II SA/Wa 1484/25

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Andrzej Góraj (spr.), Sędzia WSA Arkadiusz Koziarski, Asesor WSA Dorota Kozub-Marciniak, , Protokolant starszy specjalista Bogumiła Kobierska, , po rozpoznaniu na rozprawie w dniu 8 stycznia 2026 r. sprawy ze skargi R. Z. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] lipca 2025 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę

Postępowanie przed Prezesem Urzędu Ochrony Danych Osobowych (zwanego dalej UODO), zainicjowała skarga R. Z., (zwanego dalej Skarżącym), na nieprawidłowości w procesie przetwarzania jego danych osobowych przez [...] Sp. z o.o. z siedzibą w [...] (zwaną dalej Spółką), polegające na niedopełnieniu wobec Skarżącego obowiązku informacyjnego w zakresie informacji o jakie wnioskował na podstawie art. 15 ust. 1 rozporządzenia 2016/679 oraz na niespełnieniu żądania w zakresie udostępnienia kopii jego danych osobowych, złożonego zgodnie z art. 15 ust. 3 rozporządzenia 2016/679, a także na niedopełnieniu wobec niego obowiązku informacyjnego, o którym mowa w art. 14 rozporządzenia 2016/679. Decyzją z [...] lipca 2025r. Prezes Urzędu Ochrony Danych Osobowych w pkt.1 udzielił spółce upomnienia za naruszenie przepisów art.12 i 15 RODO zaś w pkt.2 umorzył postępowanie w pozostałym zakresie. W uzasadnieniu wyjaśnił m.in. że spółka przetwarza dane osobowe Skarżącego w związku z zakupionymi przez Skarżącego usługami ochronnymi [...], dla których spółka jest organizatorem usług naprawczych. Dalej wskazał, że podstawą przetwarzania danych Skarżącego przez spółkę jest zawarta przez nią z administratorem danych osobowych (to jest [...] S.A.), umowa o powierzeniu o przetwarzaniu danych osobowych. Dane osobowe Skarżącego w związku z realizacją usług [...] zostały przekazane spółce przez administratora danych osobowych w celu obsługi realizacji usługi z chwila wykupienia tej usługi przez Skarżącego. Zestawiając w/pow. fakty z treścią art.14 RODO który obowiązek informacyjny nakłada wyłącznie na administratora danych a nie podmiot przetwarzający, organ uznał, ze żądanie powiązane z art.14 RODO jest bezprzedmiotowe. Od pkt.2 w/w decyzji skargę do tut. Sądu wywiódł R. Z. wnosząc o jej uchylenie w tym zakresie i zarzucając naruszenie: - art. 7 K.p.a. w zw. z art. 77 § 1 K.p.a. oraz art. 8o K.p.a. - poprzez brak wszechstronnego zebrania i oceny dowodów oraz brak ich oceny w sposób swobodny, zgodnie z wiedzą i doświadczeniem życiowym, co skutkowało m.in. przyjęciem, że należy udzielić [...] sp. z o.o. w [...] wyłącznie upomnienia, i pominięcie, że Spółka uzyskała dane osobowe R. Z. nie tylko od [...] S.A., ale także od samego zainteresowanego i Prezesa UODO w ramach postępowania administracyjnego, - art. 77 i 105 K.p.a. - art. 4, 13, 14 i 15 RODO. W odpowiedzi na skargę organ wniósł o jej oddalenie. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: zgodnie z treścią przepisu art.1 par. 1 i 2 ustawy z dnia 25 lipca 2002 r. – Prawo o ustroju sądów administracyjnych (Dz. U. Nr.153, poz.1269 z późn. zm.) Sąd Administracyjny sprawuje wymiar sprawiedliwości poprzez kontrolę pod względem zgodności z prawem skarżonej decyzji administracyjnej. Jest więc to kontrola legalności rozstrzygnięcia zapadłego w postępowaniu administracyjnym, z punktu widzenia jego zgodności z prawem materialnym i procesowym. Oceniając przedmiotową decyzję w zaskarżonej części według powyższych kryteriów uznać należy, iż nie narusza ona prawa. Istota sprawy w niniejszym postępowaniu sprowadzała się do oceny tego, czy organ prowadząc je, poruszał się w granicach prawa. W ocenie tut. Sądu na w/postawione pytanie należało udzielić pozytywnej odpowiedzi. Zgodnie z art. 14 ust. 1 rozporządzenia 2016/679, jeżeli danych osobowych nie pozyskano od osoby, której dane dotyczą administrator podaje osobie, której dane dotyczą następujące informacje: swoją tożsamość i dane kontaktowe oraz, gdy ma to zastosowanie, tożsamość i dane kontaktowe swojego przedstawiciela (lit. a); gdy ma to zastosowanie - dane kontaktowe inspektora ochrony danych (lit. b); cele przetwarzania, do których mają posłużyć dane osobowe, oraz podstawę prawną przetwarzania (lit. c); kategorie odnośnych danych osobowych (lit. d); informacje o odbiorcach danych osobowych lub o kategoriach odbiorców, jeżeli istnieją (lit. e); gdy ma to zastosowanie - informacje o zamiarze przekazania danych osobowych odbiorcy w państwie trzecim lub organizacji międzynarodowej oraz o stwierdzeniu lub braku stwierdzenia przez Komisję odpowiedniego stopnia ochrony lub w przypadku przekazania, o którym mowa w art. 46, art. 47 lub art. 49 ust. 1 akapit drugi, wzmiankę o odpowiednich lub właściwych zabezpieczeniach oraz informację o sposobach uzyskania kopii tych zabezpieczeń lub o miejscu ich udostępnienia (lit. f). Zgodnie z ust. 2 ww. artykułu poza informacjami, o których mowa w ust. 1, administrator podaje osobie, której dane dotyczą następujące informacje niezbędne do zapewnienia rzetelności i przejrzystości przetwarzania wobec osoby, której dane dotyczą: okres, przez który dane osobowe będą przechowywane, a gdy nie jest to możliwe, kryteria ustalania tego okresu (lit. a); jeżeli przetwarzanie odbywa się na podstawie art. 6 ust. 1 lit. f) - prawnie uzasadnione interesy realizowane przez administratora lub przez stronę trzecią (lit. b); informacje o prawie do żądania od administratora dostępu do danych osobowych dotyczących osoby, której dane dotyczą ich sprostowania, usunięcia lub ograniczenia przetwarzania oraz o prawie do wniesienia sprzeciwu wobec przetwarzania, a także o prawie do przenoszenia danych (lit. c); jeżeli przetwarzanie odbywa się na podstawie art. 6 ust. 1 lit. a) lub art. 9 ust. 2 lit. a) - informacje o prawie do cofnięcia zgody w dowolnym momencie bez wpływu na zgodność z prawem przetwarzania, którego dokonano na podstawie zgody przed jej cofnięciem (lit. d ); informacje o prawie wniesienia skargi do organu nadzorczego (lit. e); źródło pochodzenia danych osobowych, a gdy ma to zastosowanie - czy pochodzą one ze źródeł publicznie dostępnych (lit. f); informacje o zautomatyzowanym podejmowaniu decyzji, w tym o profilowaniu, o którym mowa w art. 22 ust. 1 i 4, oraz – przynajmniej w tych przypadkach - istotne informacje o zasadach ich podejmowania, a także o znaczeniu i przewidywanych konsekwencjach takiego przetwarzania dla osoby, której dotyczą (lit. g). Tym samym obowiązek ten ciąży na podmiocie, który pozyskał dane osobowe z innego źródła niż podmiot danych. Z przywołanej regulacji w sposób jasny i jednoznaczny wynika, że opisany w niej obowiązek informacyjny spoczywa wyłącznie na administratorze danych osobowych. Wobec wielce precyzyjnego sfomułowania w/pow. normy prawnej nieuprawnionym jest wywodzenie, że obowiązek ten rozciąga się również na podmiot przetwarzający. Podmiot taki działa przecież na podstawie umowy zawartej z administratorem o powierzeniu przetwarzania danych. Umowa taka nie statuuje więc podmiotu przetwarzającego do rangi administratora. Przenosząc powyższe na realia faktyczne sprawy skarżone rozstrzygnięcie jawiło się jako poprawne. Strona skarżąca nie przedstawiła bowiem żadnych dowodów na potwierdzenie podnoszonej tezy, że spółka jest administratorem jego danych. Wbrew twierdzeniom skargi nie sposób wywieść przeciwnego wniosku z faktu pozyskania danych skarżącego w ramach badanego postępowania administracyjnego. Zakres przedmiotowy tego postępowania nie obejmuje bowiem faktów które zaistniały w jego ramach i na wyłączne potrzeby tego postępowania. Stąd w ocenie tut. Sądu organ postąpił prawidłowo umarzając postępowanie w zakresie skargi dotyczącej materii obowiązku wynikającego z art.14 RODO. Co się tyczy pozostałych zarzutów skargi, to ponieważ dotyczyły one niezaskarżonego pkt.1 decyzji tut. Sąd nie mógł się do nich odnosić. W tym stanie sprawy, nie podzielając argumentów zawartych w złożonej skardze, oraz uznając iż organ w sposób prawidłowy zebrał i ocenił materiał dowodowy, oraz iż przy wykonywaniu tych czynności nie naruszył przepisów prawa, Wojewódzki Sad Administracyjny w Warszawie orzekł jak w sentencji wyroku na podstawie art.151 ustawy z dnia 30 sierpnia 2002r. – Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2024r. poz.935).