Wyrok WSA w Warszawie z dnia 22 grudnia 2022 r., sygn. II SA/Wa 981/22

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Ewa Radziszewska-Krupa (spr.), Sędzia WSA Joanna Kube, Sędzia WSA Andrzej Góraj, Protokolant starszy specjalista Aleksandra Weiher po rozpoznaniu na rozprawie w dniu 8 grudnia 2022 r. sprawy ze skargi [...] Sp. z o.o. z siedzibą w [...] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z [...] marca 2022r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę

Uzasadnienie

I. Stan sprawy przedstawia się następująco:

1. Prezes Urzędu Ochrony Danych Osobowych (zwany dalej "Prezesem UODO") decyzją z [...] marca 2022r. nr [...] udzielił [...] Sp. z o.o. z siedzibą w [...] (zwana dalej: "Spółką" albo "Skarżącą"), działającą przez oddział w Polsce ([...] Sp. z o.o. z siedzibą w [...], zwany dalej "Oddziałem") upomnienia za naruszenie art. 12 ust. 3 w zw. z art. 15 ust. 1 lit. g) rozporządzenia 2016/679 z 27 kwietnia 2016r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych (Dz.Urz.UE L 119 z 4.05.2016, str. 1, Dz.Urz.UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35 zwane dalej: "RODO"), polegające na poinformowaniu D. B. (zwany dalej "Uczestnikiem") o źródle pozyskania Jego danych osobowych po przekroczeniu terminu określonego w art. 12 ust. 3 RODO. W podstawie prawnej decyzji powołano też art. 104 § 1 Kodeksu postępowania administracyjnego (Dz.U. z 2021r., poz. 735 ze zm., zwana dalej "k.p.a.") w zw. z art. 7 ust. 1 i 2 ustawy z 10 maja 2018r. o ochronie danych osobowych (Dz.U. z 2019r., poz. 1781, zwana dalej "u.o.d.o.") i art. 58 ust. 2 lit. b RODO.

Prezes UODO w uzasadnieniu ww. decyzji wskazał, że Uczestnik w skardze z [...] kwietnia 2021r. zgłosił nieprawidłowości w procesie przetwarzania Jego danych osobowych przez Spółkę, polegające na braku odpowiedzi na pytanie o źródło pochodzenia danych osobowych. Prezes UODO ustalił, na podstawie wyjaśnień Spółki i po zgromadzeniu materiału dowodowego, że Uczestnik [...] marca 2021r. odebrał połączenie telefoniczne od przedstawiciela Spółki z ofertą handlową, pochodzące z nr tel. [...]. Pracownik Spółki podczas rozmowy nie był w stanie udzielić odpowiedzi, z jakiego źródła Spółka pozyskała Jego dane osobowe, podał tylko adres e-mail Inspektora Ochrony Danych Osobowych Spółki. Tego samego dnia Uczestnik wysłał wiadomość e-mail pod adres: [...], w której zażądał informacji - m.in. o źródle pozyskania danych osobowych (kopia wniosku Uczestnika z [...] marca 2021r. i pismo z [...] kwietnia 2021r.). Spółka udzieliła Uczestnikowi odpowiedzi [...] maja 2021r., informując m.in. o źródle pozyskania danych osobowych (wyjaśnienia Spółki z 26 sierpnia 2021r. z kopią korespondencji skierowanej do Uczestnika drogą mailową [...]maja 2021r.). Spółka podniosła, że termin udzielenia odpowiedzi wynikał z sytuacji związanej z epidemią COVID-19, która przyczyniła się do zmiany trybu pracy Spółki i braków kadrowych. Zdaniem Spółki nr telefonu Uczestnika nie stanowi danych osobowych w rozumieniu przepisów RODO, wobec czego Spółka nie była związana terminem przewidzianym w przepisach o ochronie danych osobowych (wyjaśnienia Spółki z 26 sierpnia 2021r.).