III OSK 3073/23

Naczelny Sąd Administracyjny w składzie: Przewodniczący: sędzia NSA Tamara Dziełakowska Sędziowie: sędzia NSA Zbigniew Ślusarczyk sędzia del. WSA Ireneusz Dukiel (sprawozdawca) Protokolant: starszy asystent sędziego Agnieszka Kozik po rozpoznaniu w dniu 14 lipca 2026 r. na rozprawie w Izbie Ogólnoadministracyjnej skargi kasacyjnej P. od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 20 lipca 2023 r. sygn. akt II SA/Wa 2306/22 w sprawie ze skargi P. na pkt 1 decyzji Prezesa Urzędu Ochrony Danych Osobowych z dnia 21 października 2022 r. nr DS.523.1368.2022.WP.ŁZ w przedmiocie przetwarzania danych osobowych 1. oddala skargę kasacyjną; 2. zasądza od P. na rzecz Prezesa Urzędu Ochrony Danych Osobowych kwotę 500 (słownie: pięćset) złotych tytułem zwrotu koszów postępowania kasacyjnego.

Wojewódzki Sąd Administracyjny w Warszawie wyrokiem z dnia 20 lipca 2023 r., sygn. akt II SA/Wa 2306/22, oddalił skargę P. (dalej jako Związek, strona skarżąca lub skarżąca kasacyjnie) na pkt 1 decyzji Prezesa Urzędu Ochrony Danych Osobowych (dalej jako organ lub PUODO) z dnia 21 października 2022 r., nr DS.523.1368.2022.WP.ŁZ, w przedmiocie przetwarzania danych osobowych. Wskazany wyrok został wydany w następujących okolicznościach faktycznych i prawnych: Pismem z dnia 21 lutego 2022 r. B.B. (dalej jako uczestnik postępowania) złożył skargę do organu na nieprawidłowości w procesie przetwarzania jego danych osobowych przez stronę skarżącą polegające na: - przetwarzaniu bez podstawy prawnej jego danych osobowych w zakresie imienia ojca, miejsca pracy, miejsca urodzenia, daty urodzenia i wykształcenia; - niedoręczeniu mu klauzuli informacyjnej; - nieudzieleniu mu odpowiedzi na wniosek z 5 stycznia 2022 r. o przekazanie informacji w przedmiocie przetwarzania jego danych osobowych przez stronę skarżącą. W skardze uczestnik postępowania podniósł, że wstępując do Związku w dniu 6 maja 2010 r. był zmuszony wypełnić - pod rygorem odmowy przyjęcia - ankietę personalną, która obejmowała m.in. imię ojca, miejsce pracy, miejsce urodzenia, datę urodzenia i wykształcenie. Według uczestnika postępowania, skarżący przetwarza te dane osobowe nieadekwatnie do celu przetwarzania, bez podstawy prawnej oraz bez jego zgody. Dotychczas Związek nie poinformował go o przysługujących mu prawach ani nie doręczył mu klauzuli informacyjnej dotyczącej przetwarzanych danych osobowych. Ponadto Związek nie odpowiedział na wiadomość elektroniczną (e-maila) uczestnika postępowania z 5 stycznia 2022 r., co należy zaklasyfikować jako oczywiste naruszenie art. 12 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych - Dz. Urz. UE L 119 z 4 maja 2016 r., str. 1; Dz. Urz. UE L 127 z 23 maja 2018 r., str. 2; Dz. Urz. UE L 74 z 4 marca 2021 r., str. 35; dalej: RODO). Następnie w piśmie z dnia 10 maja 2022 r. uczestnik postępowania zmodyfikował, tj. rozszerzył powyższą skargę o zarzut bezprawnego przetwarzania jego danych osobowych w zakresie zawodu i numeru telefonu. Podkreślił, iż po wejściu w życie RODO Związek nie poinformował go o zamiarze przetwarzania jego danych osobowych; nie przeprowadził adekwatnej analizy ryzyka, uznając za zbędny wysiłek masowe wysyłanie prośby o zgodę na przetwarzanie danych osobowych, których konieczność przetwarzania nie wynika z przepisów prawa; nie uwzględnił zasady minimalizacji przetwarzania danych osobowych. Organ wskazaną na wstępie decyzją z dnia 21 października 2022 r. w pkt 1 nakazał Związkowi zaprzestanie przetwarzania danych osobowych uczestnika postępowania w zakresie imienia ojca, miejsca pracy, wykształcenia, zawodu i numeru telefonu, pozyskanych z dokumentów wypełnionych przez niego w dniu 6 maja 2010 r. (deklaracji członkowskich i karty ewidencyjnej członka); w pkt 2 udzielił upomnienia stronie skarżącej za naruszenie art. 12 ust. 3 i ust. 4 RODO poprzez przekroczenie terminu, o którym mowa w tych przepisach, w związku z udzieleniem odpowiedzi na wniosek uczestnikowi postępowania z dnia 5 stycznia 2022 r. o udzielenie informacji w sprawie przetwarzania jego danych osobowych; zaś w pkt 3 odmówił uwzględnienia wniosku (skargi) w pozostałym zakresie. W uzasadnieniu decyzji PUODO podał, że w toku postępowania wyjaśniającego ustalił, że uczestnik postępowania jest członkiem Związku i w dniu 6 maja 2010 r. wypełnił: - dwie deklaracje członkowskie do P., w których podane zostały jego dane osobowe m.in. w zakresie numeru PESEL, imienia ojca, miejsca urodzenia, daty urodzenia, zawodu i numeru telefonu, - kartę ewidencyjną członka Związku, w której podał skarżącemu swoje dane osobowe m.in. w zakresie numeru PESEL, imienia ojca, określenia miejsca pracy, miejsca urodzenia, daty urodzenia, wykształcenia, zawodu i numeru telefonu. Uczestnik postępowania nie udostępnił Związkowi swoich danych osobowych w zakresie imienia ojca, miejsca pracy, miejsca urodzenia, daty urodzenia, wykształcenia, zawodu lub numeru telefonu po dniu 24 maja 2018 r., w szczególności nie przekazał Związkowi wypełnionej ankiety "Dane osobowe myśliwego – aktualizacja". Związek stwierdził, że nie przetwarza danych osobowych uczestnika postępowania innych niż te, które przekazał Związkowi. Dane osobowe takie jak: imię, nazwisko, imię ojca, data urodzenia, miejsce urodzenia, PESEL, płeć, obywatelstwo, data wstąpienia do Związku, numer legitymacji, adres zamieszkania oraz numer telefonu służą skarżącemu do weryfikacji podmiotu i statusu członka Związku, do kontaktu z nim oraz ustalenia, od kiedy przysługuje mu status członka Związku, a także określenia właściwego zarządu okręgowego Związku. Niemożność weryfikacji sprawiłaby, iż zainteresowany [...] nie mógłby w pełni realizować swoich praw jako członek Związku, zatem doszłoby do naruszenia postanowień umowy, która powstała w momencie, gdy uczestnik postępowania został członkiem Związku. W tym aspekcie Związek powołał się na ugruntowane w orzecznictwie sądów powszechnych oraz doktrynie stanowisko, iż statut Związku jako stowarzyszenia jest rodzajem umowy. Dalej Związek wyjaśnił, że dane dotyczące wykształcenia wyższego, zawodu oraz miejsca pracy służą mu do celów statystycznych na podstawie art. 6 ust. 1 lit. f) RODO. W ten sposób odbywa się weryfikacja, w jakich branżach, zawodach i miejscach pracy rozwija się kultura łowiectwa, do wspierania której Związek jest zobowiązany na mocy art. 34 ustawy z dnia 13 października 1995 r. Prawo łowieckie (obecnie t. jedn.: Dz.U. z 2025r., poz. 539 ze zm.; dalej: u.p.ł.). Te dane osobowe uczestnika postępowania Związek przetwarza w zbiorze danych "Myśliwi", w systemie informatycznym "Łowiectwo w Polsce". Związek oświadczył, iż wypełnił wobec uczestnika postępowania obowiązek informacyjny określony w art. 13 RODO, doręczając mu 3 stycznia 2022 r. e-mailem klauzulę informacyjną zawierającą wszystkie informacje objęte późniejszym wnioskiem uczestnika postępowania, który stał się powodem skargi. Dalej Związek wyjaśnił, że dane osobowe uczestnika postępowania w zakresie imienia ojca, miejsca urodzenia i daty urodzenia przetwarza w ramach realizacji obowiązków i zadań prawnych nałożonych na niego przez ustawy i rozporządzenia, w celu udzielania informacji i wyjaśnień na żądanie m.in. uprawnionych organów administracji publicznej, organów ścigania, a także w celu wykonania umowy łączącej z uczestnikiem postępowania, w szczególności realizacji jego praw przez Związek i egzekwowania przez Związek od uczestnika postępowania obowiązków wynikających ze stosunku członkostwa. Powyższe dane skarżący przetwarza w zbiorze danych "Myśliwi", w systemie informatycznym "Łowiectwo w Polsce". Również numer telefonu Związek przetwarza w ww. zbiorze i ww. celu wykonania umowy łączącej z uczestnikiem postępowania oraz w celu nawiązania bezpośredniego kontaktu z uczestnikiem postępowania w przypadku wystąpienia takiej potrzeby. Natomiast Związek nie przetwarza danych osobowych uczestnika postępowania w celach archiwalnych. Następnie PUODO wskazał, że Związek w sprawozdaniach z działalności za poszczególne okresy oraz w broszurach informacyjnych publikował informacje o ilości (liczbie) lub procencie myśliwych z określonym wykształceniem lub wykonywanym zawodem/miejscem pracy. Motywując swoje rozstrzygnięcie, organ nie podzielił zapatrywania Związku, iż statut stowarzyszenia jest rodzajem umowy. Powołując się na stanowisko doktryny i judykatury, w tym wyrok Trybunału Konstytucyjnego z dnia 6 listopada 2012 r., sygn. akt K 21/11, PUODO uznał Związek za organizację niebędącą stowarzyszeniem, w której dominuje aspekt publicznoprawny, wykazującą cechy samorządu i organizacji przymusowej. Z tego względu sam fakt członkostwa uczestnika postępowania w Związku nie oznacza możliwości przetwarzania jego danych osobowych w oparciu o przesłankę określoną w art. 6 ust. 1 lit. b) RODO. Według organu, treść formularza "Dane osobowe myśliwego – aktualizacja", który został przesłany uczestnikowi postępowania 3 stycznia 2022 r. przez pracownika Zarządu Okręgowego Związku w W., również nie potwierdza, aby Związek przetwarzał lub zamierzał przetwarzać dane osobowe swoich członków na podstawie ww. przesłanki. Przesłanka ta nie została wymieniona w klauzuli informacyjnej dotyczącej przetwarzania danych osobowych, zamieszczonej w ww. formularzu. PUODO podniósł dalej, iż przepisy u.p.ł. nie normują wprost zakresu danych osobowych członków Związku, które strona skarżąca jest uprawniona lub zobowiązana przetwarzać. Zakres danych osobowych zbieranych od członków Związku został wskazany we wzorach deklaracji członkowskich, które - stosownie do delegacji zawartej w art. 32 ust. 4 pkt 10 u.p.ł. - są określane w statucie Związku. Jednakże uczestnik postępowania złożył deklaracje członkowskie w 2010 r., czyli w innym stanie prawnym, a skargę na nieprawidłowości w procesie pozyskania danych osobowych wniósł w czasie obowiązywania przepisów RODO, zatem PUODO nie jest uprawniony do oceny, czy dopuszczalne było pozyskanie przez Związek danych osobowych zawartych w tych deklaracjach, ale jest zobowiązany ocenić proces przetwarzania danych osobowych uczestnika postępowania pod rządami przepisów RODO oraz uwzględnić fakt posiadania przez Związek przedmiotowych deklaracji oraz innych dokumentów złożonych przez uczestnika postępowania w toku przyjmowania w poczet członków Związku, jako element stanu faktycznego sprawy. Ustalając, czy przetwarzanie przez skarżącego danych osobowych uczestnika postępowania w kwestionowanym przez niego zakresie, znajdowało oparcie w przynajmniej jednej z przesłanek legalizujących wymienionych w art. 6 ust. 1 RODO, organ wskazał na art. 32 ust. 5 pkt 4 u.p.ł. i w tym kontekście podał, że uczestnik postępowania nabył uprawnienia do wykonywania polowania 22 kwietnia 2010 r. W tym dniu złożył bowiem egzamin przed komisją egzaminacyjną przy Zarządzie Okręgowym P. w W. Ze wzorów dokumentów potwierdzających uzyskanie uprawnień do wykonywania polowania, stanowiących załączniki nr 1-3 do rozporządzenia Ministra Środowiska z dnia 28 grudnia 2009 r. w sprawie uprawnień do wykonywania polowania (Dz.U. z 2010 r. Nr 3, poz. 19; dalej jako rozporządzenie) wynika, iż osoba, która uzyskała ww. uprawnienia, identyfikowana jest w treści zaświadczeń o uzyskaniu tych uprawnień poprzez dane w zakresie imion, nazwiska, daty urodzenia, miejsca urodzenia i numeru dokumentu potwierdzającego tożsamość. Ponadto uwzględniając, że w systemie informatycznym Związku przetwarzane są dane więcej niż jednego członka o takim samym imieniu i nazwisku jak uczestnik postępowania, zaś od daty uzyskania przez niego uprawnień upłynęło 12 lat, a dowody osobiste ważne są przez okres 10 lat od daty wydania osobom pełnoletnim, to aktualnie - bez posiadania informacji o miejscu i dacie urodzenia uczestnika postępowania – strona skarżąca nie byłaby w stanie powiązać jego osoby z faktem posiadania przez niego uprawnień do wykonywania polowania. Tak więc podstawą przetwarzania przez Związek danych osobowych uczestnika postępowania w zakresie miejsca urodzenia i daty urodzenia jest przesłanka niezbędności przetwarzania tych danych w ramach sprawowania władzy publicznej powierzonej administratorowi określona w art. 6 ust. 1 lit. e) RODO. Jednocześnie PUODO stwierdził brak podstaw do przetwarzania ww. danych osobowych w celu udzielania informacji i wyjaśnień na ewentualne żądanie uprawnionych organów administracji publicznej i organów ścigania, czyli niejako "na przyszłość", gdyż zgromadzony w sprawie materiał dowodowy nie potwierdził, aby organy te zwracały się do Związku z żądaniem udzielenia informacji o uczestniku postępowania. Jak wskazano strona skarżąca przedstawiła kopie pism: Instytutu Pamięci Narodowej - Komisji Ścigania Zbrodni przeciwko Narodowi Polskiemu z dnia 26 października 2021 r. do Zarządu Okręgowego Związku w Przemyślu oraz Komendy Wojewódzkiej Policji w Szczecinie z dnia 19 listopada 2020 r. do Zarządu Okręgowego Związku w Szczecinie, które nie dotyczą danych osobowych uczestnika postępowania. W rezultacie organ zakwestionował praktykę przetwarzania danych osobowych "na zapas", tj. na wypadek, gdyby mogły okazać się przydatne do realizacji danego celu w przyszłości. W kwestii przetwarzania przez skarżącego danych osobowych w zakresie imienia ojca uczestnika postępowania PUODO wskazał, że pozyskanie tej danej przez Związek od jego potencjalnych członków legalizuje § 4 rozporządzenia. Przy czym, w ocenie organu, wskazany przepis nie uzasadnia przetwarzania przez Związek informacji o imieniu ojca uczestnika postępowania w dokumentach wypełnionych w dniu 6 maja 2010 r. (tj. dwóch deklaracjach członkowskich i karcie ewidencyjnej członka Związku), a zatem już po przeprowadzeniu egzaminu z udziałem uczestnika postępowania. Informacja o imieniu ojca jest zbędna Związkowi dla powiązania uczestnika postępowania z faktem posiadania przez niego uprawnień do wykonywania polowania (do takiej identyfikacji służą dane zawarte w zaświadczeniu o uzyskaniu tych uprawnień takie jak imiona, nazwisko, data urodzenia, miejsce urodzenia i numer dokumentu potwierdzającego tożsamość), jak również dla zweryfikowania jego przynależności do Związku (to jednoznacznie identyfikuje numer PESEL). W myśl art. 32 ust. 5 u.p.ł. złożenie deklaracji członkowskiej jest jednym z warunków uzyskania członkostwa w Związku, lecz sam fakt zebrania danych osobowych za pomocą deklaracji nie przesądza o niezbędności danych osobowych. W konsekwencji PUODO nie znalazł podstawy legalizującej przetwarzanie przez Związek danej osobowej w postaci imienia ojca uczestnika postępowania, zwłaszcza że uczestnik postępowania nie wyraził zgody na przetwarzanie tej danej. Wobec tego ustalenia, organ uznał za zasadne skorzystanie z instrumentu o charakterze naprawczym, przewidzianego w art. 58 ust. 2 lit. d) RODO i nakazanie skarżącemu zaprzestania przetwarzania pozyskanych z dokumentów wypełnionych przez uczestnika postępowania w dniu 6 maja 2010 r. (deklaracji członkowskich i karty ewidencyjnej członka Związku) jego danych osobowych w zakresie imienia ojca. Dalej PUODO ocenił, iż Związek nie przetwarza informacji o numerze telefonu uczestnika postępowania w celu wykonania łączącej ich umowy, czyli na mocy art. 6 ust. 1 lit. b) RODO. Przede wszystkim organ uznał, że stosunek pomiędzy Związkiem i uczestnikiem postępowania nie ma charakteru umownego. Nawet jeśliby przyjąć, że Statut Związku jest rodzajem umowy, to dokument ten (stanowiący załącznik do uchwały XXIV Krajowego Zjazdu Delegatów Związku z dnia 16 lutego 2019 r.) przewiduje formę pisemną (a nie telefoniczną) dla prowadzenia przez Związek komunikacji z jego członkami, zaś w przypadku wyrażenia przez członka Związku pisemnej zgody, dopuszcza możliwość dostarczania korespondencji drogą elektroniczną. I tak zgodnie z § 13 ust. 2 pkt 4 Statutu Związku, skreślenie z rejestru członków Związku osób fizycznych następuje po uprzednim pisemnym wezwaniu za potwierdzeniem odbioru do wpłacenia zaległych składek w terminie 30 dni od otrzymania wezwania. Z kolei według § 107 ust. 8 Statutu Związku, jego członek może wyrazić pisemną zgodę na dostarczanie mu korespondencji drogą elektroniczną, a zawiadomienie drogą elektroniczną wypełnia warunek skutecznego zawiadomienia. PUODO skonstatował, iż posiadanie przez Związek numeru telefonu uczestnika postępowania w celu kontaktu z nim jest potencjalnie przydatne i może stanowić ułatwienie, ale nie jest niezbędne. Przesłanką legalizującą przetwarzanie tej danej mogłaby być zgoda przewidziana w art. 6 ust. 1 lit. a) RODO, jednak - jak ustalił organ - Związek nie uzyskał od uczestnika postępowania zgody w rozumieniu art. 4 pkt 11 RODO w zw. z motywem 42 preambuły RODO. Za takową zgodę nie sposób uznać podania przez uczestnika postępowania numeru telefonu w deklaracjach członkowskich i karcie ewidencyjnej członka Związku, dlatego PUODO skorzystał z instrumentu o charakterze naprawczym, o którym mowa w art. 58 ust. 2 lit. d) RODO i nakazał Związkowi zaprzestanie przetwarzania pozyskanych z dokumentów wypełnionych w dniu 6 maja 2010 r. informacji o numerze telefonu uczestnika postępowania. Ten sam instrument PUODO zastosował względem Związku w odniesieniu do przetwarzania danych osobowych uczestnika postępowania w zakresie miejsca pracy, wykształcenia i zawodu. Analizując powołane przez Związek cele statystyczne w świetle motywu 47 preambuły RODO, organ nie dopatrzył się prawnie uzasadnionego interesu administratora. W przedmiotowej sprawie uczestnik postępowania nie miał świadomości o przetwarzaniu jego danych osobowych w zakresie miejsca pracy, wykształcenia i zawodu w celach statystycznych, w szczególności informacja o pozyskiwaniu danych w tym celu nie została zawarta w treści dokumentów, w których uczestnik postępowania przekazał stronie skarżącej te dane. Takie działanie Związku ograniczało prawo uczestnika postępowania do prywatności oraz prawo do autonomii informacyjnej, tj. dysponowania swoimi danymi w sposób uzależniony od woli lub działania osoby, której dane dotyczą. Nie zaistniała także żadna z pozostałych przesłanek wskazanych w art. 6 ust. 1 RODO odnośnie omawianego procesu przetwarzania. Ustosunkowując się natomiast do zarzutu niewypełnienia wobec uczestnika postępowania obowiązku informacyjnego z art. 13 RODO, organ przypomniał, że RODO jest stosowane od dnia 25 maja 2018 r. Realizacja obowiązków informacyjnych określonych w art. 13 ust. 1 i 2 RODO jest ściśle związana z pozyskiwaniem danych. Tymczasem dane osobowe, których dotyczy ww. zarzut, zostały pozyskane przez Związek jeszcze przed rozpoczęciem stosowania RODO. Wedle art. 13 ust. 4 RODO, ust. 1, 2 i 3 nie mają zastosowania, gdy - i w zakresie, w jakim - osoba, której dane dotyczą, dysponuje już tymi informacjami. Niezależnie od tego, organ zwrócił uwagę, że Związek zrealizował względem uczestnika postępowania obowiązek informacyjny, zamieszczając "Klauzulę informacyjną dotyczącą przetwarzania danych osobowych" w przesłanym uczestnikowi postępowania w dniu 3 stycznia 2022 r. formularzu zatytułowanym "Dane osobowe myśliwego – aktualizacja" oraz zawierając w skierowanej do niego korespondencji w styczniu 2022 r. odnośnika (linku) z opisem "Informacja dot. ochrony danych osobowych", prowadzącego do klauzuli informacyjnej odnośnie przetwarzania danych osobowych przez Związek. Skoro zatem Związek przekazał uczestnikowi postępowania informacje wymagane przez art. 13 ust. 1 i 2 RODO, to brak jest podstaw do nakazania mu spełnienia obowiązku informacyjnego określonego w tych przepisach. Dlatego PUODO w tym zakresie odmówił uwzględnienia wniosku. Kwestię braku odpowiedzi Związku na wniosek uczestnika postępowania z dnia 5 stycznia 2022 r. o udzielenie informacji w sprawie przetwarzania jego danych osobowych, organ rozpatrywał na gruncie art. 15 ust. 1 i art. 12 RODO. W tym zakresie stwierdzono, że Związek udzielił uczestnikowi postępowania żądanej informacji, ale uczynił to dopiero drogą elektroniczną 28 kwietnia 2022 r., a więc po upływie 113 dni od daty wpływu przedmiotowego wniosku. Mając na względzie wagę oraz charakter powyższego naruszenia, jak też jego nieodwracalność, PUODO udzielił Związkowi upomnienia, o którym mowa w art. 58 ust. 2 lit. b) RODO, uznając ten środek prawny za adekwatny do stwierdzonego naruszenia. Z decyzją PUODO nie zgodził się Związek, natomiast Sąd Wojewódzki wskazanym na wstępie wyrokiem z dnia 20 lipca 2023 r. oddalił skargę uznając ją za niezasadną. Jak wyjaśniono w uzasadnieniu zamknięty katalog przesłanek dopuszczalności przetwarzania danych osobowych określa art. 6 ust. 1 RODO. Dalej wskazano, że zakwestionowane przez organ dane osobowe w postaci imienia ojca uczestnika postępowania, miejsca pracy, wykształcenia, zawodu i numeru telefonu, stanowią tzw. zwykłe dane osobowe – w odróżnieniu od szczególnych kategorii danych osobowych ujętych w art. 9 i art. 10 RODO. W rezultacie podniesiono, że zaistnienie jednej z ww. przesłanek (które są samoistne – równoważne, równoprawne) legalizuje przetwarzanie "zwykłej" danej osobowej. W ocenie Sądu Wojewódzkiego, prawidłowo PUODO nakazał Związkowi zaprzestania przetwarzania danych osobowych uczestnika postępowania w zakresie imienia ojca, miejsca pracy, wykształcenia, zawodu i numeru telefonu, pozyskanych z deklaracji członkowskich i karty ewidencyjnej członka Związku, czyli z dokumentów wypełnionych przez uczestnika postępowania w dniu 6 maja 2010 r. Zdaniem Sądu Wojewódzkiego ustalenia faktyczne poczynione przez organ w odniesieniu do spornych danych są wszechstronne i klarowne. PUODO dokonał również trafnej oceny prawnej poczynionych ustaleń faktycznych. Sąd pierwszej instancji podniósł, iż pozyskanie danej osobowej w postaci imienia ojca uczestnika postępowania uzasadnione było na etapie jego przystępowania do egzaminu celem pozyskania uprawnień do wykonywania polowania. Natomiast nie znajduje podstawy przetwarzanie tej danej po pozytywnym złożeniu przez uczestnika postępowania egzaminu mającego na celu uzyskanie uprawnień do wykonywania polowania i przyjęciu w poczet członków Związku. Także potrzeba ewentualnego kontaktu telefonicznego z uczestnikiem postępowania nie mieści się w żadnej w przesłanek legalizujących proces przetwarzania danych osobowych. Nie jest to bowiem dana niezbędna do kontaktu z uczestnikiem postępowania skoro sam Statut Związku przewiduje form pisemną kontaktu (ewentualnie drogę elektroniczną). Podobnie cele statystyczne nie mogą legalizować przetwarzania danych osobowych uczestnika postępowania takich jak: miejsce pracy, wykształcenie i zawód. Sąd Wojewódzki zaaprobował ocenę PUODO, iż uczestnik postępowania, wypełniając dokumenty (formularze) 6 maja 2010 r., nie mógł spodziewać się przetwarzania jego danych w zakresie miejsca pracy, wykształcenia i zawodu w celach statystycznych. W treści deklaracji członkowskich czy karty ewidencyjnej członka Związku brak jest informacji o takim celu przetwarzania spornych danych, co implikuje brak świadomości uczestnika postępowania o tego rodzaju podstawie przetwarzania ww. danych. W konsekwencji za prawidłową uznano ocenę organu, iż doszło do ograniczenia prawa do prywatności oraz prawa do autonomii informacyjnej uczestnika postępowania. W kontekście natomiast analizy legalności przetwarzania zakwestionowanych danych, podzielono stanowisko Trybunału Konstytucyjnego odnośnie statusu prawnego skarżącego, wyrażone w wyroku z dnia 6 listopada 2012 r., sygn. akt K 21/11. W ocenie Sądu Wojewódzkiego, w świetle zaprezentowanych w ww. orzeczeniu wywodów prawnych, nie można zakwalifikować relacji Związek - członek Związku jako umowy cywilnoprawnej. Cecha przymusowej organizacji strony skarżącej z dominacją aspektu publicznoprawnego wyklucza możliwość przetwarzania danych osobowych uczestnika postępowania na mocy art. 6 ust. 1 lit. b) RODO. Zdaniem Sądu pierwszej instancji zasadnie organ nie dopatrzył się udzielenia przez uczestnika postępowania zgody na przetwarzanie spornych danych. Jednocześnie wskazano, że samo przekazanie określonych danych osobowych (np. poprzez wpisanie do formularza jak to uczynił uczestnik postępowania) nie stanowi zgody na ich przetwarzanie. Jak dalej wskazano w aktach administracyjnych sprawy znajduje się załączona do pisma strony skarżącej z dnia 16 sierpnia 2022 r. kopia wniosku uczestnika postępowania z 2008 r. o przyjęcie na staż do koła ł. lub ośrodka hodowli zwierzyny, zawierającego następujące oświadczenie: "Oświadczam, że wyrażam zgodę na przetwarzanie moich danych osobowych zgodnie z ustawą z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (tj. Dz. U. Nr 101 z 2002 r., poz. 926 z późniejszymi zmianami) do celów statutowych P.". Sąd Wojewódzki skonstatował jednak, że w świetle przytoczonych regulacji RODO, powyższego dokumentu nie można traktować jako zastępującego zgody na przetwarzanie danych osobowych w toku całej procedury przyjęcia do Związku, zwłaszcza, że samo odbycie wzmiankowanego stażu nie gwarantuje uzyskania uprawnień do wykonywania polowania, a w konsekwencji członkostwa w Związku. Nadto ramy postępowania prowadzonego przez POUDO na wniosek osoby fizycznej wyznacza przedmiot tego wniosku. Tymczasem w skardze do organu uczestnik postępowania wyraźnie zakwestionował przetwarzanie jego danych osobowych podanych w dokumentach z dnia 6 maja 2010 r. (tj. deklaracjach członkowskich i karty ewidencyjnej członka Związku), podnosząc, iż strona skarżąca przetwarza te dane bez jego zgody od dnia 6 maja 2020 r. do chwili obecnej. Przy tak określonym przedmiocie skargi (wniosku) PUODO nie był uprawniony do wykraczania poza jego ramy. Jak zaznaczono okoliczność, iż minister właściwy do spraw środowiska zatwierdził Statut Związku nie świadczy o prawidłowym przetwarzaniu danych osobowych, gdyż do wyłącznej oceny legalności tego procesu powołany jest inny organ administracji publicznej, tj. PUODO. W ocenie Sądu pierwszej instancji – wobec stwierdzonego naruszenia w zakresie przetwarzania danych osobowych ujętych w pkt 1 zaskarżonej decyzji – w pełni uzasadnione było zastosowanie przez organ uprawnienia naprawczego przewidzianego w art. 58 ust. 2 lit. d) RODO. W wyniku analizy stanowiska organu zaprezentowanego w uzasadnieniu zaskarżonej decyzji, Sąd Wojewódzki stwierdził, że PUODO nie dopuścił się, mogącego mieć istotny wpływ na wynik sprawy, naruszenia przepisów procedury administracyjnej, albowiem wyjaśnił wszystkie okoliczności istotne dla prawidłowego i pełnego rozstrzygnięcia sprawy, a także dokonał właściwej oceny zebranego w sprawie materiału dowodowego, przeprowadzając jednocześnie tę ocenę w kontekście właściwie zastosowanych przepisów prawa materialnego. Z wydanym wyrokiem nie zgodziła się strona skarżąca zaskarżając go w całości. W wywiedzionej skardze kasacyjnej zarzucono naruszenie: 1. przepisów prawa materialnego, mające wpływ na wynik sprawy, tj.: a) art. 145 § 1 pkt 1 lit. a) ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (obecnie t. jedn. Dz.U. z 2026 r. poz. 143 ze. zm., dalej jako u.p.p.s.a.) w zw. z art. 58 ust. 2 lit. d), art. 6 ust. 1 lit. c) oraz e) RODO poprzez jego niewłaściwe zastosowanie polegające na niezastosowaniu i przyjęcie, że strona skarżąca przetwarza dane osobowe w zakresie imienia ojca, numeru telefonu, miejsca pracy, wykształcenia i zawodu, bez podstawy prawnej, informacja o imieniu ojca nie jest niezbędna, podczas gdy administrator wykazał, że dane te są przetwarzane w związku z wykonaniem obowiązków prawnych nałożonych na skarżącego oraz w ramach sprawowania władzy publicznej powierzonej administratorowi, a zatem skarżący jest zobowiązany do wykazania w każdym czasie, że dana osoba nabyła uprawnienia bez naruszenia procedury określonej w rozporządzeniu oraz korzysta z tych uprawnień w sposób przewidziany przez u.p.ł. oraz statut strony skarżącej, wykonania obowiązków przez skarżącego wynikających z przepisów prawa; b) art. 145 § 1 pkt 1 lit. a) u.p.p.s.a. w zw. z art. 58 ust. 2 lit. d), art. 6 ust. 1 lit. f) RODO poprzez jego niewłaściwe zastosowanie polegające na niezastosowaniu i przyjęcie, że strona skarżąca przetwarza dane osobowe uczestnika w zakresie miejsca pracy, wykształcenia i zawodu, bez podstawy prawnej, podczas gdy przetwarzanie tych danych przez stronę skarżącą jest niezbędne do celów wynikających z jego prawnie uzasadnionych interesów, tj. prowadzenia badań statystycznych; c) ewentualnie naruszenie art. 145 § 1 pkt 1 lit. a) u.p.p.s.a. w zw. z art. 6 ust. 1 lit. a), art. 58 ust. 2 lit. d) RODO poprzez jego niewłaściwe zastosowanie polegające na niezastosowaniu i przyjęcie, że strona skarżąca nie uzyskała zgody od uczestnika na przetwarzanie danych osobowych - imię ojca, numer telefonu, miejsce pracy, wykształcenie i zawód, podanych w treści dokumentów wypełnionych przez skarżącego w dniu 6 maja 2010 r., podczas gdy z wniosku o przyjęcie na staż (załączonego do pisma skarżącego z dnia 16 sierpnia 2022 r.) wynika, że uczestnik wyraził zgodę na przetwarzanie jego danych osobowych do celów statutowych strony skarżącej, a zatem w chwili wypełniania przez uczestnika deklaracji członkowskich oraz karty ewidencyjnej strona skarżąca dysponowała już zgodą na przetwarzanie przedmiotowych danych osobowych, a nadto, uczestnik postępowania nie wycofał przedmiotowej zgody; 2. przepisów postępowania, mające wpływ na wynik postępowania, tj.: a) art. 145 § 1 pkt 1 lit. c u.p.p.s.a. poprzez oddalenie skargi pomimo naruszenia przez organ przepisów mającego istotny wpływ na wynik sprawy, tj. art. 7, art. 77 § 1 k.p.a. poprzez zaniechanie wyjaśnienia okoliczności wyrażenia przez uczestnika postępowania zgody na przetwarzanie przedmiotowych danych osobowych zawartych we wniosku o przyjęcie na staż, oraz art. 8 § 1, art. 11 k.p.a. poprzez przeprowadzenie postępowania w sposób, który nie wzbudza zaufania do organu, bowiem uczestnik postępowania wyraził zgodę na przetwarzanie danych osobowych wskazanych w przedmiotowym wniosku, uczestnik nie wykazał, że odmowa podania przedmiotowych danych skutkowała odmową przyjęcia na staż. Mając powyższe na uwadze wniesiono o uchylenie zaskarżonego wyroku w całości, rozpoznanie skargi kasacyjnej na rozprawie oraz zasądzenie od organu na rzecz strony skarżącej zwrotu kosztów postępowania, w tym kosztów zastępstwa procesowego, wg norm prawem przepisanych. W odpowiedzi na skargę kasacyjną organ wniósł o oddalenie skargi kasacyjnej. Naczelny Sąd Administracyjny zważył, co następuje: Stosownie do treści art. 183 § 1 Naczelny Sąd Administracyjny rozpoznaje sprawę w granicach skargi kasacyjnej z urzędu biorąc pod rozwagę jedynie nieważność postępowania. Wobec niestwierdzenia żadnej z wad wymienionych w art. 183 § 2 u.p.p.s.a., a nadto w związku z niezaistnieniem przesłanek, o których mowa w art. 189 u.p.p.s.a., Naczelny Sąd Administracyjny dokonał kontroli zaskarżonego wyroku jedynie w zakresie wyznaczonym podstawami kasacyjnymi. Skargę kasacyjną można oprzeć na następujących podstawach: 1) naruszeniu prawa materialnego przez błędną jego wykładnię lub niewłaściwe zastosowanie (art. 174 pkt 1 u.p.p.s.a.), 2) naruszeniu przepisów postępowania, jeżeli uchybienie to mogło mieć istotny wpływ na wynik sprawy (art. 174 pkt 2 u.p.p.s.a.). W pierwszej kolejności wskazać należy, że nie mógł zostać uwzględniony zarzut naruszenia art. 145 § 1 pkt 1 lit. c u.p.p.s.a. Wskazany przepis wynikowy powiązany został z art. 7 i art. 77 § 1 k.p.a. oraz art. 8 § 1 i art. 11 k.p.a. Jak wskazuje autor skargi kasacyjnej w sprawie zaniechano wyjaśnienia okoliczności wyrażenia przez uczestnika postępowania zgody na przetwarzanie przedmiotowych danych osobowych zawartych we wniosku o przyjęcie na staż. Jednocześnie podniesiono, że postępowanie zostało przeprowadzone w sposób, który nie wzbudza zaufania do organu, bowiem uczestnik wyraził zgodę na przetwarzanie danych osobowych wskazanych w przedmiotowym wniosku, uczestnik nie wykazał, że odmowa podania przedmiotowych danych skutkowała odmową przyjęcia na staż. Odnośnie zaniechania wyjaśnienia kwestii wyrażenia zgody przez uczestnika postępowania na przetwarzanie danych osobowych należy wskazać, że jak zauważył Sąd Wojewódzki - w aktach administracyjnych sprawy znajduje się kopia wniosku uczestnika postępowania z 2008 r. o przyjęcie na staż do koła łowieckiego lub ośrodka hodowli zwierzyny, zawierającego następujące oświadczenie: "Oświadczam, że wyrażam zgodę na przetwarzanie moich danych osobowych zgodnie z ustawą z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (tj. Dz. U. Nr 101 z 2002 r., poz. 926 z późniejszymi zmianami) do celów statutowych P." Jednocześnie Sąd ten trafnie stwierdził, że powyższego dokumentu nie można traktować jako zastępującego zgody na przetwarzanie danych osobowych w toku całej procedury przyjęcia do Związku, zwłaszcza, że samo odbycie stażu nie gwarantuje uzyskania uprawnień do wykonywania polowania, a w konsekwencji członkostwa w Związku. Podzielić przyjdzie nadto stanowisko organu wyrażone w odpowiedzi na skargę kasacyjną, w której to wskazano, że przetwarzanie danych osobowych uczestnika postępowania zawartych we wniosku o przyjęcie na staż oraz przetwarzanie danych osobowych uczestnika postępowania zawartych w dokumentach wypełnionych przez niego w dniu 6 maja 2010 r. to odrębne procesy. Jakkolwiek Naczelny Sąd Administracyjny zauważa, że chociaż jednym z warunków uzyskania uprawnień do wykonywania polowania jest odbycie stażu to jednak nie można przyjmować automatycznie, że przetwarzanie danych osobowych podanych we wniosku o przyjęcie na staż jest niejako tożsamym procesem z pozyskiwaniem danych osobowych przez Związek z deklaracji członkowskiej i karty ewidencyjnej członka. W rezultacie nie można było podzielić argumentacji skargi kasacyjnej w tym zakresie. Jednocześnie zaznaczyć przy tym przyjdzie, że nie może świadczyć o naruszeniu prawa przyjęta przez organy, a następnie przez Sąd Wojewódzki, odmienna ocena zgromadzonego materiału dowodowego. Z powyższych względów nie mogły zostać uwzględnione zarzuty naruszenia art. 8 § 1 oraz art. 11 k.p.a., ale także zarzut naruszenia prawa materialnego sformułowany w pkt 1c skargi kasacyjnej. W ramach zarzutów naruszenia prawa materialnego autor skargi kasacyjnej zarzucił naruszenie m.in. art. 145 § 1 pkt 1 lit. a u.p.p.s.a., który to przepis nie jest przepisem prawa materialnego lecz przepisem procedury sądowoadministracyjnej, określającym sposób rozstrzygnięcia sądu pierwszej instancji w wypadku uwzględnienia skargi na decyzję lub postanowienie. Tym samym wskazany zarzut nie spełnia ustawowego kryterium sformułowania zarzutu kasacyjnego określonego w art. 174 pkt 1 u.p.p.s.a. Nie mniej jednak Naczelny Sąd Administracyjny uznał za konieczne odniesienie się do zarzutów naruszenia art. 58 ust. 2 lit. d, art. 6 ust. 1 lit. c oraz e RODO, a także naruszenia art. 58 ust. 2 lit. d i art. 6 ust. 1 lit. f RODO. W tym zakresie skarżący kasacyjnie kwestionuje stanowisko Sądu pierwszej instancji, że Związek bez podstawy prawnej przetwarza dane osobowe w zakresie imienia ojca, numeru telefonu, miejsca pracy, wykształcenia i zawodu. Autor skargi kasacyjnej wyjaśnia, że dane te są przetwarzane w związku z wykonaniem obowiązków prawnych nałożonych na stronę skarżącą oraz w ramach sprawowania władzy publicznej powierzonej administratorowi, a zatem strona skarżąca jest zobowiązany do wykazania w każdym czasie, że dana osoba nabyła uprawnienia bez naruszenia procedury określonej w rozporządzeniu oraz korzysta z tych uprawnień w sposób przewidziany przez u.p.ł. oraz statut strony skarżącej, wykonania przez Związek obowiązków wynikających z przepisów prawa. Jednocześnie skarżący kasacyjnie wskazuje, że w odniesieniu do miejsca pracy, wykształcenia i zawodu przetwarzanie tych danych przez Związek jest niezbędne do celów wynikających z jego prawnie uzasadnionych interesów, tj. prowadzenia badań statystycznych. Przypomnieć w tym miejscu należy zatem, że zgodnie z art. 6 ust. 1 RODO przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy spełniony jest co najmniej jeden z poniższych warunków: a) osoba, której dane dotyczą wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów; b) przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy; c) przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze; d) przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej; e) przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi; f) przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem. Przechodząc do przetwarzania danych osobowych uczestnika postępowania w zakresie imienia ojca należy wskazać, że w ramach § 4 ust. 2 rozporządzenia przewidziano, że: "[pisemny wniosek o złożenie egzaminu mający na celu uzyskanie podstawowych, selekcjonerskich i sokolniczych uprawnień do wykonywania polowania – uwaga Naczelnego Sądu Administracyjnego] powinien zawierać imię, nazwisko, imiona rodziców, datę i miejsce urodzenia oraz adres do korespondencji". W rezultacie nie można przyjąć, aby na etapie składania deklaracji członkowskiej i karty ewidencyjnej członka Związku obowiązywała właśnie ta podstawa do przetwarzania przez Związek informacji o imieniu ojca uczestnika postępowania. Dane te zostały uzyskane bowiem już po przeprowadzeniu egzaminu. Jednocześnie zasadnie wskazał Sąd Wojewódzki, że tylko osoba fizyczna, która m.in. nabyła uprawnienia do wykonywania polowania może zostać członkiem Związku. Informacja o imieniu ojca uczestnika postępowania nie jest Związkowi niezbędna dla powiązania osoby uczestnika postępowania z faktem posiadania przez niego uprawnień do wykonywania polowania oraz dla jego zidentyfikowania jako członka Związku. Nie można przyjąć, ażeby wskazana dana osobowa była niezbędna w rozumieniu przesłanek określonych w art. 6 ust. 1 lit. c, lit. e oraz lit. f RODO. Dla spełnienia przesłanek określonych w tych przepisach konieczne jest bowiem, aby przetwarzanie było niezbędne. Jak już jednak wyjaśniono takiej cechy – w okolicznościach sprawy dopatrzyć się nie można. Przechodząc do przetwarzania przez Związek numeru telefonu uczestnika postępowania podnieść należy, że ze zgromadzonego w sprawie materiału dowodowego wynika, że Związek przetwarza informacje o numerze telefonu uczestnika postępowania niejako na zapas - aby w przypadku wystąpienia takiej potrzeby skontaktować się ze uczestnikiem postępowania. Jednocześnie skarżący kasacyjnie wskazuje na okoliczność przetwarzania informacji o numerze telefonu w celu wykonania umowy łączącej z uczestnikiem postępowania. W tym zakresie nie można pomijać stanowiska Trybunału Konstytucyjnego zawartego w wyroku z dnia 6 listopada 2012 r., sygn. akt K 21/11 (OTK-A 2012/10, poz. 119). Stwierdzono w nim, że: "[...] P. jest utworzonym ustawą, a więc z woli państwa, zrzeszeniem osób fizycznych i prawnych. Zrzeszenie to działa na podstawie ustawy i uchwalonego przez swoje władze (a więc nienadanego, a nawet niezatwierdzonego przez organy państwa) statutu. Świadczy to o dużym zakresie swobody, jaką ustawodawca pozostawił P. w zakresie określenia jego struktury organizacyjnej, sposobu działania oraz praw i obowiązków jego członków. P. na podstawie ustawy i w zgodzie z jej postanowieniami wykonuje powierzone mu zadania publiczne, pozostając w tym zakresie pod nadzorem właściwych organów państwa. Nie jest więc utworzoną dobrowolnie samodzielną organizacją, na którą państwo scedowało określone obowiązki. Od chwili gdy na bazie stowarzyszenia "P." utworzono ustawą organizację o charakterze korporacyjnym i obarczono ją obowiązkami wykonywania określonych zadań państwa, P. przestał być stowarzyszeniem. Związek zrzesza osoby fizyczne oraz koła łowieckie w celu podejmowania aktywności przewidzianej w ustawie i statucie, a przystąpienie do niego jest dobrowolne. Zarazem jednak, skoro realizacja potrzeb obywateli w zakresie prowadzenia gospodarki łowieckiej jest możliwa jedynie w ramach P., mającego nadto wyłączność w prowadzeniu tej gospodarki, Związek ma cechy organizacji przymusowej, ponieważ każdy podmiot zainteresowany partycypacją w administrowaniu sprawami łowiectwa musi zostać jego członkiem. Stąd Trybunał stwierdził, że w Związku dominuje aspekt publicznoprawny, a sam Związek wykazuje wiele istotnych cech samorządu, o jakim mowa w art. 17 ust. 2 Konstytucji." Przyjmując publicznoprawny charakter Związku nie można zgodzić się z argumentacją skargi kasacyjnej jakoby w sprawie zastosowanie miał art. 6 ust. 1 lit. b RODO, a tym samym realizowano umowę łączącą stronę skarżącą z uczestnikiem postępowania. Nawet gdyby jednak przyjmować koncepcję cywilnoprawnego charakteru statutu formowaną w odniesieniu do stowarzyszeń (por. np. uchwała Sądu Najwyższego z dnia 6 stycznia 2005 r., sygn. akt III CZP 75/04, OSNC 2005, nr 11, poz. 188) to nie można pomijać, że regulacje statutu Związku zasadniczo przewidują formę pisemną komunikacji z członkami. Tymczasem art. 6 ust. 1 lit. b RODO wymaga, aby przetwarzanie było niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy. Ta sama argumentacja ma zastosowanie w odniesieniu do przesłanek przetwarzania danych osobowych określonych w art. 6 ust. 1 lit. c, lit. e oraz lit. f RODO. Tylko na marginesie wskazać można, że § 107 ust. 8 statutu przewiduje, że: "Członek Zrzeszenia może wyrazić pisemną zgodę na dostarczanie mu korespondencji drogą elektroniczną. Zawiadomienie drogą elektroniczną wypełnia warunek skutecznego zawiadomienia.". Odnośnie do danych osobowych, tj. miejsca pracy, wykształcenia i zawodu, to wskazać należy, iż w dalszym ciągu pozostają aktualne uwagi dotyczące niezaktualizowania się wymogu "niezbędności" w odniesieniu do przesłanek przetwarzania danych osobowych określonych w art. 6 ust. 1 lit. b-e RODO. Niezależnie podnieść należy, że Naczelny Sąd Administracyjny podziela uwagi Sądu Wojewódzkiego, że również cele statystyczne nie mogły legalizować przetwarzania danych osobowych uczestnika postępowania. W ramach art. 6 ust. 1 lit. f RODO przewidziano, że przetwarzanie danych osobowych jest zgodne z prawem, jeśli jest ono niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią. W tym zakresie słusznie Sąd pierwszej instancji odwołał się do motywu 47 preambuły RODO, w którym wskazano, że: "Podstawą prawną przetwarzania mogą być prawnie uzasadnione interesy administratora, w tym administratora, któremu mogą zostać ujawnione dane osobowe, lub strony trzeciej, o ile w świetle rozsądnych oczekiwań osób, których dane dotyczą, opartych na ich powiązaniach z administratorem nadrzędne nie są interesy lub podstawowe prawa i wolności osoby, której dane dotyczą. Taki prawnie uzasadniony interes może istnieć na przykład w przypadkach, gdy zachodzi istotny i odpowiedni rodzaj powiązania między osobą, której dane dotyczą, a administratorem, na przykład gdy osoba, której dane dotyczą, jest klientem administratora lub działa na jego rzecz. Aby stwierdzić istnienie prawnie uzasadnionego interesu, należałoby w każdym przypadku przeprowadzić dokładną ocenę, w tym ocenę tego, czy w czasie i w kontekście, w którym zbierane są dane osobowe, osoba, której dane dotyczą, ma rozsądne przesłanki by spodziewać się, że może nastąpić przetwarzanie danych w tym celu. Interesy i prawa podstawowe osoby, której dane dotyczą, mogą być nadrzędne wobec interesu administratora danych w szczególności w przypadkach, gdy dane osobowe są przetwarzane w sytuacji, w której osoby, których dane dotyczą, nie mają rozsądnych przesłanek, by spodziewać się dalszego przetwarzania. Ponieważ dla organów publicznych podstawę prawną przetwarzania danych osobowych powinien określić ustawodawca, prawnie uzasadniony interes administratora nie powinien mieć zastosowania jako podstawa prawna do przetwarzania, którego dokonują organy publiczne w ramach realizacji swoich zadań. Prawnie uzasadnionym interesem administratora, którego sprawa dotyczy, jest również przetwarzanie danych osobowych bezwzględnie niezbędne do zapobiegania oszustwom. Za działanie wykonywane w prawnie uzasadnionym interesie można uznać przetwarzanie danych osobowych do celów marketingu bezpośredniego." Dokonując zatem oceny, o jakiej mowa we wskazanych motywie Naczelny Sąd Administracyjny podziela uwagi – zarówno organu, jak i Sądu Wojewódzkiego, że uczestnik postępowania, wypełniając w dniu 6 maja 2010 r. dokumenty (formularze), nie mógł spodziewać się przetwarzania jego danych w zakresie miejsca pracy, wykształcenia i zawodu w celach statystycznych. Takie rozumowanie doprowadziło Sąd pierwszej instancji do prawidłowej konstatacji, że w sprawie doszło do ograniczenia prawa do prywatności oraz prawa do autonomii informacyjnej uczestnika postępowania. Niewątpliwie bowiem prawnie uzasadniony interes administratora nie może pozbawiać jednostki prawa do dysponowania własnymi danymi osobowymi i ochrony prywatności. Skoro zatem skarga kasacyjna nie zawierała usprawiedliwionych podstaw, gdyż żaden z podniesionych w niej zarzutów nie zasługiwał na uwzględnienie, to Naczelny Sąd Administracyjny, działając na podstawie art. 184 u.p.p.s.a., oddalił skargę kasacyjną. O kosztach postępowania orzeczono na podstawie art. 204 pkt 1 u.p.p.s.a.