Decyzja

Na podstawie art. 105 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2020 r. poz. 256 ze zm., z 2021 r. poz. 54 ze zm.), w zw. z art. 160 ust. 1 i 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz.U. z 2019, poz. 1781) oraz art. 12 pkt 2, art. 22 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r., poz. 922 ze zm.) oraz art. 57 ust. 1 lit. a) i f) Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z 04.05.2016, str. 1 oraz Dz. Urz. UE L 127 z 23.05.2018, str. 2), po przeprowadzeniu postępowania administracyjnego w sprawie skargi Pana I. W. reprezentowanego przez adw. M. G. na nieprawidłowości w procesie przetwarzania danych osobowych przez B. Sp. z o.o. sp.k. (poprzednio: H. Sp. z o.o.) oraz przez A. Sp. z o.o. Prezes Urzędu Ochrony Danych Osobowych,

umarza postępowanie.

UZASADNIENIE

Do Biura Generalnego Inspektora Ochrony Danych Osobowych (obecnie Urząd Ochrony Danych Osobowych) wpłynęła skarga Pana I. W., zwanego dalej: „Skarżącym” reprezentowanego przez adw. M. G. na nieprawidłowości w procesie przetwarzania danych osobowych przez B. Sp. z o.o. Sp. k., zwaną dalej: „B.” (poprzednio: H. Spółka z o.o., zwaną dalej: „H.”) oraz przez A. Sp. z o.o., zwaną dalej: „A.”.

W treści skargi Skarżący zwrócił się o cyt.:

„1. Ustalenie bezprawności (art. 54 u.o.d.o.) niedopełnienia obowiązku przekazania skarżącemu informacji umożliwiających mu korzystanie z jego praw przyznanych w ustawie poprzez nie wskazanie przez w/w podmioty:

- w jakich zbiorach administrator danych i przetwarzający dane przetwarzają dane osobowe mojego Mocodawcy;

- w jakim zakresie administrator danych i przetwarzający dane przetwarzają dane osobowe mojego Mocodawcy;

- w jaki sposób administrator danych i przetwarzający dane przetwarzają dane osobowe mojego Mocodawcy;

- od kiedy administrator danych i przetwarzający dane przetwarzają dane osobowe mojego Mocodawcy i w jakim zakresie

- w jakiego źródła administrator danych i przetwarzający dane pozyskali dane mojego Mocodawcy i w jakim zakresie;

- w jaki sposób i jakim odbiorcom administrator danych i przetwarzający dane udostępniają dane osobowe mojego Mocodawcy;

2. Zbadanie legalności przetwarzania danych osobowych mojego mocodawcy przez w/w podmioty poprzez ustalenie czy w stanie faktycznym niniejszej sprawy ewidentne naruszenie praw skarżącego (w tym prawa do prywatności) tak przez administratora danych jak i przetwarzającego (A. Sp. z o.o.) nie niweczy przesłanki legalizującej przetwarzanie, o której mowa w art. 23 ust. 1 pkt 5 u.o.d.o.;

3. Zbadanie legalności przetwarzania danych osobowych mojego mocodawcy przez przetwarzającego poprzez ustalenie czy wobec odpadnięcia celu przetwarzania i braku legitymacji przetwarzającego do dochodzenia w imieniu administratora do dochodzenia w imieniu administratora danych roszczenia na drodze sądowej, przetwarzanie danych przez przetwarzającego (A. Sp. z o.o.) jest uprawnione w świetle art. 23 ust. 1 pkt 5 u.o.d.o;

4. Zbadanie legalności przetwarzania danych przez w/w podmioty w aspekcie przesłanki adekwatności przetwarzania danych, o której mowa w art. 26 ust. 1 pkt 2 u.o.d.o. w stosunku do celu przetwarzania i możliwości jego dochodzenia jedynie na drodze sądowej.

5. Wydanie decyzji nakazującej usunięcie danych osobowych mojego mocodawcy ze zbiorów danych osobowych i wszystkich nośników informacji prowadzonych przez w/w podmioty;

6. Skorzystanie przez Generalnego Inspektora Ochrony Danych Osobowych z uprawnień określonych w art. 12, art. 17, 18 oraz art. 19 ustawy o ochronie danych osobowych poprzez skontrolowanie czy w/w podmioty przetwarzają dane osobowe dłużników:

a) w zakresie adekwatnym do realizowanego celu w sytuacji gdy do dochodzenia roszczenia zbędnym jest przetwarzanie danych aniżeli wskazanych w art. 126 § k.p.c, a w szczególności numerów telefonów dłużnika czy członków jego rodziny;

7. Skorzystanie przez Generalnego Inspektora Ochrony Danych Osobowych z uprawnień określonych w art. 12, art. 17, 18 oraz art. 19 ustawy o ochronie danych osobowych poprzez skontrolowanie czy w/w podmioty przetwarzają dane osobowe osób trzecich (członków rodziny, sąsiadów, znajomych itp.) w celu dochodzenia roszczeń od dłużników, a zatem z całkowitym pominięciem podstawy prawnej przetwarzania danych;”

W toku postępowania administracyjnego przeprowadzonego w niniejszej sprawie Prezes Urzędu Ochrony Danych Osobowych (dalej: „Prezes UODO”) ustalił, co następuje.

1. H. (obecnie B.) pozyskała dane osobowe Skarżącego na podstawie umowy sprzedaży wierzytelności zawartej w dniu […] października 2016 roku pomiędzy Bankiem B. Spółka Akcyjna, zwaną dalej B., a H. z tytułu umowy kredytu nr […] z dnia […] września 2013 roku, tj. na podstawie art. 23 ust. 1 pkt. 2 ustawy z dnia 29 sierpnia 1997 r.  o ochronie danych osobowych (Dz. U. z 2016 r. poz. 922 ze zm.  oraz z 2018 r. poz. 138) zwanej dalej: „ustawą z 1997 roku” w związku z art. 509 ustawy Kodeks cywilny ( Dz. U. z 2020 r. poz. 1740). Dane osobowe Skarżącego B. pozyskała w zakresie określonym w umowie sprzedaży wierzytelności, tj. imienia i nazwiska, adresu zamieszkania, serii i numeru dowodu osobistego, numeru PESEL, numeru NIP, numeru REGON, telefonu kontaktowego, numeru rachunku bankowego (dowód: pismo z dnia […] lutego 2018 roku).

2. B. przetwarzała dane osobowe Skarżącego na podstawie art. 23 ust. 1 pkt. 5 ustawy z 1997 roku w związku z odzyskaniem długu. Zgodnie z art. 23 ust. 4 pkt. 2 ustawy z 1997 roku, prawnie usprawiedliwionym celem przetwarzania danych osobowych Skarżącego było dochodzenie roszczeń w związku z prowadzoną przez B. działalnością gospodarczą.

3. Z wyjaśnień B. z dnia […] lutego 2018 roku wynika, że Skarżący nie wystąpił  z wnioskiem o spełnienie obowiązku informacyjnego na podstawie art. 33 ustawy z 1997 roku.

4. Pismem z dnia […] lutego 2018 roku A. poinformowała, że pozyskała dane osobowe Skarżącego na podstawie umowy zlecenia w zakresie dochodzenia należności z dnia […] października 2016 roku pomiędzy H. (obecnie B.) a A., tj. umowy powierzenia danych osobowych zgodnie z art. 31 ustawy z 1997 roku. A. na podstawie w/w umowy przetwarzała dane osobowe Skarżącego w celu związanym z dochodzeniem wierzytelności przysługujących B.

5. Z wyjaśnień A. z dnia […] lutego 2018 roku wynika, że Skarżący zwrócił się  z wnioskiem o spełnienie obowiązku informacyjnego z art. 33 ustawą z 1997 roku, jednak A. początkowo nie spełniła tego żądania „przez przeoczenie”. Wypełniła obowiązek informacyjny wobec Skarżącego w piśmie do pełnomocnika Skarżącego z dnia […] lutego 2018 roku.

6. W piśmie z dnia […] października 2020 roku A. oświadczyła, że od ponad dwóch lat nie prowadzi czynności windykacyjnych wobec Skarżącego i nie przetwarza aktualnie jego danych osobowych.

7. B. pismem z dnia […] października 2020 roku oświadczyła, że zaprzestała przetwarzania danych osobowych Skarżącego w związku z przedawnieniem wierzytelności będącej podstawą roszczenia, od ponad dwóch lat nie prowadzi żadnych czynności windykacyjnych wobec Skarżącego i nie zleca takich czynności innym firmom.

W tym stanie faktycznym Prezes Urzędu Ochrony Danych Osobowych zważył, co następuje.

Z dniem 25 maja 2018 r. w życie weszły przepisy ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz.U. 2019 poz. 1781), zwanej dalej „u.o.d.o.”.

W myśl art. 160 ust. 1-3 ustawy, postępowania prowadzone przez Generalnego Inspektora Ochrony Danych Osobowych, wszczęte i niezakończone przed dniem wejścia w życie niniejszej ustawy, prowadzone są przez Prezesa Urzędu Ochrony Danych Osobowych na podstawie ustawy, zgodnie z zasadami określonymi w ustawie z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2020 r. poz. 256 z 2021 r. poz. 54), zwanej dalej „k.p.a”. Jednocześnie, czynności dokonane w postępowaniach, wszczętych i niezakończonych przed dniem wejścia w życie przepisów u.o.d.o., pozostają skuteczne.

Od dnia 25 maja 2018 r. zastosowanie ma również rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z 04.05.2016, str. 1 ze zm.), zwane dalej „Rozporządzeniem 2016/679”.

Uwzględniając powyższe stwierdzić należy, że niniejsze postępowanie, wszczęte i niezakończone przed dniem 25 maja 2018 r., prowadzone jest na podstawie ustawy z 1997 roku (w zakresie dotyczącym przepisów regulujących procedurę administracyjną) oraz na podstawie Rozporządzenia 2016/679 (w zakresie rozstrzygającym o legalności procesu przetwarzania danych osobowych). Wynikający w przepisów prawa sposób prowadzenia postępowań w sprawach rozpoczętych i nie zakończonych przed dniem wejścia w życie nowych regulacji z zakresu ochrony danych osobowych koreluje z ugruntowanym stanowiskiem doktryny, zgodnie z którym „organ administracji publicznej ocenia stan faktyczny sprawy według chwili wydania decyzji administracyjnej. Reguła ta odnosi się także do oceny stanu prawnego sprawy, co oznacza, że organ administracji publicznej wydaje decyzję administracyjną na podstawie przepisów prawa obowiązujących w chwili jej wydania” (Komentarz do ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. 00.98.1071) M. Jaśkowska, A. Wróbel, Lex., el/2012).

W wyroku z dnia 7 maja 2008 r. w sprawie o sygn. akt I OSK 761/07 Naczelny Sąd Administracyjny stwierdził, iż „badając […] legalność przetwarzania danych osobowych, GIODO ma obowiązek ustalenia, czy na datę wydawania rozstrzygnięcia w sprawie dane konkretnego podmiotu są przetwarzane oraz czy czynione to jest w sposób zgodny z prawem”.

Decydujące znaczenie dla rozstrzygnięcia niniejszej sprawy ma okoliczność, że dane osobowe Skarżącego nie są obecnie przetwarzane przez B. oraz A. Z materiału dowodowego zebranego w sprawie wynika, że obie spółki od ponad dwóch lat nie prowadzą żadnych czynności windykacyjnych wobec Skarżącego. Wierzytelność będąca podstawa roszczenia jest przedawniona a B. przestała jej dochodzić. Wobec zaprzestania przetwarzania danych osobowych Skarżącego przez obydwie Spółki przestał istnieć przedmiot niniejszego postępowania administracyjnego.

W tej sytuacji niniejsze postępowanie podlega umorzeniu na podstawie art. 105 § 1 ustawy z dnia 14 czerwca 1960  r. Kodeks postępowania administracyjnego (Dz. U. z 2020 r. poz. 256 ze zm., z 2021 poz. 54 ze zm.), zwanej dalej Kpa, wobec jego bezprzedmiotowości. Zgodnie z ww. przepisem, gdy postępowanie z jakiejkolwiek przyczyny stało się bezprzedmiotowe w całości lub w części, organ administracji publicznej wydaje decyzję o umorzeniu postępowania odpowiednio w całości lub w części. Brzmienie powołanej regulacji nie pozostawia wątpliwości, iż w razie stwierdzenia bezprzedmiotowości postępowania organ prowadzący to postępowanie obligatoryjnie je umarza. Jednocześnie w literaturze przedmiotu wskazuje się, że bezprzedmiotowość postępowania administracyjnego, o której stanowi art. 105 § 1 Kpa oznacza, że brak jest któregoś z elementów materialnego stosunku prawnego, a wobec tego nie można wydać decyzji załatwiającej sprawę przez rozstrzygnięcie jej co do istoty (B. Adamiak, J. Borkowski „Kodeks postępowania administracyjnego. Komentarz” 7 wydanie Wydawnictwo C.H. Beck, Warszawa 2005 r., str. 485). Takie samo stanowisko zajął Wojewódzki Sąd Administracyjny w Krakowie w wyroku z dnia 27 lutego 2008 r.  (III SA/Kr 762/2007): „Postępowanie staje się bezprzedmiotowe, gdy brak któregoś   z elementów stosunku materialnoprawnego, co powoduje, że nie można załatwić sprawy przez rozstrzygnięcie co do istoty”.

Ustalenie przez organ publiczny istnienia przesłanki, o której mowa w art. 105 § 1 Kpa zobowiązuje go, jak podkreśla się w doktrynie i orzecznictwie, do umorzenia postępowania, nie ma bowiem wówczas podstaw do rozstrzygnięcia sprawy co do istoty, a dalsze prowadzenie postępowania w takim przypadku stanowiłoby o jego wadliwości, mającej istotny wpływ na wynik sprawy.

W tym stanie faktycznym i prawnym Prezes Urzędu Ochrony Danych Osobowych rozstrzygnął, jak w sentencji.

Na podstawie art. 127 § 3 Kpa od niniejszej decyzji stronie przysługuje prawo do wniesienia wniosku o ponowne rozpatrzenie sprawy w terminie 14 dni od dnia doręczenia decyzji stronie. Jeżeli strona nie chce skorzystać z prawa do złożenia wniosku o ponowne rozpatrzenie sprawy, ma prawo do wniesienia skargi na decyzję do Wojewódzkiego Sądu Administracyjnego w Warszawie w terminie 30 dni od dnia doręczenia jej stronie. Skargę wnosi się za pośrednictwem Prezesa Urzędu Ochrony Danych Osobowych (adres: ul. Stawki 2, 00-193 Warszawa). Wpis od skargi wynosi 200 złotych. Strona ma prawo ubiegania się o prawo pomocy, w tym zwolnienie od kosztów sądowych.