Decyzja

Na podstawie art. 138 § 1 pkt 2 w zw. z art. 105 § 1ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2021 r. poz. 735 ze zm.) w zw. z art. 160 ust. 1 i 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781) oraz art. 12 pkt 2, art. 22 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r., poz. 922 oraz z 2018 r. poz. 138.), po przeprowadzeniu postępowania administracyjnego zainicjowanego wnioskiem O. S.A. z siedzibą w W. przy Al. (…) o ponowne rozpatrzenie sprawy zakończonej decyzją Generalnego Inspektora Ochrony Danych Osobowych z dnia 14 kwietnia 2017 roku sygn. DOLiS/DEC- 462/17/32076, 32077, Prezes Urzędu Ochrony Danych Osobowych

1. Uchyla zaskarżoną decyzją Generalnego Inspektora Ochrony Danych Osobowych z dnia 14 kwietnia 2017 roku sygn. DOLiS/DEC- 462/17/32076, 32077.

2. Umarza postępowanie pierwszej instancji w całości.

Uzasadnienie

Do Generalnego Inspektora Ochrony Danych Osobowych (obecnie Prezesa Urzędu Ochrony Danych Osobowych) 14 marca 2013 roku wpłynęła skarga Pana M. L. zam. w W. przy ul. (…) (zwanego dalej: „Skarżącym”), na przetwarzanie jego danych osobowych przez O. S.A. z siedzibą w W. przy ul. (…) (zwaną dalej: „Spółką”).

W treści skargi Skarżący zakwestionował legalność przetwarzania jego danych osobowych, w tym w celach marketingowych, pomimo łączących go ze Spółka umów.

W toku postępowania administracyjnego przeprowadzonego w niniejszej sprawie Prezes Urzędu Ochrony Danych Osobowych (zwany dalej również: „Prezesem UODO”) ustalił, co następuje.

1. Spółka wskazała, że dane osobowe Skarżącego przetwarzane w Zbiorze (…) oraz w Zbiorze (…) zostały pozyskane przez Spółkę w związku z zawarciem umów: z dnia 14 marca 1990 roku oraz z dnia 17 listopada 1999 roku, które zostały pozyskane kolejno 18 stycznia 2008 roku oraz w dniu 31 grudnia 2009 roku.

2. Skarżący zgłosił sprzeciw wobec przetwarzania jego danych osobowych w celach marketingowych pismem z dnia 7 października 2012 roku. Jak wyjaśniła Spółka sprzeciw został uwzględniony z opóźnieniem spowodowanym omyłką, co do nazwiska Skarżącego, w dniu 23 stycznia 2013 roku.

3. Skarżący zwrócił się do Spółki pismem z dnia 7 listopada 2013 roku o wypełnienie obowiązku informacyjnego określonego w art. 32 ust. 1 ustawy z dnia 29 sierpnia 1997 roku o ochronie danych osobowych (Dz.U. z 2016 r., poz.922), zwanej dalej: „ustawą z 1997 roku” oraz zażądał wyraźnego wskazania podstawy prawnej dalszego przetwarzania jego danych osobowych przez Spółkę. Obowiązek został zrealizowany pismem z dnia 21 stycznia 2013 roku. Skarżący został także poinformowany ww. pismem o podstawach przetwarzania jego danych osobowych, mimo rezygnacji z usługi.

4. Skarżący zwrócił się do Spółki pismem z dnia 14 marca 2013 roku o wypełnienie obowiązku informacyjnego, określonego w art. 32 ust. 1 ustawy z 1997 roku, w zakresie poinformowania go o celu, zakresie i sposobie przetwarzania jego danych osobowych oraz o odbiorcach lub kategoriach odbiorców danych. Obowiązek został zrealizowany pismem z dnia 3 grudnia 2013 roku.

5. Spółka wskazała pismem z dnia 12 sierpnia 2014 roku, że dane osobowe Skarżącego są przetwarzane cyt. „w celu realizacji przepisów ustawy Kodeks cywilny (Dz.U. z 1964 r. Nr 16 poz. 93 ze zm.) dotyczących odpowiedzialności odszkodowawczej O. S.A. i z tym terminów przedawnienia roszczeń”.

Po przeprowadzeniu postępowania administracyjnego w sprawie Generalny Inspektor Danych Osobowych wydał decyzję administracyjną z dnia 14 kwietnia 2017 roku (DOLiS/DEC-462/17), w której nakazał Spółce wyeliminowanie nieprawidłowości w procesie przetwarzania danych osobowych Skarżącego poprzez usunięcie danych osobowych Skarżącego ze Zbioru (…) oraz ze Zbioru (…).

W dniu 4 maja 2018 roku do Biura Generalnego Inspektora Ochrony Danych Osobowych wpłynął wniosek Spółki o ponowne rozpatrzenie sprawy rozstrzygniętej ww. decyzją. We wniosku Spółka zarzuciła wydanie ww. decyzji z naruszeniem przepisów prawa materialnego, cyt. „to jest art. 23 ust. 1 ustawy z 1997 roku w związku z art. 164 ustawy z dnia 16 lipca 2004 roku Prawo telekomunikacyjne (Dz.U. z 2016 r., poz. 1489 ze zm.), zwanej dalej „Pt” poprzez błędną interpretację i niezasadne przyjęcie, że brak jest podstaw do przetwarzania danych osobowych Skarżącego po zakończeniu umów o świadczenie usług telekomunikacyjnych, jakie łączyły Skarżącego z O.”. Jednocześnie Spółka wskazała w treści wniosku, że nie przetwarza już danych osobowych Skarżącego w zbiorze abonentów operatorów korzystających z usług regulowanych Spółki i wniosła o umorzenie postępowania jako bezprzedmiotowego. Ponadto Spółka wniosła o uchylenie zaskarżonej decyzji w części nakazującej Spółce wyeliminowanie nieprawidłowości w procesie przetwarzania danych osobowych Skarżącego poprzez usunięcie danych osobowych Skarżącego ze Zbioru (…) oraz umorzenie postępowania w pozostałym zakresie.

Pismem z dnia 9 września 2020 roku Prezes Urzędu Ochrony Danych Osobowych zwrócił się do Spółki o przesłanie wyjaśnień i dowodów na okoliczność, czy Spółka aktualnie przetwarza dane osobowe Skarżącego, w jakim celu, na jakiej podstawie prawnej i jakie są to dane. W odpowiedzi – pismem z dnia 25 września 2020 roku - Spółka poinformowała, że aktualnie przetwarza dane osobowe Skarżącego wyłącznie w związku z postępowaniem prowadzonym przez przez Urząd Ochrony Danych Osobowych. Jednocześnie Spółka wskazała, że podstawą przetwarzania danych osobowych skarżącego jest art. 6 ust. 1 lit. f Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych osobowych) (Dz. U. UE L 119 z 4.05.2016, str. 1 oraz Dz. Urz. UE L 127 z 23.05.2018 str. 2), zwanego dalej („Rozporządzeniem 2016/679”), tj. prawnie uzasadniony interes administratora. Spółka przetwarza wyłącznie dane osobowe Skarżącego zawarte w korespondencji z Urzędem i dokumentach sprawy oraz wniosku Spółki o ponowne rozpatrzenie sprawy w zakresie: imię, nazwisko, adres oraz informacje o usługach Spółki świadczonych Skarżącemu.

Pismem z dnia 29 czerwca 2021 roku Spółka ponadto wyjaśniła, że przetwarzała dane osobowe Skarżącego przez okres 10 lat po zakończeniu umów łączących go ze Spółką, jednak nie może podać dokładnej daty usunięcia jego danych. Spółka nie przetwarza aktualnie żadnych danych osobowych Skarżącego.

Po ponownym zapoznaniu się z całością materiału dowodowego zgromadzenia w niniejszej sprawie Prezes UODO zważył, co następuje.

W pierwszej kolejności wskazać należy, że z dniem wejścia w życie ustawy o ochronie danych osobowych z dnia 10 maja 2018 roku (Dz. U. z 2019 r. poz. 1781), Biuro Generalnego Inspektora Ochrony Danych Osobowych stało się Urzędem Ochrony Danych Osobowych. Postępowania prowadzone przez Generalnego Inspektora, wszczęte i niezakończone przed 25 maja 2018 roku prowadzone są przez Prezesa UODO, na podstawie ustawy z 1997 roku, zgodnie z zasadami określonymi w ustawie z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2021 r. poz. 735), zwanej dalej: („k.p.a”). Wszelkie czynności podejmowane przez Generalnego Inspektora przed 25 maja 2018 roku pozostają skuteczne.

Stosownie do art. 57 ust. 1 „Rozporządzenia 2016/679”, bez uszczerbku dla innych zadań określonych na mocy tego rozporządzenia, każdy organ nadzorczy na swoim terytorium monitoruje i egzekwuje stosowanie tego rozporządzenia (lit. a) oraz rozpatruje skargi wniesione przez osobę, której dane dotyczą, lub przez umocowany przez nią – zgodnie z art. 80 Rozporządzeniem 2016/679 – podmiot, organizację lub zrzeszenie, w odpowiednim zakresie prowadzi postępowania w przedmiocie tych skarg i w rozsądnym terminie informuje skarżącego o postępach i wynikach tych postępowań (lit. f).

Zgodnie z art. 105 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2021 r. poz. 735) (dalej zwana także „kpa”), gdy postępowanie z jakiejkolwiek przyczyny stało się bezprzedmiotowe w całości albo w części, organ administracji publicznej wydaje decyzję o umorzeniu postępowania odpowiednio w całości albo w części.

Zgodnie z art. 138 § 1 pkt 2 kpa Organ odwoławczy wydaje decyzję, w której uchyla zaskarżoną decyzję w całości albo w części i w tym zakresie orzeka, co do istoty sprawy albo uchylając tę decyzję - umarza postępowanie pierwszej instancji w całości albo w części.

W tym miejscu wskazać należy, że Prezes UODO wydając decyzję administracyjną zobowiązany jest do rozstrzygania w oparciu o stan faktyczny istniejący w chwili wydania tej decyzji. Jak podnosi doktryna „organ administracji publicznej ocenia stan faktyczny sprawy według chwili wydania decyzji administracyjnej. Reguła ta odnosi się także do oceny stanu prawnego sprawy, co oznacza, że organ administracji publicznej wydaje decyzję administracyjną na podstawie przepisów prawa obowiązujących w chwili jej wydania (…). Rozstrzyganie w postępowaniu administracyjnym polega na zastosowaniu obowiązującego prawa do ustalonego stanu faktycznego sprawy administracyjnej. W ten sposób organ administracji publicznej realizuje cel postępowania administracyjnego, jakim jest urzeczywistnienie obowiązującej normy prawnej w zakresie stosunków administracyjno-prawnych, gdy stosunki te tego wymagają” (Komentarz do ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego, M. Jaśkowska, A. Wróbel, Lex., el/2012). Również Naczelny Sąd Administracyjny – w wyroku z dnia 7 maja 2008 r. w sprawie o sygn. akt I OSK 761/07 stwierdził, iż cyt.: „badając bowiem legalność przetwarzania danych osobowych, GIODO ma obowiązek ustalenia, czy na datę wydawania rozstrzygnięcia w sprawie dane konkretnego podmiotu są przetwarzane oraz czy czynione to jest w sposób zgodny z prawem”.

Prezes Urzędu Ochrony Danych Osobowych musi ocenić czy kwestionowany proces przetwarzania danych osobowych na dzień wydania decyzji jest zgodny z prawem. Odnosząc powyższe do ustalonego stanu faktycznego, należy wskazać, że decydujące znaczenie dla rozstrzygnięcia niniejszego postępowania ma fakt, że Spółka obecnie nie przetwarza danych osobowych Skarżącego w Zbiorze (…) oraz w Zbiorze (…). Ponadto podkreślić należy, że umowy, jakie łączyły Skarżącego ze Spółką zakończyły się odpowiednio w dniach: 18 stycznia 2007 roku i 31 grudnia 2009 roku, co oznacza, że upłynęły już okresy dla przechowywania dokumentacji przez Spółkę przewidziane w: ustawie z dnia 28 września 1994 roku o rachunkowości (Dz.U. z 2016, poz. 1047 ze zm.) zwanej dalej („ustawą o rachunkowości”), ustawie z dnia 29 sierpnia 1997 roku Ordynacja podatkowa (Dz.U. 2017 r., poz. 201), zwanej dalej: („Ordynacja podatkowa”) oraz ustawie z dnia 23 kwietnia 1964 roku Kodeks cywilny (Dz.U. 2017, poz. 459), zwany dalej: („Kodeks cywilny”). Zgodnie z art. 74 ustawy o rachunkowości księgi rachunkowe oraz pozostałe dowody księgowe i dokumenty przechowuje się przez okres 5 lat. Natomiast zgodnie z art. 86 ust. 1 Ordynacji podatkowej podatnicy obowiązani do prowadzenia ksiąg podatkowych przechowują księgi i związane z ich prowadzeniem dokumenty do czasu upływu okresu przedawnienia zobowiązania podatkowego. Zobowiązanie podatkowe przedawnia się z upływem 5 lat od końca roku kalendarzowego, w którym upłynął termin płatności podatku. Ponadto zgodnie z art. 118 Kodeksu cywilnego termin przedawnienia roszczeń wynosi sześć lat, a dla roszczenia o świadczenia okresowe oraz roszczeń związanych z prowadzeniem działalności gospodarczej - trzy lata.

Jak wskazano w doktrynie i orzecznictwie, „Organ odwoławczy uchyla zaskarżoną decyzję i umarza postępowanie I instancji (art. 138 § 1 pkt 2), jeżeli postępowanie przed organem I instancji stało się z jakiejkolwiek przyczyny bezprzedmiotowe (zob. tezę drugą wyroku NSA z 11 czerwca 1981 r., SA 1031/81, ONSA 1981, nr 1, poz. 60; wyrok NSA z 8 sierpnia 1995 r., SA/Wr 96/95, OSP 1997, nr 11, poz. 201; wyrok NSA z 9 lutego 1999 r., III SA 1591/98, LEX nr 36602). Umorzenie postępowania przez organ odwoławczy w wypadku uchylenia decyzji organu I instancji jest dopuszczalne tylko w związku z art. 105, ponieważ tylko w art. 105 wymienia się przyczyny stanowiące podstawę umorzenia postępowania, natomiast w innych przepisach wskazuje przypadki, w których następuje zakończenie sprawy w danej instancji przez umorzenie postępowania (B. Adamiak [w:] B. Adamiak, J. Borkowski, Kodeks..., art. 105, pkt 3). (…) Bezprzedmiotowość postępowania prowadzonego w I instancji może być wynikiem stwierdzenia, że nie ma podstaw do wydania decyzji w sprawie (zob. tezę pierwszą wyroku NSA z 19 lutego 1999 r., IV SA 310/97, LEX nr 48252, dotyczącego sytuacji, w której organ I instancji wydał decyzję o nałożeniu na stronę obowiązku wynikającego wprost z przepisu prawa). W toku postępowania odwoławczego może nastąpić zmiana okoliczności faktycznych, czyniąca postępowanie w sprawie bezprzedmiotowym. Organ odwoławczy powinien wówczas wydać decyzję przewidzianą w zdaniu drugim art. 138 § 1 pkt 2, tj. powinien uchylić zaskarżoną decyzję i umorzyć postępowanie I instancji.” P. M. Przybysz [w:] Kodeks postępowania administracyjnego. Komentarz aktualizowany, LEX/el. 2021, art. 138.

W przedmiotowej sprawie, w toku postępowania odwoławczego, doszło do zmiany stanu faktycznego tego rodzaju, że Spółka obecnie nie przetwarza danych osobowych Skarżącego w żadnym z ww. Zbiorów. Z tego powodu niniejsze postępowanie stało się bezprzedmiotowe, zatem brak jest podstaw do merytorycznego rozstrzygania w sprawie. Zgodnie z tezą wyrażoną w wyroku NSA z dnia 8 sierpnia 1997 roku sygn. I SA/Gd 514/96 „W sytuacji, kiedy dopiero na etapie postępowania odwoławczego zajdą okoliczności faktyczne czyniące postępowanie w sprawie bezprzedmiotowym (art. 105 § 1 k. p. a) organ odwoławczy wydaje decyzję przewidzianą w zdaniu drugim art. 138 § 1 pkt. 2 k. p .a. Takiemu rozstrzygnięciu nie stoi na przeszkodzie sformułowanie „umarza postępowanie pierwszej instancji”, w istocie bowiem znaczy ono tyle, co – umarza postępowanie w sprawie”.

Wobec powyższego Prezes UODO uznał za zasadne podjąć rozstrzygnięcie na zasadzie art. 138 § 1 pkt 2 k.p.a. w zw. z art. 105 §1 kpa, które skutkuje uchyleniem decyzji pierwszej instancji i umorzeniem postępowania pierwszej instancji w całości.

W zaistniałym stanie faktycznym i prawnym Prezes Urzędu Ochrony Danych Osobowych rozstrzygnął, jak w sentencji.

Decyzja jest ostateczna. Od decyzji stronie przysługuje prawo wniesienia skargi do Wojewódzkiego Sądu Administracyjnego w Warszawie, w terminie 30 dni od dnia jej doręczenia, za pośrednictwem Prezesa Urzędu Ochrony Danych Osobowych (adres: ul. Stawki 2, 00 - 193 Warszawa). Wpis od skargi wynosi 200 zł. Strona ma prawo ubiegania się o prawo pomocy, w tym zwolnienie od kosztów sądowych.