Wyrok WSA w Warszawie z dnia 20 kwietnia 2022 r., sygn. II SA/Wa 3515/21

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Karolina Kisielewicz (spr.), Sędzia WSA Iwona Maciejuk, Asesor WSA Michał Sułkowski, , Protokolant starszy referent Magdalena Frąckiewicz, po rozpoznaniu na rozprawie w dniu 20 kwietnia 2022 r. sprawy ze skargi [...] Sp. z o.o. w likwidacji z siedzibą w [...] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] marca 2021 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę

Uzasadnienie

M.T. w piśmie z 23 marca 2020 r. wniósł do Prezesa Ochrony Danych Osobowych skargę na niezgodne z prawem przetwarzanie jego danych osobowych przez [...] sp. z o.o. z siedzibą w [...] – administratora serwisu internetowego [...]. Skarżący podał, że Spółka poinformowała go, że jego dane osobowe zostały ujawnione osobie trzeciej. W związku z tym zmuszony był, w celu zminimalizowania ryzyka kradzieży tożsamości, zastrzec dowód osobisty i wyrobić nowy oraz wykupić alerty powiadomień o użyciu jego numeru PESEL. Z tego powodu poniósł straty majątkowe i niemajątkowe.

W pismach z 14 lipca 2020 r., z 28 października 2020 r. i z 18 stycznia 2021 r. Prezes Urzędu Ochrony Danych Osobowych, na podstawie art. 58 ust. 1 lit. a i e RODO, zwrócił się do [...] o złożenie wyjaśnień i dostarczenie informacji w sprawie skargi M.T. na nieprawidłowości w procesie przetwarzania jego danych osobowych.

W pismach z 30 lipca 2020 r., 9 listopada 2020 r. i z 22 stycznia 2021 r. Spółka wyjaśniła, że dane osobowe M.T. przetwarza od 1 sierpnia 2018 r., tj. od dnia, w którym skarżący dokonał rejestracji na stronie internetowej www.[...] oraz zawarł ze Spółką ramową umowę pożyczki. Wskazała, że przetwarzała jego dane (imię, nazwisko, serię i nr dowodu osobistego, nr PESEL, obywatelstwo, miejsce urodzenia, numer rachunku bankowego, adres zameldowania, adres korespondencyjny, adres zameldowania, adres e-mail skarżącego, numer telefonu komórkowego, numer telefonu pracodawcy, nazwę pracodawcy, zatrudnienie (rodzaj umowy), przychód miesięczny netto, źródła przychodu, ilość osób pozostających na utrzymaniu, stan cywilny, wykształcenie, hasło do profilu klienta), na podstawie art. 6 ust. 1 lit. a, b, c, f rozporządzenia RODO. Spółka podała, że faktycznie nie prowadzi działalności gospodarczej, "całkowicie" usunęła profil skarżącego jako klienta [...] i obecnie przetwarza jego dane osobowe wyłącznie w celach rachunkowych i podatkowych, a także w zakresie niezbędnym do realizacji obowiązków prawnych lub obrony roszczeń, na podstawie art. 6 ust. 1 lit. c i f rozporządzenia.