidywanych konsekwencjach takiego przetwarzania dla osoby, której dane dotyczą (tak: pkt 2 decyzji).

W uzasadnieniu rozstrzygnięcia przywołano następujące okoliczności faktyczne i prawne uwarunkowania sprawy:

- wobec skargi Wnioskodawcy ustalono - w toku postępowania wyjaśniającego - następujący stan faktyczny:

- wedle Wnioskodawcy w grudniu 2023 roku zaczął on otrzymywać od Spółki wiadomości e-mail o charakterze marketingowym; w ich treści oznaczono Spółkę jako podmiot odpowiedzialny za ich wysyłkę: "Podmiotem odpowiedzialnym za realizację wysyłki w imieniu administratora do adresu [...] - na którego rzecz została wyrażona zgoda - oraz właściwym do przyjmowania wniosków dotyczących danych osobowych jest firma P. Sp. z o.o. (...). Przysługuje Pani/Panu prawo dostępu do danych (...)"; [...] stycznia 2024 r. Wnioskodawca zwrócił się na adresy e-mail: [...], [...] oraz [...] z żądaniem udostępnienia związanych z przetwarzaniem jego danych osobowych informacji w zakresie: "1. Jakie dane osobowe mnie dotyczące są przetwarzane? 2. Jakie są cele przetwarzania? 3. Jak długo moje dane będą przechowywane? 4. Jakim odbiorcom moje dane zostały lub zostaną ujawnione? 5. Z jakich źródeł pochodzą moje dane osobowe? W jaki sposób zostały pozyskane? 6. Czy podejmują Państwo wobec mnie zautomatyzowane decyzje, a jeśli tak, to jakie są zasady ich podejmowania i jakie są przewidywane konsekwencje takiego przetwarzania dla mnie? 7. Kiedy i w jaki sposób została pozyskana zgoda na przetwarzanie moich danych w celach marketingowych? Proszę także o udostępnienie kopii moich danych osobowych."; [...] stycznia 2024 r. Wnioskodawca otrzymał wiadomość - z adresu e-mail [...] - o usunięciu jego adresu e-mail w terminie maksymalnie 48 godzin oraz z informacją, że jeżeli w treści maila znajdowało się także inne żądanie, to należy oczekiwać niezwłocznej odpowiedzi (tak: pismo Wnioskodawcy z [...] lutego 2024 r. wraz z załącznikami);

- Spółka wyjaśniła, że administratorem danych osobowych Wnioskodawcy jest [...] z siedzibą w [...], zwana dalej "Spółka [...]"; Spółka działa zaś, jako podmiot przetwarzający – na podstawie umowy powierzenia przetwarzania danych osobowych z [...] sierpnia 2019 r.; realizuje - na zlecenie administratora - wysyłkę wiadomości marketingowych na adresy e-mail zebrane na podstawie zgody osób, których dane dotyczą - zebrane przez administratora; administrator danych osobowych Wnioskodawcy pozyskał jego adres e-mail na podstawie zgody z [...] marca 2021 r.; [...] stycznia 2024 r. systemy Spółki odnotowały wycofanie przez Wnioskodawcę zgody; [...] stycznia 2024 r. skierowano doń korespondencję e-mail; zawierała informację o administratorze jego danych wraz z danymi do kontaktu; Wnioskodawca nie kontaktował się więcej ze Spółką (tak: wyjaśnienia Spółki z [...] czerwca 2024 r. wraz z załącznikami),

- z załączonej umowy powierzenia przetwarzania danych osobowych z [...] sierpnia 2019 r. wynika: "(...) Podmiot przetwarzający w miarę możliwości zobowiązuje się do pomagania Administratorowi danych poprzez odpowiednie środki techniczne i organizacyjne w wykonaniu obowiązku odpowiadania na żądania osoby, której dane dotyczą, w zakresie wykonywania jej praw wynikających z powszechnie obowiązujących przepisów prawa (rozdział III RODO). Podmiot przetwarzający zobowiązuje się w szczególności (w imieniu Administratora, według jego instrukcji): - informować w imieniu Administratora danych o okolicznościach wskazanych w art. 13-15 RODO (...)" (tak: wyjaśnienia Spółki z [...] czerwca 2024 r. wraz z załącznikami);

- Spółka załączyła skierowaną do Wnioskodawcy odpowiedź - z [...] stycznia 2024 r., - na jego wniosek prawa dostępu do danych, wskazując: "Administratorem danych jest [...], kontakt: [...], natomiast P.Sp. z o.o., ul. [...], [...], działa w imieniu administratora danych jako podmiot przetwarzający. Dane były przetwarzane w celach marketingowych zgodnie z treścią wyrażonej zgody. Kategorie danych przetwarzanych w oparciu o zgodę adres e-mail, ip. Uprzejmie informujemy, że adres email użyty w wiadomości, którą otrzymaliśmy zostanie usunięty z procesowanych przez nas baz danych marketingowych w ciągu maksymalnie 48 godzin. Po upływie tego czasu nie będzie Pani/Pan otrzymywać wiadomości marketingowych za naszym pośrednictwem. W związku z czym dane nie będą już przetwarzane do celów marketingowych."; [...] czerwca 2024 r. Spółka przesłała na adres e-mail Wnioskodawcy uzupełnienie odpowiedzi na jego wniosek; wskazała: "(...) Pierwotnym celem przetwarzania danych była wysyłka newslettera w oparciu o udzielone zgody. Obecnie tj. od dnia [...].01.2024 (w związku z zarejestrowaniem wycofania zgody) Spółka przetwarza Pana dane wyłącznie w zakresie adresu e-mail, identyfikatora systemowego, adresu IP umożliwiającego powiązanie faktu wyrażenia zgody z określonym adresem IP, nazwą bazy danych, a także datą wyrażenia i wycofania zgody marketingowej. Poniżej wyciąg, z systemu który wskazuje na zakres przetwarzanych obecnie przez nas danych: W związku z powyższym dane zebrane w pierwotnym celu (newsletter marketingowy) nie są przetwarzane w tym pierwotnym celu. Co istotne, na skutek wycofania zgody usunęliśmy w imieniu Administratora dane z bazy wysyłkowej newslettera. Po wycofaniu zgody Spółka w imieniu Administratora przechowuje dane w celu obrony przed potencjalnymi roszczeniami związanymi z pierwotnym celem przetwarzania danych (naruszenie dóbr osobistych w związku z realizacją marketingu), co zwykle łączy się z koniecznością wykazania podstawy przetwarzania danych, w tym daty wyrażenia i wycofania zgody. W tym przypadku podstawą przetwarzania danych osobowych jest art. 6 ust. 1 lit. f) RODO, czyli uzasadniony interes administratora danych. Osobnym celem przetwarzania danych osobowych jest prowadzenie niniejszej korespondencji o czym mowa w stopce maila (także w imieniu Administratora danych). Po wycofaniu zgody Spółka w imieniu Administratora przechowuje dane - w ramach celów wskazanych powyżej - przez okres przedawnienia roszczeń cywilnoprawnych dotyczących dóbr osobistych tj., aby wykazać legalność swojego działania, o czym mowa powyżej, nie dłużej jednak niż 3 lat od wycofania zgody. Natomiast Spółka w oparciu o zgodę wyrażoną przez Administratora korzysta z narzędzi informatycznych do wysyłki e-mail marketingu tj. [...] oraz [...] S.A. - właściciel Systemu [...] – z siedzibą w [...], przy ul. [...]w związku z czym dochodzi do powierzenia danych. (...)’’; w treści wiadomości z [...] czerwca 2024 r. udostępniono też kopię danych osobowych Wnioskodawcy, przetwarzanych przez Spółkę - adres e-mail oraz numer IP (tak:: wyjaśnienia Spółki z [...] czerwca 2024 r. wraz z załącznikami),

- przedmiotem skargi uczyniono brak realizacji przez Spółkę prawa dostępu Wnioskodawcy do danych, o którym mowa w art. 15 ust. 1 i 3 RODO,

- zgodnie z art. 28 ust. 3 RODO, przetwarzanie przez podmiot przetwarzający odbywa się na podstawie umowy lub innego instrumentu prawnego, które podlegają prawu Unii lub prawu państwa członkowskiego i wiążą podmiot przetwarzający i administratora, określają przedmiot i czas trwania przetwarzania, charakter i cel przetwarzania, rodzaj danych osobowych oraz kategorie osób, których dane dotyczą, obowiązki i prawa administratora; umowa ta lub inny instrument prawny stanowią w szczególności, że podmiot przetwarzający - biorąc pod uwagę charakter przetwarzania - pomaga w miarę możliwości administratorowi - poprzez odpowiednie środki techniczne i organizacyjne - wywiązać się z obowiązku odpowiadania na żądania osoby, której dane dotyczą, w zakresie wykonywania jej praw określonych w rozdziale III RODO (tak: lit. e),

- zebrany w sprawie materiał dowodowy wykazał, że Spółka jest podmiotem przetwarzającym dane osobowe Wnioskodawcy w imieniu Spółki [...] – na podstawie zawartej [...] sierpnia 2019 r. umowy powierzenia przetwarzania danych; na jej podstawie podmiot przetwarzający - Spółka zobowiązała się do udzielania odpowiedzi osobom, których dane dotyczą, w zakresie wykonywania ich wynikających z RODO praw, w szczególności informowania - w imieniu administratora danych - o okolicznościach wskazanych w art. 13-15 tego aktu,

- zgodnie z art. 15 ust. 1 RODO osoba, której dane dotyczą, jest uprawniona do uzyskania od administratora potwierdzenia, czy przetwarzane są dane osobowe jej dotyczące, a jeżeli ma to miejsce - uzyskania dostępu do nich oraz informacji dotyczących: celów przetwarzania (art. 15 ust. 1 lit. a), kategorii danych osobowych (art. 15 ust. 1 lit. b), odbiorców lub kategorii odbiorców, którym dane osobowe zostały lub zostaną ujawnione (art. 15 ust. 1 lit. c), planowanego okresu przechowywania danych osobowych, a gdy nie jest to możliwe, kryteriów ustalania tego okresu (art. 15 ust. 1 lit. d), prawa do żądania od administratora sprostowania, usunięcia lub ograniczenia przetwarzania danych osobowych co do osoby, której dane dotyczą, oraz prawa wniesienia sprzeciwu wobec takiego przetwarzania (art. 15 ust. 1 lit. e), prawa wniesienia skargi do organu nadzorczego (art. 15 ust. 1 lit. f), jeżeli dane osobowe nie zostały zebrane od osoby, której dane dotyczą - wszelkich dostępnych informacje o ich źródle (art. 15 ust. 1 lit. g) oraz zautomatyzowanego podejmowania decyzji, w tym profilowania (art. 15 ust. 1 lit. h),

- dalej zawarto szereg uwag, dotyczących znaczenia właściwej realizacji obowiązku informacyjnego,

- zgodnie z art. 15 ust. 3 RODO, administrator dostarcza osobie, której dane dotyczą, kopię podlegających przetwarzaniu danych osobowych; jeżeli osoba, której dane dotyczą, zwraca się o kopię drogą elektroniczną i - jeżeli nie zaznaczy inaczej - informacji udziela się w powszechnie stosowanej formie elektronicznej,

- [...] stycznia 2024 r. Wnioskodawca zwrócił się do Spółki z żądaniem udzielenia związanych z przetwarzaniem jego danych osobowych informacji,

- [...] stycznia 2024 r. Spółka odpowiedziała na wniosek; nie stanowiła ona spełnienia żądania Wnioskodawcy w pełnym zakresie; wiadomość nie zawierała żądanych informacji o odbiorcach lub kategoriach odbiorców, którym dane osobowe zostały lub zostaną ujawnione, w szczególności o odbiorcach w państwach trzecich lub organizacjach międzynarodowych (art. 15 ust. 1 lit. c RODO), o planowanym okresie przechowywania danych osobowych, a gdy nie jest to możliwe, kryteriów ustalania tego okresu (art. 15 ust. 1 lit. d RODO), informacji o zautomatyzowanym podejmowaniu decyzji, w tym o profilowaniu, o którym mowa w art. 22 ust. 1 i 4, oraz - przynajmniej w tych przypadkach - istotnych informacji o zasadach ich podejmowania, a także o znaczeniu i przewidywanych konsekwencjach takiego przetwarzania dla osoby, której dane dotyczą (art. 15 ust. 1 lit. h RODO) oraz informacji o dacie i sposobie udzielenia zgody na przetwarzanie danych osobowych Wnioskodawcy; nie udostępniono też kopii jego danych osobowych,

- zgodnie z art. 12 ust. 3 RODO, administrator bez zbędnej zwłoki - a w każdym razie w terminie miesiąca od otrzymania żądania - udziela osobie, której dane dotyczą, informacji o działaniach, podjętych w związku z żądaniem na podstawie art. 15-22 RODO; w razie potrzeby termin ten można przedłużyć o kolejne dwa miesiące z uwagi na skomplikowany charakter żądania lub liczbę żądań; w terminie miesiąca od otrzymania żądania administrator informuje osobę, której dane dotyczą, o takim przedłużeniu terminu - z podaniem przyczyn opóźnienia; jeśli osoba, której dane dotyczą, przekazała swoje żądanie elektronicznie, w miarę możliwości informacje także są przekazywane elektronicznie - chyba że osoba, której dane dotyczą, zażąda innej formy,

- wobec skierowania do Wnioskodawcy w terminie odpowiedzi Spółki z [...] stycznia 2024 r., w której częściowo spełniono jego żądanie - udzielając mu informacji o kategoriach przetwarzanych danych osobowych, celach ich przetwarzania oraz źródle ich pozyskania (art. 15 ust. 1 lit. a, b i g RODO), nie stwierdzono w niniejszym zakresie nieprawidłowości,

- [...] czerwca 2024 r. Spółka uzupełniła pierwotną odpowiedź, dotyczącą wniosku z [...] stycznia 2024 r.; zamieściła informacje o: odbiorcach lub kategoriach odbiorców, którym dane osobowe zostały lub zostaną ujawnione, w szczególności o odbiorcach w państwach trzecich lub organizacjach międzynarodowych (art. 15 ust. 1 lit. c RODO), planowanym okresie przechowywania danych osobowych (art. 15 ust. 1 lit. d RODO), dacie i sposobie udzielenia zgody na przetwarzanie danych osobowych; udostępniła też kopię danych osobowych Wnioskodawcy (art. 15 ust. 3 RODO),

- odpowiedzi z [...] czerwca 2024 r. udzielono niewątpliwie z uchybieniem terminu, wynikającego z art. 12 ust. 3 RODO; informacje przekazano ponad 5 miesięcy po dniu złożenia wniosku; wobec tego - na mocy art. 58 ust. 2 lit. b RODO - za uzasadnione uznano udzielenie Spółce upomnienia,

- żądań Wnioskodawcy nie spełniono też w pełnym zakresie; w odpowiedziach z [...] stycznia i [...] czerwca 2024 r. nie zawarto żądanej informacji o zautomatyzowanym podejmowaniu decyzji, w tym profilowaniu (art. 15 ust. 1 lit. h RODO); stosownie do art. 58 ust. 2 lit. c RODO - z uwagi na brak wypełnienia obowiązku informacyjnego, o którym mowa w art. 15 ust. 1 lit. h RODO - zasadnym było nakazanie Spółce jego realizacji.

W skardze na pkt 1 i 2 decyzji, zarzucono naruszenie przepisów prawa:

- procesowego - art. 7, 77 § 1 i art. 80 K.p.a., polegające na rozpatrzeniu materiału dowodowego w sposób niewyczerpujący i dokonaniu dowolnych ustaleń - które nie wynikają z zebranego materiału dowodowego; przyjęto, że adres e-mail - sam w sobie nie zawierający danych osobowych ("[...]") - umożliwia w konkretnym stanie faktycznym sprawy identyfikację osoby fizycznej; stanowi zatem daną osobową,

- materialnego - art. 4 pkt 1 RODO, poprzez błędne uznanie, że sam adres e-mail stanowi dane osobowe, umożliwiające zidentyfikowanie osoby fizycznej; sam adres e-mail nie jest tymczasem informacją o charakterze osobowym, w zakres której wchodzą dane o cechach identyfikujących daną osobę; błędna ocena organu, jakoby Spółka przetwarzała dane osobowe, prowadziła do bezpodstawnego wydania decyzji o zobowiązaniu do spełnienia wobec Wnioskodawcy prawa dostępu - w postaci obowiązku informacyjnego (pkt 2 sentencji decyzji) - i udzielenia upomnienia (pkt 1 sentencji decyzji) w zakresie realizacji prawa dostępu z opóźnieniem; skoro Spółka nie przetwarzała danych osobowych nie znajdą do niej zastosowania określone w RODO wymagania.

W szerokim uzasadnieniu skargi rozwinięto powyższe zarzuty. Wskazano m.in.:

- wydając decyzję organ ustalił, że Spółka miała dostęp do danych osobowych; oprócz twierdzeń osoby, która złożyła skargę - bez zresztą weryfikacji jej tożsamości - nie wskazano, na jakich dowodach oparto ustalenie, że wskazane w decyzji informacje (adres e-mail) dotyczą zidentyfikowanej lub możliwej do identyfikacji osoby fizycznej; nie podjęto rzetelnej próby ustalenia, w jaki sposób miałaby nastąpić identyfikacja osoby, której dane dotyczą – na podstawie tych informacji.

- twierdzenie organu ma charakter dowolny, ponieważ:

- nie przedstawiono żadnych dowodów - chociażby z badań statystycznych - jakie jest prawdopodobieństwo scenariusza identyfikacji osoby fizycznej na podstawie adresu e-mail [...]; wskazany adres nie różni się niczym od adresu np. biuro@[nazwa domeny]); w obydwu przypadkach nie wiadomo, do jakiej osoby wiadomość e-mail dotrze; pod adresem biuro@[nazwa domeny] też może odbierać wiadomość nieokreślona osoba np. o imieniu K.;

- nie uwzględniono, że adres e-mail może dotyczyć nie tylko osoby fizycznej, ale też jednostki organizacyjnej,

- sam adres e-mail nie pozwala na identyfikację konkretnej osoby; może być wyłącznie podstawą dla podjęcia określonych czynności w celu identyfikacji; organ nie zweryfikował, czy identyfikacja taka nastąpiła lub czy była możliwa; adres e-mail może ale nie musi zawierać dane osobowe - być dotyczącą osoby fizycznej informacją,

- w tej konkretnej sprawie nie można przyjąć, że wskazany adres e-mail ma taki charakter zaś organ nie objął tej kwestii w ogóle przedmiotem postępowania; to zaś, czy dochodzi do przetwarzania danych osobowych - jako przesłanka stosowania RODO (tak art. 2) - wymaga przeprowadzenia w tym zakresie postępowania dowodowego, uwzględniając wynikające z K.p.a. standardy,

- w kierunku tym zmierza orzecznictwo sądów administracyjnych (powołano wyroki o sygn. akt II SA/Wa 3993/21 oraz 710/22, dostępne na stronie internetowej orzeczenia.nsa.gov.pl/cbo/query - w Centralnej Bazie Orzeczeń Sądów Administracyjnych, zwanej dalej "CBOSA"),

- organ wyłożył pojęcie danych osobowych, abstrahując od kontekstu związanego z sytuacją Spółki; niezależnie od błędów w ustaleniach faktycznych przedstawiono - w uzasadnieniu zaskarżonej decyzji - rozumienie pojęcia "danych osobowych", sprzeczne z przepisami i motywami RODO; naruszono tym intencję wyrażoną w motywie 26 RODO; zgodnie z nim: "Zasady ochrony danych powinny mieć zastosowanie do wszelkich informacji o zidentyfikowanych lub możliwych do zidentyfikowania osobach fizycznych. Spseudonimizowane dane osobowe, które przy użyciu dodatkowych informacji można przypisać osobie fizycznej, należy uznać za informacje o możliwej do zidentyfikowania osobie fizycznej. Aby stwierdzić, czy dana osoba fizyczna jest możliwa do zidentyfikowania, należy wziąć pod uwagę wszelkie rozsądnie prawdopodobne sposoby (w tym wyodrębnienie wpisów dotyczących tej samej osoby), w stosunku do których istnieje uzasadnione prawdopodobieństwo, iż zostaną wykorzystane przez administratora lub inną osobę w celu bezpośredniego lub pośredniego zidentyfikowania osoby fizycznej. Aby stwierdzić, czy dany sposób może być z uzasadnionym prawdopodobieństwem wykorzystany do zidentyfikowania danej osoby, należy wziąć pod uwagę wszelkie obiektywne czynniki, takie jak koszt i czas potrzebne do jej zidentyfikowania, oraz uwzględnić technologię dostępną w momencie przetwarzania danych, jak i postęp technologiczny. Zasady ochrony danych nie powinny więc mieć zastosowania do informacji anonimowych, czyli informacji, które nie wiążą się ze zidentyfikowaną lub możliwą do zidentyfikowania osobą fizyczną, ani do danych osobowych zanonimizowanych w taki sposób, że osób, których dane dotyczą, w ogóle nie można zidentyfikować lub już nie można zidentyfikować. Niniejsze rozporządzenie nie dotyczy więc przetwarzania takich anonimowych informacji, w tym przetwarzania do celów statystycznych lub naukowych.",

- w uzasadnieniu wyroku Naczelnego sądu Administracyjnego z 28 czerwca 2019 r. (sygn. akt I OSK 2063/17 – dostępny w CBOSA), wydanego na gruncie poprzedniego stanu prawnego - ustawy z 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r. poz. 922) - niemniej w kontekście analogicznej definicji "danych osobowych", stwierdzono: "Naczelny Sąd Administracyjny w składzie orzekającym podziela pierwszy z poglądów, że brak możliwości powiązania numerów rejestracyjnych pojazdów, bez nadmiernego wysiłku i kosztów, z osobami fizycznymi, które dają się zidentyfikować, sprawia, że numer rejestracyjny pojazdu nie ma statusu danych osobowych. Tym samym podziela także poglądy wyrażone w wyrokach Naczelnego Sądu Administracyjnego z dnia: 22 listopada 2016 r., sygn. akt I OSK 496/15; 19 maja 2011 r., sygn. akt I OSK 1086/10; 19 stycznia 2010 r., sygn. akt I OSK 491/09 (CBOSA), że tylko informacje, które bez nadzwyczajnego wysiłku, bez nieproporcjonalnie dużych nakładów dają się powiązać z określoną osobą, zwłaszcza przy wykorzystaniu łatwo osiągalnych źródeł powszechnie dostępnych, zasługują na zaliczenie ich do kategorii danych osobowych. Zauważyć należy, że numer rejestracyjny ponieważ jest umieszczony na samochodzie, za zgodą właściciela pojazdu, sam w sobie jest ogólnie dostępny dla bliżej nieokreślonej liczby osób. Jednak nie oznacza to, że można go w sposób prosty powiązać z konkretną osobą. Wskazać bowiem należy, że często z tego samego pojazdu korzystają różne osoby. Powyższe niezbicie wskazuje, że nie jest możliwe, w sposób prosty i łatwy, powiązać numer rejestracyjny pojazdu z konkretną osobą - właściciela (lub posiadacza) pojazdu. Także Zarząd Dróg Miejskich jako podmiot weryfikujący opłaty nie ma stałego dostępu do danych właścicieli pojazdu. Należy wskazać, że dostęp do danych i informacji zawartych w Centralnej Ewidencji Pojazdów w dacie podjęcia zaskarżonej uchwały regulowała ustawa z dnia 20 czerwca 1997 r. Prawo o ruchu drogowym (...)",

- podobnie jak w powyższej sprawie, także w przedmiotowej sprawie dla Spółki adres e-mail nie jest daną osobową; zawiera on jedynie imię; gdyby nawet zawierał również nazwisko to sam taki zestaw zwykle nikogo nie identyfikuje; dopiero powiązania imienia i nazwiska z takimi danymi jak np. adres wykonywanej pracy, zakład pracy, numer dowodu osobistego lub pesel pozwala wyodrębnić osobę ze społeczeństwa - w sposób, zasługujący na miano identyfikacji.

Wniesiono o uchylenie zaskarżonej decyzji i umorzenie postępowania administracyjnego, względnie przekazanie sprawy do ponownego rozpatrzenia oraz o zasądzenie zwrotu kosztów postępowania.

W odpowiedzi na skargę organ wniósł o jej oddalenie, podtrzymując dotychczasową argumentację. Zamieścił szerszy wywód, mający przemawiać za przyjętą w sprawie tezą, że adres e-mail stanowi daną osobową w rozumieniu RODO.

Sąd zważył, co następuje:

Skarga zasługuje na uwzględnienie, gdyż trafne są zarzuty Spółki, gdzie podniesiono, że orzekając w sprawie naruszono przepis prawa materialnego zakreślający, co należy traktować jako dane osobowe (art. 4 pkt 1 RODO), których przetwarzanie podlega regułom RODO. W kontekście brzmienia danej regulacji nie wyjaśniono w istocie (co musiałoby znaleźć odzwierciedlenie w uzasadnieniu skarżonego aktu – tak art. 107 § 3 w zw. z art. 8 § 1 i art. 11 K.p.a.), czy przetwarzane przez Spółkę informacje stanowią w istocie dane osobowe w rozumieniu RODO. Przedwczesna konstatacja organu, jakoby Spółka przetwarza dane osobowe Wnioskodawcy, prowadziła więc do bezpodstawnego wydania orzeczenia, którym udzielono Spółce upomnienia (pkt 1) oraz nakazano podjęcia środków naprawczych (w pkt 2).

Na wstępie trzeba odnotować, że nie są w istocie sporne okoliczności faktyczne sprawy, stanowiące podstawę orzekania na dzień wydania skarżonej decyzji – przesyłanie przez Spółkę informacji o charakterze marketingowym na adres poczty e-mail Wnioskodawcy. Chybione są przy tym wywody skargi, jakoby organ bezpodstawnie uznał, że wnoszący doń skargę jest właśnie adresatem owej korespondencji od Spółki –miał on więc indywidualny interes prawny we wniesieniu skargi do organu. Jak trafnie wskazał organ w odpowiedzi na skargę, wystarczająco uprawdopodabniał to fakt przedstawienia przez Wnioskodawcę stosownych dokumentów korespondencji od Spółki - na etapie wniesienia skargi do organu. Bezsporne było także kierowanie przez Spółkę do Wnioskodawcy stosownych pism – z powołaniem na realizację obowiązków informacyjnych, związanych w RODO z woli prawodawcy z przetwarzaniem właśnie danych osobowych. W pełni ich nie wykonano, zaś częściowo z opóźnieniem. Może mieć to jednak istotne znaczenie wyłącznie w razie prawidłowego ustalenia, że przetwarzane przez Spółkę informacje o Wnioskodawcy stanowią w istocie dane osobowe. Tylko bowiem takich wiadomości dotyczą powinności zakreślone przepisami danego aktu.

Przy tym - jak twierdziła Spółka zaś organ tego dotąd nie kwestionował - dysponowała ona wyłącznie adresem poczty elektronicznej (e-mail) Wnioskodawcy oraz numerem IP jego urządzenia odbiorczego (dalej "numer IP"). Trafnie przy tym organ przywołał treść stosownych regulacji normatywnych, które mogą mieć istotne znaczenie w sprawie, w kontekście prawidłowej realizacji obowiązków informacyjnych z RODO. Wobec zreformowania jego stanowiska w danym zakresie, powtarzanie tych informacji byłoby zbędne.

Zasadnie jednak wywiedziono w skardze, że organ - prowadząc postępowanie oraz przywołując określone okoliczności formalne i faktyczne sprawy - nie wykazał w istocie, aby Spółka – dysponując wyłącznie adresem e-mail oraz numerem IP Wnioskodawcy – przetwarzała jego dane osobowe, w rozumieniu art. 4 pkt 1 RODO.

Danymi takimi mogą być wprawdzie informacje, które nie identyfikują konkretnej osoby lecz jest możliwe uczynienie tego - przy ich pomocy i wykorzystaniu nieznacznych środków. Organ nie wywodził jednak na etapie rozpatrywania sprawy, aby tego rodzaju charakter miały w danym przypadku: sam adres e-mail i numer IP Wnioskodawcy – gdy nie ustalono aby przypisano je do konkretnej osoby, w ramach zbioru informacji, posiadanych przez podmiot, dysponujący tymi danymi bądź, aby informacje identyfikujące osobę były w łatwy sposób do pozyskania.

Co trafnie zauważa Spółka, w judykaturze prezentowane jest stanowisko że np. sam numer telefonu czy rejestracyjny pojazdu nie stanowią danej osobowej, choć - w aktualnym orzecznictwie Wojewódzkiego Sądu Administracyjnego w Warszawie – co do numeru telefonu prezentowany jest także pogląd odmienny. Sąd w tym składzie go jednak nie podziela. Uznaje tu za trafne stanowisko, wyrażone m.in. w:

- prawomocnym wyroku tutejszego Sądu z 13 kwietnia 2021 r. (sygn. akt II SA/Wa 1898/20 – dostępny w CBOSA) – gdzie skargę kasacyjną oddalono wyrokiem Naczelnego Sądu Administracyjnego z 14 stycznia 2025 r. (sygn. akt III OSK6041/21 – dostępny w CBOSA) oraz

- nieprawomocnym - z 13 lutego 2024 r. (sygn. akt II SA/Wa 1122/23 – dostępny w CBOSA).

Trafna jest w tym świetle argumentacja, prezentowana przez Spółkę - zreferowana uprzednio w ramach przywołania wywodów skargi.

Stanowisko Spółki wypada uzupełnić jedynie w następujący sposób.

Niektóre informacje – w zależności od ich powiązania z innym zbiorem wiadomości o osobach – mogą w pewnych sytuacjach stanowić dane osobowe bądź nimi nie być. Uwagę te odnieść należy także do adresu e-mail czy numeru IP, jako znaczniku literowo-numerycznym przypisanym obiektywnie do konkretnego użytkownika (osoby lub podmiotu) – korzystającego z usługi poczty elektronicznej udostępnionej w ramach określonej domeny bądź z konkretnego urządzenia elektronicznego, np. umożliwiającego odbiór wiadomości. Jak trafnie wywiedziono w skardze, organ nie wykazał, aby sam adres poczty e-mail (tak samo numer IP) pozwalał na prostą identyfikację konkretnej osoby, zwłaszcza że adres może być wykorzystywany przez inny podmiot niż osoba fizyczna (dotyczy to też urządzenia, zapewniającego odbiór wiadomości). Mógłby być on wyłącznie podstawą dla podjęcia określonych czynności w celu identyfikacji posiadacza adresu czy numeru – faktycznego odbiorcy widomości, który używa danego adresu czy numeru. Jak wskazano, nie musi być to w ogóle osoba fizyczna, gdzie zastosowanie znajdują reguły, dotyczące ochrony danych osobowych.

Jeżeli przetwarzany przez Spółkę w imieniu administratora (Spółki [...]) zbiór danych to sam adres e-miał i numer IP, to organ nie wywiódł, aby były to informacje, wystarczające do prostej identyfikacji konkretnej osoby fizycznej - jako jednostki o przypisanych jej cechach indywidualnych. Nie sposób więc uznać, aby Spółka – wedle ustalonego dotąd przez organ stanu faktycznego - dysponowała danymi osobowymi Wnioskodawcy i je przetwarzała – zbierała agregowała informacje o konkretnych osobach fizycznych.

W realiach rozpoznawanej sprawy pewne znaczenie może mieć okoliczność, że - w informacjach Spółki dla obiorców jej wiadomości i na etapie rozpoznawania kierowanych do niej żądań Wnioskodawcy oraz rozpoznawania jego skargi przez organ - Spółka nie kwestionowała okoliczności faktycznej - przetwarzania danych osobowych Wnioskodawcy. Zagadnienie to mogło nie być stąd przedmiotem stosownie wnikliwej analizy przez organ. Wobec sformułowania jednak konkretnych zarzutów w skardze do Sądu, dokonane dotąd ustalenia organu - znajdujące odzwierciedlenie w uzasadnieniu skarżonego aktu - nie pozwalają uznać sprawy za wystarczająco wyjaśnioną. Nie sposób w szczególności przyjąć, aby sama uprzednia, subiektywna ocena samego administratora (podmiot przetwarzający), że przetwarza on dane osobowe, mogła być kluczowa dla kwalifikacji określonych informacji, jako mających ten charakter.

W takiej sytuacji przedwczesna była ocena organu, jakoby nie zrealizowano obowiązku informacyjnego - wynikającego z art. 15 RODO. Dotyczy on bowiem wyłącznie podmiotów, przetwarzających dane osobowe w rozumieniu art. 4 pkt 1 danego aktu.

Jeżeli Spółka w istocie nie dysponuje obecnie informacjami faktycznie identyfikującymi osoby fizyczne - poza oznaczeniem adresu e-mail (analogicznie numeru IP) - kluczowe jest wyjaśnienie, czy istnieje dostępne dla niej narzędzie, pozwalające przyporządkować w sposób prosty, szybki i ekonomicznie opłacalny (np. przez zautomatyzowane wyszukiwanie) adresu e-mail (numeru IP) wobec zbioru konkretnych osób fizycznych. Organ nie wywodził tymczasem – pozostawiając daną kwestię poza zakresem rozważań - aby było prawdopodobne podejmowanie tego rodzaju działań - w kontekście potencjalnych kosztów i korzyści.

Gdyby Spółka nie przetwarzała zaś danych osobowych Wnioskodawcy, nie znajdą do niej zastosowania określone w RODO wymagania. Nie mogła być też wydana wobec niej decyzja - w następstwie naruszenie stosownych reguł, ustalonych tym aktem.

Sąd nie mógł przy tym uwzględnić dodatkowych, szerszych wywodów organu w kwestii charakteru adresu e-mail - zawartych w odpowiedzi na skargę. Sprawę należy bowiem rozpatrzeć w kluczowych aspektach na etapie wydawania przez organ orzeczenia.

Trafne są zatem zarzuty skargi, co do naruszenia przywołanego w niej przepisu prawa materialnego – art. 4 pkt 1 RODO - przez błędne przyjęcie, jakoby a priori - w myśl w wskazanej definicji legalnej - sam adres e-mail i numer IP stanowiły dane osobowe w jej rozumieniu, niezależnie od kontekstu zgromadzenia danych informacji – rzeczywistego bądź potencjalnego powiązania z innymi wiadomościami o skonkretyzowanej osobie.

Orzekając w sprawie Sąd miał na uwadze, że sam obrót bazami adresów e-mail w celu kierowania korespondencji o charakterze marketingowym, bez uprzedniej wyraźnej i świadomej zgody odbiorcy, może być uważany za praktykę naganną. Rozwiązanie danego problemu - w myśl preferencji większości obywateli - może jednak nastąpić wyłącznie przez wprowadzenie stosownego prawodawstwa na stosownym szczeblu. Wykluczenie praktyk w danym zakresie nie może zaś nastąpić w oparciu o określoną wykładnię przepisów RODO i stosowanie przewidzianych tam rygorów w aktualnym brzmieniu (np. obowiązku informacyjnego) – z wyżej wskazanych względów.

Ponieważ w rozpoznawanych sprawnie trafnie zarzucony naruszenie przepisów postępowania – art. 7, 77 § 1 i art. 80 K.p.a. - co do powinności właściwego wyjaśnienia sprawy w kontekście ustalenia, czy Spółka w istocie przetwarzała dane osobowe Wnioskodawcy, przedwczesne byłoby wydanie w sprawie – wobec wniosku skargi - orzeczenia o umorzeniu postępowania przed organem - w myśl art. 145 § 3 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (Dz.U. z 2024 r., poz. 935 ze zm.). W sprawie wymaga ustalenia wpierw, czy gromadzone (przetwarzane) przez Spółkę informacje stanowią dane osobowe, przy uwzględnieniu właściwego rozumienia danego pojęcia - wedle reguł wskazanych w niniejszym uzasadnieniu.

Z przytoczonych wyżej przyczyn - na podstawie art. 145 § 1 pkt 1 lit. a i c ustawy - Prawo o postępowaniu przed sądami administracyjnymi orzeczono jak w pkt 1 sentencji. O zwrocie kosztów postępowania rozstrzygnięto w pkt 2 sentencji - w myśl art. 200 powyższej ustawy. Poniesione koszty stanowił wpis od skargi.