Wyrok Naczelnego Sądu Administracyjnegoz 3 lipca 2026 r., sygn. akt III OSK 2815/23

Uzasadnienie

Wojewódzki Sąd Administracyjny w Warszawie wyrokiem z dnia 14 kwietnia 2023 r., sygn. akt II SA/Wa 2049/22 oddalił skargę P. sp. z o.o. z siedzibą w W. (dalej także jako: Spółka) na decyzję Prezesa Urzędu Ochrony Danych Osobowych (dalej także jako: organ, Prezes UODO) z dnia 8 września 2022 r., nr ZSPR.440.1592.2018.FT.AN w przedmiocie przetwarzania danych osobowych.

Wyrok ten zapadł w następującym stanie faktycznym i prawnym sprawy:

B. H. (dalej także jako: uczestnik postępowania) w dniu 8 listopada 2018 r. wniósł ustnie do protokołu skargę na nieprawidłowości w procesie przetwarzania jego danych osobowych przez Spółkę. Uczestnik postępowania wskazał, że podczas wizyty w jednym z punktów Spółki – przy ul. [...] w W., w celu przeniesienia umowy o usługi telekomunikacyjne do sieci należącej do Spółki, pracownik Spółki zaproponował mu zawarcie umowy wstępnej. W związku z jednoczesnym zamiarem zakupu nowego aparatu telefonicznego uczestnik postępowania poprosił pracownika o przeniesienie jego danych ze starego aparatu na nowy. Pracownik dokonał transferu danych uczestnika postępowania z jego starego telefonu na nowy. Przeniesiono około 20-30% danych. Finalnie uczestnik postępowania nie podpisał ze Spółką umowy o świadczenie usług telekomunikacyjnych, a aparat telefoniczny, na który zostały przetransferowane jego dane osobowe, został zwrócony pracownikowi.

W dniu 31 października 2018 r. do skarżącego zadzwonił Ł. M., który poinformował go, że na zakupionym przez niego telefonie znajdują się pliki, zdjęcia zawierające dane osobowe skarżącego: imię, nazwisko, nr telefonu, numer PESEL, wyniki badań lekarskich, adres zamieszkania, numer prawa jazdy, dane osoby trzeciej oraz prywatne wiadomości sms. Uczestnik postępowania wraz z Ł. M. zwrócili się do Spółki celem wyjaśnienia zaistniałej sytuacji. Jak wskazał uczestnik postępowania, po zgłoszeniu zaistniałej sytuacji w placówce Spółki, jej pracownik wziął od uczestnika postępowania numer telefonu, a w dniu 9 listopada 2018 r. Spółka jedynie poinformowała go telefonicznie, że wysłała do Urzędu Ochrony Danych Osobowych korespondencję o nieznanej uczestnikowi postępowania treści.

Prezes Urzędu Ochrony Danych Osobowych decyzją z dnia 8 września 2022 r., nr ZSPR.440.1592.2018.FT.AN, na podstawie art. 104 § 1 Kodeksu postępowania administracyjnego w zw. z art. 7 ust. 1 i 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych i art. 6 ust. 1 oraz art. 58 ust. 2 lit. b rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz.Urz.UE.L 119 z 4.05.2016, str. 1, Dz.Urz.UE.L 127 z 23.05.2018, str. 2 oraz Dz.Urz.UE.L 74 z 4.03.2021, str. 35), (dalej także jako: "RODO"), po przeprowadzeniu postępowania administracyjnego w sprawie skargi uczestnika postępowania na nieprawidłowości w procesie przetwarzania jego danych osobowych przez Spółkę, polegające na udostępnieniu jego danych osobowych podmiotowi nieuprawnionemu, udzielił upomnienia Spółce za naruszenie art. 6 ust. 1 RODO polegające na udostępnieniu danych osobowych uczestnika postępowania podmiotowi nieuprawnionemu.

W uzasadnieniu decyzji organ wskazał, że Spółka wyjaśniła, że nie przetwarza danych osobowych uczestnika postępowania w żadnym procesie. Dodała, że z informacji przekazanych jej przez L. S.A. z siedzibą w C. (dalej także jako: Partner), na mocy zawartych umów agencyjnych w zakresie sprzedaży i świadczenia usług będącej agentem Spółki, wynika że w dniu 8 listopada 2018 r. notyfikowała ona do Prezesa UODO naruszenie będące przedmiotem niniejszego postępowania.

Spółka wskazała, że z otrzymanych od Partnera wyjaśnień wynika, że uczestnik postępowania pod koniec października 2018 roku był zainteresowany zakupem aparatu telefonicznego Huawei Y7. W trakcie rozmowy z Partnerem i prezentacji sprzętu, uczestnik postępowania poprosił pracownika Partnera o przekopiowanie jego konta pocztowego Gmail do nowego aparatu telefonicznego. Jednak po skopiowaniu części danych na prezentowany aparat, okazało się, że nie dojdzie do realizacji zakupu sprzętu. W związku z powyższym Partner przerwał kopiowanie danych z konta pocztowego Gmail, jednak w wyniku niedopatrzenia pracownik nie przywrócił w nim ustawień fabrycznych, a telefon wrócił do magazynu. W dniu 31 października 2018 r. aparat ten został sprzedany innej osobie, a w dniu 7 listopada 2018 r. uczestnik postępowania wraz z nowym właścicielem aparatu telefonicznego, poinformowali osobiście Partnera o zaistniałej sytuacji.

W wyniku analizy zdarzenia, w dniu 8 listopada 2018 r. Partner wysłał do Prezesa UODO zgłoszenie o naruszeniu ochrony danych osobowych polegające na zgraniu na życzenie uczestnika postępowania konta pocztowego do prezentowanego aparatu telefonicznego. Również w dniu 8 listopada 2018 r. uczestnik postępowania skontaktował się telefonicznie z Partnerem, który poinformował o zgłoszeniu naruszenia ochrony danych osobowych do Prezesa UODO.

Jednocześnie Spółka podkreśliła, że działania Partnera w zakresie ujawnionego naruszenia ochrony danych osobowych uczestnika postępowania były realizowane w przedmiotowej sprawie, nie na zlecenie Spółki, ale Partnera - jako samodzielnego administratora.

Następnie Spółka wskazała, że z § 1 aneksu nr 17 z dnia 16 maja 2018 r. do umowy partnerskiej zawartej w dniu 30 czerwca 2010 r., dotyczącego zmiany § 2 pkt 2.9. umowy partnerskiej wynika, że Partner na zasadach określonych w umowie partnerskiej zobowiązany jest do przetwarzania danych osobowych i danych objętych tajemnicą telekomunikacyjną zgodnie z zakresem i celem powierzenia przetwarzania tych danych określonych w umowie partnerskiej. Jednocześnie w punkcie 5 ww. aneksu zmieniającego § 8 w punkcie 8.7.1. wskazano, że Partner oraz osoby, za pomocą których prowadzi działalność określoną w umowie, zobowiązani są do przestrzegania określonych w załączniku nr 4 do umowy, zasad i warunków przetwarzania danych osobowych podmiotów danych powierzonych przez Spółkę. Na zasadzie art. 391 Kodeksu cywilnego Partner odpowiada wobec Spółki za naruszenie zasad i warunków ochrony i przetwarzania danych osobowych przez osoby, za pomocą których prowadzi działalność określoną umową, w tym przez APS-y współpracujące z Partnerem.

Z punktu 5.3. i 5.4. Załącznika nr 2 do ww. Aneksu wynika, że Partner zobowiązany jest w ramach obowiązującej umowy do przetwarzania danych wyłącznie na udokumentowane polecenie Spółki, wyłącznie w zakresie i celu przewidzianym w umowie.

Natomiast z wyjaśnień Partnera wynika, że pozyskał on dane osobowe uczestnika postępowania w październiku 2018 roku w sposób bezpośredni w punkcie obsługi sprzedaży, do którego uczestnik postępowania udał się w celu m.in. dokonania zakupu urządzenia, tj. aparatu telefonicznego. Podczas rozmowy handlowej z pracownikiem, uczestnik postępowania po zaprezentowaniu mu telefonu wyraził chęć nabycia przedmiotowego telefonu oraz zwrócił się z prośbą do pracownika o pomoc w prawidłowej konfiguracji telefonu, tj. konfiguracji poczty elektronicznej na zaprezentowanym aparacie telefonicznym. W celu spełnienia oczekiwań uczestnika postępowania, pracownik wykraczając poza swój zakres obowiązków, w dobrej wierze i na własne ryzyko, starając się pomóc uczestnikowi postępowania, skonfigurował jego pocztę na aparacie telefonicznym, po czym uczestnik postępowania zmienił zdanie w sprawie zakupu aparatu telefonicznego i ostatecznie nie zawarł żadnej umowy w punkcie sprzedaży.

W związku z rezygnacją z zakupu telefonu przez uczestnika postępowania, pracownik skonfigurowany telefon przekazał ponownie do magazynu bez uprzedniego pełnego przywrócenia ustawień fabrycznych. Następnie w dniu 30 października 2018 r. przedmiotowy aparat telefoniczny został sprzedany innemu klientowi w tym samym punkcie sprzedaży. W dniu 7 listopada 2018 r. uczestnik postępowania zgłosił się do salonu Partnera i poinformował, że jego dane osobowe zostały naruszone. Pracownik Partnera przyjął reklamację od uczestnika postępowania i poinformował jednocześnie, że doszło do naruszenia ochrony danych osobowych i sprawa zostanie zgłoszona Prezesowi UODO. Po zgłoszeniu naruszenia do organu, z uwagi na brak posiadania przez Partnera danych adresowych uczestnika postępowania (tj. adresu do korespondencji), pracownik Partnera skontaktował się telefonicznie z uczestnikiem postępowania i potwierdził informacje o stwierdzeniu naruszenia ochrony danych osobowych, w tym o przysługujących prawach, jak również o dokonaniu przez Partnera zgłoszenia naruszenia ochrony danych osobowych do Prezesa UODO.

Pracownik punktu sprzedaży skontaktował się również z nowym właścicielem aparatu telefonicznego i poprosił go o udanie się do punktu sprzedaży z zakupionym aparatem telefonicznym, aby dokonać usunięcia danych uczestnika postępowania z tego urządzenia. Do dnia złożenia przez Partnera wyjaśnień, nowy posiadacz aparatu telefonicznego nie pojawił się w tej sprawie w punkcie sprzedaży.

Biorąc powyższe pod uwagę Prezes UODO wskazał na wstępie, że z aneksu nr 17 z dnia 16 maja 2018 r. do umowy partnerskiej zawartej w dniu 30 czerwca 2010 r. pomiędzy Spółką i Partnerem wynika, że Partner jest podmiotem przetwarzającym dane osobowe klientów Spółki, na zasadach określonych w ww. umowie partnerskiej. Z § 1 ww. aneksu do umowy wynika, że Partner jest zobowiązany do przetwarzania danych osobowych i danych objętych tajemnicą telekomunikacyjną zgodnie z zakresem i celem powierzenia przetwarzania tych danych określonych w umowie partnerskiej.

Jednocześnie w punkcie 5 ww. aneksu zmieniającego § 8 w punkcie 8.7.1. wskazano, że Partner oraz osoby, za pomocą których prowadzi działalność określoną w umowie, zobowiązani są do przestrzegania określonych w załączniku nr 4 do umowy, zasad i warunków przetwarzania danych osobowych podmiotów danych powierzonych przez Spółkę. Na zasadzie art. 391 Kodeksu cywilnego Partner odpowiada wobec Spółki za naruszenie zasad i warunków ochrony i przetwarzania danych osobowych przez osoby, za pomocą których prowadzi działalność określoną umową, w tym przez APS-y współpracujące z Partnerem.

Następnie organ podał, że w toku postępowania ustalono, że doszło do udostępnienia danych osobowych uczestnika postępowania na skutek działania pracownika Partnera Spółki, który skonfigurował pocztę uczestnika postępowania na aparacie telefonicznym, którego finalnie uczestnik postępowania nie zakupił, a skonfigurowany telefon wraz z danymi osobowymi uczestnika postępowania przekazał ponownie do magazynu bez uprzedniego pełnego przywrócenia ustawień fabrycznych. Następnie przedmiotowy aparat telefoniczny został sprzedany innemu klientowi Spółki, który otrzymał zakupiony aparat z danymi osobowymi uczestnika postępowania.

Biorąc powyższe pod uwagę, Prezes UODO wskazał, że w zakresie powyższego udostępnienia nie została spełniona żadna z przesłanek legalizujących proces przetwarzania danych osobowych określonych w art. 6 ust. 1 RODO. W szczególności, co podkreślił organ, Spółka nie dysponowała zgodą uczestnika postępowania na takie działanie, więc podstawy przedmiotowego udostępnienia nie stanowił art. 6 ust. 1 lit. a RODO. Organ dodał, że w niniejszej sprawie nie zachodzi również sytuacja określona w art. 6 ust. 1 lit. b RODO, gdyż Spółka nie wykazała, aby udostępnienie to było niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą lub podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy. Organ uznał, że na Spółce nie ciążył również obowiązek prawny, dla którego wypełnienia konieczne było udostępnienie danych osobowych uczestnika postępowania (art. 6 ust. 1 lit. c RODO).

Jak stwierdził Prezes UODO, w niniejszej sprawie nie znalazły również zastosowania przesłanki legalizujące proces przetwarzania danych określone w art. 6 ust. 1 lit. d i e RODO, ponieważ udostępnienie to nie było niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą lub innej osoby fizycznej, ani do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi. Organ dodał, że przetwarzanie danych osobowych uczestnika postępowania przez Spółkę nie mogło odbywać się także na podstawie przesłanki wskazanej w art. 6 ust. 1 lit. f RODO, ponieważ administrator nie wykazał interesu prawnego, który uzasadniałby przetwarzanie danych w kwestionowany przez uczestnika postępowania sposób.

W związku z powyższym organ stwierdził, że ustalone okoliczności potwierdzają, że w przedmiotowej sprawie doszło do udostępnienia danych osobowych uczestnika postępowania na rzecz nieuprawnionego odbiorcy będącego innym klientem Spółki, co nie znajdowało oparcia w żadnej z przesłanek legalizujących proces przetwarzania danych osobowych, wyrażonych w art. 6 ust. 1 RODO.

Mając powyższe na uwadze, Prezes UODO uznał, że w realiach niniejszej sprawy, z uwagi na charakter przedmiotowego udostępnienia, właściwe jest zastosowanie wobec Spółki upomnienia za stwierdzone naruszenie przepisów o ochronie danych osobowych, tj. art. 6 ust. 1 RODO, gdyż przetwarzanie danych osobowych uczestnika postępowania, polegające na udostępnieniu jego danych osobowych na rzecz podmiotu nieuprawnionego stanowiło naruszenie norm z zakresu ochrony danych osobowych.

Spółka wywiodła na powyższą decyzję Prezesa UODO skargę do Wojewódzkiego Sądu Administracyjnego w Warszawie i wnosząc o uchylenie zaskarżonej decyzji w całości oraz o orzeczenie o kosztach postępowania sądowoadministracyjnego, w ty kosztach zastępstwa procesowego, według właściwych przepisów prawa, zarzuciła zaskarżonej decyzji:

1. I. naruszenie art. 58 ust. 2 lit. b w zw. z art. 28 ust. 1 i 10 i art. 4 pkt 7 i 8 RODO poprzez:
2. 1. błędne przyjęcie, że w wyniku zarzucanego w upomnieniu działania pracownika punktu sprzedaży, prowadzonego przez odrębny od Spółki podmiot prawny, Spółka stała się administratorem spornych danych uczestnika postępowania, pomimo że działanie to nie było realizowane w ramach powierzenia przez Spółkę przetwarzania danych, jak również bez wiedzy, woli i jakiegokolwiek polecenia Spółki;
3. 2. pominięcie, iż podmiot przetwarzający, który naruszy RODO przy określaniu celów i sposobów przetwarzania, staje się administratorem danych, co jest równoznaczne z błędnym niezastosowaniem przez organ normy art. 28 ust. 10 RODO;
4. 3. wydanie decyzji względem niewłaściwego adresata, albowiem Spółka nie miała w niniejszej sprawie statusu administratora (ani procesora) co do spornych danych uczestnika postępowania, a zatem błędne zastosowanie przez Prezesa UODO art. 58 ust. 2 lit. b RODO;

Il. naruszenie art. 7 i art. 77 Kodeksu postępowania administracyjnego poprzez dokonanie przez organ błędnych ustaleń faktycznych, a także niedokonanie niezbędnych ustaleń faktycznych, dotyczących podstaw i celu przetwarzania spornych danych osobowych uczestnika postępowania, tj. ustaleń niezbędnych w celu przypisania odpowiedzialności za naruszenie ochrony danych osobowych właściwemu podmiotowi;

III. naruszenie art. 107 § 3 Kodeksu postępowania administracyjnego poprzez powierzchowne uzasadnienie faktyczne decyzji, niepozwalające na dokonanie oceny, które z ustalonych okoliczności faktycznych doprowadziły organ do uznania (błędnego), że Spółka stała się administratorem spornych danych osobowych uczestnika postępowania, a Partner przetwarzał te dane jako procesor na podstawie umowy powierzenia przetwarzania danych zawartej ze Spółką.

W uzasadnieniu skargi Spółka zwróciła uwagę na całkowicie błędną – w jej ocenie – konstatację organu jakoby administratorem danych pochodzących z karty SIM uczestnika postępowania była Spółka i że to Spółka "udostępniła" te dane osobie trzeciej, nie mając do tego podstawy prawnej w rozumieniu art. 6 RODO.

Spółka powołując się na definicję legalną pojęcia "administrator" wskazaną w art. 4 pkt 7 RODO podkreśliła, że niezbędną cechą administratora jest decydowanie o celach i sposobach przetwarzania danych. Tylko bowiem wówczas podmiot ten może mieć wpływ na to, jakie dane osobowe (kategorie danych), pochodzące od jakich podmiotów danych, przetwarza w jakim celu i na jakiej podstawie (w jaki sposób).

Dokonując ustalenia, iż to Spółka stała się administratorem spornych danych, Prezes UODO odwołał się do umowy powierzenia przetwarzania danych zawartej przez Spółkę i Partnera, a nawet przywołał jej pewne fragmenty, jednak w ocenie Spółki w treści decyzji nie sposób jest znaleźć wyjaśnienia najważniejszej w sprawie kwestii, a mianowicie: w oparciu, o które z tych postanowień organ uznał, że Partner przetwarzał sporne dane pochodzące z karty SIM uczestnika postępowania właśnie w imieniu i na rzecz Spółki, jako administratora. Spółka podkreśliła, że dla powyższej oceny kluczowy pozostaje punkt 2.3. umowy powierzenia przetwarzania danych, określający zakres danych osobowych, które Partner ma prawo (i obowiązek) przetwarzać w imieniu Spółki, tj.: "Powierzenie przetwarzania dotyczy danych (dalej "Dane" lub "powierzone dane osobowe") zawartych w systemach informatycznych, w Bazach Danych, zestawieniach wynagrodzenia, w dokumentach wytworzonych/przyjętych w procesach Obsługi Handlowej, w szczególności w Umowach Abonenckich, Umowach Sprzedaży Energii Elektrycznej, Umowach Sprzedaży Paliw Gazowych i aneksach do tych umów, pismach reklamacyjnych oraz innego rodzaju zgłoszeniach, dokumentach, księgowych (...)".

W ocenie Spółki powyższe jednoznacznie określa kategorie danych – poprzez ich pochodzenie i przypisanie do konkretnych procesów obsługiwanych na podstawie umowy przez Partnera w imieniu Spółki i na jej rzecz – a mianowicie są to tylko:

1. a) dane zawarte w systemach informatycznych, w bazach danych i w zestawieniach wynagrodzenia;
2. b) dane w dokumentach wytworzonych lub przyjętych w procesie obsługi klientów.

Spółka podkreśliła, że żadne czynności związane z ewentualnym przenoszeniem kart SIM (używanych wcześniej przez potencjalnych klientów) do demonstracyjnych lub sprzedawanych urządzeń telekomunikacyjnych czy kopiowaniem pochodzących z nich danych, nie mieszczą się w spektrum tych działań, dla których Spółka powierzyła Partnerowi przetwarzanie danych osobowych.

W świetle powyższego, ponieważ sposób pozyskania danych z karty SIM uczestnika postępowania, a następnie ich "udostępnienia" przez Partnera osobie trzeciej, nie miał swego umocowania w umowie powierzenia przetwarzania danych, nie odbywał się na zlecenie ani polecenie Spółki, to jej zdaniem nie sposób jest przypisać Spółce statusu administratora tych spornych danych. Spółka podkreśliła, że jeśli procesor wykracza poza cel i sposób przetwarzania danych osobowych określony w umowie z administratorem, to sam staje się takim administratorem i wówczas ciążą na nim wszystkie obowiązki, które dla takiego podmiotu wynikają z obowiązujących przepisów prawa.

Spółka dodała, odnosząc się do ustaleń organu, w których zawarto stwierdzenie, że "pracownik Spółki zaproponował uczestnikowi postępowania wstępną umowę", że Spółka nie zawiera "umów wstępnych" (ani nawet przedwstępnych) z klientami usług telekomunikacyjnych lub sprzedaży sprzętu, a ponadto osoba mająca kontakt z uczestnikiem postępowania, nie była jej pracownikiem.

W odpowiedzi na skargę organ wniósł o oddalenie skargi, podtrzymując argumentację zawartą w zaskarżonej decyzji. Odnosząc się do zarzutów skargi dodał, że ustalił w niniejszej sprawie, że Spółka oraz Partner współpracują ze sobą na podstawie umowy partnerskiej zawartej w dniu 30 czerwca 2010 r., aneksowanej w dniu 16 maja 2018 r. Z powyższych dokumentów wynika, że Spółka jest administratorem danych i powierza ich przetwarzanie Partnerowi, który m.in, pośredniczy przy zawieraniu przez Spółkę umów z jej klientami.

Organ podkreślił, że działania podjęte przez Partnera w niniejszej sprawie zmierzały do zawarcia przez uczestnika postępowania umowy ze Spółką, a zatem działał on w imieniu i na rzecz Spółki.

Następnie odnosząc się do zarzutu Spółki jakoby w decyzji zostało zawarte błędne stwierdzenie, iż "pracownik Spółki zaproponował uczestnikowi postępowania wstępną umowę", organ wskazał, że posłużenie się ww. stwierdzeniem wynikało ze sposobu, w jaki uczestnik postępowania sformułował swoją skargę w niniejszej sprawie, bowiem posłużył się on takim właśnie określeniem. Niemniej jednak organ przyznał, że nie ulega wątpliwości, że umowa o świadczenie usług telekomunikacyjnych lub sprzedaży sprzętu nie wymaga zawarcia umowy wstępnej czy też przedwstępnej, co jednak w ocenie organu nie prowadzi do uznania, że pracownik Partnera podejmował czynności, które zmierzały do zawarcia innej umowy niż umowa ze Spółką. Organ podkreślił, że nie można zgodzić się, że pozyskanie danych z karty SIM, a następne ich udostępnienie innemu klientowi Spółki, nie nastąpiło w ścisłym związku z realizacją przez Partnera umowy zawartej ze Spółką.

Organ podkreślił, że uczestnik postępowania był potencjalnym klientem Spółki, który chciał zawrzeć ze Spółką umowę i w tym celu pojawił się u Partnera Spółki, którego działania zmierzały do sfinalizowania transakcji z uczestnikiem postępowania, do której ostatecznie nie doszło. Następnie dane osobowe uczestnika postępowania, które w wyniku powyższych działań zostały utrwalone na aparacie telefonicznym należącym do Spółki, zostały udostępnione innemu klientowi Spółki, który nabył go w tym samym punkcie sprzedaży.

W związku z powyższym organ podkreślił, że zgromadzony w niniejszej sprawie materiał dowodowy jednoznacznie wskazywał, że doszło do udostępnienia danych osobowych uczestnika postępowania, który to proces nastąpił w wyniku działania pracownika Partnera, podjętego jednak w ramach czynności pośredniczenia w zawieraniu umowy ze Spółką. W ocenie organu udostępnienie danych osobowych uczestnika postępowania nie było konsekwencją bezprawnej ingerencji podmiotu przetwarzającego (tj. Partnera) w zakres kompetencji administratora (tj. Spółki). Podmiot ten nie podjął bowiem działań wykraczających poza zakres powierzenia. Organ podkreślił, że art. 28 ust. 10 RODO znajduje zastosowanie wyłącznie, gdy podmiot przetwarzający bezprawnie dokonania samodzielnego określenia celów i sposobów przetwarzania.

Ponadto, organ podkreślił, że administrator korzystając z usług podmiotu przetwarzającego nie jest zwolniony z obowiązków nałożonych na niego przepisami RODO, szczególnie z obowiązku wynikającego z zasady rozliczalności uregulowanej w art. 5 ust. 2 RODO, który stanowi, że administrator jest odpowiedzialny za przetwarzanie zgodne z zasadami wynikającymi z art. 5 ust. 1 RODO oraz musi być w stanie wykazać przestrzeganie tych zasad. Tymczasem Spółka wskazała w treści zarzutu, że Partner pozyskał dane osobowe uczestnika postępowania poza celem wynikającym z łączącej strony umowy partnerskiej. Powyższe stwierdzenie nie znajduje jednak w ocenie organu odzwierciedlenia w ustalonym stanie faktycznym niniejszej sprawy. Jak wskazała Europejska Rada Ochrony Danych (EROD) w wytycznych 07/2020 dotyczących pojęć administratora i podmiotu przetwarzającego zawartych w RODO (cyt.) "Nie można zostać administratorem, ani uchylić się od obowiązków administratora poprzez zwykłe sformułowanie umowy w określony sposób, w przypadku gdy okoliczności faktyczne świadczą o czym innym".

W związku z powyższym organ podkreślił, że o roli podmiotów w przedmiotowym procesie przetwarzania danych przesądza stan faktyczny i to na podstawie okoliczności faktycznych niniejszej sprawy organ zobligowany był ocenić, jaką rolę Spółka w nim pełniła, czego prawidłowo dokonał w zaskarżonym rozstrzygnięciu.

Wojewódzki Sąd Administracyjny w Warszawie wyrokiem z dnia 14 kwietnia 2023 r., sygn. akt II SA/Wa 2049/22 oddalił skargę Spółki na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia 8 września 2022 r., nr ZSPR.440.1592.2018.FT.AN w przedmiocie przetwarzania danych osobowych.

W uzasadnieniu wyroku Sąd I instancji uznał, że decyzja Prezesa UODO z dnia 8 września 2022 r., nr ZSPR.440.1592.2018.FT.AN udzielająca Spółce upomnienia za naruszenie art. 6 ust. 1 RODO, polegające na udostępnieniu danych osobowych uczestnika postępowania podmiotowi nieuprawnionemu, jest zgodna z prawem. Zdaniem Wojewódzkiego Sądu Administracyjnego w Warszawie organ szczegółowo i wyczerpująco wyjaśnił podstawy prawne przedmiotowej decyzji, z przytoczeniem przepisów prawa.

Sąd I instancji wskazał, że w sprawie prawidłowo ustalono, że Spółka i Partner współpracują na podstawie umowy partnerskiej zawartej w dniu 30 czerwca 2010 r., aneksowanej w dniu 16 maja 2018 r. Wojewódzki Sąd Administracyjny w Warszawie zauważył, że z dokumentów tych wynika, że Spółka jest administratorem danych i powierzyła ich przetwarzanie Partnerowi, który m. in. pośredniczy przy zawieraniu przez Spółkę umów z jej klientami.

Sąd I instancji przypomniał, że jak wynika z ustaleń w sprawie, uczestnik postępowania udał się do Partnera celem zawarcia umowy ze Spółką. W ramach tej umowy uczestnik postępowania miał dokonać zakupu telefonu. Działania podjęte przez Partnera w ocenie Wojewódzkiego Sądu Administracyjnego w Warszawie zmierzały do zawarcia przez uczestnika postępowania umowy ze Spółką, a zatem działał on w imieniu i na rzecz Spółki.

Sąd I instancji wyjaśnił, że kluczowe dla rozstrzygnięcia sprawy było to, że do udostępnienia danych osobowych uczestnika postępowania na rzecz podmiotu nieuprawnionego doszło w ramach czynności, które Partner wykonywał na rzecz Spółki. Jak wskazał Wojewódzki Sąd Administracyjny w Warszawie, z ustaleń dokonanych w sprawie jednoznacznie wynika, że zarówno pozyskanie danych osobowych uczestnika postępowania, jak i ich późniejsze udostępnienie nastąpiło w związku z wykonywaniem umowy na rzecz Spółki.

Wojewódzki Sąd Administracyjny w Warszawie wyjaśnił, że zgodnie z łączącą Spółkę i Partnera umową powierzenia przetwarzania danych, Spółka powierzyła Partnerowi: "2.2. przetwarzanie danych osobowych w celu: 2.2.1. wykonywania przez Partnera świadczeń określonych Umową, polegających w szczególności na: pośredniczeniu przy zawieraniu i zawieraniu przez Partnera w imieniu i na rzecz P. Umów Abonenckich, Umów Sprzedaży Energii Elektrycznej i Umów Sprzedaży Paliw Gazowych oraz aneksów do tych umów, pośredniczeniu przy zawieraniu i zawieraniu przez Partnera w imieniu P. umów sprzedaży Towarów lub Sprzętu, prowadzeniu Obsługi Handlowej".

W ocenie Sądu I instancji z zawartej umowy powierzenia, jednoznacznie wynika, że Spółka powierzyła Partnerowi między innymi przetwarzanie danych osobowych potencjalnych klientów Spółki (2.1.).

Biorąc powyższe pod uwagę Wojewódzki Sąd Administracyjny w Warszawie uznał, że organ prawidłowo przyjął, że pozyskanie danych uczestnika postępowania z jego karty SIM, a następnie ich udostępnienie innemu klientowi Spółki, nastąpiło w ścisłym związku z realizacją przez Partnera umowy zawartej ze Spółką. Sąd I instancji wyjaśnił, że uczestnik postępowania był potencjalnym klientem Spółki, który chciał zawrzeć ze Spółką umowę i w tym celu pojawił się u Partnera Spółki, którego działania zmierzały do sfinalizowania transakcji z uczestnikiem postępowania, do której ostatecznie nie doszło. Następnie dane uczestnika postępowania, które w wyniku powyższych działań zostały utrwalone na aparacie telefonicznym należącym do Spółki, zostały udostępnione innemu klientowi Spółki, który nabył go w tym samym punkcie sprzedaży.

Tak więc w ocenie Wojewódzkiego Sądu Administracyjnego w Warszawie zgromadzony w niniejszej sprawie materiał dowodowy jednoznacznie wskazywał, że doszło do udostępnienia danych osobowych uczestnika postępowania, który to proces nastąpił w wyniku działania pracownika Partnera, podjętego w ramach czynności pośredniczenia w zawieraniu umowy ze Spółką. Doszło tym samym do procesu przetwarzania danych osobowych uczestnika postępowania, który nie znajdował oparcia w przesłankach określonych w art. 6 ust. 1 RODO, w rezultacie czego organ prawidłowo skorzystał z uprawnienia naprawczego z art. 58 ust. 2 lit. b RODO poprzez udzielenie upomnienia administratorowi w związku z udostępnieniem danych osobowych uczestnika postępowania na rzecz podmiotu nieuprawnionego.

Zdaniem Sądu I instancji, udostępnienie danych osobowych uczestnika postępowania nie było konsekwencją bezprawnej ingerencji podmiotu przetwarzającego (tj. Partnera) w zakres kompetencji administratora (tj. Spółki), ponieważ podmiot ten nie podjął działań wykraczających poza zakres powierzenia. W ocenie Wojewódzkiego Sądu Administracyjnego w Warszawie, działania ze strony Partnera były zgodne z zawartą pomiędzy podmiotami umową partnerską i umową powierzenia przetwarzania, gdyż realizował on w imieniu Spółki czynności z udziałem uczestnika postępowania, będącego jej potencjalnym klientem. Partner zatem nie pozyskał danych osobowych uczestnika postępowania w sposób, który wykraczał poza cel określony w zawartych przez Spółkę i Partnera umowach.

W związku z powyższym Sąd I instancji uznał, że nie było zatem podstaw do zastosowania art. 28 ust. 10 RODO, który to przepis znajduje zastosowanie wyłącznie, gdy podmiot przetwarzający bezprawnie dokona samodzielnego określenia celów i sposobów przetwarzania.

Wojewódzki Sąd Administracyjny w Warszawie podkreślił, że cechą charakterystyczną umowy powierzenia jest m.in. odpowiedzialność administratora za działania procesora w zakresie powierzonych danych, a zatem administrator korzystający z usług podmiotu przetwarzającego nie jest zwolniony z obowiązków nałożonych na niego przepisami RODO, szczególnie z obowiązku wynikającego z zasady rozliczalności uregulowanej w art. 5 ust. 2 RODO, który stanowi, że administrator jest odpowiedzialny za przetwarzanie zgodne z zasadami wynikającymi z art. 5 ust. 1 RODO oraz musi być w stanie wykazać przestrzeganie tych zasad. Tak więc Sąd I instancji zwrócił uwagę na to, że administrator danych ponosi odpowiedzialność za bezpieczeństwo powierzonych innemu podmiotowi danych.

Skargę kasacyjną od powyższego wyroku wywiodła Spółka i zaskarżając ten wyrok w całości oraz wnosząc o rozpoznanie skargi kasacyjnej na rozprawie, uchylenie wyroku w całości oraz uchylenie zaskarżonej decyzji w całości, względnie uchylenie wyroku w całości oraz przekazanie sprawy do ponownego rozpoznania Wojewódzkiemu Sądowi Administracyjnemu w Warszawie, a także przyznanie Spółce zwrotu kosztów postępowania kasacyjnego, według norm przepisanych, zarzucił zaskarżonemu rozstrzygnięciu:

1. I. naruszenie przepisów postępowania, tj.:
2. 1. art. 151 w związku z art. 145 § 1 pkt 1 lit. c ustawy Prawo o postępowaniu przed sądami administracyjnymi poprzez oddalenie skargi Spółki pomimo naruszenia przez Prezesa Urzędu Ochrony Danych Osobowych przy wydawaniu decyzji z dnia 8 września 2022 r., znak: ZSPR.440.1592.2018.FT.AN przepisów art. 7 oraz art. 77 § 1 i art. 107 § 1 i § 3 Kodeksu postępowania administracyjnego polegającego na błędnym ustaleniu, iż:
3. a) dane uczestnika postępowania pochodzące z jego karty SIM zostały zebrane przez Partnera "w związku z realizacją" umowy łączącej Spółkę i Partnera;
4. b) udostępnienie tak zebranych danych uczestnika postępowania osobie nieuprawnionej również miało miejsce "w związku z realizacją" umowy łączącej Spółkę i Partnera, które to ustalenia:
5. - zostały błędnie przypisane przez Sąd organowi;
6. - nie znalazły odzwierciedlenia w uzasadnieniu decyzji;
7. - pozostają w sprzeczności z treścią umowy powierzenia przetwarzania danych osobowych łączącej Spółkę z Partnerem stanowiącej materiał dowodowy w sprawie, którego analizy organ, a następnie Sąd I instancji zaniechał, przy czym uchybienia te miały istotny wpływ na wynik sprawy, bowiem doprowadziły do błędnego zastosowania przez Sąd I instancji norm prawa materialnego, co skutkuje wadliwym rozstrzygnięciem przez Wojewódzkiego Sądu Administracyjnego w Warszawie;
8. 2. art. 151 w związku z art. 145 § 1 pkt 1 lit. c oraz art. 141 § 4 ustawy Prawo o postępowaniu przed sądami administracyjnymi poprzez:
9. a) pominięcie w uzasadnieniu wyroku argumentów, które Spółka podnosiła w skardze oraz w toku postępowania sądowoadministracyjnego w celu uzasadnienia zarzutów wobec decyzji;
10. b) niedostateczne wyjaśnienie podstawy prawnej wyroku w zakresie przepisów prawa materialnego, co powoduje, iż nie jest możliwa jednoznaczna ocena jakie znaczenie normatywne Sąd I instancji przypisał art. 28 ust. 3 i ust. 10 RODO, które to uchybienia miały istotny wpływ na wynik sprawy, gdyż wobec powyższych braków nie jest możliwe przeprowadzenie kontroli instancyjnej wyroku, a nadto gdyby Sąd I instancji w kompletny sposób odniósł się do powyższych zagadnień, doszedłby do wniosków odmiennych od zaprezentowanych w wyroku, co prowadziłoby do uchylenia decyzji;
11. II. naruszenie przepisów prawa materialnego, tj.:
12. 1. art. 4 pkt 7 i 8 oraz art. 28 ust. 3 RODO poprzez błędne zastosowanie w związku z kwalifikacją działania Partnera polegającego na:
13. - zapisaniu w pamięci aparatu telefonicznego danych pochodzących z karty SIM uczestnika postępowania oraz następnie
14. - udostępnieniu ich osobie trzeciej - jako działań realizowanych na podstawie umowy powierzenia przetwarzania danych osobowych - a tym samym uznanie Spółki za administratora tych danych, a Partnera za procesora, podczas gdy:
15. - powyższe działania Partnera zostały podjęte przez ten podmiot z własnej inicjatywy, z wykroczeniem poza umowę powierzenia przetwarzania danych i nie były ani niezbędne, ani potrzebne dla wykonywania usług świadczonych przez Partnera na rzecz Spółki, w szczególności nie były potrzebne dla zawarcia umowy pomiędzy Spółką i klientem;
16. - Spółka nie powierzyła Partnerowi przetwarzania danych osobowych potencjalnych klientów, zapisanych w używanych przez te osoby kartach SIM;
17. 2. art. 58 ust. 2 pkt b RODO w związku z art. 28 ust. 10 RODO poprzez błędne zastosowanie i w wyniku tego zaakceptowanie wadliwego skierowania upomnienia wobec Spółki zamiast wobec Partnera;
18. 3. art. 28 ust. 10 RODO poprzez błędną wykładnię polegającą na uznaniu, że przepis ten nie odnosi się do przypadków przetwarzania danych osobowych wykraczających poza ustalony umownie katalog danych osobowych, które to dane procesor zaczął przetwarzać pomimo braku podstaw wynikających z umowy powierzenia (lub ewentualnego polecenia administratora), przy czym w wyniku tej nieprawidłowej wykładni Sąd I instancji błędnie odmówił zastosowania powyższego przepisu.

W uzasadnieniu skargi kasacyjnej strona skarżąca kasacyjnie podkreśliła, że sporne w niniejszej sprawie pozostaje to czy zebranie, a następnie udostępnienie danych w niniejszej sprawie miało miejsce na podstawie umowy powierzenia przetwarzania danych, jaka łączyła Spółkę oraz Partnera, czyli czy Partner realizował je jako procesor oraz czy czynności te były zgodne ze wspomnianą umową. W związku z powyższym strona skarżąca kasacyjnie wskazała, że Prezes UODO w tym zakresie ustalił jedynie, że "Przedstawiciel na zasadach określonych w umowie partnerskiej zobowiązany jest do przetwarzania danych osobowych i danych objętych tajemnicą telekomunikacyjną zgodnie z zakresem i celem powierzenia przetwarzania tych danych określonych w umowie partnerskiej.

Jednocześnie w punkcie 5 ww. aneksu zmieniającego § 8 w punkcie 8.7.1. cyt.: "Partner oraz osoby, za pomocą, których prowadzi działalność określoną w Umowie zobowiązani są do przestrzegania, określonych w Załączniku nr 4 do Umowy, zasad i warunków przetwarzania danych osobowych podmiotów danych powierzonych przez Spółkę. Na zasadzie art. 391 Kodeksu cywilnego Partner odpowiada wobec Spółki za naruszenie zasad i warunków ochrony i przetwarzania danych osobowych przez osoby, za pomocą których prowadzi działalność określoną Umową, w tym przez APS-y współpracujące z Partnerem". Z punktu 5.3 i 5.4 Załącznika nr 2 do ww. Aneksu wynika, że Przedstawiciel zobowiązany jest w ramach obowiązującej umowy do przetwarzania danych wyłącznie na udokumentowane polecenie Spółki, wyłącznie w zakresie i celu przewidzianym w umowie (...)". Jak zauważyła strona skarżąca kasacyjnie, w uzasadnieniu decyzji oraz w uzasadnieniu wyroku brak jest natomiast jakichkolwiek odniesień do innych fragmentów umowy powierzenia, a także potencjalnych instrukcji lub poleceń udzielanych/wydawanych Partnerowi przez Spółkę.

Strona skarżąca kasacyjnie podkreśliła, że w skardze do Wojewódzkiego Sądu Administracyjnego w Warszawie oraz w dwóch dalszych pismach procesowych, jak również na rozprawie, Spółka kilkukrotnie zwracała uwagę, że dla prawidłowego ustalenia stanu faktycznego sprawy istotne znaczenie mają także inne fragmenty umowy powierzenia aniżeli te zacytowane w decyzji. W szczególności dotyczyło to pkt 2.3. umowy powierzenia rozstrzygającego o zapisie (kategoriach) danych osobowych, których dotyczyło powierzenie. Nie było bowiem wśród tych danych informacji zapisanych na kartach SIM, używanych przez klientów lub potencjalnych klientów Spółki.

Strona skarżąca kasacyjnie wskazała także, że jej zdaniem błędne jest stanowisko Sądu I instancji, który podzielił argumentację organu, że w okolicznościach niniejszej sprawy odpowiedzialność za naruszenie danych osobowych uczestnika postępowania należy przypisać Spółce jako administratorowi danych, a nie Partnerowi. W ocenie strony skarżącej kasacyjnie, błąd Wojewódzkiego Sądu Administracyjnego w Warszawie polega na "wyczytaniu" z decyzji ustaleń, których organ w ogóle nie poczynił (albo nie odzwierciedlił ich w tym akcie), a także na zaaprobowaniu błędnych ustaleń faktycznych dokonanych przez organ w ramach decyzji, które wynikały zwłaszcza z wadliwej treści oceny treści umowy powierzenia.

Strona skarżąca kasacyjnie podniosła, że Prezes UODO nie zbadał treści umowy powierzenia, w szczególności nie ustalił kategorii danych osobowych, których przetwarzanie zostało powierzone przez Spółkę. W uzasadnieniu decyzji organ nawiązał jedynie ogólnikowo do § 1 (nawet bez zacytowania jego treści) i § 8 umowy powierzenia, które zdaniem strony skarżącej kasacyjnie nie zawierają jednak essentialia negotii umowy powierzenia przetwarzania danych w rozumieniu art. 28 ust. 3 RODO.

Jak wskazała strona skarżąca kasacyjnie, Sąd I instancji pominął pkt 2.3. umowy powierzenia, zgodnie z którym, Spółka powierzyła Partnerowi przetwarzanie danych wyłącznie w zakresie następujących kategorii (rodzaju) danych osobowych: "2.3. Powierzenie przetwarzania dotyczy danych (...) zawartych w systemach informatycznych, w Bazach Danych, zestawieniach wynagrodzenia, w dokumentach wytworzonych/przyjętych w procesach Obsługi Handlowej, w szczególności w Umowach Abonenckich, Umowach Sprzedaży Energii Elektrycznej, Umowach Sprzedaży Paliw Gazowych i aneksach do tych umów, pismach reklamacyjnych oraz innego rodzaju zgłoszeniach, dokumentach, księgowych (...)".

W ocenie strony skarżącej kasacyjnie niezrozumiałe jest, z jakich przyczyn Sąd I instancji nie dostrzegł potrzeby ustalenia, czy sporne dane uczestnika postępowania, które zostały zebrane poprzez ich zapisanie w pamięci aparatu telefonicznego, mieściły się w powyższym zakresie. W skardze i w toku postępowania sądowoadministracyjnego strona skarżąca kasacyjnie konsekwentnie wskazywała na potrzebę zbadania tej kwestii, wskazując, iż ustalenia Prezesa UODO są wadliwe. Pominięcie tej okoliczności przez Sąd I instancji i bezkrytyczne zaaprobowanie błędnych ustaleń organu są w ocenie strony skarżącej kasacyjnie trudne do zaakceptowania, zwłaszcza że art. 28 ust. 3 RODO wymaga, by w umowie powierzenia przetwarzania danych osobowych określone zostały zarówno cel jak i zakres powierzenia, w tym "rodzaj danych osobowych". Zdaniem strony skarżącej kasacyjnie, nie sposób więc uznać, by cel mógł zawsze i automatycznie "decydować" o zakresie powierzenia, w szczególności rozciągać powierzenie na inne kategorie danych osobowych, także na te niewymienione w umowie.

Strona skarżąca kasacyjnie podniosła, że Sąd I instancji wadliwie zaaprobował fakt, że w decyzji organ w ogóle nie zaprezentował ustaleń dotyczących tego, czy działania Partnera – najpierw skopiowanie danych, a następnie ich udostępnienie wraz z aparatem telefonicznym – stanowiły czynności wykonywania przez Partnera umowy partnerskiej lub umowy powierzenia, która zawarta została w związku z umową partnerską.

Strona skarżąca kasacyjnie podniosła, że Wojewódzki Sąd Administracyjny w Warszawie nie odwołał się do celu przetwarzania danych, lecz do kategorii niewymienionej w przepisach RODO, a mianowicie do "związku z realizacją umowy". Strona skarżąca kasacyjnie dodała ponadto, że ani organ, ani Sąd I instancji nie wskazali (nie ustalili) żadnego konkretnego polecenia wydanego Partnerowi przez Spółkę w takim kierunku, by Partner dokonywał jakichkolwiek operacji na kartach SIM osób, które odwiedzają salon sprzedaży prowadzony przez Partnera lub choćby przystępują do zawarcia umowy, a nawet, by Partner dokonywał takich operacji np. wobec danych osób, które już zawarły takie umowy i nabyły aparat telefoniczny.

Konstatacje Sądu I instancji opierają się, w ocenie strony skarżącej kasacyjnie, na gołosłownym założeniu, iż każda aktywność klienta, a także pracownika w punkcie sprzedaży, która jest podejmowana w trakcie wizyty klienta w tym punkcie, może być traktowana jako czynność realizowana w celu zawarcia przez potencjalnego klienta umowy ze Spółką. Strona skarżąca kasacyjnie podniosła, że całkowicie niezrozumiałe i niewyjaśnione przez Sąd I instancji pozostaje, dlaczego Wojewódzki Sąd Administracyjny w Warszawie uznał, że również dalsze udostępnienie tych danych mieściło się w celu, jakim jest zawarcie umowy z klientem (a nawet by pozostawało "w związku z wykonywaniem umowy").

W ocenie strony skarżącej kasacyjnie, gdyby przyjąć interpretację art. 4 pkt 7 i 8 oraz art. 28 ust. 3 RODO, jaką zdaje się przyjął organ oraz Wojewódzki Sąd Administracyjny w Warszawie (choć nie sposób jest znaleźć zdaniem strony skarżącej kasacyjnie w treści rozstrzygnięć namiastki wywodu prawnego w tym zakresie), tj. zakładającą, że o powierzeniu przetwarzania danych i statusie administratora oraz procesora decyduje wyłącznie "związek" przetwarzania danych z wykonywaniem umowy między administratorem i procesorem, a inne wymagania z art. 23 ust. 3 RODO (zakres danych), można pominąć, wówczas należałoby automatycznie uznać, że każda aktywność pracownika punktu sprzedaży i związana z tym czynność przetwarzania danych osób, które wchodzą do punktu sprzedaży, ma miejsce w ramach powierzenia przetwarzania danych takiej osoby.

Odwołując się natomiast do definicji legalnej pojęcia "administrator" wynikającej z art. 4 pkt 7 RODO strona skarżąca kasacyjnie podniosła, że nie nasuwa ona wątpliwości, że niezbędną "cechą" administratora jest decydowanie o celach i sposobach przetwarzania danych. Tylko bowiem w takim przypadku podmiot ten może mieć wpływ na to, jakie dane osobowe (kategorie danych), pochodzące od jakich podmiotów danych, przetwarza w jakim celu i na jakiej podstawie (w jaki sposób). Wbrew stanowisku Sądu I instancji, w ocenie strony skarżącej kasacyjnie Spółka jako administrator zdecydowała dokładnie o tym, jakie kategorie danych osobowych klientów (i potencjalnych klientów) powierzyła do przetwarzania procesorowi, tj. Partnerowi, a uczyniła to w pkt 2.3. umowy powierzenia. Strona skarżąca kasacyjnie zaznaczyła, że to właśnie poprzez tę decyzję zmaterializowała się wola Spółki co do "sposobu i celu" przetwarzania danych.

Nie ulega przy tym, zdaniem strony skarżącej kasacyjnie, wątpliwości, iż Spółka nie zdecydowała o celach i środkach przetwarzania danych uczestnika postępowania, jakie zostały przeniesione (w punkcie sprzedaży należącym do sieci sprzedaży Partnera) z jego karty SIM na aparat telefoniczny znajdujący się w tym punkcie sprzedaży. Spółka bowiem ani nie powierzyła Partnerowi przetwarzania danych tego rodzaju, ani nie wskazała, że były one potrzebne dla celów zawarcia umowy z klientami, ani nie wydała Partnerowi żadnego polecenia w tym kierunku. Tym bardziej Spółka nie zdecydowała o tym, by udostępnienie tych danych osobie trzeciej służyło zawarciu z nią umowy.

W ocenie strony skarżącej kasacyjnie przeniesienie przez pracownika Partnera danych z karty SIM uczestnika postepowania na nowy aparat telefoniczny, wyłącznie na prośbę uczestnika postępowania, wykraczała poza pkt 2.3. umowy powierzenia, nie była niezbędna, ani nawet potrzebna do zawarcia umowy ze Spółką, a pracownik Partnera, w ślad za prośbą uczestnika postępowania, skopiował sporne dane wyłącznie z uprzejmości, nie reprezentując przy tym Spółki ani nie realizując żadnego celu, który można przypisać Spółce. Strona skarżąca kasacyjnie podniosła, że o celach i środkach przetwarzania powyższych danych zadecydował więc w tym przypadku Partner, stając się w zakresie spornych danych uczestnika postępowania ich administratorem w rozumieniu art. 4 pkt 7 RODO.

Tym samym, zdaniem strony skarżącej kasacyjnie, dalsze uchybienia w postaci przechowywania danych w pamięci telefonu oraz udostępnienia ich wraz z telefonem osobie trzeciej tym bardziej nie mogą być przypisane Spółce, skoro nie tylko nie zadecydowała ona o przeprowadzeniu tych procesów ani o celowości takiego przetwarzania danych, ale nawet nie miała wiedzy o ich wystąpieniu.

W odpowiedzi na skargę kasacyjną organ wniósł o jej oddalenie oraz wskazał, że z umowy partnerskiej zawartej w dniu 30 czerwca 2010 r., aneksowanej w dniu 16 maja 2018 r. wynikało, że Spółka była administratorem danych i powierzyła ich przetwarzanie Partnerowi, który m. in. pośredniczył przy zawieraniu przez Spółkę umów z jej klientami. Wbrew jednak twierdzeniom Spółki, w ocenie organu rola wskazanych podmiotów w procesie przetwarzania danych osobowych uczestnika postępowania została ustalona prawidłowo, bowiem do udostępnienia jego danych osobowych na rzecz podmiotu nieuprawnionego doszło na skutek nieprawidłowego działania pracownika Partnera, podejmowanego w imieniu Spółki, tj. w trakcie czynności zmierzających do zawarcia umowy o świadczenie usług telekomunikacyjnych. Powyższe zostało zdaniem organu prawidłowo dostrzeżone przez Wojewódzki Sąd Administracyjny w Warszawie. Organ wyjaśnił, że nie jest możliwe przyjęcie, jak chce tego strona skarżąca kasacyjnie, że nie ponosi ona odpowiedzialności za wskazane naruszenie. Organ podkreślił bowiem, że Partner nie wyszedł poza cel wskazany w umowie powierzenia.

Naczelny Sąd Administracyjny zważył, co następuje

Zgodnie z treścią art. 183 § 1 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (tj.: Dz.U. z 2026 r., poz. 143) - zwanej dalej p.p.s.a., Naczelny Sąd Administracyjny rozpoznaje sprawę w granicach skargi kasacyjnej, bierze jednak z urzędu pod rozwagę nieważność postępowania. W sprawie nie występują, enumeratywnie wyliczone w art. 183 § 2 p.p.s.a., przesłanki nieważności postępowania sądowoadministracyjnego. Z tego względu, przy rozpoznaniu sprawy, Naczelny Sąd Administracyjny związany był granicami skargi kasacyjnej.

Skargę kasacyjną można oprzeć na następujących podstawach:

1. 1) naruszeniu prawa materialnego przez błędną jego wykładnię lub niewłaściwe zastosowanie,
2. 2) naruszeniu przepisów postępowania, jeżeli uchybienie to mogło mieć istotny wpływ na wynik sprawy (art. 174 p.p.s.a.).

Granice skargi kasacyjnej wyznaczają wskazane w niej podstawy.

W skardze kasacyjnej zarzucono naruszenie prawa materialnego, jak i naruszenie przepisów postępowania. W sytuacji, gdy skarga kasacyjna zarzuca naruszenie prawa materialnego oraz naruszenie przepisów postępowania, co do zasady w pierwszej kolejności rozpoznaniu podlegają zarzuty naruszenia przepisów postępowania (por. wyrok NSA z dnia 27 czerwca 2012 r., II GSK 819/11, LEX nr 1217424; wyrok NSA z dnia 26 marca 2010 r., II FSK 1842/08, LEX nr 596025; wyrok NSA z dnia 4 czerwca 2014 r., II GSK 402/13, LEX nr 1488113; wyrok NSA z dnia 17 lutego 2023 r., II GSK 1458/19; wyrok NSA z dnia 1 marca 2023 r., I FSK 375/20). Dopiero bowiem po przesądzeniu, że stan faktyczny przyjęty przez sąd w zaskarżonym wyroku jest prawidłowy, albo nie został dostatecznie podważony, można przejść do skontrolowania procesu subsumcji danego stanu faktycznego pod zastosowany przez sąd pierwszej instancji przepis prawa materialnego.

Dla uznania za usprawiedliwioną podstawę kasacyjną z art. 174 pkt 2 p.p.s.a. nie wystarcza samo wskazanie naruszenia przepisów postępowania, ale nadto wymagane jest, aby skarżący wykazał, że następstwa stwierdzonych wadliwości postępowania były tego rodzaju lub skali, iż kształtowały one lub współkształtowały treść kwestionowanego w sprawie orzeczenia (por. wyrok NSA z dnia 5 maja 2004 r., FSK 6/04, LEX nr 129933; wyrok NSA z dnia 26 lutego 2014 r., II GSK 1868/12, LEX nr 1495116; wyrok NSA z dnia 29 listopada 2022 r., I OSK 931/22).

Na podstawie pierwszego zarzutu naruszenia przepisów postępowania strona skarżąca kasacyjnie zarzuca Wojewódzkiemu Sądowi Administracyjnemu w Warszawie naruszenie art. 151 w związku z art. 145 § 1 pkt 1 lit. c p.p.s.a., poprzez oddalenie skargi Spółki pomimo naruszenia przez Prezesa Urzędu Ochrony Danych Osobowych przy wydaniu decyzji art. 7, art. 77 § 1 i art. 107 § 1 i 3 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2024 r., poz. 572 ze zm.) – dalej zwanej: k.p.a., polegającego na błędnym ustaleniu, iż dane uczestnika postępowania pochodzące z jego karty SIM zostały zebrane przez Partnera "w związku z realizacją" umowy łączącej Spółkę i Partnera oraz że udostępnienie tak zebranych danych uczestnika postępowania osobie nieuprawnionej również miało miejsce "w związku z realizacją" umowy łączącej Spółkę i Partnera, które to ustalenia w ocenie strony skarżącej kasacyjnie zostały błędnie przypisane przez Sąd I instancji organowi, nie znalazły odzwierciedlenia w uzasadnieniu decyzji i pozostają w sprzeczności z treścią umowy powierzenia przetwarzania danych osobowych łączącej Spółkę z Partnerem, stanowiącej materiał dowodowy w sprawie, którego analizy organ, a następnie Wojewódzki Sąd Administracyjny w Warszawie zaniechał, przy czym uchybienia te, jak wskazała strona skarżąca kasacyjnie, miały istotny wpływ na wynik sprawy, bowiem doprowadziły do błędnego zastosowania przez Sąd norm prawa materialnego, co skutkuje wadliwym rozstrzygnięciem przez Sąd I instancji. Zarzut ten nie mógł jednak odnieść skutku z powodu bezzasadności jego argumentacji.

Przede wszystkim w związku z tym, że strona skarżąca kasacyjnie zarzuca naruszenie przez Wojewódzki Sąd Administracyjny w Warszawie art. 151 w związku z art. 145 § 1 pkt 1 lit. c p.p.s.a. w powiązaniu z ww. przepisami k.p.a. podkreślenia wymaga, że w orzecznictwie Naczelnego Sądu Administracyjnego ugruntowane jest stanowisko, że przepisy art. 151 p.p.s.a., czy art. 145 § 1 pkt 1 lit. c, podobnie zresztą jak art. 146 § 1, art. 147, art. 149 § 1, czy też art. 161 § 1 p.p.s.a. mają charakter ogólny (blankietowy) i określają kompetencje sądu administracyjnego w fazie orzekania. Tego typu przepisy nie mogą więc stanowić samodzielnej podstawy kasacyjnej. Strona skarżąca kasacyjnie chcąc powołać się na zarzut naruszenia art. 151, czy art. 145 § 1 pkt 1 lit. c p.p.s.a. zobowiązana jest więc bezpośrednio powiązać omawiany zarzut z zarzutem naruszenia konkretnych przepisów, którym – jej zdaniem – Sąd I instancji uchybił w toku rozpoznania sprawy.

Naruszenie ww. przepisów jest zawsze następstwem uchybienia innym przepisom, czy to procesowym, czy też materialnym (por. wyroki NSA: z dnia 30 kwietnia 2015 r., I OSK 1701/14, z dnia 29 kwietnia 2015 r., I OSK 1595/14, z dnia 29 kwietnia 2015 r., I OSK 1596/14, z dnia 24 kwietnia 2015 r., I OSK 1088/14, z dnia 8 kwietnia 2015 r., I OSK 71/15, z dnia 9 stycznia 2015 r., I OSK 638/14). Niezależnie od powyższego w związku z tym, że strona skarżąca kasacyjnie wytyka Sądowi I instancji na podstawie omawianego zarzutu naruszenie art. 145 § 1 pkt 1 lit. c p.p.s.a. podkreślenia wymaga przede wszystkim to, że Wojewódzki Sąd Administracyjny w Warszawie oddalając skargę w niniejszej sprawie na podstawie art. 151 p.p.s.a., nie stosował art. 145 § 1 pkt 1 lit. c p.p.s.a. określającego kompetencje sądu w razie uwzględnienia skargi na decyzję lub postanowienie, a zatem przede wszystkim z tego powodu nie mógł naruszyć tego przepisu.

Natomiast w związku z tym, że strona skarżąca kasacyjnie powiązała zarzut naruszenia art. 151 p.p.s.a. oraz niestosowanego w sprawie art. 145 § 1 pkt 1 lit. c p.p.s.a. z art. 7, art. 77 § 1 i art. 107 § 1 i 3 k.p.a. wskazać należy, że wbrew twierdzeniom strony skarżącej kasacyjnie w rozpoznawanej sprawie wszystkie istotne okoliczności z punktu widzenia przedmiotu postępowania, wszczętego przez organ wskutek złożenia przez uczestnika postępowania skargi na nieprawidłowości w procesie przetwarzania jego danych osobowych przez Spółkę, polegające na udostępnieniu jego danych osobowych podmiotowi nieuprawnionemu skutkującego udzieleniem Spółce upomnienia, zostały wyjaśnione, a zgromadzone dowody związane z ww. przetwarzaniem danych, m.in. wyjaśnienia zarówno Spółki, jak i Partnera, zostały poddane wszechstronnej i odpowiadającej prawu ocenie. Zarówno organ, jak i Sąd I instancji prawidłowo, wbrew twierdzeniom strony skarżącej kasacyjnie, uznały, że zarówno zebranie danych osobowych uczestnika postepowania przez Partnera, jak i ich udostępnienie osobie nieuprawnionej niewątpliwie nastąpiło w związku z realizacją umowy łączącej Spółkę i Partnera.

Rację ma strona skarżąca kasacyjnie wskazując, że podejmowanie decyzji o celach i sposobach przetwarzania danych osobowych jest znamienną cechą administratora danych i jego uprawnieniem, co wynika wprost z art. 4 pkt 7 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z dnia 4 maja 2016 r., str. 1, Dz. Urz. UE L 127 z dnia 23 maja 2018 r., str. 2 oraz Dz. Urz. UE L 74 z dnia 4 marca 2021 r., str. 35), dalej jako: "RODO". Słusznie również strona skarżąca kasacyjnie wskazuje, że jeżeli podmiot przetwarzający (w niniejszej sprawie Partner) bezprawnie ingeruje w tę strefę, wchodząc w zakres zastrzeżony administratorowi, to art. 28 ust. 10 RODO nakazuje uznać podmiot przetwarzający za administratora w odniesieniu do tego przetwarzania i wówczas podmiot przetwarzający odpowiada w tym zakresie za naruszenie przepisów RODO tak jak administrator.

Odróżnić jednak należy nieprawidłowości w działaniach podmiotu przetwarzającego podejmowanych w związku z realizacją umowy łączącej go z administratorem, związane z procesem przetwarzania danych osobowych, co miało miejsce w niniejszej sprawie, od bezprawnego podejmowania decyzji o celach i sposobach przetwarzania danych przez podmiot przetwarzający. Okoliczności niniejszej sprawy nie pozostawiają natomiast wątpliwości, że działania podmiotu przetwarzającego – choć bezprawne – zostały podjęte w imieniu i na rzecz Spółki – jako administratora danych osobowych uczestnika postępowania i w ramach realizacji wiążącej strony umowy. Oceny takich działań, co wymaga podkreślenia, należy natomiast dokonywać zawsze z uwzględnieniem cechy charakterystycznej umowy powierzenia jaką jest odpowiedzialność administratora za działania podmiotu przetwarzającego w zakresie powierzonych danych.

Ponadto, podkreślenia w tym miejscu wymaga, że w postępowaniu sądowoadministracyjnym sąd nie ustala stanu faktycznego, lecz bada, czy w trakcie postępowania administracyjnego zostały ujawnione wszystkie okoliczności istotne dla wydania decyzji, czy były one uwzględnione przy wydaniu decyzji i w jaki sposób zostały ocenione przez organ (por. wyrok NSA z 16 maja 2008 r., II OSK 554/07). Sąd I instancji prawidłowo wywiązał się z tego obowiązku, dokonał poprawnej oceny zaskarżonej decyzji i słusznie przyjął ustalony przez organ stan faktyczny za odpowiadający wymogom prawa, również w zakresie ustalenia, że zarówno zebranie danych osobowych uczestnika postępowania, jak i ich bezprawne udostępnienie osobie nieuprawnionej, choć nosiły znamiona wadliwości, co znalazło wyraz w rozstrzygnięciu organu, na podstawie którego udzielono Spółce upomnienia, to stanowiły czynności podejmowane przez podmiot przetwarzający w związku z realizacją umowy łączącej go z administratorem – w niniejszej sprawie ze Spółką.

Organ prowadząc postępowanie w niniejszej sprawie, powziął wszelkie niezbędne kroki do dokładnego wyjaśnienia stanu faktycznego sprawy. Zebrał i rozpatrzył cały materiał dowodowy, wskazując podstawy podjętego rozstrzygnięcia, a ocena ta nie narusza zasady swobodnej oceny dowodów. Organ ustosunkował się do wszelkich istotnych okoliczności wskazywanych przez strony postępowania, co znalazło wyraz w uzasadnieniu zaskarżonej w sprawie decyzji. W związku zatem z tym, że ocena materiału dowodowego dokonana przez organ i zaakceptowana przez Sąd I instancji nie została w skardze kasacyjnej skutecznie podważona, to w konsekwencji powyższego, Sąd I instancji prawidłowo, na podstawie art. 151 p.p.s.a. oddalił skargę Spółki.

Nie mógł także odnieść skutku zarzut naruszenia art. 151 oraz art. 145 § 1 pkt 1 lit. c w związku z art. 141 § 4 p.p.s.a., którego strona skarżąca kasacyjnie upatruje w pominięciu w uzasadnieniu wyroku argumentów, które Spółka podnosiła w skardze oraz w toku postępowania sądowoadministracyjnego w celu uzasadnienia zarzutów wobec decyzji oraz w niedostatecznym wyjaśnieniu podstawy prawnej wyroku w zakresie przepisów prawa materialnego, co powoduje, iż w ocenie strony skarżącej kasacyjnie nie jest możliwa jednoznaczna ocena jakie znaczenie normatywne Sąd I instancji przypisał art. 28 ust. 3 i ust. 10 RODO, które to uchybienia w ocenie strony skarżącej kasacyjnie miały istotny wpływ na wynik sprawy, gdyż wobec powyższych braków nie jest możliwe przeprowadzenie kontroli instancyjnej wyroku, a nadto gdyby Sąd I instancji w kompletny sposób odniósł się do powyższych zagadnień, doszedłby do wniosków odmiennych od zaprezentowanych w wyroku, co prowadziłoby do uchylenia zaskarżonej decyzji.

Aktualne pozostają przedstawione powyżej rozważania w zakresie zarzutu naruszenia art. 151 w związku z art. 145 § 1 pkt 1 lit. c p.p.s.a., natomiast nawiązując do zarzutu naruszenia art. 141 § 4 p.p.s.a., wyjaśnić należy, że zarzut ten może być skutecznie postawiony w dwóch przypadkach: gdy uzasadnienie wyroku nie zawiera wszystkich elementów, wymienionych w tym przepisie i gdy w ramach przedstawienia stanu sprawy, wojewódzki sąd administracyjny nie wskaże, jaki i dlaczego stan faktyczny przyjął za podstawę orzekania (por. uchwała NSA z dnia 15 lutego 2010 r., sygn. akt: II FPS 8/09, LEX nr 552012, wyrok NSA z dnia 20 sierpnia 2009 r., sygn. akt: II FSK 568/08, LEX nr 513044). Naruszenie to, jak już wskazywano, musi być przy tym na tyle istotne, aby mogło mieć wpływ na wynik sprawy (art. 174 pkt 2 p.p.s.a.). Za jego pomocą nie można skutecznie zwalczać prawidłowości przyjętego przez sąd stanu faktycznego, czy też stanowiska sądu co do wykładni bądź zastosowania prawa materialnego.

Przepis art. 141 § 4 p.p.s.a. jest przepisem proceduralnym, regulującym wymogi uzasadnienia. W ramach rozpatrywania zarzutu naruszenia tego przepisu Naczelny Sąd Administracyjny zobowiązany jest jedynie do kontroli zgodności uzasadnienia zaskarżonego wyroku z wymogami wynikającymi z powyższej normy prawnej. Wadliwość uzasadnienia orzeczenia może stanowić przedmiot skutecznego zarzutu kasacyjnego z art. 141 § 4 p.p.s.a., w sytuacji gdy sporządzone jest ono w taki sposób, że niemożliwa jest kontrola instancyjna zaskarżonego wyroku (por. postanowienie NSA z dnia 22 maja 2014 r., II OSK 481/14). Tymczasem uzasadnienie zaskarżonego w niniejszej sprawie wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie, wbrew twierdzeniom strony skarżącej kasacyjnie, zawiera przedstawienie stanu sprawy, zarzutów podniesionych w skardze, stanowiska strony przeciwnej, podstawę prawną rozstrzygnięcia oraz jej wyjaśnienie, także w zakresie rozumienia art. 28 ust. 3 i ust. 10 RODO.

Natomiast prawidłowości stanowiska Sądu I instancji co do wykładni powyższego przepisu nie można kwestionować na podstawie zarzutu naruszenia art. 141 § 4 p.p.s.a. Sąd I instancji odniósł się do wszystkich kwestii istotnych z punktu widzenia rozstrzygnięcia sprawy i wskazał powody, dla których uznał, że skarga Spółki na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia 8 września 2022 r., nr ZSPR.440.1592.2018.FT.AN nie zasługiwała na uwzględnienie. Należy podkreślić przy tym, że wadliwość uzasadnienia orzeczenia może stanowić przedmiot skutecznego zarzutu kasacyjnego z art. 141 § 4 p.p.s.a. w sytuacji, gdy sporządzone jest ono w taki sposób, że niemożliwa jest kontrola instancyjna zaskarżonego wyroku (por. postanowienie NSA z dnia 22 maja 2014 r., II OSK 481/14).

Natomiast treść uzasadnienia zaskarżonego w niniejszej sprawie wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie, wbrew twierdzeniom autora skargi kasacyjnej, czyni go w pełni poddającym się kontroli kasacyjnej i wprost wynika z niego rezultat i wnioski przeprowadzonej kontroli działalności administracji publicznej. Na marginesie jedynie można dodać, że obowiązek odniesienia się do zarzutów skargi oznacza konieczność odniesienia się do kwestii istotnych z punktu widzenia rozstrzygnięcia sprawy. Podkreślić należy, że przywołany przez autora skargi kasacyjnej art. 141 § 4 p.p.s.a. nie wymaga szczegółowego odniesienia się przez Sąd I instancji do wszystkich zarzutów podnoszonych przez stronę w skardze, czy na późniejszych etapach postępowania sądowoadministracyjnego, ale wymaga odniesienia się do tych zarzutów, których zbadanie jest niezbędne do przeprowadzenia kontroli zaskarżonego aktu administracyjnego, co miało miejsce w realiach tej sprawy.

Zarzutu naruszenia art. 141 § 4 p.p.s.a. nie może zatem skutecznie uzasadniać nieuwzględnieniem wszystkich zarzutów skargi, czy nieodniesieniem się przez sąd do wszystkich kwestii podnoszonych przez stronę. To, że strona skarżąca kasacyjnie nie jest przekonana o trafności rozstrzygnięcia sprawy przez sąd, nie oznacza jeszcze wadliwości uzasadnienia wyroku (por. wyrok NSA z 30 listopada 2011 r., sygn. akt I OSK 1451/11). Brak przekonania strony o trafności rozstrzygnięcia sprawy, w tym co do przyjętego kierunku wykładni i zastosowania prawa, czy też oceny zgromadzonego w sprawie materiału dowodowego, która nie koresponduje z oczekiwaniami strony skarżącej kasacyjnie, nie oznacza wadliwości uzasadnienia wyroku. Polemika z merytorycznym stanowiskiem Sądu I instancji nie może czynić skutecznym zarzutu naruszenia art. 141 § 4 p.p.s.a. Dlatego również ten zarzut naruszenia przepisów postępowania uznać należało za nieskuteczny.

Przechodząc natomiast do oceny zarzutów sformułowanych przez stronę skarżącą kasacyjnie w ramach pierwszej podstawy kasacyjnej przypomnieć należy, że naruszenie prawa materialnego może przejawiać się w dwóch postaciach: jako błędna wykładnia albo jako niewłaściwe zastosowanie określonego przepisu prawa. Podnosząc zarzut naruszenia prawa materialnego przez jego błędną wykładnię wykazać należy, że sąd mylnie zrozumiał stosowany przepis prawa, natomiast uzasadniając zarzut niewłaściwego zastosowania przepisu prawa materialnego wykazać należy, że sąd stosując przepis popełnił błąd subsumcji, czyli że niewłaściwie uznał, iż stan faktyczny przyjęty w sprawie odpowiada lub nie odpowiada stanowi faktycznemu zawartemu w hipotezie normy prawnej zawartej w przepisie prawa. W obu tych przypadkach autor skargi kasacyjnej wykazać musi, jak w jego ocenie powinna być rozumiana norma zawarta w stosowanym przepisie prawa, czyli jaka powinna być jego prawidłowa wykładnia.

Jednocześnie należy podkreślić, że ocena zasadności zarzutu naruszenia prawa materialnego może być dokonana wyłącznie na podstawie ustalonego w sprawie stanu faktycznego, nie zaś na podstawie stanu faktycznego, który skarżący uznaje za prawidłowy (por. wyrok NSA z dnia 13 sierpnia 2013 r., II GSK 717/12, LEX nr 1408530; wyrok NSA z dnia 4 lipca 2013 r., I GSK 934/12, LEX nr 1372091).

Treść dwóch pierwszych zarzutów naruszenia prawa materialnego umożliwia ich łączne rozpoznanie, bowiem na ich podstawie strona skarżąca kasacyjnie zarzucając Sądowi I instancji niewłaściwe zastosowanie przepisów RODO, tj. art. 4 pkt 7 i 8 oraz art. 28 ust. 3, a także art. 58 ust. 2 lit. b (błędnie wskazana w skardze kasacyjnej jako punkt b) w związku z art. 28 ust. 10 RODO, w rzeczywistości usiłuje zakwestionować zakwalifikowanie przez organ oraz Sąd I instancji działań Partnera jako realizowanych na podstawie umowy powierzenia przetwarzania danych osobowych i tym samym uznanie Spółki za administratora tych danych, a Partnera za podmiot przetwarzający, kwestionując tym samym dokonane przez organ i zaakceptowane przez Wojewódzki Sąd Administracyjny w Warszawie ustalenia faktyczne w niniejszej sprawie. Tak skonstruowane zarzuty niewłaściwego zastosowania ww. przepisów RODO nie mogły natomiast odnieść skutku.

Niewłaściwe zastosowanie prawa materialnego oznacza błąd w zakresie subsumcji stanu faktycznego wobec treści stosowanej normy prawnej. Może być zatem konsekwencją wcześniejszych błędnych ustaleń w zakresie stanu faktycznego, jak i błędnej wykładni prawa materialnego, ale może mieć miejsce również wtedy, gdy prawidłowe są ustalenia i oceny w zakresie stanu faktycznego oraz wykładnia prawa materialnego, a wadliwość przejawia się wyłącznie w zestawieniu stanu faktycznego ze stanem prawnym sprawy. W rozpatrywanej skardze kasacyjnej nie zakwestionowano skutecznie ustaleń i ocen w zakresie stanu faktycznego sprawy, również w zakresie oceny czynności podejmowanych przez Partnera, w ramach których doszło do udostępnienia danych osobowych uczestnika postępowania podmiotowi nieuprawnionemu, jako działań realizowanych na podstawie umowy powierzenia przetwarzania danych osobowych zawartej pomiędzy Partnerem a Spółką.

Nie podważono również prawidłowości wykładni prawa materialnego stosowanego w realiach niniejszej sprawy. Oznacza to, że w realiach niniejszej sprawy istotne jest zweryfikowanie, czy w podniesionych zarzutach niewłaściwego zastosowania prawa materialnego strona skarżąca kasacyjnie wykazała, że Sąd I instancji w przyjętym przez ten Sąd stanie faktycznym i prawnym sprawy dokonał ich wadliwego zestawienia. W ocenie Naczelnego Sądu Administracyjnego treść omawianych zarzutów niewłaściwego zastosowania prawa materialnego nie daje jednak podstaw do przyjęcia wypełnienia tego obowiązku przez stronę skarżącą kasacyjnie, co czyni omawiane zarzuty nieskutecznymi.

Jednak o nieskuteczności omawianych zarzutów świadczy zatem przede wszystkim ich treść, która ewidentnie wskazuje na to, że strona skarżąca kasacyjnie na ich podstawie kwestionuje ustalenia i oceny w zakresie stanu faktycznego sprawy upatrując wadliwości działania Sądu I instancji w błędnej jej zdaniem ocenie, że działania Partnera polegające na zapisaniu w pamięci aparatu telefonicznego danych pochodzących z karty SIM uczestnika postepowania, a następnie ich udostępnienie osobie trzeciej zostały podjęte w ramach realizacji umowy powierzenia zawartej pomiędzy Spółką a Partnerem, a w konsekwencji uznania za administratora w niniejszej sprawie Spółki, zaś Partnera za podmiot przetwarzający i w związku z powyższym skierowanie upomnienia wobec Spółki, zamiast wobec Partnera. Tego rodzaju oceny i ustalenia można natomiast kwestionować zarzutami naruszenia przepisów postępowania. Zgodnie z ugruntowanymi poglądami prezentowanymi w orzecznictwie Naczelnego Sądu Administracyjnego niedopuszczalne jest zastępowanie zarzutu naruszenia przepisów postępowania, zarzutem naruszenia prawa materialnego i za jego pomocą kwestionowanie ustaleń faktycznych.

Próba zwalczenia ustaleń faktycznych poczynionych przez sąd pierwszej instancji nie może nastąpić przez zarzut naruszenia prawa materialnego (zob. wyrok NSA z dnia 29 stycznia 2013 r., I OSK 2747/12, LEX nr 1269660; wyrok NSA z dnia 6 marca 2013 r., II GSK 2327/11, LEX nr 1340137). Ocena zarzutu naruszenia prawa materialnego może być dokonana wyłącznie na podstawie konkretnego stanu faktycznego, nie zaś na podstawie stanu faktycznego, który skarżący uznaje za prawidłowy (zob. wyrok NSA z dnia 6 marca 2013 r., II GSK 2328/11, LEX nr 1340138; wyrok NSA z dnia 14 lutego 2013 r., II GSK 2173/11, LEX nr 1358369). Jeżeli strona skarżąca kasacyjnie uważa, że ustalenia faktyczne są błędne, to zarzut naruszenia prawa materialnego poprzez błędne zastosowanie jest co najmniej przedwczesny, zaś zarzut naruszenia prawa przez błędną jego wykładnię – niezasadny. Zarzut naruszenia prawa materialnego nie może opierać się na wadliwym (kwestionowanym przez stronę) ustaleniu faktu (zob. wyrok NSA z dnia 13 marca 2013 r., II GSK 2391/11, LEX nr 1296051). Dlatego przede wszystkim z tego powodu omawiane zarzuty okazały się niezasadne.

Nie mógł także odnieść skutku trzeci z zarzutów naruszenia prawa materialnego, na podstawie którego strona skarżąca kasacyjnie zarzuca Sądowi I instancji dokonanie błędnej wykładni art. 28 ust. 10 RODO, polegającej w ocenie strony skarżącej kasacyjnie na uznaniu, że przepis ten nie odnosi się do przypadków przetwarzania danych osobowych wykraczających poza ustalony umownie katalog danych osobowych, które to dane procesor zaczął przetwarzać pomimo braku podstaw wynikających z umowy powierzenia (lub ewentualnego polecenia administratora), przy czym w wyniku tej nieprawidłowej wykładni Sąd I instancji w ocenie strony skarżącej kasacyjnie błędnie odmówił zastosowania powyższego przepisu.

W związku z konstrukcją powyższego zarzutu podkreślić należy, że podnosząc zarzut błędnej wykładni określonych przepisów prawa strona skarżąca kasacyjnie powinna wskazać, na czym polega błędne rozumienie tych przepisów i jaka, jej zdaniem, powinna być ich prawidłowa wykładnia. Tymczasem w niniejszej sprawie strona skarżąca kasacyjnie nie tylko nie wykazała na czym polega w jej ocenie błędne rozumienie art. 28 ust. 10 RODO przez Wojewódzki Sąd Administracyjny w Warszawie, ani też jaka powinna być jego prawidłowa wykładnia, lecz w ogóle nie odnosiła się do kwestii rozumienia tego przepisu przyjętego przez Sąd I instancji, ograniczając się wyłącznie do ponownej próby zakwestionowania oceny dokonanej przez organ i zaakceptowanej przez Wojewódzki Sąd Administracyjny w Warszawie, że podjęte przez Partnera czynności nie wykraczały poza ustalenia wynikające z umowy powierzenia zawartej pomiędzy Spółką a Partnerem. Tego rodzaju oceny i ustalenia, jak już wyjaśniono, można kwestionować wyłącznie zarzutami naruszenia przepisów postępowania.

Omawiany zarzut nie mógłby odnieść skutku także przy przyjęciu, że dotyczył on niezastosowania art. 28 ust. 10 RODO. W orzecznictwie Naczelnego Sądu Administracyjnego prezentowane jest bowiem stanowisko, zgodnie z którym nie jest dopuszczalne w świetle brzmienia art. 174 p.p.s.a. formułowanie zarzutu skargi kasacyjnej jako naruszenie przepisu prawa "poprzez jego niezastosowanie" czy "pominięcie" (por. wyrok NSA z dnia 3 grudnia 2008 r., I OSK 1807/07, LEX nr 525973; wyrok NSA z dnia 14 maja 2007 r., I OSK 1247/06, LEX nr 342527; wyrok NSA z dnia 28 marca 2007 r., I OSK 31/07, LEX nr 327781; postanowienie NSA z dnia 2 marca 2012 r., I OSK 294/12, LEX nr 1136684). Zgodnie jednak z dominującym poglądem wyrażanym w orzecznictwie sądowoadministracyjnym, w ramach pierwszej podstawy kasacyjnej możliwe jest również kwestionowanie niezastosowania określonego przepisu prawa, z tym jednak zastrzeżeniem, że jeżeli strona skarżąca kasacyjnie podnosi w skardze kasacyjnej, że Sąd rozpoznający sprawę zastosował nie ten przepis prawa materialnego, który powinien być zastosowany, to powinna wskazać przepis właściwy jako podstawę materialną rozstrzygnięcia i uzasadnić, dlaczego ten właśnie przepis powinien lec u podstaw kwestionowanego rozstrzygnięcia, tj. dlaczego powinien być zastosowany (por. wyrok NSA z dnia 14 kwietnia 2004 r., OSK 121/04, Lex 120212; wyrok NSA z dnia 19 grudnia 2005 r., II OSK 299/05, LEX nr 190971; wyrok NSA z dnia 15 marca 2011 r., II OSK 323/10, LEX nr 1080252).

Zarzut niewłaściwego zastosowania prawa materialnego w postaci pozytywnej, czyli zarzucenia zastosowania normy prawnej, która nie powinna być w danej sprawie zastosowana, a także w postaci negatywnej, czyli zarzucenia niezastosowania normy prawnej, która w ocenie wnoszącego skargę kasacyjną powinna być zastosowana, wymaga należytej precyzji w jego konstruowaniu w konkretnej sprawie (por. wyrok NSA z dnia 3 października 2013 r., II FSK 1020/12, LEX nr 1382183). Niezastosowany przez sąd w procesie kontroli przepis prawa materialnego może stanowić podstawę skargi kasacyjnej, jeżeli w konkretnym stanie faktycznym istniały podstawy do dokonania subsumcji (zob. B. Dauter: Prawo o postępowaniu przed sądami administracyjnymi. Komentarz do art. 174 Prawa o postępowaniu przed sądami administracyjnymi, teza 5, Lex 2013; wyrok NSA z dnia 16 marca 2011 r., II GSK 400/10, LEX nr 1080145), a sąd nie dostrzegając właściwej podstawy oparł swoje rozstrzygnięcie na podstawie niewłaściwej.

Należy zatem stwierdzić, że nie dyskwalifikowałoby omawianego zarzutu skargi kasacyjnej wskazanie przez stronę skarżącą kasacyjnie na niezastosowanie art. 28 ust. 10 RODO jedynie wtedy, gdyby strona skarżąca kasacyjnie jednocześnie przywołała przepis lub przepisy, które w jej przekonaniu zostały wadliwie zastosowane zamiast przepisu przez nią wskazywanego wraz z podaniem uzasadnienia tego stanowiska. Jednak wymogu tego skarga kasacyjna nie spełnia, co tym samym czyni podnoszony zarzut, rozumiany także jako zarzut niezastosowania art. 28 ust. 10 RODO, nieskutecznym.

Skoro podniesione w skardze kasacyjnej zarzuty okazały się nieskuteczne, Naczelny Sąd Administracyjny nie miał podstaw do jej uwzględnienia, co skutkowało oddaleniem skargi kasacyjnej w oparciu o art. 184 p.p.s.a.

O kosztach postępowania kasacyjnego rozstrzygnięto na podstawie art. 204 pkt 1 p.p.s.a.