Wyrok WSA w Warszawie z dnia 21 maja 2024 r., sygn. II SA/Wa 1001/23

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Ewa Radziszewska-Krupa, Sędzia WSA Izabela Głowacka-Klimas, Asesor WSA Arkadiusz Koziarski (spr.), Protokolant specjalista Elwira Sipak po rozpoznaniu na rozprawie w dniu 21 maja 2024 r. sprawy ze skarg [...] sp. z o.o. z siedzibą w [...] i [...] Fundusz [...] Zamknięty Niestandaryzowany Fundusz [...] z siedzibą w [...] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] marca 2023 r. nr [...] w przedmiocie przetwarzania danych osobowych 1. uchyla zaskarżoną decyzję; 2. zasądza od Prezesa Urzędu Ochrony Danych Osobowych na rzecz strony skarżącej [...] sp. z o.o. z siedzibą w [...] kwotę 697 zł (sześćset dziewięćdziesiąt siedem) złotych, tytułem zwrotu kosztów postępowania, 3. zasądza od Prezesa Urzędu Ochrony Danych Osobowych na rzecz strony skarżącej [...] Fundusz [...] Zamknięty [...] Fundusz [...] z siedzibą w [...] kwotę 697 zł (sześćset dziewięćdziesiąt siedem) złotych, tytułem zwrotu kosztów postępowania.

Uzasadnienie

Prezes Urzędu Ochrony Danych Osobowych, dalej "PUODO", decyzją z dnia [...] marca 2023 r. nr [...], wydaną na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2022 r. poz. 2000 ze. zm.), dalej "k.p.a." oraz art. 7 ust. 1 i 2, art. 60, art. 101 i art. 103 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781), dalej "u.o.d.o.", oraz art. 57 ust. 1 lit. f, art. 58 ust. 2 lit. d w związku z art. 5 ust. 1 lit a i lit. b, a także art. 6 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady UE 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1 ze zm.), dalej "RODO", po przeprowadzeniu postępowania administracyjnego wszczętego ze skargi W. P., na przetwarzanie jego danych osobowych przez [...] sp. z o.o. (obecnie: [...] sp. z o.o.) z siedzibą w [...], dalej "Spółka" oraz [...] Fundusz [...] Zamknięty Niestandaryzowany Fundusz [...] reprezentowany przez [...] Towarzystwo Funduszy [...] S.A. z siedzibą w [...], dalej "[...]", stwierdzając naruszenie przez Spółkę oraz [...] przepisu art. 6 ust. 1 RODO, polegające na przetwarzaniu danych osobowych W. P. bez podstawy prawnej, a w szczególności bez wykazania prawnie uzasadnionego interesu wskazanego w art. 6 ust. 1 lit. f RODO, realizowanego przez administratora tych danych, tj. [...] - w imieniu którego i na którego polecenie przedmiotowe dane przetwarza Spółka - co stanowi naruszenie zasady przetwarzania danych osobowych zgodnie z prawem, o której mowa w art. 5 ust. 1 lit. a RODO, nakazał Spółce jako podmiotowi przetwarzającemu w rozumieniu art. 4 pkt 8 RODO oraz [...] jako administratorowi w rozumieniu art. 4 pkt 7 RODO, dostosowanie operacji przetwarzania do przepisów RODO poprzez zaprzestanie przetwarzania bez podstawy prawnej danych osobowych W. P., w celu dochodzenia od niego roszczeń majątkowych, związanych z zawartą przez niego [...] marca 2011 r. umową o kartę kredytową z [...] Bank [...] S.A. (obecnie: [...] [...] (Spółka Akcyjna) Oddział w Polsce) z siedzibą w [...], stanowiących przedmiot umowy cesji wierzytelności zawartej [...] października 2013 r. pomiędzy [...] Bank [...] S.A. a [...], z uwagi na brak prawnie uzasadnionego interesu wskazanego w art. 6 ust. 1 lit. f RODO, od dnia doręczenia niniejszej decyzji.