Naczelny Sąd Administracyjny wyrokiem z 13 marca 2026 r. uchylił wyrok Wojewódzkiego Sądu Administracyjnego w Warszawie z 30 listopada 2022 r. i przekazał sprawę do ponownego rozpoznania. Istotne jest jednak to, że NSA nie przesądził jeszcze merytorycznie całego sporu dotyczącego relacji między administratorem a podmiotem przetwarzającym na gruncie art. 5, art. 6 i art. 28 RODO. Powodem uchylenia było przede wszystkim to, że uzasadnienie wyroku WSA zostało sporządzone w sposób, który nie pozwalał na przeprowadzenie pełnej kontroli instancyjnej. To właśnie ta okoliczność stanowi zasadniczy sens omawianego orzeczenia. NSA uznał, że sąd I instancji nie wyjaśnił należycie podstawy prawnej swojego rozstrzygnięcia, a ponadto przedstawił rozumowanie zawierające sprzeczne ze sobą i wzajemnie wykluczające się oceny. Sprawa dotyczyła decyzji Prezesa UODO z 11 sierpnia 2021 r., wydanej po skardze osoby fizycznej, wobec której podmiot przetwarzający — działający na zlecenie administratora w ramach obsługi windykacyjnej — kierował wiadomości SMS, próby połączeń telefonicznych oraz wiadomości e-mail związane z zadłużeniem spółki będącej dłużnikiem administratora. Skarżąca wskazywała, że nie była dłużnikiem administratora, nie odpowiadała za zobowiązanie tej spółki, a nawet nie była jej pracownikiem. Zarzuciła więc zarówno administratorowi, jak i podmiotowi przetwarzającemu bezpodstawne przetwarzanie jej danych osobowych oraz niewykonanie wobec niej obowiązku informacyjnego z art. 14 RODO. Prezes UODO rozstrzygnął sprawę w dwóch częściach. Po pierwsze, udzielił administratorowi upomnienia za naruszenie art. 14 ust. 1 i 2 RODO, polegające na niespełnieniu wobec uczestniczki postępowania obowiązku informacyjnego. Po drugie, udzielił administratorowi oraz podmiotowi przetwarzającemu upomnienia za naruszenie art. 5 ust. 1 lit. a i d oraz art. 6 ust. 1 w związku z art. 28 RODO, polegające na przetwarzaniu danych osobowych uczestniczki postępowania bez podstawy prawnej. Ważne jest przy tym, że sam organ wyraźnie rozdzielił zakres odpowiedzialności obu podmiotów co do obowiązku informacyjnego. Prezes UODO uznał bowiem, że obowiązek z art. 14 RODO obciążał administratora, a nie procesora. W uzasadnieniu wskazano jednoznacznie, że skoro K. sp.j. była podmiotem przetwarzającym w rozumieniu art. 28 RODO, to nie spoczywał na niej obowiązek informacyjny z art. […]