WSA uchyla nakaz wydania kopii danych osobowych

W tym orzeczeniu WSA w Warszawie uchylił pewną decyzję Prezesa UODO z sierpnia 2022 r. 

Nadto w świetnym uzasadnieniu orzeczenia czytam wiele wartościowych komentarzy Sądu, co do prawidłowej interpretacji pojęcia kopii danych osobowych, o którym mowa w art. 15 ust. 3 RODO.

Stan faktyczny jest następujący:

1. A. R. złożył skargę na nieprawidłowości w procesie przetwarzania jego danych przez Firmę windykacyjną działającą jako podmiot przetwarzający dane w imieniu Spółki, polegające na przetwarzaniu danych osobowych wymienionego bez podstawy prawnej, nieprzekazaniu kopii przetwarzanych danych na jego żądanie oraz niewypełnieniu wobec niego obowiązku informacyjnego.
2. Należność nie została anulowana z uwagi na fakt, że A. R. dokonał utylizacji sprzętu, zamiast dokonać jego zwrotu do Spółki (dowód: wyjaśnienia Spółki z dnia […] kwietnia 2020 r. i […] czerwca 2020 r. wraz z załącznikami).
3. Wskutek braku dokonania wpłaty pozwalającej na rozliczenie zaległych należności, Spółka przekazała Podmiotowi przetwarzającemu prowadzenie działań windykacyjnych zmierzających do wyegzekwowania należnych opłat od A. R. Powyższej czynności dokonano na podstawie umowy o obsługę wierzytelności z dnia […] marca 2017 r., aneksowanej w dniu […] maja 2018 r., której przedmiotem jest uregulowanie zasad podejmowania w imieniu i na rzecz Spółki windykacji pozasądowej roszczeń pieniężnych i niepieniężnych. Celem wykonania tej umowy strony zawarły ponadto porozumienie o powierzeniu przetwarzania danych w dniu […] maja 2018 r.
4. W ocenie Podmiotu przetwarzającego w piśmie tym zawarto wystarczającą informację dla Wnioskodawcy wskazującą, że żądania w zakresie praw wynikających z RODO należy kierować do Spółki, a nie do Podmiotu przetwarzającego. Wskazano ponadto, że wobec trwałego usunięcia wszelkich danych oraz dokumentów powstałych w trakcie obsługi sprawy, nie ma możliwości przedłożenia kopii pism, o których mowa powyżej (dowód: wyjaśnienia Podmiotu przetwarzającego z dnia […] lipca 2019 r.).
5. Spółka wyjaśniła, że nie odnotowała wpływu korespondencji w sprawie realizacji prawa do otrzymania kopii danych, o której mowa w skardze Wnioskodawcy, ani nie została poinformowana przez Firmę windykacyjną o wnioskach A. R. w przedmiocie udzielenia odpowiedzi na wniosek dotyczący kopii danych. Wobec powyższego wniosek Wnioskodawcy nie mógł zostać zrealizowany. Spółka wystąpiła do Firmy windykacyjnej z żądaniem ustosunkowania się do wskazanej przez Wnioskodawcę okoliczności wskazującej na brak reakcji na wniosek o kopię danych. Zgodnie z otrzymanymi przez Spółkę informacjami, Firma windykacyjna usunęła korespondencję otrzymaną od Wnioskodawcy w dniu […] września 2019 r., nie przekazując jej do Spółki.
6. W związku z powyższym Spółka wezwała Firmę windykacyjną do realizowania postanowień Porozumienia o powierzeniu przetwarzania danych osobowych, w szczególności w zakresie realizacji praw osób, których dane dotyczą (dowód: wyjaśnienia Spółki z dnia […] września 2020 r. wraz z załącznikami).

Co ważne, w ocenie Spółki z uzasadnienia decyzji nie wynika jednoznacznie, dlaczego Prezes UODO uznał, że przekazanie wnioskodawcy kopii jego danych osobowych w sposób, w jaki Spółka uczyniła to w piśmie z dnia […] grudnia 2020 r., nie stanowiło o dostarczeniu podmiotowi danych kopii jego danych “w zakresie zgodnym z jego wnioskiem z dnia […] marca 2019 r.”.

Sąd wskazał m. in, że:

Zaskarżoną decyzją Prezes UODO nakazał […] dostarczenie na podstawie art. 15 ust. 3 RODO A. R. – uczestnikowi niniejszego postępowania kopii jego danych osobowych w zakresie zgodnym z jego wnioskiem z dnia […] marca 2019 r. Sąd za bezsporne, na podstawie zgromadzonego przez organ materiału dowodowego, uznał ustalenia faktyczne organu co do tego, że […] jest administratorem danych A. R., a firma windykacyjna, do której wpłynęło żądanie wnioskodawcy (e-mailem) z dnia […] września 2019 r. o udostępnienie kopii danych osobowych, którymi ta firma dysponowała, jest podmiotem przetwarzającym (art. 28 ust. 3 RODO). Ustalenia te nie były kwestionowane w postępowaniu i są bezsporne.

Organ nie ustalił jednakże w toku postępowania, czy […] przetwarzał na dzień wydania zaskarżonej decyzji (w tym np. przechowywał, archiwizował) dane A. R., które były przekazane przez […] do podmiotu przetwarzającego (firmy windykacyjnej) w celu dochodzenia należności, a zatem czy […] dysponował na dzień wydania zaskarżonej decyzji kopią danych, co do których wnioskodawca złożył żądanie w dniu […] marca 2019 r.

Ma natomiast znaczenie ustalenie, czy […] dysponuje kopią danych przekazanych firmie windykacyjnej w 2019 r. To jest zasadnicza kwestia. Raz jeszcze podkreślenia wymaga, że kwestia ta nie została wyjaśniona, ustalona w postępowaniu przed organem.

Dalej Sąd wskazuje, że:

Sąd podziela twierdzenie organu zawarte w odpowiedzi na skargę, że to wnioskodawca (inicjator postępowania przed Prezesem UODO) decyduje o zakresie żądania i wskazuje, czego się domaga na gruncie RODO. W odniesieniu do […] w postępowaniu przed Prezesem UODO – poza obowiązkiem z art. 15 ust. 3 RODO – nie jawiły się żadne inne żądania. Sama zaś kwestia obowiązku z art. 15 ust. 3 RODO z oczywistych względów znajdowała odniesienie do […]. Jest on bowiem administratorem danych, a kwestia dostarczenia kopii danych spoczywa zgodnie z art. 15 ust. 3 RODO na administratorze. W tym zakresie podmiot przetwarzający nie ma interesu prawnego.

Także to, że […] nie otrzymał żądania o kopię danych A. R. z dnia […] marca 2019 r., które było skierowane e-mailem do podmiotu przetwarzającego (firmy windykacyjnej), nie niweczy prawidłowości nakazu zawartego w decyzji.

W zakresie wykładni art. 15 ust. 3 RODO Sąd wskazał, że:

Kopia danych powinna być dostarczona niezwłocznie, najpóźniej w terminie miesiąca (art. 15 ust. 3 RODO w zw. z art. 12 RODO). Taka sytuacja nie nastąpiła w niniejszej sprawie. Zgodnie z RODO to administrator odpowiada za dostarczenie kopii danych i wzajemne relacje administratora i podmiotu przetwarzającego (uregulowania umowne między podmiotami) nie mogą prowadzić do pokrzywdzenia na gruncie RODO podmiotu danych, nie mogą prowadzić do pozbawienia podmiotu danych realnej ochrony praw. Gdyby przyjąć wykładnię art. 15 ust. 3 zaprezentowaną w skardze, wskazującą na moment udzielenia odpowiedzi administratora na żądanie (jako moment, z którego powinna pochodzić kopia danych), to podmiot danych nie miałby faktycznej możliwości kontroli procesu przetwarzania swoich danych.

Skoro prawo dostępu przewidziane w art. 15 RODO powinno umożliwiać osobie, której dane dotyczą, upewnienie się, że dotyczące jej dane osobowe są prawidłowe i przetwarzane zgodnie z prawem (v. pkt 34 wyroku Trybunału (pierwsza izba) z dnia 4 maja 2023 r. sygn. C-487/21), to nie może być wątpliwości, że dostarczenie na żądanie kopii danych osobowych dotyczy przetwarzania z momentu zgłoszonego żądania w związku z operacją przetwarzania danych, która w tym przypadku zaniepokoiła podmiot danych, a nie z momentu dogodnego dla administratora. Istotą uprawnienia z art. 15 ust. 3 RODO jest zweryfikowanie przez podmiot danych zgodności ich przetwarzania z prawem.

Prezes UODO nie nakazał udostępnienia dokumentów a dostarczenie kopii danych.

Prezes UODO ponownie rozpoznając sprawę:

W przypadku stwierdzenia, przy pełnej, wyczerpującej ocenie organu w tym zakresie, że ta kopia danych nie stanowi dostarczenia kopii danych żądanych pierwotnie przez uczestnika postępowania w dniu […] marca 2019 r., organ podejmie dalsze działania w sprawie.

Organ obowiązany będzie wówczas ustalić przede wszystkim, czy […] przetwarza (w jakikolwiek sposób, w tym przechowuje, archiwizuje) dane A. R., które były przekazane przez […] do podmiotu przetwarzającego (firmy windykacyjnej) w celu dochodzenia należności, a zatem czy […] dysponuje kopią danych, co do których A. R. złożył żądanie w dniu […] marca 2019 r.