Decyzja

Na podstawie art. 138 § 1 pkt 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2019, poz. 2096 ze zm.) w zw. z art. 160 ust. 1 i 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781) oraz art. 12 pkt 2, art. 22 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r., poz. 922 oraz z 2018 r. poz. 138.), po przeprowadzeniu postępowania administracyjnego w sprawie wniosku Pani M. K., o ponowne rozpatrzenie sprawy zakończonej decyzją Generalnego Inspektora Ochrony Danych Osobowych z dnia 7 lutego 2017 r. (sygn. DOLiS/DEC-130/17) w przedmiocie skargi Pani M. K. na przetwarzanie jej danych osobowych przez L. S.A., Prezes Urzędu Ochrony Danych Osobowych

utrzymuje w mocy zaskarżoną decyzję.

Uzasadnienie

Do Generalnego Inspektora Ochrony Danych Osobowych (obecnie Prezesa Urzędu Ochrony Danych Osobowych) wpłynęła skarga Pani M. K. (zwanej dalej: Skarżącą), na przetwarzanie jej danych osobowych przez L. S.A. (zwane dalej: Spółką).

Skarżąca wniosła do Generalnego Inspektora Danych Osobowych, zwanego dalej również „GIODO” o cyt. „(…) wnoszę o skontrolowanie przez Generalnego Inspektora Ochrony Danych Osobowych (…), czy wyżej wymienione przedsiębiorstwo jest w posiadaniu moich danych osobowych, jeśli tak to na jakiej podstawie” oraz cyt. „(…) wzywam do usunięcia uchybień poprzez zaprzestanie kontaktów telefonicznych i SMS-owych (…) oraz mailowych (…) jakie nawiązuje ze mną przedsiębiorstwo”.

Skarżąca w treści swojej skargi wskazała, że  „nikomu nie udostępniła swoich danych osobowych i nie wyraziła zgody na ich przetwarzanie”.

W toku przeprowadzonego postępowania administracyjnego GIODO ustalił, że Spółka pozyskała dane osobowe Skarżącej od M. Sp. z o. o Skarżąca udostępniła swoje dane osobowe ww. podmiotowi w celach marketingowych na rzecz podmiotów trzecich oraz wyraziła zgodę na udostępnienie jej danych osobowych podmiotom trzecim, między innymi Spółce. Spółka przetwarzała dane osobowe Skarżącej od […] września 2014 r. na podstawie art. 23 ust. 1 pkt. 1 i 5 ustawy, a od 29 sierpnia 2015 r. w oparciu o art. 23 ust.1 pkt 3 ww. ustawy tj. w celu zawarcia umowy. W związku ze sprzeciwem Skarżącej, […] listopada 2016 roku Spółka usunęła jej wszystkie dane osobowe ze swojej bazy marketingowej.

Generalny Inspektor Ochrony Danych osobowych decyzją administracyjną z dnia […] lutego 2017 roku (numer […]) umorzył postępowanie. Decyzja została doręczona Skarżącej w dniu […] lutego 2017 roku a Spółce w dniu  […] lutego 2017 roku (zwrotne potwierdzenia odbioru w aktach sprawy).

Skarżąca złożyła wniosek o ponowne rozpatrzenie sprawy zakończonej ww. decyzją z zachowaniem terminu przewidzianego w ustawie. W uzasadnieniu do wniosku Skarżąca nie przedstawiła jednak żadnych nowych okoliczności, tj. innych względem tych, które zgłosiła dotychczas w sprawie, mających wpływ na rozstrzygnięcie zawarte w ww. decyzji wydanej przez GIODO.

Po ponownym przeanalizowaniu materiału dowodowego zgromadzonego w sprawie Prezes Urzędu Ochrony Danych Osobowych stwierdził, co następuje.

W myśl art. 160 ust. 1-3 ustawy, postępowania prowadzone przez Generalnego Inspektora Ochrony Danych Osobowych, wszczęte i niezakończone przed dniem wejścia w życie niniejszej ustawy, prowadzone są przez Prezesa Urzędu Ochrony Danych Osobowych na podstawie ustawy, zgodnie z zasadami określonymi w ustawie z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2018 r. poz. 2096 ze zm.), zwanej dalej „Kpa”. Jednocześnie, czynności dokonane w postępowaniach, wszczętych i niezakończonych przed dniem wejścia w życie przepisów u.o.d.o., pozostają skuteczne.

Od dnia 25 maja 2018 r. zastosowanie ma również rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z 04.05.2016, str. 1 ze zm.), zwane dalej „Rozporządzeniem 2016/679”.

Uwzględniając powyższe stwierdzić zatem należy, iż niniejsze postępowanie, wszczęte i niezakończone przed dniem 25 maja 2018 r., prowadzone jest na podstawie ustawy z dnia  29 sierpnia 1997 r. o ochronie danych osobowych (w zakresie dotyczącym przepisów regulujących procedurę administracyjną) oraz na podstawie Rozporządzenia 2016/679 (w zakresie rozstrzygającym o legalności procesu przetwarzania danych osobowych). Wynikający w przepisów prawa sposób prowadzenia postępowań w sprawach rozpoczętych i nie zakończonych przed dniem wejścia w życie nowych regulacji z zakresu ochrony danych osobowych koreluje z ugruntowanym stanowiskiem doktryny, zgodnie z którym „organ administracji publicznej ocenia stan faktyczny sprawy według chwili wydania decyzji administracyjnej. Reguła ta odnosi się także do oceny stanu prawnego sprawy, co oznacza, że organ administracji publicznej wydaje decyzję administracyjną na podstawie przepisów prawa obowiązujących w chwili jej wydania” (Komentarz do ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. 00.98.1071) M. Jaśkowska, A. Wróbel, Lex., el/2012).

Zasadniczym powodem umorzenia postępowania w przedmiotowej sprawie jest fakt, że Spółka nie przetwarza danych osobowych Skarżącej. Spółka usunęła dane osobowe Skarżącej ze swojej bazy marketingowej w związku ze złożonym przez nią sprzeciwem. Wobec tego postępowanie prowadzone w pierwszej instancji podlegało umorzeniu na podstawie art. 105 § 1 Kpa jako bezprzedmiotowe. Zgodnie z ww. przepisem, gdy postępowanie z jakiejkolwiek przyczyny stało się bezprzedmiotowe w całości lub w części, organ administracji publicznej wydaje decyzję o umorzeniu postępowania odpowiednio w całości lub w części. Zapis regulacji nie pozostawia wątpliwości, iż w razie stwierdzenia bezprzedmiotowości postępowania organ prowadzący to postępowanie obligatoryjnie je umarza. Jednocześnie w literaturze przedmiotu wskazuje się, że bezprzedmiotowość postępowania administracyjnego, o której stanowi art. 105 § 1 Kpa oznacza, że brak jest określonego elementu materialnego stosunku prawnego, a wobec tego nie można wydać decyzji załatwiającej sprawę przez rozstrzygnięcie jej co do istoty (B. Adamiak,  J. Borkowski „Kodeks postępowania administracyjnego. Komentarz”, 7 wydanie, Wydawnictwo C.H. Beck, Warszawa 2005 r., str. 485). Pogląd ten potwierdza Wojewódzki Sąd Administracyjny w Krakowie w  wyroku z dnia 27 lutego 2008 r., sygn. akt III SA/Kr 762/2007): „Postępowanie staje się bezprzedmiotowe, gdy brak któregoś z elementów stosunku materialnoprawnego, co powoduje, że nie można załatwić sprawy przez rozstrzygnięcie co do istoty”.

Ustalenie przez organ publiczny istnienia przesłanki, o której mowa w art. 105 § 1 Kpa zobowiązywało go do umorzenia postępowania, nie ma wówczas podstaw do rozstrzygnięcia sprawy co do istoty, a dalsze prowadzenie postępowania w takim przypadku stanowiłoby o jego wadliwości, mającej istotny wpływ na wynik sprawy.

W ocenie Prezesa Urzędu Ochrony Danych Osobowych, Generalny Inspektor Ochrony Danych Osobowych wyjaśnił okoliczności faktyczne w takim stopniu, w jakim wymagało tego rozstrzygnięcie sprawy. W konsekwencji prawidłowego ustalenia stanu faktycznego sprawy, wydał prawidłowe rozstrzygnięcie, zawarte w skarżonej decyzji z dnia 7 lutego 2017 roku.

Mając powyższe na uwadze Prezes Urzędu Ochrony Danych Osobowych nie znajduje podstaw dla zmiany przyjętego w niniejszej sprawie rozstrzygnięcia.

W zaistniałym stanie faktycznym i prawnym Prezes Urzędu Ochrony Danych Osobowych rozstrzygnął, jak w sentencji.

Decyzja jest ostateczna. Od decyzji stronie przysługuje prawo wniesienia skargi do Wojewódzkiego Sądu Administracyjnego w Warszawie, w terminie 30 dni od dnia jej doręczenia, za pośrednictwem Prezesa Urzędu Ochrony Danych Osobowych (adres: ul. Stawki 2, 00 - 193 Warszawa). Wpis od skargi wynosi 200 zł. Strona ma prawo ubiegania się o prawo pomocy, w tym zwolnienie od kosztów sądowych.