III OSK 702/23

Naczelny Sąd Administracyjny w składzie: Przewodniczący: Sędzia NSA Tamara Dziełakowska Sędziowie: Sędzia NSA Wojciech Jakimowicz (sprawozdawca) Sędzia del. WSA Mariusz Kotulski Protokolant: asystent sędziego Dawid Lis po rozpoznaniu w dniu 13 marca 2026 r. na rozprawie w Izbie Ogólnoadministracyjnej skargi kasacyjnej K. sp.j. z siedzibą we W. od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 30 listopada 2022 r., sygn. akt II SA/Wa 3535/21 w sprawie ze skargi K. sp.j. z siedzibą we W. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia 11 sierpnia 2021 r., nr ZSPR.440.1250.2018.AZ.I/134837, 134838, 134839 w przedmiocie przetwarzania danych osobowych 1. uchyla zaskarżony wyrok i przekazuje sprawę do ponownego rozpoznania Wojewódzkiemu Sądowi Administracyjnemu w Warszawie; 2. odstępuje od zasądzenia zwrotu kosztów postępowania kasacyjnego w całości.

Wojewódzki Sąd Administracyjny w Warszawie wyrokiem z dnia 30 listopada 2022 r., sygn. akt II SA/Wa 3535/21 oddalił skargę K. sp.j. z siedzibą we W. (dalej także jako: podmiot przetwarzający) na decyzję Prezesa Urzędu Ochrony Danych Osobowych (dalej także jako: organ) z dnia 11 sierpnia 2021 r., nr ZSPR.440.1250.2018.AZ.I/134837, 134838, 134839 w przedmiocie przetwarzania danych osobowych. Wyrok ten zapadł w następującym stanie faktycznym i prawnym sprawy: W dniu 31 sierpnia 2018 r. A.R. (dalej także jako: uczestniczka postępowania) złożyła do organu skargę na nieprawidłowości w procesie przetwarzania jej danych osobowych przez podmiot przetwarzający oraz przez spółkę X. sp. z o.o. z siedzibą w W. (dalej także jako: administrator), które to polegały na przetwarzaniu i udostępnieniu danych osobowych uczestniczki postępowania bez podstawy prawnej oraz niespełnieniu wobec niej obowiązku informacyjnego wynikającego z art. 14 rozporządzenia Parlamentu Europejskiego i Rady UE 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych); dalej jako: "RODO". Uczestniczka postępowania wniosła o: 1) wszczęcie postępowania zmierzającego do zbadania procesu przetwarzania jej danych osobowych przez administratora i podmiot przetwarzający, w tym podstaw, celów i sposobów przetwarzania tych danych oraz wykonania przez te podmioty obowiązków związanych z przetwarzaniem danych osobowych spoczywających na administratorze danych osobowych; 2) wydanie decyzji nakazującej podmiotowi przetwarzającemu przywrócenie stanu zgodnego z prawem, tj. w szczególności wykonania względem uczestniczki postępowania obowiązku informacyjnego oraz usunięcia jej danych osobowych; 3) wydanie decyzji nakazującej administratorowi przywrócenie stanu zgodnego z prawem, tj. w szczególności wykonania wobec uczestniczki postępowania obowiązku informacyjnego oraz usunięcia jej danych osobowych; 4) wydanie decyzji administracyjnej nakładającej na podmiot przetwarzający karę finansową w związku z naruszeniem przepisów dotyczących podstawowych zasad przetwarzania danych osobowych, o których mowa w szczególności w art. 6 RODO (brak podstawy prawnej przetwarzania danych osobowych) oraz dotyczących podstawowych praw osób, których dane dotyczą, o których mowa w szczególności w art. 14 RODO (brak wypełnienia obowiązku informacyjnego); 5) wydanie decyzji administracyjnej nakładającej na administratora karę finansową w związku z naruszeniem przepisów dotyczących podstawowych zasad przetwarzania danych osobowych, o których mowa w szczególności w art. 6 RODO (brak podstawy prawnej przetwarzania danych osobowych) oraz dotyczących podstawowych praw osób, których dane dotyczą, o których mowa w szczególności w art. 14 RODO (brak wypełnienia obowiązku informacyjnego). Jednocześnie uczestniczka postępowania wniosła o przeprowadzenie szeregu dowodów i wskazała, że podmiot przetwarzający, działając na zlecenie administratora, bez podstawy prawnej przesyła na numer telefonu uczestniczki postępowania wiadomości sms informujące o zadłużeniu A. sp. z o.o. sp.k., nęka ją telefonami oraz kieruje na jej adres e-mail wezwania do zapłaty zadłużenia, podczas gdy uczestniczka postępowania nie jest dłużnikiem administratora, ani osobą w jakikolwiek sposób odpowiedzialną za powstanie czy uregulowanie zadłużenia ww. spółki wobec administratora. Uczestniczka postępowania podniosła, że nie jest nawet pracownikiem tego podmiotu. Uczestniczka postępowania wskazała również, że zarówno administrator i podmiot przetwarzający nie wykonali wobec niej obowiązku informacyjnego, co stanowi naruszenie art. 14 RODO. Decyzją z dnia 11 sierpnia 2021 r., nr ZSPR.440.1250.2018.AZ.I/134837, 134838,134839, działając na podstawie art. 104 § 1 Kodeksu postępowania administracyjnego, art. 7 ust. 1 ustawy o ochronie danych osobowych, art. 5 ust. 1 lit a i d, art. 6 ust. 1, art. 14, art. 28 i art. 58 ust. 2 lit. b RODO, po przeprowadzeniu postępowania administracyjnego w sprawie skargi uczestniczki postępowania na nieprawidłowości w procesie przetwarzania jej danych osobowych przez administratora i podmiot przetwarzający, Prezes Urzędu Ochrony Danych Osobowych: 1) udzielił upomnienia administratorowi za naruszenie art. 14 ust. 1 i 2 RODO polegające na niespełnieniu wobec uczestniczki postępowania obowiązku informacyjnego określonego w tym przepisie, 2) udzielił upomnienia administratorowi oraz podmiotowi przetwarzającemu, za naruszenie art. 5 ust. 1 lit. a i d i art. 6 ust. 1 w związku z art. 28 RODO polegające na przetwarzaniu danych osobowych uczestniczki postępowania, bez podstawy prawnej. Organ w toku postępowania ustalił, że w dniu 29 października 2018 r. administrator otrzymał wnioski uczestniczki postępowania z dnia 25 października 2018 r. o spełnienie obowiązku informacyjnego, o którym mowa w art. 15 RODO i dostarczenie kopii danych oraz o usunięcie danych osobowych, stosownie do art. 17 ust. 1 lit. d RODO wraz żądaniem zaprzestania ich przetwarzania przez administratora. W odpowiedzi na ww. wnioski, administrator pismem z dnia 30 października 2018 r. poinformował uczestniczkę postępowania, iż do czasu otrzymania ww. wniosków jej dane osobowe nie były znane administratorowi, a także że wystąpił do podmiotu przetwarzającego o zaprzestanie jakichkolwiek czynności w stosunku do uczestniczki postępowania i usunięcie jej danych osobowych. Jak wskazał organ, uchwałą wspólników K. sp. z o.o. sp. k. z 8 stycznia 2021 r. o przekształceniu spółki, K. sp. z o.o. sp. k. przekształciła się w spółkę K. Sp. j., zatem K. Sp. j. jest następcą prawnym podmiotu przetwarzającego. Podmiot przetwarzający pismem z dnia 7 listopada 2018 r. poinformował administratora, że dane osobowe uczestniczki postępowania zostały usunięte z baz danych podmiotu. Na podstawie pisma administratora z dnia 20 listopada 2018 r. skierowanego do organu ustalono, że administrator nie przetwarza danych osobowych uczestniczki postępowania. Organ wskazał, że podmiot przetwarzający na podstawie umowy w zakresie windykacji wierzytelności zawartej z administratorem w dniu 27 lipca 2018 r. prowadził działania windykacyjne wobec dłużnika administratora, tj. A. sp. z o.o. sp. k. Administrator zgodnie z pkt 7 ogólnych warunków realizacji zleceń w ramach usługi wezwanie do zapłaty plus, jest administratorem danych osobowych dłużnika, które zgodnie z pkt 6 ww. ogólnych warunków, powierzył do przetwarzania podmiotowi przetwarzającemu, stosownie do art. 28 RODO, w celu windykacji wierzytelności przez podmiot przetwarzający. Zgodnie z pkt 8 ww. ogólnych warunków, podmiot przetwarzający, stosownie do pkt 12 ww. ogólnych warunków, pomaga administratorowi wywiązywać się z jego obowiązków określonych w rozdziale III RODO. Ustalono, że podmiot powierzający pozyskał dane osobowe uczestniczki postępowania w zakresie numeru telefonu oraz adresu poczty elektronicznej w ramach prowadzenia działań windykacyjnych wobec A. sp. z o.o. sp. k. Wymienione dane uczestniczki postępowania były przetwarzane w związku z ww. działaniami windykacyjnymi, w tym poszukiwaniem danych kontaktowych do A. sp. z o.o. sp. k. Organ podkreślił, że tak administrator, jak i podmiot przetwarzający nie spełnili wobec uczestniczki postępowania obowiązku informacyjnego, o którym mowa w art. 14 RODO. Wskazano, że podmiot przetwarzający w dniu 6 listopada 2018 r. usunął numer telefonu i adres poczty elektronicznej uczestniczki postępowania. Prezes Urzędu Ochrony Danych Osobowych wyjaśnił, że przesłanki legalności przetwarzania danych osobowych określa art. 6 ust. 1 RODO, zgodnie z którym przetwarzanie danych jest dopuszczalne tylko wtedy, gdy spełniona jest jedna z przesłanek wskazanych w tym przepisie. Podkreślił przy tym, że katalog przesłanek wymienionych w art. 6 ust. 1 RODO jest zamknięty. Każda z przesłanek legalizujących proces przetwarzania danych osobowych ma charakter autonomiczny i niezależny. Zdaniem organu oznacza to, że przesłanki te co do zasady są równoprawne, a wobec tego spełnienie co najmniej jednej z nich stanowi o zgodnym z prawem przetwarzaniu danych osobowych. W konsekwencji zgoda osoby, której dane dotyczą, nie jest jedyną podstawą przetwarzania danych osobowych, bowiem proces przetwarzania danych będzie zgodny z RODO również wówczas, gdy administrator danych wykaże spełnienie innej z wyżej wymienionych przesłanek. Niezależnie od zgody osoby, której dane dotyczą (art. 6 ust. 1 lit. a RODO), przetwarzanie danych osobowych jest dopuszczalne między innymi wtedy, gdy przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze (art. 6 ust. 1 lit. c RODO), a także gdy przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem (art. 6 ust. 1 lit. f RODO). Organ zaznaczył, że zgodnie z art. 28 ust. 1 RODO, jeżeli przetwarzanie ma być dokonywane w imieniu administratora, korzysta on wyłącznie z usług takich podmiotów przetwarzających, które zapewniają wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych, by przetwarzanie spełniało wymogi niniejszego rozporządzenia i chroniło prawa osób, których dane dotyczą. Stosownie do art. 28 ust. 3 RODO, przetwarzanie przez podmiot przetwarzający odbywa się na podstawie umowy lub innego instrumentu prawnego, które podlegają prawu Unii lub prawu państwa członkowskiego i wiążą podmiot przetwarzający i administratora, określają przedmiot i czas trwania przetwarzania, charakter i cel przetwarzania, rodzaj danych osobowych oraz kategorie osób, których dane dotyczą, obowiązki i prawa administratora. Odnosząc się do zarzutu niedopełnienia wobec uczestniczki postępowania przez administratora i podmiot przetwarzający obowiązku informacyjnego z art. 14 RODO organ wskazał, że z materiału dowodowego sprawy wynika, że administrator mimo że do czasu otrzymania ww. wniosków z dnia 25 października 2018 r., nie znał danych osobowych uczestniczki postępowania, to jednak wobec zaakceptowania ww. ogólnych warunków realizacji zleceń w ramach usługi wezwanie do zapłaty plus, określających zasady współpracy pomiędzy administratorem a podmiotem przetwarzającym w zakresie windykacji wierzytelności zleconych podmiotowi przetwarzającemu i wiążących strony, był administratorem jej danych osobowych. Tym samym w ocenie organu, administrator, w momencie pozyskania danych osobowych uczestniczki postępowania przez podmiot przetwarzający w zakresie jej numeru telefonu oraz adresu e-mail, o czym podmiot przetwarzający winien go poinformować, obowiązany był spełnić wobec niej obowiązek informacyjny z art. 14 ust. 1 RODO, w terminie określonym w art. 14 ust. 3 RODO. Tym samym jego niespełnienie organ ocenił jako naruszenie tego przepisu. Organ nie zgodził się z twierdzeniami administratora, że nie spoczywał na nim obowiązek informacyjny, gdyż podmiot przetwarzający pozyskał dane osobowe uczestniczki postępowania we własnym zakresie, bowiem podmiot przetwarzający, na mocy pkt 10 lit. b ogólnych warunków, zobowiązał się m.in. do zbierania danych osobowych na polecenie administratora. Organ stwierdził, że z uwagi na naruszenie przez administratora art. 14 ust. 1 i 2 RODO, konieczne stało się skorzystanie przez Prezesa Urzędu Ochrony Danych Osobowych z uprawnienia naprawczego określonego w art. 58 ust. 2 lit. b RODO w postaci udzielenia jej upomnienia. Z uwagi jednak na to, iż K. sp. j była podmiotem przetwarzającym dane osobowe uczestniczki postępowania, o którym mowa w art. 28 RODO, nie spoczywał na niej obowiązek informacyjny z art. 14 RODO. Dlatego też zarzut naruszenia przez podmiot przetwarzający art. 14 RODO organ uznał za bezzasadny. W ocenie organu podmiot przetwarzający pozyskawszy dane osobowe uczestniczki postępowania winien o tym fakcie powiadomić administratora, a ten ostatni, jak wyżej wskazano, zobowiązany był do spełnienia obowiązku informacyjnego określonego w art. 14 RODO wobec uczestniczki postępowania. Organ za uzasadniony uznał zarzut dotyczący przetwarzania danych osobowych uczestniczki postępowania przez ww. podmioty, które obecnie nie przetwarzają już danych osobowych uczestniczki postępowania bez podstawy prawnej. Podkreślił jednocześnie, że zarówno administrator, jak i podmiot przetwarzający obecnie nie przetwarzają już danych osobowych uczestniczki postępowania. Niemniej jednak podmiot przetwarzający pozyskał i przetwarzał dane osobowe uczestniczki postępowania na rzecz administratora danych. Organ wskazał także, że z materiału dowodowego wynika również, iż uczestniczka postępowania nie była dłużnikiem administratora, wobec której uprawnione byłyby jakiekolwiek działania windykacyjne, wynikające z wiążącej podmiot przetwarzający z administratorem umowy w zakresie windykacji wierzytelności. Organ podkreślił, że dłużnikiem administratora była A. sp. z o.o. sp. k., a nie uczestniczka postępowania. Dlatego też w ocenie organu przetwarzanie danych osobowych uczestniczki postępowania jako danych kontaktowych do ww. dłużnika było nieuprawnione. Organ stwierdził, że podmiot przetwarzający, działając w imieniu administratora danych, przetwarzając dane osobowe uczestniczki postępowania w ww. zakresie naruszył art. 6 ust. 1 RODO, bowiem nie legitymował się żadną przesłanką uprawniającą go do przetwarzania tych danych, a ponadto naruszył zasady rzetelności i prawidłowości przetwarzania danych określone w art. 5 ust. 1 lit. a i d RODO. Organ podkreślił, że podmiot przetwarzający nie mógł dowolnie uznać, że dane osobowe uczestniczki postępowania są danymi kontaktowymi do dłużnika. Zdaniem organu zarówno podmiot przetwarzający, jak i administrator, ponosiły odpowiedzialność za stwierdzenie, czy ustalone dane osobowe uczestniczki postępowania były danymi prawidłowymi do kontaktu z dłużnikiem. Następnie organ zaznaczył, że naruszenia wskazanych przepisów dopuścił się jednocześnie administrator, bowiem to on był administratorem danych, w imieniu i na rzecz którego działał podmiot przetwarzający. Organ podkreślił, że zgodnie z wyrażoną w art. 5 ust. 2 RODO zasadą rozliczalności, administrator jest odpowiedzialny za przestrzeganie przepisów prawa i musi być w stanie wykazać ich przestrzeganie. W ocenie organu zasada ta ma zastosowanie zarówno do przetwarzania realizowanego samodzielnie przez administratora, jak i przetwarzania w jego imieniu przez podmiot przetwarzający. Obowiązkiem administratora jest zadbanie o to, by korzystać z usług tylko takiego podmiotu przetwarzającego, który zapewnia wystarczające gwarancje – w szczególności jeśli chodzi o wiedzę fachową, wiarygodność i zasoby – wdrożenia środków technicznych i organizacyjnych, które odpowiadają wymogom RODO, w tym wymogom bezpieczeństwa przetwarzania i chronią prawa osób, których dotyczą (art. 28 ust. 1 RODO i motyw 81 RODO). W piśmie z dnia 15 września 2021 r. podmiot przetwarzający wywiódł do Wojewódzkiego Sądu Administracyjnego w Warszawie skargę na punkt 2 ww. decyzji organu i wnosząc o uchylenie decyzji w części, tj. w zakresie jej punktu 2 oraz o zasądzenie od organu na jego rzecz kosztów postępowania, w tym kosztów zastępstwa prawnego, według norm przepisanych, zarzucił zaskarżonej decyzji: 1) naruszenie prawa materialnego, które miało wpływ na wynik sprawy, tj. art. 6 ust. 1 w związku z art. 28 RODO, polegające na ich błędnej wykładni i przyjęciu, że K. sp. j. z siedzibą we W. jako podmiot przetwarzający, o którym mowa w art. 4 pkt 8 RODO, powinna legitymować się przesłanką przetwarzania danych z art. 6 ust. 1 RODO, podczas gdy K. sp. j. jako podmiot przetwarzający powinna legitymować się wyłącznie podstawą prawną przetwarzania danych osobowych wynikającą z art. 28 ust. 3 RODO, tj. z umowy zawartej z administratorem, co doprowadziło do nałożenia na podmiot przetwarzający niezgodnego z prawem upomnienia, o którym mowa w art. 58 ust. 2 lit. b RODO; 2) naruszenie prawa materialnego, które miało wpływ na wynik sprawy, tj. art. 5 ust. 1 lit. a i d RODO w związku z art. 5 ust. 2 i art. 28 ust. 3 RODO, poprzez ich błędną wykładnię polegającą na przyjęciu, że podmiot przetwarzający działający wyłącznie w imieniu administratora danych jest odpowiedzialny za realizację zasad z art. 5 ust. 1 lit. a i d RODO, podczas gdy podmiot przetwarzający jest zobowiązany wyłącznie do działania zgodnie z umową i instrukcjami otrzymanymi od administratora, który to administrator zgodnie z art. 5 ust. 2 RODO jest wyłącznie odpowiedzialny za przestrzeganie tych zasad, co doprowadziło do niesłusznego nałożenia na podmiot przetwarzający niezgodnego z prawem upomnienia, o którym mowa w art. 58 ust. 2 lit. b RODO; 3) naruszenie przepisów postępowania, które miało istotny wpływ na wynik sprawy, tj. art. 107 § 3 Kodeksu postępowania administracyjnego polegające na niedostatecznym i niepełnym uzasadnieniu decyzji poprzez brak dokładnego uzasadnienia przyjęcia art. 5 ust. 1 lit. a i d RODO jako podstawy odpowiedzialności podmiotu przetwarzającego. Podmiot przetwarzający w uzasadnieniu skargi podniósł, że jako podmiot przetwarzający dane osobowe nie musi legitymować się podstawą prawną przetwarzania danych z art. 6 ust. 1 RODO z uwagi na to, że jako podmiot przetwarzający wykorzystuje dane wyłącznie na podstawie umowy, o której mowa w art. 28 ust. 3 RODO, tj. umowy powierzenia przetwarzania danych osobowych zawartą z administratorem. W ocenie podmiotu przetwarzającego, nie jest on odpowiedzialny za zapewnienie podstawy prawnej przetwarzania danych innej niż umowa z administratorem danych, ani legitymowanie się podstawą prawną z art. 6 ust. 1 lub art. 9 ust. 2 RODO, ponieważ jest to wyłączny obowiązek administratora danych. Podmiot przetwarzający jego zdaniem byłby administratorem, gdyby pozyskane dane osobowe wykorzystywał dla własnych celów, co nie miało miejsca i nie zostało zarzucone podmiotowi przetwarzającemu przez organ. W ocenie podmiotu przetwarzającego posiada on podstawę prawną przetwarzania danych osobowych uczestniczki postępowania - którą jest umowa powierzenia przetwarzania danych, stąd też w ocenie podmiotu przetwarzającego rozstrzygnięcie decyzji należy uznać za wadliwe. Podmiot przetwarzający podkreślił, że jego rola i sama jego obecność w procesie przetwarzania danych osobowych jest w zupełności zależna od administratora. W konsekwencji, to administrator powinien legitymować się podstawą prawną przetwarzania z art. 6 ust. 1 RODO, a nie podmiot przetwarzający. Jednocześnie, gdy w danym przypadku okaże się, że administrator nie ma podstawy prawnej do przetwarzania danych osobowych, nie skutkuje to koniecznością znalezienia własnej podstawy prawnej do przetwarzania tych danych przez podmiot przetwarzający. Podmiot przetwarzający podniósł, że organ pominął podstawową funkcję umowy powierzenia przetwarzania, jaką jest zapewnienie legalności – czyli podstawy prawnej – przetwarzania danych osobowych przez podmiot przetwarzający. Umowa powierzenia przetwarzania danych osobowych stanowi jedyną i wystarczającą podstawę prawną przetwarzania danych jaką może (i musi) posiadać podmiot przetwarzający na gruncie art. 28 ust. 3 RODO, aby zalegalizować operacje przetwarzania przeprowadzane w imieniu i na polecenie administratora. Podmiot przetwarzający podkreślił że błędna interpretacja art. 6 ust. 1 RODO, polegająca na uznaniu, że podmiot przetwarzający zobowiązany jest do legitymowania się przesłanką uprawniającą go do przetwarzania danych z art. 6 ust. 1 RODO miała charakter naruszenia prawa materialnego, które miało wpływ na wynik sprawy. Gdyby bowiem organ prawidłowo stwierdził, że podmiot przetwarzający posiadał podstawę prawną przetwarzania z art. 28 ust. 3 RODO, nie udzieliłby mu upomnienia za przetwarzanie danych uczestniczki postępowania bez podstawy prawnej. Podmiot przetwarzający podkreślił także, że zgodnie z art. 5 ust. 2 RODO, wyłącznie administrator jest odpowiedzialny za przestrzeganie przepisów art. 5 ust. 1 RODO (z wyjątkiem zasady integralności i poufności z art. 5 ust. 1 lit. f) i musi być w stanie wykazać ich przestrzeganie. W ocenie podmiotu przetwarzającego organ błędnie interpretuje art. 5 ust. 1 lit. a i d RODO uznając, że ma on zastosowanie do podmiotu przetwarzającego. Błąd ten jest istotny i prowadzi do nieuzasadnionego nałożenia na podmiot przetwarzający upomnienia, o którym mowa w art. 58 ust. 2 lit. b RODO. Organ, w ocenie podmiotu przetwarzającego pomija przy tym treść art. 28 ust. 3 RODO, który stanowi samoistną podstawę do przetwarzania danych przez podmiot przetwarzający i jednocześnie wyznacza zakres obowiązków podmiotu przetwarzającego dane na zlecenie, w tym obowiązki podmiotu przetwarzającego, który - poza zabezpieczeniem danych przed nieuprawnionym dostępem oraz działaniem zgodnym z umową łączącą go z administratorem - nie ponosi za przetwarzanie danych odpowiedzialności. W odpowiedzi na skargę organ wniósł o oddalenie skargi jako niezasadnej, podtrzymując stanowisko wyrażone w zaskarżonej decyzji. Wojewódzki Sąd Administracyjny w Warszawie wyrokiem z dnia 30 listopada 2022 r., sygn. akt II SA/Wa 3535/21 oddalił skargę podmiotu przetwarzającego na decyzję organu z dnia 11 sierpnia 2021 r., nr ZSPR.440.1250.2018.AZ.I/134837, 134838, 134839 w przedmiocie przetwarzania danych osobowych. W uzasadnieniu wyroku Sąd I instancji podkreślił na wstępie, że jest rzeczą niesporną, iż podmiot przetwarzający przetwarzał dane osobowe uczestniczki postępowania w związku z realizacją umowy w zakresie windykacji wierzytelności zawartej w dniu 27 lipca 2018 r. pomiędzy podmiotem przetwarzającym a administratorem. Jak przypomniał Wojewódzki Sąd Administracyjny w Warszawie, na podstawie tej umowy podmiot przetwarzający prowadził działania windykacyjne wobec dłużnika administratora, tj. spółki A. sp. z o. o. sp. k. Dane osobowe uczestniczki postępowania w zakresie numeru telefonu oraz adresu poczty elektronicznej zostały pozyskane przez podmiot przetwarzający w ramach prowadzenia działań windykacyjnych wobec dłużnika i nie ulega też wątpliwości, iż uczestniczka postępowania nie jest dłużnikiem administratora ani też nie jest osobą uprawnioną do reprezentacji dłużnika. Sąd I instancji stwierdził, że przedstawione okoliczności faktyczne wskazują, że nie została spełniona żadna z przesłanek określonych w art. 6 ust. 1 RODO, legalizujących działanie podmiotu przetwarzającego. Wojewódzki Sąd Administracyjny zauważył również, że podmiot przetwarzający nie powołuje się zresztą na żadną z przesłanek określonych w art. 6 ust. 1 RODO, twierdzi natomiast, iż jako podmiot przetwarzający powinien legitymować się wyłącznie podstawą prawną przetwarzania danych osobowych wynikającą z art. 28 ust. 3 RODO, tj. z umowy zawartej z administratorem, a nadto, że jest zobowiązany wyłącznie do działania zgodnie z umową i instytucjami otrzymanymi od administratora, który to administrator zgodnie z art. 5 ust. 2 RODO jest wyłącznie odpowiedzialny za przestrzeganie tych zasad. Wojewódzki Sąd Administracyjny w Warszawie wskazał, że nie kwestionuje co do zasady słuszności powyższych twierdzeń i dodał, że tezy te jego zdaniem pozostają bez znaczenia dla oceny rozstrzygnięcia zawartego w punkcie 2 zaskarżonej decyzji. Sąd I instancji podkreślił, że podmiot przetwarzający na podstawie wskazanej powyżej umowy powierzenia uprawniony był jedynie do przetwarzań danych osobowych dłużników administratora (pkt 6 Ogólnych warunków realizacji zleceń w ramach usługi wezwania do zapłaty plus – k. 74 akt administracyjnych sprawy). Uczestniczka postępowania nie była zaś ani dłużnikiem administratora, ani też osobą uprawnioną do reprezentacji dłużników. Sąd I instancji stwierdził, że podmiot przetwarzający przetwarzając dane osobowe uczestniczki postępowania, wykroczył poza upoważnienie wynikające z umowy zawartej z administratorem danych, a w rezultacie nie legitymował się także przesłanką z art. 28 ust. 3 RODO. Jednocześnie Wojewódzki Sąd Administracyjny w Warszawie stwierdził, że podmiot przetwarzający nie wykonał obowiązku z art. 5 ust. 1 lit. d RODO, tj. obowiązku podjęcia wszelkich rozsądnych działań, aby dane osobowe, które są nieprawidłowe w świetle celów ich przetwarzania zostały niezwłocznie usunięte lub sprostowane. Z pisma uczestniczki postępowania z dnia 22 listopada 2018 r. (k. 64 akt administracyjnych) wynika, jak zauważył Sąd I instancji, iż przedmiotowe dane osobowe zostały pozyskane przez podmiot przetwarzający w toku prowadzonych działań windykacyjnych. Podmiot przetwarzający nie wykazał jednak w ocenie Wojewódzkiego Sądu Administracyjnego w Warszawie, że skonfrontował ww. dane osobowe z danymi osób uprawnionych do reprezentacji dłużnika. Zdaniem Sądu I instancji takiego działania podmiotu przetwarzającego nie można ocenić jako spełniające standardy rzetelności w rozumieniu art. 5 ust. 1 lit. a RODO. Skargę kasacyjną od powyższego wyroku wywiódł podmiot przetwarzający i zaskarżając ten wyrok w całości oraz wnosząc o uchylenie zaskarżonego wyroku w całości, rozpoznanie skargi oraz uchylenie decyzji organu z dnia 11 sierpnia 2021 roku, sygnatura ZSPR.440.1250.2018.AZ.I w całości, względnie o uchylenie zaskarżonego wyroku w całości i przekazanie sprawy do ponownego rozpoznania Wojewódzkiemu Sądowi Administracyjnemu w Warszawie oraz zasądzenie na rzecz podmiotu przetwarzającego kosztów postępowania, w tym kosztów zastępstwa procesowego według norm przepisanych oraz zwrotu kwoty 51 zł uiszczonej tytułem opłaty skarbowej od pełnomocnictwa, rozpoznanie skargi kasacyjnej na rozprawie, zarzucił zaskarżonemu rozstrzygnięciu: I. naruszenie przepisów prawa materialnego, tj.: 1. art. 28 ust. 3 RODO w związku z przepisami art. 6 ust. 1 lit. a – f RODO, poprzez ich błędną wykładnię polegającą na uznaniu, że podmiot przetwarzający powinien legitymować się podstawą prawną przetwarzania danych osobowych z przepisów art. 6 ust. 1 lit. a – f RODO, podczas gdy prawidłowa wykładnia tych przepisów powinna skutkować uznaniem, że wyłączną podstawą prawną przetwarzania danych osobowych przez podmiot przetwarzający jest umowa powierzenia przetwarzania danych osobowych lub inny instrument prawny, które podlegają prawu Unii Europejskiej lub prawu państwa członkowskiego, o których mowa w przepisie art. 28 ust. 3 RODO; 2. art. 58 ust. 2 lit. b w związku z art. 5 ust. 1 lit. a i d i w związku z art. 6 ust. 1 RODO poprzez błędną wykładnię polegającą na uznaniu, że możliwym jest równoczesne ukaranie za brak podstawy prawnej przetwarzania danych osobowych administratora, który przetwarza określone dane osobowe "rękami" podmiotu przetwarzającego oraz ukaranie tego podmiotu przetwarzającego za przetwarzanie tych samych danych osobowych w charakterze administratora bez podstawy prawnej; 3. art. 28 ust. 3 RODO poprzez jego niewłaściwe zastosowanie i uznanie, że podmiot przetwarzający wykroczył poza upoważnienie wynikające z umowy powierzenia, a w konsekwencji przypisanie mu na tej podstawie statusu administratora, podczas gdy przepis ten nie może być podstawą przypisania podmiotowi przetwarzającemu statusu administratora, a kryterium "wykroczenia poza upoważnienie wynikające z umowy powierzenia", jako kryterium nieznane RODO, nie stanowi warunku decydującego dla zakwalifikowania danego podmiotu jako administratora, zamiast podmiotu przetwarzającego; 4. art. 28 ust. 3 RODO w związku z pkt. 6 Ogólnych Warunków Realizacji Zleceń w Ramach Usługi Wezwanie do Zapłaty Plus, poprzez ich błędną wykładnię polegającą na uznaniu, że przez dane osobowe dłużnika należy rozumieć jedynie dane osobowe osób uprawnionych do jego reprezentacji, zgodnie z informacjami ujawnionymi w Krajowym Rejestrze Sądowym, podczas gdy prawidłowa wykładnia tego przepisu powinna skutkować uznaniem, że dane osobowe dłużnika oznaczają również dane osobowe osób wskazanych przez dłużnika, które mogą pomóc w realizacji celu wskazanego w umowie powierzenia, w szczególności dane pracowników dłużnika i osób z nim współpracujących, co skutkowało błędnym uznaniem, że podmiot przetwarzający wykroczył poza upoważnienie wynikające z umowy powierzenia; 5. art. 5 ust. 1 lit. a w związku z art. 5 ust. 2 RODO poprzez ich niewłaściwe zastosowanie wobec podmiotu przetwarzającego i uznanie, że obowiązkiem podmiotu przetwarzającego było skonfrontowanie danych osobowych uczestniczki postępowania z danymi osób uprawnionych do reprezentacji dłużnika, podczas gdy adresatem norm wskazanych w tych przepisach jest wyłącznie administrator, a nie podmiot przetwarzający; 6. art. 5 ust. 1 lit. d w związku z art. 5 ust. 2 RODO poprzez ich niewłaściwe zastosowanie wobec podmiotu przetwarzającego i uznanie, że podmiot przetwarzający był zobowiązany do podjęcia działań, aby (rzekomo) nieprawidłowe dane dłużnika zostały niezwłocznie usunięte, podczas gdy adresatem norm wskazanych w tych przepisach jest wyłącznie administrator, a nie podmiot przetwarzający; 7. art. 5 ust. 1 lit. a RODO poprzez jego błędną wykładnię polegającą na uznaniu, że zgodnie z zasadą rzetelności konieczne jest potwierdzenie pozyskanych danych osobowych z osobami uprawnionymi do reprezentacji dłużnika, podczas gdy prawidłowa wykładnia tej zasady zobowiązuje jedynie do pozyskiwania danych w sposób uczciwy i z należytą starannością; II. naruszenie przepisów postępowania mające istotny wpływ na wynik sprawy, tj.: 8. art. 141 § 4 ustawy Prawo o postępowaniu przed sądami administracyjnymi w związku z art. 11 Kodeksu postępowania administracyjnego poprzez wadliwe uzasadnienie wyroku, polegające na zdawkowym i ogólnikowym odniesieniu się do zarzutów przedstawionych w skardze i braku wyjaśnienia podstaw prawnych przyjętych za podstawę rozstrzygnięcia, tj. braku wyjaśnienia przyczyn przypisania podmiotowi przetwarzającemu statusu administratora na podstawie art. 28 ust. 3 RODO, braku wyjaśnienia przyczyn przyjęcia konieczności wykazania podstawy prawnej z art. 6 ust. 1 RODO przez podmiot przetwarzający, braku precyzyjnego określenia sposobu naruszenia art. 5 ust. 1 lit. a oraz art. 5 ust. 1 lit. d RODO przez podmiot przetwarzający i przypisania odpowiedzialności za naruszenie tych przepisów podmiotowi przetwarzającemu, co miało istotny wpływ na wynik sprawy, ponieważ uniemożliwiło kontrolę instancyjną zaskarżonego wyroku; 9. art. 7, art. 77 § 1 i art. 80 Kodeksu postępowania administracyjnego w związku z art. 151 ustawy Prawo o postępowaniu przed sądami administracyjnymi, poprzez brak rzetelnej kontroli zaskarżonej decyzji i oddalenie skargi pomimo braku wyczerpującego zebrania i rozpatrzenia całego materiału dowodowego, w szczególności nieustalenie, jaka była funkcja służbowa uczestniczki postępowania oraz pani M.B., którą zastępowała uczestniczka postępowania, co skutkowało błędnym ustaleniem faktycznym, że podmiot przetwarzający nie był uprawniony do kontaktu z uczestniczką postępowania w celu ustalenia sposobu spłaty zadłużenia przez spółkę A. sp. z o. o. sp. k.; 10. art. 80 Kodeksu postępowania administracyjnego w związku z art. 151 ustawy Prawo o postępowaniu przed sądami administracyjnymi poprzez brak swobodnej oceny dowodów, skutkujący błędnym ustaleniem faktycznym, że podmiot przetwarzający kontaktował się z uczestniczką postępowania jako dłużnikiem podczas, gdy podmiot przetwarzający kontaktował się z uczestniczką postępowania jako osobą wskazaną do kontaktu w ramach zastępstwa za pracownika dłużnika, która mogła mieć wiedzę o zobowiązaniu dłużnika i wskazać osoby właściwe do kontaktu, w celu uregulowania zobowiązania przez dłużnika. W uzasadnieniu skargi kasacyjnej strona skarżąca kasacyjnie podniosła, że istota sporu w niniejszej sprawie sprowadza się do odpowiedzi na pytania, jaka jest rola podmiotu przetwarzającego w procesie przetwarzania danych osobowych, tj. kto wyznacza podstawę prawną przetwarzania danych i kto jest odpowiedzialny za realizację zasad wyrażonych w przepisie art. 5 RODO - administrator, podmiot przetwarzający, czy oba te podmioty, oraz jak powinno być interpretowane pojęcie "dłużnika" w niniejszej sprawie i czy przetwarzanie danych służbowych pracownika/współpracownika dłużnika - spółki w celu nawiązania kontaktu z osobami zajmującymi się sprawami finansowymi spółki, jest dopuszczalne. Skarżąca kasacyjnie podniosła, że Sąd I instancji w wyroku przyjął nieprawidłowy stan faktyczny sprawy, co skutkowało błędną odpowiedzią na postawione wyżej pytania. Strona skarżąca kasacyjnie wskazała, że prowadziła działania windykacyjne wobec dłużnika administratora, tj. spółki A. sp. z o. o. sp. k., na podstawie umowy zawartej w dniu 27 lipca 2018 r., stanowiącej także umowę powierzenia przetwarzania danych osobowych, zawartą stosownie do przepisu art. 28 RODO. Zgodnie z ww. umową powierzenia administrator działał jako administrator danych osobowych dłużnika, a strona skarżąca kasacyjnie jako podmiot przetwarzający. Wynikało to z celów działania obu podmiotów, tj. administrator działał w celu odzyskania należności od swojego dłużnika, zaś podmiot przetwarzający działał w celu wykonania zadania na zlecenie administratora, tj. przeprowadzenia działań windykacyjnych na zlecenie wierzyciela. W toku prowadzonych działań windykacyjnych podmiot przetwarzający pozyskał służbowe dane osobowe uczestniczki postępowania (tj. służbowy numer telefonu i adres poczty elektronicznej). Podkreślono, że dane osobowe zostały pozyskane od dłużnika administratora taki sposób, że po wysłaniu wiadomości mailowej na adres służbowy pracownika/współpracownika dłużnika, podmiot przetwarzający otrzymał wiadomość zwrotną, że w czasie nieobecności pracownika/współpracownika wskazanego do kontaktu, należy kontaktować się z uczestniczką postępowania na adres email lub numer telefonu podany w tej wiadomości. Strona skarżąca kasacyjnie podkreśliła, że kontaktowała się z uczestniczką postępowania w celu osoby odpowiedzialnej za uregulowanie długu. Skarżąca kasacyjnie podniosła, że argumentacja Sądu I instancji w niniejszej sprawie sprowadza się do uznania, że poprzez dane osobowe dłużnika powinny być rozumiane jedynie dane dłużnika lub (w przypadku, gdy dłużnikiem jest spółka) dane osób uprawnionych do reprezentacji dłużnika, zgodnie z informacjami ujawnionymi w KRS, a w konsekwencji przetwarzanie danych innych osób wskazanych do kontaktu przez przedsiębiorców (w tym przypadku służbowe dane kontaktowe uczestniczki postępowania) jest nieuprawnione. Ponadto zdaniem skarżącej kasacyjnie Sąd I instancji przyjął, że kontakt z uczestniczką postępowania skutkował potraktowaniem jej jako dłużnika, podczas gdy kontakt z nią ze strony skarżącej kasacyjnie miał na celu dochodzenie roszczeń od dłużnika, czyli spółki, z którą uczestniczka postępowania była związana co najmniej w taki sposób, że miała przyznany adres mailowy w domenie tej spółki oraz była wskazana przez jej pracownika/współpracownika jako osoba do kontaktu w czasie nieobecności danego reprezentanta dłużnika. W ocenie skarżącej kasacyjnie uznanie za prawidłowe stanowiska Sądu I instancji skutkowałoby paraliżem obrotu gospodarczego, z uwagi na fakt, że wiele podmiotów uczestniczących w obrocie ma złożoną strukturę, wielu pracowników, i w związku z tym organizuje tak swoją działalność, że kontaktować się z innymi uczestnikami obrotu mogą ich pracownicy/współpracownicy na różnych stanowiskach, a nie tylko członkowie zarządu czy inne osoby uprawnione do reprezentacji na podstawie informacji z KRS. Skarżąca kasacyjnie wskazała, że w konsekwencji, w każdej sytuacji kontaktu z inną osobą niż członek zarządu dochodziłoby do naruszenia przepisów art. 28 ust. 3, art. 6 ust. 1 RODO oraz art. 5 ust. 1 lit. a RODO. W ocenie strony skarżącej kasacyjnie Sąd I instancji pominął okoliczności sprawy, które to uprawniały ten podmiot do kontaktu z uczestniczką postępowania, a to z uwagi na treść wiadomości zwrotnej otrzymanej przez podmiot przetwarzający od jednego z pracowników/współpracowników dłużnika, co w rezultacie zdaniem strony skarżącej kasacyjnie było równoznaczne z pozyskaniem danych od dłużnika. Strona skarżąca kasacyjnie podniosła, że Wojewódzki Sąd Administracyjny w Warszawie powielił błąd organu, który nieprawidłowo nałożył na podmiot przetwarzający obowiązki zarezerwowane RODO dla administratora, tj. uznał, że był on odpowiedzialny za wskazanie podstawy prawnej przetwarzania danych osobowych, za realizację zasady rzetelności z przepisu art. 5 ust. 1 lit. a RODO, która została zinterpretowana odmiennie od poglądów prezentowanych przez przedstawicieli doktryny oraz za realizację zasady prawidłowości z art. 5 ust. 1 lit. d RODO. W ocenie stronie skarżącej kasacyjnie podmiotowi przetwarzającemu został błędnie przypisany status administratora na podstawie art. 28 ust. 3 RODO, który nie wskazuje na przesłanki uznania podmiotu przetwarzającego za administratora. W ocenie strony skarżącej kasacyjnie Sąd I instancji przyjął za podstawę orzekania niepełny stan faktyczny, co skutkowało dokonaniem częściowo błędnych ustaleń faktycznych, a lakoniczność uzasadnienia istotnie utrudnia lub wręcz uniemożliwia kontrolę instancyjną wyroku z uwagi na zdawkowe odniesienie się zarzutów skargi oraz brak wyjaśnienia podstaw prawnych, którymi kierował się Wojewódzki Sąd Administracyjny w Warszawie przy wydawaniu wyroku. W ocenie strony skarżącej kasacyjnie kluczową nieprawidłowością, popełnioną przez organ, a następnie powieloną przez Sąd I instancji, stało się przypisanie podmiotowi przetwarzającemu niektórych obowiązków administratora, takich jak konieczność zapewnienia podstawy prawnej przetwarzania danych oraz konieczność wykazania realizacji zasad określonych w przepisie art. 5 RODO. Jak wskazała strona skarżąca kasacyjnie, Sąd I instancji uznał w wyroku, że podmiot przetwarzający przetwarzając dane osobowe uczestniczki postępowania powinien był zapewnić jedną z przesłanek przetwarzania danych osobowych wskazanych w art. 6 ust. 1 RODO. W ocenie strony skarżącej kasacyjnie powyższe stanowisko Wojewódzkiego Sądu Administracyjnego w Warszawie jest niezrozumiałe, ponieważ obowiązek wskazania podstawy prawnej przetwarzania danych spoczywa wyłącznie na administratorze jako gospodarzu procesu przetwarzania danych, podczas gdy przetwarzanie danych przez podmiot przetwarzający legalizuje sama umowa powierzenia przetwarzania danych osobowych. Zdaniem strony skarżącej kasacyjnie, twierdzenia Sądu I instancji w tym zakresie wskazują na niespójność w przypisaniu ról w niniejszym procesie przetwarzania danych i tym samym niezrozumienie podstawowych zasad przetwarzania danych osobowych na gruncie RODO. Strona skarżąca kasacyjnie podniosła, że nałożone na podmiot przetwarzający w RODO obowiązki jednoznacznie wskazują na jego podporządkowanie względem administratora i pomocniczy charakter pełnionej przez niego funkcji, a konsekwencją zależności podmiotu przetwarzającego od administratora jest brak obowiązku, a wręcz brak możliwości ustalenia podstawy prawnej przetwarzania danych osobowych na podstawie przepisów art. 6 ust. 1 lub art. 9 ust. 1 RODO przez podmiot przetwarzający. Strona skarżąca kasacyjnie dodała, że podobnie jest z określeniem celów przetwarzania danych osobowych. Strona skarżąca kasacyjnie podkreśliła, że brak ustalenia podstawy prawnej przez podmiot przetwarzający nie może zostać uznane za naruszenie RODO, a co wskazuje konstrukcja przepisu art. 82 ust. 2 RODO, który nie przewiduje takiej przesłanki odpowiedzialności podmiotu przetwarzającego. W ocenie strony skarżącej kasacyjnie, Sąd I instancji przypisał podmiotowi przetwarzającemu rolę administratora uznając, że wykroczył poza upoważnienie wynikające z umowy zawartej z administratorem danych. Strona skarżąca kasacyjnie zauważyła, że Wojewódzki Sąd Administracyjny w Warszawie przypisał podmiotowi przetwarzającemu tę rolę na podstawie art. 28 ust. 3 RODO, podczas gdy możliwe to jest wyłącznie na podstawie art. 28 ust. 10 RODO, który nie znajduje jednak zastosowania w niniejszym stanie faktycznym. Jak wskazała strona skarżąca kasacyjnie, art. 28 ust. 3 RODO określa jedynie wymagane elementy umowy powierzenia przetwarzania danych osobowych. Nie precyzuje jednak przesłanek, po których spełnieniu podmiot przetwarzający traci tę rolę i staje się administratorem. Przesłanki uznania podmiotu przetwarzającego za administratora zostały bowiem, jak wskazała strona skarżąca kasacyjnie, zawarte w przepisie art. 28 ust. 10 RODO, zgodnie z którym podmiot przetwarzający może zostać uznany za administratora, jeśli ingeruje w cele i sposoby przetwarzania danych ustalone uprzednio przez administratora lub samodzielnie ustala cele lub sposoby przetwarzania danych. Strona skarżąca kasacyjnie powtórzyła zatem, że podmiot przetwarzający mógłby potencjalnie zostać uznany za administratora, ale jedynie na postawie art. 28 ust. 10 RODO, a nie art. 28 ust. 3 RODO. W związku z powyższym strona skarżąca kasacyjne podniosła, że Sąd I instancji nieprawidłowo zinterpretował przepis art. 28 ust. 3 RODO jako podstawę przypisania podmiotowi przetwarzającemu roli administratora. Ponadto, Sąd I instancji jej zdaniem nieprawidłowo przyjął, że podmiot przetwarzający wykroczył poza zakres upoważnienia do przetwarzania danych osobowych wynikający z umowy powierzenia, jak również że działanie takie może skutkować zmianą roli podmiotu przetwarzającego na administratora. Odnosząc się zaś do pojęcia "dłużnik" strona skarżąca kasacyjnie wskazała, że zgodnie z orzecznictwem sądów cywilnych kontakt z osobami, które mogą posiadać wiedzę o dłużniku (tzn. z jego pracownikami, rodziną czy sąsiadami) i umożliwić nawiązanie z nim kontaktu jest dopuszczalny, o ile nie wypełnia znamion nękania i nie narusza dóbr osobistych osoby trzeciej. Strona skarżąca kasacyjnie zaznaczyła, że w szczególności taki kontakt jest dopuszczalny jeśli dłużnikiem jest osoba prawna, a nie osoba fizyczna. Niezależnie od powyższego, strona skarżąca kasacyjnie podkreśliła, że przetwarzała jedynie służbowe dane kontaktowe uczestniczki postępowania, tj. jej służbowy adres mailowy oraz służbowy numer telefonu. Strona skarżąca kasacyjnie podniosła także, że jej zdaniem Wojewódzki Sąd Administracyjny w Warszawie w zaskarżonym wyroku lakonicznie oraz ogólnikowo odniósł się do zarzutów skargi oraz nie wyjaśnił dostatecznie podstawy prawnej rozstrzygnięcia, czym uniemożliwił przeprowadzenie kontroli instancyjnej wyroku. W ocenie strony skarżącej kasacyjnie Sąd I instancji jedynie lakonicznie odniósł się do zarzutów zawartych w skardze, w zakresie konieczności legitymizowania się podmiotu przetwarzającego podstawą prawną z przepisu art. 6 ust. 1 RODO, naruszenia przez podmiot przetwarzający przepisów art. 5 ust. 1 lit. a i d RODO, wykładni przepisu art. 28 ust. 3 RODO powielił stanowisko organu, bez żadnego wyjaśnienia przyczyn przyjętego rozstrzygnięcia, nie wyjaśnił, jakie działania powinien był podjąć podmiot przetwarzający, aby spełnić wymagania z przepisu art. 5 ust. 1 lit. d RODO, ani dlaczego w jego ocenie zasada rzetelności nakazywała skonfrontować dane osobowe pani uczestniczki postępowania z danymi osobowymi osób uprawnionych do reprezentacji dłużnika, jak i nie wyjaśnił dlaczego uznał, że dane dłużnika to jedynie dane osób uprawnionych do reprezentacji spółki, zgodnie z informacjami ujawnionymi w KRS. Strona skarżąca kasacyjnie zwróciła uwagę na to, że Wojewódzki Sąd Administracyjny w Warszawie nie ustalił, jaka była funkcja służbowa ani pani M.B. (z jej wiadomości zwrotnej pozyskano dane uczestniczki postępowania), ani samej uczestniczki postępowania (która, zgodnie z treścią autorespondera, ją zastępowała), co skutkowało potraktowaniem tych osób jako zupełnie przypadkowych, podczas gdy prawidłowe ustalenie tego elementu stanu faktycznego zapewne potwierdziłoby uprawnienie podmiotu przetwarzającego do kontaktu z tymi paniami jako osobami pracującymi/współpracującymi z dłużnikiem. Powyższe braki w ustaleniu stanu faktycznego sprawy skutkowały w ocenie strony skarżącej kasacyjnie błędną oceną Sądu I instancji dotychczas zgromadzonego materiału dowodowego i oparciem się wyłącznie na informacji przyjętej przez organ o braku uprawienia uczestniczki postępowania do reprezentacji dłużnika zgodnie z KRS. Dodatkowo, brak ustalenia funkcji uczestniczki postępowania w spółce – dłużniku oraz błędna ocena zgromadzonego materiału dowodowego doprowadziły do błędnego ustalenia faktycznego, iż podmiot przetwarzający kontaktował się z uczestniczką postępowania jako dłużnikiem. W odpowiedzi na skargę kasacyjną organ wniósł o oddalenie skargi kasacyjnej podtrzymując stanowisko prezentowane dotychczas w toku postępowania podkreślając ponownie, że podmiot przetwarzający na podstawie umowy powierzenia zawartej z administratorem był uprawniony do przetwarzania danych osobowych dłużników administratora, a uczestniczka postępowania tym dłużnikiem nie była. Naczelny Sąd Administracyjny zważył, co następuje: Zgodnie z treścią art. 183 § 1 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (tj.: Dz.U. z 2026 r., poz. 143) - zwanej dalej p.p.s.a., Naczelny Sąd Administracyjny rozpoznaje sprawę w granicach skargi kasacyjnej, bierze jednak z urzędu pod rozwagę nieważność postępowania. W sprawie nie występują, enumeratywnie wyliczone w art. 183 § 2 p.p.s.a., przesłanki nieważności postępowania sądowoadministracyjnego. Z tego względu, przy rozpoznaniu sprawy, Naczelny Sąd Administracyjny związany był granicami skargi kasacyjnej. Skargę kasacyjną można oprzeć na następujących podstawach: 1) naruszeniu prawa materialnego przez błędną jego wykładnię lub niewłaściwe zastosowanie, 2) naruszeniu przepisów postępowania, jeżeli uchybienie to mogło mieć istotny wpływ na wynik sprawy (art. 174 p.p.s.a.). Granice skargi kasacyjnej wyznaczają wskazane w niej podstawy. W skardze kasacyjnej zarzucono naruszenie prawa materialnego, jak i naruszenie przepisów postępowania. Rozpoznając skargę kasacyjną w tak zakreślonych granicach, stwierdzić należy, że skarga ta częściowo zasługuje na uwzględnienie. W sytuacji, gdy skarga kasacyjna zarzuca naruszenie prawa materialnego oraz naruszenie przepisów postępowania, co do zasady w pierwszej kolejności rozpoznaniu podlegają zarzuty naruszenia przepisów postępowania (por. wyrok NSA z dnia 27 czerwca 2012 r., II GSK 819/11, LEX nr 1217424; wyrok NSA z dnia 26 marca 2010 r., II FSK 1842/08, LEX nr 596025; wyrok NSA z dnia 4 czerwca 2014 r., II GSK 402/13, LEX nr 1488113; wyrok NSA z dnia 17 lutego 2023 r., II GSK 1458/19; wyrok NSA z dnia 1 marca 2023 r., I FSK 375/20). Dopiero bowiem po przesądzeniu, że stan faktyczny przyjęty przez sąd w zaskarżonym wyroku jest prawidłowy, albo nie został dostatecznie podważony, można przejść do skontrolowania procesu subsumcji danego stanu faktycznego pod zastosowany przez sąd pierwszej instancji przepis prawa materialnego. Dla uznania za usprawiedliwioną podstawę kasacyjną z art. 174 pkt 2 p.p.s.a. nie wystarcza samo wskazanie naruszenia przepisów postępowania, ale nadto wymagane jest, aby skarżący wykazał, że następstwa stwierdzonych wadliwości postępowania były tego rodzaju lub skali, iż kształtowały one lub współkształtowały treść kwestionowanego w sprawie orzeczenia (por. wyrok NSA z dnia 5 maja 2004 r., FSK 6/04, LEX nr 129933; wyrok NSA z dnia 26 lutego 2014 r., II GSK 1868/12, LEX nr 1495116; wyrok NSA z dnia 29 listopada 2022 r., I OSK 931/22). W ramach jednego z zarzutów naruszenia przepisów postępowania sformułowanych w skardze kasacyjnej strona skarżąca kasacyjnie wytknęła Sądowi I instancji naruszenie art. 141 § 4 w związku z art. 11 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2025 r., poz. 1691 ze zm.) – dalej zwanej: k.p.a., którego upatruje w wadliwym uzasadnieniu wyroku polegającym na zdawkowym i ogólnikowym – w ocenie strony skarżącej kasacyjnie - odniesieniu się przez Sąd I instancji do zarzutów przedstawionych w skardze i braku wyjaśnienia podstaw prawnych przyjętych za podstawę rozstrzygnięcia, tj. braku wyjaśnienia przyczyn przypisania podmiotowi przetwarzającemu statusu administratora na podstawie art. 28 ust. 3 rozporządzenia Parlamentu Europejskiego i Rady UE 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych); dalej jako: "RODO"., braku wyjaśnienia przyczyn przyjęcia konieczności wykazania podstawy prawnej z art. 6 ust. 1 RODO przez podmiot przetwarzający, braku precyzyjnego określenia sposobu naruszenia art. 5 ust. 1 lit. a oraz art. 5 ust. 1 lit. d RODO przez podmiot przetwarzający i przypisania odpowiedzialności za naruszenie tych przepisów podmiotowi przetwarzającemu, co miało istotny wpływ na wynik sprawy, ponieważ uniemożliwiło kontrolę instancyjną zaskarżonego wyroku. Omawiany zarzut zasługuje na uwzględnienie. Przypomnieć należy, że zarzut naruszenia art. 141 § 4 p.p.s.a. może być skutecznie postawiony w dwóch przypadkach: gdy uzasadnienie wyroku nie zawiera wszystkich elementów, wymienionych w tym przepisie i gdy w ramach przedstawienia stanu sprawy, wojewódzki sąd administracyjny nie wskaże, jaki i dlaczego stan faktyczny przyjął za podstawę orzekania (por. uchwałę NSA z dnia 15 lutego 2010 r., sygn. akt: II FPS 8/09, LEX nr 552012, wyrok NSA z dnia 20 sierpnia 2009 r., sygn. akt: II FSK 568/08, LEX nr 513044). Za jego pomocą nie można skutecznie zwalczać prawidłowości przyjętego przez sąd stanu faktycznego, czy też stanowiska sądu co do wykładni bądź zastosowania prawa materialnego. Podkreślenia wymaga, że skoro z treści art. 141 § 4 p.p.s.a. wynika, że uzasadnienie wyroku musi zawierać opis stanu faktycznego sprawy oraz stanowisk stron postępowania, w tym wskazanie zarzutów skargi i argumentację strony przeciwnej oraz stanowisko sądu wraz z właściwie uzasadnioną podstawą prawną, to należy przyjąć, że zamieszczenie w uzasadnieniu tych elementów ma umożliwić odtworzenie sposobu rozumowania sądu, które doprowadziło do danego rozstrzygnięcia. Wadliwość uzasadnienia orzeczenia może stanowić przedmiot skutecznego zarzutu kasacyjnego z art. 141 § 4 p.p.s.a. w sytuacji, gdy sporządzone jest ono w taki sposób, że niemożliwa jest kontrola instancyjna zaskarżonego wyroku, a dzieje się tak wówczas, gdy nie ma możliwości jednoznacznej rekonstrukcji podstawy rozstrzygnięcia. Taka sytuacja zaistniała w realiach niniejszej sprawy. W niniejszej sprawie Wojewódzki Sąd Administracyjny w Warszawie nie zrealizował wymogu należytego wyjaśnienia podstawy prawnej oraz motywów rozstrzygnięcia. Sposób wykonania przez Wojewódzki Sąd Administracyjny w Warszawie wynikającego z art. 141 § 4 p.p.s.a. obowiązku wskazania w uzasadnieniu wyroku obok faktycznej, także i prawnej podstawy rozstrzygnięcia oraz jej wyjaśnienia, nie pozostaje bez wpływu na możliwość skontrolowania trafności rozstrzygnięcia przez Naczelny Sąd Administracyjny. Niewątpliwie, jak już wskazywano, uzasadnienie wyroku sądu pierwszej instancji powinno być sporządzone w sposób umożliwiający instancyjną kontrolę zaskarżonego wyroku. Dlatego też obowiązkiem wojewódzkiego sądu administracyjnego jest wyjaśnienie motywów podjętego rozstrzygnięcia w taki sposób, który umożliwi przeprowadzenie kontroli instancyjnej zaskarżonego orzeczenia, wówczas gdy strona postępowania poprzez wniesienie skargi kasacyjnej żąda jego kontroli. Tymczasem analiza uzasadnienia wyroku wydanego w niniejszej sprawie prowadzi do wniosku, że Wojewódzki Sąd Administracyjny w Warszawie pominął w swoich własnych rozważaniach konieczność wyjaśnienia kwestii zasadniczej rozpoznawanej sprawy, a ponadto uzasadnienie Sądu I instancji zawiera sprzeczne ze sobą i wykluczające się oceny. Z jednej strony Wojewódzki Sąd Administracyjny w Warszawie wskazuje, że "co do zasady" zgadza się z tym, że podmiot przetwarzający powinien legitymować się podstawą prawną przetwarzania danych osobowych wynikającą wyłącznie z art. 28 ust. 3 RODO, tj. umowy powierzenia i jest zobowiązany działać zgodnie z jej treścią, a to administrator jest jedynie odpowiedzialny za przestrzeganie zasad. Z drugiej zaś strony Sąd I instancji obarcza podmiot przetwarzający w niniejszej sprawie odpowiedzialnością za niewykonanie obowiązku z art. 5 ust. 1 lit. d RODO, tj. tzw. zasady prawidłowości danych wprowadzającej obowiązek podjęcia wszelkich rozsądnych działań, aby dane osobowe, które są nieprawidłowe w świetle celów ich przetwarzania zostały niezwłocznie usunięte lub sprostowane. Podkreślenia w tym kontekście wymaga, że w ust. 2 art. 5 RODO wskazano, że to administrator jest odpowiedzialny za przestrzeganie m.in. ww. zasady i musi być w stanie wykazać jej przestrzeganie. Powyższe mogłoby zatem prowadzić do wniosku, że Sąd I instancji uznał podmiot przetwarzający za administratora w tym zakresie, jednak nie wyjaśnił przy tym na jakiej podstawie i z jakich przyczyn takiej kwalifikacji dokonał, co miało istotny wpływ na wynik sprawy. Ponadto, słusznie strona skarżąca kasacyjnie wskazała w uzasadnieniu skargi kasacyjnej, że kolejną kwestią mającą zasadnicze znaczenie w niniejszej sprawie, w kontekście jej okoliczności faktycznych, było wyjaśnienie przez Sąd I instancji rozumienia pojęcia dłużnik, a także danych dłużnika. Wojewódzki Sąd Administracyjny w Warszawie ograniczył się w tym zakresie jedynie do lakonicznego stwierdzenia, że uczestniczka postępowania nie była dłużniczką administratora, ani też osobą uprawnioną do reprezentacji dłużnika. Sąd I instancji nie wykazał jednak podstawy dokonanej kwalifikacji i oceny charakteru uczestniczki postępowania w niniejszej sprawie. Tymczasem dopiero w konsekwencji poczynienia wyczerpujących ustaleń w powyższym zakresie możliwe było dokonanie oceny czynności podjętych przez organ w sprawie dotyczącej przetwarzania jej danych osobowych. Brak odniesienia się przez Sąd I instancji w uzasadnieniu zaskarżonego wyroku do powyższych problemów jest równoznaczny z brakiem odniesienia się do kluczowej w sprawie kwestii i prowadzi do konieczności stwierdzenia naruszenia przez Wojewódzki Sąd Administracyjny w Warszawie art. 141 § 4 p.p.s.a. Jednocześnie wyjaśnić należy, że w związku z uwzględnieniem zarzutu naruszenia przez Sąd I instancji art. 141 § 4 p.p.s.a., przedwczesne byłoby wyrażanie przez Naczelny Sąd Administracyjny stanowiska w kwestiach objętych pozostałymi zarzutami skargi kasacyjnej. W orzecznictwie Naczelnego Sądu Administracyjnego podkreśla się, że wadliwość uzasadnienia wyroku czyni przedwczesną ocenę pozostałych zarzutów skargi kasacyjnej (postanowienie NSA z dnia 22 maja 2014 r., II OSK 481/14; wyrok NSA z dnia 9 czerwca 2015 r., I GSK 465/15; wyrok NSA z dnia 27 stycznia 2021 r., I OSK 1880/19). Z wyżej wymienionych przyczyn Naczelny Sąd Administracyjny uznał, że zaszły podstawy do uchylenia wyroku i przekazania sprawy do ponownego rozpoznania Sądowi I instancji w oparciu o art. 185 § 1 p.p.s.a. Na podstawie art. 207 § 2 p.p.s.a. Naczelny Sąd Administracyjny odstąpił od zasądzenia zwrotu kosztów postępowania kasacyjnego. Zgodnie z tym przepisem "W przypadkach szczególnie uzasadnionych sąd może odstąpić od zasądzenia zwrotu kosztów postępowania kasacyjnego w całości lub w części". Skład orzekający doszedł do przekonania, że jeżeli istotną przyczyną sprawiającą, że doszło do postępowania kasacyjnego była wadliwość orzeczenia Sądu I instancji spowodowana wyłącznie uchybieniem tego Sądu w stopniu uzasadniającym uchylenie zaskarżonego orzeczenia, to brak dostatecznych podstaw do tego, by obciążyć skarżącego kosztami postępowania kasacyjnego na podstawie art. 203 pkt 2 p.p.s.a.