Decyzja DS.523.1901.2022

Na podstawie art. 105 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2025 r. poz. 1691 t.j.) w zw. z art. 7 ust. 1 i 2 ustawy o ochronie danych osobowych z dnia 10 maja 2018 r. (Dz. U. z 2019 r. poz. 1781 t.j.), art. 14 ust. 1 lit. e, art. 14 ust. 2 lit. b, e, f oraz art. 58 ust. 2 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 4.05.2016, str. 1, Dz. Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35), zwanego dalej rozporządzeniem 2016/679,

po przeprowadzeniu postępowania administracyjnego w sprawie skargi Pana K. D., zam. w J. przy ul. (…), na nieprawidłowości w procesie przetwarzania jego danych osobowych przez H. (…) Sp. z o.o. z siedzibą w R. przy (…), polegające na niespełnieniu wobec niego obowiązku informacyjnego wynikającego z art. 14 ust. 1 lit. e oraz art. 14 ust. 2 lit. b, e, f rozporządzenia 201679/679, Prezes Urzędu Ochrony Danych Osobowych

odmawia uwzględnienia wniosku.

Uzasadnienie

Do Urzędu Ochrony Danych Osobowych wpłynęła skarga Pana K. D., zam. w J. przy ul. (…), zwanego dalej Skarżącym, na nieprawidłowości w procesie przetwarzania jego danych osobowych przez H. (…) Sp. z o.o. z siedzibą w R. przy (…), zwaną dalej Spółką, polegające na niespełnieniu wobec Skarżącego obowiązku informacyjnego wynikającego z art. 14 ust. 1 lit. e oraz art. 14 ust. 2 lit. b, e, f rozporządzenia 201679/679.

W toku przeprowadzonego postępowania wyjaśniającego w niniejszej sprawie Prezes Urzędu Ochrony Danych Osobowych (zwany dalej Prezesem UODO), ustalił następujący stan faktyczny:

1.

Skarżący oświadczył, że otrzymał informację od U. (…) S.A., że podmiot ten pozyskał jego dane osobowe od Spółki. Skarżący wskazał, że nie został wobec niego w pełni spełniony przez Spółkę obowiązek informacyjny z art. 14 rozporządzenia 2016/679. Skarżący wniósł do Prezesa UODO o nakazanie Spółce spełnienia wobec niego obowiązku informacyjnego w zakresie informacji: o odbiorcach danych osobowych lub o kategoriach odbiorców, jeżeli istnieją (art. 14 ust. 1 lit. e rozporządzenia 201679/679), o prawnie uzasadnione interesy realizowane przez administratora lub przez stronę trzecią (art. 14 ust. 2 lit. b rozporządzenia 201679/679), o prawie wniesienia skargi do organu nadzorczego (art. 14 ust. 2 lit. e rozporządzenia 201679/679) oraz o źródło pochodzenia danych osobowych, a gdy ma to zastosowanie – czy pochodzą one ze źródeł publicznie dostępnych (art. 14 ust. 2 lit. f rozporządzenia 201679/679) [dowód: skarga z dnia 16.03.2022 r.).

2.

Spółka oświadczyła, że pozyskała dane osobowe Skarżącego w zakresie imienia i nazwiska, adresu e-mail: (…), adresu siedziby i numerów rejestrowych oraz numeru telefonu: (…). Spółka wskazała, że dane te zostały przez Spółkę pozyskane cyt. „z publicznych rejestrów ogólnodostępnych, w tym z Centralnej Ewidencji i Informacji o Działalności Gospodarczej (CEIDG) oraz Bazy Internetowej REGON Głównego Urzędu Statystycznego (GUS)” [dowód: pismo Spółki z dnia 06.04.2022 r.].

3.

Spółka wyjaśniła, że pozyskała dane osobowe Skarżącego na podstawie art. 6 ust. 1 lit. f rozporządzenia 2016/679 – cyt. „Prawnie uzasadnione interesy Spółki polegają na oferowaniu klientom produktów H. (…). Przetwarzanie danych osobowych przedsiębiorców, w tym danych osobowych Skarżącego, jest natomiast niezbędne do tworzenia i dostarczania klientom takich produktów” (dowód: pismo Spółki z dnia 06.04.2022 r.).

4.

Spółka wskazała, że w dniu 31 marca 2022 roku dane osobowe Skarżącego zostały przez Spółkę usunięte z baz produktowych H. (…). Spółka zaznaczyła, że cyt.

„

Aktualnie H. (…) przetwarza więc dane osobowe Skarżącego wyłącznie w celu:

–

weryfikacji i deduplikacji danych osobowych (H. (…) aktualizuje bowiem swoje bazy danych w cyklach dziennych, miesięcznych i kwartalnych, co oznacza, że aby rzetelnie realizować prawa podmiotów danych osobowych, musi każdorazowo badać, czy dane osób, które zostały wykreślone z baz produktowych H. (…), nie zostaną ponownie do nich włączone, np. z CEIDG czy KRS),

–

jak również obrony roszczeń, w szczególności w związku ze złożoną przez Skarżącego skargą do Prezesa UODO. W odniesieniu do obu ww. celów dane osobowe będą przetwarzane przez okres niezbędny dla ich realizacji, a podstawą prawną przetwarzania jest art. 6 ust. 1 lit. f RODO. Zaznaczyć przy tym raz jeszcze należy, iż dane osobowe Skarżącego nie są już obecnie przetwarzane przez Spółkę w celu wykorzystywania ich w bazach produktowych H. (…)”

(dowód: pismo Spółki z dnia 06.04.2022 r.).

5.

Spółka oświadczyła, że wypełniła wobec Skarżącego obowiązek informacyjny, o którym mowa w art. 14 ust. 1 i 2 rozporządzenia 2016/679, poprzez przekazanie mu w dniu 28 grudnia 2020 roku - drogą mailową - stosownych informacji dotyczących przetwarzania przez Spółkę jego danych osobowych. Spółka dołączyła do swoich wyjaśnień wydruk z jej wewnętrznego systemu wykorzystywanego m. in. do monitorowania które podmioty danych zostały przez Spółkę poinformowane o przetwarzaniu ich danych osobowych i kiedy miało to miejsce. W przypadku Skarżącego adnotacja w systemie Spółki wskazuje (przede wszystkim w oparciu o widoczny numer NIP oraz status „spełniony”), iż informację dotyczącą przetwarzania danych osobowych otrzymał on w dniu 28.12.2020 roku (dowód: pismo Spółki z dnia 06.04.2022 r. oraz z 05.08.2025 r., wydruk z systemu Spółki)

6.

Spółka dołączyła do swoich wyjaśnień treść wiadomości e-mail przesłanej do Skarżącego w dniu 28.12.2020 roku. Wynika z niej, że Skarżonemu została przekazana klauzula informacyjna – w której zawarte zostały m.in., informacje, że cyt.:

–

„4. Prawnie uzasadnione interesy Spółki polegają na oferowaniu klientom produktów X., co mieści się w zakresie działalności gospodarczej Spółki. Ponadto przetwarzanie tych danych jest niezbędne do tworzenia i dostarczania klientom X. takich produktów. Klienci X. posiadają natomiast prawnie uzasadnione interesy w pozyskiwaniu informacji o przedsiębiorstwach, a także weryfikacji poprawności i wzbogacania posiadanych o nich danych z uwagi na zapewnienie sobie bezpieczeństwa obrotu gospodarczego. X. nie zapewnia podstaw prawnych do przetwarzania udostępnianych danych do celów marketingowych, o czym klienci są informowani. Nie wyklucza to jednak posiadania przez klientów Spółki ich własnych, niezależnych podstaw prawnych do stosowania marketingu bezpośredniego”.

–

„11. Odbiorcami Pani/Pana danych osobowych, udostępnianych w ramach produktów X., są klienci Spółki prowadzący działalność gospodarczą. Pani/Pana dane osobowe przetwarzane w bazach produktowych X. mogą być ponadto przekazywane innym spółkom z (…) X. w celu prowadzenia działalności gospodarczej (…) X.. Pani/Pana dane osobowe mogą być również przekazywane kontrahentom X., w tym podmiotom z (…) X., świadczącym usługi i w tym celu przetwarzającym dane osobowe w imieniu i na zlecenie X.. Mogą to być usługi związane z obsługą i wysyłką poczty tradycyjnej, obsługą IT, obsługą księgową czy doradczą. Powierzenie przetwarzania danych osobowych innym podmiotom odbywa się wówczas na podstawie umów zawartych zgodnie z wymogami RODO”.

–

„15. Ma Pani/Pan również prawo do wniesienia skargi do organu nadzorczego”.

–

„16. Pani/Pana dane osobowe zostały pozyskane głównie ze źródeł ogólnodostępnych, tj. m. in. z Rejestru Przedsiębiorców Krajowego Rejestru Sądowego (KRS), Centralnej Ewidencji i Informacji o Działalności Gospodarczej (CEIDG), Głównego Urzędy Statystycznego (GUS) lub ze stron internetowych przedsiębiorstw. Sporadycznie informacje o przedsiębiorstwach są przekazywane również przez inne przedsiębiorstwa” (wydruk wiadomości e-mail przedstawiającej realizację obowiązku informacyjnego z art. 14 ust. 1 i 2 rozporządzenia 2016/679 dołączona do pisma Spółki z dnia 06.04.2022 r.).

7.

Pismem z dnia 22.08.2025 r. Prezes UODO zwrócił się do Skarżącego o wskazanie, czy otrzymał od Spółki w dniu 28.12.2020 r. wiadomość e-mail, w której Spółka spełniła wobec niego obowiązek informacyjny z art. 14 ust. 1 i 2 rozporządzenia 2016/679. Pismo zostało doręczone w dniu 05.09.2025 r. i pozostało bez odpowiedzi (dowód: akta sprawy).

Po zapoznaniu się z całością zgromadzonego w sprawie materiału dowodowego, Prezes UODO zważył, co następuje.

Prezes UODO, wydając decyzję administracyjną, zobowiązany jest do rozstrzygania sprawy w oparciu o stan faktyczny istniejący w chwili wydania tej decyzji. Jak podnosi się w doktrynie „organ administracji publicznej ocenia stan faktyczny sprawy według chwili wydania decyzji administracyjnej. Reguła ta odnosi się także do oceny stanu prawnego sprawy, co oznacza, że organ administracji publicznej wydaje decyzję administracyjną na podstawie przepisów prawa obowiązujących w chwili jej wydania (…). Rozstrzyganie w postępowaniu administracyjnym polega na zastosowaniu obowiązującego prawa do ustalonego stanu faktycznego sprawy administracyjnej. W ten sposób organ administracji publicznej realizuje cel postępowania administracyjnego, jakim jest urzeczywistnienie obowiązującej normy prawnej w zakresie stosunków administracyjno-prawnych, gdy stosunki te tego wymagają” (Komentarz do ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego M. Jaśkowska, A. Wróbel, Lex., el/2012). Ponadto w wyroku z dnia 7 maja 2008 r. w sprawie o sygn. akt I OSK 761/07, Naczelny Sąd Administracyjny stwierdził, iż „badając […] legalność przetwarzania danych osobowych, GIODO ma obowiązek ustalenia, czy na datę wydawania rozstrzygnięcia w sprawie dane konkretnego podmiotu są przetwarzane oraz czy czynione to jest w sposób zgodny z prawem”.

Na wstępie wskazać należy, że uprawnienie do określenia żądania kierowanego do Prezesa UODO, czy też do doprecyzowania tego żądania, posiada tylko strona. Organ nie może wyręczać strony i decydować za nią w jakiej sprawie toczyć się będzie postępowanie zainicjowane jej wnioskiem. Powyższe znajduje potwierdzenie w obowiązującym orzecznictwie, jak bowiem orzekł Wojewódzki Sąd Administracyjny w Szczecinie w wyroku z dnia 16 listopada 2017 r. (sygn. II SA/Sz 1090/17) „(…) stosownie do art. 63 § 2 k.p.a. podanie powinno zawierać co najmniej wskazanie osoby, od której pochodzi, jej adres i żądanie oraz czynić zadość innym wymaganiom ustalonym w przepisach szczególnych. Określenie żądania jest więc wymaganym i istotnym elementem podania, wyznacza ono bowiem zakres sprawy. Podkreślenia przy tym wymaga, że określenie żądania jest obowiązkiem strony, która zwraca się do organu o podjęcie działania. W orzecznictwie sądów administracyjnych wskazuje się, że uprawnienie do określenia żądania, czy też jego doprecyzowania posiada tylko strona. Organ nie może wyręczyć strony i zdecydować za nią w jakiej sprawie toczyć się będzie postępowanie zainicjowane jej wnioskiem (…)”.

Ponadto organ administracyjny nie może wykraczać poza ramy żądania strony inicjującej swoim podaniem postępowanie. Jak wskazał Naczelny Sąd Administracyjny w wyroku z dnia 23 marca 2021 r., w sprawie o sygn. akt I OSK 3990/18 (cyt.) „organ, do którego wpływa pismo, związany jest treścią wniosku zawartego w piśmie, zgodnie z art. 63 § 2 k.p.a., zwłaszcza jeżeli treść sformułowanego żądania nie budzi wątpliwości (…). Na podstawie bowiem treści żądania organ musi określić czy jest właściwy w sprawie oraz ustalić treść przepisów znajdujących zastosowanie w sprawie i im podporządkować sposób prowadzenia stosownego postępowania. Oznacza to, że organ otrzymujący żądanie nie ma możliwości modyfikacji jego treści w drodze interpretacji zamiaru strony”.

Przedmiotem niniejszego postępowania Skarżący uczynił niespełnienie wobec niego obowiązku informacyjnego wynikającego z art. 14 ust. 1 lit. e oraz art. 14 ust. 2 lit. b, e, f rozporządzenia 201679/679.

Zgodnie z art. 14 rozporządzenia 2016/679, jeżeli danych osobowych nie pozyskano od osoby, której dane dotyczą, administrator podaje osobie, której dane dotyczą, m.in.: e) informacje o odbiorcach danych osobowych lub o kategoriach odbiorców, jeżeli istnieją. Poza informacjami, o których mowa w ust. 1, administrator podaje osobie, której dane dotyczą, m.in. następujące informacje niezbędne do zapewnienia rzetelności i przejrzystości przetwarzania wobec osoby, której dane dotyczą: b) jeżeli przetwarzanie odbywa się na podstawie art. 6 ust. 1 lit. f) – prawnie uzasadnione interesy realizowane przez administratora lub przez stronę trzecią; e) informacje o prawie wniesienia skargi do organu nadzorczego; f) źródło pochodzenia danych osobowych, a gdy ma to zastosowanie – czy pochodzą one ze źródeł publicznie dostępnych.

Zgromadzony materiał dowodowy wykazał, że Spółka pozyskała dane osobowe Skarżącego z innego źródła niż od niego. Z uwagi na powyższe, zobowiązana była do przekazania Skarżącemu informacji, o których mowa w art. 14 ust. 1 i 2 rozporządzenia 2016/679.

W toku postępowania Spółka oświadczyła, że wypełniła wobec Skarżącego obowiązek informacyjny, o którym mowa w art. 14 ust. 1 i 2 rozporządzenia 2016/679, poprzez przekazanie mu w dniu 28 grudnia 2020 roku - drogą mailową – informacji, o których mowa w ww. przepisie. Spółka dołączyła do swoich wyjaśnień wydruk z jej wewnętrznego systemu wykorzystywanego m. in. do monitorowania, które podmioty danych zostały przez Spółkę poinformowane o przetwarzaniu ich danych osobowych i kiedy miało to miejsce. W przypadku Skarżącego adnotacja w systemie Spółki wskazuje (przede wszystkim w oparciu o widoczny numer NIP oraz status „spełniony”), iż informację dotyczącą przetwarzania danych osobowych otrzymał on w dniu 28.12.2020 roku.

Wspomniana informacja o przetwarzaniu danych osobowych przesłana do Skarżącego pocztą elektroniczną w dniu 28.12.2020 r. zawierała klauzulę, w której zawarte zostały informacje, o których mowa w art. 14 ust. 1 i 2. Z wydruku przesłanej do Skarżącego ww. wiadomości e-mail z dnia 28.12.2020 r. wynika, że zostały mu przekazane w kwestionowanym przez niego zakresie (6 pkt stanu faktycznego)

W ocenie Prezesa UODO, przedstawienie powyższych informacji zawartych w treści klauzuli informacyjnej Spółki – stanowi prawidłową realizację obowiązku informacyjnego wynikającego z art. 14 ust. 1 lit. e oraz art. 14 ust. 2 lit. b, e, f rozporządzenia 201679/679

Zauważyć należy, że ww. stanowisko Spółki zawarte w jej wyjaśnieniach stoi w sprzeczności z oświadczeniem Skarżącego, który w swojej skardze wskazał, że nie został wobec niego spełniony obowiązek informacyjny wynikający z art. 14 ust. 1 lit. e oraz art. 14 ust. 2 lit. b, e, f rozporządzenia 201679/679.

Prezes UODO, w celu zweryfikowania wyjaśnień Spółki, pismami z dnia 31.07.2025 r. oraz 25.08.2025 r. zwrócił się do Skarżącego o potwierdzenie, czy otrzymał od Spółki wiadomość e-mail z dnia 28.12.2020 r. Obydwa pisma zostały doręczone Skarżącemu i pozostały bez odpowiedzi. Tym samym Skarżący – mimo zapewnienia mu takiej możliwości – nie ustosunkował się do twierdzeń Spółki w ww. zakresie.

Zgodnie z art. 80 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2025 r. poz. 1691 t.j.), zwanej dalej Kpa, organ administracji publicznej ocenia na podstawie całokształtu materiału dowodowego, czy dana okoliczność została udowodniona. Organ administracji publicznej może uznać stan faktyczny rozpatrywanej sprawy za ustalony jedynie na podstawie niebudzących wątpliwości dowodów i nie może poprzestać w tym zakresie na uprawdopodobnieniu. Jak stwierdził Naczelny Sąd Administracyjny w wyroku z dnia 9 lipca 1999 r. (sygn. akt III SA 5417/98), cyt. „(…). Przepis ten wyraża równocześnie zasadę prawdy obiektywnej jak też zasadę swobodnej oceny dowodów. Organ prowadzący postępowanie musi dążyć do ustalenia prawdy materialnej i według swej wiedzy, doświadczenia oraz wewnętrznego przekonania ocenić wartość dowodową poszczególnych środków dowodowych, wpływ udowodnienia jednej okoliczności na inne okoliczności”. W tym samym wyroku Sąd orzekł także, że w postępowaniu administracyjnym obowiązuje również zasada, że ciężar dowodu spoczywa na tym, kto z określonego faktu wyprowadza skutki prawne. Zgodnie z art. 81 Kpa, okoliczność faktyczna może być uznana za udowodnioną, jeżeli strona miała możność wypowiedzenia się co do przeprowadzonych dowodów.

Zgodnie z kolei z art. 77 § 1 Kpa organ administracji publicznej jest obowiązany w sposób wyczerpujący zebrać i rozpatrzyć cały materiał dowodowy. Prezes UODO podziela w tym względzie stanowisko Naczelnego Sądu Administracyjnego wyrażonego w wyroku z dnia 26 października 1984 r. (sygn. II SA 1205/84, ONSA 1984, Nr 2, poz. 98) orzekł: „Z art. 7 i 77 § 1 Kpa wynika, że obowiązek wyczerpującego zbadania i rozpatrzenia całego materiału dowodowego ciąży na organie prowadzącym postępowanie administracyjne. Nie znaczy to, że strona jest zwolniona od współudziału w realizacji tego obowiązku, zwłaszcza że nieudowodnienie określonej okoliczności faktycznej może prowadzić do rezultatów niekorzystnych dla strony”. Po wyczerpaniu możliwości dokonania niezbędnych dla podjęcia rozstrzygnięcia ustaleń faktycznych organ prowadzący postępowanie jest uprawniony, a nawet zobowiązany do przyjęcia takiej wersji zdarzeń, która odpowiada logicznie pozostałemu materiałowi dowodowemu. Warto również przytoczyć stanowisko Naczelnego Sądu Administracyjnego wyrażonego w wyroku z dnia z dnia 29 września 2020 r. w sprawie o sygnaturze II OSK 1452/20 (LEX nr 3075574) (cyt.) „Zebranie pełnego materiału dowodowego jest niewątpliwie obowiązkiem organu, ale obowiązek ten nie ma charakteru absolutnego w tym znaczeniu, że organ nie jest zobowiązany do poszukiwania, niejako w zastępstwie strony, dowodów mających potwierdzić korzystne dla tej strony okoliczności”.

Mając powyższe na uwadze, wskazać należy, że zarzuty Skarżącego dotyczące niespełnienia przez Spółkę obowiązku informacyjnego wynikającego z art. 14 ust. 1 lit. e oraz art. 14 ust. 2 lit. b, e, f rozporządzenia 201679/679 – nie znalazły potwierdzenia w zgromadzonym materiale dowodowym. Z wyjaśnień złożonych przez Spółkę oraz przedłożonych przez nią dowodów wynika bowiem, że Spółka w dniu 28.12.2020 r. przesłała do Skarżącego klauzulę informacyjną z informacjami, o których mowa w art. 14 ust. 1 i 2 rozporządzenia 2016/679. W związku z powyższym, Prezes UODO ocenił, że Spółka prawidłowo zrealizowała względem Skarżącego obowiązek informacyjny z art. 14 ust. 1 lit. e oraz art. 14 ust. 2 lit. b, e, f rozporządzenia 201679/679.

Ocena dokonywana przez Prezesa UODO w każdym przypadku służy zbadaniu zasadności skierowania pod adresem określonego podmiotu rozstrzygnięcia odpowiadającego dyspozycji art. 58 ust. 2 rozporządzenia 2016/679 służącego zastosowaniu określonych w tym przepisie uprawnień naprawczych, o ile do nieprawidłowości w procesie przetwarzania danych osobowych doszło. W odniesieniu zaś do okoliczności sprawy niniejsze postępowanie wykazało, że – wbrew twierdzeniom Skarżącego – Spółka prawidłowo wypełniła wobec niego obowiązek informacyjny, o którym mowa w art. 14 ust. 1 lit. e oraz art. 14 ust. 2 lit. b, e, f rozporządzenia 201679/679. Tym samym Prezes UODO odmówił uwzględnienia wniosku Skarżącego w zakresie niedopełnienia wobec niego obowiązku informacyjnego z art. 14 ust. 1 lit. e oraz art. 14 ust. 2 lit. b, e, f rozporządzenia 201679/679.

W tym stanie faktycznym i prawnym Prezes UODO rozstrzygnął, jak na wstępie.