II SA/Wa 1712/22

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Iwona Maciejuk, Sędzia WSA Danuta Kania (spr.), Sędzia WSA Joanna Kube, Protokolant specjalista Joanna Głowala po rozpoznaniu na rozprawie w dniu 5 stycznia 2023 r. sprawy ze skargi Ogólnopolskiego [...] Sp. z o.o. z siedzibą w [...] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] lipca 2022 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę

Decyzją z dnia [...] lipca 2022 r. nr [...] Prezes Urzędu Ochrony Danych Osobowych (dalej: "Prezes UODO", "organ"), działając m.in. na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2021 r., poz. 735 ze zm.), dalej: "k.p.a." oraz art. 12 ust. 1, 3 i 4, art. 14 ust. 1 i 2, art. 15 ust. 1 lit. a, b, c, d, g, h, art. 15 ust. 3 oraz art. 58 ust. 2 lit. b rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z dnia 4 maja 2016, s. 1 oraz Dz. Urz. UE L 127 z dnia 23 maja 2018, s. 2 ze zm. oraz Dz. Urz. UE L 74 z dnia 4 marca 2021 r., s. 35), dalej: "RODO", 1) udzielił O. Sp. z o.o. z siedzibą w W. (dalej: "Spółka"), administratorowi serwisu internetowego pod adresem [...], upomnienia za naruszenie art. 14 RODO polegające na niezrealizowaniu wobec A. S. (dalej: "skarżący", "uczestnik postępowania") obowiązku informacyjnego, 2) udzielił O. Sp. z o.o. z siedzibą w W., administratorowi serwisu internetowego pod adresem www.[...], upomnienia za naruszenie art. 12 ust. 1, 3 i 4 w związku z art. 15 ust. 1 lit. a, b, c, d, g, h oraz art. 15 ust. 3 RODO, polegające na nieudzieleniu A. S. odpowiedzi na wniesione przez niego żądanie dotyczące dostępu do danych w zakresie celów przetwarzania, kategorii odnośnych danych osobowych, informacji o odbiorcach lub kategoriach odbiorców, którym dane osobowe zostały ujawnione, planowanego okresu przechowywania danych, informacji o źródle pozyskania danych, informacji o zautomatyzowanym podejmowaniu decyzji, w tym profilowaniu, a także nieudostępnieniu kopii przetwarzanych danych jego dotyczących. W uzasadnieniu decyzji Prezes UODO wskazał, że w dniu [...] września 2020r. do organu wpłynęła skarga A. S. na nieprawidłowości w procesie przetwarzania jego danych osobowych przez O. Sp. z o.o. z siedzibą w W. - administratora serwisu internetowego pod adresem www.[...], polegające na przetwarzaniu danych osobowych skarżącego bez podstawy prawnej, niezrealizowaniu wobec niego obowiązku informacyjnego określonego w art. 14 RODO oraz nieudzieleniu odpowiedzi na jego żądanie dotyczące dostępu do danych, złożone w oparciu o art. 15 ust. 1 lit. a, b c, d, g, h RODO, w tym na nieudostępnieniu kopii przetwarzanych przez Spółkę danych osobowych jego dotyczących, na podstawie art. 15 ust. 3 RODO. W toku postępowania organ ustalił, co następuje: Spółka pozyskała dane osobowe skarżącego w zakresie jego adresu e-mail [...] w wyniku podania go Spółce przez P. S., posiadającego adres poczty e-mail [...], w ramach prowadzonego przez Spółkę na zlecenie innego przedsiębiorcy badania marketingowego. Adres e-mail skarżącego został podany Spółce przez P. S. w celu otrzymania punktów w [...] za wypełnienie przez skarżącego wysłanej do niego przez Spółkę ankiety. P. S., podczas wypełniania ww. ankiety zapewnił, że adres e-mail skarżącego należy do jego dziecka i że dziecko to wyraziło zgodę na przekazanie go Spółce. W dniu [...] sierpnia 2020 r. skarżący otrzymał na swój adres e-mail [...] wiadomość od Spółki zawierającą link z zaproszeniem do wzięcia udziału w realizowanym przez Spółkę badaniu. W tej samej dacie skarżący przesłał na adres e-mail [...] żądanie dotyczące dostępu do danych, złożone w oparciu o art. 15 ust. 1 lit. a, b, c, d, g, h RODO, w tym udostępnienia kopii danych na podstawie art. 15 ust. 3 RODO. Po 24 godzinach od przesłania skarżącemu linku do ankiety, wobec braku aktywowania przez niego ww. linku, jego adres e-mail [...] został automatycznie i bezpowrotnie usunięty z bazy informatycznej Spółki. W momencie otrzymania przez Spółkę wiadomości e-mail skarżącego z dnia [...] sierpnia 2020 r. z jego adresu e-mail [...], który został wcześniej automatycznie usunięty z powodu nieaktywowania przesłanego do niego linku do ankiety, przesłana przez skarżącego wiadomość z żądaniem dostępu do danych została uznana jako próba wyłudzenia w związku z wprowadzoną w Spółce procedurą, w której pracownicy Spółki mają kategoryczny zakaz otwierania wiadomości od osób, których system informatyczny nie rozpoznaje jako uczestników (respondentów) [...], zwłaszcza zaś wiadomości zawierających jakiekolwiek załączniki. Spółka kwalifikuje takie wiadomości jako zawierające tzw. "złośliwy załącznik", wobec czego Spółka nie udzieliła skarżącemu żadnej odpowiedzi na jego wiadomość. Spółka nie zrealizowała wobec skarżącego obowiązku informacyjnego, wynikającego z art. 14 RODO. Obecnie Spółka nie przetwarza danych osobowych skarżącego. Uwzględniając powyższe organ wskazał, że przetwarzanie danych skarżącego przez Spółkę odbywało się na podstawie art. 6 ust. 1 lit. f RODO, tj. w celu wynikającym z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią. P. S., jako aktywny uczestnik (respondent) prowadzonego przez Spółkę [...], podał Spółce adres e-mail skarżącego [...] zapewniając przy tym w treści ankiety, że adres ten należy do jego dziecka i że dziecko to wyraziło zgodę na podanie Spółce tegoż adresu. P. S. działał przy tym w celu uzyskania dodatkowych punktów w prowadzonym przez Spółkę [...], które następnie mógłby zamienić na nagrody. Realizowanym w ww. okolicznościach celem Spółki było przesłanie na pozyskany od P.S. adres e-mail skarżącego [...] linku do ankiety w ramach prowadzonej przez siebie działalności. W dniu [...] sierpnia 2020 r. skarżący przesłał na adres e-mail [...] żądanie dotyczące dostępu do danych, złożone w oparciu o art. 15 ust. 1 RODO, zgodnie z którym osoba, której dane dotyczą, jest uprawniona do uzyskania od administratora potwierdzenia, czy przetwarzane są dane osobowe jej dotyczące, a jeżeli ma to miejsce, jest uprawniona do uzyskania dostępu do nich oraz informacji wymienionych pod lit. od a) do h). Ponadto, na podstawie art. 15 ust. 3 RODO, skarżący zwrócił się do Spółki z żądaniem udostępnienia mu kopii przetwarzanych przez Spółkę danych osobowych jego dotyczących. Zgodnie z ww. przepisem administrator dostarcza osobie, której dane dotyczą, kopię danych osobowych podlegających przetwarzaniu (...). Organ podkreślił, iż z przepisu tego wynika wprost, że osoba, której dane dotyczą, jest uprawniona do uzyskania od administratora potwierdzenia, czy przetwarzane są dane osobowe jej dotyczące. Oznacza to, że na mocy ww. artykułu skarżący miał prawo do uzyskania od Spółki informacji o przetwarzaniu bądź nieprzetwarzaniu jego danych. Na Spółce ciążył więc obowiązek udzielenia skarżącemu odpowiedzi pomimo wcześniejszego usunięcia jego adresu e-mail: [...] z bazy danych. Co więcej, obowiązek ten ciążył na Spółce nawet w przypadku, gdyby Spółka nigdy nie przetwarzała jego danych osobowych. Następnie organ powołał art. 12 ust. 1 RODO, który stanowi, że administrator obowiązany jest podejmować odpowiednie środki, aby w zwięzłej, przejrzystej, zrozumiałej i łatwo dostępnej formie prowadzić z osobą, której dane dotyczą, komunikację na mocy art. 15 - 22 i art. 34 w sprawie przetwarzania. Administrator bez zbędnej zwłoki - a w każdym razie w terminie miesiąca od otrzymania żądania - udziela osobie, której dane dotyczą, informacji o działaniach podjętych w związku z żądaniem na podstawie art. 15 - 22. W razie potrzeby termin ten może podlegać przedłużeniu (...). Uwzględniając powyższe organ zaznaczył, że prowadzenie komunikacji z osobą, której dane dotyczą, w zakresie przysługujących jej na mocy art. 15-22 i 34 RODO praw, wynika wprost z przepisów prawa. Naruszenie przez Spółkę art. 12 ust. 1, 3 i 4 w związku z art. 15 ust. 1 lit. a, b, c, d, g, h oraz art. 15 ust. 3 RODO w niniejszej sprawie doprowadziło do sytuacji, w której skarżący nie wiedział, czy Spółka zignorowała jego żądanie i czy w ogóle je otrzymała, co zmusiło go do egzekwowania swoich praw poprzez złożenie skargi do organu nadzorczego. Przyjęte zaś przez Spółkę rozwiązania techniczne i organizacyjne nie tylko nie ułatwiły, lecz wręcz utrudniły skarżącemu realizację jego praw. Organ powołał również art. 14 ust. 1 i 2 RODO, zgodnie z którym, jeżeli danych osobowych nie pozyskano od osoby, której dane dotyczą, administrator podaje osobie, której dane dotyczą, następujące informacje: a) swoją tożsamość i dane kontaktowe (...); b) gdy ma to zastosowanie - dane kontaktowe inspektora ochrony danych; c) cele przetwarzania, do których mają posłużyć dane osobowe, oraz podstawę prawną przetwarzania; d) kategorie odnośnych danych osobowych; e) informacje o odbiorcach danych osobowych lub o kategoriach odbiorców, jeżeli istnieją; f) gdy ma to zastosowanie - informacje o zamiarze przekazania danych osobowych odbiorcy w państwie trzecim lub organizacji międzynarodowej (...). Poza ww. informacjami, administrator podaje osobie, której dane dotyczą, następujące informacje niezbędne do zapewnienia rzetelności i przejrzystości przetwarzania wobec osoby, której dane dotyczą: a) okres, przez który dane osobowe będą przechowywane, a gdy nie jest to możliwe, kryteria ustalania tego okresu; b) jeżeli przetwarzanie odbywa się na podstawie art. 6 ust. 1 lit. f) - prawnie uzasadnione interesy realizowane przez administratora lub przez stronę trzecią; c) informacje o prawie do żądania od administratora dostępu do danych osobowych dotyczących osoby, której dane dotyczą, ich sprostowania, usunięcia lub ograniczenia przetwarzania oraz o prawie do wniesienia sprzeciwu wobec przetwarzania, a także o prawie do przenoszenia danych; d) jeżeli przetwarzanie odbywa się na podstawie art. 6 ust. 1 lit. a) lub art. 9 ust. 2 lit. a) - informacje o prawie do cofnięcia zgody w dowolnym momencie bez wpływu na zgodność z prawem przetwarzania, którego dokonano na podstawie zgody przed jej cofnięciem; e) informacje o prawie wniesienia skargi do organu nadzorczego; f) źródło pochodzenia danych osobowych, a gdy ma to zastosowanie - czy pochodzą one ze źródeł publicznie dostępnych; g) informacje o zautomatyzowanym podejmowaniu decyzji, w tym o profilowaniu, o którym mowa w art. 22 ust. 1 i 4 (...). Organ wskazał nadto, że w myśl art. 14 ust. 3 lit. b RODO, jeżeli dane osobowe mają być stosowane do komunikacji z osobą, której dane dotyczą, ww. informacje administrator podaje najpóźniej przy pierwszej takiej komunikacji z osobą, której dane dotyczą. Uwzględniając powyższe organ stwierdził, że Spółka zobowiązana była do przesłania skarżącemu ww. obowiązku informacyjnego przy pierwszej skierowanej do niego wiadomości, a więc wiadomości z dnia [...] sierpnia 2020 r., zawierającej link z zaproszeniem do wzięcia udziału w realizowanym przez Spółkę badaniu. Spółka miała bowiem świadomość, że dane osobowe skarżącego w zakresie jego adresu e-mail nie zostały pozyskane bezpośrednio od niego, lecz od osoby trzeciej – P. S. Niedopełnienie tego obowiązku spowodowało, że skarżący nie posiadał żadnych informacji związanych z przetwarzaniem przez Spółkę jego danych osobowych, w tym w jakich okolicznościach jego adres e-mail [...] został przez Spółkę pozyskany, czy też informacji dotyczących Spółki i jej działalności. Organ wskazał, że zgodnie z art. 58 ust. 2 lit. b RODO każdemu organowi nadzorczemu przysługuje w zakresie prowadzonych postępowań uprawnienie do udzielania upomnień administratorowi lub podmiotowi przetwarzającemu w przypadku naruszenia przepisów niniejszego rozporządzenia przez operację przetwarzania. W związku z powyższym Prezes UODO uznał za uzasadnione udzielenie Spółce upomnienia w zakresie stwierdzonego naruszenia przepisów art. 12 ust. 1, 3 i 4 w związku z art. 15 ust. 1 lit. a, b, c, d, g, h oraz art. 15 ust. 3 RODO, a także art. 14 RODO. Pismem z dnia [...] sierpnia 2022 r. O. Spółka z o.o. z siedzibą w W., reprezentowana przez pełnomocnika, wniosła do Wojewódzkiego Sądu Administracyjnego w Warszawie skargę na powyższą decyzję Prezesa UODO z dnia [...] lipca 2022 r. zarzucając naruszenie: - art. 14 RODO poprzez uznanie, że w ustalonych okolicznościach sprawy Spółka miała obowiązek zrealizować wobec A. S. obowiązek informacyjny, o którym mowa w powołanym przepisie, - art. 12 ust. 1, 3 i 4 w związku z art. 15 ust. 1 lit. a) - d) oraz lit. g) i h) oraz w związku z art. 15 ust. 3 RODO poprzez uznanie, że Spółka naruszyła te przepisy w wyniku nieudzielenia A. S. odpowiedzi na wniesione przez niego żądanie dotyczące dostępu do danych w zakresie celów przetwarzania, kategorii odnośnych danych osobowych, informacji o odbiorcach lub kategoriach odbiorców, którym dane osobowe zostały ujawnione, planowanego okresu przechowywania danych, informacji o źródle pozyskania danych, informacji o zautomatyzowanym podejmowaniu decyzji, w tym profilowaniu, a także nieudostępnieniu kopii przetwarzanych danych jego dotyczących. W związku z powyższymi zarzutami Spółka wniosła o uchylenie zaskarżonej decyzji w całości. W motywach skargi Spółka wskazała w szczególności, że zarzucając w pkt 1 petitum zaskarżonej decyzji naruszenie art. 14 RODO organ nie wskazał, którego konkretnie ustępu (ustępów) powołanego artykułu naruszenie to miałoby dotyczyć, co zważywszy na fakt, że powołany w podstawie prawnej zaskarżonej decyzji artykuł 14 jest bardzo rozbudowany i posiada liczne jednostki redakcyjne, odczytywać należy jako naruszenie art. 107 § 1 pkt 4 k.p.a., z którego wynika, że podstawa prawna decyzji administracyjnej musi być powołana dokładnie. Spółka podniosła również, iż organowi umknęła okoliczność, że zgodnie z art. 14 ust. 5 RODO przepisy ust. 1 - 4 tego artykułu nie mają zastosowania m.in. w przypadku przetwarzania danych osobowych do celów badań naukowych, co jest o tyle istotne, że badanie, w trakcie którego P. S. podał Spółce adres e-mail A. S., stanowiło inicjatywę naukowców z Akademii [...] im. [...] i Uniwersytetu [...], było więc badaniem o charakterze naukowym. W trakcie wypełniania ankiety w ramach przedmiotowego badania P. S. wyświetlił się opis, przed podaniem przez niego adresu e-mail [...], w którym to opisie znajdowało się m.in. następujące zdanie: "Badanie jest inicjatywą naukowców z Akademii [...] im. [...] i Uniwersytetu [...]". Spółka podkreśliła, że to P. S. (aktywny respondent prowadzonego przez Spółkę [...]) podał Spółce adres poczty e-mail [...] Spółka nie posiadała żadnych prawnych możliwości zweryfikowania, czy adres e-mail podany przez P. S. w trakcie wypełnienia opisywanej wyżej ankiety faktycznie należał do jego dziecka, ani nawet czy osoba o imieniu i nazwisku A. (A.) S. w ogóle istnieje. Pozostając w przekonaniu, że osoba o ww. imieniu i nazwisku, dla której prowadzona była skrzynka pocztowa e-mail pod adresem [...] istnieje oraz, że P. S. uzyskał zgodę tej osoby i że ta osoba jest jego dzieckiem, Spółka przesłała na ten adres link do ankiety stanowiącej część przedmiotowego badania. Dopiero gdyby osoba będąca właścicielem ww. adresu e-mail kliknęła w link znajdujący się w przesłanym jej przez Spółkę zaproszeniu i zainicjowała tym samym proces rejestracji w [...], Spółka miałaby możliwość potwierdzenia, że osoba taka faktycznie istnieje. Link pozostał jednak nieaktywny. O tym, że adres [...] należy do A. S. Spółka dowiedziała się dopiero z pisma, jakie otrzymała od UODO w dniu [...] listopada 2020 r. Spółka podniosła, że jedynym jej celem w zakresie pozyskania ww. adresu poczty e-mail było przesłanie na ten adres jednorazowo linku do ankiety badawczej. Spółka nie przetwarzała ww. adresu w żadnym innym celu ani zakresie. Spółka nie zbierała ani nie przetwarzała żadnych innych danych osobowych tego adresata. Wobec braku aktywowania linku przez adresata, adres e-mail, na który link ten przesłano, został automatycznie i bezpowrotnie usunięty z bazy informatycznej Spółki. Od tej chwili właściciel przedmiotowego adresu e-mail przestał być dla Spółki stroną, czyli "osobą, której dane dotyczą" w rozumieniu art. 4 pkt 1 RODO i wszelkie dalsze działania podejmowane przez właściciela przedmiotowego adresu e-mail mogły być przez Spółkę traktowane jako forma phishingu lub jako pomyłka i ignorowane zgodnie z polityką Spółki, ponieważ sprawdzenie przedmiotowego adresu e-mail w bazie informatycznej Spółki skutkowałoby brakiem wyniku. W sytuacji, gdy A. S. nie aktywował linku, który został przesłany na adres [...], i nie zarejestrował się w [...], Spółka nie przekazywała mu wszystkich informacji, o których mowa w art. 13 i art. 14 RODO. Wynikało to z faktu, że nie stał się on nigdy respondentem [...] i Spółka zaniechała jakichkolwiek dalszych działań związanych z ww. adresem e-mail. Z tych względów, w ocenie Spółki, udzielenie jej przez Prezesa UODO upomnienia za rzekome naruszenie powołanych w zaskarżonej decyzji przepisów RODO, jest niezasadne. W odpowiedzi na skargę Prezes UODO podtrzymał stanowisko jak w zaskarżonej decyzji. Wskazał nadto, że bez wpływu na treść rozstrzygnięcia pozostaje argumentacja Spółki, iż badanie, w trakcie którego P. S. podał Spółce adres e-mail [...] było inicjatywą naukowców z Akademii [...] im. [...] i Uniwersytetu [...]. Powyższa okoliczność nie świadczy o przewarzaniu danych osobowych skarżącego w celach badań naukowych, bowiem przedmiotowe dane zostały pozyskane od osoby, która działała w celu uzyskania dodatkowych punktów w prowadzonym przez Spółkę [...], które to punkty następnie mogłaby zamienić na nagrody. Spółka miała następnie na celu wykorzystanie tych danych w celu przeprowadzenia ankiety w ramach prowadzonej przez siebie działalności, w zamian za punkty do wykorzystania w sklepie [...]. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: Zgodnie z art. 1 § 1 i § 2 ustawy z dnia 25 lipca 2002 r. - Prawo o ustroju sądów administracyjnych (Dz. U. z 2021 r., poz. 137 ze zm.), dalej: "p.u.s.a." oraz art. 3 § 1 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2022 r., poz. 329), dalej: "p.p.s.a.", sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej. Kontrola ta polega na ocenie zgodności zaskarżonego aktu z przepisami postępowania administracyjnego, a także prawidłowości zastosowania i wykładni norm prawa materialnego. W myśl zaś art. 134 § 1 p.p.s.a. sąd rozstrzyga w granicach danej sprawy nie będąc związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną, z zastrzeżeniem art. 57a. Skarga oceniana w świetle powyższych kryteriów nie zasługuje na uwzględnienie, bowiem zaskarżona decyzja Prezesa UODO z dnia [...] lipca 2022 r. nie narusza prawa. Na gruncie niniejszej sprawy nie jest sporne, że podstawę przetwarzania przez Spółkę danych osobowych uczestnika postępowania – A. S., w postaci adresu e-mail [...], stanowił art. 6 ust. 1 lit. f RODO, zgodnie z którym przetwarzanie danych jest zgodne z prawem jeśli jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem. Określonym w ww. przepisie celem Spółki w ustalonych przez organ okolicznościach faktycznych sprawy było przesłanie - na pozyskany od P. S. adres e-mail uczestnika postępowania [...] - linku do ankiety w ramach prowadzonej przez Spółkę działalności. Spór dotyczy natomiast tego, czy Prezes UODO miał podstawy do uznania, że Spółka dopuściła się naruszenia art. 14 RODO oraz art. 12 ust. 1, 3 i 4 w związku z art. 15 ust. 1 lit. a, b, c, d, g, h oraz art. 15 ust. 3 RODO, a w konsekwencji czy zasadnie zastosował wobec Spółki sankcję w postaci upomnienia w oparciu o art. 58 ust. 2 lit. b RODO. Z akt sprawy wynika, że w dniu [...] sierpnia 2020 r. Spółka wysłała na adres e-mail uczestnika postępowania – A. S. wiadomość o następującej treści: "Witaj, zapraszamy do wzięcia udziału w badaniu realizowanym w systemie [...]. (...) Za zrealizowaną ankietę zbierzesz punkty w naszym Programie Lojalnościowym [...]. Wystarczy, że klikniesz w poniższy link: (...). Ta wiadomość została wygenerowana automatycznie na adres podany przy wypełnianiu ankiety rejestracyjnej. Jeżeli nie wiesz skąd pochodzi ta wiadomość i dlaczego została wysłana na ten adres, po prostu usuń ją. (...)". W związku z powyższym, uczestnik postępowania wskazując, iż nie wypełniał żadnej ankiety rejestracyjnej, zwrócił się w dniu [...] sierpnia 2020 r. do Spółki (na adres a-mail: [...]) z żądaniem dostępu do danych, złożonym w oparciu o art. 15 ust. 1 lit. a, b, c, d, g, h RODO, w tym z żądaniem udostępnienia kopii danych na podstawie art. 15 ust. 3 RODO. Jak wynika ze skierowanego do organu pisma uczestnika postępowania z dnia [...] września 2020 r., w odpowiedzi na powyższe żądanie otrzymał on od Spółki odpowiedź następującej treści: "Dziękujemy za zgłoszenie, skontaktujemy się w przeciągu dwóch dni roboczych (...)". Jednakże pomimo takiej deklaracji nie uzyskał odpowiedzi na wskazane wyżej roszczenie informacyjne. Zgodnie z art. 15 ust. 1 RODO osoba, której dane dotyczą, jest uprawniona do uzyskania od administratora potwierdzenia, czy przetwarzane są dane osobowe jej dotyczące, a jeżeli ma to miejsce, jest uprawniona do uzyskania dostępu do nich oraz następujących informacji: a) cele przetwarzania; b) kategorie odnośnych danych osobowych; c) informacje o odbiorcach lub kategoriach odbiorców, którym dane osobowe zostały lub zostaną ujawnione, w szczególności o odbiorcach w państwach trzecich lub organizacjach międzynarodowych; d) w miarę możliwości planowany okres przechowywania danych osobowych, a gdy nie jest to możliwe, kryteria ustalania tego okresu; e) informacje o prawie do żądania od administratora sprostowania, usunięcia lub ograniczenia przetwarzania danych osobowych dotyczącego osoby, której dane dotyczą, oraz do wniesienia sprzeciwu wobec takiego przetwarzania; f) informacje o prawie wniesienia skargi do organu nadzorczego; g) jeżeli dane osobowe nie zostały zebrane od osoby, której dane dotyczą - wszelkie dostępne informacje o ich źródle; h) informacje o zautomatyzowanym podejmowaniu decyzji, w tym o profilowaniu, o którym mowa w art. 22 ust. 1 i 4, oraz - przynajmniej w tych przypadkach - istotne informacje o zasadach ich podejmowania, a także o znaczeniu i przewidywanych konsekwencjach takiego przetwarzania dla osoby, której dane dotyczą. W myśl art. 15 ust. 3 RODO administrator dostarcza osobie, której dane dotyczą, kopię danych osobowych podlegających przetwarzaniu. Za wszelkie kolejne kopie, o które zwróci się osoba, której dane dotyczą, administrator może pobrać opłatę w rozsądnej wysokości wynikającej z kosztów administracyjnych. Jeżeli osoba, której dane dotyczą, zwraca się o kopię drogą elektroniczną i jeżeli nie zaznaczy inaczej, informacji udziela się w powszechnie stosowanej formie elektronicznej. Przyznane na gruncie art. 15 RODO prawo dostępu do danych, uzyskania ich kopii, a także uprawnienia informacyjne stanowią jedne z najważniejszych praw podmiotu danych. Mają one charakter gwarancyjny i kontrolny pozwalając na zweryfikowanie zgodności przetwarzania danych z prawem. Co istotne, realizacja uprawnień określonych w ww. przepisie wymaga inicjatywny podmiotu danych, który według swojego uznania, choć w ramach zamkniętego katalogu określonego w ww. przepisie, może kształtować zakres uzyskanych informacji czy danych przekazanych w postaci kopii. Rezultatem wykonania prawa dostępu do danych osobowych powinno być udzielenie osobie, której dane dotyczą, żądanych przez nią informacji. Podkreślić należy, że RODO przyznaje bezwarunkowo każdej osobie fizycznej prawo do uzyskania informacji, czy administrator przetwarza jej dane osobowe, tzn. jego realizacja nie zależy od wykazania interesu faktycznego czy prawnego. Podobny charakter ma przyznanie osobie, której dane dotyczą, dostępu do danych, uzyskania ich kopii czy uzyskania określonych informacji. Uprawnienia te mogą być zrealizowane w każdym czasie (nie podlegają przedawnieniu), a tryb korzystania z nich prawodawca unijny określił w art. 12 RODO (por. RODO Ogólne rozporządzenie o ochronie danych, red. n. E. Bielak-Jomaa, Wolters Kluwer, Warszawa 2018). Przepis art. 12 ust. 1 RODO stanowi, że administrator podejmuje odpowiednie środki, aby w zwięzłej, przejrzystej, zrozumiałej i łatwo dostępnej formie, jasnym i prosty językiem - w szczególności gdy informacje są kierowane do dziecka - udzielić osobie, której dane dotyczą, wszelkich informacji, o których mowa w art. 13 i art. 14, oraz prowadzić z nią wszelką komunikację na mocy art. 15 - 22 i art. 34 w sprawie przetwarzania. Informacji udziela się na piśmie lub w inny sposób, w tym w stosownych przypadkach - elektronicznie. Jeżeli osoba, której dane dotyczą, tego zażąda, informacji można udzielić ustnie, o ile innymi sposobami potwierdzi się tożsamość osoby, której dane dotyczą. Zgodnie natomiast z art. 12 ust. 3 RODO, administrator bez zbędnej zwłoki - a w każdym razie w terminie miesiąca od otrzymania żądania - udziela osobie, której dane dotyczą, informacji o działaniach podjętych w związku z żądaniem na podstawie art. 15 - 22. W razie potrzeby termin ten można przedłużyć o kolejne dwa miesiące z uwagi na skomplikowany charakter żądania lub liczbę żądań. W terminie miesiąca od otrzymania żądania administrator informuje osobę, której dane dotyczą o takim przedłużeniu terminu, z podaniem przyczyn opóźnienia. Jeśli osoba, której dane dotyczą, przekazała swoje żądanie elektronicznie, w miarę możliwości informacje także są przekazywane elektronicznie, chyba, że osoba, której dane dotyczą, zażąda innej formy. Z kolei w myśl art. 12 ust. 4 RODO, jeżeli administrator nie podejmuje działań w związku z żądaniem osoby, której dane dotyczą, to niezwłocznie - najpóźniej w terminie miesiąca od otrzymania żądania - informuje osobę, której dane dotyczą o powodach niepodjęcia działań oraz o możliwości wniesienia skargi do organu nadzorczego oraz skorzystania ze środków ochrony prawnej przed sądem. W ocenie Sądu, w świetle powołanych przepisów RODO nie ulega wątpliwości, że skarżący miał prawo do uzyskania od Spółki odpowiedzi na roszczenie informacyjne z dnia [...] sierpnia 2020 r., w szczególności do uzyskania informacji o przetwarzaniu bądź nieprzetwarzaniu jego danych. Bez znaczenia dla ciążącego na Spółce obowiązku pozostaje usunięcie (po 24 godzinach do przesłania linku do ankiety, wobec braku aktywowania tego linku) adresu e-mail uczestnika postępowania [...] z bazy danych, na którą to okoliczność powoływała się Spółka w swoich wyjaśnieniach z dnia [...] listopada 2020 r. Jak trafnie wskazał organ, obowiązek informacyjny ciążył na Spółce nawet w przypadku, gdyby Spółka nigdy nie przetwarzała danych osobowych uczestnika postępowania. Jak już wyżej zaznaczono, przepis art. 15 RODO nie zawiera żadnego ograniczenia (czasowego) co do możliwości korzystania przez osobę, której dane dotyczą, ze swoich uprawnień określonych w tym przepisie. Jak wynika z akt sprawy Spółka nie dopełniła ciążącego na niej obowiązku udzielenia odpowiedzi na żądanie uczestnika postępowania zawarte w piśmie z dnia [...] sierpnia 2020 r. w trybie i terminie określonych w art. 12 RODO. Prawidłowo zatem organ uznał, że Spółka dopuściła się naruszenia art. 12 ust. 1, 3 i 4 w związku z art. 15 lit. a, b, c, d, g, h oraz art. 15 ust. 3 RODO. Podniesiony przez Spółkę zarzut dotyczący naruszenia przez organ ww. przepisów jest nieuzasadniony. Bez istotnego znaczenia dla rozstrzygnięcia sprawy w ww. zakresie pozostaje argumentacja skargi. Z faktu, że adres e-mail uczestnika postępowania Spółka uzyskała od P. S. - jako adres dziecka, które miało wyrazić zgodę na podanie Spółce tego adresu - nie można wywodzić, że na Spółce nie ciążył obowiązek udzielenia odpowiedzi na roszczenie informacyjne uczestnika postępowania zawarte w piśmie z dnia [...] sierpnia 2020 r. Bez znaczenia pozostaje również okoliczność, że uczestnik postępowania nie aktywował linku, co skutkowało (zgodnie z polityką Spółki) automatycznym usunięciem adresu e-mail uczestnika postępowania z bazy informatycznej Spółki, a tym samym zaprzestaniem przetwarzania jego adresu e-mail. Zauważyć bowiem należy, że deklarowane przez Spółkę usunięcie ww. adresu e-mail uczestnika postępowania miało nastąpić po 24 godzinach od przesłania linku do ankiety, natomiast uczestnik postępowania skierował do Spółki roszczenie informacyjne w tej samej dacie, w której Spółka przesłała link, a więc - jak należy wnioskować - przed automatycznym usunięciem adresu e-mail. Co więcej, uczestnik postępowania uzyskał informację e-mail, że kontakt ze strony Spółki nastąpi w ciągu dwóch dni roboczych. Do kontaktu tego jednak nie doszło pomimo upływu miesiąca od daty wysłania roszczenia. Dla rozstrzygnięcia sprawy nie jest również istotna argumentacja Spółki, że uczestnik postępowania nie został respondentem [...] (nie aktywował linku i nie zarejestrował się w [...]), a w związku z tym Spółka zaprzestała jakichkolwiek dalszych działań związanych z adresem e-mail [...]. Okoliczność ta nie znosi ciążącego na Spółce obowiązku udzielenia uczestnikowi postępowania żądanych przez niego informacji. Żądanie to, jak już wyżej wskazano, ma charakter bezwarunkowy, a przyjęty przez Spółkę mechanizm autoryzacji (rejestracji), określony w wyjaśnieniach jako "niezbędny element procesu inicjacji kolekcji danych", oraz potraktowanie wiadomości od uczestnika postępowania jako próby wyłudzenia (phishing/scam), nie może stanowić usprawiedliwienia dla zaniechania Spółki w zakresie realizacji ww. obowiązku. Bez istotnego znaczenia pozostaje również argumentacja skargi, że Spółka - wobec wskazania adresu e-mail [...] przez P. S. - nie posiadała na tamtym etapie prawnych możliwości zweryfikowania, czy adres podany przez ww. w trakcie wypełniania ankiety faktycznie należał do jego dziecka, ani nawet czy osoba o imieniu i nazwisku A. S. w ogóle istnieje. Istota sprawy sprowadza się bowiem do tego, że Spółka nie zrealizowała obowiązku informacyjnego określonego w art. 15 RODO (w odpowiedzi na żądanie uczestnika postępowania zawarte w piśmie z dnia [...] sierpnia 2020 r.) zgodnie z zasadami i w trybie określonym w art. 12 RODO. Przy czym zaznaczyć należy, że stosownie do art. 12 ust. 6 RODO bez uszczerbku dla art. 11, jeżeli administrator ma uzasadnione wątpliwości co do tożsamości osoby fizycznej składającej żądanie, o którym mowa w art. 15 - 21, może zażądać dodatkowych informacji niezbędnych do potwierdzenia tożsamości osoby, której dane dotyczą. Zgodnie z art. 14 ust. 1 RODO, jeżeli danych osobowych nie pozyskano od osoby, której dane dotyczą administrator podaje osobie, której dane dotyczą następujące informacje: a) swoją tożsamość i dane kontaktowe oraz, gdy ma to zastosowanie, tożsamość i dane kontaktowe swojego przedstawiciela; b) gdy ma to zastosowanie - dane kontaktowe inspektora ochrony danych; c) cele przetwarzania, do których mają posłużyć dane osobowe, oraz podstawę prawną przetwarzania; d) kategorie odnośnych danych osobowych; e) informacje o odbiorcach danych osobowych lub o kategoriach odbiorców, jeżeli istnieją; f) gdy ma to zastosowanie - informacje o zamiarze przekazania danych osobowych odbiorcy w państwie trzecim lub organizacji międzynarodowej oraz o stwierdzeniu lub braku stwierdzenia przez Komisję odpowiedniego stopnia ochrony lub w przypadku przekazania, o którym mowa w art. 46, art. 47 lub art. 49 ust, 1 akapit drugi, wzmiankę o odpowiednich lub właściwych zabezpieczeniach oraz o możliwościach uzyskania kopii danych lub o miejscu udostępnienia danych. Natomiast w myśl art. 14 ust. 2 RODO, poza informacjami, o których mowa w ust. 1, administrator podaje osobie, której dane dotyczą, następujące informacje niezbędne do zapewnienia rzetelności i przejrzystości przetwarzania wobec osoby, której dane dotyczą: a) okres, przez który dane osobowe będą przechowywane, a gdy nie jest to możliwe, kryteria ustalania tego okresu; b) jeżeli przetwarzanie odbywa się na podstawie art. 6 ust. 1 lit. f) - prawnie uzasadnione interesy realizowane przez administratora lub przez stronę trzecią; c) informacje o prawie do żądania od administratora dostępu do danych osobowych dotyczących osoby, której dane dotyczą, ich sprostowania, usunięcia lub ograniczenia przetwarzania oraz o prawie do wniesienia sprzeciwu wobec przetwarzania, a także o prawie do przenoszenia danych; d) jeżeli przetwarzanie odbywa się na podstawie art, 6 ust. 1 lit. a) lub art. 9 ust. 2 lit. a) - informacje o prawie do cofnięcia zgody w dowolnym momencie bez wpływu na zgodność z prawem przetwarzania, którego dokonano na podstawie zgody przed jej cofnięciem; e) informacje o prawie wniesienia skargi do organu nadzorczego; f) źródło pochodzenia danych osobowych, a gdy ma to zastosowanie - czy pochodzą one ze źródeł publicznie dostępnych; g) informacje o zautomatyzowanym podejmowaniu decyzji, w tym o profilowaniu, o którym mowa w art. 22 ust. 1 i 4, oraz - przynajmniej w tych przypadkach - istotne informacje o zasadach ich podejmowania, a także o znaczeniu i przewidywanych konsekwencjach takiego przetwarzania dla osoby, której dane dotyczą. Stosownie do art. 14 ust. 3 lit. b RODO, jeżeli dane osobowe mają być stosowane do komunikacji z osobą, której dane dotyczą, ww. informacje administrator podaje najpóźniej przy pierwszej takiej komunikacji z osobą, której dane dotyczą. Nie ulega wątpliwości, że Spółka pozyskała dane osobowe uczestnika postępowania w zakresie adresu e-mail od osoby trzeciej – P. S., tj. na skutek tzw. wtórnego zbierania danych. Jako administrator tychże danych, w świetle ww. przepisów, Spółka zobowiązana była do realizacji obowiązku informacyjnego przy pierwszej komunikacji z uczestnikiem postępowania, która miała miejsce w dniu [...] sierpnia 2020 r. (w tej dacie Spółka skierowała do uczestnika postępowania wiadomość zawierającą link do ankiety z zaproszeniem do wzięcia udziału w realizowanym badaniu). Spółka nie dopełniła tego obowiązku, a zatem dopuściła się naruszenia art. 14 RODO. Na skutek tego naruszenia uczestnik postępowania nie miał wiedzy choćby o tym w jakich okolicznościach Spółka weszła w posiadanie jego adresu e-mail, co ma tym większe znaczenie, że w wiadomości z dnia [...] sierpnia 2020 r. wskazano, iż adres ten został pozyskany przy wypełnianiu ankiety rejestracyjnej (której uczestnik postępowania nie wypełniał). Bez wpływu na powyższą ocenę pozostaje zarzut skargi, iż organ nie wskazał, którego konkretnie ustępu (ustępów) art. 14 RODO naruszenie to dotyczy. Z konstrukcji art. 14 RODO jednoznacznie wynika zakres obowiązku informacyjnego administratora danych, a samo niewskazanie przez organ ust. 1 i 2 powołanego artykułu, określających ten zakres, nie skutkuje naruszeniem art. 107 § 1 pkt 4 k.p.a. w stopniu, który mógłby mieć istotny wpływ na wynik sprawy (art. 145 § 1 pkt 1 lit. c p.p.s.a.). Jak stanowi art. 14 ust. 5 RODO, ust. 1 - 4 nie mają zastosowania, gdy - i w zakresie, w jakim: a) osoba, której dane dotyczą, dysponuje już tymi informacjami; b) udzielenie takich informacji okazuje się niemożliwe lub wymagałoby niewspółmiernie dużego wysiłku; w szczególności w przypadku przetwarzania do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych, z zastrzeżeniem warunków i zabezpieczeń, o których mowa w art. 89 ust. 1, lub o ile obowiązek, o którym mowa w ust. 1 niniejszego artykułu, może uniemożliwić lub poważnie utrudnić realizację celów takiego przetwarzania. W takich przypadkach administrator podejmuje odpowiednie środki, by chronić prawa i wolności oraz prawnie uzasadnione interesy osoby, której dane dotyczą, w tym udostępnia informacje publicznie; c) pozyskiwanie lub ujawnianie jest wyraźnie uregulowane prawem Unii lub prawem państwa członkowskiego, któremu podlega administrator, przewidującym odpowiednie środki chroniące prawne uzasadnione interesy osoby, której dane dotyczą; d) dane osobowe muszą pozostać poufne zgodnie z obowiązkiem zachowania tajemnicy zawodowej przewidzianym w prawie Unii lub w prawie państwa członkowskiego, w tym ustawowym obowiązkiem zachowania tajemnicy. Powyższy przepis określa okoliczności zwolnienia administratora danych z obowiązku informacyjnego. Do okoliczności tych należy przypadek, w którym udzielenie niezbędnych informacji jest niemożliwe lub co prawda byłoby możliwe, jednak wymagałoby niewspółmiernie dużego wysiłku (lit. b). Sytuacja "niewspółmiernie dużego wysiłku" zachodzi wówczas, gdy wysiłek włożony w przekazanie informacji jest nieproporcjonalny w stosunku do niedogodności spowodowanych brakiem informacji u osoby, której dane dotyczą. Motyw 62 RODO wskazuje, że sytuacja braku możliwości lub niewspółmiernie dużego wysiłku może zachodzić w szczególności w przypadku, gdy przetwarzanie służy celom archiwalnym w interesie publicznym, celom badań naukowych lub historycznych lub celom statystycznym. Rozpatrując zaistnienie okoliczności w postaci niemożności lub niewspółmiernie dużego wysiłku jako podstawy do zwolnienia z obowiązku informacyjnego, uwzględnić należy liczbę osób, których dane dotyczą, okres przechowywania danych oraz wszelkie przyjęte odpowiednie zabezpieczenia. Wątpliwości nie budzi fakt, że ocena taka powinna być dokonywana indywidualnie, w odniesieniu do każdego przypadku. W świetle powyższego, ocenie Sądu, przepisu art. 14 ust. 5 RODO nie można interpretować w sposób jaki czyni to Spółka, a mianowicie, że w każdym przypadku, w którym następuje przetwarzanie danych do celów badań naukowych, administrator danych jest zwolniony z obowiązku informacyjnego określonego w art. 14 ust. 1 i 2 RODO. Wyłączenie obowiązku informacyjnego ma bowiem miejsce w przypadku, gdy udzielenie niezbędnych informacji jest niemożliwe lub co prawda byłoby możliwe, jednak wymagałoby niewspółmiernie dużego wysiłku, a jedynie przykładowo taka sytuacja może mieć miejsce w przypadku przetwarzania danych do celów badań naukowych. W każdej jednak sytuacji okoliczności te wymagają indywidualnej oceny. Oceny takiej, jak wynika z akt sprawy, Spółka na żadnym etapie postępowania nie dokonała. Niezależnie od powyższego wskazać należy, że uzasadnione wątpliwości budzi stanowisko Spółki, że w niniejszej sprawie dane w postaci adresu e-mail uczestnika postępowania były przetwarzane do celów badań naukowych. Zgodnie z art. 4 ust. 2 ustawy z dnia 20 lipca 2018 r. Prawo o szkolnictwie wyższym i nauce (Dz. U. z 2022 r., poz. 574 ze zm.), badania naukowe są działalnością obejmującą: 1) badania podstawowe rozumiane jako empiryczne lub teoretyczne mające przede wszystkim na celu zdobywanie nowej wiedzy o podstawach zjawisk i obserwowalnych faktów bez nastawienia na bezpośrednie zastosowanie komercyjne; 2) badania aplikacyjne rozumiane jako prace mające na celu zdobycie nowej wiedzy oraz umiejętności, nastawione na opracowywanie nowych produktów, procesów lub usług lub wprowadzanie do nich znaczących ulepszeń. W toku postępowania Spółka nie wykazała w sposób przekonujący, że ww. adres e-mail był przetwarzany na potrzeby badań naukowych rozumianych we wskazany wyżej sposób. Samo stwierdzenie, że badanie, w trakcie którego P. S. podał Spółce adres e-mail uczestnika postepowania, było inicjatywą naukowców z Akademii [...] im. [...] i Uniwersytetu [...], a więc badaniem "o charakterze naukowym", nie jest wystarczające w tym względzie zwłaszcza, że w wyjaśnieniach z dnia [...] listopada 2020 r. Spółka wskazywała, iż przekazanie adresu e-mail nastąpiło "w ramach przeprowadzonego przez Spółkę na zlecenie innego przedsiębiorcy badania marketingowego", zaś w opisie badania powoływała się na "projekt badawczy". Nie bez znaczenia pozostaje również okoliczność, na którą zwrócił uwagę organ w odpowiedzi na skargę, że adres e-mail uczestnika postępowania został pozyskany przez Spółkę od osoby, która działała w celu uzyskania dodatkowych punktów w prowadzonym przez Spółkę [...] z możliwością ich zamiany na nagrody, a zatem w celu, który nie jest pozbawiony elementu "komercyjnego". Natomiast celem Spółki było wykorzystanie ww. adresu e-mail do przeprowadzenia ankiety w ramach prowadzonej działalności, w zamian za punkty do wykorzystania w sklepie [...]. Podsumowując stwierdzić należy, że zaskarżona decyzja jest zgodna z prawem, zaś zarzuty skargi nie zasługują na uwzględnienie. W kwestii podjętego rozstrzygnięcia wskazać należy, że Prezes UODO - na mocy art. 58 ust. 2 RODO - wyposażony jest w uprawnienia naprawcze o charakterze władczym, kierowane do administratora lub podmiotu przetwarzającego, do których należy m.in. udzielanie upomnień (lit. b). Upomnienie może być stosowane - jak wyjaśniono w motywie 148 preambuły RODO - w przypadku, gdy naruszenie przepisów rozporządzenia jest niewielkie lub jeżeli grożąca kara pieniężna stanowiłaby dla osoby fizycznej nieproporcjonalne obciążenie, przy czym w każdym przypadku organ bierze pod uwagę okoliczności indywidualnej sprawy. Korzystanie z uprawnień naprawczych jest autonomiczną decyzją organu. Uwzględniając powyższe Sąd stwierdza, że organ, udzielając Spółce upomnień za wykazane uchybienia przepisom RODO, nie naruszył prawa. Zastosowany wobec Spółki instrument jest adekwatny do wagi stwierdzonych naruszeń obowiązków informacyjnych. W tym stanie rzeczy Wojewódzki Sąd Administracyjny w Warszawie, działając na podstawie art. 151 p.p.s.a., orzekł jak w sentencji wyroku.