Decyzja

Na podstawie art. 105 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2020 poz. 256 ze zm.) w zw. z art. 160 ust. 1 i 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 poz. 1781) oraz w zw. z art. 12 pkt 2 i 22 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r., poz. 922 ze zm.) i art. 57 ust. 1 lit. f) rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 4.05.2016, str. 1 oraz Dz. Urz. UE L 127 z 23.05.2018 str. 2) po przeprowadzeniu postępowania administracyjnego w sprawie skargi Pani D. Z., na przetwarzanie jej danych osobowych przez F., Prezes Urzędu Ochrony Danych Osobowych,

umarza postępowanie.

UZASADNIENIE

Do Biura Generalnego Inspektora Ochrony Danych Osobowych (obecnie: Urząd Ochrony Danych Osobowych) wpłynęła skarga Pani D. Z., zwanej dalej ,,Skarżącą”, na nieuprawnione pozyskanie oraz wykorzystanie jej danych osobowych przez F., zwaną dalej ,,Fundacją” udostępnionych Fundacji przez C. Spółka Jawna, zwanej dalej „Spółką”.

Skarżąca w treści skargi wniosła o usunięcie jej danych osobowych zarówno przez Fundację, jak i przez Spółkę.

W toku przeprowadzonego postępowania wyjaśniającego w niniejszej sprawie Prezes Urzędu Ochrony Danych Osobowych ustalił następujący stan faktyczny:

1. Fundacja pozyskała dane osobowe Pani D. Z. na podstawie umowy z […] lipca 2017 r. zawartej pomiędzy brokerem baz danych, to jest: S. Sp. z o.o. Pierwotnym administratorem tych danych była Spółka.
2. Fundacja pozyskała dane osobowe Skarżącej w celu ich jednokrotnego wykorzystania w akcji marketingowej polegającej (cyt.): „na wysyłce […] – w celu pozyskania darowizn”.
3. Zgodnie z umową z […] lipca 2017 r. (cyt.): „gdy podmiot danych w ciągu 6 miesięcy od daty dostawy bazy danych nie udzieli wsparcia finansowego, Fundacja nie jest uprawniona do ponownego kontaktu z tą osobą, a także usuwa dane osobowe takiej osoby oraz wszelkie kopie tych danych”. Oznacza to, że Fundacja uprawniona była do przetwarzania danych osobowych Skarżącej do […] stycznia 2018 r.
4. Fundacja – zgodnie z wyjaśnieniami pełnomocnika Fundacji złożonymi w niniejszym postępowaniu […] czerwca 2020 r. wskazała, że nie przetwarza obecnie danych osobowych Skarżącej.
5. Spółka natomiast pozyskała dane Pani D. Z. w czasie akcji telemarketingowej przeprowadzonej […] listopada 2007 r. W czasie prowadzonej akcji telemarketer odnotował zgodę Skarżącej na (cyt.): „przesłanie katalogu firmy […] oraz otrzymywanie dodatkowych materiałów informacyjnych w przyszłości”.
6. Spółka przetwarzała dane osobowe Skarżącej w okresie od […] listopada 2007 r. do […] listopada 2017 r. Dane te Spółka […] września 2017 r. udostępniła Fundacji za pośrednictwem brokera, tj. S. Sp. z o.o.
7. Spółka, pismem z […] listopada 2017 r. wskazała, że dane Pani D. Z. […] listopada 2017 r. na trwale usunęła z bazy C.

W tym stanie faktycznym Prezes Urzędu  Ochrony Danych Osobowych zważył, co następuje.

Z dniem 25 maja 2018 r. w życie weszły przepisy ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781), zwanej dalej „ustawą o ochronie danych osobowych z 2018 r.”. W myśl art. 160 ust. 1-3 ustawy o ochronie danych osobowych z 2018 r., postępowania prowadzone przez Generalnego Inspektora Ochrony Danych Osobowych, wszczęte i niezakończone przed dniem wejścia w życie niniejszej ustawy, prowadzone są przez Prezesa Urzędu Ochrony Danych Osobowych na podstawie ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016, poz. 922 ze zm.), zwanej dalej „ustawa o ochronie danych osobowych z 1997 r., zgodnie z zasadami określonymi w ustawie z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2020 poz. 256 ze zm.), zwanej dalej „Kpa”. Jednocześnie, czynności dokonane w postępowaniach, wszczętych i niezakończonych przed dniem wejścia w życie przepisów ustawy o ochronie danych osobowych z 2018 r., pozostają skuteczne.

Od dnia 25 maja 2018 r. zastosowanie ma również rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 4.05.2016, str. 1 oraz Dz. Urz. UE L 127 z 23.05.2018 str. 2), zwane dalej „Rozporządzeniem 2016/679”.

Uwzględniając powyższe stwierdzić zatem należy, iż niniejsze postępowanie, wszczęte i niezakończone przed dniem 25 maja 2018 r., prowadzone jest na podstawie ustawy o ochronie danych osobowych z 1997 r. (w zakresie dotyczącym przepisów regulujących procedurę administracyjną) oraz na podstawie Rozporządzenia 2016/679 (w zakresie rozstrzygającym o legalności procesu przetwarzania danych osobowych).

Stosownie do art. 57 ust. 1 Rozporządzenia 2016/679, bez uszczerbku dla innych zadań określonych na mocy niniejszego rozporządzenia każdy organ nadzorczy na swoim terytorium monitoruje i egzekwuje stosowanie niniejszego rozporządzenia (lit. a) oraz rozpatruje skargi wniesione przez osobę, której dane dotyczą, lub przez podmiot, organizację lub zrzeszenie zgodnie z art. 80, w odpowiednim zakresie prowadzi postępowania w przedmiocie tych skarg i w rozsądnym terminie informuje skarżącego o postępach i wynikach tych postępowań, w szczególności, jeżeli niezbędne jest dalsze prowadzenie postępowań lub koordynacja działań z innym organem nadzorczym (lit. f).

W tym miejscu wskazać należy, że Prezes Urzędu wydając decyzję administracyjną zobowiązany jest do rozstrzygania w oparciu o stan faktyczny istniejący w chwili wydania tej decyzji. Jak podnosi doktryna cyt.: „organ administracji publicznej ocenia stan faktyczny sprawy według chwili wydania decyzji administracyjnej. Reguła ta odnosi się także do oceny stanu prawnego sprawy, co oznacza, że organ administracji publicznej wydaje decyzję administracyjną na podstawie przepisów prawa obowiązujących w chwili jej wydania (…). Rozstrzyganie w postępowaniu administracyjnym polega na zastosowaniu obowiązującego prawa do ustalonego stanu faktycznego sprawy administracyjnej. W ten sposób organ administracji publicznej realizuje cel postępowania administracyjnego, jakim jest urzeczywistnienie obowiązującej normy prawnej w zakresie stosunków administracyjno-prawnych, gdy stosunki te tego wymagają” (Komentarz do ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego M. Jaśkowska, A. Wróbel, Lex., el/2012). Również w wyroku z dnia 7 maja 2008 r. w sprawie o sygn. akt I OSK 761/07, Naczelny Sąd Administracyjny stwierdził, iż cyt.: „badając bowiem legalność przetwarzania danych osobowych, GIODO ma obowiązek ustalenia, czy na datę wydawania rozstrzygnięcia w sprawie dane konkretnego podmiotu są przetwarzane oraz czy czynione to jest w sposób zgodny z prawem”.

Odnosząc powyższe do ustalonego stanu faktycznego, podkreślić należy, że decydujące znaczenie dla rozstrzygnięcia, jakie musi być wydane w przedmiotowej sprawie, ma okoliczność, że zarówno Fundacja, jak i Spółka nie przetwarzają obecnie danych osobowych Skarżącej. Ustalenia Prezesa Urzędu Ochrony Danych Osobowych wykazały, że dane osobowe Skarżącej zostały usunięte z baz danych, – co miało miejsce odpowiednio: w dniu […] stycznia 2018 r. - przez Fundację; w dniu […] listopada 2017 r. - przez Spółkę.

W tej sytuacji niniejsze postępowanie podlega umorzeniu na podstawie art. 105 § 1 Kpa, wobec jego bezprzedmiotowości. Zgodnie z ww. przepisem, gdy postępowanie z jakiejkolwiek przyczyny stało się bezprzedmiotowe w całości lub w części, organ administracji publicznej wydaje decyzję o umorzeniu postępowania odpowiednio w całości lub w części. Brzmienie powołanej regulacji nie pozostawia wątpliwości, iż w razie stwierdzenia bezprzedmiotowości postępowania organ prowadzący to postępowanie obligatoryjnie je umarza. Jednocześnie w literaturze przedmiotu wskazuje się, że bezprzedmiotowość postępowania administracyjnego, o której stanowi art. 105 § 1 Kpa oznacza, że brak jest któregoś z elementów materialnego stosunku prawnego, a wobec tego nie można wydać decyzji załatwiającej sprawę przez rozstrzygnięcie jej, co do istoty (B. Adamiak, J. Borkowski „Kodeks postępowania administracyjnego. Komentarz” 7 wydanie Wydawnictwo C.H. Beck, Warszawa 2005 r., str. 485). Takie samo stanowisko zajął Wojewódzki Sąd Administracyjny w Krakowie w wyroku z dnia 30 stycznia 2019 r. (I SA/Kr 1289/18, LEX nr 2622023): „Określeniem z art. 105 § 1 k.p.a. <<postępowanie z jakiejkolwiek przyczyny stało się bezprzedmiotowe>> obejmuje się bowiem sytuacje, gdy żądanie strony jest nieaktualne lub wygasło z mocy prawa. O bezprzedmiotowości postępowania w sprawie można mówić, gdy zachodzi brak jego strony lub brak przedmiotu, czyli brak jest podstaw prawnych i faktycznych do rozpatrzenia i rozstrzygnięcia sprawy”  

W tym stanie faktycznym i prawnym Prezes Urzędu Ochrony Danych Osobowych rozstrzygnął, jak w sentencji.

Na podstawie art. 127 § 3 Kpa od decyzji przysługuje stronie prawo do wniesienia wniosku o ponowne rozpatrzenie sprawy w terminie 14 dni od dnia jej doręczenia stronie. Strona ma prawo do zrzeczenia się prawa do złożenia wniosku o ponowne rozpatrzenie sprawy. Zrzeczenie się prawa do złożenia wniosku o ponowne rozpatrzenie sprawy powoduje, że decyzja staje się ostateczna i prawomocna. Jeżeli strona nie chce skorzystać z prawa do złożenia wniosku o ponowne rozpatrzenie sprawy, ma prawo do wniesienia skargi na decyzję do Wojewódzkiego Sądu Administracyjnego w Warszawie, w terminie 30 dni od dnia doręczenia jej stronie. Skargę wnosi się za pośrednictwem Prezesa Urzędu (adres: ul. Stawki 2, 00-193 Warszawa). Wpis od skargi wynosi 200 złotych. Strona ma prawo ubiegania się o prawo pomocy, w tym zwolnienie od kosztów sądowych.