II SA/Wa 2266/22

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Ewa Kwiecińska (spr.), Sędzia WSA Danuta Kania, Asesor WSA Michał Sułkowski, , po rozpoznaniu w trybie uproszczonym w dniu 15 czerwca 2023 r. sprawy ze skargi [...] Polska S.A. z siedzibą w [...] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] października 2022 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę

Przedmiotem skargi O. S.A. (dalej: "Skarżąca" i "Spółka") do Wojewódzkiego Sądu Administracyjnego w Warszawie jest decyzja Prezesa Urzędu Ochrony Danych Osobowych (dalej: "Prezes UODO" i "Organ") z [...] października 2022 r., znak: [...], którą to organ, działając na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U z 2022 r., poz. 2000) w zw. z art. 7 ust. 1 ustawy z 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781) oraz na podstawie art. 6 ust. 1 i art. 58 ust. 2 lit. b i d Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 4 maja 2016, str. 1, Dz. Urz. UE L 127 z 23 maja 2018, str. 2 oraz Dz. Urz. UE L 74 z 4 marca 2021, str. 35); • w pkt. 1 decyzji udzielił O. Spółce Akcyjnej z siedzibą w [...] przy [...] upomnienia, za naruszenie art. 6 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 4 maja 2016, str. 1, Dz. Urz. UE L 127 z 23 maja 2018, str. 2 oraz Dz. Urz. UE L 74 z 4 marca 2021, str. 35), polegające na przetwarzaniu bez podstawy prawnej danych osobowych M. G. w celu wykonania umowy o świadczenie usług telekomunikacyjnych, dotyczącej błędnie przeniesionego przez ww. Spółkę numeru telefonu [...] w okresie od dnia 29 grudnia 2019 r. do dnia 14 stycznia 2020 r.; • w pkt. 2 decyzji nakazał O. Spółce Akcyjnej z siedzibą w [...] przy [...], zaprzestanie przetwarzania danych osobowych M. G., pozyskanych w związku z błędnie przeniesionym przez ww. Spółkę numerem telefonu [...], w celu ustalenia, obrony i dochodzenia ewentualnych roszczeń oraz w celu rozpatrywania reklamacji. Powołana decyzja zapadła w następujących okolicznościach faktycznych: M. G. (dalej: "Uczestnik "), w piśmie z 15 stycznia 2020 r. wniósł do Prezesa UODO skargę na nieprawidłowości w procesie przetwarzania jego danych osobowych przez Spółkę, polegające na przetwarzaniu jego danych osobowych bez podstawy prawnej. Wnosząc skargę, podniósł, że Spółka dokonała przeniesienia jego numeru telefonu [...] z sieci telekomunikacyjnej [...] bez jego pisemnej zgody i podpisanej umowy, przy posłużeniu się jego danymi osobowymi w postaci: numeru PESEL, adresu zamieszkania i serii dowodu osobistego. Nadto wniósł o ukaranie Spółki za posłużenie się jego danymi osobowymi. W piśmie z 8 czerwca 2020 r. Prezes UODO, na podstawie art. 58 ust. 1 lit. a i e rozporządzenia 2016/679, zwrócił się do Spółki o złożenie wyjaśnień i dostarczenie informacji w sprawie skargi M. G. na nieprawidłowości w procesie przetwarzania jego danych osobowych. Spółka w złożonych w odpowiedzi na pismo PUODO wyjaśnieniach z 2 lipca 2020 r., podała, że ze względu na zawartą umowę dotyczycącą świadczenia na rzecz Uczestnika usług telekomunikacyjnych, w okresie od 24 kwietnia 2017 r. do 4 czerwca 2018 r., a także stacjonarnych usług telekomunikacyjnych od 2 sierpnia 2019 r. do chwili obecnej, pozyskała od Uczestnika dane osobowe w zakresie: imienia i nazwiska, adresu zamieszkania, adresu e-mail, numeru telefonu, numeru PESEL, numeru dowodu osobistego. Dalej wyjaśniła, że w związku z negocjowaniem z Uczestnikiem kolejnej umowy o świadczenie usług z jednoczesnym przeniesieniem numeru telefonu, doszło do błędu w procesie dostarczania dokumentów, w wyniku którego dokumenty zwrócone, które nie zostały podpisane, oznaczono jako "doręczone". W oparciu o tę informację doszło do przeniesienia do sieci Spółki numeru telefonu Uczestnika [...] i jego aktywowania w 29 grudnia 2019 roku. W wyniku reklamacji Uczestnika 14 stycznia 2020 roku numer został zwrócony do sieci [...], o czym Uczestnik został poinformowany wiadomością tekstową SMS wysłaną 14 stycznia 2020 roku. Z uwagi na zaistniałą sytuację Spółka udzieliła Uczestnikowi rabatu na abonament wynikający z usług stacjonarnych na okres dwóch miesięcy. Spółka wskazała, że przetwarza dane osobowe Uczestnika z uwagi na wniesioną przez niego reklamację, dotyczącą błędnego przeniesienia numeru do sieci telekomunikacyjnej Spółki. Spółka rozpatrzyła reklamację pozytywnie. Numer Uczestnika w dniu 14 października 2020 r. został zwrócony przez Spółkę do pierwotnego operatora. W opisanych okolicznościach faktycznych Prezes UODO wydał powołaną na wstępie decyzję z [...] października 2022 r. W uzasadnieniu decyzji Organ przedstawił stan faktyczny przyjęty za podstawę rozstrzygnięcia, wskazując, że reklamacja złożona przez Uczestnika dotycząca błędnego przeniesienia do sieci telekomunikacyjnej Spółki numeru Uczestnika została rozpatrzona pozytywnie. W związku z powyższym dane osobowe mogą być przetwarzane przez okres niezbędny do realizacji celu, zatem zakończenie reklamacji powoduje wygaśnięcie ww. celu przetwarzania. Ponadto podkreślił, że materiał dowodowy zgromadzony w niniejszej sprawie nie wykazał by poza rozpatrzoną przez Spółkę reklamacją Uczestnik złożył inne reklamacje związane z błędnym przeniesieniem jego numeru przez Spółkę. Prezes UODO podkreślił, że przesłanka z art. 6 ust. 1 lit. f RODO dotyczy sytuacji już istniejącej, w której celem wynikającym z prawnie uzasadnionych interesów realizowanych przez administratora jest konieczność udowodnienia potrzeby dochodzenia lub obrony przed roszczeniem istniejącym, nie zaś sytuacji, gdy dane są przetwarzane w celu zabezpieczenia się przed ewentualnym roszczeniem. Nadto Prezes UODO wskazał, że brak jest uzasadnienia dla przyjęcia, iż terminy dotyczące przedawnienia roszczeń wynikających ze stosunków zobowiązaniowych określają jednocześnie ramy czasowe, w których dane osobowe mogą być przetwarzane przez Spółkę. Podkreślił, że przedawnienie roszczenia nie wywołuje skutków na gruncie ochrony danych osobowych, nie wpływa bowiem na fakt istnienia roszczenia, a powoduje jedynie zmianę w sferze zarzutów procesowych w postaci możliwości podniesienia okoliczności przedawnienia w sporze sądowym. Jednocześnie wskazał, że okolicznością usprawiedliwiającą przetwarzanie danych osobowych w celu dochodzenia roszczeń jest sam fakt istnienia roszczenia oraz zamiar jego dochodzenia, nie jest nią zaś zmiana w uprawnieniach procesowych podmiotu pozwanego. W ocenie Prezesa UODO, brak jest celu uzasadniającego przetwarzanie przez Spółkę danych osobowych Uczestnika pozyskanych w związku z błędnym przeniesieniem numeru. Dalsze przetwarzanie ww. danych osobowych Uczestnika we wskazanych przez Spółkę, wymienionych wyżej celach, nie znajduje oparcia w żadnej przesłance legalizującej, o której mowa w art. 6 ust. 1 RODO. Dlatego też korzystając z uprawnienia przewidzianego w art. 58 ust. 2 lit. d RODO, Prezes UODO nakazał Spółce zaprzestania przetwarzania danych osobowych Uczestnika, pozyskanych w związku z błędnie przeniesionym przez ww. Spółkę numerem telefonu [...], w celu ustalenia, obrony i dochodzenia ewentualnych roszczeń oraz w celu rozpatrywania reklamacji. Skarżąca Spółka w piśmie z 17 listopada 2022 r. wniosła do Wojewódzkiego Sadu Administracyjnego skargę na decyzję Prezesa UODO z [...] października 2022 r. (znak: [...]) w części, tj. w zakresie jej pkt 2 nakazującego Spółce zaprzestania przetwarzania danych osobowych, pozyskanych w związku z błędnie przeniesionym przez Spółkę numerem telefonu [...], w celu ustalenia, obrony i dochodzenia ewentualnych roszczeń oraz w celu rozpatrywania reklamacji, w której zarzuciła naruszenie: - prawa materialnego, które miało wpływ na wynik sprawy, tj. art. 6 ust. 1 lit. f rozporządzenia Parlamentu Europejskiego i Rady (LIE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 2016. 119. 1 oraz Dz. Urz. UE L 2018. 127. 2) (dalej: "RODO") w związku z art. 118 ustawy z 23 kwietnia 1964 r. Kodeks cywilny (Dz. U. z 2022 r. poz. 1360 ze zm.) (dalej: "k.c."), polegające na jego niewłaściwym zastosowaniu i przyjęciu, że przechowywanie danych przez okres przedawnienia roszczeń w przypadku gdy, ani administrator danych, ani osoba, której dane dotyczą, nie zgłosiła jeszcze roszczenia, nie stanowi prawnie uzasadnionego interesu Spółki w rozumieniu art. 6 ust. 1 lit. f RODO, a tym samym brak jest w tej sytuacji podstaw prawnych do przetwarzania danych, podczas gdy przepis ten uprawnia Spółkę do przetwarzania danych osobowych w celu ustalenia, dochodzenia i ochrony przed roszczeniami, także tymi, które mogą się pojawić w przyszłości w okresie do upływu terminu ich przedawnienia. Spółka wniosła o uchylenie zaskarżonej decyzji, tj. jej pkt. 2 i umorzenie postępowania w powyższym zakresie, ewentualnie o stwierdzenie przez Sąd braku podstaw do umorzenia postępowania i o uchylenie zaskarżonej decyzji w jej pkt. 2 i przekazanie sprawy w tym zakresie do ponownego rozpoznania Prezesowi UODO oraz zasądzenie od Prezesa UODO na rzecz Spółki koszów postępowania wraz z kosztami zastępstwa procesowego według norm przepisanych. Ponadto wnosząc o wstrzymanie wykonania zaskarżonej decyzji w zakresie jej pkt. 2 do czasu prawomocnego rozstrzygnięcia sprawy. W uzasadnieniu Spółka podniosła, że Prezes UODO w sposób nieuprawniony przyjął, że w niniejszej sprawie brak jest podstaw do przetwarzania przez Spółkę danych osobowych Uczestnika, z uwagi na to, że brak jest celu takiego przetwarzania, bowiem celem tym nie może być ustalenie, dochodzenie lub obrona przed roszczeniami, które mogą się pojawić w przyszłości w okresie do upływu terminów ich przedawnienia. Takie stanowisko Organu prowadzi w efekcie do wniosku, iż nie mogą być uznane za prawnie uzasadnione - w rozumieniu art. 6 ust. 1 lit. f) RODO – interesy administratora danych polegające na przetwarzaniu danych w celu ustalenia i dochodzenia roszczeń w przyszłości lub obrony przed przyszłymi roszczeniami, które w rzeczywistości istnieją i mogą być dochodzone przez cały okres ich przedawnienia. Spółka wskazała na fakt, że w chwili wydania decyzji administracyjnej, ani osoba, której dane dotyczą, ani administrator danych, nie dochodzą wobec siebie jakiegokolwiek roszczenia wynikającego z łączącej ich w przeszłości relacji. Powyższe nie oznacza jednak, że te roszczenia nie istnieją i nie mogą być skutecznie dochodzone w okresie do upływu terminu ich przedawnienia. Ma to szczególne znaczenie w sytuacji, gdy mowa jest o roszczeniach osoby, której dane dotyczą, wobec administratora jej danych. Administrator danych nie jest w stanie przewidzieć, czy, kiedy i jakich roszczeń będą dochodziły osoby, których dane dotyczą. Zaprzestając przetwarzania danych w celu ustalenia i dochodzenia roszczeń w przyszłości lub obrony przed przyszłymi roszczeniami, przed upływem terminu przedawnienia roszczeń, pozbawi się dowodów, które pozwolą mu na analizę i ocenę zasadności roszczenia, gdy się ono pojawi. Ponadto Spółka wskazała, że w okolicznościach faktycznych niniejszej sprawy zaprzestanie przetwarzania danych oznacza w istocie ich usunięcie, odwołując się do definicji danych osobowych zawartej w art. 4 pkt 1 rozporządzenia, motywu 26 RODO oraz wyroków NSA z 19 stycznia 2010 r., sygn. akt I OSK 491/09, z 19 maja 2011 r., sygn. akt I OSK 1086/10, z 22 listopada 2016 r., sygn. akt I OSK 496/15, i stwierdziła, że tylko i wyłącznie informacje, które bez nadzwyczajnego wysiłku oraz bez nieproporcjonalnie dużych nakładów dają się powiązać z określoną osobą, zwłaszcza przy wykorzystaniu łatwo osiągalnych źródeł powszechnie dostępnych, również zasługują na zaliczenie ich do kategorii danych osobowych. Spółka podkreśliła, że nie dysponowała środkami prawnymi, technicznymi bądź organizacyjnymi umożliwiającymi dokonanie identyfikacji podmiotów, z którymi kontaktowali się jej przedstawiciele. Nie posiada i nigdy nie posiadała dostępu do listy abonentów prowadzonej przez operatorów telefonicznych. Prowadzi to do stwierdzenia, że numer telefonu bez pozostałych danych nie pozwalał Spółce na ustalenie danych osobowych rozmówcy i nie posiadał dla niej żadnego waloru informacyjnego. W ocenie Spółki istota nakazu sformułowanego w pkt 2 zaskarżonej decyzji sprowadza się do usunięcia danych osobowych, ponieważ Spółka nie tylko nie może aktywnie dokonywać jakichkolwiek operacji na danych osobowych, ale nie może ich również przechowywać. Wskazała, że usunięcie danych jest procesem trwałym i nieodwracalnym. Skutecznie usuniętych danych nie można odzyskać. Gdyby zatem Spółka wykonała nakaz z pkt. 2 zaskarżonej decyzji i usunęła dane Uczestnika, pozyskane w związku z błędnie przeniesionym przez Spółkę jego numerem telefonu [...] z sieci [...] do sieci O., to w razie uwzględnienia skargi przez Sąd i wydania orzeczenia odmiennego od stanowiska Prezesa UODO zaprezentowanego w zaskarżonej decyzji, stan poprzedni, w którym Spółka posiadała dane, będzie niemożliwy do przywrócenia, a w konsekwencji dalsze postępowanie w niniejszej sprawie stanie się bezprzedmiotowe. Zdaniem Spółki decyzja Prezesa UODO prowadzi do zachwiania równowagi pomiędzy prawem osób do dysponowania swoimi danymi a uzasadnionym interesem administratora tych danych do ich przetwarzania w celu obrony przed roszczeniami. Spółka podkreśliła, że ma to niebagatelne znaczenie chociażby w sprawach, gdzie ciężar dowodu został przerzucony na pozwanego, czyli np. w sprawach opartych o art. 82 RODO, który jest typową podstawą roszczeń związanych z naruszeniem prawa do ochrony danych osobowych. Wskazała, że w powołanym art. 82 RODO, w jego ust. 3, wprowadzono domniemanie winy administratora danych za zdarzenie, które doprowadziło do powstania szkody. Twierdząc, że w ewentualnym procesie dojdzie zatem do przerzucenia ciężaru dowodu i to pozwany administrator będzie musiał udowodnić, że "w żaden sposób" wystąpienie szkody nie było przez niego zawinione. To natomiast będzie niemożliwe, jeśli administrator nie będzie już dysponował niezbędnymi dla tego celu danymi. Spółka podkreśliła, że posiada prawnie uzasadniony interes w przetwarzaniu (polegającym na przechowywaniu) danych osobowych Uczestnika w celu ustalenia i dochodzenia w przyszłości oraz obrony przed przyszłymi roszczeniami, w okresie do upływu terminów ich przedawnienia. Przetwarzanie takie znajduje podstawę w art. 6 ust. 1 lit. f RODO w związku z art. 118 k.c. Dla uznania istnienia po stronie Spółki interesu w przetwarzaniu danych w ww. celu, ograniczonym do ich przechowywania i do interesu prawnie uzasadnionego, wystarczająca jest już sama możliwość wystąpienia z roszczeniem w okresie do upływu terminu jego przedawnienia. Wbrew twierdzeniom Prezesa UODO Spółka nie musi wykazywać, że roszczenie już istnieje i zostało przez którąś ze stron zgłoszone. Gdyby bowiem uznać takie stanowisko Organu za trafne, mogłoby to prowadzić do sztucznego kreowania roszczeń przez administratorów danych tylko po to, aby uzasadnić dalsze przechowywanie danych osobowych. Prezes UODO wniósł o oddalenie skargi, podtrzymując w odpowiedzi na skargę stanowisko wyrażone w uzasadnieniu zaskarżonej decyzji i wywodząc, że podniesione przez Spółkę zarzuty nie znajdują uzasadnienia w aktach sprawy oraz mających w sprawie zastosowanie przepisach prawa materialnego i przepisach postępowania. W uzasadnieniu Organ podkreślił, że proces przetwarzania danych można uznać za zgodny z prawem wyłącznie wówczas, gdy administrator danych wykaże spełnienie choćby jednej przesłanki wymienionej w art. 6 ust. 1 RODO. Organ wskazał, że Uczestnik nie wystąpił z jakimkolwiek roszczeniem wobec Spółki, które uzasadniałoby uprawnienie Spółki do zachowania i przetwarzania jego danych osobowych pozyskanych w związku z błędnie przeniesionym numerem dla celów dowodowych w związku z dochodzeniem przez Uczestnika tego roszczenia. Spółka nie wskazała także na istnienie roszczeń, których dochodzi od Uczestnika. W ocenie Prezesa UODO brak jest zatem spełnienia wskazywanej przez Spółkę przesłanki niezbędności procesu przetwarzania danych osobowych Uczestnika postępowania do celów wynikających z prawnie usprawiedliwionych interesów realizowanych przez Spółkę. Prezes UODO stwierdził, że Spółka przetwarza dane osobowe Uczestnika w ww. celu wyłącznie "na zapas", aby zabezpieczyć się przed ewentualnymi przyszłymi i niepewnymi roszczeniami Uczestnika. Tym samym Spółka w sposób nieuprawniony zakłada, że legalne jest pozostawienie danych osobowych w swoich zasobach z potencjalną możliwością ich wykorzystania na wypadek roszczeń, które mogą pojawić się w przyszłości. Wobec powyższego, kontynuowanie do chwili obecnej przetwarzania danych osobowych Uczestnika w celu ustalenia, dochodzenia lub obrony przed ewentualnymi, przyszłymi i niepewnymi roszczeniami, należy uznać za zbędne i niezgodne z obowiązującymi przepisami o ochronie danych osobowych. W ocenie Organu Spółka niezasadnie skupiła się na swoich interesach gospodarczych, nie dostrzegając jednocześnie, że z punktu widzenia ochrony danych osobowych dane te mogą być wprawdzie przetwarzane do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, ale wyłącznie wówczas, gdy interesy te są nadrzędne nad interesami i prawami osoby, której dane dotyczą. Prezes UODO wskazał, że brak jest uzasadnienia dla przyjęcia, iż terminy dotyczące przedawnienia roszczeń wynikających ze stosunków zobowiązaniowych określają jednocześnie ramy czasowe, w których dane osobowe mogą być przetwarzane przez Spółkę. Przedawnienie roszczenia nie wywołuje skutków na gruncie ochrony danych osobowych, nie wpływa bowiem na fakt istnienia roszczenia, a powoduje jedynie zmianę w sferze zarzutów procesowych w postaci możliwości podniesienia okoliczności przedawnienia w sporze sądowym. Podkreślenia wymaga, że okolicznością usprawiedliwiającą przetwarzanie danych osobowych w celu dochodzenia roszczeń jest sam fakt istnienia roszczenia oraz zamiar jego dochodzenia, nie jest nią natomiast zmiana w uprawnieniach procesowych podmiotu pozwanego. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: Stosownie do treści art. 3 § 1 ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2023 r., poz. 259, zwana dalej: P.p.s.a), sądy administracyjne sprawują kontrolę działalności administracji publicznej i stosują środki określone w ustawie. Oznacza to, iż sąd rozpoznając skargę, ocenia, czy zaskarżona decyzja nie narusza przepisów prawa materialnego bądź przepisów postępowania administracyjnego. Zgodnie z art. 134 P.p.s.a. Sąd rozstrzyga w granicach danej sprawy, nie będąc jednak związany zarzutami i wnioskami skargi oraz powołaną w niej podstawą prawną. Uwzględnienie skargi następuje w przypadku stwierdzenia naruszenia przez Sąd przepisów prawa, wskazanego w art. 145 § 1 pkt 1 P.p.s.a. W pierwszej kolejności wyjaśnić należy, że postępowanie w sprawie naruszenia przepisów o ochronie danych jest jednym z postępowań administracyjnych przed Prezesem UODO. O takim jego charakterze rozstrzyga art. 7 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r., poz. 1781, zwana dalej: u.o.d.o.), zgodnie z którym w sprawach nieuregulowanych w ustawie do postępowań administracyjnych przed Prezesem Urzędu Ochrony Danych Osobowych, o których mowa w rozdziale 4-7 i 11 (a więc również w rozdziale 7 dotyczącym postępowania w sprawie naruszenia przepisów o ochronie danych osobowych), stosuje się przepisy Kodeksu postępowania administracyjnego (dalej jako k.p.a.). Według zasad określonych w k.p.a., prowadzone jest też postępowanie dowodowe oraz postępowanie wyjaśniające – pozwalające ustalić dokładny stan faktyczny w danej sprawie. W wyniku postępowania wyjaśniającego organ administracji publicznej ma dojść do wskazanej w art. 7 k.p.a. prawdy obiektywnej, co czyni za pomocą środków dowodowych. Stan faktyczny sprawy został opisany we wcześniejszej części uzasadnienia i nie jest sporny. Skarżący przetwarza dane osobowe Uczestnika postępowania – M. G. – w zakresie: imienia i nazwiska, adresu zamieszkania, adresu e-mail, numeru telefonu, numeru PESEL oraz numeru dowodu osobistego. Dane te pozyskane zostały przez Skarżącą Spółkę w związku ze świadczeniem na rzecz Uczestnika postępowania usług telekomunikacyjnych. Obecnie Spółka przetwarza ww. dane osobowe z uwagi na wniesioną przez uczestnika postępowania reklamację, która dotyczyła błędnego przeniesienia do sieci telekomunikacyjnej Spółki numeru Uczestnika postępowania. Dodać należy, iż reklamacja została rozpatrzona przez Spółkę pozytywnie i numer Uczestnika postępowania w dniu 14 października 2020 r. został zwrócony przez Spółkę do pierwotnego operatora. Zgodnie z art. 6 ust. 1 rozporządzenia 2016/679 przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy – i w takim zakresie, w jakim – spełniony jest co najmniej jeden z poniższych warunków: a) osoba, której dane dotyczą wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów; b) przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy; c) przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze; d) przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej; e) przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi; f) przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem. Akapit pierwszy lit. f) nie ma zastosowania do przetwarzania, którego dokonują organy publiczne w ramach realizacji swoich zadań. W myśl natomiast art. 17 ust. 1 rozporządzenia 2016/679 osoba, której dane dotyczą, ma prawo żądania od administratora niezwłocznego usunięcia dotyczących jej danych osobowych, a administrator ma obowiązek bez zbędnej zwłoki usunąć dane osobowe, jeżeli zachodzi jedna z następujących okoliczności: a) dane osobowe nie są już niezbędne do celów, w których zostały zebrane lub w inny sposób przetwarzane; b) osoba, której dane dotyczą, cofnęła zgodę, na której opiera się przetwarzanie zgodnie art. 6 ust. 1 lit. a) lub art. 9 ust. 2 lit. a), i nie ma innej podstawy prawnej przetwarzania; c) osoba, której dane dotyczą, wnosi sprzeciw na mocy art. 21 ust. 1 wobec przetwarzania i nie występują nadrzędne prawnie uzasadnione podstawy przetwarzania lub osoba, której dane dotyczą, wnosi sprzeciw na mocy art. 21 ust. 2 wobec przetwarzania; d) dane osobowe były przetwarzane niezgodnie z prawem; e) dane osobowe muszą zostać usunięte w celu wywiązania się z obowiązku prawnego przewidzianego w prawie Unii lub prawie państwa członkowskiego, któremu podlega administrator; f) dane osobowe zostały zebrane w związku z oferowaniem usług społeczeństwa informacyjnego, o których mowa w art. 8 ust. 1 Kodeks cywilny (z dnia 23 kwietnia 1964 r., t.j. Dz.U. 2019, poz.1145) w art. 117 § 1 stanowi, że z zastrzeżeniem wyjątków w ustawie przewidzianych, roszczenia majątkowe ulegają przedawnieniu. Stosownie do § 2, po upływie terminu przedawnienia ten, przeciwko komu przysługuje roszczenie, może uchylić się od jego zaspokojenia, chyba że zrzeka się korzystania z zarzutu przedawnienia. Jednakże zrzeczenie się zarzutu przedawnienia przed upływem terminu jest nieważne. W myśl § 21 po upływie terminu przedawnienia nie można domagać się zaspokojenia roszczenia przysługującego przeciwko konsumentowi. Zgodnie z art. 118 k.c. jeżeli przepis szczególny nie stanowi inaczej, termin przedawnienia wynosi sześć lat, a dla roszczeń o świadczenia okresowe oraz roszczeń związanych z prowadzeniem działalności gospodarczej – trzy lata. Jednakże koniec terminu przedawnienia przypada na ostatni dzień roku kalendarzowego, chyba że termin przedawnienia jest krótszy niż dwa lata. Na podstawie art. 119 k.c., terminy przedawnienia nie mogą być skracane ani przedłużane przez czynność prawną. Jako podstawę aktualnego przetwarzania danych osobowych Uczestnika, Spółka wskazała zabezpieczenie swoich interesów w przypadku ewentualnego dochodzenia przez niego ewentualnych roszczeń. Jednak zebrany przez organ w toku postępowania administracyjnego materiał dowodowy nie wykazał, by Uczestnik wystąpił wobec Spółki z jakimkolwiek roszczeniem, które uprawniłoby Spółkę do zachowania i przetwarzania jego danych osobowych dla celów dowodowych w związku z dochodzeniem przez nich tego roszczenia. Gdyby natomiast (hipotetycznie) Uczestnik wystąpił z roszczeniami do sądu powszechnego, musiałby podać wszystkie swoje dane osobowe, niezbędne do prowadzenia postępowania, określone w Kodeksie postępowania cywilnego (dalej jako k.p.c.). Przepis art. 126 § 1 k.p.c. stanowi, że każde pismo procesowe powinno zawierać: 1) oznaczenie sądu, do którego jest skierowane; 2) imiona i nazwiska lub nazwy stron, ich przedstawicieli ustawowych i pełnomocników; 3) oznaczenie rodzaju pisma; 4) osnowę wniosku lub oświadczenia; 5) w przypadku, gdy jest to konieczne do rozstrzygnięcia co do wniosku lub oświadczenia – wskazanie faktów, na których strona opiera swój wniosek lub oświadczenie, oraz wskazanie dowodu na wykazanie każdego z tych faktów; 6) podpis strony albo jej przedstawiciela ustawowego lub pełnomocnika; 7) wymienienie załączników. Zgodnie z § 2, gdy pismo procesowe jest pierwszym pismem w sprawie, powinno ponadto zawierać oznaczenie przedmiotu sporu oraz: 1) oznaczenie miejsca zamieszkania lub siedziby i adresy stron albo, w przypadku gdy strona jest przedsiębiorcą wpisanym do Centralnej Ewidencji i Informacji o Działalności Gospodarczej – adres do korespondencji wpisany do Centralnej Ewidencji i Informacji o Działalności Gospodarczej; 11) oznaczenie miejsca zamieszkania lub siedziby i adresy przedstawicieli ustawowych i pełnomocników stron; 2) numer Powszechnego Elektronicznego Systemu Ewidencji Ludności (PESEL) lub numer identyfikacji podatkowej (NIP) powoda będącego osobą fizyczną, jeżeli jest on obowiązany do jego posiadania lub posiada go, nie mając takiego obowiązku lub 3) numer w Krajowym Rejestrze Sądowym, a w przypadku jego braku – numer w innym właściwym rejestrze, ewidencji lub NIP powoda niebędącego osobą fizyczną, który nie ma obowiązku wpisu we właściwym rejestrze lub ewidencji, jeżeli jest on obowiązany do jego posiadania. Spółka, jako hipotetyczny pozwany, nie musi więc przechowywać tak daleko idących danych Uczestnika, jak ustalone w sprawie, na wypadek wystąpienia przez niego z ewentualnymi roszczeniami ("na zapas"), gdyż w potencjalnie wniesionym pozwie musiałyby one zostać przez wnioskodawcę podane, Spółka miałaby zatem do nich pełny wgląd. Brak w pozwie tych danych Uczestnika musiałby zostać uzupełniony pod rygorem zwrotu pozwu (art.130 k.p.c.), Uczestnik nie może więc uniknąć ich podania. Prawidłowo zatem Organ uznał, że brak jest spełnienia wskazywanej przez Spółkę przesłanki niezbędności przetwarzania danych do celów, wynikających z prawnie usprawiedliwionych interesów, realizowanych przez administratora odnośnie przetwarzania skarżonych danych osobowych. Przesłanka z art. 6 ust 1 lit. f rozporządzenia 2016/679 dotyczy sytuacji już istniejącej, w której celem wynikającym z prawnie uzasadnionych interesów realizowanych, przez administratora jest konieczność udowodnienia, potrzeba dochodzenia lub obrony przed roszczeniem istniejącym, nie zaś sytuacji, gdy dane są przetwarzane w celu zabezpieczenia się przed ewentualnym roszczeniem. W orzecznictwie sądów administracyjnych w odniesieniu do przesłanki analogicznej do art. 6 ust. 1 lit. f rozporządzenia 2016/679 wynikającej z art. 23 ust. 1 pkt 5 uprzednio obowiązującej ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. 2016 r. poz. 922 ze zm.) wypracowane zostało stanowisko, że przetwarzanie danych winno być niezbędne dla wypełnienia prawnie usprawiedliwionych celów. Niedopuszczalne jest więc przetwarzanie danych osobowych niejako "na zapas" z założeniem, że mogą być one ewentualnie przydatne w przyszłości oraz z odwołaniem się przy tym do przepisów dotyczących przedawnienia roszczeń cywilnoprawnych. Przeciwna argumentacja prowadziłaby do absurdalnych wniosków, że banki są uprawnione dłużej przetwarzać dane osób, z którymi nie łączył je stosunek prawny, niż dane osób z którymi doszło do zawarcia umowy kredytowej, a w stosunku do których mają zastosowanie ograniczenia wynikające z przepisów art. 105a Prawa bankowego. Odwoływanie się w tym wypadku do celów dowodowych na potrzeby ewentualnych postępowań cywilnych, karnych, czy też administracyjnych jakie klient mógłby potencjalnie wtoczyć bankowi na tle nieistniejącego miedzy stronami stosunku zobowiązaniowego, nie znajduje żadnego logicznego, ani prawnego uzasadnienia (por. wyroki: Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 12 lipca 2017 r. sygn. akt II SA/Wa 2221/16, Naczelnego Sądu Administracyjnego z dnia 27 sierpnia 2019 r. sygn. akt I OSK 2567/17, Naczelnego Sądu Administracyjnego z dnia 6 marca 2019 r. sygn. akt I OSK 994/17, publ.: orzeczenia.nsa.gov.pl). Sąd w tym składzie podziela stanowisko Organu, że wskazana przez Spółkę podstawa nie uzasadnia przetwarzania danych osobowych Uczestnika, bowiem nie wystąpił on z żadnym roszczeniem wobec Spółki, zaś postępowanie reklamacyjne zostało już zakończone. Tym samym przetwarzanie jego danych osobowych nie ma umocowania w przepisach prawa i nie jest niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez Spółkę, a w szczególności podjęcia obrony przed ewentualnymi reklamacjami lub roszczeniami odszkodowawczymi. Niezasadny jest podniesiony w skardze zarzut, dotyczący naruszenia art. 6 pkt 1 lit. f rozporządzenia 2016/679 w związku z art. 118 k.c., bowiem jak przedstawiono wyżej Prezes UODO prawidłowo wywiódł, że określona tym przepisem podstawa przetwarzania danych osobowych w niniejszej sprawie nie wystąpiła. Mając na uwadze powołane okoliczności, Sąd działając na podstawie art. 151 P.p.s.a., orzekł o oddaleniu skargi.