Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Sławomir Fularski (spr.), Sędzia WSA Izabela Głowacka-Klimas, Asesor WSA Arkadiusz Koziarski, Protokolant specjalista Marcin Kwiatkowski, po rozpoznaniu na rozprawie w dniu 21 listopada 2024 r. sprawy ze skargi […] Sp. z o. o. z siedzibą w […] na punkt 1 decyzji Prezesa Urzędu Ochrony Danych Osobowych z dnia […] listopada 2023 r. nr […] w przedmiocie przetwarzania danych osobowych

1. uchyla punkt 1 zaskarżonej decyzji;

2. zasądza od Prezesa Urzędu Ochrony Danych Osobowych na rzecz […] Sp. z o. o. z siedzibą w […] kwotę 697 zł (sześćset dziewięćdziesiąt siedem złotych) tytułem zwrotu kosztów postępowania.

Decyzją z […] listopada 2024 r. nr […] Prezes Urzędu Ochrony Danych Osobowych (dalej: “Prezes UODO” lub “organ”) działając na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2023 r. poz. 775, ze zm., dalej jako “k.p.a.”) w zw. z art. 7 ust. 1 ustawy o ochronie danych osobowych z dnia 10 maja 2018 r. (Dz. U. z 2019 r. poz. 1781, t.j., zwanej dalej “u.o.d.o.2018”) oraz art. 6 ust. 1 lit. f w zw. z art. 16, art. 12 ust. 1 i art. 58 ust. 2 lit. b Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 4 maja 2016 r., str. 1, Dz. Urz. UE L 127 z 23 maja 2018 r., str. 2 oraz Dz. Urz. UE L 74 z dnia 4 marca 2021 r., str. 35, zwanego dalej “rozporządzeniem 2016/679” lub “RODO”), po przeprowadzeniu postępowania administracyjnego w sprawie skargi W. Z. (dalej też jako “wnioskodawca” lub “uczestnik postępowania”), na nieprawidłowości w procesie przetwarzania jego danych osobowych przez […] z siedzibą w […] (dalej jako “skarżąca” lub “Spółka”), polegające na odmowie sprostowania danych osobowych uczestnika postępowania:

1) upomniał skarżącą za nieprzejrzystą komunikację w zakresie praw przysługujących na mocy art. 15-22, zgodnie z dyspozycją art. 12 ust. 1 rozporządzenia 2016/679, w związku z nieprawdziwymi informacjami zawartymi w Regulaminie Systemu […] dot. możliwości ciągłego dostępu do danych osobowych i możliwości ich bieżącego przeglądania, uaktualniania oraz poprawiania, przy jednoczesnej odmowie sprostowania danych osobowych wnioskodawcy (numeru rejestracyjnego pojazdu z “[…] na “[…]);

2) w pozostałym zakresie odmówił uwzględnienia wniosku.

Do wydania ww. decyzji doszło w następującym stanie faktycznym sprawy:

Uczestnik postępowania korzystał z usługi Spółki […], będącej elementem Systemu […], świadczonej w jego przypadku, za pośrednictwem aplikacji […], za pomocą której opłacał bilety parkingowe. W ramach korzystania z aplikacji wnioskodawca wprowadził do usługi […] swoje imię, nazwisko, adres oraz numer rejestracyjny. Za pomocą usługi wykupił dziesięć biletów parkingowych, w którym wskazał numer rejestracyjny pojazdu “[…]”. Pierwszy z biletów został wykupiony […] września 2022 r. natomiast ostatni z nich został wykupiony […] stycznia 2023 r.

Uczestnik postępowania w dniu […] lutego 2023 r., a więc prawie miesiąc po zrealizowaniu ostatniego z biletów, zwrócił się do Spółki o zmianę numeru rejestracyjnego na ww. dziesięciu biletach parkingowych z “[…]” na “[…]”.

Spółka w dniu […] lutego 2023 r. odpowiedziała na ww. wniosek wskazując, że brak jest możliwości zmiany numeru rejestracyjnego pojazdów w odniesieniu do biletów parkingowych, które zostały już wykorzystane. Dodatkowo wskazała, że wnioskodawca został poinformowany o możliwości każdorazowej modyfikacji numeru rejestracyjnego parkującego samochodu w odniesieniu do biletów parkingowych kupowanych w przyszłości. Spółka powołała się na treść Regulaminu Systemu […] w zakresie obowiązku użytkownika co do upewnienia się, że wnosi opłatę dla prawidłowej strefy oraz numeru rejestracyjnego. Wskazała również, że numer rejestracyjny nie jest – jej zdaniem – daną osobową. Wyjaśniła, że każdorazowo po zakończeniu parkowania, środki wpłacone przez użytkownika są własnością Zarządcy Strefy Płatnego Parkowania i Spółka nie ma możliwości wykonywania żadnych manipulacji przy przekazanych biletach parkingowych. Możliwość zmiany danych na biletach wstecz byłaby oczywistą manipulacją w danych, które przekazywane są do operatorów Stref Płatnego Parkowania oraz zaprzeczeniem sensu procesu kontroli wniesionych opłat, narzuconego przez operatorów stref. Zakupując bilet w Strefie Płatnego Parkowania, przed rozpoczęciem użytkownik zna zaś wszystkie szczegóły tego biletu i ma możliwość samodzielnej zmiany numeru rejestracyjnego/strefy/czasu postoju.

W dniu […] lutego 2023 r. do organu wpłynęła skarga W.Z., na nieprawidłowości w procesie przetwarzania jego danych osobowych przez Spółkę polegające na odmowie sprostowania danych osobowych wnioskodawcy. Uczestnik postępowania wskazał, że na wskazanych biletach parkingowych wprowadził numer rejestracyjny z błędem, zamiast […] wprowadził […]. Każdy z tych biletów jest przypisany do numeru transakcji, numeru karty kredytowej, imienia, nazwiska, adresu oraz numeru rejestracyjnego. Na podstawie numeru rejestracyjnego identyfikowana jest transakcja, która pozwala jednoznacznie określić dane osobowe wnioskodawcy. Wskazał, że poprosił Spółkę o możliwość skorzystania z prawa do sprostowania i o zmianę numeru rejestracyjnego w danych przechowywanych i zarządzanych przez […]. Spotkało się to jednak z odmową. Wnioskodawca wskazał nadto, że Regulamin Systemu […] nie wskazuje kiedy dane osobowe należy zweryfikować oraz, że brak jest w nim informacji, że po określonym czasie nie ma możliwości korekty danych. Powyższe narusza zaś prawo wnioskodawcy do możliwości sprostowania danych i naraża go na karę administracyjną. Zaznaczył przy tym, że jedna kara została już nałożona.

W toku postępowania przed organem Spółka oświadczyła, że otrzymała od wnioskodawcy przelew na konto bankowe w związku z płatnością za ww. bilety. Wyjaśniła, że przetwarza dane osobowe wnioskodawcy w zakresie danych występujących w ww. przelewie: imię, nazwisko, adres oraz numer rachunku bankowego wraz ze wskazaniem tytułu przelewu umożliwiającego połączenie płatności z daną transakcją w systemie […]. Spółka przetwarza dane osobowe wnioskodawcy w celu zawarcia i realizacji umowy – podstawa prawna art. 6 ust. 1 lit. b rozporządzenia 2016/679. Dodatkowo przetwarza dane wnioskodawcy w celach archiwalnych (dowodowych), będących realizacją prawnie uzasadnionego interesu zabezpieczenia informacji na wypadek prawnej potrzeby wykazania faktów oraz w celu badania satysfakcji klientów będącego realizacją prawnie uzasadnionego interesu określania jakości obsługi oraz poziomu zadowolenia klientów Spółki z produktów i usług – podstawa prawna art. 6 ust. 1 lit. f rozporządzenia 2016/679.

Spółka wskazała, że wniosek uczestnika postępowania dotyczył skorygowania numerów rejestracyjnych za okres wsteczny co stanowi w istocie działanie wnioskodawcy in fraudem legis. Akceptacja możliwości korygowania numerów rejestracyjnych wstecznie (niezależnie od ww. argumentacji dotyczącej faktu, że numer rejestracyjny nie stanowi danych osobowych) powodowałaby faktyczną niemożliwość kontroli biletów w strefach płatnego parkowania. Oznaczałoby to bowiem, że każdy może dowolnie zmienić numer rejestracyjny w okresie parkowania, pozwalając uniknąć kary innemu właścicielowi samochodu, który nie opłacił parkowania w danym okresie – tym bardziej, że każdy użytkownik samodzielnie wpisuje numer rejestracyjny. Administrator natomiast nie ma prawnej możliwości weryfikacji prawdziwości danego numeru rejestracyjnego w odniesieniu do danej osoby w celu realizacji wniosków RODO (w tym art. 16 rozporządzenia 2016/679). Nadto – użytkownik nie musi opłacać parkowania za własny pojazd – może opłacać parkowanie za dowolny inny pojazd (nawet należący do osoby trzeciej niepowiązanej z użytkownikiem – np. osoby obcej parkującej obok, która akurat nie ma środków na zapłacenie parkingu), stąd też brak jest jakiegokolwiek związku między dokonującym opłaty (w tym przypadku: wnioskodawcą) a numerem rejestracyjnym za który opłacono parkowanie.

W uzasadnieniu wskazanej na wstępie decyzji, organ po przedstawieniu w pierwszej kolejności stanu faktycznego sprawy, wskazał, że zarzutem niniejszego postępowania jest odmowa sprostowania danych osobowych wnioskodawcy (numeru rejestracyjnego pojazdu). Wnioskodawca podnosi dodatkowo, że odmowa sprostowania danych powoduje konsekwencje w postaci możliwości nałożenia administracyjnych kar, z czego – jak wskazuje – jedna taka kara została już nałożona.

Prezes UODO wyjaśnił, że zgodnie z definicją zawartą w art. 4 pkt 1 rozporządzenia 2016/679 dane osobowe oznaczają wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej (osobie, której dane dotyczą). Możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora takiego jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej.

Organ zauważył, że Spółka w toku niniejszego postępowania podkreślała, powołując się na orzecznictwo sądów administracyjnych, że numer rejestracyjny pojazdu stanowi przede wszystkim identyfikator pojazdu i że identyfikuje on rzecz, a nie osobę fizyczną. Jednak na gruncie Wytycznych Grupy Roboczej art. 29 (powołanej na mocy art. 29 dyrektywy 95/46/WE) i Wytycznych EROD (Europejskiej Rady Ochrony Danych) 01/2020 dotyczących przetwarzania danych osobowych w kontekście pojazdów podłączonych do internetu i aplikacji związanych z mobilnością (Wersja 2.0 przyjęta 9 marca 2021 r.), z których jednoznacznie wynika, że tablice rejestracyjne stanowią dane identyfikujące kierowcę, polski organ nadzorczy niezmiennie stoi na stanowisku, że numery rejestracyjne pojazdu stanowią dane osobowe. Numery rejestracyjne, którymi właściciele dysponują przez cały czas posiadania pojazdu, mogą pozwolić na identyfikację konkretnych osób nie tylko odpowiednim organom, ale również osobom fizycznym, np. sąsiadom, znajomym, współpracownikom – są oni w stanie powiązać numer rejestracyjny pojazdu z konkretną osobą. Inne osoby na podstawie numeru rejestracyjnego pojazdu mogą zidentyfikować właściciela pojazdu składając odpowiednio uzasadniony wniosek do właściwych ewidencji. Organ stoi więc na stanowisku, że numer rejestracyjny pojazdu – może prowadzić do identyfikacji osoby.

Numery rejestracyjne pojazdów to dane osobowe, które można porównać do IP komputerów czy numerów PESEL. Numery rejestracyjne pojazdów to dane osobowe, które w art. 4 pkt 1 rozporządzenia 2016/679 zbiorczo wskazane są jako “numery identyfikacyjne”. Pomimo, że większość osób nie jest w stanie sprawdzić do kogo numer rejestracyjny pojazdu jest konkretnie przypisany – to już sama możliwość powiązania go z konkretną osobą przesądza o zakwalifikowaniu go jako danych osobowych. Wnioskodawca załączył do akt sprawy potwierdzenie transakcji za jeden z zakupionych przez niego biletów parkingowych. W przelewie tym, poza tytułem przelewu, widniało również szereg innych informacji takich jak imię i nazwisko nadawcy przelewu czy numer rachunku bankowego. Spółka w swoich wyjaśnieniach wskazała zaś, że tytuł przelewu pozwala na połączenie płatności z daną transakcją w systemie […]. Całokształt tych okoliczności pozwala na stwierdzenie, że informacja o numerze rejestracyjnym zawarta w tytule przelewu pozwala na przypisanie jej do konkretnej osoby, w tym przypadku wnioskodawcy.

Prezes UODO wskazał, że zgodnie z art. 16 rozporządzenia 2016/679 osoba, której dane dotyczą ma prawo żądania od administratora niezwłocznego sprostowania dotyczących jej danych osobowych, które są nieprawidłowe. Z uwzględnieniem celów przetwarzania, osoba, której dane dotyczą ma prawo żądania uzupełnienia niekompletnych danych osobowych, w tym poprzez przedstawienie dodatkowego oświadczenia. Dane nieprawidłowe to takie dane, które nie odpowiadają rzeczywistemu stanowi rzeczy, są nieprawdziwe. W przedmiotowej sprawie Spółka pozyskała dane osobowe wnioskodawcy w związku z tym, że ten dokonał opłaty za zakupione bilety. Proces przetwarzania danych osobowych wnioskodawcy miał zatem oparcie w przesłance wynikającej z art. 6 ust. 1 lit. b rozporządzenia 2016/679, czyli w związku z wykonaniem umowy, której wnioskodawca był stroną.

Organ wyjaśnił, że prawo do sprostowania danych osobowych ma na celu umożliwienie kontroli prawidłowości danych dotyczących osoby, której dane dotyczą. Może być ono uzasadnione okolicznościami faktycznymi (np. błędem) lub prawnymi. Przykładowo prawo do sprostowania przysługuje w sytuacji, gdy następuje zmiana nazwiska lub imienia osoby, której dane dotyczą w wyniku urzędowej zmiany tych danych, lub w sytuacji, gdy doszło do omyłki pisarskiej (niezależnie od tego, czy pomyłka wynika z działania podmiotu danych czy administratora). Odrębnie należy jednak ocenić kwestię odmowy sprostowania danych osobowych wnioskodawcy. Żądanie to odnosiło się do sprostowania danych za okres “wstecz”. Spółka wskazała, że dane wprowadzone do Systemu […] przekazywane są następnie do Operatorów Stref Płatnego Parkowania i w związku z tym Spółka nie ma już technicznej i prawnej możliwości zrealizowania takiego żądania.

Prezes UODO podkreślił przy tym okoliczność, że wnioskodawca ograniczył swoją skargę do żądania sprostowania danych osobowych biletów zakupionych jedynie w okresie: wrzesień 2022 r. – styczeń 2023 r. Wnioskodawca nie wnosił o generalne sprostowanie danych występujących w Systemie […]. Zawarł ze Spółką umowę i ją zrealizował. Umowa dotyczyła pojazdu o nr rejestracyjnym […], nawet jeżeli wnioskodawca pomylił się, co do jednej z liter tablicy rejestracyjnej. Wnioskodawca sam określił przedmiot umowy wskazując numer rejestracyjny pojazdu. Umowa, która została prawidłowo zawarta, nie może zostać na podstawie decyzji jednej ze stron rozwiązana ani zmieniona.

Organ wskazał, że wnioskodawca był świadomy tego, że rejestracja w Systemie […] była jednoznaczna z akceptacją treści Regulaminu Systemu […]. W Regulaminie tym była informacja o tym, że przyjmuje on do wiadomości, że do realizacji umowy konieczne jest podanie poprawnych i aktualnych danych osobowych wykorzystywanych podczas korzystania z Systemu […]. Kolejną informacją którą zaakceptował wnioskodawca było to, że wybór miasta, strefy, parkingu i maksymalnego naliczania oraz numeru rejestracyjnego pojazdu, następuje za pośrednictwem aplikacji i wymaga weryfikacji szczegółów danego postoju przez użytkownika. Wnioskodawca otrzymał na swoje urządzenie potwierdzenie zawierające wszystkie informacje dotyczące miasta, strefy, czasu ważności, itp. Wnioskodawca zaakceptował również to, że w związku z korzystaniem z Systemu […] zobowiązany jest do każdorazowego oznakowania swojego pojazdu, umieszczając za przednią szybą w widocznym miejscu “winietę […]”. Okoliczność, że wnioskodawca w wyniku odmowy sprostowania danych osobowych narażony jest na nałożenie administracyjnych kar pieniężnych, należy uznać za jedynie konsekwencję niezachowania należytej staranności, do której był zobowiązany na podstawie Regulaminu Systemu […]. Prezes UODO nie może zaś nakazać sprostowania danych osobowych wnioskodawcy, więc w tym zakresie należało odmówić uwzględnienia jego wniosku.

W ocenie organu, Spółka dopuściła się jednak innej nieprawidłowości. Mianowicie treść art. 12 ust. 1 rozporządzenia 2016/679 stanowi, że administrator obowiązany jest podejmować odpowiednie środki, aby w zwięzłej, przejrzystej, zrozumiałej i łatwo dostępnej formie, jasnym i prostym językiem – w szczególności gdy informacje kierowane są do dziecka – udzielić osobie, której dane dotyczą wszelkich informacji, o których mowa w art. 13 i 14 rozporządzenia 2016/679, oraz prowadzić z nią wszelką komunikację na mocy art. 15 – 22 i 34 w sprawie przetwarzania. Informacji udziela się na piśmie lub w inny sposób, w tym w stosownych przypadkach – elektronicznie. Jeżeli osoba, której dane dotyczą tego zażąda, informacji można udzielić ustnie, o ile innymi sposobami potwierdzi się tożsamość osoby, której dane dotyczą. Ponadto administrator bez zbędnej zwłoki – a w każdym razie w terminie miesiąca od otrzymania żądania – udziela osobie, której dane dotyczą informacji o działaniach podjętych w związku z żądaniem na podstawie art. 15-22.

Prezes UODO zauważył, że wnioskodawca złożył żądanie sprostowania danych osobowych, zaś Spółka udzieliła odpowiedzi na powyższe żądanie bez zbędnej zwłoki, bowiem miało to miejsce już kolejnego dnia od otrzymania żądania. Materiał dowodowy wykazuje jednak, że Spółka naruszyła art. 12 ust. 1 rozporządzenia 2016/67. Należy bowiem zauważyć, że § 9 ust. 6 Regulaminu Systemu […] informuje o tym, że “Użytkownik ma ciągły dostęp do swoich danych osobowych poprzez strony internetowe Systemu […]. Logując się do Portalu Użytkownika, może on na bieżąco przeglądać, uaktualniać oraz poprawiać swoje dane osobowe”, co okazało się nieprawdziwe, gdyż Spółka w odpowiedzi na wniosek uczestnika postępowania poinformowała go, że nie jest możliwe sprostowanie danych wstecz. Spółka zwracała uwagę, że wnioskodawca zaakceptował Regulamin Systemu […], w którym został m.in. poinformowany o obowiązku weryfikacji szczegółów danego postoju i o tym, że to na nim ciąży obowiązek upewnienia się, że wnosi opłatę dla prawidłowej strefy, czy dla prawidłowego numeru rejestracyjnego (§ 6 ust. 1 Regulaminu Systemu […]). Natomiast § 9 ust. 6 Regulaminu Systemu […] został przez Spółkę pominięty. Sytuacja jaka miała miejsce w niniejszej sprawie wykazuje, że wnioskodawca nie miał ciągłego dostępu do danych osobowych i nie mógł na bieżąco ich poprawiać. Spółka była zaś zobowiązana na podstawie art. 12 rozporządzenia 2016/679 do prowadzenia przejrzystej, jasnej konwersacji z uczestnikiem postępowania w zakresie praw przysługujących mu na mocy art. 15-22.

Reasumując, zdaniem organu, stwierdzone w tej sprawie nieprawidłowości powodują, że uzasadnionym jest, stosownie do art. 58 ust. 2 lit. b rozporządzenia 2016/679, zgodnie, z którym każdemu organowi nadzorczemu przysługuje w zakresie prowadzonych postępowań uprawnienie do udzielania upomnienia administratorowi lub podmiotowi przetwarzającemu w przypadku naruszenia przepisów niniejszego rozporządzenia przez operację przetwarzania, udzielenie Spółce upomnienia za naruszenie art. 12 ust. 1 rozporządzenia 2016/679 polegające na za nieprzejrzystą komunikację w zakresie praw przysługujących na mocy art. 15 – 22, zgodnie z dyspozycją art. 12 ust. 1 rozporządzenia 2016/679, w związku z nieprawdziwymi informacjami zawartymi w Regulaminie Systemu […] dotyczącymi możliwości ciągłego dostępu do danych osobowych i możliwości ich bieżącego przeglądania, uaktualniania oraz poprawiania, przy jednoczesnej odmowie sprostowania danych osobowych wnioskodawcy (numeru rejestracyjnego pojazdu z “[…] na “[…]).

Pismem z […] grudnia 2023 r. Spółka zaskarżyła w części decyzję Prezesa UODO, w zakresie jej pkt 1, tj. upomnienia za nieprzejrzystą komunikację w zakresie praw przysługujących na mocy art. 15 – 22 RODO, zgodnie z dyspozycją art. 12 ust. 1 RODO w związku z nieprawdziwymi informacjami zawartymi w Regulaminie Systemu […] dot. możliwości ciągłego dostępu do danych osobowych i możliwości ich bieżącego przeglądania, uaktualniania oraz poprawiania, przy jednoczesnej odmowie sprostowania danych osobowych wnioskodawcy (numeru rejestracyjnego pojazdu z “[…]” na “[…]”). Zaskarżonej decyzji zarzuciła:

1. naruszenie przepisów prawa procesowego, które miało istotny wpływ na wynik sprawy, tj. art. 156 § 1 pkt 2 w zw. z art. 63 § 2 oraz art. 61 § 1 k.p.a., poprzez wykroczenie przez organ poza przedmiot postępowania określony przez wnioskodawcę, w piśmie inicjującym postępowanie w sprawie przed organem, co skutkuje nieważnością decyzji w zakresie jej pkt 1;

a w przypadku jego nieuwzględnienia

2. naruszenie przepisów prawa procesowego, które miało istotny wpływ na wynik sprawy, tj. art. 7, 77 §1, art. 80 k.p.a. poprzez brak poczynienia wyczerpujących ustaleń faktycznych co do komunikacji Spółki w zakresie praw przysługujących uczestnikowi postępowania na mocy art. 15, art. 17 – 22 RODO, a pomimo tego stwierdzenie, że Spółka naruszyła art. 12 ust. 1 RODO, informując o realizacji tych praw w sposób nieprzejrzysty, podczas gdy Spółka prowadzi komunikację w sposób przejrzysty i zrozumiały dla podmiotów danych w zakresie realizacji ich praw opisanych w art. 15 – 22 RODO, co miało wpływ na wynik sprawy i w aktach sprawy brak jest dowodów wskazujących przeciwnie,

3. naruszenie przepisów prawa procesowego, które miało istotny wpływ na wynik sprawy, tj. art. 7, art. 11 in principio, art. 107 § 3 k.p.a. poprzez brak związku logicznego pomiędzy okolicznościami, na które powołał się organ w pkt 1 decyzji, a wnioskiem jaki Prezes UODO z nich wywiódł stwierdzając naruszenie przez Spółkę art. 12 ust. 1 RODO, przy jednoczesnym zaniechaniu przedstawienia uzasadnienia faktycznego i prawnego, które mogłoby stanowić podstawę do stwierdzenia naruszenia art. 12 ust. 1 RODO, co miało wpływ na wynik sprawy, ponieważ organ rozstrzygnął w oparciu o okoliczności, które nie wskazywał i nie mogły wskazywać na naruszenie przez Spółkę ww. przepisu,

4. naruszenie przepisów prawa materialnego, które miało wpływ na wynik sprawy, tj. art. 58 ust. 2 lit. b RODO w zw. z art. 12 ust. 1 RODO poprzez błędne uznanie, że Spółka naruszyła art. 12 ust. 1 RODO przez nieprzejrzystą komunikację w związku z nieprawdziwymi informacjami zawartymi w Regulaminie Systemu […] dot. możliwości ciągłego dostępu do danych osobowych i możliwości ich bieżącego przeglądania, uaktualniania oraz poprawiania, przy jednoczesnej odmowie sprostowania danych osobowych uczestnika postępowania, podczas gdy ww. regulamin nie zawierał nieprawdziwych informacji dot. realizacji praw podmiotu danych, a komunikacja z wnioskodawcą nie była prowadzona przez Spółkę w sposób nieprzejrzysty. Organ błędnie zatem uznał, że Spółka naruszyła art. 12 ust. 1 RODO w związku z czym bezzasadnie zastosował w stosunku do Spółki środek naprawczo – sankcyjny przewidziany w art. 58 ust. 2 lit b RODO.

Wobec powyższego skarżąca wniosła o stwierdzenie nieważności decyzji w zakresie pkt 1 decyzji, a w przypadku nieuwzględnienia tego wniosku, o uchylenie zaskarżonej decyzji w części w zakresie pkt 1 decyzji i przekazanie sprawy organowi do ponownego rozpoznania. Ponadto wniosła o zasądzenie na rzecz Spółki od Prezesa UODO zwrotu kosztów postępowania według norm przepisanych.

W uzasadnieniu skarżąca w obszerny sposób rozwinęła zarzuty skargi. Wskazała, że o ile zasadnie organ odmówił, w pkt 2 decyzji uwzględnienia wniosku uczestnika postępowania, czego Spółka nie kwestionuje, to w pkt 1 decyzja nie może ostać się w obrocie prawnym.

W ocenie skarżącej, organ rozstrzygając w zakresie informowania o realizacji praw przysługujących na mocy art. 15 – 22 RODO, zgodnie z art. 12 ust. 1 RODO, wykroczył poza przedmiot postępowania, określony w skardze do organu z […] lutego 2023 r. Przedmiotem skargi była bowiem odmowa sprostowania danych osobowych uczestnika postępowania przez Spółkę. Przedmiot postępowania wszczynanego na wniosek kształtuje strona będąca inicjatorem tego postępowania. Prezes UODO, w przypadku prowadzenia postępowania w sprawie indywidualnej wnioskowej (skargowej), nie możne dowolnie kształtować przedmiotu postępowania w przedmiocie nieprawidłowości w procesie przetwarzania danych osobowych.

W ocenie skarżącej potencjalnie treść regulaminu i ogólna praktyka informowania o realizacji praw wskazanych w rozdziale III RODO może być przedmiotem postępowania z urzędu, jednak organ nie wszczął i nie przeprowadził tego rodzaju postępowania. Ponadto organ zarówno w treści pism kierowanych do stron postępowania, jak i w osnowie decyzji wskazuje, że przedmiotem postępowania są nieprawidłowości w procesie przetwarzania danych osobowych wnioskodawcy przez Spółkę polegające na odmowie sprostowania danych osobowych wnioskodawcy.

Skarżąca wskazała, że udzielone upomnienie w pkt 1 decyzji dotyczy braku przejrzystości w komunikacji w zakresie praw wymienionych w art. 15-22 RODO, podczas gdy niniejsza sprawa w żadnym stopniu nie dotyczyła prawa do dostępu i do kopii danych (art. 15 RODO), prawa do bycia zapomnianym (art. 17 RODO), prawa do żądania ograniczenia danych (art. 18 RODO), poinformowania innych podmiotów o zmianie danych (art. 19), prawa do przenoszenia danych (art. 20 RODO), prawa do sprzeciwu (art. 21 RODO) oraz prawa do niepodlegania zautomatyzowanym decyzjom (art. 22 RODO). Organ odniósł się zatem w pkt 1 decyzji do kwestii, które nie były i nie mogły być przedmiotem niniejszego postępowania.

Skarżąca na wypadek, gdyby Sąd nie uwzględnił powyższego zarzutu, zauważyła, że w aktach niniejszej sprawy brak jest dowodów odnoszących się do komunikacji Spółki, co do każdego praw opisanych w art. 15, art. 17-22 RODO a w takim zakresie organ nałożył na Spółkę upomnienie. Uczestnik postępowania nie zwracał się do Spółki z żądaniem ich wykonania, jak również nie kwestionował sposobu realizacji przez Spółkę praw przewidzianych w tych przepisach w postępowaniu przed organem. Nie jest jasne na jakiej podstawie organ uznał, że Spółka w nieprzejrzysty sposób komunikowała się z uczestnikiem postępowania, czego skutkiem było wydanie przez organ upomnienia w tym zakresie. Organ nieprawidłowo zatem przeprowadził postępowanie administracyjne w niniejszej sprawie, nawet jeżeli uznać, że decyzja w zakresie jej pkt 1 nie jest obarczona wadą kwalifikowaną nieważności.

Uzasadniając zarzut skargi dotyczący naruszenia prawa materialnego, tj. art. 12 ust. 1 RODO, skarżąca wskazała, że postanowienia regulaminu nie wprowadzały w błąd uczestnika postępowania, nie zawierały nieprawdziwych informacji, a komunikacja z nim była prowadzona w sposób przejrzysty i zgodny z wymogami ww. przepisu. Zachowanie wnioskodawcy nie wynikało z niezrozumienia postanowień regulaminu, a z woli uniknięcia odpowiedzialności majątkowej za parkowanie pojazdem o nr rejestracyjnym […], bez uiszczenia należnej opłaty za parking. Uczestnik postępowania nie tyle nie zrozumiał postanowień regulaminu, a tym samym na czym polega prawo do sprostowania danych opisane w regulaminie, co próbował wymóc na Spółce załatwienie jego sprawy w sposób dla siebie korzystny, choć faktycznie nieobjęty zakresem prawa do sprostowania danych, opisanym w art. 16 RODO. Zmiany danych osobowych w przypadku zakończonych procesów przetwarzania, gdy dane osobowe spełniły swój cel, nie mieszczą się w prawie do sprostowania danych, opisanym w ww. przepisie. Konieczność zaś wskazania w treści regulaminu, że prawo do sprostowania danych nie umożliwia zmiany zdarzeń historycznych, które zakończyły się w przeszłości byłoby nieuzasadnione i tworzyło niepotrzebny szum informacyjny, wykraczając poza przejrzystość i zrozumiały język, o których mowa w art. 12 ust. 1 RODO. Byłaby to bowiem zbędna, oczywista informacja, nieniosąca ze sobą nowej wiadomości dla odbiorcy przekazu. Żądanie zmiany danych osobowych wykorzystanych przez Spółkę w procesie przetwarzania danych osobowych, który został już zrealizowany – nie mieści się w zakresie prawa do sprostowania danych osobowych, opisanym w art. 16 RODO, w związku z czym brak było zatem podstaw do informowania o tej okoliczności osoby, której dane dotyczą w tym uczestnika postępowania.

W konkluzji skargi, jej autor wskazał, że organ nie dokonał żadnych ustaleń faktycznych, jak i nie wyjaśnił oraz nie omówił w treści decyzji w jaki sposób Spółka naruszyła art. 12 ust. 1 RODO w zakresie informowania o prawach wskazanych w art. 15, art. 17 – 22 RODO oraz jakie są podstawy takiego twierdzenia. Spółka nie ma więc możliwości odniesienia się szczegółowo do tej kwestii w skardze na decyzję. W aktach sprawy brak jest dowodów, które wskazywałyby na to, że Spółka uchybiła art. 12 ust. 1 RODO w zakresie informowania o ww. prawach, a jednocześnie należy zaznaczyć, że Spółka rzetelnie, w sposób przejrzysty i zrozumiały informuje o możliwości realizacji praw opisanych w art. 15, art. 17 – 22 RODO, jak i w art. 16 RODO, wykonując obowiązki informacyjne opisane w art. 13 i 14 RODO, oraz niezwłocznie i w sposób zrozumiały dla odbiorcy, odpowiada na wnioski podmiotów danych. W konsekwencji, mając na uwadze powyższe należy stwierdzić, że nawet wykraczając poza przedmiot postępowania w sprawie organ nie był uprawniony do nałożenia na skarżącą upomnienia na mocy art. 58 ust. 2 lit. b RODO, ponieważ Spółka nie uchybiła art. 12 ust. 1 RODO, zatem organ błędnie zastosował w stosunku do skarżącej ww. uprawienie naprawcze.

W odpowiedzi na skargę Prezes UODO wniósł o oddalenie skargi. Podtrzymując stanowisko zaprezentowane w zaskarżonej decyzji uznał zarzuty skargi za niezasadne.

W piśmie procesowym z […] lutego 2024 r., skarżąca podtrzymując co do zasady swoją dotychczasową argumentację w sprawie wskazała, że twierdzenia organu zawarte w odpowiedzi na skargę pozostają w sprzeczności z treścią jego rozstrzygnięcia. Organ rozstrzygnął bowiem w sentencji pkt 1 decyzji w szerszym zakresie, niż twierdzi w odpowiedzi na skargę Spółki.

Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje:

Zgodnie z art. 1 § 1 i 2 ustawy z dnia 25 lipca 2002 r. – Prawo o ustroju sądów administracyjnych (Dz. U. z 2024 r., poz. 1267 ze zm.), sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej, sprawowaną pod względem zgodności z prawem, jeżeli ustawy nie stanowią inaczej. Na podstawie art. 134 § 1 ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2024 r., poz. 935 zwanej dalej “p.p.s.a.”) Sąd przy rozstrzyganiu sprawy nie jest związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną.

Przedmiotem skargi skarżąca uczyniła pkt 1 decyzji organu z […] listopada 2023 r., tj. upomnienie Spółki za nieprzejrzystą komunikację w zakresie praw przysługujących na mocy art. 15 – 22 RODO, zgodnie z dyspozycją art. 12 ust. 1 RODO w związku z nieprawdziwymi informacjami zawartymi w Regulaminie Systemu […] dot. możliwości ciągłego dostępu do danych osobowych i możliwości ich bieżącego przeglądania, uaktualniania oraz poprawiania, przy jednoczesnej odmowie sprostowania danych osobowych wnioskodawcy (numeru rejestracyjnego pojazdu z “[…]” na “[…]”).

W ocenie Sądu skarga rozpoznawana według powyższych kryteriów kontroli sądowej zasługuje na uwzględnienie, bowiem Prezes UODO udzielając Spółce przedmiotowego upomnienia naruszył przepisy postępowania w sposób mogący mieć istotny wpływ na wynik sprawy.

Powyższe skutkuje koniecznością uchylenia decyzji organu w zaskarżonej części, tj. w zakresie jej pkt 1.

W ocenie Sądu, wbrew temu co podnosi skarżąca, brak jest zaś podstaw do stwierdzenia nieważności decyzji w zaskarżonej części. Na wstępie zauważyć należy, że Spółka w pierwszej kolejności zarzuciła bowiem Prezesowi UODO naruszenie przepisów postępowania administracyjnego, tj. art. 156 § 1 pkt 2 w zw. z art. 63 § 2 oraz art. 61 § 1 k.p.a. poprzez wykroczenie przez organ poza przedmiot postępowania określony przez wnioskodawcę, w piśmie inicjującym postępowanie w sprawie przed organem. Sąd w składzie orzekającym w niniejszej sprawie nie dopatrzył się naruszenia przez organ ww. przepisów.

Zgodnie z art. 61 § 1 k.p.a. postępowanie administracyjne wszczyna się na żądanie strony lub z urzędu. W przypadku postępowań prowadzonych w sprawie indywidualnej, wszczynanych na wniosek, obligatoryjnym elementem podania inicjującego postępowanie w sprawie jest wskazanie żądania (art. 63 § 2 k.p.a.). Przedmiot postępowania wszczynanego na wniosek kształtuje strona będąca inicjatorem tego postępowania. Zgodnie z ugruntowanym poglądem Naczelnego Sądu Administracyjnego, w przypadku wszczęcia postępowania na wniosek strony, tylko ta strona określa przedmiot swego żądania, a tym samym i przedmiot postępowania, przy czym w razie wątpliwości jego uszczegółowienie należy do strony, nie zaś do sfery ocennej organu administracji publicznej.

Należy zwrócić uwagę, że na podstawie art. 77 ust. 1 RODO bez uszczerbku dla innych administracyjnych środków ochrony prawnej przed sądem każda osoba, której dane dotyczą, ma prawo wnieść skargę do organu nadzorczego, jeżeli sądzi, że przetwarzanie danych osobowych jej dotyczące narusza niniejsze rozporządzenie.

Zgodnie natomiast z art. 7 u.o.d.o. 2018 r. w sprawach nieuregulowanych w tej ustawie, do postępowań administracyjnych przed Prezesem UODO stosuje się przepisy k.p.a. Uznać zatem należy, że “skarga”, o której mowa w art. 77 ust. 1 RODO złożona przez uczestnika postępowania do Prezesa UODO, jako pismo inicjujące postępowanie w sprawie indywidualnej stanowi “podanie” w rozumieniu art. 63 § 1 k.p.a. Oznacza to, że Prezes UODO, w przypadku prowadzenia postępowania w sprawie indywidualnej wnioskowej (skargowej), nie możne dowolnie kształtować przedmiotu postępowania w przedmiocie nieprawidłowości w procesie przetwarzania danych osobowych.

W postępowaniu wszczynanym na żądanie strony, treść żądania sformułowanego we wniosku, wyznacza przedmiot postępowania. Organ administracji publicznej nie może przy tym samodzielnie zmieniać przedmiotu postępowania. Organ jedynie pośrednio, przez udzielenie informacji prawnej w toku postępowania zgodnie z zasadą ogólną udzielania informacji faktycznych i prawnych (art. 9 k.p.a.), może wpływać na dokonanie przez stronę zmiany przedmiotu żądania. Wymaga to zawsze jednak odrębnej czynności procesowej strony, co do której obowiązują wszystkie wymagania odnośnie do treści i formy pisma procesowego. Podmiotem uprawnionym do formułowania żądania w sprawie wszczynanej na wniosek strony jest zaś wyłącznie wnioskodawca.

Zgodzić się więc należy ze Spółką, że organ prowadząc postępowanie w sprawie jest związany zakresem wyznaczonym w skardze inicjującej postępowanie w sprawie zarówno przedmiotowo, jak i podmiotowo. Oznacza to, że jeżeli do Prezesa UODO skierowano skargę na naruszenie uprawnień przewidzianych w RODO w procesie przetwarzania danych osobowych, organ nie może dowolnie zmieniać przedmiotu postępowania w sprawie indywidualnej skargowej niż wskazany w piśmie inicjującym postępowanie. O tym jaka jest treść żądania, która wyznacza przedmiot postępowania decyduje strona. Niedopuszczalne jest przy tym mieszanie trybów postępowania, tj. traktowanie postępowania wszczętego na wniosek, tak jak postępowania wszczętego z urzędu. W razie wszczęcia postępowania na wniosek, obowiązkiem organu administracji jest dokładne ustalenie treści żądania strony, która wyznacza rodzaj sprawy będącej przedmiotem postępowania. Organ związany jest tym żądaniem.

Skarżąca przy tym sama przyznała, że potencjalnie treść regulaminu i ogólna praktyka informowania o realizacji praw wskazanych w rozdziale III RODO może być przedmiotem postępowania z urzędu.

Z niewyjaśnionych przyczyn organ rozszerzył jednak postępowanie w sprawie i rozstrzygnął ponad zakres wyznaczony pismem inicjującym, oceniając również przejrzystość komunikacji w zakresie wszystkich praw podmiotu danych, przewidzianych w rozdziale III RODO, w tym m. in. prawa do sprostowania, do czego nie był uprawniony. Żądanie strony, które nie zostało wniesione, nie spełnia wymogów określonych w art. 63 § 2 k.p.a., a jego rozpoznanie jest dotknięte wadą nieważności, określoną w art. 156 § 1 pkt 2 k.p.a. W takiej sytuacji brak jest bowiem w istocie żądania, o którym mowa w art. 61 § 1 k.p.a., w konsekwencji czego decyzja organu, jest decyzją wydaną po rozpoznaniu nieistniejącego żądania, czyli de facto bez żądania strony, co stanowi rażące naruszenie prawa w rozumieniu art. 156 § 1 pkt 2 k.p.a.

W ocenie Sądu w składzie orzekającym w niniejszej sprawie, wbrew temu co podnosi skarżąca, organ nie wykroczył jednak poza przedmiot postępowania jaki został określony przez wnioskodawcę, tj. nieprawidłowości w procesie przetwarzania jego danych osobowych, polegające na odmowie sprostowania danych osobowych.

Należy bowiem zauważyć, że wnioskodawca bezpośrednio w swojej skardze z […] lutego 2023 r., czyli w piśmie inicjującym postępowanie przed organem nadzorczym, poza kwestią odmowy sprostowania jego danych osobowych zwrócił również uwagę na przejrzystość Regulaminu Spółki. Wskazał bowiem wówczas, że Regulamin nie definiuje kiedy należy dane zweryfikować, oraz, że po tym czasie nie ma możliwości ich korekcji. Wskazał przy tym, że narusza to jego prawa co do możliwości sprostowania danych osobowych. Załącznikiem do skargi wnioskodawcy była zaś m.in. kopia korespondencji pomiędzy Spółką a wnioskodawcą. Z przedmiotowej korespondencji wynika, że uczestnik postępowania także w niej zwracał uwagę na przejrzystość Regulaminu Spółki wskazując, że nie jest on precyzyjny.

Dlatego też, zdaniem Sądu w składzie orzekającym w niniejszej sprawie, prawo do sprostowania danych osobowych, o którym mowa w art. 16 rozporządzenia 2016/679 organ miał prawo ocenić w powiązaniu z art. 12 ust. 1 ww. rozporządzenia, w którym określony został sposób komunikacji oraz tryb wykonywania praw osób, której dane dotyczą. Zgodzić się więc należy z Prezesem UODO, że dokonując oceny zasadności decyzji Spółki w zakresie odmowy sprostowania danych osobowych wnioskodawcy, organ mógł więc także ocenić jakość i sposób powyższego.

Niemniej jednak, analizując decyzję organu w powyższym zakresie, Sąd co do zasady podziela argumentację skarżącej dotyczącą naruszenia przez organ przepisów postępowania, tj. art. 7, art. 77 § 1, art. 80 i art. 107 § 3 k.p.a. poprzez brak poczynienia wyczerpujących ustaleń faktycznych co do komunikacji Spółki w zakresie praw przysługujących uczestnikowi postępowania na mocy art. 15, art. 17 – 22 RODO.

Trafnie wskazuje skarżąca, że w aktach niniejszej sprawy brak jest dowodów odnoszących się do komunikacji Spółki, co do każdego praw opisanych w art. 15, art. 17-22 RODO a w takim zakresie organ nałożył na Spółkę upomnienie. Nie zostało przede wszystkim przez organ wyczerpująco i zarazem przekonywująco wyjaśnione na jakiej podstawie Prezes UODO uznał, że Spółka w nieprzejrzysty sposób komunikowała się z uczestnikiem postępowania, czego skutkiem było wydanie przez organ upomnienia w tym zakresie. Organ nieprawidłowo zatem przeprowadził postępowanie administracyjne w niniejszej sprawie.

Prezes UODO jest organem administracji publicznej, który prowadząc postępowanie w sprawie ma obowiązek zgromadzić materiał dowodowy, na podstawie którego ustala następnie okoliczności faktyczne, mające znaczenie dla rozstrzygnięcia. Dopiero jednoznaczne ustalenie stanu faktycznego sprawy stwarza podstawy do wyrażenia stanowiska, które nie przekraczałoby zasady swobodnej oceny dowodów opisanej w art. 80 k.p.a. Organ nie przeprowadził zaś w sposób wyczerpujący postępowania w sprawie i dowolnie, bez oparcia w materiale dowodowym stwierdził, że Spółka uchybiła art. 12 ust. 1 RODO komunikując się w sposób nieprzejrzysty z uczestnikiem postępowania w zakresie praw opisanych w rozdziale III RODO, przewidzianych w art. 15, art. 17-22 RODO.

W ocenie Sądu uzasadnienie decyzji organu w zakresie jej pkt 1 dotyczącego udzielenia Spółce upomnienia nie odpowiada wymogom art. 107 § 3 k.p.a. Zgodnie bowiem z tym przepisem, decyzja administracyjna organu powinna zawierać uzasadnienie faktyczne i uzasadnienie prawne. Uzasadnienie faktyczne zawiera w szczególności wskazanie faktów, które organ uznał za udowodnione, dowodów, na których się oparł, oraz przyczyn, z powodu których innym dowodom odmówił wiarygodności i mocy dowodowej. Uzasadnienie prawne powinno zawierać natomiast wyjaśnienie podstawy prawne decyzji, z przytoczeniem przepisów prawa. Organ w uzasadnieniu swojej decyzji w sposób nieprzekonywujący wskazał na zasadność udzielenia Spółce przedmiotowego upomnienia. Nie odniósł się do tego, w jaki sposób oraz na jakiej podstawie prawnej twierdzi, że poinformowanie o możliwości dostępu do danych i ich przeglądania (prawo dostępu do danych – art. 15 RODO), przy jednoczesnej odmowie sprostowania danych, ma wpływ na przejrzystość informowania o realizacji praw osoby, której dane dotyczą. Organ nie wyjaśnił też jaki jest jego zdaniem związek pomiędzy informacją o możliwości ciągłego dostępu do danych osobowych i ich bieżącego przeglądania oraz jednoczesną odmową sprostowania danych osobowych, który to związek miałby wskazywać na naruszenie przez Spółkę przejrzystości w komunikowaniu się z uczestnikiem postępowania.

Słusznie zauważyła skarżąca, że w treści pkt 1 decyzji Prezes UODO wywodzi, że rzekome wskazanie nieprawdziwej informacji o prawie dostępu do danych (art. 15 ust. 1 RODO) i odmowa sprostowania danych (art. 16 RODO) powodują (lub pozwalają stwierdzić), że Spółka nie prowadziła przejrzystej komunikacji z uczestnikiem postępowania w zakresie wszystkich jego praw przewidzianych w art. 15-22 RODO. Organ nie wyjaśnił jednak tej kwestii w uzasadnieniu decyzji natomiast pomiędzy informowaniem o możliwości wykonania prawa dostępu, a odmową sprostowania danych brak jest związku logicznego, który umożliwiałby formułowanie wniosku o przejrzystości komunikowania się Spółki z uczestnikiem postępowania w sprawie wszystkich, opisanych w rozdziale III RODO praw.

W orzecznictwie sądów administracyjnych wskazuje się, że aby wypełnić dyspozycję art. 107 § 3 k.p.a. w pierwszej kolejności należy ustalić stan faktyczny a następnie nie wystarczy wskazać podstawę prawną, ale również ją wyjaśnić (por. wyrok Naczelnego Sądu Administracyjnego z 9 grudnia 2021 r. sygn. akt II OSK 4709/21).

Tymczasem Prezes UODO nie odniósł się do kwestii wskazanej w pkt 1 decyzji w uzasadnieniu decyzji poprzestając jedynie na stwierdzeniu jak w sentencji rozstrzygnięcia. Dodatkowo uzasadnienie pkt 1 decyzji nie wyjaśnia procesu rozumowania organu ani przesłanek, którymi kierował się wydając rozstrzygnięcie, co mogło mieć istotny wpływ na wynik sprawy. Oznacza to, że organ uchybił również art. 11 k.p.a. zgodnie z którym organy administracji publicznej powinny wyjaśniać stronom zasadność przesłanek, którymi kierują się przy załatwieniu sprawy. Spółka nie jest bowiem w stanie stwierdzić jakie jej zachowanie w kontekście rozstrzygnięcia organu było przyczyną wydania niekorzystnego rozstrzygnięcia oraz w jaki sposób potencjalnie powinna postąpić, by uniknąć uchybień w przyszłości. Dowolne korzystanie przez Prezesa UODO z sankcji w postaci upomnienia, przy jednoczesnym braku wyjaśnienia przyczyny jego zastosowania w ww. zakresie oraz posługiwanie się pozbawionym związku przyczynowo – skutkowego tokiem rozumowania godzi zaś w praworządność, na straży której organ zobowiązany jest stać zgodnie z art. 7 k.p.a.

Uzasadnienie decyzji administracyjnej nie może zmieniać treści rozstrzygnięcia, w tym prowadzić do jego zawężenia lub rozszerzenia. Nieuzasadnione jest więc twierdzenie organu wynikające z odpowiedzi na skargę, że z uzasadnienia decyzji można wywieść rzeczywisty zakres rozstrzygnięcia, pomimo tego, że sentencja decyzji obejmuje szerszy zakres niż odnosi się do niego uzasadnienie. Organ bowiem rozstrzygnął w sentencji decyzji w zakresie, co którego nie odniósł się w wystarczający sposób w uzasadnieniu.

W konsekwencji, mając na uwadze powyższe należy stwierdzić, że organ nie wykazał w uzasadnieniu swojego rozstrzygnięcia w sposób przekonywujący zasadności nałożenia na skarżącą upomnienia na mocy art. 58 ust. 2 lit. b RODO z powodu uchybienia art. 12 ust. 1 RODO. Zatem organ co najmniej przedwcześnie zastosował w stosunku do Spółki ww. uprawienie naprawcze.

Mając na uwadze powyższe, Sąd na podstawie art. 145 § 1 pkt 1 lit. c p.p.s.a. orzekł jak w pkt 1 sentencji wyroku. Orzeczenie o kosztach oparto na podstawie art. 200, art. 205 § 2 i art. 209 p.p.s.a. Na koszty te składa się 200 zł tytułem uiszczonego przez skarżącą wpisu sądowego, 480 zł kosztów zastępstwa procesowego oraz 17 zł opłaty skarbowej od dokumentu pełnomocnictwa bowiem skarżąca w postępowaniu przed Sądem była reprezentowana przez radcę prawnego.