II SA/Wa 1160/25

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Izabela Głowacka-Klimas, Sędzia WSA Joanna Kruszewska-Grońska, Asesor WSA Mateusz Rogala (spr.), , Protokolant specjalista Maryla Wiśniewska, po rozpoznaniu na rozprawie w dniu 10 lutego 2026 r. sprawy ze skargi Krajowego Rejestru Długów Biura Informacji Gospodarczej S.A. z siedzibą w [...] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] maja 2025 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę

Zaskarżoną do Wojewódzkiego Sądu Administracyjnego w Warszawie decyzją z dnia [...] maja 2025 r. nr [...] Prezes Urzędu Ochrony Danych Osobowych, działając na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. – Kodeks postępowania administracyjnego (Dz. U. z 2024 r., poz. 572, powoływanej dalej jako k.p.a.), art. 7 ust. 1 i 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r., poz. 1781) oraz art. 6 ust. 1 i art. 58 ust. 2 lit. b) i c) rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE ogólne rozporządzenie o ochronie danych (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 4.05.2016, str. 1 ze zm., powoływanego dalej jako rozporządzenie nr 2016/679), w pkt 1 nakazał Krajowemu Rejestrowi Długów Biuru Informacji Gospodarczej S.A. z siedzibą w [...] (powoływanej dalej również jako spółka) usunięcie danych osobowych S. S. (powoływanego dalej również jako wnioskodawca lub uczestnik postępowania) przetwarzanych bez podstawy prawnej; zaś w pkt 2 udzielił upomnienia Krajowemu Rejestrowi Długów Biuru Informacji Gospodarczej S.A. za naruszenie art. 6 ust. 1 rozporządzenia nr 2016/679 polegające na przetwarzaniu danych osobowych S. S. w celach marketingowych bez podstawy prawnej w okresie od [...] stycznia 2023 r. do [...] lipca 2024 r. W uzasadnieniu swojego rozstrzygnięcia organ podniósł, że S. S. w skierowanej do organu skardze na nieprawidłowości w procesie przetwarzania jego danych osobowych wskazał, iż w dniu [...] czerwca 2024 r. otrzymał od Krajowego Rejestru Długów Biura Informacji Gospodarczej S.A. list z dnia [...] czerwca 2024 r., w którym spółka poinformowała go, że jego jednoosobowa działalność gospodarcza może otrzymać jedną z ośmiu kategorii oraz przesłała ofertę handlową, do której dostęp był możliwy po wpisaniu specjalnego kodu. Skarżący oświadczył, że nigdy nie był klientem spółki oraz nie miał żadnego długu ani kredytu, by zostać wpisanym do rejestru spółki. W dniu 14 czerwca 2024 r. wnioskodawca skierował do spółki pismo, w którym wniósł o udostępnienie mu jego danych osobowych i wyjaśnienie, na jakiej podstawie są one przetwarzane oraz na jakiej podstawie wysyłane są do niego treści marketingowe. W odpowiedzi spółka wskazała, że treści marketingowe są wysyłane na podstawie uzasadnionego interesu administratora. W złożonych w toku postępowania administracyjnego wyjaśnieniach spółka wskazała, że pozyskała dane osobowe wnioskodawcy w dniu 5 stycznia 2023 r. w zakresie: imię i nazwisko, nazwa prowadzonej działalności gospodarczej, numer NIP i numer REGON. Ponadto w dniu [...] lutego 2023 r. pozyskała adres działalności gospodarczej strony. Dane te zostały pozyskane z Centralnej Ewidencji i Informacji o Działalności Gospodarczej. Zakres pozyskanych danych osobowych był ograniczony do danych zawartych w tym rejestrze. Spółka wskazała, że dane te zostały pozyskane przez nią w celach: "dążenia do zawarcia umowy ze Skarżącym, statystycznych, archiwizacyjnych, prowadzenia analiz i badań oraz wewnętrznego administrowania danymi w grupie K.." Spółka podała, że pozyskała dane wnioskodawcy na podstawie prawnie uzasadnionego interesu administratora, tj. art. 6 ust. 1 lit. f) rozporządzenia nr 2016/679. Spółka wskazała również, że w dniu 12 czerwca 2023 r. pozyskała dane osobowe wnioskodawcy w zakresie ograniczonym do danych zawartych w CEIDG (bez adresu korespondencyjnego) także na podstawie art. 6 ust. 1 lit. c) rozporządzenia nr 2016/679, w celu wykonania ciążącego na niej obowiązku zapewnienia poprawności danych osobowych. Ponadto spółka wskazała, że pozyskała dane osobowe wnioskodawcy w dniu 14 czerwca 2024 r. w zakresie: imię i nazwisko, nazwę działalności gospodarczej, adres e-mail oraz adres do doręczeń, w celu udzielenia odpowiedzi na skierowane przez wnioskodawcę żądanie dostępu do danych osobowych oraz zaprzestania ich przetwarzania, tj. na podstawie art. 6 ust. 1 lit. f) rozporządzenia nr 2016/679. Następnie spółka pozyskała również dane osobowe wnioskodawcy w dniu 4 listopada 2024 r. w zakresie: imię, nazwisko, adres zamieszkania, adres e-mail (inny niż w żądaniu skierowanym do spółki), numer PESEL i numer telefonu, w związku z doręczeniem spółce wezwania organu do złożenia wyjaśnień w niniejszej sprawie. Spółka przetwarza te dane w celu aktywnego uczestniczenia w postępowaniu prowadzonym przez organ na podstawie art. 6 ust. 1 lit. f) rozporządzenia nr 2016/679, w tym w celu obrony przed roszczeniami wnioskodawcy. Spółka podała następnie, że obecnie nie przetwarza danych osobowych wnioskodawcy w celu prowadzenia marketingu bezpośredniego. Natomiast przetwarza te dane osobowe na podstawie art. 6 ust. 1 lit. f) rozporządzenia nr 2016/679, tj. prawnie uzasadnionego interesu administratora danych, polegającego na aktywnym uczestnictwie w postępowaniu wszczętym przez organ, w tym na obronie przed roszczeniami wnioskodawcy. Spółka wskazała również, że przetwarza dane osobowe wnioskodawcy na podstawie art. 6 ust. 1 lit. c) rozporządzenia nr 2016/679, w celu wykonania ciążącego na niej obowiązku zapewnienia poprawności danych osobowych przez okres, w którym te dane osobowe pozostają ujawnione w powszechnie dostępnych źródłach. Spółka wskazała również, że przepisem, z którego wynika obowiązek przetwarzania przez nią danych osobowych wnioskodawcy w celu zapewnienia poprawności jego danych osobowych jest art. 5 ust. 1 lit. d) rozporządzenia nr 2016/679. Spółka wyjaśniła, że jedynym działaniem marketingowym podjętym przez nią wobec wnioskodawcy było wysłanie do niego w dniu 3 czerwca 2024 r. listu dotyczącego oferowanych przez spółkę usług. Przed wysłaniem tej korespondencji 12 stycznia 2024 r. spółka wykonała wobec wnioskodawcy obowiązek informacyjny. Niezwłocznie po otrzymaniu i analizie żądania wnioskodawcy spółka zaprzestała przetwarzania jego danych osobowych dla celów marketingowych. W dalszej części uzasadnienia swojego rozstrzygnięcia organ przywołał treść motywu 47 rozporządzenia nr 2016/679, i stwierdził, że za przetwarzanie danych osobowych do celów marketingu bezpośredniego w prawnie uzasadnionym interesie administratora można uznać takie przetwarzanie, które odbywa się w związku z istotnym i odpowiednim rodzajem powiązania między osobą, której dane dotyczą, a administratorem, zaś takim istotnym i odpowiednim powiązaniem może być stosunek umowny z administratorem. Należy jednak przy powyższym ocenić, czy w czasie i w kontekście, w którym zbierane są dane osobowe, osoba, której dane dotyczą, ma rozsądne przesłanki by spodziewać się, że może nastąpić przetwarzanie danych w tym celu. Powyższe oznacza, że w przypadku, gdy nie zachodzi istotny i odpowiedni rodzaj powiązania między osobą, której dane dotyczą, a administratorem (np. osoba, której dane dotyczą przestała być klientem administratora), administrator nie może przetwarzać danych osobowych ww. osoby w oparciu o art. 6 ust. 1 lit. f) rozporządzenia nr 2016/679 w celach marketingowych, gdyż nie może być wówczas mowy o prawnie uzasadnionym interesie administratora, nadrzędnym nad interesami lub podstawowymi prawami i wolnościami osoby, której dane dotyczą. W takim przypadku administrator, by przetwarzać dane osobowe w sposób legalny, powinien uzyskać zgodę osoby, której dane dotyczą, o której mowa w art. 6 ust. 1 lit. a) rozporządzenia nr 2016/679, na przetwarzanie jej danych osobowych w celach marketingowych. Organ stwierdził, że w niniejszej sprawie pomiędzy spółką a wnioskodawcą nie zachodził żaden stosunek powiązania. Stron nie łączyła żadna umowa, która mogłaby świadczyć o istnieniu rozsądnych przesłanek po stronie wnioskodawcy, by spodziewał się, że jego dane osobowe mogą być przetwarzane przez spółkę w celach marketingowych, nie zachodziła więc przesłanka legalizująca wynikająca z art. 6 ust. 1 lit. f) rozporządzenia nr 2016/679 uzasadniająca przetwarzanie przez spółkę danych osobowych w tym celu. Prezes UODO zauważył, że spółka pierwszy kontakt z wnioskodawcą nawiązała dopiero [...] czerwca 2024 r., wysyłając do niego list dotyczący oferowanych przez spółkę usług. Przez półtora roku spółka przetwarzała zatem dane osobowe wnioskodawcy we własnych celach, nie informując go o tym, nie podejmując prób nawiązania z nim kontaktu, zawarcia z nim umowy, ani nawet nie podejmując czynności o charakterze marketingowym. Wnioskodawca nie wiedział, że spółka przetwarza jego dane, ani nie mógł się tego spodziewać. Powyższe działanie nie jest zatem działaniem uprawnionym w świetle art. 6 ust. 1 lit. f) rozporządzenia nr 2016/679. Organ stwierdził, że w sprawie brak jest również uzasadnienia dla przetwarzania danych osobowych wnioskodawcy przez spółkę w treści art. 6 ust. 1 lit. c) rozporządzenia nr 2016/679, tj. w celu wykonania ciążącego na niej obowiązku zapewnienia poprawności danych osobowych. Organ podkreślił, że przesłanka wynikająca z tego przepisu nie stanowi samoistnej podstawy do przetwarzania danych osobowych, przepis ten stanowi bowiem, że przetwarzanie jest zgodne z prawem gdy jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze. Obowiązek prawny musi natomiast wynikać z przepisów prawa, a zatem musi być określony w konkretnym przepisie. Organ stwierdził następnie, że art. 5 ust. 1 lit. d) rozporządzenia nr 2016/679 nie stanowi podstawy przetwarzania danych osobowych wnioskodawcy w zw. z art. 6 ust. 1 lit. c) rozporządzenia nr 2016/679, bowiem nie nakłada on na spółkę obowiązku przetwarzania danych, a stanowi regulację tzw. zasadę prawidłowości, która zobowiązuje administratora danych do przetwarzania prawidłowych danych osobowych. Tym samym, aby uznać, że podmiot jest zobowiązany do stosowania zasady wynikającej z art. 5 ust. 1 lit. d) rozporządzenia nr 2016/679, musiałyby istnieć przesłanki przetwarzania tych danych z art. 6 ust. 1 rozporządzenia nr 2016/679. Tymczasem z ustalonego w sprawie stanu faktycznego nie wynika żadna podstawa prawna do uznania, że przetwarzanie danych osobowych wnioskodawcy przez spółkę jest niezbędne w jakimkolwiek celu i tym samym legalne w oparciu o którąkolwiek z przesłanek z art. 6 ust. 1 rozporządzenia nr 2016/679. Zdaniem organu, wnioskodawca nie miał rozsądnych przesłanek, by spodziewać się, że jego dane osobowe mogą być przetwarzane przez spółkę w celach marketingowych, nie zachodziła więc przesłanka legalizująca wynikająca z art. 6 ust. 1 lit. f) rozporządzenia nr 2016/679 uzasadniająca przetwarzanie przez spółkę danych osobowych wnioskodawcy w tym celu w okresie od [...] stycznia 2023 r. do [...] lipca 2024 r. Spółka nie wykazała ponadto, aby proces ten był legalny w oparciu o przesłankę z art. 6 ust. 1 lit. a) rozporządzenia nr 2016/679. Biorąc powyższe pod uwagę, organ uznał za zasadne udzielenie spółce upomnienia za naruszenie art. 6 ust. 1 rozporządzenia nr 2016/679. Stwierdzając natomiast, że aktualnie brak jest podstaw prawnych, które legalizowałyby proces przetwarzania danych osobowych wnioskodawcy przez spółkę, organ nakazał spółce usunięcie danych osobowych wnioskodawcy. Krajowy Rejestr Długów Biuro Informacji Gospodarczej S.A. wniosła na powyższą decyzję skargę do Wojewódzkiego Sądu Administracyjnego w Warszawie, zaskarżając ją w całości, wnosząc o jej uchylenie w całości, a także o zasądzenie kosztów postępowania. Skarżąca spółka zarzuciła zaskarżonej decyzji naruszenie przepisów postępowania, które miało istotny wpływ na wynik sprawy, tj.: 1. art. 107 § 1 pkt 5 w zw. z art. 104 § 2 w zw. z art. 8 § 1 k.p.a. polegające na nieprecyzyjnym sformułowaniu w decyzji nakazu usunięcia danych S. S. w sposób uniemożliwiający jego wykonanie i sprzeczny z treścią uzasadnienia decyzji, ponieważ nakaz ten nie określa, w jakim zakresie dane te mają zostać usunięte w sytuacji, gdy spółka legitymuje się ważną podstawą prawną przetwarzania wynikającą z art. 6 ust. 1 lit. f) rozporządzenia nr 2016/679, polegającą m.in. na konieczności obrony przed roszczeniami S. S. lub aktywnym udziale w niniejszym postępowaniu, czego organ nie zakwestionował w decyzji, a co skutkowało nałożeniem na skarżącą spółkę nieprecyzyjnego i niemożliwego do wykonania nakazu usunięcia danych; 2. art. 7, art. 77 § 1 oraz art. 105 § 1 k.p.a., poprzez wydanie przez organ decyzji na podstawie niepełnego stanu faktycznego istniejącego w dacie wydania decyzji, bez uwzględnienia, że spółka wysłała tylko jeden list z ofertą swoich usług do S. S., a po odrzuceniu przez niego oferty zaprzestała przetwarzania danych w celach marketingowych, co skutkowało niezgodnym z prawem brakiem umorzenia postępowania w tym zakresie i błędnym udzieleniem spółce upomnienia; 3. art. 107 § 3 w zw. z art. 8 § 1 i 2 k.p.a. polegające na niepełnym uzasadnieniu decyzji i wybiórczej analizie celów oraz podstaw przetwarzania danych, w sposób budzący wątpliwości co do podstaw przetwarzania danych, które organ uznał za dopuszczalne oraz niedopuszczalne w przedmiotowym stanie faktycznym, co skutkuje brakiem możliwości kontroli instancyjnej i skutecznego sformułowania zarzutów wobec decyzji. Skarżąca postawiła ponadto organowi zarzuty naruszenia prawa materialnego, które miało wpływ na wynik sprawy, tj.: 4. art. 6 ust. 1 lit. f) rozporządzenia nr 2016/679, poprzez jego błędną wykładnię polegającą na uznaniu, że spółka nie legitymowała się ważną podstawą prawną przetwarzania danych S. S. w celach marketingowych, ponieważ nie zawarła uprzednio z podmiotem danych żadnej umowy, podczas gdy zgodnie z prawidłową wykładnią tego przepisu administrator może przetwarzać dane w celach marketingowych także w sytuacji, gdy jeszcze nie doszło do zawarcia umowy z potencjalnym klientem, co skutkowało bezzasadnym nałożeniem na spółkę upomnienia, chociaż na moment wysłania oferty do S. S. spółka legitymowała się podstawą przetwarzania z art. 6 ust. 1 lit. f) rozporządzenia nr 2016/679; 5. art. 6 ust. 1 lit. c) w zw. z art. 5 ust. 1 lit. d), art. 5 ust. 2 oraz art. 24 ust. 1 rozporządzenia nr 2016/679, poprzez ich błędną wykładnię polegającą na przyjęciu, że skarżąca nie legitymuje się przesłanką przetwarzania danych wynikającą z art. 6 ust. 1 lit. c) rozporządzenia nr 2016/679, podczas gdy na skarżącej spoczywa obowiązek zapewnienia poprawności przetwarzanych danych osobowych oraz wdrożenia odpowiednich środków technicznych i organizacyjnych, co skutkowało wydaniem przez organ bezzasadnego nakazu usunięcia danych S. S.. W obszernym uzasadnieniu skargi skarżąca spółka przedstawiła szczegółową argumentację na poparcie postawionych zarzutów. W odpowiedzi na skargę organ wniósł o jej oddalenie. W piśmie procesowym z dnia 4 grudnia 2025 r. skarżąca podtrzymała dotychczasowe stanowisko w sprawie, odnosząc się do argumentów podnoszonych przez organ w odpowiedzi na skargę. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: Skarga nie zasługuje na uwzględnienie, bowiem zaskarżona w sprawie decyzja nie narusza prawa. W ocenie Sądu, organ prawidłowo ocenił, że skarżąca spółka przetwarzała dane osobowe skarżącego bez podstawy prawnej i w konsekwencji zasadnie nakazał spółce usunięcie danych osobowych skarżącego przetwarzanych bez podstawy prawnej oraz udzielił spółce upomnienia. Okoliczności związane z tym, w jaki sposób spółka pozyskała dane osobowe uczestnika postępowania – S. S., nie są sporne w tej sprawie. Organ przyjął bowiem za wiarygodne wyjaśnienia spółki w tym zakresie, tzn., że spółka uzyskała te dane z Centralnej Ewidencji i Informacji o Działalności Gospodarczej (CEIDG). Nie jest również sporne, że spółka – jak sama oświadczyła – pozyskała te dane w celu "dążenia do zawarcia umowy ze skarżącym". Nie budzi także wątpliwości okoliczność, że spółka skierowała do uczestnika postępowania w dniu [...] czerwca 2024 r., korespondencję, w której zaproponowała mu skorzystanie z jej usług. Sporne natomiast w tej sprawie jest, czy tak opisane działanie skarżącej stanowiło działania niezbędne do realizacji celów wynikających z prawnie uzasadnionych interesów spółki, a zatem czy istniała podstawa prawna dla przetwarzania danych osobowych uczestnika postępowania wynikająca z art. 6 ust. 1 lit. f) rozporządzenia nr 2016/679. W ocenie Sądu, odpowiedź na to pytanie jest jednoznacznie negatywna. Istotnie, jak wynika z powoływane przez skarżącą motywu 47 rozporządzenia nr 2016/679 za działanie wykonywane w prawnie uzasadnionym interesie można uznać przetwarzanie danych osobowych do celów marketingu bezpośredniego. Konieczne jest jednak odnotowanie, że w tym samym motywie prawodawca europejski wyraźnie stwierdził, że podstawą prawną przetwarzania mogą być prawnie uzasadnione interesy administratora, o ile w świetle rozsądnych oczekiwań osób, których dane dotyczą, opartych na ich powiązaniach z administratorem nadrzędne nie są interesy lub podstawowe prawa i wolności osoby, której dane dotyczą. Taki prawnie uzasadniony interes może istnieć na przykład w przypadkach, gdy zachodzi istotny i odpowiedni rodzaj powiązania między osobą, której dane dotyczą, a administratorem, na przykład gdy osoba, której dane dotyczą, jest klientem administratora lub działa na jego rzecz. Aby stwierdzić istnienie prawnie uzasadnionego interesu, należałoby w każdym przypadku przeprowadzić dokładną ocenę, w tym ocenę tego, czy w czasie i w kontekście, w którym zbierane są dane osobowe, osoba, której dane dotyczą, ma rozsądne przesłanki by spodziewać się, że może nastąpić przetwarzanie danych w tym celu. W stanie faktycznym niniejszej sprawy nie budzi wątpliwości, że pomiędzy skarżącą spółką a uczestnikiem postępowania nie istniało tego rodzaju powiązanie, które mogłoby spowodować, że uczestnik postępowania mógł mieć racjonalne przesłanki, aby spodziewać się, że spółka będzie przetwarzała jego dane osobowe w celach marketingowych. Okoliczność, że skarżący, realizując obowiązek ustawowy, zamieścił swoje dane w CEIDG, nie oznacza, że mógł on racjonalnie oczekiwać otrzymania od skarżącej wiadomości o charakterze marketingowym. Wykorzystanie przez skarżącą okoliczności, że dane osobowe skarżącego znajdują się w jawnej i dostępnej dla każdego ewidencji (co wynika z treści art. 45 ust. 1 ustawy z dnia 6 marca 2018 r. o Centralnej Ewidencji i Informacji o Działalności Gospodarczej i Punkcie Informacji dla Przedsiębiorcy – Dz. U. z 2026 r., poz. 30), w celu realizacji dążenia do nawiązania współpracy gospodarczej ze skarżącym nie może w tym kontekście zostać uznane za działanie wykonywane w prawnie uzasadnionym interesie administratora. Z całą pewnością zatem podejmowanie tego rodzaju działań nie stanowi podstawy do przetwarzania danych osobowych w rozumieniu art. 6 ust. 1 lit. f) rozporządzenia nr 2016/679. W tym bowiem przypadku nadrzędny charakter nad prawnie uzasadnionym interesem skarżącej ma prawo uczestnika postępowania do ochrony jego konstytucyjnego prawa do prywatności (art. 47 Konstytucji RP). Z tych przyczyn Sąd uznał za niezasadne stawiane w skardze zarzuty naruszenia tego przepisu oraz powiązane z nimi zarzuty naruszenia przepisów postępowania dotyczące ustalenie stanu faktycznego w tym zakresie (pkt 2 i 4 petitum skargi). Sąd w całości podziela również stanowisko organu, że nieuprawnione pozyskanie i przetwarzanie danych osobowych nie może niejako skutkować usankcjonowaniem dalszego przetwarzania tak pozyskanych danych osobowych w celu zapewnienia ich poprawności lub ochrony przed ewentualnymi roszczeniami. Przyjęcie stanowiska prezentowanego przez skarżącą prowadziłoby do wniosku, że w każdym przypadku gdy administrator przetwarza dane osobowe skarżącego niezależnie od tego, czy to przetwarzanie jest legalne, zyskuje on uprawnienie do ich dalszego przetwarzania w celu zagwarantowania, że przetwarzane przez niego dane są poprawne, a także w celu ochrony przed ewentualnymi roszczeniami osoby, której uprawnienie do ochrony danych osobowych zostało naruszone przez administratora. Taka teza czyniłaby iluzorycznymi gwarancje ochrony danych osobowych zawarte w rozporządzeniu nr 2016/679. Z tych przyczyn Sąd nie podzielił zarzutów skargi również w tym zakresie (pkt 3 i 5 petitum skargi). Jako niezasadny należy również ocenić postawiony w pkt 1 petitum skargi zarzut dotyczący nieprecyzyjnego sformułowania nakazu w pkt 1 zaskarżonej decyzji. Zdaniem Sądu, nakaz ten w sposób jednoznaczny określa zobowiązanie skarżącej do usunięcia wszelkich danych osobowych uczestnika postępowania w zakresie, w jakim są one przetwarzane bez podstawy prawnej. Z uzasadnienia zaskarżonej decyzji, które stanowi integralną część decyzji, wynika w jakim zakresie organ uznał, że brak jest podstawy prawnej do dalszego przetwarzania danych osobowych. Nakaz ten obejmuje zatem usunięcie danych przetwarzanych w celach wskazywanych przez administratora, tj. dążenia do zawarcia umowy z uczestnikiem postępowania, statystycznych, archiwizacyjnych, prowadzenia analiz i badań oraz wewnętrznego administrowania danymi w grupie Kaczmarski, a także w celach ochrony przed ewentualnymi roszczeniami. W tym ostatnim zakresie Sąd rozpoznający niniejszą sprawę podziela pogląd Naczelnego Sądu Administracyjnego, zgodnie z którym niedopuszczalne jest przetwarzanie danych osobowych niejako "na zapas" z założeniem, że mogą być one ewentualnie przydatne w przyszłości, na przykład z odwołaniem się do przepisów dotyczących przedawnienia roszczeń (por. wyrok NSA z dnia 27 marca 2018 r. sygn. akt I OSK 1459/16, dostępny w internetowej bazie orzeczeń sądów administracyjnych). Za usprawiedliwiony cel w rozumieniu art. 6 ust. 1 lit. f) rozporządzenia nr 2016/679 nie może zostać uznane przetwarzanie danych osobowych na wypadek ewentualnego dochodzenia lub obrony roszczeń. Z akt sprawy nie wynika bowiem, by strony postępowania zgłaszały wobec siebie jakiekolwiek roszczenia. Biorąc wszystkie powyższe okoliczności pod uwagę, Wojewódzki Sąd Administracyjny w Warszawie na podstawie art. 151 ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2024 r., poz. 935 ze zm.) orzekł jak w sentencji.