III OSK 1377/23

Naczelny Sąd Administracyjny w składzie: Przewodniczący: sędzia NSA Sławomir Wojciechowski (sprawozdawca) Sędziowie sędzia NSA Przemysław Szustakiewicz sędzia del. WSA Maciej Kobak Protokolant starszy asystent sędziego Joanna Ukalska po rozpoznaniu w dniu 12 maja 2026 r. na rozprawie w Izbie Ogólnoadministracyjnej skargi kasacyjnej [...] Sp.j. z siedzibą w [...] od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 30 stycznia 2023 r., sygn. akt II SA/Wa 961/22 w sprawie ze skargi [...] Sp.j. z siedzibą w [...] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia 31 marca 2022 r., nr: [...] w przedmiocie przetwarzania danych osobowych 1. postanawia, z urzędu, sprostować wyrok Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 30 stycznia 2023 r., sygn. akt II SA/Wa 961/22 w ten sposób, że w miejsce słów: "[...] Sp. j. z siedzibą w [...]" wpisać prawidłowo słowa: "[...] Sp. j. z siedzibą w [...]"; 2. oddala skargę kasacyjną; 3. zasądza od [...] Sp.j. z siedzibą w [...] na rzecz Prezesa Urzędu Ochrony Danych Osobowych kwotę 360 (trzysta sześćdziesiąt) złotych tytułem zwrotu kosztów postępowania kasacyjnego.

Wyrokiem z dnia 30 stycznia 2023 r., sygn. akt II SA/Wa 961/22, Wojewódzki Sąd Administracyjny w Warszawie, po rozpoznaniu na rozprawie, sprawy ze skargi [...] Spółki jawnej z siedzibą w [...] (dalej także jako: "Spółka", "skarżąca", "skarżąca kasacyjnie") na decyzję Prezesa Urzędu Ochrony Danych Osobowych (dalej także jako: "PUODO", "Prezes UODO", "organ") z dnia 31 marca 2022 r., nr [...] w przedmiocie przetwarzania danych osobowych: oddalił skargę. Stan faktyczny sprawy przedstawia się w sposób następujący: Dnia 3 kwietnia 2019 r. M.M. (dalej jako: "wnioskodawca") odebrał automatyczne połączenie telefoniczne od Spółki, natomiast żadne jego dane osobowe nie były wcześniej, jak i w trakcie połączenia telefonicznego, udostępniane Spółce. Podmiot danych tego samego dnia złożył do Spółki pismo, w którym m.in. zgłosił sprzeciw wobec dalszego przetwarzania jego danych osobowych oraz zwrócił się do Spółki na podstawie art. 17 ust. 1 RODO o usunięcie wszystkich danych osobowych, które go dotyczą. Dnia 30 kwietnia 2019 r. Spółka ustosunkowała się do pisma przesyłając wnioskodawcy, w którym powiadomiła, że jego "większość danych" została usunięta. Spółka powiadomiła także wnioskodawcę o dalszym przetwarzaniu ograniczonego zakresu danych, tj. numeru NIP, numeru telefonu oraz adresu e-mail, a także odmówiła spełnienia w całości żądania wynikającego z art. 17 ust. 1 RODO wskazując, że jako administrator zgodnie z art. 17 ust. 3 lit. e RODO ma prawo przetwarzać jego dane osobowe w celu ustalenia, dochodzenia lub obrony roszczeń oraz aby móc wykazać, że spełniła częściowo żądanie usunięcia danych, a także w celu uniknięcia ponownego wykorzystania danych osobowych Podmiotu danych w celach marketingowych (art. 21 ust. 3 RODO). Spółka wskazała również, że dane będą przetwarzane maksymalnie do 6 lat od czasu przedawnienia roszczeń w przypadku zgłoszenia sprzeciwu, określając okres przetwarzania danych. Spółka wskazała, że pozyskała dane osobowe wnioskodawcy, dotyczące prowadzonej przez niego działalności gospodarczej, z bazy Centralnej Ewidencji i Informacji o Działalności Gospodarczej oraz dwa numery telefonów wnioskodawcy – od spółki [...] Sp. z o.o. Zakres pozyskanych danych osobowych z bazy CEIDG obejmował: nazwę firmy, adres siedziby, numer NIP i numer REGON, zaś dane osobowe dotyczące numeru telefonu wnioskodawcy pozyskano na podstawie jego zgody, którą miał udzielić spółce [...] Sp. z o.o. Dnia 7 maja 2019 r. wnioskodawca złożył skargę, w której zażądał nakazania usunięcia przez Spółkę jego danych osobowych. W toku postępowania w związku z zapytaniem Prezesa UODO, pismem z dnia 9 października 2020 r. Spółka poinformowała, że nie przetwarza danych osobowych wnioskodawcy w zakresie adresu e-mail. Zaskarżoną decyzją z dnia 31 marca 2022 r., nr [...], na podstawie art. 104 ustawy z dnia 14 czerwca 1960 r. – Kodeks postępowania administracyjnego (Dz.U. z 2021 r., poz. 735 ze zm.) w zw. z art. 7 ust. 1 i 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (t.j. Dz.U. z 2019 r., poz. 1781), art. 6 ust. 1, art. 17 oraz art. 58 ust. 2 lit. c rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenia o ochronie danych osobowych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1 oraz Dz. Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 04.03.2021, str. 35), wobec skargi wnioskodawcy na nieprawidłowości w procesie przetwarzania jego danych osobowych przez skarżącą Spółkę polegające na odmowie usunięcia jego danych osobowych – nakazano Spółce usunięcie danych osobowych wnioskodawcy. Skargę do Wojewódzkiego Sądu Administracyjnego w Warszawie wywiodła skarżąca Spółka zarzucając wydanie zaskarżonej decyzji z naruszeniem naruszenie przepisów prawa materialnego, tj.: art. 58 ust. 2 lit. c wobec lit. f RODO w zw. z art. 118 ustawy z dnia 23 kwietnia 1964 r. Kodeks cywilny (Dz. U. z 2020 r., poz. 1740; dalej jako: "k.c."), art. 58 ust. 2 lit. c wobec art. 17 ust. 1 i 3 lit. e RODO w zw. z art. 118 k.c., art. 58 ust. 2 lit. f RODO w zw. z art. 118 k.c. oraz art. 58 ust. 2 lit. f w zw. z art. 5 ust. 2 i art. 17 ust. 3 lit. b oraz art. 82 ust. 1 RODO. W petitum i uzasadnieniu skargi skarżąca Spółka szeroko rozwinęła powyższe zarzuty. W konsekwencji skarżąca Spółka domagała się uchylenie zaskarżonej decyzji w całości. W odpowiedzi na skargę organ wniósł o jej oddalenie, podtrzymując dotychczasową argumentację. Ponadto w piśmie procesowym wnioskodawca przyłączył się do stanowiska organu podnosząc, że nie występował z żadnym roszczeniem przeciw w Spółce zaś ta – formując swoje stanowisko – nie wskazała nawet z jakimi teoretycznie roszczeniami mógłby wystąpić i wobec jakich regulacji. Podnoszono też, że – w razie ewentualnego wystąpienia przez wnioskodawcę na drogę sądową – Spółka uzyska wszystkie jego dane osobowe, jako wskazane przez inicjującego sprawę. W replice na odpowiedź na skargę skarżąca Spółka wskazała, że organ nie odnosił się w odpowiedzi do argumentacji jej skargi, gdzie wskazywano na znaczne prawdopodobieństwo wystąpienia z roszczeniem wobec zapowiedzi samego wnioskodawcy. Podnoszono, że rolą Spółki nie może być analiza, jakie ewentualnie szkody mógł ponieść wnioskodawca dla oceny, czy przetwarzać jego dane dla ochrony przed roszczeniami. Usunięcie danych osobowych wnioskodawcy – wedle nakazu w zaskarżonej decyzji – uniemożliwi ochronę uzasadnionych interesów Spółki przed wszelkimi jego roszczeniami. Postanowieniem z dnia 6 lipca 2022 r. Sąd pierwszej instancji, na podstawie wniosku skarżącej Spółki, wstrzymał wykonanie zaskarżonej decyzji. Oddalając skargę Sąd pierwszej instancji wskazał, że w pełni podziela utrwalone już w judykaturze stanowisko, wyrażone w powołanym przez organ wyroku o sygn. akt I OSK 994/17. Uzasadniając dalej podniósł również, że w sprawie jest poza sporem, że pomiędzy Spółką i wnioskodawcą nie nawiązał się żaden stosunek zobowiązaniowy – nie skorzystał on ze złożonej drogą telefoniczną oferty, lecz zażądał wyłącznie usunięcia przetwarzanych przez Spółkę jego danych osobowych. Brak stosunku zobowiązaniowego między stronami nie wyklucza oczywiście potencjalnie możliwości wystąpienia z określonymi roszczeniami, np. o charakterze odszkodowawczym wobec uszczerbku w dobrach majątkowych lub innych, jakie może wyrządzić Spółka każdej osobie trzeciej ewentualnymi działaniami bezprawnymi, np. w kontekście przetwarzania danych osobowych. Kwestią sporną jest, czy samo zagrożenie wystąpieniem z roszczeniami może stanowić podstawę przetwarzania danych, zwłaszcza wobec osoby, która taką potencjalną groźbę formułuje. Samo zagrożenie roszczeniem nie może w rozpatrywanej sytuacji stanowić wystarczającej podstawy przetwarzania danych osobowych – w szczególności w myśl art. 6 ust. 1 lit. f bądź art. 17 ust. 3 lit. e RODO. Sąd pierwszej instancji argumentował dalej, że właściwe wyłożenie reguł przetwarzania danych osobowych – w tym realizacji możliwości żądania ich usunięcia, wobec ograniczenia z art. 17 ust. 3 lit. e RODO - musi być oparte na założeniu braku pełnego zabezpieczenia przed ewentualnymi roszczeniami interesu administratora, który czasowo przetwarza dane osobowe podmiotów. Jego interes nie może być zabezpieczony (w rozumieniu pojęcia "prawnie usprawiedliwiony cel") do tego stopnia, aby mógł on przechowywać dane osobowe, które przetwarzał wyłącznie w celu ochrony – w razie wystąpienia roszczeń, związanych z samym tym zdarzeniem. W tym kontekście nie może mieć też istotnego znaczenia sama ogólna zapowiedź, że określony podmiot może wystąpić z roszczeniami – jak w rozpatrywanym przypadku. Formując powyższą ocenę Sąd pierwszej instancji miał na uwadze, że – co zauważa Spółka w skardze oraz w replice – całkowite usunięcie danych osobowych wnioskodawcy, może uniemożliwić – jeżeli wystąpi on z konkretnymi roszczeniami – odtworzenie po stronie administratora zdarzeń związanych z relacjami pomiędzy Spółką a wnioskodawcą, jeżeli mogą być one identyfikowane wyłącznie jego danymi osobowymi – te zaś zostaną usunięte. Trzeba mieć jednak na uwadze, że w takim przypadku (braku danych po stronie pozwanego) to na wnioskodawcy będzie spoczywać ciężar udowodnienia ewentualnych nieprawidłowości w procesie przetwarzania jego danych. Skoro administrator nie był obowiązany dalej przetwarzać danych wnioskodawcy – nawet nie mógł tego czynić, wobec wniesienia stosownego sprzeciwu – nie dotyczy go obowiązek wykazania realizacji zasady minimalizacji przetwarzania danych i rozliczalności w kontekście konkretnego zasobu, dotyczącego samego wnioskodawcy. Nie sposób uznać, aby obowiązek minimalizacji czy rozliczalności przetwarzania danych miał stanowić samodzielną podstawę ich przetwarzania, wobec żądania ich usunięcia przez zainteresowanego (tak wywody skargi). Nie może tez stanowić podstawy poszerzenia zakresu przetwarzania danych reguła z art. 82 ust. 3 RODO (obowiązek udowodnienie, że administrator w żaden sposób nie ponosi winy za zdarzenie, które doprowadziło do powstania szkody). Taka wykładania stosownych regulacji nie byłaby racjonalna, w kontekście ogólnych celów RODO – minimalizacji przetwarzania danych. Sąd pierwszej instancji podniósł, że z kolei ocena samego bezpodstawnego przetwarzania danych osobowych wnioskodawcy – w okresie pomiędzy przedłożeniem przezeń Spółce stosownego żądania ich usunięcia a wykonaniem zaskarżonej decyzji, którą nakazano usunięcie danych – nie będzie wymagała dokonywania dodatkowych ustaleń faktycznych wobec przesądzenia danej kwestii – stwierdzenia nieprawidłowości i jej zakresu – prawomocną decyzją administracyjną. Wyważając interes administratora oraz osób zainteresowanych ograniczeniem przetwarzania ich danych osobowych wedle kryterium "prawnie usprawiedliwionego celu" w rozumieniu art. 6 ust. 1 lit. f RODO – uzasadniona jest konkluzja, że słuszny interes tych ostatnich przemawia za takim rozumieniem art. 17 ust. 3 lit. e RODO, aby sama potencjalna możliwość wystąpienia z roszczeniami osoby, której dane były przetwarzane dla celów złożenia telefonicznej oferty, co uczyniono bez dokonywania dalszych czynności zaś oferty nie przyjęto nie może stanowić podstawy przetwarzanie danych. Sąd pierwszej instancji zauważył również, że słusznie skonstatował organ, że gdy zainteresowany wystąpi z żądaniem usunięcia swoich danych osobowych podstawą ich przetwarzania nie może być interes oferenta, upatrywany w wyeliminowaniu sytuacji ponownego składania propozycji tej samej osobie. Wobec powyższych uwarunkowań Sąd pierwszej instancji podniósł, że zarzuty, jakoby naruszono powołane w skardze przepisy prawa materialnego, zakreślające ramy, gdy prawodawca dopuszcza przetwarzanie danych osobowych, zwłaszcza wbrew woli zainteresowanego w szczególności art. 17 ust. 3 lit. e wobec treści art. 6 ust. 1 lit. f RODO, przez jego niewłaściwą zawężającą wykładnię. Nie naruszono też przepisu określającego kompetencje wyspecjalizowanego organu do wydawania decyzji o charakterze naprawczym, w następstwie stwierdzenia nieprawidłowości, nie usunięcie danych osobowych wnioskodawcy pomimo skierowania do Spółki stosownego, zasadnego żądania w danym zakresie. W szczególności nie było też podstaw, aby nakazać usunięcie danych osobowych wnioskodawcy jedynie w określonym czasie lub zakresie jak stanowi powołany w skardze art. 58 ust. 2 lit. f RODO. Jak wskazano, podstawą dla przetwarzania danych wnioskodawcy nie mogą być też same, powołane w skardze przepisy k.c., gdzie określono zasady przedawnienia roszczeń bądź określone art. 82 ust. 3 RODO reguły dowodowe. Sąd pierwszej instancji nie dopatrzył się więc w zaskarżonym akcie wad, które uzasadniałyby jego wyeliminowanie z obrotu prawnego, oddalając skargę na podstawie art. 151 p.p.s.a. Skargę kasacyjną od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie wywiodła, reprezentowana przez zawodowego pełnomocnika w osobie radcy prawnego, skarżąca Spółka zaskarżając go w całości i zarzucając zaskarżonemu orzeczeniu: I. na podstawie art. 174 pkt 1 p.p.s.a., naruszenie prawa materialnego, tj.: 1) przepisu art. 17 ust. 3 lit. e) Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych; dalej jako: "RODO", "Rozporządzenie"), poprzez jego błędną wykładnię polegającą na uznaniu, że wyjątek wskazany w tym przepisie dotyczy jedynie roszczenia dochodzonego sądownie w chwili skierowania przez podmiot danych żądania z przepisu art. 17 ust. 1 RODO, podczas gdy zgodnie z prawidłową wykładnią tego przepisu wyjątek ten dotyczy również roszczenia jeszcze niezgłoszonego, jeżeli można rozsądnie spodziewać się, że zostanie ono zgłoszone; 2) przepisu art. 58 ust. 2 lit. c) RODO w zw. z przepisem art. 17 ust. 1 RODO poprzez ich niewłaściwe zastosowanie i w rezultacie niezastosowanie przepisu art. 17 ust. 3 lit. e) RODO w niniejszej sprawie z uwagi na uznanie, że samo ewentualne ryzyko zgłoszenia roszczeń przez wnioskodawcę nie może w rozpatrywanej potencjalnie sprawie stanowić wystarczającej podstawy przetwarzania danych osobowych, podczas gdy w sprawie zachodziło wysokie ryzyko zgłoszenia roszczeń przez wnioskodawcę, co uzasadniało przetwarzanie przez skarżącą kasacyjnie jego danych osobowych dla celów obrony przed roszczeniami i wypełniało dyspozycję przepisu art. 17 ust. 3 lit. e) RODO, wobec czego nałożenie na Spółkę nakazu usunięcia jego danych było bezzasadne; 3) przepisu art. 17 ust. 3 lit. e) RODO w zw. z przepisem art. 24 § 1 ustawy z dnia 23 kwietnia 1964 r. Kodeks cywilny (tj. Dz. U z 2022 r., poz. 1360 ze zm.; dalej jako: "k.c."), poprzez ich błędną wykładnię polegającą na uznaniu, że ciężar dowodu w przypadku potencjalnego wszczęcia przez wnioskodawcę postępowania sądowego będzie spoczywał zawsze na nim jako na powodzie, podczas gdy w sprawach dotyczących naruszenia dóbr osobistych domniemywana jest bezprawność naruszenia, zatem to na pozwanym, czyli na Spółce będzie potencjalnie spoczywać ciężar wykazania braku bezprawności, co skutkowało błędnym niezastosowaniem przepisu art. 17 ust. 3 lit. e) RODO oraz bezzasadnym nałożeniem na Spółkę nakazu usunięcia danych; 4) przepisu art. 58 ust. 2 lit. c) RODO w zw. z przepisem art. 17 ust. 3 lit. e) RODO w zw. z przepisami art. 45 i 32 Konstytucji Rzeczypospolitej Polskiej z 2 kwietnia 1997 r. (Dz. U. z 1997 r. nr 78 poz. 483, ze zm.; dalej jako: "Konstytucja RP"), w zw. z przepisem art. 47 Karty Praw Podstawowych Unii Europejskiej (Dz. Urz. UE.C.2007.303.1) w zw. z przepisem art. 379 pkt 5 ustawy z dnia 17 listopada 1964 r. Kodeks postępowania cywilnego (tj. Dz.U. z 2021 r., poz. 1805; dalej jako: "k.p.c."), poprzez ich błędną wykładnię polegającą na uznaniu, że ponieważ to na wnioskodawcy w potencjalnym postępowaniu cywilnym spoczywa ciężar dowodu dopuszczalne jest nakazanie skarżącej kasacyjnie usunięcia danych osobowych wnioskodawcy, co skutkowałoby niemożnością przedkładania dowodów na poparcie tez w toku ewentualnego procesu cywilnego podczas, gdy prawidłowa wykładnia tych przepisów powinna skutkować uznaniem, że skarżąca kasacyjnie jako potencjalny pozwany nie może zostać pozbawiona prawa do obrony, które powinno być rozumiane jako rzeczywista możliwość przedkładania dowodów w postępowaniu cywilnym na potwierdzenie swoich tez, zatem nałożenie na skarżącą kasacyjnie nakazu usunięcia było bezzasadne i pozbawiło skarżącą kasacyjnie prawa do obrony; 5) przepisu art. 58 ust. 2 lit. f) RODO w zw. z przepisem art. 118 k.c., art. 5 ust. 2 i art. 17 ust. 3 lit. b) i przepisem art. 82 ust. 1 RODO, polegające na ich niezastosowaniu i uznaniu przez Sąd za zasadne nienałożenia przez Prezesa UODO na skarżącą kasacyjnie ograniczenia przetwarzania danych osobowych, które to ograniczenie powinno skutkować zawężeniem przetwarzania danych osobowych wnioskodawcy przez skarżącą kasacyjnie do celu obrony przed roszczeniami wnioskodawcy oraz do celu spełnienia przez skarżącą kasacyjnie obowiązku prawnego wynikającego z art. 5 ust. 2 RODO, tj. obowiązku wykazania przez skarżącą kasacyjnie przestrzegania tzw. zasady rozliczalności, co w konsekwencji uniemożliwi skarżącej kasacyjnie obronę przed roszczeniami wnioskodawcy oraz wykazanie, że spełniła bądź nie spełniła żądania wnioskodawcy w zakresie jego żądania opartego o art. 17 ust. I RODO i uniemożliwi zwolnienie skarżącej kasacyjnie z odpowiedzialności zgodnie z art. 82 ust. 3 RODO; II. na podstawie art. 174 pkt 2 p.p.s.a., naruszenie przepisów postępowania mające istotny wpływ na wynik sprawy, tj.: 1) przepisów art. 141 § 4 p.p.s.a. w zw. z art. 11 ustawy z 14 czerwca 1960 r. – Kodeks postępowania administracyjnego (t.j. Dz. U. z 2022 r., poz. 2000; dalej jako: "k.p.a."), poprzez wadliwe uzasadnienie wyroku, polegające na zdawkowym i ogólnikowym odniesieniu się do zarzutów skargi dotyczących braku podstaw prawnych do dalszego przetwarzania danych przez Spółkę oraz nieodniesieniu się do zarzutów skargi dotyczących zasadności zastąpienia nakazu usunięcia danych nakazem ograniczenia przetwarzania danych, co miało istotny wpływ na wynik sprawy, ponieważ uniemożliwiło kontrolę instancyjną zaskarżonego wyroku; 2) art. 7, art. 77 § 1 k.p.a.. art. 80 k.p.a. w zw. z art. 151 p.p.s.a., poprzez brak swobodnej oceny dowodów, skutkujący błędnym ustaleniem faktycznym, że Spółka była jedynie hipotetycznie zagrożona zgłoszeniem roszczeń przeciwko niej przez wnioskodawcę, podczas gdy materiał dowodowy wskazuje, że istniało wysokie ryzyko skierowania roszczeń przez podmiot danych, co wynika z pisma skierowanego przez wnioskodawcę do skarżącej kasacyjnie, w którym wskazał on, że w przypadku wyrządzenia szkody skieruje on sprawę do sądu. Wskazując na powyższe zarzuty kasacyjne skarżąca Spółka wniosła o: 1) uchylenie zaskarżonego wyroku w całości, rozpoznanie skargi oraz uchylenie decyzji Prezesa UODO z 31 marca 2022 roku, nr [...] w całości; względnie: 2) uchylenie zaskarżonego wyroku w całości i przekazanie sprawy do ponownego rozpoznania Wojewódzkiemu Sądowi Administracyjnemu w Warszawie; oraz: 3) zasądzenie na rzecz skarżącej kasacyjnie kosztów postępowania, w tym kosztów zastępstwa procesowego według norm przepisanych oraz zwrotu kwoty 51 zł uiszczonej tytułem opłaty skarbowej od pełnomocnictwa; ponadto: 4) rozpoznanie sprawy objętej niniejszą skargą kasacyjną na rozprawie; 5) wstrzymanie wykonania decyzji przez Naczelny Sąd Administracyjny, ze względu na niebezpieczeństwo spowodowania trudnych do odwrócenia skutków oraz niebezpieczeństwo wyrządzenia znacznej szkody po stronie skarżącej kasacyjnie. W uzasadnieniu przedstawiono argumentację przemawiającą za zasadnością skargi kasacyjnej. W odpowiedzi na skargę kasacyjną Prezes UODO wniósł o oddalenie skargi kasacyjnej. Postanowieniem z dnia 7 lipca 2023 r., sygn. akt III OSK 1377/23, Naczelny Sąd Administracyjny, po rozpoznaniu wniosku skarżącej kasacyjnie Spółki, umorzył postępowanie z wniosku o wstrzymanie wykonania zaskarżonej decyzji. Naczelny Sąd Administracyjny zważył, co następuje: Zgodnie z art. 183 § 1 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (t.j. Dz. U. z 2024 r. poz. 935; dalej jako: "p.p.s.a."), Naczelny Sąd Administracyjny rozpoznaje sprawę w granicach skargi kasacyjnej, bierze jednak z urzędu pod rozwagę nieważność postępowania. Granice skargi kasacyjnej są wyznaczone przez zakres zaskarżenia orzeczenia sądu pierwszej instancji oraz podniesione i poddane konkretyzacji podstawy kasacyjne. Zgodnie z treścią art. 174 p.p.s.a., skargę kasacyjną można oprzeć na następujących podstawach: 1) naruszeniu prawa materialnego przez błędną jego wykładnię lub niewłaściwe zastosowanie; 2) naruszeniu przepisów postępowania, jeżeli uchybienie to mogło mieć istotny wpływ na wynik sprawy. Powyższe ustawowe podstawy kasacyjne wymagają od skarżącego kasacyjnie konkretyzacji poprzez sformułowanie tzw. zarzutów kasacyjnych. Oznacza to, że jeżeli – tak jak w rozpoznawanej sprawie – nie zachodzi nieważność postępowania zakres postępowania kasacyjnego wyznacza strona wnosząca skargę kasacyjną przez przytoczenie podstaw kasacyjnych i ich uzasadnienie. Jak już wyżej wskazano z przytoczonych przepisów wynika, że wywołane skargą kasacyjną postępowanie przed Naczelnym Sądem Administracyjnym podlega zasadzie dyspozycyjności i nie polega na ponownym rozpoznaniu sprawy w jej całokształcie, lecz ogranicza się do rozpatrzenia poszczególnych zarzutów przedstawionych w skardze kasacyjnej w ramach wskazanych podstaw kasacyjnych. Istotą tego postępowania jest bowiem weryfikacja zgodności z prawem orzeczenia wojewódzkiego sądu administracyjnego oraz postępowania, które doprowadziło do jego wydania. W skardze kasacyjnej zarzucono naruszenie prawa materialnego, jak i naruszenie przepisów postępowania (art. 174 pkt 1 i 2 p.p.s.a.). W sytuacji, gdy w skardze kasacyjnej zarzuca się zarówno naruszenie prawa materialnego, jak i naruszenie przepisów postępowania, w pierwszej kolejności co do zasady rozpoznaniu podlega ostatnio wymieniony zarzut (por. wyrok NSA z dnia 27 czerwca 2012 r., II GSK 819/11, LEX nr 1217424; wyrok NSA z dnia 26 marca 2010 r., II FSK 1842/08, LEX nr 596025; wyrok NSA z dnia 4 czerwca 2014 r., II GSK 402/13, LEX nr 1488113; wyrok NSA z dnia 17 lutego 2023 r., II GSK 1458/19; wyrok NSA z dnia 1 marca 2023 r., I FSK 375/20). Dopiero bowiem po przesądzeniu, że stan faktyczny przyjęty przez Sąd w zaskarżonym wyroku jest prawidłowy albo, że nie został skutecznie podważony, można przejść do skontrolowania procesu subsumpcji danego stanu faktycznego pod zastosowany przez Sąd pierwszej instancji przepis prawa materialnego, chyba, że postawiony w skardze kasacyjnej zarzut procesowy jest w istocie konsekwencją zarzutów dotyczących naruszenia prawa materialnego. W takiej sytuacji uzasadnione jest dokonanie jego oceny w ramach analizy tych właśnie zarzutów (materialnych). Rozpoznawszy skargę kasacyjną, w tak zakreślonych granicach, Naczelny Sąd Administracyjny stwierdził, że nie ma ona usprawiedliwionych podstaw. W pierwszej kolejności należy odnieść się do najdalej idącego zarzutu naruszenia art. 141 § 4 p.p.s.a. Zarzut ten może być skutecznie postawiony w dwóch przypadkach: gdy uzasadnienie wyroku nie zawiera wszystkich elementów, wymienionych w tym przepisie i gdy w ramach przedstawienia stanu sprawy, wojewódzki sąd administracyjny nie wskaże, jaki i dlaczego stan faktyczny przyjął za podstawę orzekania (por. uchwałę NSA z dnia 15 lutego 2010 r., sygn. akt: II FPS 8/09, wyrok NSA z dnia 20 sierpnia 2009 r., sygn. akt: II FSK 568/08). Naruszenie to musi być przy tym na tyle istotne, aby mogło mieć wpływ na wynik sprawy (art. 174 pkt 2 p.p.s.a.). Za jego pomocą nie można skutecznie zwalczać prawidłowości przyjętego przez sąd stanu faktycznego. Za pomocą zarzutu naruszenia art. 141 § 4 p.p.s.a. niemożliwe jest także skuteczne kwestionowanie stanowiska sądu co do wykładni lub zastosowania prawa materialnego. Przepis art. 141 § 4 p.p.s.a. jest przepisem proceduralnym, regulującym wymogi uzasadnienia. W ramach rozpatrywania zarzutu naruszenia tego przepisu Naczelny Sąd Administracyjny zobowiązany jest jedynie do kontroli zgodności uzasadnienia zaskarżonego wyroku z wymogami wynikającymi z powyższej normy prawnej. Wadliwość uzasadnienia orzeczenia może stanowić przedmiot skutecznego zarzutu kasacyjnego z art. 141 § 4 p.p.s.a. w sytuacji, gdy sporządzone jest ono w taki sposób, że niemożliwa jest kontrola instancyjna zaskarżonego wyroku (por. postanowienie NSA z dnia 22 maja 2014 r., II OSK 481/14). Dodać także należy, że z art. 141 § 4 p.p.s.a. nie wynika dla sądu administracyjnego obowiązek szczegółowego omówienia w uzasadnieniu każdej okoliczności, czy każdego argumentu lub twierdzenia, jakie pojawiło się w badanej sprawie. Uzasadnienie wyroku ma być "zwięzłe", co należy rozumieć w ten sposób, że sąd administracyjny powinien się odnieść wyłącznie do kwestii istotnych z punktu widzenia rozstrzygnięcia sprawy, aby nie czynić wywodu nadmiernie rozbudowanym, a przez to niejasnym (zob. wyrok NSA z dnia 29 lutego 2008 r., sygn. akt II FSK 1801/06). W ocenie Naczelnego Sądu Administracyjnego uzasadnienie zaskarżonego wyroku spełnia wymogi określone w art. 141 § 4 p.p.s.a., wyjaśnia motywy podjętego przez Sąd pierwszej instancji rozstrzygnięcia i tym samym sprawia, że poddaje się ono kontroli instancyjnej. "Fakt, że stanowisko zajęte przez sąd administracyjny pierwszej instancji jest odmienne od prezentowanego przez wnoszącego skargę kasacyjną nie oznacza, iż uzasadnienie zaskarżonego wyroku zawiera wady konstrukcyjne, nie poddaje się kontroli kasacyjnej, czy też, że jest wadliwe w stopniu uzasadniającym uchylenie wydanego w sprawie rozstrzygnięcia. Co więcej, również brak odniesienia się przez wojewódzki sąd administracyjny do niektórych zarzutów lub twierdzeń zawartych w skardze samo w sobie nie stanowi uchybienia skutkującego koniecznością uchylenia zaskarżonego wyroku, albowiem jest, czy też może nim być – to jest uchybieniem stanowiącym uzasadnioną podstawę uchylenia wyroku – pominięcie zarzutów i argumentów istotnych oraz – co istotne – wykazanie w skardze kasacyjnej takiego właśnie ich charakteru, a mianowicie, że należycie je oceniając oraz prawidłowo identyfikując z ich punktu widzenia istotę spornego w sprawie zagadnienia, sąd ten mógłby jednak inaczej orzec w sprawie" (wyrok NSA z dnia 17 grudnia 2025 r., II GSK 1073/22). Zarzut naruszenia art. 141 § 4 p.p.s.a. nie mógł zatem odnieść zamierzonego skutku. Zdaniem Naczelnego Sądu Administracyjnego nie zasługuje także na uwzględnienie zarzuty kasacyjne dotyczące naruszenia pozostałych przepisów postępowania, które zdaniem skarżącej kasacyjnie miały istotny wpływ na wynik sprawy, tj.: art. 7, art. 77 § 1 k.p.a., art. 80 k.p.a. w zw. z art. 151 p.p.s.a., poprzez brak swobodnej oceny dowodów, skutkujący błędnym ustaleniem faktycznym, że Spółka była jedynie hipotetycznie zagrożona zgłoszeniem roszczeń przeciwko niej przez wnioskodawcę, podczas gdy materiał dowodowy wskazuje, że istniało wysokie ryzyko skierowania roszczeń przez podmiot danych, co wynika z pisma skierowanego przez wnioskodawcę do skarżącej kasacyjnie, w którym wskazał on, że w przypadku wyrządzenia szkody skieruje on sprawę do sądu. Po pierwsze, zgodnie z utrwaloną linią orzeczniczą Naczelnego Sądu Administracyjnego przepisy określające kompetencje sądu administracyjnego w fazie orzekania, takie jak art. 145 § 1, art. 146 § 1, art. 147, art. 149 czy art. 151 p.p.s.a. mają charakter ogólny (blankietowy). Tego typu przepisy nie mogą stanowić samodzielnej podstawy kasacyjnej (zob. m.in. wyrok Naczelnego Sądu Administracyjnego z 22 lutego 2023 r., sygn. akt III OSK 3380/21). Strona skarżąca kasacyjnie chcąc powołać się na zarzut naruszenia tych przepisów, zobowiązana jest powiązać taki zarzut z zarzutem naruszenia konkretnych przepisów, którym – jej zdaniem – sąd pierwszej instancji uchybił w toku rozpoznania sprawy. Naruszenie tych przepisów jest bowiem zawsze następstwem uchybienia innym przepisom, czy to procesowym, czy też materialnym (zob. m.in. wyrok Naczelnego Sądu Administracyjnego z dnia 13 czerwca 2023 r., sygn. akt I GSK 943/22). Innymi słowy, przepis art. 151 p.p.s.a. nie może być samodzielną podstawą kasacyjną, gdyż ma charakter wynikowy i reguluje sposób rozstrzygnięcia sprawy, określając przypadek, kiedy skarga podlega oddaleniu. Bez stwierdzenia naruszenia innych przepisów postępowania, w stopniu mającym wpływ na wynik postępowania, zarzut taki nie jest trafny. Po drugie, Sąd pierwszej instancji przyjął prawidłowy stan faktyczny sprawy zasadnie akceptując ustalenia poczynione przez organy w toku postępowania, które zobowiązane są do przestrzegania ogólnych reguł postępowania wskazanych w k.p.a., m.in. w art. 7, art. 77 § 1 i art. 80 tej ustawy. Powyższe przepisy zobowiązują organy by w toku postępowania stały na straży praworządności, z urzędu lub na wniosek stron podejmowały wszelkie czynności niezbędne do dokładnego wyjaśnienia stanu faktycznego oraz do załatwienia sprawy, mając na względzie interes społeczny i słuszny interes obywateli, a także by w sposób wyczerpujący zebrały i rozpatrzyły cały materiał dowodowy. Organ zebrał i rozpatrzył cały materiał dowodowy, wskazując podstawy podjętego rozstrzygnięcia, a ocena ta nie narusza zasady swobodnej oceny dowodów. Stan faktyczny sprawy sprowadzał się do ustalenia w jaki sposób i w jakich okolicznościach skarżący kasacyjnie stał się administratorem danych osobowych M.M. Pełnię tych ustaleń wskazuje skarżący kasacyjnie już w swej skardze do WSA. Z treści jej uzasadnienia wynika, że dnia 3 kwietnia 2019 r. M.M. odebrał automatyczne połączenie telefoniczne od Spółki, natomiast żadne jego dane osobowe nie były wcześniej, jak i w trakcie połączenia telefonicznego, udostępniane Spółce. Podmiot danych tego samego dnia złożył do Spółki pismo, w którym m.in. zgłosił sprzeciw wobec dalszego przetwarzania jego danych osobowych oraz zwrócił się do Spółki na podstawie art. 17 ust. 1 RODO o usunięcie wszystkich danych osobowych, które go dotyczą. W odpowiedzi z dnia 30 kwietnia 2019 r. Spółka ustosunkowała się do pisma przesyłając wnioskodawcy pismo, w którym powiadomiła, że jego "większość danych" została usunięta. Spółka powiadomiła także wnioskodawcę o dalszym przetwarzaniu ograniczonego zakresu danych, tj. numeru NIP, numeru telefonu oraz adresu e-mail, a także odmówiła spełnienia w całości żądania wynikającego z art. 17 ust. 1 RODO wskazując, że jako administrator zgodnie z art. 17 ust. 3 lit. e RODO ma prawo przetwarzać jego dane osobowe w celu ustalenia, dochodzenia lub obrony roszczeń oraz aby móc wykazać, że spełniła częściowo żądanie usunięcia danych, a także w celu uniknięcia ponownego wykorzystania danych osobowych Podmiotu danych w celach marketingowych (art. 21 ust. 3 RODO). Spółka wskazała również, że dane będą przetwarzane maksymalnie do 6 lat od czasu przedawnienia roszczeń w przypadku zgłoszenia sprzeciwu, określając okres przetwarzania danych. Nadto Spółka poinformowała, że pozyskała dane osobowe wnioskodawcy, dotyczące prowadzonej przez niego działalności gospodarczej, z bazy Centralnej Ewidencji i Informacji o Działalności Gospodarczej oraz dwa numery telefonów wnioskodawcy – od spółki [...] Sp. z o.o. Zakres pozyskanych danych osobowych z bazy CEIDG obejmował: nazwę firmy, adres siedziby, numer NIP i numer REGON, zaś dane osobowe dotyczące numeru telefonu wnioskodawcy pozyskano na podstawie jego zgody, którą miał udzielić spółce [...] Sp. z o.o. Dnia 7 maja 2019 r. wnioskodawca złożył skargę, w której zażądał nakazania usunięcia przez Spółkę jego danych osobowych. W toku postępowania w związku z zapytaniem Prezesa UODO, pismem z dnia 9 października 2020 r. Spółka poinformowała, że nie przetwarza danych osobowych wnioskodawcy w zakresie adresu e-mail. Istota przytoczonych ustaleń sprowadza się do uzyskania danych osobowych M.M. bez jego wiedzy i zgody, nawiązania połączenia telefonicznego przez Spółkę z Podmiotem, a następnie kiedy M.M. wnosi o usuniecie wszelkich jego danych, które według niego zostały pozyskane bez jego zgody, bezprawnie i informuje, że niewykonanie żądania może narazić spółkę na skierowanie przez niego roszczeń do Spółki, Spółka wyraża natomiast swoje zagrożenie sformułowane w drugim zarzucie procesowym skargi kasacyjnej. Dla potrzeb rozpatrzenia tego zarzuty procesowego w tym miejscu wystarczające jest stwierdzenie, że stan faktyczny sprawy został ustalony ponad wszelką wątpliwość i nie wymaga uzupełnienia. Ocena zaś tego zarzutu znajdzie pogłębione rozważania przy ocenie zarzutów prawa materialnego. Mając na uwadze powyższe Naczelny Sąd Administracyjny pragnie dostrzec, że autor skargi kasacyjnej nie zakwestionował w sposób skuteczny ustaleń stanu faktycznego, na których oparto skarżone rozstrzygnięcie. Zarzuty naruszenia przepisów postępowania służą m.in. kwestionowaniu ustaleń i ocen w zakresie stanu faktycznego sprawy, co oznacza, że brak zarzutów naruszenia przepisów postępowania czy też ich nieskuteczność powoduje, że Naczelny Sąd Administracyjny w procesie kontroli instancyjnej przyjmuje, jako niezakwestionowany punkt odniesienia, stan faktyczny i jego ocenę przyjęte przez Sąd pierwszej instancji. Przechodząc do omówienie zarzutów prawa materialnego wskazać należy, że w orzecznictwie Naczelnego Sądu Administracyjnego prezentowane jest stanowisko, zgodnie z którym nie jest dopuszczalne w świetle brzmienia art. 174 p.p.s.a. formułowanie zarzutu skargi kasacyjnej jako naruszenie przepisu prawa "poprzez jego niezastosowanie" czy "pominięcie" (por. wyrok NSA z dnia 3 grudnia 2008 r., I OSK 1807/07, LEX nr 525973; wyrok NSA z dnia 14 maja 2007 r., I OSK 1247/06, LEX nr 342527; wyrok NSA z dnia 28 marca 2007 r., I OSK 31/07, LEX nr 327781; postanowienie NSA z dnia 2 marca 2012 r., I OSK 294/12, LEX nr 1136684). Zgodnie jednak z dominującym poglądem wyrażanym w orzecznictwie sądowoadministracyjnym, w ramach pierwszej podstawy kasacyjnej możliwe jest również kwestionowanie niezastosowania określonego przepisu prawa, z tym jednak zastrzeżeniem, że jeżeli strona skarżąca kasacyjnie podnosi w skardze kasacyjnej, że Sąd rozpoznający sprawę zastosował nie ten przepis prawa materialnego, który powinien być zastosowany, to powinna wskazać przepis właściwy jako podstawę materialną rozstrzygnięcia i uzasadnić, dlaczego ten właśnie przepis powinien lec u podstaw kwestionowanego rozstrzygnięcia, tj. dlaczego powinien być zastosowany (por. wyrok NSA z dnia 14 kwietnia 2004 r., OSK 121/04, Lex 120212; wyrok NSA z dnia 19 grudnia 2005 r., II OSK 299/05, LEX nr 190971; wyrok NSA z dnia 15 marca 2011 r., II OSK 323/10, LEX nr 1080252). Zarzut niewłaściwego zastosowania prawa materialnego w postaci pozytywnej, czyli zarzucenia zastosowania normy prawnej, która nie powinna być w danej sprawie zastosowana, a także w postaci negatywnej, czyli zarzucenia niezastosowania normy prawnej, która w ocenie wnoszącego skargę kasacyjną powinna być zastosowana, wymaga należytej precyzji w jego konstruowaniu w konkretnej sprawie (por. wyrok NSA z dnia 3 października 2013 r., II FSK 1020/12, LEX nr 1382183). Niezastosowany przez sąd w procesie kontroli przepis prawa materialnego może stanowić podstawę skargi kasacyjnej, jeżeli w konkretnym stanie faktycznym istniały podstawy do dokonania subsumcji (zob. B. Dauter: Prawo o postępowaniu przed sądami administracyjnymi. Komentarz do art. 174 Prawa o postępowaniu przed sądami administracyjnymi, teza 5, Lex 2013; wyrok NSA z dnia 16 marca 2011 r., II GSK 400/10, LEX nr 1080145), a sąd nie dostrzegając właściwej podstawy oparł swoje rozstrzygnięcie na podstawie niewłaściwej. Należy zatem stwierdzić, że nie dyskwalifikowałoby omawianych zarzutów skargi kasacyjnej wskazanie przez stronę skarżącą kasacyjnie na niezastosowanie ww. przepisów jedynie wtedy, gdyby strona skarżące kasacyjnie jednocześnie przywołały przepis lub przepisy, które w ich przekonaniu zostały wadliwie zastosowane zamiast przepisów przez nie wskazywanych wraz z podaniem uzasadnienia tego stanowiska. Jednak wymogu tego skarga kasacyjna nie spełnia, co tym samym czyni podnoszone zarzuty niezastosowania przepisów prawa materialnego nieskutecznymi. Zarzuty niezastosowania powyższych przepisów są tym bardziej nieskuteczne w realiach niniejszej sprawy, gdy weźmie się pod uwagę, że jak wynika z uzasadnienia zaskarżonego wyroku, w procesie kontroli sądowoadministracyjnej Sąd I instancji analizował treść przeważającej większości wskazanych wyżej przepisów, w tym wszystkich ze wskazanych wyżej przepisów RODO, odnosił się do kwestii potencjalnego ryzyka wysunięcia jakichkolwiek roszczeń przez M.M. w odniesieniu do stanu faktycznego sprawy i dokonanych w tym zakresie ustaleń i ocen organu nadzorczego, a zatem ponad wszelką wątpliwość stosował te przepisy w sposób właściwy dla kontroli sądowoadministracyjnej. W tym miejscu należy wskazać, że to Spółka sprokurowała, czyli przygotowała i zorganizowała całą sytuację, w której to skontaktowała się z Podmiotem jako oferent mając w tym własny interes, również polegający na budowaniu swojej bazy danych różnych podmiotów, zaś odmowa skorzystania z jej oferty i wniosek o wykreślenie wszelkich danych spowodował obawę podniesienia hipotetycznych roszczeń jakie może skierować do niej M.M. z powołaniem się na podstawę prawną wynikająca według skarżącego kasacyjnie z art. 6 ust.1 lit. f RODO, a więc twierdzenie, ze przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem. Wbrew zatem zarzutom i twierdzeniom zawartym w skardze kasacyjnej art. 6 ust. 1 lit. f RODO nie może stanowić podstawy przetwarzania danych osobowych "na zapas", w celu zabezpieczenia się przed ewentualnym (przyszłym i niepewnym) roszczeniem, zgłaszanym ewentualnie w przyszłości. Sytuacja jest o tyle niewłaściwa i niepożądana, że to naruszający prawo - Spółka – oczekuje ochrony i przywołuje hipotetyczne, potencjalne roszczenia M.M., które ten mógłby podnosić, zaś jej sposób działania gdyby został zaakceptowany pozwalałby pod pozorem hipotetycznych obaw na budowaniu niczym nieograniczonych baz wrażliwych danych obywateli, przecież każdy może nas pozwać, gdyż każdy pełnoletni obywatel co do zasady ma zdolność sądową i procesową. Zwykłe oświadczenie Podmiotu, proszę usunąć moje dane bo sobie tego nie życzę i jeżeli tego nie zrobisz to narazisz się na odpowiedzialność odszkodowawczą nie może być podstawą dla naruszającego prawo do osiągnięcia zamierzonego celu – dalszego z nich korzystania. Należy jeszcze wskazać, że zgodnie z art. 6 ust. 1 lit. c RODO, przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy - i w takim zakresie, w jakim - spełniony jest co najmniej m.in. warunek, zgodnie z którym "przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze". Mając na uwadze, że ochrona osób fizycznych w związku z przetwarzaniem ich danych osobowych gwarantowana przez RODO jest wyrazem ochrony prawnej na poziomie konstytucyjnym jednego z istotnych aspektów prawa do prywatności, z treści art. 51 ust. 1 Konstytucji RP wynika, że "Nikt nie może być obowiązany inaczej niż na podstawie ustawy do ujawniania informacji dotyczących jego osoby", a także biorąc pod uwagę to, że unormowania RODO mają charakter publicznoprawny, należy przyjąć, że wykładnia przesłanek umożliwiających konieczne ze względu na inne wartości osłabienie tej ochrony, powinna być ścisła. Prawo do ochrony danych osobowych stanowi emanację prawa do autonomii informacyjnej, pozwalając jednostce w określonym zakresie kontrolować sposób i zakres udostępnianych informacji jej dotyczących. Prawo do ich ochrony - jak przyjmuje się w piśmiennictwie – stanowi swego rodzaju emanację ogólnego prawa gwarantowanego Konstytucją RP (art. 47). Spostrzeżenie to oparte jest na założeniu, że dane osobowe są niejako częścią życia prywatnego lub rodzinnego, względnie że posługiwanie się danymi dotyczącymi innej osoby wkracza w przyznaną jej kompetencję decydowania o swoim życiu osobistym (zob. J. Barta, P. Fajgielski, R. Markiewicz, Ustawa o ochronie danych osobowych. Komentarz, komentarz do art. 1; System Informacji Prawnej LEX/el). Zgodnie z treścią art. 51 ust. 4 Konstytucji RP, każdy ma prawo do żądania sprostowania oraz usunięcia informacji nieprawdziwych, niepełnych lub zebranych w sposób sprzeczny z ustawą. Brzmienie przywołanego przepisu nie pozostawia wątpliwości co do tego, że z jednej strony norma ta przewiduje swoiste roszczenie o modyfikację lub usunięcie danych nieprawdziwych, niepełnych lub zgromadzonych niezgodnie z ustawą, z drugiej natomiast kreuje po stronie organów lub podmiotów administrujących bazami danych obowiązek uwzględnienia oczekiwań obywatela, jeżeli rzeczywiście informacje te są obarczone wskazanymi wyżej wadami. Wobec tego każda norma hierarchicznie niższego rzędu (ustawa, rozporządzenie, akt prawa miejscowego), regulująca tego rodzaju kwestie, musi być interpretowana zgodnie z treścią przywołanego przepisu Konstytucji. Z tych też względów całkowicie niezasadne są zarzuty naruszenia art. 17 ust. 1 i ust 3 lit. e. RODO, czemu dał też wyraz Sąd i instancji w swych motywach, chociażby w stwierdzeniu, że interes administratora nie może być zabezpieczony (w rozumieniu pojęcia "prawnie usprawiedliwiony cel") do tego stopnia, aby mógł on przechowywać dane osobowe, które przetwarzał wyłącznie w celu ochrony w razie wystąpienia roszczeń, związanych z samym tym zdarzeniem. W tym kontekście nie może mieć też istotnego znaczenia sama ogólna zapowiedź, że określony podmiot może wystąpić z roszczeniami jak w sprawie niniejszej. Niezależnie od powyższego, o nieskuteczności zarzutów naruszenia prawa materialnego sformułowanych przez spółkę jako "niezastosowanie" wskazywanych w nich przepisów świadczy również ich treść, z której ewidentnie wynika, że strona skarżąca kasacyjnie na podstawie wszystkich zarzutów niezastosowania wskazywanych przez nie przepisów kwestionują ustalenia i oceny w zakresie stanu faktycznego sprawy. Skarżąca kasacyjnie w treści tych zarzutów nr 2 i 4, podniesionych w ramach pierwszej podstawy kasacyjnej, odnosi się do swoich interesów i obowiązków w relacji prawnej z M.M., co do przetwarzania jego danych osobowych na gruncie ustalonego stanu faktycznego, do czego nie ma żadnych podstaw. W związku z konstrukcją skargi kasacyjnej w omawianym zakresie należy podkreślić, że zgodnie z ugruntowanymi poglądami prezentowanymi w orzecznictwie Naczelnego Sądu Administracyjnego niedopuszczalne jest zastępowanie zarzutu naruszenia przepisów postępowania, zarzutem naruszenia prawa materialnego i za jego pomocą kwestionowanie ustaleń faktycznych. Próba zwalczenia ustaleń faktycznych poczynionych przez sąd pierwszej instancji nie może nastąpić przez zarzut naruszenia prawa materialnego (zob. wyrok NSA z dnia 29 stycznia 2013 r., I OSK 2747/12, LEX nr 1269660; wyrok NSA z dnia 6 marca 2013 r., II GSK 2327/11, LEX nr 1340137). Ocena zarzutu naruszenia prawa materialnego może być dokonana wyłącznie na podstawie konkretnego stanu faktycznego, nie zaś na podstawie stanu faktycznego, który skarżący uznaje za prawidłowy (zob. wyrok NSA z dnia 6 marca 2013 r., II GSK 2328/11, LEX nr 1340138; wyrok NSA z dnia 14 lutego 2013 r., II GSK 2173/11, LEX nr 1358369). Jeżeli strona skarżąca kasacyjnie uważa, że ustalenia faktyczne są błędne, to zarzut naruszenia prawa materialnego poprzez błędne zastosowanie (czy niezastosowanie) jest co najmniej przedwczesny, zaś zarzut naruszenia prawa przez błędną jego wykładnię – niezasadny. Zarzut naruszenia prawa materialnego nie może opierać się na wadliwym (kwestionowanym przez stronę) ustaleniu faktu (zob. wyrok NSA z dnia 13 marca 2013 r., II GSK 2391/11, LEX nr 1296051). Dlatego też omawiane zarzuty naruszenia prawa materialnego, poprzez ich niezastosowanie, sformułowane przez Spółkę okazały się niezasadne również z tego powodu. Nie było też w ocenie Naczelnego Sądu Administracyjnego podstaw do uwzględnienia podniesionych naruszeń z zarzutów nr 4 i 5 prawa materialnego. Zarzuty te zbudowane zostały na podstawie art. 58 ust. 2 lit. c i lit. f. w zw. z przepisem art. 17 ust. 3 lit. e i w zw. z art. 118 k.c., art. 5 ust. 2 i art. 17 ust. 3 lit. b i przepisem art. 82 ust. 1 RODO oraz przepisami art. 45 i 32 Konstytucji RODO. Przepis art. 58 ust. 2 lit. c i lit. f stanowi: ust. 2. Każdemu organowi nadzorczemu przysługują wszystkie następujące uprawnienia naprawcze: lit. c) nakazanie administratorowi lub podmiotowi przetwarzającemu spełnienia żądania osoby, której dane dotyczą, wynikającego z praw przysługujących jej na mocy niniejszego rozporządzenia; lit. f) wprowadzanie czasowego lub całkowitego ograniczenia przetwarzania, w tym zakazu przetwarzania. Przepis omawianego artykułu opisany pod lit. c. był między innymi podstawą decyzji organu nakazującej usuniecie Spółce danych osobowych M.M., gdy organ korzystał z uprawnień naprawczych. Organ nie znalazł jednak podstaw do stosowania regulacji z lit. f. zacytowanego wyżej uregulowania uzasadniając swoje stanowisko, które to motywy zasadnie podzielił Sąd I instancji. Dla uznania braku zasadności tego zarzutu w pełni pozostają aktualne wywody wcześniejsze odnoszące się również do zarzutów naruszenia prawa procesowego oraz ustalonego stanu faktycznego w sprawie. Wskazać dalej należy, że przepisy art. 5 ust. 1 i ust. 2 RODO określają wprost obowiązki administratora danych osobowych. Przepis art. 5 ust. 1 RODO zobowiązuje administratora danych osobowych do przetwarzania danych osobowych w sposób zapewniający odpowiednie bezpieczeństwo danych osobowych, przejrzystość w tym ochronę przed niedozwolonym lub niezgodnym z prawem przetwarzaniem oraz przypadkową utratą, zniszczeniem lub uszkodzeniem, za pomocą odpowiednich środków technicznych lub organizacyjnych ("integralność i poufność"). Przepis art. 5 ust. 2 RODO stanowi, że administrator jest odpowiedzialny za przestrzeganie przepisów ust. 1 i musi być w stanie wykazać ich przestrzeganie ("rozliczalność"). W zarzucie skargi kasacyjnej wskazany jako naruszony został art. 5 ust. 2 RODO, nie był jednak stosowany przez organ, a proces jego zastosowania rozumiany jako proces przekształcenia normy generalno-abstrakcyjnej zawartej w ustawie (lub innym przepisie powszechnie obowiązującym) w normę indywidualno-konkretną zawartą w akcie administracyjnym (w decyzji administracyjnej), nie został poddany kontroli Sądu pierwszej instancji. Przedmiotem skargi został bowiem uczyniony akt kończący procedurę kontrolną przestrzegania przez skarżącego kasacyjnie przepisów art. 5 ust. 1 i ust. 2 RODO. Organ w zaskarżonej do sądu administracyjnego decyzji administracyjnej dokonał procedury kontroli przestrzegania przez administratora danych osobowych obowiązków adresowanych do niego bezpośrednio przez prawodawcę, a wskazanych w przepisach art. 5 ust. 1 i ust. 2 RODO, a stwierdzając niedopełnienie ich, wydał na podstawie art. 58 ust. 2 lit. c RODO akt administracyjny w ramach, jak to określa RODO, uprawnień naprawczych. Jest to w swej istocie środek prawny będący sankcją administracyjną, rozumianą jako negatywna konsekwencja naruszenia obowiązków wprost nałożonych przez ustawę na ich adresata. Decyzja poddana kontroli sądowoadministracyjnej była więc efektem zastosowania przepisu art. 58 ust. 2 lit. c RODO. Nakazanie administratorowi lub podmiotowi przetwarzającemu spełnienia żądania osoby, której dane dotyczą, wynikającego z praw przysługujących jej na mocy niniejszego rozporządzenia, o którym mowa w tym przepisie, wymaga przeprowadzenie odpowiedniego postępowania kontrolnego, a w jego ramach postępowania wyjaśniającego, w ramach którego ustala się czy doszło do naruszenia przepisów RODO przez operację przetwarzania. Rekapitulując tę część rozważań, stwierdzenie naruszenia przepisów art. 5 ust. 1 lit. i ust. 2 RODO, określających wprost obowiązki administratora danych osobowych, jest elementem postępowania wyjaśniającego prowadzonego przez Prezesa UODO w ramach postępowania kontrolnego nakierowanego na wydanie aktu stosowania prawa na podstawie art. 58 ust. 2 lit. c RODO. Z tej przyczyny zarzuty skargi kasacyjnej nie mógł się ostać, bowiem przepisy 5 ust. 1 lit. i ust. 2 RODO nie mogły zostać naruszone przez ich niewłaściwe zastosowanie, tak jak wskazano w skardze kasacyjnej, gdyż nie były one stosowane przez organ. Organ dokonał bowiem kontroli ich przestrzegania przez administratora danych osobowych. Stwierdzenie ich niedochowania jest przesłanką materialną do zastosowania przepisu art. 58 ust. 2 lit. c RODO i orzeczenia wskazanej w nim sankcji administracyjnej. W sprawie nie były również stosowane przepisy kodeksu cywilnego - art. 118 i w tym zakresie pozostaje aktualna argumentacja przedstawiona wyżej. Jak wskazano na wstępie, przytoczone w skardze kasacyjnej przyczyny wadliwości prawnej zaskarżonego wyroku determinują zakres kontroli dokonywanej przez sąd drugiej instancji, który w odróżnieniu od sądu pierwszej instancji nie bada całokształtu sprawy, lecz tylko weryfikuje zasadność zarzutów podniesionych we wniesionym środku odwoławczym. W rekapitulacji przedstawionych argumentów należało więc stwierdzić, że zarzuty skargi kasacyjnej nie podważają zgodności z prawem zaskarżonego wyroku, albowiem nie zostały oparte na usprawiedliwionych podstawach. Skoro więc podniesione zarzuty okazały się nieskuteczne, Naczelny Sąd Administracyjny oddalił skargę kasacyjną na podstawie art. 184 p.p.s.a. O kosztach postępowania kasacyjnego, Naczelny Sąd Administracyjny, orzekł jak w pkt 3. sentencji wyroku, na podstawie art. 204 pkt 2 p.p.s.a. i art. 205 § 2 p.p.s.a.