III OSK 2961/23

Naczelny Sąd Administracyjny w składzie: Przewodniczący: Sędzia NSA Zbigniew Ślusarczyk Sędziowie: Sędzia NSA Przemysław Szustakiewicz (sprawozdawca) Sędzia del. WSA Sławomir Pauter Protokolant: starszy asystent sędziego Alicja Kucharska po rozpoznaniu w dniu 8 lipca 2026 r. na rozprawie w Izbie Ogólnoadministracyjnej skargi kasacyjnej [...] S.A. od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 15 czerwca 2023 r., sygn. akt II SA/Wa 2266/22 w sprawie ze skargi [...] S.A. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia 17 października 2022 r., nr DS.523.330.2020.FT.AP w przedmiocie przetwarzania danych osobowych oddala skargę kasacyjną.

Wojewódzki Sąd Administracyjny w Warszawie, wyrokiem z dnia 15 czerwca 2023 r., sygn. akt II SA/Wa 2266/22, oddalił skargę [...] S.A. z siedzibą w [...] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia 17 października 2022 r., nr DS.523.330.2020.FT.AP w przedmiocie przetwarzania danych osobowych. W sprawie ustalono następujący stan faktyczny i prawny: M. G. (dalej: "uczestnik "), w piśmie z 15 stycznia 2020 r. wniósł do Prezesa UODO skargę na nieprawidłowości w procesie przetwarzania jego danych osobowych przez [...] S.A. (dalej: "Spółka"), polegające na przetwarzaniu jego danych osobowych bez podstawy prawnej, podnosząc, że Spółka dokonała przeniesienia jego numeru telefonu z sieci telekomunikacyjnej [...] bez jego pisemnej zgody i podpisanej umowy, przy posłużeniu się jego danymi osobowymi w postaci: numeru PESEL, adresu zamieszkania i serii dowodu osobistego. Następnie Prezes Urzędu Ochrony Danych Osobowych decyzją z 17 października 2022 r., znak: DS.523.330.2020.FT.AP, działając na podstawie art. 7 ust. 1 ustawy z 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r., poz. 1781) oraz art. 6 ust. 1 i art. 58 ust. 2 lit. b i d Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych - Dz. Urz. UE L 119 z 4 maja 2016, str. 1, Dz. Urz. UE L 127 z 23 maja 2018, str. 2 oraz Dz. Urz. UE L 74 z 4 marca 2021, str. 35, dalej "RODO"); w pkt. 1 decyzji udzielił Spółce upomnienia, za naruszenie art. 6 ust. 1 RODO polegające na przetwarzaniu bez podstawy prawnej danych osobowych uczestnika w celu wykonania umowy o świadczenie usług telekomunikacyjnych, dotyczącej błędnie przeniesionego przez Spółkę numeru telefonu w okresie od dnia 29 grudnia 2019 r. do dnia 14 stycznia 2020 r.; oraz w pkt. 2 nakazał Spółce zaprzestanie przetwarzania danych osobowych uczestnika pozyskanych w związku z błędnie przeniesionym przez Spółkę numerem telefonu, w celu ustalenia, obrony i dochodzenia ewentualnych roszczeń oraz w celu rozpatrywania reklamacji. Z powyższą decyzją nie zgodziła się Spółka, wnosząc skargę do Wojewódzkiego Sądu Administracyjnego w Warszawie. W odpowiedzi na skargę, organ wniósł o jej oddalenie. Powołanym na wstępie wyrokiem, Wojewódzki Sąd Administracyjny w Warszawie, na podstawie art. 151 ustawy z dnia 30 sierpnia 2002 r. Prawo o postepowaniu przed sadami administracyjnymi (Dz. U. z 2023 r., poz. 259, dalej "P.p.s.a."), uznał, że skarga nie zasługuje na uwzględnienie. Sąd I instancji wskazał, że Spółka przetwarza dane osobowe uczestnika w zakresie: imienia i nazwiska, adresu zamieszkania, adresu e-mail, numeru telefonu, numeru PESEL oraz numeru dowodu osobistego. Dane te pozyskane zostały przez Spółkę w związku ze świadczeniem na rzecz uczestnika usług telekomunikacyjnych. Obecnie Spółka przetwarza te dane osobowe z uwagi na wniesioną przez uczestnika reklamację, która dotyczyła błędnego przeniesienia do sieci telekomunikacyjnej Spółki numeru uczestnika. Dodać należy, iż reklamacja została rozpatrzona przez Spółkę pozytywnie i numer uczestnika w dniu 14 października 2020 r. został zwrócony przez Spółkę do pierwotnego operatora. Zgodnie z art. 6 ust. 1 RODO przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy – i w takim zakresie, w jakim – spełniony jest co najmniej jeden z poniższych warunków: a) osoba, której dane dotyczą wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów; b) przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy; c) przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze; d) przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej; e) przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi; f) przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem. Akapit pierwszy lit. f) nie ma zastosowania do przetwarzania, którego dokonują organy publiczne w ramach realizacji swoich zadań. W myśl natomiast art. 17 ust. 1 RODO osoba, której dane dotyczą, ma prawo żądania od administratora niezwłocznego usunięcia dotyczących jej danych osobowych, a administrator ma obowiązek bez zbędnej zwłoki usunąć dane osobowe, jeżeli zachodzi jedna z następujących okoliczności: a) dane osobowe nie są już niezbędne do celów, w których zostały zebrane lub w inny sposób przetwarzane; b) osoba, której dane dotyczą, cofnęła zgodę, na której opiera się przetwarzanie zgodnie art. 6 ust. 1 lit. a) lub art. 9 ust. 2 lit. a), i nie ma innej podstawy prawnej przetwarzania; c) osoba, której dane dotyczą, wnosi sprzeciw na mocy art. 21 ust. 1 wobec przetwarzania i nie występują nadrzędne prawnie uzasadnione podstawy przetwarzania lub osoba, której dane dotyczą, wnosi sprzeciw na mocy art. 21 ust. 2 wobec przetwarzania; d) dane osobowe były przetwarzane niezgodnie z prawem; e) dane osobowe muszą zostać usunięte w celu wywiązania się z obowiązku prawnego przewidzianego w prawie Unii lub prawie państwa członkowskiego, któremu podlega administrator; f) dane osobowe zostały zebrane w związku z oferowaniem usług społeczeństwa informacyjnego, o których mowa w art. 8 ust. 1 Spółka jako hipotetyczny pozwany, nie musi więc przechowywać tak daleko idących danych uczestnika, jak ustalone w sprawie, na wypadek wystąpienia przez niego z ewentualnymi roszczeniami ("na zapas"), gdyż w potencjalnie wniesionym pozwie musiałyby one zostać przez wnioskodawcę podane, a Spółka miałaby zatem do nich pełny wgląd. Brak w pozwie tych danych uczestnika musiałby zostać uzupełniony pod rygorem zwrotu pozwu (art. 130 k.p.c.), uczestnik nie może więc uniknąć ich podania. Prawidłowo zatem organ uznał, że brak jest spełnienia przez Spółkę przesłanki niezbędności przetwarzania danych do celów, wynikających z prawnie usprawiedliwionych interesów, realizowanych przez administratora odnośnie przetwarzania danych osobowych. Przesłanka z art. 6 ust 1 lit. f RODO dotyczy sytuacji już istniejącej, w której celem wynikającym z prawnie uzasadnionych interesów realizowanych, przez administratora jest konieczność udowodnienia, potrzeba dochodzenia lub obrony przed roszczeniem istniejącym, nie zaś sytuacji, gdy dane są przetwarzane w celu zabezpieczenia się przed ewentualnym roszczeniem. W dniu 21 września 2023 r. skargę kasacyjną na powyższy wyrok wywiodła Spółka, zaskarżając wyrok w całości oraz wnosząc o jego uchylenie i rozpoznanie skargi, ewentualnie uchylenie zaskarżonego wyroku w całości i przekazanie sprawy do ponownego rozpoznania Sądowi I instancji oraz zasądzenie koszów postępowania wraz z kosztami zastępstwa procesowego według norm przepisanych. Zaskarżonemu wyrokowi zarzucono naruszenie: 1. art. 6 ust. 1 lit. f) RODO w związku z art. 118 ustawy z dnia 23 kwietnia 1964 r. Kodeks cywilny poprzez jego niewłaściwe zastosowanie polegające na przyjęciu, że przechowywanie danych przez okres przedawnienia roszczeń w przypadku gdy, ani administrator danych, ani osoba, której dane dotyczą, nie zgłosiła jeszcze roszczenia, nie stanowi prawnie uzasadnionego interesu Spółki w rozumieniu art. 6 ust. 1 lit. f) RODO, a tym samym brak jest w tej sytuacji podstaw prawnych do przetwarzania danych, podczas gdy przepis ten uprawnia Spółkę do przetwarzania danych osobowych w celu ustalenia, dochodzenia i obrony przed roszczeniami, także tymi, które mogą się pojawić w przyszłości w okresie do upływu terminu ich przedawnienia; 2. art. 6 ust. 1 lit. f) RODO w związku z art. 127 §1 ustawy z dnia 17 listopada 1964 r. Kodeks postępowania cywilnego poprzez jego niewłaściwe zastosowanie polegające na przyjęciu, że Spółka nie ma uzasadnionego interesu, w rozumieniu art. 6 ust. 1 lit. f) RODO, w przechowywaniu danych uczestnika, ponieważ w sytuacji, gdyby uczestnik zdecydował się na wniesienie pozwu musiałby wskazać w nim wszystkie dotyczące go dane osobowe niezbędne do wszczęcia i prowadzenia postępowania, do których Spółka jako pozwana miałaby dostęp, podczas gdy art. 127 §1 k.p.c. nakłada na stronę pozwaną obowiązek m.in. wyszczególnienia w piśmie przygotowawczym, które fakty przyznaje, a którym zaprzecza, oraz wypowiedzenia się co twierdzeń i dowodów zgłoszonych przez stronę przeciwną, co powoduje, że dla spełnienia tego obowiązku Spółka jako potencjalna pozwana ma uzasadniony interes w przechowywaniu danych w celu obrony przed roszczeniami; 3. art. 17 ust. 1 RODO poprzez jego niewłaściwe zastosowanie polegające na przyjęciu, że przepis ten bezwzględnie zobowiązuje administratora danych do usunięcia, na żądanie osoby, której dane dotyczą, jej danych osobowych, podczas, gdy w ust. 3 lit. e) tego przepisu wprost wskazano, że jego ust. 1 nie ma zastosowania w zakresie, w jakim przetwarzanie jest niezbędne do ustalenia, dochodzenia i obrony roszczeń; 4. art. 6 ust. 1 lit. f) RODO w związku z art. 164 ustawy z dnia 16 lipca 2004 r. Prawo telekomunikacyjne (Dz. U. z 2022 r. poz. 1648, ze zm.) poprzez jego niewłaściwe zastosowanie polegające na przyjęciu, iż nie stanowi prawnie uzasadnionego interesu przetwarzanie przez Spółkę danych osobowych uczestnika przez wskazany w przepisach prawa okres do przedawnienia roszczeń, podczas gdy art. 164 prawa telekomunikacyjnego wprost przyznaje przedsiębiorcom telekomunikacyjnym uprawnienie do przetwarzania danych użytkowników końcowych, po zakończeniu umowy, w okresie dochodzenia roszczeń. W odpowiedzi na skargę kasacyjną Prezes UODO wniósł o jej oddalenie jako niezasadnej. Naczelny Sąd Administracyjny zaważył, co następuje: Zgodnie z art. 183 § 1 P.p.s.a., Naczelny Sąd Administracyjny rozpoznając skargę kasacyjną, związany jest jej granicami. Z urzędu bierze pod rozwagę wyłącznie nieważność postępowania. W rozpoznawanej sprawie żadna z enumeratywnie wymienionych w art. 183 § 2 P.p.s.a. przesłanek nieważności postępowania nie zachodzi, stąd NSA rozpoznał skargę kasacyjną w jej granicach. W skardze kasacyjnej zawarto cztery zarzuty naruszenia przepisów prawa materialnego, jednak wskazać należy, że faktycznie oscylują one wokół wskazania, że zdaniem skarżącej kasacyjnie Spółki istniała przesłanka legalizująca pozwalająca jej na przetwarzanie danych osobowych uczestnika na podstawie art. 6 ust. 1 lit. f RODO. Prawnie uzasadniony interes wywodzi bowiem z faktu konieczności przetwarzania tych danych na okres do przedawnienia się roszczeń, które mógłby mieć wobec Spółki, która jako potencjalnie pozwana powinna być przygotowana do obrony przed roszczeniami. Przypomnieć należy, że zgodnie z postanowieniami art. 6 ust. 1 RODO "przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy - i w takim zakresie, w jakim - spełniony jest co najmniej jeden z poniższych warunków - lit. f - przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem." Zastosowanie art. 6 ust. 1 lit. f RODO jest więc zatem uzasadnione, gdy łącznie spełnione są następujące przesłanki: 1) po stronie administratora istnieją cele, dla osiągnięcia których przetwarzanie danych osobowych jest niezbędne; 2) cele te wynikają z "prawnie uzasadnionych interesów" realizowanych przez administratora; 3) "prawnie uzasadnione interesy" realizowane przez administratora mają charakter nadrzędny wobec interesów lub podstawowych praw i wolności osoby, której dotyczą przetwarzane dane. Poprzez cel, dla osiągnięcia którego przetwarzanie danych osobowych jest niezbędne, należy rozumieć stan rzeczy, układ rzeczywistości, do którego dąży administrator poprzez to przetwarzanie. "Niezbędność" przetwarzania danych osobowych, jak wskazano w wyroku NSA z dnia 20 lutego .2024 r., sygn. akt III OSK 2700/22, "musi opierać się na przesłankach konkretnych, uwzględniających możliwie najszersze spektrum uwarunkowań jego realizacji. Przetwarzanie danych osobowych na podstawie art. 6 ust. 1 lit. f RODO wymaga od administratora wykazania, że jest to konieczne z uwagi na charakter celu, okoliczności faktyczne i prawne jego realizacji oraz relacje podmiotowe pomiędzy administratorem a osobą, której te dane dotyczą. Zgodnie z zasadą rozliczalności (art. 5 ust. 2 RODO) administrator będzie musiał wykazać, że zarówno zakres, jak i sposób przetwarzania danych osobowych jest adekwatny do obranego przez niego celu i warunków jego realizacji - zasada ograniczonego celu przetwarzania (ar t. 5 ust. 1 lit. b RODO) i zasady minimalizacji przetwarzania danych (art. 5 ust. 1 lit. c RODO)". Kolejnym warunkiem przetwarzania danych osobowych na podstawie art. 6 ust. 1 lit. f RODO jest ustalenie, że cel, dla osiągnięcia którego przetwarzanie to jest niezbędne "wynika z prawnie uzasadnionych interesów realizowanych przez administratora (lub przez stronę trzecią)". Zasadnie Sąd I instancji zwraca uwagę, że desygnatami "prawnie uzasadnionych interesów administratora" nie są wyłącznie te interesy, które ściśle wiążą się z realizacją praw i obowiązków wynikających z przepisów prawa. Takie wąskie rozumienie tego pojęcia prowadziłoby bowiem do częściowego zdublowania przesłanki przetwarzania danych osobowych z art. 6 ust. 1 lit. f z przesłanką określoną w art. 6 ust. 1 lit. c RODO; art. 6 ust. 1 lit. c RODO legitymizuje przetwarzanie danych osobowych, jeżeli "jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze". Prawnie uzasadniony interes administratora należy więc rozumieć jako interes prawnie dopuszczony, niesprzeczny z porządkiem prawnym. Do prawnie uzasadnionych interesów administratora danych osobowych prawodawca unijny odwołał się w motywie 47 preambuły RODO, w którym stwierdził, że "[t]aki prawnie uzasadniony interes może istnieć na przykład w przypadkach, gdy zachodzi istotny i odpowiedni rodzaj powiązania między osobą, której dane dotyczą, a administratorem, na przykład gdy osoba, której dane dotyczą, jest klientem administratora lub działa na jego rzecz. Aby stwierdzić istnienie prawnie uzasadnionego interesu, należałoby w każdym przypadku przeprowadzić dokładną ocenę, w tym ocenę tego, czy w czasie i w kontekście, w którym zbierane są dane osobowe, osoba, której dane dotyczą, ma rozsądne przesłanki by spodziewać się, że może nastąpić przetwarzanie danych w tym celu." Treść motywu 47 preambuły RODO nie wskazuje więc konkretnie, matrycowo, jakie warunki powinny zostać spełnione, aby można było stwierdzić, że administrator przetwarza dane osobowe zgodnie ze swoimi prawnie uzasadnionymi interesami. Podano jedynie przykładowo, iż może chodzić o szczególnego rodzaju relację pomiędzy administratorem a osobą, której dane są przetwarzane. W każdym, konkretnym układzie należy rozstrzygnąć, czy treść i charakter tej relacji w sposób rozsądny uzasadnia takie przetwarzanie w określonym zakresie i czasie. Wyeksponować trzeba, że w motywie 47 prawodawca unijny w ogóle nie powiązał "prawnie uzasadnionych interesów" administratora z porządkiem prawnym. Akcent położył natomiast na charakter relacji łączącej administratora z osobą, której dane są przetwarzane, jej kontekstowość oraz wynikającą z jej indywidualnych uwarunkowań racjonalnie uzasadnioną potrzebę tego przetwarzania. Motyw 47 preambuły RODO w kontekście rekonstrukcji zakresu stosowania art. 6 ust. 1 lit. f RODO przesądza, że dopuszczalność przetwarzania danych osobowych na tej podstawie powinna być oceniana kauzalnie, z uwzględnieniem, że zasadnicze znaczenie w tym przedmiocie powinny mieć uwarunkowania konkretnej relacji pomiędzy administratorem a osobą, której dotyczą przetwarzane dane. Porządek prawny - w tej przestrzeni formułowania ocen - należy traktować jako granicę dopuszczalności prawnie uzasadnionego interesu administratora, na którym opiera przetwarzanie danych osobowych. Porządek prawny może więc być przeszkodą do przetwarzania danych osobowych na podstawie art. 6 ust. 1 lit. f RODO, jeżeli interesu administratora nie da się z nim pogodzić - interes administratora będzie sprzeczny z porządkiem prawnym, a więc nie będzie prawnie uzasadniony. Porządek prawny nie stanowi ścisłej podstawy uzasadnionego interesu administratora do przetwarzania danych osobowych na podstawie art. 6 ust. 1 lit. f RODO, wyznacza natomiast granicę tego przetwarzania. Potwierdzeniem przyjętego założenia, jest zastrzeżenie uczynione in fine w art. 6 ust. 1 lit. f RODO, że przepis ten "nie ma zastosowania do przetwarzania, którego dokonują organy publiczne w ramach realizacji swoich zadań.". Tłumacząc intencje uczynionego wyłączenia w motywie 47 preambuły RODO podano: "Ponieważ dla organów publicznych podstawę prawną przetwarzania danych osobowych powinien określić ustawodawca, prawnie uzasadniony interes administratora nie powinien mieć zastosowania jako podstawa prawna do przetwarzania, którego dokonują organy publiczne w ramach realizacji swoich zadań.". Dostrzegając, że zakres przedmiotowy stosowania art. 6 ust. 1 lit. f RODO nie obejmuje wyłącznie tych sytuacji, w których podstawa prawna przetwarzania danych osobowych jest wyraźnie określona, prawodawca unijny wyłączył z zakresu podmiotowego jego stosowania organy władzy publicznej, których podstawy i granice działania muszą być zawsze ściśle wyznaczone przez prawo. Uczynione wyłączenie potwierdza więc elastyczność przedmiotowego zakresu stosowania art. 6 ust. 1 lit. f RODO. Argumentacyjnym wsparciem dla przedstawionych ocen prawnych jest fakt, że artykuł 6 ust. 1 lit. f RODO miał swój odpowiednik w przepisie art. 23 ust. 1 pkt 5 ustawy o ochronie danych osobowych z 1997 r., który dopuszczał przetwarzanie danych osobowych, gdy było to "niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie naruszało praw i wolności podmiotu danych". Porównanie obu tych przepisów prowadzi do wniosku, że RODO nie przyniosło w tym zakresie zmian, które powodowałyby modyfikację sensu poprzedniej regulacji (D. Lubasz, W. Chomiczewski (w:) RODO. Ogólne rozporządzenie o ochronie danych. Komentarz, red. E. Bielak-Jomaa, Warszawa 2018, Lex/el, uwaga 1 do art. 6 ust. 1 lit. f RODO). Z tego względu w przekonaniu Naczelnego Sądu Administracyjnego aktualny pozostaje pogląd wyrażony w wydanej na tle treści art. 23 ust. 1 pkt 5 ustawy o ochronie danych osobowych z 1997 r. uchwale 7 sędziów NSA z 6 czerwca 2005 r., I OPS 2/05, w której stwierdzono, że "prawnie usprawiedliwiony cel", o jakim mowa w art. 23 ust. 1 pkt 5 tej ustawy, to cel "prawnie dopuszczalny". W ocenie Naczelnego Sądu Administracyjnego orzekającego w niniejszej sprawie, nie ma żadnych racjonalnych przeszkód do uwzględnienia tego poglądu przy rekonstrukcji znaczenia użytego w art. 6 ust. 1 lit. f RODO pojęcia "prawnie uzasadnionych interesów". Kwantyfikatorem rozstrzygającym o dopuszczalności przetwarzania danych osobowych na podstawie art. 6 ust. 1 lit. f RODO jest charakter relacji istniejącej pomiędzy administratorem danych osobowych, a osobą, której dane podlegają przetwarzaniu. Jeżeli z charakteru tej relacji da się racjonalnie wywieść, że przetwarzanie danych osobowych jest niezbędne do zrealizowania przez administratora celu wynikającego z tej relacji i jest to cel przez prawo dopuszczony, to zastosowanie art. 6 ust. 1 lit. f RODO będzie uzasadnione, chyba że interesy lub podstawowe prawa i wolności osoby, której przetwarzane dane dotyczą będą nadrzędne wobec interesu administratora. Jak stwierdzono w motywie 47 preambuły RODO: "Interesy i prawa podstawowe osoby, której dane dotyczą, mogą być nadrzędne wobec interesu administratora danych w szczególności w przypadkach, gdy dane osobowe są przetwarzane w sytuacji, w której osoby, których dane dotyczą, nie mają rozsądnych przesłanek, by spodziewać się dalszego przetwarzania." Biorąc powyższe pod uwagę Naczelny Sąd Administracyjny rozpoznający niniejszą sprawę podziela pogląd Naczelnego Sądu Administracyjnego, zgodnie z którym niedopuszczalne jest przetwarzanie danych osobowych niejako "na zapas", z założeniem, że mogą być one ewentualnie przydatne w przyszłości, na przykład z odwołaniem się do przepisów dotyczących przedawnienia roszczeń (por. wyroki NSA z dnia: 27 marca 2018 r., sygn. akt I OSK 1459/16; 1 października 2025 r., sygn. akt III OSK 872/22). Wywodzenie zatem także z kwestii przedawnienia roszczeń samodzielnej podstawy do przetwarzania danych – w sytuacji, gdy mowa o danych osoby, z którą nie zawarto żadnej umowy – nie jest uprawnione i nie stanowi przesłanki do ich dalszego przetwarzania. Jak wynika bowiem z przedstawionych powyżej rozważań celem RODO, tak jak poprzednio Dyrektywy 95/46/WE, jest ochrona prywatności, która powinna być rozpatrywana także w świetle art. 8 Konwencji o Ochronie Praw Człowieka i Podstawowych Wolności. W tej sprawie nie istnieje tego rodzaju powiązanie pomiędzy osobą, której dane dotyczą a Spółką, które pozwalałoby "wyprowadzić" istnienie prawnie uzasadnionego interesu po stronie Spółki w "dalszym" przetwarzaniu danych tej osoby. Przypomnieć bowiem należy, że skarżąca kasacyjnie Spółka nie wykazała żadnych konkretnych roszczeń, z którymi uczestnik wystąpił lub miał zamiar wystąpić wobec niej, a w sprawie nie budzi wątpliwości, że uczestnik nie zawarł ze Spółką umowy o przeniesienie numeru telefonu i jak wynika z materiału dowodowego zgromadzonego w toku postępowania, odmówił on podpisania umowy, a pomimo powyższego Spółka przetwarzała jego dane w celu jej wykonania. Słusznie zatem WSA w Warszawie przyjął, że w sprawie Spółka nie mogła na podstawie art. 6 ust. 1 lit. f RODO przetwarzać danych osobowych uczestnika. Biorąc zatem pod uwagę, że skarga kasacyjna nie zawierała usprawiedliwionych podstaw, Naczelny Sąd Administracyjny, w oparciu o art. 184 P.p.s.a., orzekł jak w sentencji.