Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Iwona Maciejuk, Sędzia WSA Ewa Marcinkowska, Asesor WSA Mateusz Rogala (spr.), po rozpoznaniu w trybie uproszczonym w dniu 14 stycznia 2026 r. sprawy ze skargi R. Z. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia […] kwietnia 2025 r. nr […] w przedmiocie przetwarzania danych osobowych oddala skargę

Zaskarżoną do Wojewódzkiego Sądu Administracyjnego w Warszawie decyzją z dnia […] kwietnia 2025 r. nr […] Prezes Urzędu Ochrony Danych Osobowych, działając na podstawie art. 104 § 1 i art. 105 § 1 ustawy z dnia 14 czerwca 1960 r. – Kodeks postępowania administracyjnego (Dz. U. z 2023 r., poz. 775 ze zm., powoływanej dalej jako k.p.a.) i art. 7 ust. 1 i 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r., poz. 1781) oraz art. 14 oraz art. 15 ust. 1 i ust. 3 w zw. z art. 12 ust. 3 i ust. 4 art. 58 ust. 2 lit. c) rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE ogólne rozporządzenie o ochronie danych (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 4.05.2016, str. 1 ze zm., powoływanego dalej jako rozporządzenie nr 2016/679), w pkt 1 nakazał […] Sp. z o.o. z siedzibą w […] udzielenie R. Z. informacji o podjętych działaniach lub o powodach niepodjęcia działań w związku z jego żądaniem, zawartym we wniosku z dnia […] sierpnia 2024 r., w zakresie, o którym mowa w art. 15 ust. 1 i ust. 3 rozporządzenia nr 2016/679; a w pkt 2 decyzji umorzył postępowanie w pozostałym zakresie.

W uzasadnieniu decyzji organ podniósł, że R. Z. wystąpił ze skargą na nieprawidłowości w procesie przetwarzania jego danych osobowych przez […] Sp. z o.o. w zakresie bezprawnego przetwarzania jego danych osobowych w celach marketingowych, a także braku spełniania obowiązku informacyjnego z art. 14 oraz art. 15 ust. 1 i 3 rozporządzenia nr 2016/679.

Jak ustalił organ, skarżący otrzymywał na adres […] wiadomości e-mail z zawartością marketingową z adresu […]. Na dole jednej z nich został wskazany podmiot: […] sp. z o.o., […], […], […] oraz informacja “Możesz wypisać się lub zmienić dane kontaktowe w dowolnym momencie”. Skarżący wskazał, że próba wypisania się z mailingu kończyła się komunikatem “Error 404!” i odsyłała do polityki prywatności zupełnie innej spółki. Skarżący ustalił, że administratorem jego danych jest […] Sp. z o.o., która posiada adres mailowy: […]. Na tego maila skarżący w dniu […] sierpnia 2024 r. skierował wniosek w trybie art. 15 rozporządzenia nr 2016/679 oraz wniosek o kopię danych. Skarżący wskazał w tym wniosku swoje dane osobowe w zakresie imienia i nazwiska oraz adres e-mail. Jak podał skarżący, jego wniosek pozostał bez jakiejkolwiek odpowiedzi.

W toku postępowania spółka […] wyjaśniła, że nie przetwarza danych osobowych skarżącego i nie prowadzi działań marketingowych z użyciem jego danych. Administratorem danych osobowych skarżącego jest natomiast podmiot o zbliżonej nazwie. Z załączników dodanych do korespondencji wynika bowiem, że nadawcą wiadomości e-mail, które R. Z. uważa za naruszające jego prawa, jest podmiot […] Sp. z o.o., a nie […] Sp. z o.o.

Spółka potwierdziła, że otrzymała od skarżącego maila z dnia […] sierpnia 2024 r., ale nie ustosunkowała się do niego, ponieważ prowadzi ograniczoną działalność operacyjną, nie przetwarza żadnych danych osobowych, ani nie pozyskuje nowych klientów. Z tego powodu praktycznie w ogóle nie obsługuje maili kontaktowych.

Na podstawie informacji znajdujących się w Krajowym Rejestrze Sądowym organ ustalił, że […] Sp. z o.o. jest odrębnym podmiotem od […] Sp. z o.o.

Biorąc pod uwagę powyższe ustalenia, organ stwierdził, że spółka […] nie odpowiedziała na wniosek skarżącego zawarty w wiadomości nadesłanej pocztą elektroniczną w dniu […] sierpnia 2024 r., zaniechała tym samym wykonania obowiązku udzielenia odpowiedzi o działaniach podjętych w związku z żądaniem, o którym mowa w art. 15 ust. 1 i ust. 3 rozporządzenia nr 2016/679. Jednocześnie spółka nie poinformowała skarżącego o powodach niepodjęcia działań oraz o możliwości wniesienia skargi do organu nadzorczego oraz skorzystania ze środków ochrony prawnej przed sądem.

Organ wyjaśnił, że w sytuacji gdy administrator nie przetwarza danych dotyczących osoby, która zwraca się z żądaniem udzielenia informacji na podstawie art. 15 rozporządzenia nr 2016/679, działanie administratora powinno ograniczyć się do odpowiedzi przeczącej i nie ma on obowiązku podawać podmiotowi danych innych informacji.

W sytuacji gdy administrator wcześniej przetwarzał dane wnioskodawcy, ale zaprzestał ich przetwarzania (usunął albo zanonimizował dane), powinien również poinformować o tym fakcie osobę, której dane dotyczą.

Spółka […] miała tym samym obowiązek udzielić skarżącemu odpowiedzi w związku z jego żądaniami. W konsekwencji organ uznał, że spółka ponosi odpowiedzialność za brak reakcji na żądanie skarżącego.

W ocenie organu, zaistniały zatem podstawy do nakazania spółce udzielenia skarżącemu odpowiedzi w związku z jego żądaniem zawartym we wniosku z dnia […] sierpnia 2024 r. Spółka zaniechała bowiem jakiejkolwiek reakcji na to żądanie.

Z uwagi na powyższe, mając na uwadze charakter naruszenia stwierdzonego w toku postępowania, organ, na podstawie art. 58 ust. 2 lit. c) rozporządzenia nr 2016/679, nakazał spółce […] udzielenie skarżącemu informacji o podjętych działaniach lub o powodach niepodjęcia działań w związku z jego żądaniem złożonym na podstawie art. 15 ust. 1 i ust. 3 rozporządzenia nr 2016/679, we wniosku z dnia […] sierpnia 2024 r.

Odnosząc się natomiast do żądania skarżącego dotyczącego nakazania spółce […] spełnienia wobec niego obowiązku informacyjnego wynikającego z art. 14 rozporządzenia nr 2016/679, organ stwierdził, że jak wynika z przesłanej do organu przez skarżącego dokumentacji oraz wyjaśnień spółki, treści marketingowe wysyłane były skarżącemu przez inny podmiot niż skarżona spółka.

Spółka nie przetwarzała danych osobowych skarżącego do momentu otrzymania wiadomości mailowej z dnia […] sierpnia 2024 r. Z tych przyczyn organ uznał, że na spółce […] nie ciążył obowiązek informacyjny dotyczący pozyskiwania danych w sposób inny niż od osoby, której dane dotyczą. Materiał dowodowy zgromadzony w sprawie nie dostarczył zaś dowodów, które potwierdzałyby, że spółka […] przetwarzała dane osobowe skarżącego, w tym do celów marketingowych. Spółka nie przetwarza danych osobowych skarżącego, nie miała ona możliwości przesłania mu korespondencji marketingowej.

Dlatego organ przyjął, że w zakresie spełnienia przez spółkę […] obowiązku wynikającego z art. 14 ust. 1 i 2 rozporządzenia nr 2016/679 oraz przetwarzania przez spółkę danych osobowych skarżącego w celach marketingowych zaistniała przesłanka bezprzedmiotowości postępowania i umorzenia postępowania na podstawie art. 105 § 1 k.p.a. w pozostałym zakresie.

R. Z. wniósł na powyższą decyzję skargę do Wojewódzkiego Sądu Administracyjnego w Warszawie, zaskarżając ją w całości i wnosząc o jej uchylenie zaskarżanej decyzji w całości lub w zakresie punktu drugiego i zwrócenie sprawy do organu do ponownego rozpatrzenia, a także o przeprowadzenie dowodów z dokumentów załączonych do skargi na okoliczności w niej powołane.

Zaskarżanej decyzji skarżący zarzucił naruszenie:

1. art. 7 k.p.a. w zw. z art. 77 § 1 k.p.a. oraz art. 80 k.p.a., poprzez brak wszechstronnego zebrania i oceny dowodów oraz brak ich oceny w sposób swobodny, zgodnie z wiedzą i doświadczeniem życiowym, co skutkowało m.in. przyjęciem, że […] Sp. z o.o. nie prowadzi działań marketingowych, mimo że wynika to m.in. z Działu 3 Rubryka 1 – Przedmiot działalności z KRS spółki; ustalenie, że spółka uzyskała wniosek skarżącego, ale dalsze pominięcie tej informacji oraz informacji, że wniosek zawierał dane R. Z.; powołanie wyciągów KRS i pominięcie w dalszym procesowaniu sprawy, że […] Sp. z o.o. i […] Sp. z o.o. powiązane są tak kapitałowo, jak i osobowo (zarządzanie); niewyjaśnienie dlaczego link z maila wskazuje na jedną spółkę, a odsyła do Polityki Prywatności drugiej spółki; nieuwzględnienie informacji pozyskanych od uczestnika postępowania i brak informacji w tym zakresie dla skarżącego (art. 64 § 2 k.p.a.) oraz brak zmiany administratora z urzędu – po uzyskaniu wyjaśnień z […] Sp. z o.o., zwłaszcza że skarżący we wniosku o wszczęcie postępowania nie był zobowiązany do jego wskazania (art. 63 § 2 i 3a k.p.a.), a w myśl art. 7 k.p.a. organ uwzględnia zasadę prawdy obiektywnej i ma pogłębiać zaufanie obywatela do organu (art. 8 k.p.a.);

2. art. 8 k.p.a. w zw. z art. 64 § 2 k.p.a., poprzez całkowite pominięcie zasady pogłębiania zaufania obywatela do organów administracyjnych i brak jakiegokolwiek wezwania do skarżącego, gdy Prezes UODO ustalił, że rzekomym administratorem danych osobowych jest podmiot trzeci – kapitałowo i osobowo powiązany z […] – zwłaszcza, że organ powinien dokonywać czynności nie tylko na wniosek, ale i z urzędu, art. 63 § 2 k.p.a. nie nakłada obowiązku na skarżącego do wskazania danych administratora, a w myśl art. 81 k.p.a. Prezes UODO powinien uwzględniać domniemania faktyczne;

3. art. 77 § 1 k.p.a., poprzez dowolną i oderwaną od wiedzy i doświadczenia życiowego ocenę zgromadzonego w sprawie materiału dowodowego oraz wyciągnięcie błędnych wniosków, które doprowadziły do odmowy wszczęcia postępowania w całości, podczas gdy pełna, nieskrępowana i wszechstronna ocenia dowodów prowadzi do wniosku przeciwnego;

4. art. 105 k.p.a., poprzez błędną interpretację tego przepisu oraz wykładnię, co skutkowało przyjęciem, że w sprawie zachodzi okoliczność umorzenia postępowania choćby w części;

5. art. 4 pkt 2 rozporządzenia nr 2016/679 poprzez jego obrazę i pominięcie, że przetwarzanie danych to wszelkie operacje lub zestaw operacji wykonywanych na danych osobowych, tak w sposób zautomatyzowany, jak i niezautomatyzowany, więc także w formie papierowej;

6. art. 13 ust. 1-3 rozporządzenia nr 2016/679, poprzez błędną interpretację, a także błędne wyciągniecie wniosków w ramach uzasadnienia postanowienia w związku ze zgromadzonym w sprawie materiałem dowodowym oraz pominięcie tego przepisu, gdy administrator potwierdził, że otrzymał żądanie skarżącego z danymi osobowymi i nie udzielił na nie odpowiedzi tak z art. 15 ust. 1 i 3, jak i art. 13 rozporządzenia nr 2016/679;

7. art. 15 ust. 1 i 3 rozporządzenia nr 2016/679, poprzez jego spostrzeżenie, ale niezastosowanie i pominięcie w dalszym toku postępowania i nieuwzględnienie przy wydawaniu zaskarżanej decyzji, tak w zakresie informacji określonych w ust. 1, jak i kopii danych z ust. 3.

W uzasadnieniu skargi skarżący przedstawił argumentację na poparcie postawionych zarzutów.

W odpowiedzi na skargę organ wniósł o jej oddalenie oraz o rozpoznanie sprawy w trybie uproszczonym, podtrzymując zajmowane dotychczas stanowisko.

W piśmie z dnia […] czerwca 2025 r. skarżący oświadczył, że nie sprzeciwia się prowadzeniu sprawy w trybie uproszczonym.

W piśmie procesowym z dnia […] lipca 2025 r. uczestnik postępowania […] wniósł o oddalenie skargi.

Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje:

Skarga nie zasługuje na uwzględnienie.

W pierwszej kolejności, należy wyjaśnić, że wprawdzie zarzuty skargi koncentrują się na nieprawidłowym, zdaniem skarżącego, umorzeniu przez organ postępowania w pkt 2 zaskarżonej decyzji, jednak jak jednoznacznie wskazał skarżący przedmiotem skargi uczynił on całą decyzję z dnia […] kwietnia 2025 r., wnosząc również o jej uchylenie w całości. Z tej przyczyny Sąd poddał kontroli zarówno pkt 1, jak i pkt 2 zaskarżonej decyzji.

Zdaniem Sądu, rozstrzygnięcie organu jest w całości prawidłowe, bowiem w zaskarżonej decyzji nie można dopatrzyć się jakichkolwiek istotnych nieprawidłowości i to zarówno gdy chodzi o ustalenie stanu faktycznego sprawy, jak i co do procesu subsumcji przepisów prawa materialnego będących podstawą rozstrzygnięcia w sprawie.

Jak wynika z akt sprawy, w tym przed wszystkim z treści skargi oraz załączników do niej, skarżący uczynił przedmiotem skierowanej do Prezesa Urzędu Ochrony Danych Osobowych skargi nieprawidłowości w procesie przetwarzania jego danych osobowych przez Spółkę […] Sp. z o.o. polegające na bezprawnym przetwarzaniu przez tę spółkę jego danych osobowych w celach marketingowych, a także braku spełnienia obowiązku informacyjnego z art. 14 oraz art. 15 ust. 1 i 3 rozporządzenia nr 2016/679.

Podstawę skargi stanowił art. 77 ust. 1 rozporządzenia nr 2016/679, zgodnie z którym bez uszczerbku dla innych administracyjnych lub środków ochrony prawnej przed sądem każda osoba, której dane dotyczą, ma prawo wnieść skargę do organu nadzorczego, w szczególności w państwie członkowskim swojego zwykłego pobytu, swojego miejsca pracy lub miejsca popełnienia domniemanego naruszenia, jeżeli sądzi, że przetwarzanie danych osobowych jej dotyczące narusza rozporządzenie nr 2016/679.

Skarga do organu nadzorczego w trybie art. 77 ust. 1 rozporządzenia nr 2016/679, jako pismo inicjujące postępowanie administracyjne w indywidualnej sprawie, stanowi “podanie” w rozumieniu art. 63 § 1 k.p.a. w związku z art. 7 ustawy o ochronie danych osobowych. Złożenie podania jest czynnością dyspozytywną wnioskodawcy. Obligatoryjnym elementem podania jest wskazanie żądania (art. 63 § 2 k.p.a.). Przy czym organ jest związany żądaniem, które wyznacza rodzaj i granice postępowania administracyjnego i nie jest uprawniony do swobodnego kształtowania treści żądania czy zmiany jego kwalifikacji prawnej (por. wyroki NSA: z dnia 7 maja 2020 r. sygn. akt I OSK 214/2010; z dnia 30 stycznia 2013 r. sygn. akt II OSK 1812/11; z dnia 4 grudnia 2014 r. sygn. akt II OSK 2607/14; z dnia 24 lutego 2020 r. sygn. akt II OSK 3795/18, wszystkie powoływane orzeczenia są dostępne w internetowej bazie orzeczeń sądów administracyjnych). W sytuacji, gdy treść skargi budzi wątpliwości, obowiązkiem organu, w świetle art. 64 § 2 k.p.a., jest wezwanie wnioskodawcy do jej sprecyzowania, pod rygorem przewidzianym w ww. przepisie.

W rozpoznawanej sprawie treść skargi R. Z. z dnia […] listopada 2024 r. była jasna i nie wymagała sprecyzowania. Skarżący jednoznacznie wskazał spółkę […] jako administratora, wobec którego organ miałby podjąć działania prawem przewidziane. Jasno wskazał więc podmiot, w stosunku do którego domaga się wszczęcia, prowadzenia postępowania i podjęcia działań naprawczych.

Wbrew twierdzeniom skargi organ nie był natomiast uprawniony, w ramach działania z urzędu, do zmiany przedmiotu postępowania, w taki sposób, aby jego przedmiotem uczynić działania lub zaniechania innej niż wskazywana przez skarżącego spółka prawa handlowego. Ewentualne – powoływane przez skarżącego – powiązania osobowe lub kapitałowe pomiędzy poszczególnymi podmiotami nie uprawniają organu do podejmowania działań z urzędu w celu modyfikacji treści wniesionego przez stronę żądania. W związku z jednoznaczną treścią skargi R. Z., organ prawidłowo ustalał zatem wyłącznie okoliczności związane z przetwarzaniem danych osobowych skarżącego przez spółkę […].

Biorąc pod uwagę, że spółka […] nie udzieliła odpowiedzi na wezwanie skarżącego, zawarte w przesłanej drogą elektroniczną wiadomości z dnia […] sierpnia

2024 r., organ zasadnie nakazał tej spółce, jako administratorowi danych osobowych skarżącego zawartych w tejże wiadomości mailowej, realizację obowiązku określonego w art. 15 ust. 1 i ust. 3 rozporządzenia nr 2016/679. Wymaga przy tym podkreślenia, że zasadności nałożenia nakazu w punkcie 1 zaskarżonej decyzji w istocie nie kwestionowali w toku postępowania administracyjnego i sądowoadministracyjnego ani skarżący ani też uczestnik postępowania – spółka […].

Przechodząc do oceny zasadności rozstrzygnięcia zawartego w punkcie 2 zaskarżonej decyzji, Sąd stwierdza, że w jego ocenie, organ zasadnie umorzył postępowanie w pozostałym zakresie, bowiem w tej części było ono bezprzedmiotowe. Zgodnie z art. 105 § 1 k.p.a., gdy postępowanie z jakiejkolwiek przyczyny stało się bezprzedmiotowe w całości albo w części, organ administracji publicznej wydaje decyzję o umorzeniu postępowania odpowiednio w całości albo w części. Taka sytuacja wystąpiła w niniejszej sprawie, bowiem organ po zebraniu materiału dowodowego niezbędnego do wyjaśnienia sprawy zasadnie uznał, że brak jest podstaw do przyjęcia, by spółka […] była administratorem danych osobowych skarżącego w szerszym zakresie niż dane osobowe uzyskane od skarżącego w wiadomości mailowej z dnia […] sierpnia 2024 r.

Odnosząc się do zarzutów skargi, należy przy tym wyjaśnić, że wynikająca z art. 7 k.p.a. zasada prawdy obiektywnej oraz wyrażona w art. 77 k.p.a. zasada oficjalności, które obligują organ do zebrania i wszechstronnego rozpatrzenia materiału dowodowego, nie mogą prowadzić do nakładania na organ nieograniczonego obowiązku poszukiwania faktów, które podnosi strona. Jak podnosi się w orzecznictwie sądów administracyjnych, to, że na organie administracji publicznej prowadzącym postępowanie spoczywa, co do zasady, obowiązek wszechstronnego oraz rzetelnego ustalenia stanu faktycznego sprawy, nie oznacza, że ma on obowiązek poszukiwania dowodów mających wykazać zaistnienie okoliczności, których wykazanie leży w interesie strony, w sytuacji jej pasywnej postawy w tym zakresie (por. wyrok NSA z 25 czerwca 2019 r., sygn. akt I OSK 3577/18, LEX nr 2690500). Z przepisów k.p.a. normujących postępowanie dowodowe nie można zatem wywodzić, że organy zobowiązane są do poszukiwania środków dowodowych służących poparciu twierdzeń strony w sytuacji, gdy strona środków takich nie przedstawia.

Jak wynika zarówno z wyjaśnień skarżonej spółki, jak i treści załączników do skargi, administratorem danych osobowych skarżącego w zakresie związanym z otrzymanymi przez skarżącego wiadomości e-mail z zawartością marketingową z adresu […] był podmiot o nazwie […] Sp. z o.o. Informacja taka znajduje się również w stopce maila, który został dołączony przez skarżącego do skargi. Brak było zatem podstaw do uznania wyjaśnień spółki […] w tym zakresie za niewiarygodne. Organ był uprawniony do przyjęcia takiego wniosku zgodnie z wyrażoną w art. 80 k.p.a. zasadą swobodnej oceny dowodów. Zdaniem Sądu, powyższa ocena organu jest prawidłowa, a całokształt zgromadzonego materiału dowodowego potwierdza, że nie zostało wykazane, iż wskazywany przez skarżącego podmiot przetwarzał jego dane osobowe w celach marketingowych oraz by naruszył obowiązki wynikające z treści art. 14 rozporządzenia nr 2016/679. Sama – powoływana w skardze okoliczność – że z informacji znajdujących się w Krajowym Rejestrze Sądowym wynika, że spółka […] prowadzi również działalność marketingową, nie oznacza, że doszło do przetwarzania przez tę spółkę danych osobowych skarżącego w celach marketingowych w niniejszej sprawie. Okoliczność ta nie znajduje żadnego potwierdzenia w aktach sprawy.

Analiza argumentacji zawartej w skardze wskazuje ponadto, że skarżący nie zaprzecza w istocie ustaleniom organu w powyższym zakresie, twierdzi natomiast, że organ powinien poczynić własne ustalenia co do tożsamości administratora, dokonać zmiany podmiotu skarżonego z urzędu i uwzględnić wzajemne powiązania obydwu spółek. Tymczasem, jak już wskazano wyżej, organ nie był uprawniony do podejmowania tego rodzaju czynności w postepowaniu wszczętym na wniosek skarżącego.

W konsekwencji prowadzenie postępowania administracyjnego w tym zakresie było bezprzedmiotowe, co obligowało organ do umorzenia postępowania na podstawie art. 105 k.p.a., co też organ prawidłowo uczynił w punkcie 2 zaskarżonej decyzji.

Biorąc pod uwagę powyższe, Wojewódzki Sąd Administracyjny w Warszawie, na podstawie art. 151 ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2024 r., poz. 935 ze zm.), orzekł jak w sentencji.