III OSK 2455/24

Naczelny Sąd Administracyjny w składzie: Przewodniczący: sędzia NSA Teresa Zyglewska Sędziowie: sędzia NSA Artur Kuś (spr.) sędzia del. WSA Kazimierz Bandarzewski po rozpoznaniu w dniu 3 grudnia 2025 r. na posiedzeniu niejawnym w Izbie Ogólnoadministracyjnej skargi kasacyjnej D. K. prowadzącego działalność gospodarczą pod nazwą [...] z siedzibą w [...] od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z 19 marca 2024 r. sygn. akt II SA/Wa 1569/23 w sprawie ze skargi D. K. prowadzącego działalność gospodarczą pod nazwą [...] z siedzibą w [...] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z 31 maja 2023 r. nr DS.523.6678.2022.ZS.JK w przedmiocie przetwarzania danych osobowych oddala skargę kasacyjną.

Wojewódzki Sąd Administracyjny w Warszawie wyrokiem z 19 marca 2024 r. sygn. akt II SA/Wa 1569/23 oddalił skargę D. K. prowadzącego działalność gospodarczą pod nazwą [...] z siedzibą w [...] (dalej: "skarżący") na decyzję Prezesa Urzędu Ochrony Danych Osobowych (dalej: "PUODO") z 31 maja 2023 r. nr DS.523.6678.2022.ZS.JK w przedmiocie przetwarzania danych osobowych. W uzasadnieniu wyroku Sąd I instancji przyjął następujące okoliczności faktyczne i prawne. PUODO decyzją z 31 maja 2023 r. nr DS.523.6678.2022.ZS.JK na podstawie art. 104 §1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz.U. z 2023 r. poz. 775, dalej: "k.p.a.") oraz art. 6 ust. 1, art. 5 ust. 1 oraz art. 13, 14 i art. 58 ust. 2 lit. b rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z 4.05.2016, str. 1, Dz. Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35; dalej: "rozporządzenie RODO"), po przeprowadzeniu postępowania administracyjnego w sprawie skargi E. Z. (dalej: "wnioskodawczyni") na nieprawidłowości w procesie przetwarzania jej danych osobowych oraz danych osobowych jej córki Z. Z. przez skarżącego polegające na pozyskaniu i przetwarzaniu ich danych osobowych oraz niewypełnieniu wobec E. Z. obowiązku informacyjnego z art. 14 rozporządzenia RODO Prezes UODO udzielił skarżącemu upomnienia za naruszenie: 1. art. 6 ust. 1 oraz art. 5 ust. 1 rozporządzenia RODO polegające na pozyskaniu 29 października 2021 r. i dalszym przetwarzaniu danych osobowych bez podstawy prawnej E. Z. w zakresie jej numeru telefonu oraz danych osobowych jej córki Z. Z. w zakresie imienia, nazwiska, numeru telefonu oraz informacji o szkole oraz klasie, do której uczęszczała; 2. art. 14 ust. 1 i 2 rozporządzenia RODO polegające na nierzetelnym wypełnieniu obowiązku informacyjnego wobec E. Z. w zakresie podstaw przetwarzania i kategorii przetwarzanych danych osobowych (art. 14 ust. 1 lit. c i d) oraz art. 14 ust. 2 w zakresie okresu, przez który dane osobowe będą przechowywane, a gdy nie jest to możliwe, kryteria ustalania tego okresu; jeżeli przetwarzanie odbywa się na podstawie art. 6 ust. 1 lit. f – prawnie uzasadnionych interesach realizowanych przez administratora lub przez stronę trzecią; informacjach o prawie do żądania od administratora dostępu do danych osobowych dotyczących osoby, której dane dotyczą, ich sprostowania, usunięcia lub ograniczenia przetwarzania oraz o prawie do wniesienia sprzeciwu wobec przetwarzania, a także o prawie do przenoszenia danych; jeżeli przetwarzanie odbywa się na podstawie art. 6 ust. 1 lit. a lub art. 9 ust. 2 lit. a - informacji o prawie do cofnięcia zgody w dowolnym momencie bez wpływu na zgodność z prawem przetwarzania, którego dokonano na podstawie zgody przed jej cofnięciem; informacje o prawie wniesienia skargi do organu nadzorczego; źródle pochodzenia danych osobowych, a gdy ma to zastosowanie - czy pochodzą one ze źródeł publicznie dostępnych; informacjach o zautomatyzowanym podejmowaniu decyzji, w tym o profilowaniu, o którym mowa w art. 22 ust. 1 i 4, oraz - przynajmniej w tych przypadkach - istotne informacje o zasadach ich podejmowania, a także o znaczeniu i przewidywanych konsekwencjach takiego przetwarzania dla osoby, której dane dotyczą; 3. art. 13 rozporządzenia RODO polegające na niewypełnieniu wobec Z. Z. obowiązku informacyjnego w związku z pozyskaniem i dalszym przetwarzaniem danych osobowych. PUODO w uzasadnieniu wskazał, że E.Z. złożyła skargę na nieprawidłowości w procesie przetwarzania jej danych osobowych oraz danych osobowych jej córki Z. Z. przez D. K., prowadzącego działalność gospodarczą pod firmą D. K. [...] w [...], reprezentowanego przez adwokata, polegające na pozyskaniu i przetwarzaniu ich danych osobowych oraz niewypełnieniu wobec E. Z. obowiązku informacyjnego z art. 14 rozporządzenia RODO. PUODO ustalił, że córka wnioskodawczyni była uczennicą ZSSO w [...]. W dniu 29 października 2021 r. podczas lekcji otrzymała formularz sporządzony przez skarżącego, z wydrukowaną na niej adnotacją "ZSSO [...]", zawierający prośbę o przekazanie pełnej, bezpłatnej informacji o organizowanych przez niego kursach językowych. Córka wnioskodawczyni wypełniła ten formularz, w którym podała swoje imię i nazwisko, numer telefonu, klasę do której ówcześnie chodziła oraz numer telefonu swojej mamy (dowód: pismo wnioskodawczyni z 2 grudnia 2022 r. z załącznikami, pisma skarżącego z 30 stycznia 2023 r. i 27 lutego 2023 r. z załącznikami). Wnioskodawczyni wyjaśniła, że 15 grudnia 2021 r. zadzwonił do niej przedstawiciel skarżącego w celu przedstawienia oferty zajęć językowych. Wnioskodawczyni nie znała firmy skarżącego, w związku z czym poprosiła o podanie podstaw, celów przetwarzania oraz źródła danych osobowych. Konsultant telefoniczny wyjaśnił jej, że za zgodą dyrektora szkoły w trakcie zajęć lekcyjnych dzieci otrzymały do wypełnienia formularz obejmujący dane osobowe dziecka i rodzica oraz podpisały zgodę na przetwarzanie danych osobowych. Wnioskodawczyni w korespondencji ze skarżącym zakwestionowała podstawy prawne przetwarzania danych osobowych jej oraz jej córki oraz podniosła niewypełnienie wobec niej obowiązku informacyjnego z art. 14 rozporządzenia RODO (dowód: pismo wnioskodawczyni z 2 grudnia 2022 r.). Skarżący wyjaśnił, że przetwarzał dane osobowe w zakresie imienia córki wnioskodawczyni, numeru telefonu jej matki oraz klasy, do której uczęszczało dziecko w oparciu o udzieloną przez nią zgodę. Powyższe dane przetwarzał w celu ustalenia, czy przedstawiciel ustawowy dziecka wyraża chęć nauki przez nie języka obcego (dowód: pismo skarżącego z 30 stycznia 2023 r.). Skarżący wyjaśnił, że wypełnił wobec wnioskodawczyni obowiązek informacyjny poprzez przekazanie za pośrednictwem jej córki 29 października 2021 r. części formularza zawierającego informacje o przetwarzaniu danych osobowych. Ponadto adekwatna informacja została przekazana wnioskodawczyni listem poleconym, który otrzymała 17 stycznia 2022 r. (dowód: pismo skarżącego z 27 lutego 2023 r.). PUODO zaznaczył, że zakres danych wskazany przez skarżącego, jako te, które przetwarzał, a rzeczywisty zakres przetwarzanych danych jest różny. Skarżący w wyjaśnieniach wymienił jedynie, że przetwarzał imię córki wnioskodawczyni, numer telefonu jej matki oraz klasę, kiedy faktycznie pozyskał również dane w zakresie informacji o szkole, do której chodzi córka wnioskodawczyni (ZSSO [...]), jej nazwiska oraz numeru telefonu. Organ wskazał, powołując się na załączony do akt sprawy odpis skrócony aktu urodzenia córki wnioskodawczyni, że w chwili wyrażenia zgody na przetwarzanie danych, tj. 29 października 2021 r. dziewczynka nie miała ukończonych 16 lat, a więc nie została spełniona przesłanka kryterium wieku określonego w przywołanym przepisie. Oznacza to, że nie mogła samodzielnie wyrazić zgody na przetwarzanie swoich danych osobowych, a tym bardziej nie mogła wyrazić zgody na przetwarzanie danych osobowych swojego rodzica. Organ stwierdził, że skarżący pozyskał dane osobowe wnioskodawczyni oraz jej córki w sposób niezgodny z prawem. Zdaniem PUODO co do ogólnej zasady można uznać za słuszne stanowisko skarżącego, zgodnie z którym świadczenie nauki języka obcego za pośrednictwem platformy e-learningowej mogłoby być usługą społeczeństwa informacyjnego w rozumieniu art. 1 ust. 1 lit. b dyrektywy Parlamentu Europejskiego i Rady (UE) 2015/1535 jednak organ nie podzielił twierdzenia skarżącego, zgodnie z którym pozyskanie danych osobowych w celu przedłożenia oferty kursów językowych było usługą społeczeństwa informacyjnego w rozumieniu ww. przepisu, w związku z czym niewłaściwe jest powołanie się na przepis art. 8 rozporządzenia RODO. Wyrażonemu w wyjaśnieniach skarżącego stanowisku przeczy również treść klauzuli informacyjnej, zamieszczonej w części formularza przeznaczonego do wiadomości rodziców, z której wynika, że dane osobowe przetwarzane są przez ę w celach marketingowych, w tym marketingu bezpośredniego, w związku z czym w żaden sposób nie można w tym przypadku mówić o przetwarzaniu w celu świadczenia usług społeczeństwa informacyjnego. W ocenie PUODO, w przedmiotowej sprawie nie zaszła również przesłanka oferowania usług społeczeństwa informacyjnego bezpośrednio dziecku (art. 8 ust. 1 rozporządzenia RODO), bowiem oferta kursów językowych, miała być przedstawiona rodzicowi. W ocenie Prezesa UODO działania skarżącego naruszyły ogólne zasady przetwarzania danych, w szczególności wyrażane w art. 5 ust. 1 lit. a oraz c rozporządzenia RODO. Skarżący pozyskał dane osobowej od małoletniego dziecka niezgodnie z prawem i nierzetelnie. Dodatkowo przetwarzał dane nadmiarowe, zdaniem organu nieuzasadnione było zebranie danych w zakresie nazwiska, numeru telefonu oraz klasy, do której uczęszczała córka wnioskodawczyni w sytuacji chęci przedstawienia jej matce oferty kursów językowych dla jej dziecka. PUODO wskazał, że w przedmiotowej sprawie administrator w sposób niezgodny z prawem pozyskał jakiekolwiek dane wnioskodawczyni i jej córki, wobec czego nie można uznać za zgodne z prawem dalszego przetwarzania danych w oparciu o prawnie uzasadniony interes administratora, a tym samym przetwarzanie danych, które nastąpiło 15 grudnia 2021 r. poprzez skontaktowanie się z wnioskodawczynią przedstawiciela skarżącego w celu zaprezentowania oferty kursów językowych było niezgodne z prawem i stanowiło naruszenie przepisu art. 6 ust. 1 lit. f rozporządzenia RODO. PUODO stwierdził naruszenie obowiązku informacyjnego wynikającego z art. 14 rozporządzenia RODO wobec wnioskodawczyni, jak również stwierdził naruszenie obowiązków informacyjnych wobec córki wnioskodawczyni, zarówno w zakresie art. 13 jak i art. 14 rozporządzenia RODO. Skarżący wyjaśnił, że formularz, który wypełniła Z.Z. składał się z dwóch części i ta część, która zawierała klauzulę informacyjną 29 października 2021 r. została jej wręczona i następnie miała zostać przez dziecko przekazana rodzicowi, a tym samym w ten sposób miał zostać spełniony obowiązek informacyjny. PUODO stwierdził, że powyższe działanie administratora stanowi niedopuszczalny sposób spełnienia obowiązku informacyjnego, to administrator musi być w stanie wykazać, że przetwarza dane osobowe zgodnie z prawem (art. 5 ust. 2 rozporządzenia RODO). Prezes UODO podniósł, że treść klauzuli informacyjnej odbiega od minimalnych wymogów wynikających z art. 14 ust. 1 rozporządzenia RODO. W treści klauzuli zawarte zostały punkty dotyczące danych administratora, nierzetelnych podstaw prawnych oraz celu przetwarzania, odbiorców, czasu przetwarzania danych pozyskanych w oparciu o zgodę (do momentu wycofania zgody) oraz praw osoby, której dane dotyczą do sprostowania, usunięcia, ograniczenia, wniesienia sprzeciwu lub cofnięcia zgody na przetwarzanie oraz możliwości wniesienia skargi do organu nadzorczego. Jako cele przetwarzania danych skarżący wskazał w treści klauzuli cele marketingowe, w tym marketing bezpośredni, natomiast podstawy przetwarzania to art. 6 i art. 9 rozporządzenia RODO. Organ podniósł, że również brak dokładności we wskazaniu przez administratora konkretnej przesłanki z art. 6 ust. 1 rozporządzenia RODO przesądza o negatywnej ocenie realizacji obowiązku informacyjnego przez Skarżącego. To do obowiązków administratora należy, by podmiot przetwarzania nie miał żadnych wątpliwości jakie jego dane, w jakim celu i na jakiej podstawie prawnej administrator przetwarza, natomiast przyjęta przez skarżącego konstrukcja klauzuli informacyjnej nie informuje precyzyjnie o podstawie przetwarzania danych, tj. które konkretnie okoliczności z art. 6 rozporządzenia RODO zaszły, w oparciu o które skarżący dane przetwarza. Osoba, której dane dotyczą nie powinna znaleźć się w sytuacji, w której musiałaby się domyślać, na jakiej podstawie prawnej administrator przetwarza jej dane osobowe w określonej sytuacji, a w przedmiotowej sprawie do tego doszło. Dodatkowo skarżący zaniechał poinformowania w zakresie punktów wymienionych w art. 14 ust. 2 rozporządzenia RODO. Ze względu na powyższe okoliczności, pomimo doręczenia przez skarżącego klauzuli informacyjnej 17 stycznia 2021 r., organ stwierdził, że obowiązek informacyjny nie został przez administratora zrealizowany, a tym samym doszło do naruszenia art. 14 rozporządzenia RODO. Analogicznie doszło do naruszenia przez skarżącego obowiązków informacyjnych z art. 13 rozporządzenia RODO na rzecz córki wnioskodawczyni, nie sposób ocenić czy zapoznała się ona z treścią klauzuli informacyjnej, którą miała przekazać rodzicowi, a nadto ze względu na wyżej opisane wady klauzuli organ nie mógł uznać, że obowiązek informacyjny wobec córki wnioskodawczyni został spełniony w sposób prawidłowy. PUODO stosownie do dyspozycji art. 58 ust. 2 rozporządzenia RODO służącego przywróceniu stanu zgodnego z prawem w procesie przetwarzania danych, uznał, że w realiach niniejszej sprawy wystarczającym jest zastosowanie wobec skarżącego upomnień za stwierdzone naruszenie przepisów o ochronie danych osobowych, tj. art. 6 ust. 1 i art. 5 ust. 1 i 2 rozporządzenia RODO, polegające na pozyskaniu i przetwarzaniu danych osobowych wnioskodawczyni oraz jej córki bez podstawy prawnej oraz naruszeń obowiązków informacyjnych z art. 14 rozporządzenia RODO wobec wnioskodawczyni i z art. 13 rozporządzenia RODO wobec jej córki. Skarżący w skardze do WSA w Warszawie na decyzję zarzucił: - naruszenie art. 7 k.p.a. (niepodjęcie niezbędnych czynności w celu wyjaśnienia stanu faktycznego, zgodnego z zasadą prawdy obiektywnej) oraz art. 75 k.p.a. i art. 77 k.p.a. (zgromadzenie materiału dowodowego i jego rozpatrzenie w niepełnym zakresie, w sytuacji, gdy przepisy nakazują poczynienie ich w sposób wyczerpujący) w tym w szczególności - wadliwe uznanie, iż dane osobowe w rozumieniu art. 4 ust. 1 rozporządzenia RODO stanowi numer telefonu opiekuna prawnego uzyskany w celu ustalenia czy wyraża on zgodę na przedstawienie nieodpłatnej informacji dziecku online o kursach zlecającego oraz przeprowadzanie przykładowej próbnej lekcji, - wadliwe uznanie, iż skarżący nie oferował bezpośrednio dziecku usług społeczeństwa informacyjnego, podczas gdy usługi społeczeństwa informacyjnego oferowane przez skarżącego bezpośrednio dziecku polegają na nauce języka obcego za pośrednictwem sieci Internet (interaktywnej platformy e-learningowej), w tym na przeprowadzeniu próbnej lekcji demonstracyjnej poprzez stronę internetową www.thepoint.pl. Przedmiotowa usługa stanowi usługę społeczeństwa informacyjnego w rozumieniu art. 1 ust. 1 lit. b dyrektywy Parlamentu Europejskiego i Rady UE 2015/153, - błędne uznanie, iż skarżący wręczył córce wnioskodawczyni formularz kontaktowy z nadrukowaną nazwą szkoły, podczas gdy małoletnia wypełniała pusty formularz zawierający jedynie imię, numer telefonu rodzica oraz klasę (w celu weryfikacji wieku a nie identyfikacji osoby). Nazwa szkoły została naniesiona na skan formularza po zgłoszeniu skargi i przekazaniu informacji o szkole przez przedstawiciela ustawowego, - wadliwe uznanie przez organ, iż skarżący przetwarzał dane nadmiarowe, podczas gdy konstrukcja samego formularza wymaga podania imienia i numeru telefonu przedstawiciela ustawowego oraz klasy w celu weryfikacji kryterium wieku. Nazwa szkoły została wskazana w dalszej korespondencji przez przedstawiciela ustawowego a nazwisko zostało nadmiarowo wskazane przez samą małoletnią i nie było przez skarżącego przetwarzane, - wadliwe uznanie przez organ, iż obowiązek informacyjny, nie został spełniony poprzez przekazanie małoletniej klauzuli informacyjnej na piśmie, podczas gdy skarżący nie przetwarzał danych osobowych opiekuna prawnego (jedynie telefon kontaktowy) i nie miał możliwości technicznych przekazania klauzuli w innej formie, poza telefoniczną, która stanowiła podstawę skargi, - wadliwe uznanie, iż klauzula informacyjna nie została sformułowana w zwięzłej, przejrzystej, zrozumiałej i łatwo dostępnej formie, jasnym i prostym językiem, podczas gdy klauzula informacyjna zawierała wymagane prawem informacje przedstawione komunikatywnym językiem, a cel został wyraźnie określony, jako przedstawienie bezpłatnej informacji o kursach [...], - niewskazanie w treści decyzji w jakim zakresie doszło do naruszenia przez skarżącego art. 13 rozporządzenia RODO w stosunku do dziecka, - błędne uznanie, iż skarżący naruszył treść art. 14 rozporządzenia RODO (obowiązek informacyjny w przypadku uzyskania danych osobowych w sposób inny niż od osoby, której dotyczą), podczas gdy skarżący od dziecka nie pozyskał żadnych danych osobowych a jedynie numer telefonu opiekuna prawnego uzyskany w celu ustalenia czy wyraża on zgodę na przedstawienie nieodpłatnej informacji dziecku online o kursach zlecającego oraz przeprowadzanie przykładowej próbnej lekcji, - naruszenie art. 17 k.c. poprzez błędną jego wykładnię i uznanie, iż zgoda przedstawiciela ustawowego jest wymagana w zakresie przetwarzania danych osobowych osób o ograniczonej zdolności do czynności prawnych. Prezes UODO w odpowiedzi na skargę wniósł o jej oddalenie podtrzymując dotychczasowe stanowisko. Powołanym na wstępie wyrokiem WSA w Warszawie oddalił skargę na podstawie art. 151 ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (Dz.U. z 2024 r., poz. 935 ze zm., dalej: "p.p.s.a."). W ocenie Sądu PUODO prawidłowo stwierdził, że dane osobowe, o których mowa w punkcie 1 rozstrzygnięcia decyzji przetwarzane były bez podstawy prawnej. Zdaniem Sądu nie ma wątpliwości, że wszystkie dane, które przetwarzał skarżący stanowią dane osobowe i nie tylko pozwalały na zidentyfikowanie osoby fizycznej, ale wprost dotyczyły zidentyfikowanej osoby fizycznej. Pamiętać należy bowiem, że dziecko wnioskodawczyni przekazało skarżącemu na formularzu, poza swoim imieniem, także nazwisko. Dysponowanie wszystkimi danymi, które skarżący pozyskał od dziecka wnioskodawczyni pozwalało bezspornie na bezpośrednie zidentyfikowanie osoby fizycznej. W ocenie Sądu I instancji, sam numer telefonu (tj. jako pojedyncza dana, informacja) stanowi daną osobową w rozumieniu rozporządzenia RODO, albowiem pozwala zidentyfikować osobę fizyczną bezpośrednio lub pośrednio. W świetle powyższego, za nietrafny Sąd uznał zarzut skargi dotyczący wadliwego uznania, że numer telefonu wnioskodawczyni (uzyskany od jej córki, w tym przypadku w powiązaniu z innymi danymi osobowymi, którymi dysponował skarżący, tj. imieniem i nazwiskiem córki wnioskodawczyni, informacją o klasie i szkole) pozyskany, jak wskazywał skarżący w celu ustalenia, czy przedstawiciel ustawowy wyraża zgodę na przedstawienie nieodpłatnej informacji dziecku online o kursach, stanowi daną osobową. Zdaniem Sądu prawidłowo, w stanie faktycznym tej sprawy PUODO stwierdził, że dane, o których mowa w punkcie 1 rozstrzygnięcia decyzji przetwarzane były bez podstawy prawnej, co naruszało art. 6 i art. 5 rozporządzenia RODO. Sąd stwierdził, że w sprawie nie została spełniona w szczególności przesłanka z art. 6 ust. 1 lit. a rozporządzenia RODO. Organ prawidłowo ustalił, że córka wnioskodawczyni w chwili wyrażenia zgody na przetwarzanie danych, tj. 29 października 2021 r. nie miała ukończonych 16 lat, i trafnie w związku z tym stwierdził, że nie została spełniona przesłanka kryterium wieku określonego w przywołanym przepisie. Oznacza to, że dziecko (córka wnioskodawczyni) nie mogło samodzielnie wyrazić zgody na przetwarzanie swoich danych osobowych, a tym bardziej nie mogło wyrazić zgody na przetwarzanie danych osobowych swojego rodzica. Sąd podzielił ustalenie, że skarżący pozyskał dane osobowe wnioskodawczyni i jej dziecka niezgodnie z rozporządzenia RODO. W związku z powyższym Sąd I instancji stwierdził, że dane wnioskodawczyni i jej dziecka pozyskane zostały niezgodnie z prawem, co wykazano już wyżej (przesłanka zgody nie została spełniona). Nie mogło być tym samym podstaw do dalszego przetwarzania na podstawie powoływanego przez skarżącego art. 6 ust. 1 lit. f rozporządzenia RODO. Skoro dane pozyskano niezgodnie z prawem, to nie było możliwości podjęcia kontaktu z wnioskodawczynią w celu zaprezentowania oferty kursów. Przesłanka z art. 6 ust. 1 lit f rozporządzenia RODO nie została spełniona. W sprawie nie może być mowy o prawnie uzasadnionym interesie skarżącego w sytuacji naruszenia praw osoby fizycznej. Prawidłowo w świetle powyższego PUODO powiązał zarzut naruszenia art. 6 ust. 1 rozporządzenia RODO z art. 5 ust. 1 rozporządzenia RODO, który określa zasady przetwarzania danych osobowych. Zdaniem Sadu instancji nie jest zasadny zarzut naruszenia przez organ art. 13 i art. 14 rozporządzenia RODO, a zatem wypełnienia obowiązku informacyjnego. Trafnie organ stwierdził, że pomimo dostarczenia przez skarżącego wnioskodawczyni 17 stycznia 2021 r. treści klauzuli informacyjnej, nie można przyjąć, że obowiązek został prawidłowo wypełniony. Reasumując Sąd I instancji stwierdził, że we wszystkich ustalonych okolicznościach faktycznych PUODO zasadnie zastosował upomnienie za naruszenia wykazane w punkcie 1, 2 i 3 rozstrzygnięcia decyzji. Zdaniem Sądu zastosowany środek jest adekwatny do stwierdzonego w decyzji naruszenia rozporządzenia RODO. Waga stwierdzonego naruszenia i jego charakter dawały podstawę do zastosowania upomnienia.. Skarżący wniósł skargę kasacyjną od powyższego wyroku zarzucając naruszenie I. prawa materialnego: 1. przez błędną wykładnię art. 4 ust. 1 rozporządzenia RODO poprzez błędną jego wykładnię i uznanie, iż dane osobowe w rozumieniu art. 4 ust. 1 rozporządzenia RODO stanowi numer telefonu opiekuna prawnego uzyskany w celu ustalenia czy wyraża on zgodę na przedstawienie nieodpłatnej informacji dziecku online o kursach zlecającego oraz przeprowadzanie przykładowej próbnej lekcji, a w konsekwencji uznanie, iż skarżący przetwarzał bez podstawy prawnej dane osobowe przedstawiciela ustawowego tj. jego numer telefonu a w konsekwencji bezzasadne oddalenie skargi, 2. przez błędną wykładnię art. 8 ust. 1 rozporządzenia RODO i uznanie, iż przeprowadzenie nieodpłatnej lekcji demonstracyjnej w stosunku do dziecka nie stanowi usługi społeczeństwa informacyjnego oferowanej bezpośrednio dziecko a w konsekwencji uznanie, iż skarżący nie oferował bezpośrednio dziecku usług społeczeństwa informacyjnego, podczas gdy usługi społeczeństwa informacyjnego oferowane przez przedsiębiorcę bezpośrednio dziecku polegają na nauce języka obcego za pośrednictwem sieci Internet (interaktywnej platformy e-learningowej), w tym na przeprowadzeniu próbnej lekcji demonstracyjnej poprzez stronę internetową www.thepoint.pl. Przedmiotowa usługa stanowi usługę społeczeństwa informacyjnego w rozumieniu art. 1 ust. 1 lit. b dyrektywy Parlamentu Europejskiego i Rady UE 2015/153 a w konsekwencji uznanie, iż art. 8 rozporządzenia RODO nie może znaleźć zastosowania w celu podjęcia rozsądnych starań w celu ustalenia czy przedstawiciel ustawowy dziecka wyraża zgodę na oferowanie usług społeczeństwa informacyjnego bezpośrednio dziecku (przedstawienie informacji o kursach oraz przeprowadzenie próbnej lekcji demonstracyjnej poprzez stronę internetową www.thepoint.pl), a w konsekwencji bezzasadne oddalenie skargi, 3. przez błędną wykładnię art. 8 ust. 2 rozporządzenia RODO i uznanie, iż w przypadku gdy dziecko wyraża wolę uczestnictwa w nieodpłatnej próbnej lekcji demonstracyjnej poprzez stronę internetową i przedstawieniu mu informacji o kursach pozyskanie numeru kontaktowego przedstawiciela ustawowego dziecka nie stanowi rozsądnych działań administratora w rozumieniu art.8 ust.2 RODO by zweryfikować czy osoba sprawująca władzę rodzicielską lub opiekę nad dzieckiem wyraża zgodę w rozumieniu art. 8 ust. 1 rozporządzenia RODO a w konsekwencji uznanie, iż pozyskanie numeru przedstawiciela ustawowego nastąpiło bez podstawy prawnej, a w konsekwencji bezzasadne oddalenie skargi. Podnosząc powyższe zarzuty skarżący wniósł o uchylenie zaskarżonego wyroku w całości i przekazanie sprawy Wojewódzkiemu Sądowi Administracyjnemu w Warszawie do ponownego rozpoznania, uchylenie decyzji PUODO z 31 maja 2023r. oraz zasądzenie na rzecz skarżącego kosztów postępowania, Skarżący wniósł o rozpoznanie skargi kasacyjnej na posiedzeniu niejawnym. W odpowiedzi na skargę kasacyjną PUODO wniósł o jej oddalenie. Naczelny Sąd Administracyjny zważył, co następuje. 1. Stosownie do art. 183 § 1 p.p.s.a., Naczelny Sąd Administracyjny rozpoznaje sprawę w granicach skargi kasacyjnej, biorąc pod rozwagę z urzędu jedynie nieważność postępowania. W rozpoznawanej sprawie nie zachodzi żadna z okoliczności skutkujących nieważnością postępowania, o jakich mowa w art. 183 § 2 p.p.s.a. i nie zachodzi żadna z przesłanek, o których mowa w art. 189 p.p.s.a., które Naczelny Sąd Administracyjny rozważa z urzędu dokonując kontroli zaskarżonego skargą kasacyjną wyroku. W tych okolicznościach w sprawie badaniu podlegały wyłącznie zarzuty podniesione w skardze kasacyjnej na uzasadnienie przytoczonych podstaw kasacyjnych. Rozpoznając sprawę Naczelny Sąd Administracyjny związany jest granicami skargi. Związanie granicami skargi oznacza związanie podstawami zaskarżenia wskazanymi w skardze kasacyjnej oraz jej wnioskami. Naczelny Sąd Administracyjny bada przy tym wszystkie podniesione przez stronę skarżącą kasacyjnie zarzuty naruszenia prawa (tak NSA w uchwale pełnego składu z 26 października 2009 r. sygn. akt I OPS 10/09, opubl. w ONSAiWSA 2010 z. 1 poz. 1). Zgodnie z art. 174 p.p.s.a. skargę kasacyjną można oprzeć na następujących podstawach: 1) naruszeniu prawa materialnego przez błędną jego wykładnię lub niewłaściwe zastosowanie, a także 2) naruszeniu przepisów postępowania, jeżeli uchybienie to mogło mieć istotny wpływ na wynik sprawy. Stosownie do art. 176 p.p.s.a. strona skarżąca kasacyjnie ma obowiązek przytoczyć podstawy skargi kasacyjnej wnoszonej od wyroku Sądu I instancji i szczegółowo je uzasadnić wskazując, które przepisy ustawy zostały naruszone, na czym to naruszenie polegało i jaki miało wpływ na wynik sprawy. Rola Naczelnego Sądu Administracyjnego w postępowaniu kasacyjnym ogranicza się do skontrolowania i zweryfikowania zarzutów wnoszącego skargę kasacyjną. Skarga kasacyjna jest niezasadna. 2. Istota sprawy sprowadza się do oceny zgodności z prawem wyroku Sądu I instancji, który oddalił skargę na decyzję PUODO z 31 maja 2023 r. w przedmiocie przetwarzania danych osobowych (wskazanych w niej osób) w zakresie nieprawidłowości w procesie przetwarzania danych osobowych przez skarżącego polegające na pozyskaniu i przetwarzaniu danych osobowych oraz niewypełnieniu wobec wskazanej w decyzji osoby obowiązku informacyjnego wynikającego z art. 14 RODO. Przedmiotem oceny PUODO była zgodność z prawem przetwarzania danych osobowych wnioskodawczyni i jej dziecka. W decyzji tej PUODO udzielił skarżącemu upomnienia. W ocenie NSA, skarga kasacyjna jest niezasadna i wszelkie zawarte w niej zarzuty wskazujące na naruszenie prawa materialnego i procesowego są niezasadne. Prawidłowo Sąd I instancji uznał, że zaskarżona decyzja PUODO nie narusza obowiązujących przepisów prawa unijnego jak i regulacji prawa krajowego (w tym k.p.a.) w stopniu mającym istotny wpływ na końcowy wynik sprawy zakończonej wydaniem zaskarżonej decyzji. Zasadnie również wskazano, że postępowanie przeprowadzone przez PUODO w zakresie dokonanych ustaleń stanu faktycznego, jak i zastosowania do jego oceny przepisów prawa materialnego było prawidłowe a uzasadnienie zaskarżonej decyzji odpowiada wymogom art. 107 § 3 k.p.a. Nie budzi również w sprawie zastrzeżeń zastosowane przez PUODO w tej sprawie postępowanie wyjaśniające. Organ uzyskał stosowne wyjaśnienia od skarżącego oraz wnioskującej do PUODO o podjęcie działań w sprawie ochrony jej danych osobowych i danych osobowych dziecka wnioskodawczyni. 3. Ze stanu faktycznego ustalonego w sprawie wynikało to, że: - 29 października 2021 r. podczas lekcji w szkole córka wnioskodawczyni otrzymała formularz sporządzony przez skarżącego; wypełnienie tego formularza miało na celu pozyskanie przez skarżącego informacji o osobach i ich danych do kontaktu telefonicznego, którym można było w późniejszym czasie przedstawić ofertę kursów językowych; z kopii formularza wynika, że znajdowała się na nim adnotacja o treści "ZSSO [...]", wskazująca szkołę, dla której jest przeznaczony; formularz zawierał rubryki do wypełnienia przez ucznia (poprzez podanie imienia, klasy, numeru telefonu ucznia i numeru telefonu do rodzica); - córka wnioskodawczyni po otrzymaniu od nauczyciela formularza podała wyżej wymienione dane oraz dodatkowo wpisała swoje nazwisko; - w treści formularza zawarte zostało również oświadczenie: "wyrażam zgodę na przetwarzanie danych osobowych w celu przekazywania mi informacji o kursach "[...]" zgodnie z art. 6 oraz art. 9 RODO", które zostało podpisane przez ucznia (córkę wnioskodawczyni); - w toku postępowania skarżący wyjaśnił, że przetwarzał dane w zakresie imienia córki wnioskodawczyni, numeru telefonu wnioskodawczyni, klasy, do której córka wnioskodawczyni chodziła; jako podstawę przetwarzania wskazał art. 6 ust. 1 lit. a i f rozporządzenia RODO w zw. z art. 8 rozporządzenia RODO; jako cel pozyskania danych wskazał potrzebę ustalenia, czy przedstawiciel ustawowy dziecka wyrażającego wolę nauki języka obcego, które ukończyło 13 lat a nie ukończyło 16 wyraża zgodę na przedstawienie oferty kursu językowego. Sąd I instancji zasadnie wskazał, że choć skarżący nie wskazał, że przetwarzał nazwisko córki wnioskodawczyni, w sprawie jest bezsporne, że i ta dana osobowa była przez skarżącego przetwarzana. Nie ma znaczenia, że formularz nie zawierał rubryki do wypełnienia nazwiska. Nazwisko to zostało faktycznie przez córkę skarżącej wpisane do formularza, na którym pozyskano dane osobowe. Zatem nie ulega wątpliwości to, że skarżący przetwarzał dane w zakresie: a) imienia i nazwiska córki wnioskodawczyni, b) numeru telefonu wnioskodawczyni, c) klasy, do której córka wnioskodawczyni chodziła, d) szkoły. W sprawie bezsporne było również to, że: - dziecko wnioskodawczyni podpisało zgodę na przetwarzanie danych osobowych; - 15 grudnia 2021 r. do wnioskodawczyni zadzwonił przedstawiciel skarżącego w celu przedstawienia oferty zajęć językowych; - wnioskodawczyni zakwestionowała podstawy prawne przetwarzania danych osobowych jej oraz jej córki oraz podniosła niewypełnienie wobec niej obowiązku informacyjnego z art. 14 rozporządzenia RODO (pismo wnioskodawczyni 2 grudnia 2022 r.); - skarżący wskazał, że po zgłoszeniu sprzeciwu przez wnioskodawczynię zaprzestał przetwarzania danych osobowych, zachowując kopię zgłoszenia dziecka (w oparciu o art. 9 ust. 2 pkt f rozporządzenia RODO w związku ze zgłoszeniem przez wnioskodawczynię roszczenia o wypłatę zadośćuczynienia); - skarżący wskazał również, że wypełnił wobec wnioskodawczyni obowiązek informacyjny poprzez przekazanie za pośrednictwem jej córki 29 października 2021 r. część formularza zawierającego informacje o przetwarzaniu danych osobowych (informacja wręczona dziecku przez pracownika skarżącego); informacja ta została przekazana wnioskodawczyni także listem poleconym (pismo skarżącego z 27 - lutego 2023 r.). 4. Biorąc pod uwagę wskazany stan faktyczny, PUODO stwierdził, że dane osobowe (o których mowa w punkcie 1 decyzji) przetwarzane były bez podstawy prawnej. Zdaniem NSA, Sąd I instancji prawidłowo uznał takie postępowanie za zgodne z prawem z kilku zasadniczych powodów. Po pierwsze - zgodnie z art. 4 pkt 1 rozporządzenia RODO, dane osobowe oznaczają wszelkie informacje - o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej ("osobie, której dane dotyczą"); możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora takiego jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej. Z wyroku Trybunału Sprawiedliwości z 3 kwietnia 2025 r., sygn. akt C-710/23 wynika, że art. 4 pkt 1 i 2 rozporządzenia RODO należy interpretować w ten sposób, że udostępnienie imienia, nazwiska, podpisu i danych kontaktowych osoby fizycznej reprezentującej osobę prawną stanowi przetwarzanie danych osobowych. Dane osobowe w rozumieniu art. 4 pkt 1 rozporządzenia RODO obejmują także numer telefonu, jeżeli można go powiązać z innymi informacjami, pozwalającymi na identyfikację osoby fizycznej, do której on należy (por. wyrok NSA z 14 stycznia 2025 r., sygn. akt III OSK 6041/21). Zidentyfikowanie osoby fizycznej nie musi polegać na określeniu jej imienia i nazwiska, a wystarczające jest oznaczenie danej osoby w sposób umożliwiający wywieranie na nią określonego wpływu. Nie chodzi zatem o możliwość odniesienia konkretnej informacji do konkretnej osoby, lecz o możliwość wskazania danej osoby, rozumianego jako faktyczne wyodrębnienie jej spośród innych osób (por. wyrok Sądu Apelacyjnego w Szczecinie z 10 lipca 2024 r., sygn. akt I ACa 1400/22). Z kolei z motywu 26 rozporządzenia RODO wynika, że: "(...) zasady ochrony danych powinny mieć zastosowanie do wszelkich informacji o zidentyfikowanych lub możliwych do zidentyfikowania osobach fizycznych. Spseudonimizowane dane osobowe, które przy użyciu dodatkowych informacji można przypisać osobie fizycznej, należy uznać za informacje o możliwej do zidentyfikowania osobie fizycznej. Aby stwierdzić, czy dana osoba fizyczna jest możliwa do zidentyfikowania, należy wziąć pod uwagę wszelkie rozsądnie prawdopodobne sposoby (w tym wyodrębnienie wpisów dotyczących tej samej osoby), w stosunku do których istnieje uzasadnione prawdopodobieństwo, iż zostaną wykorzystane przez administratora lub inną osobę w celu bezpośredniego lub pośredniego zidentyfikowania osoby fizycznej. Aby stwierdzić, czy dany sposób może być z uzasadnionym prawdopodobieństwem wykorzystany do zidentyfikowania danej osoby, należy wziąć pod uwagę wszelkie obiektywne czynniki, takie jak koszt i czas potrzebne do jej zidentyfikowania, oraz uwzględnić technologię dostępną w momencie przetwarzania danych, jak i postęp technologiczny. Zasady ochrony danych nie powinny więc mieć zastosowania do informacji anonimowych, czyli informacji, które nie wiążą się ze zidentyfikowaną lub możliwą do zidentyfikowania osobą fizyczną, ani do danych osobowych zanonimizowanych w taki sposób, że osób, których dane dotyczą, w ogóle nie można zidentyfikować lub już nie można zidentyfikować. Niniejsze rozporządzenie nie dotyczy więc przetwarzania takich anonimowych informacji, w tym przetwarzania do celów statystycznych lub naukowych". Zatem prawidłowo uznał Sąd I instancji, że wszystkie dane, które przetwarzał skarżący stanowią "dane osobowe" i nie tylko pozwalały na zidentyfikowanie osoby fizycznej, ale wprost dotyczyły zidentyfikowanej osoby fizycznej. W niniejszej sprawie to dziecko wnioskodawczyni przekazało skarżącemu na formularzu, poza swoim imieniem, także nazwisko. Dysponowanie wszystkimi danymi, które skarżący pozyskał od dziecka wnioskodawczyni pozwalało bezspornie na bezpośrednie zidentyfikowanie osoby fizycznej. Po drugie – nie ma racji skarżący kasacyjnie wskazując, że dane osobowe w rozumieniu art. 4 ust. 1 rozporządzenia RODO nie stanowi "numer telefonu opiekuna prawnego". Przypomnieć trzeba, że numer telefonu osoby fizycznej stanowi swoisty punkt kontaktowy, ponieważ umożliwia osobie trzeciej podjęcie inicjatywy kontaktu z osobą fizyczną, a w konsekwencji wywierania na nią określonego wpływu. Numer telefonu osoby fizycznej stanowi niepowtarzalną kombinację cyfr, która jest do tej osoby przypisana i odróżnia ją od osób niekorzystających z usługi telekomunikacyjnej (połączeń telefonicznych) i od korzystających z innych numerów telefonów (por. wyrok WSA w Warszawie z 30 grudnia 2022 r. sygn. akt II SA/Wa 884/22). Taką możliwość daje numer telefonu osoby fizycznej, także wtedy gdy podmiot, który jest w jego posiadaniu, nie dysponuje innymi danymi identyfikującymi tę osobę. Zatem, w ocenie NSA sam numer telefonu (tj. jako pojedyncza dana, informacja) stanowi daną osobową w rozumieniu rozporządzenia RODO, albowiem pozwala zidentyfikować osobę fizyczną bezpośrednio lub pośrednio. W związku z tym za nietrafny można uznać zarzut skargi kasacyjnej dotyczący wadliwego uznania przez Sąd I instancji, że numer telefonu wnioskodawczyni (uzyskany od jej córki, w tym przypadku w powiązaniu z innymi danymi osobowymi, którymi dysponował skarżący, tj. imieniem i nazwiskiem córki wnioskodawczyni, informacją o klasie i szkole) pozyskany, jak wskazywał skarżący w celu ustalenia, czy przedstawiciel ustawowy wyraża zgodę na przedstawienie nieodpłatnej informacji dziecku on-line o kursach - stanowi daną osobową. Po trzecie - stosownie do art. 4 pkt 2 rozporządzenia RODO, przetwarzanie oznacza operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób, zautomatyzowany lub niezautomatyzowany, taką jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub t niszczenie. Sąd I instancji zasadnie wskazał, że PUODO prawidłowo stwierdził, że dane przetwarzane były bez podstawy prawnej i było to naruszenie art. 6 i art. 5 rozporządzenia RODO. Zgodnie z art. 6 ust. 1 rozporządzenia RODO: " 1. Przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy - i w takim zakresie, w jakim - spełniony jest co najmniej jeden z poniższych warunków: a) osoba, której dane dotyczą wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów; b) przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy; c) przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze; d) przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej; e) przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi; f) przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem. Akapit pierwszy lit. f) nie ma zastosowania do przetwarzania, którego dokonują organy publiczne w ramach realizacji swoich zadań". Tymczasem w niniejszej sprawie nie została spełniona w szczególności przesłanka z art. 6 ust. 1 lit. a rozporządzenia RODO (brak zgody). Definicja "zgody" zawarta została w art. 4 pkt. 11 rozporządzenia RODO i oznacza dobrowolne, konkretne, świadome i jednoznaczne okazanie woli, którym osoba, której dane dotyczą, w formie oświadczenia lub wyraźnego działania potwierdzającego, przyzwala na przetwarzanie dotyczących jej danych osobowych. Z art. 8 rozporządzenia RODO, na który również powołał się skarżący, wynika, że jeżeli zastosowanie ma art. 6 ust. 1 lit. a rozporządzenia RODO, w przypadku usług społeczeństwa informacyjnego oferowanych bezpośrednio dziecku, zgodne z prawem jest przetwarzanie danych osobowych dziecka, które ukończyło 16 lat. Jeżeli dziecko nie ukończyło 16 lat, takie przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy zgodę wyraziła lub zaaprobowała ją osoba sprawująca władzę rodzicielską lub opiekę nad dzieckiem oraz wyłącznie w zakresie wyrażonej zgody. Państwa członkowskie mogą przewidzieć w swoim prawie niższą granicę wiekową, która musi wynosić co najmniej 13 lat. Bezzasadne są zatem w tym kontekście zarzuty skargi kasacyjnej wskazujące na naruszenie przez Sąd art. 8 ust. 1 i ust. 2 rozporządzenia RODO. W niniejszej sprawie PUODO prawidłowo ustalił, że: a) córka wnioskodawczyni w chwili wyrażenia zgody na przetwarzanie danych, tj. 29 października 2021 r. nie miała ukończonych 16 lat; b) zatem nie została spełniona przesłanka kryterium wieku określonego w przywołanym przepisie. Oznacza to, że dziecko (córka wnioskodawczyni) nie mogło samodzielnie wyrazić "zgody" na przetwarzanie swoich danych osobowych, a tym bardziej nie mogło wyrazić "zgody" na przetwarzanie danych osobowych swojego rodzica. NSA w pełni podziela ustalenie, że skarżący pozyskał dane osobowe wnioskodawczyni i jej dziecka niezgodnie z rozporządzeniem RODO. Twierdzenie skarżącego kasacyjnie, że "przedmiotowa usługa stanowi usługę społeczeństwa informacyjnego w rozumieniu art. 1 ust. 1 lit. b dyrektywy Parlamentu Europejskiego i Rady UE 2015/153" zatem błędnie Sąd uznał, iż art. 8 rozporządzenia RODO "(...) nie może znaleźć zastosowania w celu podjęcia rozsądnych starań w celu ustalenia czy przedstawiciel ustawowy dziecka wyraża zgodę na oferowanie usług społeczeństwa informacyjnego bezpośrednio dziecku (przedstawienie informacji o kursach oraz przeprowadzenie próbnej lekcji demonstracyjnej poprzez stronę internetową www.thepoint.pl)" – jest bezzasadne. Wskazana dyrektywa opisuje "usługę" jako "każdą usługę społeczeństwa informacyjnego, to znaczy każdą usługę normalnie świadczoną za wynagrodzeniem, na odległość, drogą elektroniczną i na indywidualne żądanie odbiorcy usług". Sąd I instancji zasadnie uznał, że świadczenie nauki języka obcego za pośrednictwem platformy e-learningowej może być ujmowane jako usługa społeczeństwa informacyjnego w rozumieniu art. 1 ust. 1 lit. b dyrektywy Parlamentu Europejskiego i Rady (UE) 2015/1535. Jednakże takiej usługi nie stanowi pozyskanie danych osobowych w celu przedłożenia oferty kursów językowych. Nadto, nie może być mowy o usłudze społeczeństwa informacyjnego gdy mowa o działaniu w celach marketingowych. W niniejszej sprawie dziecko wnioskodawczyni nie miało ukończonych 16 lat a zatem nie mogło być mowy o naruszeniu przez organ art. 8 rozporządzenia RODO. Po czwarte - w niniejszej sprawie dane wnioskodawczyni i jej dziecka pozyskane zostały niezgodnie z prawem (przesłanka zgody nie została spełniona). Nie mogło być tym samym podstaw do dalszego przetwarzania na podstawie powoływanego przez skarżącego art. 6 ust. 1 lit. f rozporządzenia RODO. Prawidłowo zatem PUODO powiązał zarzut naruszenia art. 6 ust. 1 rozporządzenia RODO z art. 5 ust. 1 rozporządzenia RODO, który określa zasady przetwarzania danych osobowych. Bezspornie dla przedstawienia oferty kursów językowych nie było niezbędne zbieranie nazwiska, numeru telefonu, czy klasy, do której uczęszczała córka wnioskodawczyni. NSA podziela stwierdzenie PUODO, że dla realizacji takiego celu można było wręczyć ulotkę informacyjną z danymi podmiotu oferującego kursy, co umożliwiłoby zainteresowanym rodzicom podjęcie kontaktu z oferującym naukę języka. Po piąte – zasadnie również wskazał Sąd I instancji, że nie można uznać za prawidłowe wypełnienie obowiązku informacyjnego wykorzystanie dziecka w roli pośrednika doręczającego klauzulę informacyjną rodzicowi. NSA w pełni podziela ustalenia PUODO również we wskazanym zakresie. Nie jest dopuszczalne realizowanie obowiązków administratora poprzez przerzucenie ich na małoletniego. Zgodnie z motywem 38 rozporządzenia RODO, szczególnej ochrony danych osobowych wymagają dzieci, gdyż mogą one być mniej świadome ryzyka, konsekwencji, zabezpieczeń i praw przysługujących im w związku z przetwarzaniem danych osobowych. Taka szczególna ochrona powinna mieć zastosowanie przede wszystkim do wykorzystywania danych osobowych dzieci do celów marketingowych lub do tworzenia profili osobowych lub profili użytkownika oraz do zbierania danych osobowych dotyczących dzieci, gdy korzystają one z usług skierowanych bezpośrednio do nich. Zgoda osoby sprawującej władzę rodzicielską lub opiekę nie powinna być konieczna w przypadku usług profilaktycznych lub doradczych oferowanych bezpośrednio dziecku. Tym bardziej nie jest zrozumiałe i dopuszczalne uczynienie z dziecka pośrednika w wypełnieniu jednego z obowiązków administratora. Po szóste – Sąd I instancji zasadnie również wskazał, że zastosowany przez PUODO w niniejszej sprawie środek jest adekwatny do stwierdzonego w decyzji naruszenia rozporządzenia RODO. Waga stwierdzonego naruszenia i jego charakter dawały podstawę do zastosowania "upomnienia". Przypomnieć trzeba, że z motywu 148 rozporządzenia RODO wynika, że: "(...) aby egzekwowanie przepisów niniejszego rozporządzenia było skuteczniejsze, należy za jego naruszenie nakładać sankcje, w tym administracyjne kary pieniężne - oprócz lub zamiast odpowiednich środków nakładanych na mocy niniejszego rozporządzenia przez organ nadzorczy. Jeżeli naruszenie jest niewielkie lub jeżeli grożąca kara pieniężna stanowiłaby dla osoby fizycznej nieproporcjonalne obciążenie, można zamiast tego udzielić upomnienia (...)". Zatem zasadnie również PUODO, działając między innymi na podstawie art. 58 ust. 2 lit b rozporządzenia RODO udzielił "upomnienia" podmiotowi przetwarzającemu dane osobowe w przypadku naruszenia rozporządzenia RODO przez operacje przetwarzania. Stwierdzenie naruszenia ochrony danych przez administratora musi wiązać się z określonymi konsekwencjami, w tym przypadku z najmniej dotkliwymi dla skarżącego kasacyjnie. 5. Skoro podniesione w skardze kasacyjnej zarzuty okazały się nieskuteczne, Naczelny Sąd Administracyjny nie miał podstaw do jej uwzględnienia, co skutkowało oddaleniem skargi kasacyjnej w oparciu o art. 184 p.p.s.a. ----------------------- # 19