II SA/Wa 2306/22

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Andrzej Kołodziej, Sędzia WSA Joanna Kruszewska-Grońska (spr.), Sędzia WSA Joanna Kube, Protokolant starszy sekretarz sądowy Marcin Rusinowicz-Borkowski po rozpoznaniu na rozprawie w dniu 20 lipca 2023 r. sprawy ze skargi Polskiego Związku [...] na pkt 1 decyzji Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] października 2022 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę

Pismem z [...] lutego 2022 r. B. B. (dalej: "uczestnik postępowania", "B. B.") złożył skargę do Prezesa Urzędu Ochrony Danych Osobowych (dalej: "PUODO", "organ") na nieprawidłowości w procesie przetwarzania jego danych osobowych przez Polski Związek [...] (dalej: "skarżący", "PZ[...]", "Związek") polegające na: - przetwarzaniu bez podstawy prawnej jego danych osobowych w zakresie imienia ojca, miejsca pracy, miejsca urodzenia, daty urodzenia i wykształcenia; - niedoręczeniu mu klauzuli informacyjnej; - nieudzieleniu mu odpowiedzi na wniosek z [...] stycznia 2022 r. o przekazanie informacji w przedmiocie przetwarzania jego danych osobowych przez Związek. W skardze uczestnik postępowania podniósł, że wstępując do PZ[...] w dniu [...] maja 2010 r. był zmuszony wypełnić - pod rygorem odmowy przyjęcia - ankietę personalną, która obejmowała m.in. imię ojca, miejsce pracy, miejsce urodzenia, datę urodzenia i wykształcenie. Według B. B., skarżący przetwarza te dane osobowe nieadekwatnie do celu przetwarzania, bez podstawy prawnej oraz bez jego zgody. Dotychczas Związek nie poinformował B. B. o przysługujących mu prawach ani nie doręczył mu klauzuli informacyjnej dotyczącej przetwarzanych danych osobowych, Ponadto PZ[...] nie odpowiedział na wiadomość elektroniczną (e-maila) uczestnika postępowania z [...] stycznia 2022 r., co należy zaklasyfikować jako oczywiste naruszenie art. 12 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych - Dz. Urz. UE L 119 z 4 maja 2016 r., str. 1; Dz. Urz. UE L 127 z 23 maja 2018 r., str. 2; Dz. Urz. UE L 74 z 4 marca 2021 r., str. 35; dalej: "RODO"). Zdaniem B. B., skarżący powinien: - zaprzestać przetwarzania jego danych osobowych w zakresie imienia ojca, miejsca pracy, miejsca urodzenia, daty urodzenia i wykształcenia, gdyż brak jest ku temu podstawy prawnej; - doręczyć mu klauzulę informacyjną dotyczącą danych, które przetwarza; - udzielić mu odpowiedzi na pytania zawarte w e-mailu z [...] stycznia 2022 r. Następnie w piśmie z [...] maja 2022 r. uczestnik postępowania zmodyfikował, tj. rozszerzył powyższą skargę o zarzut bezprawnego przetwarzania jego danych osobowych w zakresie zawodu i numeru telefonu. Podkreślił, iż po wejściu w życie RODO Związek nie poinformował go o zamiarze przetwarzania jego danych osobowych; nie przeprowadził adekwatnej analizy ryzyka, uznając za zbędny wysiłek masowe wysyłanie prośby o zgodę na przetwarzanie danych osobowych, których konieczność przetwarzania nie wynika z przepisów prawa; nie uwzględnił zasady minimalizacji przetwarzania danych osobowych. Po przeprowadzeniu postępowania administracyjnego, zainicjowanego ww. skargą, organ decyzją nr [...], wydaną [...] października 2022 r. na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (obecnie tekst jednolity: Dz. U. z 2023 r., poz. 775 ze zm.; dalej: "k.p.a.") w związku z art. 7 ust. 1 i ust. 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r., poz. 1781; dalej: "u.o.d.o."), a także art. 6 ust. 1, art. 12 ust. 3 i ust. 4, art. 13 ust. 1 i ust. 2, art. 15 ust. 1 oraz art. 58 ust. 2 lit b) i lit. d) RODO, w pkt 1 nakazał Związkowi zaprzestanie przetwarzania danych osobowych uczestnika postępowania w zakresie imienia ojca, miejsca pracy, wykształcenia, zawodu i numeru telefonu, pozyskanych z dokumentów wypełnionych przez niego w dniu [...] maja 2010 r. (deklaracji członkowskich i karty ewidencyjnej członka); w pkt 2 udzielił upomnienia PZ[...] za naruszenie art. 12 ust. 3 i ust. 4 RODO poprzez przekroczenie terminu, o którym mowa w tych przepisach, w związku z udzieleniem odpowiedzi na wniosek B. B. z [...] stycznia 2022 r. o udzielenie informacji w sprawie przetwarzania jego danych osobowych; w pkt 3 odmówił uwzględnienia wniosku (skargi) w pozostałym zakresie. W uzasadnieniu decyzji PUODO podał, że w toku postępowania wyjaśniającego ustalił, że B. B. jest członkiem Związku i w dniu [...] maja 2010 r. wypełnił: - dwie deklaracje członkowskie do PZ[...], w których podane zostały jego dane osobowe m.in. w zakresie numeru PESEL, imienia ojca, miejsca urodzenia, daty urodzenia, zawodu i numeru telefonu, - kartę ewidencyjną członka Związku, w której podał skarżącemu swoje dane osobowe m.in. w zakresie numeru PESEL, imienia ojca, określenia miejsca pracy, miejsca urodzenia, daty urodzenia, wykształcenia, zawodu i numeru telefonu. Uczestnik postępowania nie udostępnił Związkowi swoich danych osobowych w zakresie imienia ojca, miejsca pracy, miejsca urodzenia, daty urodzenia, wykształcenia, zawodu lub numeru telefonu po dniu [...] maja 2018 r., w szczególności nie przekazał PZ[...] wypełnionej ankiety "Dane osobowe myśliwego - aktualizacja". Skarżący stwierdził, że nie przetwarza danych osobowych uczestnika postępowania innych niż te, które B. B. przekazał Związkowi. Dane osobowe takie jak: imię, nazwisko, imię ojca, data urodzenia, miejsce urodzenia, PESEL, płeć, obywatelstwo, data wstąpienia do PZ[...], numer legitymacji, adres zamieszkania oraz numer telefonu służą skarżącemu do weryfikacji podmiotu i statusu członka Związku, do kontaktu z nim oraz ustalenia, od kiedy przysługuje mu status członka Związku, a także określenia właściwego zarządu okręgowego Związku. Niemożność weryfikacji sprawiłaby, iż zainteresowany myśliwy nie mógłby w pełni realizować swoich praw jako członek PZ[...], zatem doszłoby do naruszenia postanowień umowy, która powstała w momencie, gdy uczestnik postępowania został członkiem Związku. W tym aspekcie skarżący powołał się na ugruntowane w orzecznictwie sądów powszechnych oraz doktrynie stanowisko, iż statut PZ[...] jako stowarzyszenia jest rodzajem umowy. Dalej skarżący wyjaśnił, że dane dotyczące wykształcenia wyższego, zawodu oraz miejsca pracy służą mu do celów statystycznych na podstawie art. 6 ust. 1 lit. f) RODO. W ten sposób odbywa się weryfikacja, w jakich branżach, zawodach i miejscach pracy rozwija się kultura łowiectwa, do wspierania której Związek jest zobowiązany na mocy art. 34 ustawy z dnia 13 października 1995 r. Prawo łowieckie (obecnie tekst jednolity: Dz. U. z 2023 r., poz. 1082; dalej: "P.ł."). Te dane osobowe B. B. PZ[...] przetwarza w zbiorze danych Myśliwi, w systemie informatycznym [...] w [...]. Związek oświadczył, iż wypełnił wobec uczestnika postępowania obowiązek informacyjny określony w art. 13 RODO, doręczając mu [...] stycznia 2022 r. e-mailem klauzulę informacyjną zawierającą wszystkie informacje objęte późniejszym wnioskiem B. B., który stał się powodem skargi. Dalej skarżący wyjaśnił, że dane osobowe uczestnika postępowania w zakresie imienia ojca, miejsca urodzenia i daty urodzenia przetwarza w ramach realizacji obowiązków i zadań prawnych nałożonych na niego przez ustawy i rozporządzenia, w celu udzielania informacji i wyjaśnień na żądanie m.in. uprawnionych organów administracji publicznej, organów ścigania, a także w celu wykonania umowy łączącej z B. B., w szczególności realizacji jego praw przez PZ[...] i egzekwowania przez Związek od uczestnika postępowania obowiązków wynikających z członkostwa w PZ[...]. Powyższe dane skarżący przetwarza w zbiorze danych Myśliwi, w systemie informatycznym [...] w [...]. Również numer telefonu B. B. Związek przetwarza w ww. zbiorze i ww. celu wykonania umowy łączącej go z uczestnikiem postępowania oraz w celu nawiązania bezpośredniego kontaktu z B. B. w przypadku wystąpienia takiej potrzeby. Natomiast skarżący nie przetwarza danych osobowych uczestnika postępowania w celach archiwalnych. Następnie PUODO odnotował w decyzji, że Związek w sprawozdaniach z działalności za poszczególne okresy oraz w broszurach informacyjnych publikował informacje o ilości (liczbie) lub procencie myśliwych z określonym wykształceniem lub wykonywanym zawodem/miejscem pracy. Motywując swoje rozstrzygnięcie, organ nie podzielił zapatrywania skarżącego, iż statut stowarzyszenia jest rodzajem umowy. Powołując się na stanowisko doktryny i judykatury, w tym wyrok Trybunału Konstytucyjnego z 6 listopada 2012 r., sygn. akt K 21/11, PUODO uznał Związek za organizację niebędącą stowarzyszeniem, w której dominuje aspekt publicznoprawny, wykazującą cechy samorządu i organizacji przymusowej. Z tego względu sam fakt członkostwa uczestnika postępowania w PZ[...] nie oznacza możliwości przetwarzania jego danych osobowych w oparciu o przesłankę określoną w art. 6 ust. 1 lit. b) RODO. Według organu, treść formularza "Dane osobowe myśliwego - aktualizacja", który został przesłany B. B. [...] stycznia 2022 r. przez pracownika Zarządu Okręgowego Związku w [...], również nie potwierdza, aby Związek przetwarzał lub zamierzał przetwarzać dane osobowe swoich członków na podstawie ww. przesłanki. Przesłanka ta nie została wymieniona w klauzuli informacyjnej dotyczącej przetwarzania danych osobowych, zamieszczonej w ww. formularzu. PUODO podniósł, iż przepisy P.ł. nie normują wprost zakresu danych osobowych członków PZ[...], które skarżący jest uprawniony lub zobowiązany przetwarzać. Zakres danych osobowych zbieranych od członków Związku został wskazany we wzorach deklaracji członkowskich, które - stosownie do delegacji zawartej w art. 32 ust. 4 pkt 10 P.ł. - są określane w statucie Związku. Jednakże uczestnik postępowania złożył deklaracje członkowskie w 2010 r., czyli w innym stanie prawnym, a skargę na nieprawidłowości w procesie pozyskania danych osobowych wniósł w czasie obowiązywania przepisów RODO, zatem PUODO nie jest uprawniony do oceny, czy dopuszczalne było pozyskanie przez PZ[...] danych osobowych zawartych w tych deklaracjach, ale jest zobowiązany ocenić proces przetwarzania danych osobowych B. B. pod rządami przepisów RODO oraz uwzględnić fakt posiadania przez skarżącego przedmiotowych deklaracji oraz innych dokumentów złożonych przez uczestnika postępowania w związku z przyjmowaniem w poczet członków Związku, jako element stanu faktycznego sprawy. Ustalając, czy przetwarzanie przez skarżącego danych osobowych B. B. w kwestionowanym przez niego zakresie, znajduje oparcie w przynajmniej jednej z przesłanek legalizujących wymienionych w art. 6 ust. 1 RODO, organ wskazał na art. 32 ust. 5 pkt 4 P.ł. i w tym kontekście podał, że uczestnik postępowania nabył uprawnienia do wykonywania polowania [...] kwietnia 2010 r. W tym dniu złożył bowiem egzamin przed komisją egzaminacyjną przy Zarządzie Okręgowym PZ[...] w [...]. Ze wzorów dokumentów potwierdzających uzyskanie uprawnień do wykonywania polowania, stanowiących załączniki nr 1-3 do rozporządzenia Ministra Środowiska z dnia 28 grudnia 2009 r. w sprawie uprawnień do wykonywania polowania (Dz. U. z 2010 r. Nr 3, poz. 19; dalej: "rozp. z 2009 r.") wynika, iż osoba, która uzyskała ww. uprawnienia, identyfikowana jest w treści zaświadczeń o uzyskaniu tych uprawnień poprzez dane w zakresie imion, nazwiska, daty urodzenia, miejsca urodzenia i numeru dokumentu potwierdzającego tożsamość. Ponadto uwzględniając, że: w systemie informatycznym Związku przetwarzane są dane więcej niż jednego członka o takim samym imieniu i nazwisku jak uczestnik postępowania, od daty uzyskania przez B. B. przedmiotowych uprawnień upłynęło 12 lat, a dowody osobiste ważne są przez okres 10 lat od daty wydania osobom pełnoletnim (stosownie do treści art. 7 ust. 2 ustawy z dnia 6 sierpnia 2010 r. o dowodach osobistych), aktualnie - bez posiadania informacji o miejscu i dacie urodzenia uczestnika postępowania - skarżący nie byłby w stanie powiązać jego osoby z faktem posiadania przez niego uprawnień do wykonywania polowania. Tak więc podstawą przetwarzania przez PZ[...] danych osobowych uczestnika postępowania w zakresie miejsca urodzenia i daty urodzenia jest przesłanka niezbędności przetwarzania tych danych w ramach sprawowania władzy publicznej powierzonej administratorowi określona w art. 6 ust. 1 lit. e) RODO. Jednocześnie PUODO stwierdził brak podstaw do przetwarzania ww. danych osobowych w celu udzielania informacji i wyjaśnień na ewentualne żądanie uprawnionych organów administracji publicznej i organów ścigania, czyli niejako "na przyszłość", gdyż zgromadzony w sprawie materiał dowodowy nie potwierdził, aby organy te zwracały się do Związku z żądaniem udzielenia informacji o B. B.. Skarżący przedstawił kopie pism: Instytutu Pamięci Narodowej - Komisji Ścigania Zbrodni przeciwko Narodowi Polskiemu z [...] października 2021 r. do Zarządu Okręgowego Związku w [...] oraz Komendy Wojewódzkiej Policji w [...] z [...] listopada 2020 r. do Zarządu Okręgowego Związku w [...], które nie dotyczą danych osobowych uczestnika postępowania. W rezultacie organ zakwestionował praktykę przetwarzania danych osobowych "na zapas", tj. na wypadek, gdyby mogły okazać się przydatne do realizacji danego celu w przyszłości. W kwestii przetwarzania przez skarżącego danych osobowych w zakresie imienia ojca B. B. PUODO odnotował, że pozyskanie tej danej przez Związek od jego potencjalnych członków legalizuje § 4 rozp. z 2009 r. stanowiący, iż pisemny wniosek o złożenie egzaminu składa się we wskazanym statutem organie Polskiego Związku [...] powołującym komisję egzaminacyjną (ust. 1); wniosek powinien zawierać imię, nazwisko, imiona rodziców, datę i miejsce urodzenia oraz adres do korespondencji (ust. 2). Przy czym, w ocenie organu, cyt. wyżej przepisy nie uzasadniają przetwarzania przez skarżącego informacji o imieniu ojca uczestnika postępowania w dokumentach wypełnionych w dniu [...] maja 2010 r. (tj. dwóch deklaracjach członkowskich i karcie ewidencyjnej członka Związku), a zatem już po przeprowadzeniu egzaminu z udziałem B. B.. Informacja o imieniu ojca jest zbędna PZ[...] dla powiązania uczestnika postępowania z faktem posiadania przez niego uprawnień do wykonywania polowania (do takiej identyfikacji służą dane zawarte w zaświadczeniu o uzyskaniu tych uprawnień takie jak imiona, nazwisko, data urodzenia, miejsce urodzenia i numer dokumentu potwierdzającego tożsamość), jak również dla zweryfikowania jego przynależności do Związku (to jednoznacznie identyfikuje numer PESEL). W myśl art. 32 ust. 5 P.ł. złożenie deklaracji członkowskiej jest jednym z warunków uzyskania członkostwa w PZ[...], lecz sam fakt zebrania danych osobowych za pomocą deklaracji nie przesądza o niezbędności danych osobowych. W konsekwencji PUODO nie znalazł podstawy legalizującej przetwarzanie przez Związek danej osobowej w postaci imienia ojca uczestnika postępowania, zwłaszcza że B. B. nie wyraził zgody na przetwarzanie tej danej. Wobec tego ustalenia, organ uznał za zasadne skorzystanie z instrumentu o charakterze naprawczym, przewidzianego w art. 58 ust. 2 lit. d) RODO i nakazanie skarżącemu zaprzestania przetwarzania pozyskanych z dokumentów wypełnionych przez uczestnika postępowania w dniu [...] maja 2010 r. (deklaracji członkowskich i karty ewidencyjnej członka Związku) jego danych osobowych w zakresie imienia ojca. Dalej PUODO ocenił, iż skarżący nie przetwarza informacji o numerze telefonu B. B. w celu wykonania łączącej ich umowy, czyli na mocy art. 6 ust. 1 lit. b) RODO. Przede wszystkim, organ uznał, że stosunek pomiędzy PZ[...] i uczestnikiem postępowania nie ma charakteru umownego. Nawet jeśliby przyjąć, że Statut Związku jest rodzajem umowy, to dokument ten (stanowiący załącznik do uchwały [...] Krajowego Zjazdu Delegatów Związku z [...] lutego 2019 r.) przewiduje formę pisemną (a nie telefoniczną) dla prowadzenia przez Związek komunikacji z jego członkami, zaś w przypadku wyrażenia przez członka PZ[...] pisemnej zgody, dopuszcza możliwość dostarczania korespondencji drogą elektroniczną. I tak zgodnie z § 13 ust. 2 pkt 4 Statutu Związku, skreślenie z rejestru członków Związku osób fizycznych następuje po uprzednim pisemnym wezwaniu za potwierdzeniem odbioru do wpłacenia zaległych składek w terminie 30 dni od otrzymania wezwania. Z kolei według § 107 ust. 8 Statutu Związku, jego członek może wyrazić pisemną zgodę na dostarczanie mu korespondencji drogą elektroniczną, a zawiadomienie drogą elektroniczną wypełnia warunek skutecznego zawiadomienia. PUODO skonstatował, iż posiadanie przez skarżącego numeru telefonu uczestnika postępowania w celu kontaktu z nim jest potencjalnie przydatne i może stanowić ułatwienie, ale nie jest niezbędne. Przesłanką legalizującą przetwarzanie tej danej mogłaby być zgoda przewidziana w art. 6 ust. 1 lit. a) RODO, jednak - jak ustalił organ - PZ[...] nie uzyskał od B. B. zgody w rozumieniu art. 4 pkt 11 RODO w związku z motywem 42 preambuły RODO. Za takową nie sposób uznać podania przez uczestnika postępowania numeru telefonu w deklaracjach członkowskich i karcie ewidencyjnej członka Związku, dlatego PUODO ponownie skorzystał z instrumentu o charakterze naprawczym, o którym mowa w art. 58 ust. 2 lit. d) RODO i nakazał skarżącemu zaprzestanie przetwarzania pozyskanych z dokumentów wypełnionych w dniu [...] maja 2010 r. informacji o numerze telefonu B. B.. Ten sam instrument PUODO zastosował względem PZ[...] w odniesieniu do przetwarzania przez skarżącego danych osobowych uczestnika postępowania w zakresie miejsca pracy, wykształcenia i zawodu. Analizując powołane przez Związek cele statystyczne w świetle motywu 47 preambuły RODO, organ nie dopatrzył się prawnie uzasadnionego interesu administratora. W przedmiotowej sprawie uczestnik postępowania nie miał świadomości o przetwarzaniu jego danych osobowych w zakresie miejsca pracy, wykształcenia i zawodu w celach statystycznych, w szczególności informacja o pozyskiwaniu danych w tym celu nie została zawarta w treści dokumentów, w których B. B. przekazał skarżącemu te dane. Takie działanie PZ[...] ograniczało prawo uczestnika postępowania do prywatności oraz prawo do autonomii informacyjnej, tj. dysponowania swoimi danymi w sposób uzależniony od woli lub działania osoby, której dane dotyczą. Nie zaistniała także żadna z pozostałych przesłanek wskazanych w art. 6 ust. 1 RODO odnośnie omawianego procesu przetwarzania. Ustosunkowując się do zarzutu niewypełnienia wobec uczestnika postępowania obowiązku informacyjnego z art. 13 RODO, organ przypomniał, że RODO jest stosowane od 25 maja 2018 r. (co wynika z treści art. 99 ust. 2 tego aktu). Realizacja obowiązków informacyjnych określonych w art. 13 ust. 1 i 2 RODO jest ściśle związana z pozyskiwaniem danych. Tymczasem dane osobowe, których dotyczy ww. zarzut, zostały pozyskane przez Związek jeszcze przed rozpoczęciem stosowania RODO, czyli przed 25 maja 2018 r. Wedle art. 13 ust. 4 RODO, ust. 1, 2 i 3 nie mają zastosowania, gdy - i w zakresie, w jakim - osoba, której dane dotyczą, dysponuje już tymi informacjami. Niezależnie od tego, organ zwrócił uwagę, że skarżący zrealizował względem uczestnika postępowania obowiązek informacyjny, zamieszczając "Klauzulę informacyjną dotyczącą przetwarzania danych osobowych" w przesłanym B. B. [...] stycznia 2022 r. formularzu zatytułowanym "Dane osobowe myśliwego - aktualizacja" oraz zawierając w skierowanej do niego korespondencji w styczniu 2022 r. odnośnika (linku) z opisem "Informacja dot. ochrony danych osobowych", prowadzącego do klauzuli informacyjnej odnośnie przetwarzania danych osobowych przez Związek. Skoro skarżący przekazał uczestnikowi postępowania informacje wymagane przez art. 13 ust. 1 i 2 RODO, to brak jest podstaw do nakazania mu spełnienia obowiązku informacyjnego określonego w tych przepisach. Dlatego PUODO w tym zakresie odmówił uwzględnienia wniosku B. B.. Kwestię braku odpowiedzi skarżącego na wniosek uczestnika postępowania z [...] stycznia 2022 r. o udzielenie informacji w sprawie przetwarzania jego danych osobowych, organ rozpatrywał na gruncie art. 15 ust. 1 i art. 12 RODO. Związek udzielił B. B. żądanej informacji, ale uczynił to dopiero drogą elektroniczną [...] kwietnia 2022 r., a więc po upływie 113 dni od daty wpływu przedmiotowego wniosku, podczas gdy przepisy art. 12 ust. 3 i 4 RODO nakazują administratorowi w terminie miesiąca (od otrzymania żądania): przekazać wnioskowane informacje albo poinformować o przedłużeniu terminu do przekazania tych informacji wraz z podaniem przyczyn opóźnienia, zaś w przypadku niezrealizowania wniosku - poinformować o powodach nieprzekazania informacji oraz o możliwości wniesienia skargi do organu nadzorczego i skorzystania ze środków ochrony prawnej przed sądem. Niepodjęcia żadnego z ww. działań w terminie miesiąca nie może tłumaczyć okoliczność, że skarżący uznał, iż uczestnik postępowania posiada już wiedzę co do tych danych, podstawy prawnej i celu ich przetwarzania. Dysponowanie przez osobę, której dane dotyczą, żądanymi informacjami, nie zwalnia z realizacji obowiązku informacyjnego bądź poinformowania o powodach braku realizacji wniosku i prawie wniesienia skargi do organu nadzorczego oraz do sądu. Natomiast w przypadku trudności z identyfikacją wnioskodawcy, Związek winien zwrócić się do niego w trybie art. 12 ust. 6 RODO o podanie dodatkowych informacji niezbędnych do ustalenia tożsamości członka PZ[...]. Mając na względzie wagę oraz charakter powyższego naruszenia, jak też jego nieodwracalność, PUODO udzielił skarżącemu upomnienia, o którym mowa w art. 58 ust. 2 lit. b) RODO, uznając ten środek prawny za adekwatny do stwierdzonego naruszenia. Pismem z [...] listopada 2022 r. Związek zaskarżył do Wojewódzkiego Sądu Administracyjnego w Warszawie opisaną wyżej decyzję organu w części obejmującej pkt 1, zarzucając naruszenie: 1) przepisów prawa materialnego, mające wpływ na wynik sprawy, tj.: a) art. 58 ust. 2 lit. d), art. 6 ust. 1 lit. c) i lit. e) RODO poprzez jego niewłaściwe zastosowanie polegające na niezastosowaniu i przyjęciu, że skarżący przetwarza dane osobowe w zakresie imienia ojca, numeru telefonu, miejsca pracy, wykształcenia i zawodu bez podstawy prawnej, a informacja o imieniu ojca nie jest niezbędna, podczas gdy administrator wykazał, że: - dane te są przetwarzane w związku z wykonaniem obowiązków prawnych nałożonych na PZ[...] oraz w ramach sprawowania władzy publicznej powierzonej administratorowi, a zatem Związek jest zobowiązany do wykazania w każdym czasie, iż dana osoba nabyła uprawnienia bez naruszenia procedury określonej w rozp. z 2009 r. oraz korzysta z tych uprawnień w sposób przewidziany przez P.ł. i Statut Związku, wykonania obowiązków przez Związek wynikających z przepisów prawa; - Statut PZ[...] z 2005 r. oraz z 2019 r. zostały uchwalone uchwałami Krajowego Zjazdu Delegatów Związku, a następnie dokumenty te zostały zatwierdzone przez ministra właściwego do spraw środowiska, zatem organ nadzorczy nie dostrzegł żadnego naruszenia przepisów prawa (w tym dotyczącego danych osobowych) i nie wykorzystał instrumentów przewidzianych w przypadku stwierdzenia naruszenia w ramach sprawowanego nadzoru, b) art. 58 ust. 2 lit. d) i art. 6 ust. 1 lit. f) RODO poprzez jego niewłaściwe zastosowanie polegające na niezastosowaniu i przyjęcie, że skarżący przetwarza dane osobowe uczestnika postępowania w zakresie miejsca pracy, wykształcenia i zawodu bez podstawy prawnej, podczas gdy przetwarzanie tych danych jest niezbędne do celów wynikających z jego prawnie uzasadnionych interesów, tj. prowadzenia badań statystycznych, c) ewentualnie naruszenie art. 6 ust. 1 lit. a) i art. 58 ust. 2 lit. d) RODO poprzez jego niewłaściwe zastosowanie polegające na niezastosowaniu i przyjęcie, że PZ[...] nie uzyskał zgody B. B. na przetwarzanie danych osobowych (imię ojca, numer telefonu, miejsce pracy, wykształcenie i zawód) podanych w treści dokumentów wypełnionych przez uczestnika postępowania w dniu [...] maja 2010 r., podczas gdy z wniosku o przyjęcie na staż (załączonego do pisma Związku z [...] sierpnia 2022 r.) wynika, że B. B. wyraził zgodę na przetwarzanie jego danych osobowych do celów statutowych Związku, a zatem w chwili wypełniania przez niego deklaracji członkowskich oraz karty ewidencyjnej skarżący dysponował już zgodą na przetwarzanie przedmiotowych danych osobowych, nadto uczestnik postępowania nie wycofał przedmiotowej zgody; 2) przepisów postępowania, mające wpływ na wynik postępowania, tj.: a) art. 7 k.p.a. poprzez zaniechanie wyjaśnienia okoliczności wyrażenia przez uczestnika postępowania zgody na przetwarzanie danych osobowych zawartych we wniosku o przyjęcie na staż, wyjaśnienia przyczyn, dla których B. B. nie poinformował PUODO o istnieniu takiego dokumentu, b) art. 75 § 1 k.p.a. poprzez pominięcie przez organ załączonego do pisma Związku z [...] sierpnia 2022 r. wniosku o przyjęcie na staż, z którego jednoznacznie wynika, że uczestnik postępowania wyraził zgodę na przetwarzanie danych osobowych wskazanych w ww. wniosku; c) art. 8 § 1, art. 11 i art. 107 § 1 pkt 6 k.p.a. poprzez przeprowadzenie postępowania w sposób, który nie wzbudza zaufania do PUODO, a także wadliwe sporządzenie uzasadnienia faktycznego i prawnego polegające na pominięciu w rozważaniach: - okoliczności złożenia do akt sprawy przez Związek ww. wniosku o przyjęcie na staż oraz wyrażenia zgody uczestnika postępowania na przetwarzanie danych osobowych, podczas gdy okoliczność ta ma istotne znaczenie dla legalności procesu przetwarzania przez Związek; - okoliczności zatwierdzenia Statutu z 2005 r. oraz z 2019 r. przez ministra właściwego do spraw środowiska jako podstawy legalizującej pozyskiwanie przedmiotowych danych osobowych, zaniechania skorzystania przez ww. organ z instrumentów nadzorczych. W oparciu o powyższe zarzuty Związek wniósł o uchylenie decyzji PUODO w zaskarżonym zakresie oraz zasądzenie od organu na jego rzecz zwrotu kosztów postępowania. W odpowiedzi na skargę PUODO wniósł o oddalenie skargi, podtrzymując stanowisko wyrażone w zaskarżonej decyzji. Wojewódzki Sąd Administracyjny w Warszawie, zważył co następuje: Skarga nie zasługuje na uwzględnienie. Zamknięty katalog przesłanek dopuszczalności przetwarzania danych osobowych określa art. 6 ust. 1 RODO. Zgodnie z tym przepisem, przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy - i w takim zakresie, w jakim - spełniony jest co najmniej jeden z poniższych warunków: a) osoba, której dane dotyczą wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów; b) przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy; c) przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze; d) przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej; e) przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi; f) przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem. Akapit pierwszy lit. f) nie ma zastosowania do przetwarzania, którego dokonują organy publiczne w ramach realizacji swoich zadań. Zakwestionowane przez organ dane osobowe w postaci imienia ojca uczestnika postępowania, miejsca pracy, wykształcenia, zawodu i numeru telefonu, stanowią tzw. zwykłe dane osobowe – w odróżnieniu od szczególnych kategorii danych osobowych ujętych w art. 9 i art. 10 RODO. Oznacza to, że zaistnienie jednej z ww. przesłanek (które są samoistne – równoważne, równoprawne) legalizuje przetwarzanie "zwykłej" danej osobowej. Według art. 5 ust. 1 lit. a, lit. b i lit. c RODO, dane osobowe muszą być przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą (zgodność z prawem, rzetelność i przejrzystość), zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach i nieprzetwarzane dalej w sposób niezgodny z tymi celami; dalsze przetwarzanie do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych nie jest uznawane w myśl art. 89 ust. 1 za niezgodne z pierwotnymi celami (ograniczenie celu) oraz adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane (minimalizacja danych). W ocenie Sądu, prawidłowo PUODO nakazał PZ[...] zaprzestania danych osobowych B. B. w zakresie imienia ojca, miejsca pracy, wykształcenia, zawodu i numeru telefonu, pozyskanych z deklaracji członkowskich i karty ewidencyjnej członka Związku, czyli z dokumentów wypełnionych przez uczestnika postępowania w dniu [...] maja 2010 r. Ustalenia faktyczne poczynione przez organ w odniesieniu do spornych danych są wszechstronne i klarowne. PUODO dokonał również trafnej oceny prawnej poczynionych ustaleń faktycznych. I tak pozyskanie danej osobowej w postaci imienia ojca B. B. uzasadnione było na etapie przystępowania uczestnika postępowania do egzaminu celem pozyskania uprawnień do wykonywania polowania - vide § 4 ust. 2 rozp. z 2009 r., w myśl którego wniosek o złożenie egzaminu powinien zawierać imię, nazwisko, imiona rodziców, datę i miejsce urodzenia oraz adres do korespondencji. Jak wskazuje art. 32 ust. 5 pkt 4 P.ł., tylko osoba fizyczna, która nabyła uprawnienia do wykonywania polowania, może zostać członkiem Związku. Natomiast nie znajduje podstawy przetwarzanie tej danej po pozytywnym złożeniu przez B. B. egzaminu mającego na celu uzyskanie uprawnień do wykonywania polowania i przyjęciu w poczet członków Związku. Także potrzeba ewentualnego kontaktu telefonicznego z uczestnikiem postępowania nie mieści się w żadnej w przesłanek legalizujących proces przetwarzania danych osobowych. Nie jest to bowiem dana niezbędna do kontaktu z B. B., skoro sam Statut PZ[...] przewiduje form pisemną kontaktu (ewentualnie drogę elektroniczną). Podobnie cele statystyczne nie mogą legalizować przetwarzania danych osobowych B. B. takich jak: miejsce pracy, wykształcenie i zawód. Przepis art. 6 ust. 1 lit. f) RODO odwołuje się do "prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią". Sformułowanie to następująco rozwija motyw 47 preambuły RODO: "Podstawą prawną przetwarzania mogą być prawnie uzasadnione interesy administratora, w tym administratora, któremu mogą zostać ujawnione dane osobowe, lub strony trzeciej, o ile w świetle rozsądnych oczekiwań osób, których dane dotyczą, opartych na ich powiązaniach z administratorem nadrzędne nie są interesy lub podstawowe prawa i wolności osoby, której dane dotyczą. Taki prawnie uzasadniony interes może istnieć na przykład w przypadkach, gdy zachodzi istotny i odpowiedni rodzaj powiązania między osobą, której dane dotyczą, a administratorem, na przykład gdy osoba, której dane dotyczą, jest klientem administratora lub działa na jego rzecz. Aby stwierdzić istnienie prawnie uzasadnionego interesu, należałoby w każdym przypadku przeprowadzić dokładną ocenę, w tym ocenę tego, czy w czasie i w kontekście, w którym zbierane są dane osobowe, osoba, której dane dotyczą, ma rozsądne przesłanki by spodziewać się, że może nastąpić przetwarzanie danych w tym celu. Interesy i prawa podstawowe osoby, której dane dotyczą, mogą być nadrzędne wobec interesu administratora danych w szczególności w przypadkach, gdy dane osobowe są przetwarzane w sytuacji, w której osoby, których dane dotyczą, nie mają rozsądnych przesłanek, by spodziewać się dalszego przetwarzania. Ponieważ dla organów publicznych podstawę prawną przetwarzania danych osobowych powinien określić ustawodawca, prawnie uzasadniony interes administratora nie powinien mieć zastosowania jako podstawa prawna do przetwarzania, którego dokonują organy publiczne w ramach realizacji swoich zadań. Prawnie uzasadnionym interesem administratora, którego sprawa dotyczy, jest również przetwarzanie danych osobowych bezwzględnie niezbędne do zapobiegania oszustwom. Za działanie wykonywane w prawnie uzasadnionym interesie można uznać przetwarzanie danych osobowych do celów marketingu bezpośredniego". Na tle przytoczonych unormowań, trudno nie zaaprobować oceny PUODO, iż uczestnik postępowania, wypełniając dokumenty (formularze) [...] maja 2010 r., nie mógł spodziewać się przetwarzania jego danych w zakresie miejsca pracy, wykształcenia i zawodu w celach statystycznych. W treści deklaracji członkowskich czy karty ewidencyjnej członka Związku brak jest informacji o takim celu przetwarzania spornych danych, co implikuje brak świadomości B. B. o tego rodzaju podstawie przetwarzania ww. danych. W konsekwencji prawidłowa jest ocena organu, iż doszło do ograniczenia prawa do prywatności oraz prawa do autonomii informacyjnej uczestnika postępowania. W kontekście analizy legalności przetwarzania zakwestionowanych danych, należy także podzielić za PUODO stanowisko Trybunału Konstytucyjnego odnośnie statusu prawnego skarżącego, wyrażonego w wyroku z 6 listopada 2012 r., sygn. akt K 21/11. W świetle zaprezentowanych w ww. orzeczeniu wywodów prawnych, nie można zakwalifikować relacji PZ[...] - członek Związku jako umowy cywilnoprawnej. Cecha przymusowej organizacji skarżącego z dominacją aspektu publicznoprawnego wyklucza możliwość przetwarzania danych osobowych uczestnika postępowania na mocy art. 6 ust. 1 lit. b) RODO. Zasadnie też organ nie dopatrzył się udzielenia przez B. B. zgody na przetwarzanie spornych danych. Stosownie do treści art. 4 pkt 11 RODO, zgoda osoby, której dane dotyczą oznacza dobrowolne, konkretne, świadome i jednoznaczne okazanie woli, którym osoba, której dane dotyczą, w formie oświadczenia lub wyraźnego działania potwierdzającego, przyzwala na przetwarzanie dotyczących jej danych osobowych. Tak więc samo przekazanie określonych danych osobowych (np. poprzez wpisanie do formularza jak to uczynił uczestnik postępowania) nie stanowi zgody na ich przetwarzanie. Motyw 42 preambuły RODO precyzuje: jeśli przetwarzanie odbywa się na podstawie zgody osoby, której dane dotyczą, administrator powinien być w stanie wykazać, że osoba, której dane dotyczą, wyraziła zgodę na operację przetwarzania. W szczególności w przypadku pisemnego oświadczenia składanego w innej sprawie powinny istnieć gwarancje, że osoba, której dane dotyczą, jest świadoma wyrażenia zgody oraz jej zakresu. Zgodnie z dyrektywą Rady [...], oświadczenie o wyrażeniu zgody przygotowane przez administratora powinno mieć zrozumiałą i łatwo dostępną formę, być sformułowane jasnym i prostym językiem i nie powinno zawierać nieuczciwych warunków. Aby wyrażenie zgody było świadome, osoba, której dane dotyczą, powinna znać przynajmniej tożsamość administratora oraz zamierzone cele przetwarzania danych osobowych. Wyrażenia zgody nie należy uznawać za dobrowolne, jeżeli osoba, której dane dotyczą, nie ma rzeczywistego lub wolnego wyboru oraz nie może odmówić ani wycofać zgody bez niekorzystnych konsekwencji. Według motywu 43 preambuły RODO, aby zapewnić dobrowolność, zgoda nie powinna stanowić ważnej podstawy prawnej przetwarzania danych osobowych w szczególnej sytuacji, w której istnieje wyraźny brak równowagi między osobą, której dane dotyczą, a administratorem, w szczególności gdy administrator jest organem publicznym i dlatego jest mało prawdopodobne, by w tej konkretnej sytuacji zgodę wyrażono dobrowolnie we wszystkich przypadkach. Zgody nie uważa się za dobrowolną, jeżeli nie można jej wyrazić z osobna na różne operacje przetwarzania danych osobowych, mimo że w danym przypadku byłoby to stosowne, lub jeżeli od zgody uzależnione jest wykonanie umowy - w tym świadczenie usługi - mimo że do jej wykonania zgoda nie jest niezbędna. Z kolei motyw 171 zdanie trzecie preambuły RODO przewiduje - na gruncie zgody na przetwarzanie udzielonej w myśl dyrektywy 95/46/WE - iż osoba, której dane dotyczą, nie musi ponownie wyrażać zgody, jeżeli pierwotny sposób jej wyrażenia odpowiada warunkom niniejszego rozporządzenia; dzięki temu administrator może kontynuować przetwarzanie po dacie rozpoczęcia stosowania niniejszego rozporządzenia. Decyzje przyjęte przez Komisję oraz zezwolenia wydane przez organy nadzorcze na podstawie dyrektywy 95/46/WE pozostają w mocy do czasu ich zmiany, zastąpienia lub uchylenia. W aktach administracyjnych niniejszej sprawy znajduje się załączona do pisma skarżącego z [...] sierpnia 2022 r. kopia wniosku uczestnika postępowania z 2008 r. o przyjęcie na staż do koła łowieckiego lub ośrodka hodowli zwierzyny, zawierającego następujące oświadczenie: "Oświadczam, że wyrażam zgodę na przetwarzanie moich danych osobowych zgodnie z ustawą z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (tj. Dz. U. Nr 101 z 2002 r.. poz. 926 z późniejszymi zmianami) do celów statutowych Polskiego Związku [...]", co PZ[...] akcentuje w skardze do tutejszego Sądu. W świetle przytoczonych regulacji RODO, powyższego dokumentu nie można traktować jako zastępującego zgody na przetwarzanie danych osobowych w toku całej procedury przyjęcia do PZ[...], zwłaszcza, że samo odbycie wzmiankowanego stażu nie gwarantuje uzyskania uprawnień do wykonywania polowania, a w konsekwencji członkostwa w Związku. Nadto ramy postępowania prowadzonego przez POUDO na wniosek osoby fizycznej wyznacza przedmiot tego wniosku. Tymczasem w skardze do organu uczestnik postępowania wyraźnie zakwestionował przetwarzanie jego danych osobowych podanych w dokumentach z [...] maja 2010 r. (tj. deklaracjach członkowskich i karty ewidencyjnej członka PZ[...]), podnosząc, iż skarżący przetwarza te dane bez jego zgody od [...] maja 2020 r. do chwili obecnej. Przy tak określonym przedmiocie skargi (wniosku) PUODO nie był uprawniony do wykraczania poza jego ramy. Okoliczność, iż minister właściwy do spraw środowiska zatwierdził Statut PZ[...] nie świadczy o prawidłowym przetwarzaniu danych osobowych; do wyłącznej oceny legalności tego procesu powołany jest inny organ administracji publicznej – PUODO, o czym stanowi art. 34 ust. 1 u.o.d.o. Wobec stwierdzonego naruszenia w zakresie przetwarzania danych osobowych ujętych w pkt 1 zaskarżonej decyzji w pełni uzasadnione było zastosowanie przez organ uprawnienia naprawczego przewidzianego w art. 58 ust. 2 lit. d) RODO. W wyniku analizy stanowiska organu zaprezentowanego w uzasadnieniu zaskarżonej decyzji, Sąd stwierdził, że PUODO nie dopuścił się, mogącego mieć istotny wpływ na wynik sprawy, naruszenia przepisów procedury administracyjnej, a w szczególności art. 7, art. 11, art. 77 § 1, art. 80 i art. 107 § 3 k.p.a. w związku z art. 7 ust. 1 u.o.d.o., albowiem wyjaśnił wszystkie okoliczności istotne dla prawidłowego i pełnego rozstrzygnięcia sprawy, a także dokonał właściwej oceny zebranego w sprawie materiału dowodowego, przeprowadzając jednocześnie tę ocenę w kontekście właściwie zastosowanych przepisów prawa materialnego. Motywy podjęcia decyzji zostały wyjaśnione w sposób dostatecznie jasny i przekonywujący, a przytoczona w tym zakresie argumentacja jest wyczerpująca i w pełni odnosi się do stanowisk tak skarżącego, jak i uczestnika postępowania. Mając na uwadze wszystko powyższe, Wojewódzki Sąd Administracyjny w Warszawie w oparciu o art. 151 ustawy z dnia 30 września 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2023 r., poz. 259 ze zm.) orzekł jak w sentencji wyroku.