Wyrok - II SA/Wa 107/25 - Wojewódzki Sąd Administracyjny w Warszawie - z dnia 17 grudnia 2025
Teza
Oddalono skargę. Sprawy związane z ochroną danych osobowych. Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Sławomir Fularski (spr.), Sędzia WSA Andrzej Góraj, Asesor WSA Anna Pośpiech-Kłak, , po rozpoznaniu w trybie uproszczonym w dniu 17 grudnia 2025 r. sprawy ze skargi R. Z. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] grudnia 2024 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę UZASADNIENIE Prezes Urzędu Ochrony Danych Osobowych (dalej: "Prezes UODO", "organ") decyzją z [...] grudniaOddalono skargę. Sprawy związane z ochroną danych osobowych. Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Sławomir Fularski (spr.), Sędzia WSA Andrzej Góraj, Asesor WSA Anna Pośpiech-Kłak, , po rozpoznaniu w trybie uproszczonym w dniu 17 grudnia 2025 r. sprawy ze skargi R. Z. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] grudnia 2024 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę UZASADNIENIE Prezes Urzędu Ochrony Danych Osobowych (dalej: "Prezes UODO", "organ") decyzją z [...] grudnia
Najważniejsze informacje
W skrócie
Wynik
oddalono skargę
Przedmiot
skarga administracyjna / kontrola aktu administracyjnego
Typ sprawy
sprawa administracyjna / kontrola aktu administracyjnego
Etap
postępowanie administracyjne sądowe / skarga na decyzję lub akt
Tryb
posiedzenie niejawne
Tematy
skarga administracyjna
kontrola administracyjna
Role w sprawie
uczestnik postępowania
apelujący / skarżący
wnioskodawca
uczestnik
Data orzeczenia
17 grudnia 2025
Sąd
Wojewódzki Sąd Administracyjny w Warszawie
Przewodniczący
Andrzej Góraj
Podstawa prawna
art. 7
kpa
art. 77
kpa
art. 80
kpa
art. 24
kpa
art. 63
kpa
art. 120
ppsa
art. 119
ppsa
art. 106
ppsa
Pokaż pozostałe podstawy prawne (2)
Rozstrzygnięcie
Oddalono skargę
UZASADNIENIE
Prezes Urzędu Ochrony Danych Osobowych (dalej: "Prezes UODO", "organ") decyzją z [...] grudnia 2024 r. nr [...], działając na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2024 r., poz. 572), dalej: "k.p.a.", w związku z art. 7 ust. 1 i 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. 2019 r., poz. 1781), dalej: "u.o.d.o.", oraz art. 58 ust. 2 lit. c rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związkuz przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z 4.05.2016, str. 1, Dz. Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35, dalej: "RODO") po przeprowadzeniu postępowania administracyjnego w sprawie skargi R. Z. (dalej jako "skarżący") na nieprawidłowości w procesie przetwarzania jego danych osobowych przez [...] Sp. z o.o. z siedzibą w [...] (dalej też jako "Spółka"), polegające na niezrealizowaniu jego wniosku z [...] listopada 2023 r., złożonego w trybie art. 15 ust. 1 i 3 RODO, nakazał Spółce spełnienie żądania skarżącego w przedmiocie udzielenia mu informacji dotyczących przetwarzania jego danych osobowych, o których mowa w pkt 4 i 6 jego wniosku z [...] listopada 2023 r., tj. wskazania odbiorców jego danych osobowych oraz okresów ich przetwarzania oraz udostępnienia mu kopii wszystkich jego danych osobowych aktualnie przetwarzanych przez Spółkę.W uzasadnieniu decyzji organ wskazał, że do Urzędu Ochrony Danych Osobowych (UODO) wpłynęła skarga skarżącego na nieprawidłowości w procesie przetwarzania jego danych osobowych przez Spółkę, polegające na niezrealizowaniu jego wniosku z [...] listopada 2023 r., złożonego w trybie art. 15 ust. 1 i 3 RODO.W toku prowadzonego postępowania administracyjnego, Prezes UODO ustalił, że Spółka przetwarza jako administrator dane osobowe skarżącego w związkuz utworzeniem i prowadzeniem konta użytkownika na podstawie akceptacji regulaminu serwisu www.doz.pl w następującym zakresie: imię, nazwisko, numer telefonu, adres e-mail, data utworzenia konta, adres IP ostatniego logowania. Skarżący e-mailem z [...] listopada 2023 r. przesłanym na adres [...] powołując się na art. 15 RODO zwrócił się o udzielenie informacji: 1) jakie jego dane osobowe są przetwarzane? 2) kiedy zostały utrwalone? 3) w jaki sposób i od kogo zostały pozyskane? 4) kto był i jest odbiorcą jego danych osobowych? 5) jaki był i jest cel przetwarzania jego danych osobowych? 6) w jakim okresie jego dane osobowe były i będą przetwarzane? Ponadto skarżący zwrócił się o przesłanie kopii jego danych osobowych oraz wskazanie, kto, kiedy i w jaki sposób wydawał dyspozycje w zakresie jego danych osobowych i pobierał jego dane (kiedy) oraz czy w ich "firmie" doszło do wycieku danych osobowych i czy jego dane były nim objęte.Organ wskazał, że e-mailem z [...] listopada 2023 r., wysłanym na adres skarżącego, z którego pochodził ww. wniosek, inspektor ochrony danych Spółki przekazał skarżącemu następujące informacje: "W związku z otrzymanym wnioskiem na skrzynkę [...] w dniu [...] listopada 2023 r. uprzejmie informujemy, że: 1. Pana dane osobowe przetwarzamy w zakresie imię i nazwisko, numer telefonu ([...]), adres email ([...]), data utworzenia konta, adres IP ostatniego logowania na portalu [...] 2. Pana konto zostało utworzone przez Pana [...].01.2019 r. 3. Pana dane osobowe przetwarzamy na podstawie art. 6 ust. 1 lit. b) RODO w związku z utworzeniem i prowadzeniem konta użytkownika oraz akceptacją regulaminu korzystania z serwisu, szczegółowe informacje nt. przetwarzania danych osobowych dostępne są na stronie pod adresem https://www.doz.ol/info/politvka prywatności 4. Pańskie dane osobowe nie były objęte naruszeniem a w naszej infrastrukturze nie doszło do wycieku danych osobowych. W przypadku dalszych wątpliwości, pozostajemy do Pana dyspozycji." (dowód: kopia e-maila Spółki z [...] listopada 2023 r. do skarżącego).Prezes UODO ustalił nadto, że odnosząc się do realizacji ww. wniosku skarżącego Spółka wskazała, że poprzez powołanego inspektora ochrony danych udzieliła skarżącemu [...] listopada 2023 r. odpowiedzi, która zawierała informacjeo zakresie danych osobowych, podstawie prawnej, dodatkowych informacjach związanych z przetwarzaniem danych osobowych w tym o kategoriach odbiorców, sposobie pozyskania danych i dacie ich utrwalenia. Spółka potwierdziła, że dane osobowe skarżącego nie były objęte naruszeniem lub wyciekiem.W związku z powyższym, organ zauważył, że z zebranego w sprawie materiału wynika, że Spółka udzieliła skarżącemu odpowiedzi na jego wniosek z [...] listopada 2023 r. e-mailami z [...] listopada 2023 r. Tym samym stwierdzić należy, że odpowiedź została udzielona w terminie przewidzianym w art. 12 RODO, niemniej jednak nie zawierała ona wszystkich wnioskowanych przez skarżącego informacji, tj. Spółka nie udzieliła skarżącemu informacji wnioskowanych w punkcie 4 i 6 wniosku z [...] listopada 2023 r. oraz nie udostępniła skarżącemu kopii wszystkich jego danych osobowych przetwarzanych przez Spółkę, ograniczając się do wskazania przetwarzanego jego numeru telefonu oraz adresu e-mail. Za prawidłowe nie można uznać realizacji wniosku wynikającego z art. 15 RODO poprzez udzielenie odpowiedzi poprzez odesłanie do ogólnych informacji dotyczących przetwarzania danych osobowych dostępnych na stronie internetowej Spółki w polityce prywatności.Prezes UODO wyjaśnił przy tym, że ogólnym celem prawa dostępu jest zapewnienie osobom fizycznym wystarczających, przejrzystych i łatwo dostępnych informacji na temat przetwarzania ich danych osobowych, tak aby mogły one mieć świadomość przetwarzania i móc zweryfikować zgodność przetwarzania z prawem oraz prawidłowość przetwarzanych danych. O ile wyraźnie nie stwierdzono inaczej, żądanie należy rozumieć jako odnoszące się do wszystkich danych osobowych odnoszących się do osoby, której dane dotyczą. W przypadku gdy osoba, której dane dotyczą, występuje z żądaniem dostępu do swoich danych, co do zasady informacje, o których mowa w art. 15 RODO, powinny być przekazywane w całości. W związku z tym, jeżeli administrator przetwarza dane dotyczące osoby, której dane dotyczą, przekazuje on wszystkie informacje, o których mowa w art. 15 ust. 1, oraz - w stosownych przypadkach - informacje, o których mowa w art. 15 ust. 2. Administrator musi wprowadzić odpowiednie środki w celu zapewnienia, by informacje były kompletne, prawidłowei aktualne oraz jak najlepiej odpowiadały stanowi przetwarzania danych w momencie otrzymania żądania. Ocena przetwarzanych danych powinna jak najlepiej odzwierciedlać sytuację, w której administrator otrzymał żądanie, a odpowiedź powinna obejmować wszystkie dane dostępne w danym momencie. Administratorzy nie są zatem zobowiązani do przekazywania danych osobowych, które przetwarzaliw przeszłości, ale którymi już nie dysponują.Dodatkowo organ wskazał, że ma na względzie wytyczne Europejskiej Rady Ochrony Danych Osobowych, z których wynika, że informacji udziela się na dzień otrzymania żądania, niemniej jako, że istotą prawa dostępu do danych przez osobę, której dane dotyczą jest jej prawo do kontroli nad własnymi danymi osobowymi, tow przedmiotowej sprawie biorąc pod uwagę w szczególności znaczny upływ czasu od daty żądania do jego realizacji oraz pozyskanie przez Spółkę nowych danych dotyczących skarżącego, zasadnym jest nakazanie Spółce spełnienie żądania w jak najszerszym zakresie, tj. uwzględniając dane przetwarzane na dzień wydania niniejszej decyzji. Prezes UODO w każdym przypadku bada zasadność skierowania pod adresem określonego podmiotu nakazu odpowiadającego dyspozycji art. 58 ust. 2 RODO służącego przywróceniu stanu zgodnego z prawem w procesie przetwarzania danych.W z związku z powyższym, Prezes UODO wskazał, że korzystając z kompetencji przyznanej mu na mocy art. 58 ust. 2 lit. c RODO, nakazał Spółce spełnienie żądania skarżącego w związku z jego żądaniem z [...] listopada 2023 r. w przedmiocie udzielenia informacji dotyczących przetwarzania jego danych osobowych, o które wnioskowałw pkt 4 i 6 wniosku oraz o udostępnienie mu kopii jego danych, z uwzględnieniem zakresu jego danych osobowych przetwarzanych na dzień wydania niniejszej decyzji.Pismem z 29 grudnia 2024 r. skarżący wniósł do Wojewódzkiego Sądu Administracyjnego w Warszawie skargę na powyższą decyzję Prezesa UODO z [...] grudnia 2024 r. zarzucając naruszenie:1. art. 7 k.p.a. w zw. z art. 77 § 1 k.p.a. oraz art. 80 k.p.a. - poprzez brak wszechstronnego zebrania i oceny dowodów oraz brak ich oceny w sposób swobodny, zgodnie z wiedzą i doświadczeniem życiowym, co skutkowało m.in. przyjęciem, że Spółka udzieliła odpowiedzi na wniosek skarżącego w dniu [...] listopada 2023 r., podczas gdy już w ramach innego postępowania zawisłego przed WSA w Warszawie za sygn. akt II SA/Wa 1479/24 okoliczność ta jest kwestionowana i znana organowiz urzędu; a tym samym danie wiary kwestionowanym już wyjaśnieniom Spółki. Pominięcie także, że wbrew twierdzeniom Spółki miała ona odpowiedzieć na wniosek skarżącego w dniu [...] listopada 2023 r., a korespondencją z [...] grudnia 2023 r. [...] S.A. w [...] poinformowała skarżącego, że dopiero przekazuje sprawę do odpowiedniego działu.2. art. 24 § 3 k.p.a. - poprzez brak wyłączenia z urzędu pracowników organu, tj. A. O. oraz M. R., którzy brali udział w wydawaniu zaskarżanej już decyzji nr [...], w ramach toczącego się postępowania przez WSAw Warszawie o sygn. akt II SA/Wa 1479/24 i nie byli w sprawie bezstronni, a tym samym przedłożyli ustalenia z poprzedniego postępowania, na wydanie obecnie zaskarżanej decyzji.3. art. 4 pkt 2 RODO - poprzez pominięcie, że przetwarzanie danych osobowych może odbywać się w sposób zautomatyzowany oraz niezautomatyzowany, a katalog czynności określających przetwarzanie danych osobowych jest otwarty.4. art. 13 ust. 1 pkt. a - f, ust. 2 pkt. a - f i ust. 3 RODO oraz art. 14 ust. 1 i 2 RODO - poprzez ich pominięcie w sprawie oraz całkowite pominięcie, że Spółka przetwarza dane skarżącego m.in. w zakresie korespondencji uzyskanej od [...] S.A.w [...], w zakresie wniosków skarżącego złożonych w myśl przepisów RODO, oraz pism uzyskanych od organu z danymi skarżącego w toku postępowania administracyjnego.5. art. 15 ust. 1 i 3 RODO poprzez błędne przyjęcie, że Spółka udzieliła informacji skarżącemu, na wniosek z [...] listopada 2023 r. podczas, gdy skarżący uzyskał z DOZ S.A. w [...] wyłącznie informacje załączone do skargi, nie uzyskał rzekomej odpowiedzi z [...] listopada 2023 r., korespondencji ze Spółką, a ostatnia odpowiedź [...] S.A. w [...] dotyczy wyłącznie przekazania wniosku do odpowiedniego działu Administratora - nie ma mowy o przekazaniu do innego podmiotu, czy odpowiedzi zgodnej z wnioskiem. W ocenie skarżącego Spółka w tym zakresie wprowadziła Prezesa UODO w błąd.W związku z powyższym, skarżący wniósł o uchylenie zaskarżonej decyzjii przekazanie sprawy do organu do ponownego rozpoznania; przeprowadzenie dowodów z dokumentów załączonych do przedmiotowej skargi, na okoliczności wskazane w uzasadnieniu oraz przeprowadzenie dowodów z dokumentów ze sprawy tutejszego Sądu o sygn. akt II SA/Wa 1479/24.W uzasadnieniu skargi wskazał, że niniejsze postępowanie przed organem zostało zainicjowane skargą z [...] sierpnia 2024 r., tj. po uzyskaniu w ramach innej decyzji tego organu, że wniosek skarżącego z [...] listopada 2023 r. miał zostać przekazany przez [...] S.A. z siedzibą w [...] do Spółki i nieprawdziwą informacją, że [...] listopada 2023 r. skarżący miał uzyskać odpowiedź od Spółki. Poprzednie postępowanie, dotyczące [...] S.A. z siedzibą w Warszawie było zarejestrowane w UODO za nr [...]. Obecnie sprawa zawisła przed WSA w Warszawie za sygn. akt II SA/Wa 1479/24. Już w skardze inicjującej postępowanie podniesione zostało, że skarżący nie otrzymał odpowiedzi datowanej na [...] listopada 2023 r. Mimo to, organ bez ponownych i rzetelnych ustaleń w tym zakresie, np. przez sprawdzenie systemu, poczty Spółki wydał decyzję o tożsamych ustaleniach, co już zaskarżana i kwestionowanym stanie ustalonym przez Prezesa UODO. Dodatkowo do prowadzenia obu spraw wyznaczeniu zostali ci sami pracownicy, tj. A. O. i M. R., którzy chcąc utrzymać swoje poprzednie ustalenia, przedłożyli je na zaskarżaną decyzję, mimo że z urzędu było im wiadomo, że sprawa jest obecnie rozpatrywana przez tutejszym Sądem i to właśnie w tym kwestionowanym zakresie. Pracownicy ci nie byli więc bezstronni. Dlatego też, w ocenie skarżącegow myśl art. 24 § 3 k.p.a. Prezes UODO powinien z urzędu wyłączyć tych pracowników od rozpatrywania przedmiotowej sprawy.Skarżący wskazał, że po przeprowadzeniu postępowania administracyjnego Prezes UODO wydał zaskarżoną decyzję w której powielił ustalenia z postępowania poprzedniego dotyczącego innej spółki, tj. [...] S.A. w [...]. Ze stanowiskiemi ustaleniami Prezesa UODO nie sposób się zgodzić, m.in. w zakresie powołanych jużw sprawie II SA/Wa 1479/24 zarzutów oraz tych wskazanych wyżej.Skarżący wskazał, że organ błędnie przyjął, iż Spółka udzieliła odpowiedzi na jego wniosek i przekazała pełne informacje w dniu [...] listopada 2023 r. Zdaniem Skarżącego Prezes UODO błędnie, dobrowolnie i z naruszeniem swobody ocenił materiał dowodowy oraz zaniechał inicjatywy dowodowej, zwłaszcza w zakresie różnych stanowisk stron, co było organowi znane z urzędu - m.in. w zakresie sprawyo sygn. akt II SA/Wa 1479/24. Organ nie dokonał weryfikacji stanowisk stron, a nadto ponownie nie wskazał, dlaczego oświadczeniom skarżącego o braku otrzymania informacji z [...] listopada 2023 r. nie daje wiarygodności. Zupełnie pominął dyspozycję wynikającą z art. 13 RODO. Po otrzymaniu wniosku skarżącego Spółka udzieliła informacji wynikającej z tego przepisu, lecz jest ona w ocenie skarżącego niekompletna. Brak jest bowiem m.in. informacji objętej art. 13 ust. 1 lit. e) RODO, art. 13 ust. 2 lit. a, d, f RODO oraz art. 13 ust. 3 RODO. Z uwagi na działania Spółki oraz [...] S.A.z siedzibą w [...] w zakresie rzekomego wysłania korespondencji z [...] listopada 2023 r. przedłożonej do postępowania administracyjnego jako autentycznej, skarżący poinformował zaś organy ścigania.W odpowiedzi na skargę organ wniósł o oddalenie skargi. Podtrzymując swoją dotychczasową argumentację w sprawie uznał zarzuty skargi za niezasadne.W piśmie procesowym z 13 lutego 2025 r. skarżący podtrzymując swoją dotychczasową argumentację dodatkowo wniósł o:- zwrócenie się do [...] o informację, czy na skrzynkę skarżącego [...] wpłynęła w dniu [...] listopada 2023 r. wiadomość ze skrzynki [...], oraz czy została odczytana i co się z nią stało, do jakiego folderu trafiła, a w przypadku dostawy na skrzynkę, czy została usunięta, kiedy? Czy ewentualne usunięcie było automatyczne, np. z folderu "spam" czy przez kliknięcie użytkownika, lub informację, że taka wiadomość nie została doręczona na skrzynkę skarżącego - ewentualnie po uchyleniu decyzji zobowiązanie do tego PUODO- po ustaleniu dostawy usługi poczty elektronicznej Spółki, zwrócenie się do tego dostawcy o informacje, czy w dniu [...] listopada 2023 r. o godz. 11:39 została faktycznie wysłana ze skrzynki: [...] na adres [...] wiadomość e-mail i jaką miała ewentualnie treść, tytuł, oraz, czy nie było jakichkolwiek problemów ze skrzynką i wiadomość została poprawnie wysłana, lub informację, że takiej wiadomości nie było oraz udostępnienie logów tej operacji dotyczących wysyłki ww. wiadomości.Skarżący z ostrożności procesowej wniósł nadto o zawieszenie przedmiotowego postępowania, do czasu zakończenia postępowania przed prokuraturą z zawiadomienia skarżącego.W piśmie procesowym z 24 lutego 2025 r. stanowiącym odpowiedź na skargę Spółka jako uczestnik postępowania wniosła o oddalenie skargi w całości.W uzasadnieniu Spółka wskazała, że zarzuty stawiane przez skarżącego są niezasadne i nie zasługują na uwzględnienie. Odnosząc się do zarzutu dotyczącego braku otrzymania przez skarżącego e- maila z [...] listopada 2023 r. zauważyła, że na screenach przedstawionych przez skarżącego jako dowody na fakt nieotrzymania ww. maila dokonuje on jedynie prostego przeszukania poczty [...]. Zgodnie zaśz zasadami funkcjonowania tej poczty oraz sposobem działania wyszukiwania,w przypadku dokonywania jedynie prostego wyszukiwania wyniki nie uwzględniają maili zgromadzonych w domyślnym folderze "kosz" oraz "spam". Przeszukanie skrzynki nie zostało zatem przeprowadzone w sposób, który pozwalałby na pełną analizę zawartości konta poczty elektronicznej. Zgodnie z domyślnymi parametrami poczty [...], wiadomości z folderu Spam oraz Kosz usuwane są automatycznie po 30 dniach, bez jakiejkolwiek ingerencji użytkownika. Modyfikacja tych parametrów jest w przypadku większości użytkowników [...] (bez licencji biznesowej) niemożliwa. W takim przypadku nie zostaną one wyszukane po upływie tego terminu, nawet pomimo wyboru dodatkowych parametrów wyszukiwania, jeżeli zostały całkowicie usunięte z tych folderów. Tym samym trudno zgodzić się z kategorycznym twierdzeniem skarżącego, że przedmiotowego maila nie otrzymał na swoją skrzynkę - nie jest bowiem wykluczone i w praktyce istnieje wysokie prawdopodobieństwo, że wiadomość mogła trafić np. do spamu, następnie została automatycznie usunięta przez [...], czego skarżący nie zauważył. Wiadomość mogła również zostać odrzucona przez [...] z powodu innych czynników technicznych lub klasyfikacyjnych. Co więcej - nawet zakładając, że skarżący nie odczytał wiadomości nie oznacza to, że wiadomość nie została wysłanai dostarczona skarżącemu z zachowaniem właściwego terminu, a więc że administrator nie wywiązał się z ciążącego na nim obowiązku. RODO zobowiązuje do odpowiedniej dbałości i należytej staranności, jednak administrator nie może odpowiadać za to, że adresat z przyczyn innych niż leżące po stronie administratora nie zapoznał się z treścią kierowanej do niego korespondencji - skutecznie wysłanej i odebranej.Spółka wskazała, że skarżący przez okres od listopada 2023 r. do czasu złożenia skargi do organu nie podjął dodatkowych prób wyjaśnienia ani kontaktu innymi środkami z administratorem. Podkreśliła, że skarżący zapoznał się z informacjami,o które wnioskował w listopadzie 2023 r. już w 2019 r. podczas zakładania konta użytkownika.Spółka zauważyła, że zgodnie z motywem 63 RODO, każda osoba, której dane dotyczą, ma prawo do dostępu do swoich danych by "mieć świadomość przetwarzaniai móc zweryfikować zgodność przetwarzania z prawem". W toku postępowania skarżący - choćby z kopii akt - otrzymał kopię wiadomości, która została do niego wysłana, miał możliwość się z nią zapoznać, więc ma - lub z obiektywnego punktu widzenia powinien mieć - świadomość i możliwość, o której mowa w motywie 63 RODO. Zatem nawet jeżeli skarżący nie zapoznał się z treścią adresowanej do niego korespondencji wcześniej, jego uprawnienie zostało zaspokojone na etapie postępowania sądowo -administracyjnego, co z perspektywy zasad współżycia społecznego sprawia, że żądania skarżącego są bezprzedmiotowe i nie zmierzają już do zaspokojenia lub realizacji jego uprawnień.W piśmie procesowym z 17 marca 2025 r. Spółka podtrzymując swoje dotychczasowe stanowisko w sprawie wskazała, że podnoszone przez skarżącego wnioski dowodowe, w jej ocenie powoływane są na fakty już w toku sprawy udowodnione i służą wyłącznie przedłużeniu niniejszego postępowania. Dlatego też Spółka wnosi o ich oddalenie.W piśmie procesowym z 22 marca 2025 r. skarżący ponawiając swój wnioseko zawieszenie przedmiotowego postępowania do czasu zakończenia postępowania przed prokuraturą z jego zawiadomienia, wskazał, że sprawę nadzoruje Prokuratura Rejonowa [...].Z kolei w piśmie procesowym z 13 lipca 2025 r. skarżący wniósł o zawieszenie przedmiotowego postępowania do czasu rozstrzygnięcia postępowania przed Naczelnym Sądem Administracyjnym z jego skargi kasacyjnej od wyroku tutejszego Sadu z 7 maja 2025 r. wydanego w sprawie o sygn. akt II SA/Wa 1479/24.Postanowieniem z 16 grudnia 2025 r. sygn. akt II SA/Wa 107/25 Wojewódzki Sąd Administracyjny w Warszawie odmówił zawieszenia postępowania.Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje:Zgodnie z art. 1 § 1 i 2 ustawy z dnia 25 lipca 2002 r. - Prawo o ustroju sądów administracyjnych (Dz. U. z 2024 r., poz. 1267 ze zm.), sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej, sprawowaną pod względem zgodności z prawem, jeżeli ustawy nie stanowią inaczej. Na podstawie art. 134 § 1 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2024 r., poz. 935 zwanej dalej "p.p.s.a.") Sąd przy rozstrzyganiu sprawy nie jest związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną.Uwzględniając powyższe kryteria Sąd stwierdził, że skarga nie zasługuje na uwzględnienie.Na wstępie wskazać należy, że sprawa została rozpoznana na podstawie art. 119 pkt 2 i art. 120 p.p.s.a. Przepisy te stanowią, że sprawa może być rozpoznanaw trybie uproszczonym, jeżeli strona zgłosi wniosek o skierowanie sprawy do rozpoznania w tym trybie, a żadna z pozostałych stron w terminie czternastu dni od zawiadomienia o złożeniu wniosku nie zażąda przeprowadzenia rozprawy. Sąd rozpoznaje sprawę w trybie uproszczonym w składzie trzech sędziów. Przesłanka z art. 119 pkt 2 p.p.s.a. została spełniona, bowiem Prezes UODO (w odpowiedzi na skargę) wniósł o rozpoznanie sprawy w trybie uproszczonym, zaś skarżący wyraził zgodę na przeprowadzenie sprawy przed sądem na posiedzeniu niejawnym (pismo z 13 lutego 2025 r.).Przypomnieć wypada, że skarżący zainicjował postępowanie administracyjnew niniejszej sprawie skargą do organu na nieprawidłowości w procesie przetwarzania jego danych osobowych przez [...] Sp. z o.o. z siedzibą w [...], polegające na niespełnieniu jego żądania wynikającego z art. 15 ust. 1 i 3 RODO.Przedmiotowa skarga dotyczyła nieprawidłowości w procesie przetwarzania danych skarżącego przez ww. Spółkę i od tego podmiotu (jako administratora danych) skarżący oczekiwał wykonania prawa dostępu do danych osobowych zgodniez dyspozycją art. 15 RODO.W związku z powyższym wskazać należy, że podstawę skargi kierowanej do Prezesa UODO stanowił art. 77 ust. 1 RODO, zgodnie z którym bez uszczerbku dla innych administracyjnych lub środków ochrony prawnej przed sądem każda osoba, której dane dotyczą, ma prawo wnieść skargę do organu nadzorczego, w szczególności w państwie członkowskim swojego zwykłego pobytu, swojego miejsca pracy lub miejsca popełnienia domniemanego naruszenia, jeżeli sądzi, że przetwarzanie danych osobowych jej dotyczące narusza niniejsze rozporządzenie.Skarga do organu nadzorczego, jako środek wnioskowy, wymaga określonej aktywności podmiotów uprawnionych do jej złożenia. Rozpatrzenie skargi złożonej przez osobę uprawnioną, należy do kompetencji, a jednocześnie do obowiązków organu nadzorczego, który w myśl art. 57 ust. 1 lit. f RODO rozpatruje skargę,w odpowiednim zakresie prowadzi postępowanie w przedmiocie tej skargii w rozsądnym terminie informuje skarżącego o postępach i wynikach tych postępowań. Zakres prowadzonego postępowania wyznacza treść skargi, do czego nawiązuje motyw 141 preambuły RODO, w którym wskazano, że "postępowanie wyjaśniające na podstawie skargi powinno być prowadzone - z zastrzeżeniem kontroli sądowej -w zakresie odpowiadającym konkretnej sprawie". Tę "konkretną sprawę" wyznacza żądanie skargi skierowanej do organu nadzorczego, tak w zakresie przedmiotowym (przedmiot żądania), jak i podmiotowym (podmiot, którego skarga na nieprawidłowości w procesie przetwarzania danych osobowych dotyczy, tj. administrator, współadministrator, podmiot przetwarzający).Skarga do organu nadzorczego w trybie art. 77 ust. 1 RODO, jako pismo inicjujące postępowanie administracyjne w indywidualnej sprawie, stanowi "podanie"w rozumieniu art. 63 § 1 k.p.a. w związku z art. 7 u.o.d.o. Złożenie podania jest czynnością dyspozytywną wnioskodawcy. Obligatoryjnym elementem podania jest wskazanie żądania (art. 63 § 2 k.p.a.). Przy czym organ jest związany żądaniem, które wyznacza rodzaj i granice postępowania administracyjnego i nie jest uprawniony do swobodnego kształtowania treści żądania czy zmiany jego kwalifikacji prawnej. To wnioskodawcy przysługuje prawo do sprecyzowania czy też do modyfikacji pierwotnie złożonego wniosku (żądania), zaś zmiana treści wniosku w tym zakresie wiąże organ prowadzący postępowanie (por. wyroki NSA: z 7 maja 2020 r., sygn. akt I OSK 214/2010; z 30 stycznia 2013 r., sygn. akt II OSK 1812/11; z 4 grudnia 2014r., sygn. akt II OSK 2607/14; z 24 lutego 2020 r., sygn. akt II OSK 3795/18; prawomocny wyrok WSA w Warszawie z 14 października 2020 r., sygn. akt II SA/Wa 2829/19; CBOSA).W niniejszej sprawie Prezes UODO był więc związany podmiotowymi przedmiotowym zakresem skargi z 12 sierpnia 2024 r., której treść nie budziła wątpliwości. Jako podmiot skarżony wskazana została Spółka, a jako przedmiot żądania - wykonanie prawa dostępu do danych poprzez udzielenie informacji w myśl art. 15 RODO.Zgodnie z art. 15 RODO osoba, której dane dotyczą, jest uprawniona do uzyskania od administratora potwierdzenia, czy przetwarzane są dane osobowe jej dotyczące, a jeżeli ma to miejsce, jest uprawniona do uzyskania dostępu do nich oraz następujących informacji: a) cele przetwarzania; b) kategorie odnośnych danych osobowych; c) informacje o odbiorcach lub kategoriach odbiorców, którym dane osobowe zostały lub zostaną ujawnione, w szczególności o odbiorcach w państwach trzecich lub organizacjach międzynarodowych; d) w miarę możliwości planowany okres przechowywania danych osobowych, a gdy nie jest to możliwe, kryteria ustalania tego okresu; e) informacje o prawie do żądania od administratora sprostowania, usunięcia lub ograniczenia przetwarzania danych osobowych dotyczącego osoby, której dane dotyczą, oraz do wniesienia sprzeciwu wobec takiego przetwarzania; f) informacjeo prawie wniesienia skargi do organu nadzorczego; g) jeżeli dane osobowe nie zostały zebrane od osoby, której dane dotyczą - wszelkie dostępne informacje o ich źródle; h) informacje o zautomatyzowanym podejmowaniu decyzji, w tym o profilowaniu, o którym mowa w art. 22 ust. 1 i 4, oraz - przynajmniej w tych przypadkach - istotne informacjeo zasadach ich podejmowania, a także o znaczeniu i przewidywanych konsekwencjach takiego przetwarzania dla osoby, której dane dotyczą.W myśl art. 15 ust. 2 RODO jeżeli dane osobowe są przekazywane do państwa trzeciego lub organizacji międzynarodowej, osoba, której dane dotyczą, ma prawo zostać poinformowana o odpowiednich zabezpieczeniach, o których mowa w art. 46, związanych z przekazaniem.Stosownie do art. 15 ust. 3 RODO administrator dostarcza osobie, której dane dotyczą, kopię danych osobowych podlegających przetwarzaniu. Za wszelkie kolejne kopie, o które zwróci się osoba, której dane dotyczą, administrator może pobrać opłatę w rozsądnej wysokości wynikającej z kosztów administracyjnych. Jeżeli osoba, której dane dotyczą, zwraca się o kopię drogą elektroniczną i jeżeli nie zaznaczy inaczej, informacji udziela się w powszechnie stosowanej formie elektronicznej.Prawo do uzyskania kopii, o której mowa w ust. 3, nie może niekorzystnie wpływać na prawa i wolności innych (art. 15 ust. 4 RODO).Realizacja uprawnień określonych w art. 15 RODO, w odróżnieniu od prawa do informacji zagwarantowanego w art. 13 czy art. 14 RODO, wymaga inicjatywy samego podmiotu danych. Oznacza to, że wykonanie prawa dostępu do danych osobowych zgodnie z art. 15 RODO ma miejsce na skutek wystąpienia podmiotu danychz żądaniami określonymi w ww. przepisie.Jak wynika z akt sprawy, skarżący we wniosku z [...] listopada 2023 r. kierowanym do Spółki powołując się na art. 15 RODO zwrócił się o udzielenie informacji: 1) jakie jego dane osobowe są przetwarzane? 2) kiedy zostały utrwalone? 3) w jaki sposób i od kogo zostały pozyskane? 4) kto był i jest odbiorcą jego danych osobowych? 5) jaki był i jest cel przetwarzania jego danych osobowych? 6) w jakim okresie jego dane osobowe były i będą przetwarzane? Ponadto skarżący zwrócił sięo przesłanie kopii jego danych osobowych oraz wskazanie, kto, kiedy i w jaki sposób wydawał dyspozycje w zakresie jego danych osobowych i pobierał jego dane (kiedy) oraz czy w ich "firmie" doszło do wycieku danych osobowych i czy jego dane były nim objęte. W toku prowadzonego przez organ postępowania administracyjnego, Spółka wyjaśniła, że e-mailem z [...] listopada 2023 r., wysłanym na adres skarżącego,z którego pochodził ww. wniosek, inspektor ochrony danych Spółki udzielił odpowiedzi. Przedmiotowa odpowiedź zawierała informacje o zakresie danych osobowych skarżącego, podstawie prawnej, dodatkowych informacjach związanychz przetwarzaniem danych osobowych w tym o kategoriach odbiorców, sposobie pozyskania danych i dacie ich utrwalenia, tj. w zakresie pkt 1, 2, 3 i 5 wniosku skarżącego (k. 8 verte akt administracyjnych).W związku więc z powyższym, Prezes UODO prawidłowo, w wyniku przeprowadzonego postępowania administracyjnego wydał zaskarżoną decyzję, mocą której nakazał Spółce spełnienie żądania skarżącego w przedmiocie udzielenia mu informacji dotyczących przetwarzania jego danych osobowych, o których mowa w pkt 4 i 6 jego wniosku z [...] listopada 2023 r., tj. wskazania odbiorców jego danych osobowych oraz okresów ich przetwarzania oraz udostępnienia mu kopii wszystkich jego danych osobowych aktualnie przetwarzanych przez Spółkę.W ocenie Sądu, wbrew zarzutowi skargi, organ zgromadził pełny materiał dowodowy i dokonał jego oceny w sposób rzetelny, wyczerpujący nie naruszając art. 7, art. 77 i art. 80 k.p.a. w sposób mogący mieć istotny wpływ na wynik sprawy. Prezes UODO korzystając z instrumentów prawnych określonych w art. 58 ust. 1 lit. a) i e) RODO, w toku prowadzonego postępowania zwracał się do Spółki będącej podmiotem skarżonym oraz skarżącego o złożenie pisemnych wyjaśnień oraz potwierdzających je dowodów w niniejszej sprawie. Wydanie decyzji zostało poprzedzone dokładnym zbadaniem okoliczności faktycznych sprawy oraz zebraniem niezbędnegoi wystarczającego oraz wewnętrznie spójnego materiału dowodowego. Organ wziął pod uwagę zarówno składane przez Spółkę wyjaśnienia wraz załącznikami - kopia korespondencji przeprowadzonej przez inspektora ochrony danych Grupy kapitałowej DOZ, jak i treść skargi skarżącego wraz z załącznikami. Organ działał także zgodniez art. 8 § k.p.a. prowadząc postępowanie w sposób budzący zaufanie jego uczestników do władzy publicznej, kierując się zasadami proporcjonalności, bezstronności i równego traktowania.Zgodzić się należy z Prezesem UODO, że skarżący w swojej skardze do tutejszego Sądu błędnie odnosi się do odrębnego od niniejszego postępowania, którego stronami byli skarżący i [...] z siedzibą w [...]. Pomimo, że postępowanie w niniejszej sprawie zainicjowane zostało po uzyskaniu przez skarżącego informacji wskazanych w decyzji z [...] sierpnia 2024 r. wydanej w tamtej sprawie, jest ono odrębnym postępowaniem i nie dotyczy [...] z siedzibą w [...], na której wyjaśnienia powołuje się on w swojej skardze. Wyjaśnienia zebrane w toku niniejszego postępowania pochodzą bowiem od [...] Sp. z o.o. z siedzibą w [...].Odnosząc się do zarzutu skarżącego dotyczącego naruszenia art. 24 § 3 k.p.a., słusznie Prezes UODO w odpowiedzi na skargę wskazał, że nie zasługuje on na uwzględnienie. Za wystarczające należy uznać wyjaśnienie organu zawartew odpowiedzi na skargę, że w prowadzeniu obu postępowań zainicjowanych skargami skarżącego, które zgodnie z właściwością trafiły do Wydziału ds. Zdrowia Zatrudnieniai Szkolnictwa w Departamencie Skarg UODO, brali wprawdzie udział ci samu pracownicy przedmiotowego Wydziału, niemniej jednak w toku niniejszego postępowania żadna ze stron, w tym skarżący, nie wnosili wniosków o wyłączenie ww. pracowników jak również nie zaistniała żadna z przesłanek wynikających z art. 24 § 1 k.p.a., która przemawiałaby za wyłączeniem ww. pracowników z urzędu lub na wniosek pracownika przez bezpośredniego przełożonego z uwagi na wątpliwości co do ich bezstronności.Odnosząc się do zarzutu naruszenia art. 13 ust. 1 pkt. a - f, ust. 2 pkt. a - f i ust. 3 RODO oraz art. 14 ust. 1 i 2 RODO - poprzez ich pominięcie w sprawie oraz całkowite pominięcie, że Spółka przetwarza dane skarżącego m.in. w zakresie korespondencji uzyskanej od [...] S.A. w [...], w zakresie wniosków skarżącego złożonychw myśl przepisów RODO, oraz pism uzyskanych z UODO z danymi skarżącego w toku niniejszego postępowania administracyjnego prawidłowo zauważył organ, że uprawnienie do określenia żądania kierowanego do Prezesa UODO, czy też do doprecyzowania tego żądania, posiada tylko strona. Organ nie może wyręczyć stronyi zdecydować za nią w jakiej sprawie, o jakim przedmiocie toczyć się będzie postępowanie zainicjowane jej wnioskiem (por. wyrok Naczelnego Sądu Administracyjnego z dnia 18 października 2016 r. sygn. akt II GSK 905/15, dostępny na stronie www.orzeczenia.nsa.gov.pl). W przedmiotowej sprawie skarżący w sposób oczywisty i bezsporny określił zaś w skardze przedmiot postępowania i jego żądanie, tj. wskazał na możliwe nieprawidłowości w realizacji jego wniosku z [...] listopada 2023 r., złożonego w trybie art. 15 ust. 1 i 3 RODO oraz zawnioskował o nakazanie Spółce udzielenia mu informacji w myśl art. 15 RODO i przesłania do niego kopii danych osobowych oraz udzielenie informacji o ewentualnym naruszeniu danych osobowych (incydencie), nałożenie kary pieniężnej. Mając na uwadze powyższe, stwierdzić należy, że organ działał prawidłowo przeprowadzając postępowanie we wskazanym przez skarżącego zakresie.Odnośnie zarzutów skarżącego dotyczących naruszenia art. 4 ust. 2 i art. 15 RODO wskazać należy, że zgodnie z art. 15 ust. 1 i 3 RODO osoba, której dane dotyczą, jest uprawniona do uzyskania od administratora potwierdzenia, czy przetwarzane są dane osobowe jej dotyczące, a jeżeli ma to miejsce, jest uprawniona do uzyskania dostępu do tych informacji. Administrator dostarcza osobie, której dane dotyczą, kopię danych osobowych podlegających przetwarzaniu. Jeżeli osoba, której dane dotyczą, zwraca się o kopię drogą elektroniczną i jeżeli nie zaznaczy inaczej, informacji udziela się w powszechnie stosowanej formie elektronicznej (ust. 3). Prawo do uzyskania kopii, o której mowa w ust. 3, nie może niekorzystnie wpływać na prawai wolności innych (ust. 4). Realizacja uprawnień określonych w art. 15 RODO,w odróżnieniu od prawa do informacji zagwarantowanego w art. 13 czy 14 RODO, wymaga jednak inicjatywy podmiotu danych.Zakres przedmiotowy postępowania administracyjnego zakreśla już żądanie skierowane do administratora danych osobowych, a nie sama skarga do organu. Skarga ta wywodzona jest bowiem dopiero z faktu niezrealizowania przez administratora danych osobowych skierowanego do niego żądania. Tym samym podkreślić należy, że na etapie skargi kierowanej do organu, nieskutecznym jest modyfikowanie jej zakresu, w porównaniu z pierwotnym żądaniem kierowanym do administratora danych osobowych. Kolejnym następstwem powyższego związania pierwotnym żądaniem kierowanym do administratora danych osobowych jest to, że organ może prowadzić postępowanie administracyjne jedynie w zakresie, jaki został określony w żądaniu kierowanym do administratora danych osobowych. Zadaniem organu jest ustalenie tego, czy administrator danych osobowych ustosunkował się do całego żądania strony i czy przy tej sposobności nie naruszył przepisów prawa. Powyższe zaś oznacza, że decydujące w przedmiotowej sprawie jest określenie czy,a jeśli tak, to w jakim zakresie, skarżący zwrócił się do Spółki z wnioskiem, o którym mowa w skardze.Z przywołanych powyżej przepisów wynika, że Prezes UODO ma za zadanie ocenę zgodności z przepisami o ochronie danych osobowych czynności podjętych przez administratora po otrzymaniu wniosku. Organ nie może zastępować stronyw realizacji uprawnień przysługujących jej na mocy przepisów o ochronie danych osobowych. Zatem dopiero, gdy administrator odmówi udzielenia odpowiedzi na wniosek, błędnie się ustosunkuje lub nie ustosunkuje się do wniosku, wnioskodawca ma podstawy by złożyć do Prezesa UODO skargę na takie działanie ze strony administratora, a organ do przeprowadzenia postępowania w zakresie oceny prawidłowości działania podmiotu skarżonego.Zauważyć należy, że organ w zaskarżonej decyzji ocenił treść wniosku skarżącego z [...] listopada 2023 r. oraz udzielonej mu przez Spółkę odpowiedzi.Z zebranego w sprawie materiału bezspornie wynika, że Spółka w części udzieliła skarżącemu odpowiedzi na jego wniosek z [...] listopada 2023 r. e-mailem z [...] listopada 2023 r. wysłanym na adres, z którego ten wniosek pochodził. Brak jest zaś dowodów, aby wysłana przez Spółkę korespondencja nie dotarła do skarżącego jako adresata. Tym samym, stwierdzić należy, że odpowiedź została udzielona w terminiei w sposób przewidziany w art. 12 RODO, niemniej jednak nie zawierała ona wszystkich wnioskowanych przez skarżącego informacji. Spółka nie udzieliła bowiem skarżącemu informacji wnioskowanych w punkcie 4 i 6 wniosku z [...] listopada 2023 r. oraz nie udostępniła mu kopii wszystkich jego danych osobowych przetwarzanych przez Spółkę, ograniczając się do wskazania przetwarzanego jego numeru telefonu oraz adresu e-mail. W związku z zaś powyższym, organ korzystając z kompetencji przyznanej na mocy art. 58 ust. 2 lit. c RODO, w zaskarżonej decyzji, prawidłowo nakazał Spółce spełnienie żądania skarżącego w związku z jego żądaniem z [...] listopada 2023 r.w przedmiocie udzielenia informacji dotyczących przetwarzania jego danych osobowych, o które wnioskował w pkt 4 i 6 wniosku oraz o udostępnienie mu kopii jego danych, z uwzględnieniem zakresu jego danych osobowych przetwarzanych na dzień wydania niniejszej decyzji.Końcowo zauważyć należy, że zgodnie z art. 106 § 3 p.p.s.a. Sąd może z urzędu lub na wniosek stron przeprowadzić dowody uzupełniające z dokumentów, jeżeli jest to niezbędne do wyjaśnienia istotnych wątpliwości i nie spowoduje nadmiernego przedłużenia postępowania w sprawie. W świetle ww. przepisu przed sądem administracyjnym dopuszczalne jest prowadzenie dowodów wyłącznie z dokumentówi to w ograniczonym zakresie oraz w szczególnych warunkach, a jego celem jest wyjaśnienie istotnych wątpliwości co do zgodności z prawem zaskarżonej decyzji. Istota uzupełniającego postępowania dowodowego polega więc na jego przeprowadzeniuw sytuacji, gdy brak dowodu z dokumentu uniemożliwia lub znacznie utrudnia ocenę zgodności z prawem zaskarżonej decyzji. Nadto, dopuszczenie dowodu przez sąd jest uprawnieniem, a nie obowiązkiem sądu (por. wyroki NSA z 23 lutego 2022 r., sygn. akt III OSK 1054/21; z 14 kwietnia 2023 r., sygn. akt III OSK 2846/21; publ. CBOSA).Uwzględniając powyższe Sąd uznał za niezasadne wnioski dowodowe skarżącego zawarte w skardze oraz w piśmie procesowym z 13 lutego 2025 r. uznając, że materiał dowodowy zgromadzony w postępowaniu administracyjnym jest wystarczający do podjęcia rozstrzygnięcia w sprawie i nie wystąpiły przesłanki określone w ww. przepisie.Wyjaśnić również wypada, że wydając postanowienie z 16 grudnia 2025 r.o odmowie zawieszenia postępowania Sąd wziął pod uwagę fakultatywny charakter przesłanek o których mowa w art. 125 § 1 p.p.s.a. dotyczących zawieszenia postępowania sądowoadministracyjnego, względy ekonomiki procesowej, a także autonomiczny charakter postępowania karnego oraz postępowania administracyjnegoi sądowoadministracyjnego.Mając na względzie wszystko powyższe, Wojewódzki Sąd Administracyjnyw Warszawie, na podstawie art. 151 p.p.s.a., orzekł jak w sentencji.., orzekł jak w sentencji.