Wyrok - III OSK 2346/25 - Naczelny Sąd Administracyjny - z dnia 7 maja 2026
Teza
Oddalono skargę kasacyjną. Sprawy związane z ochroną danych osobowych. Naczelny Sąd Administracyjny w składzie: Przewodniczący: Sędzia NSA Przemysław Szustakiewicz (sprawozdawca) Sędziowie: Sędzia NSA Mirosław Wincenciak Sędzia del. WSA Hanna Knysiak-Sudyka Protokolant: starszy asystent sędziego Magdalena Zając po rozpoznaniu w dniu 7 maja 2026 r. na rozprawie w Izbie Ogólnoadministracyjnej skargi kasacyjnej [...] Sp. z o.o. [...] od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 25 czerwca 2025 r., sygn. akt II SA/Wa 146/25 w sprawie ze skargi [...] Sp. z o.o. [...] nOddalono skargę kasacyjną. Sprawy związane z ochroną danych osobowych. Naczelny Sąd Administracyjny w składzie: Przewodniczący: Sędzia NSA Przemysław Szustakiewicz (sprawozdawca) Sędziowie: Sędzia NSA Mirosław Wincenciak Sędzia del. WSA Hanna Knysiak-Sudyka Protokolant: starszy asystent sędziego Magdalena Zając po rozpoznaniu w dniu 7 maja 2026 r. na rozprawie w Izbie Ogólnoadministracyjnej skargi kasacyjnej [...] Sp. z o.o. [...] od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 25 czerwca 2025 r., sygn. akt II SA/Wa 146/25 w sprawie ze skargi [...] Sp. z o.o. [...] n
Najważniejsze informacje
W skrócie
Wynik
oddalono skargę
Typ sprawy
sprawa nieprocesowa
Etap
skarga kasacyjna
Tryb
rozprawa
Role w sprawie
cedent
cesjonariusz
uczestnik postępowania
uczestnik
Data orzeczenia
7 maja 2026
Sąd
Naczelny Sąd Administracyjny
Przewodniczący
Hanna Knysiak - Sudyka
Podstawa prawna
art. 509
kc
art. 80
kpa
art. 7
kpa
art. 77
kpa
art. 174
ppsa
art. 151
ppsa
art. 188
ppsa
art. 185
ppsa
Pokaż pozostałe podstawy prawne (3)
Rozstrzygnięcie
Oddalono skargę kasacyjną
UZASADNIENIE
Wojewódzki Sąd Administracyjny w Warszawie, wyrokiem z 25 czerwca 2025 r., sygn. akt II SA/Wa 146/25, po rozpoznaniu sprawy ze skargi [...] sp. z o.o. [...] na punkt 1 decyzji Prezesa Urzędu Ochrony Danych Osobowych z 27 listopada 2024 r., nr DS.523.3914.2023.FT.AP. w przedmiocie przetwarzania danych osobowych, oddalił skargę. W sprawie ustalono następujący stan faktyczny i prawny:Prezes Urzędu Ochrony Danych Osobowych, na skutek wniesienia skargi przez P.P., wszczął wobec [...] Sp. z o.o. postępowanie administracyjne w związku z nieprawidłowościami przetwarzania danych osobowych, polegającymi na udostępnieniu przez Spółkę danych osobowych na rzecz [...] Funduszu Inwestycyjnego [...] (dalej: Fundusz) i innych 10 podmiotów w procesie cesji wierzytelności dokonanej na podstawie art. 509 K.c.Prezes UODO, decyzją z 27 listopada 2024 r., udzielił upomnienia Spółce za nieprawidłowości w procesie przetwarzania danych osobowych, poprzez udostępnienie danych Podmiotu danych na rzecz Funduszu w procesie cesji wierzytelności. Wskazano, że Fundusz nabył od Spółki wierzytelność przysługującą wobec osoby trzeciej na podstawie umowy cesji wierzytelności, w związku z czym Spółka przekazała na rzecz Funduszu umowy cesji przeniesienia numerów zawartej pomiędzy Spółką, Podmiotem danych i osobą trzecią, które zawierały również dane osobowe uczestnika ꟷ jako osoby przenoszącej wszelkie prawa i obowiązki do numerów telefonu na rzecz osoby trzeciej. Organ zauważył, że nabycie wierzytelności, w oparciu w art. 509 § 1 Kodeksu cywilnego, wiąże się z uprawnieniem do przekazania nabywcy danych osobowych dłużnika, umożliwiających podjęcie względem niego stosowanych działań zmierzających do odzyskania należności, a zatem dane osobowe osoby innej niż dłużnik, nie stanowiły w realiach przedmiotowej sprawy danych, których przetwarzanie było niezbędne w związku z dokonaniem cesji wierzytelności. Wierzytelność, będąca przedmiotem cesji pomiędzy Spółką i Funduszem, przysługiwała bowiem wyłącznie wobec osoby trzeciej. Przekazanie Funduszowi danych osobowych uczestnika nie było niezbędne dla realizacji celu, jakim było dochodzenie wierzytelności przysługującej wobec osoby trzeciej, objętej cesją, a więc nie znajdowało oparcia w żadnej z przesłanek legalizujących proces przetwarzania danych osobowych, wyrażonych w art. 6 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z 4.05.2016, str. 1, Dz. Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35, dalej: RODO). W pozostałym zakresie organ umorzył postępowanie, podnosząc, że brak jest dowodów na potwierdzenie podnoszonych przez Podmiot danych zarzutów w zakresie udostępnienia jego danych przez Spółkę na rzecz dalszych 10 podmiotów.WSA w Warszawie, wyrokiem z 25 czerwca 2025 r., sygn. akt II SA/Wa 146/25, oddalił skargę Spółki na punkt 1 decyzji, dotyczący udostępnienia danych osobowych uczestnika Funduszowi. Sąd zauważył, że nie jest sporne, że w związku z podpisaniem w dniu 18 września 2019 r. umów cesji przeniesienia numerów telefonów pomiędzy Podmiotem danych, osoba trzecią, a Spółką, osoba trzecia otrzymała dane osobowe uczestnika zawarte w umowach cesji. W związku zaś z cesją wierzytelności osoby trzeciej z dnia 21 listopada 2020 r. na rzecz Funduszu zostały przekazane przez Spółkę umowy cesji przeniesienia numerów zawierające również dane uczestnika tj. imię, nazwisko, numer PESEL, seria i numer dokumentu tożsamości, adres, adres e-mail oraz numer telefonu kontaktowego.Sąd I instancji podniósł, że zgodnie z art. 509 § 2 K.c. wraz z wierzytelnością przechodzą na nabywcę wszelkie związane z nią prawa, a więc i prawo do dysponowania danymi osobowymi dłużnika w celu realizacji długu. Nabywca wierzytelności, poprzez dokonaną czynność cywilnoprawną, staje się samoistnym posiadaczem danych osobowych dłużnika. Przekazanie danych osobowych dłużników firmom windykacyjnym może nastąpić bez ich zgody, nie naruszając przy tym ochrony danych osobowych. Sąd I instancji wyjaśnił również, że wierzytelność, która ma być przedmiotem cesji, powinna istnieć w momencie zawarcia umowy. Musi też być oznaczona w zakresie stosunku prawnego, z którego wynika, a także stron i przedmiotu świadczenia. Elementy te powinny być już znane, ewentualnie musi istnieć możliwość ich ustalenia na podstawie treści stosunku prawnego, z którego wynikają.WSA w Warszawie wskazał, że Fundusz, na podstawie zawartej umowy cesji wierzytelności, stał się administratorem przekazanych danych osobowych osoby trzeciej i przetwarzał je w celu windykacji nabytych wierzytelności, co stanowi prawnie uzasadniony cel, o którym mowa w art. 6 ust. 1 lit. f RODO. Sąd I instancji zgodził się z organem, że skoro zatem cesja wierzytelności wiąże się z uprawnieniem do przekazania nabywcy danych osobowych dłużnika, umożliwiających podjęcie względem niego stosowanych działań zmierzających do odzyskania należności, to dane uczestnika zawarte w umowach cesji przeniesienia numerów, a zatem dane osobowe osoby innej niż dłużnik, nie stanowiły danych, których przetwarzanie było niezbędne w związku z dokonaniem cesji wierzytelności. Prawidłowe było stanowisko PUODO, że proces przetwarzania danych osobowych uczestnika niebędącego dłużnikiem, związany z przedmiotową cesją wierzytelności, nie znajdował podstaw w art. 6 ust. 1 lit. f RODO. W ocenie Sądu I instancji, brak przekazania przez Spółkę Funduszowi danych osobowych uczestnika, który dłużnikiem nie był, nie niweczyło celu i istotny umowy cesji wierzytelności. Umowa taka musi bowiem umożliwiać przede wszystkim zindywidualizowanie wierzytelności, to wierzytelność powinna być w umowie oznaczalna.WSA w Warszawie nie zgodził się ze Spółką, że dane Podmiotu danych zostały udostępnione cesjonariuszowi ze względu na ich integralną część dokumentów, które podlegały procesowi związanemu z podpisaniem umowy cesji wierzytelności. Uczestnik nie był dłużnikiem, a zatem brak jego danych osobowych nie mógł doprowadzić do szkody na rzecz cendenta poprzez brak możliwości dochodzenia roszczeń poprzez sprzedaż wierzytelności. Spółka natomiast nie wykazała istnienia innych przesłanek legalizujących proces przetwarzania danych osobowych uczestnika, a także nie dysponowała zgodą uczestnika na takie działanie, więc podstawy przedmiotowego udostępnienia nie stanowił art. 6 ust. 1 lit. a RODO. Nie zachodziła również sytuacja określona w art. 6 ust. 1 lit. b RODO, ponieważ Spółka nie wykazała, aby udostępnienie to było niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy. Na Spółce nie ciążył również obowiązek prawny, dla którego wypełnienia konieczne było udostępnienie danych uczestnika (art. 6 ust. 1 lit. c RODO). W sprawie nie znalazły zastosowania również przesłanki legalizujące proces przetwarzania danych określone w art. 6 ust. 1 lit. d i e RODO, ponieważ udostępnienie to nie było niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej, ani do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi.Sąd I instancji stwierdził, że w sprawie zachodziły podstawy do skorzystania przez organ z uprawnienia przewidzianego w art. 58 ust. 2 lit. b RODO i udzielenia Spółce upomnienia. Organ wskazał podstawę również prawną zastosowanej sankcji, która okazała się najłagodniejszą z możliwych.W skardze kasacyjnej z 10 października 2025 r., Spółka zarzuciła:− na podstawie art. 174 pkt 2 P.p.s.a. naruszenie przepisów postępowania, które miało istotny wpływ na wynik sprawy, tj.: naruszenie art. 151 P.p.s.a. w zw. art. 7, art. 77 § 1, art. 80 K.p.a., poprzez oddalenie skargi na decyzję, podczas gdy sąd, dokonując prawidłowej oceny rozstrzygnięcia w oparciu o akta sprawy, powinien uchylić wydane rozstrzygnięcie, nakazując organowi ponowną ocenę posiadanego materiału dowodowego oraz obowiązujących przepisów;− na podstawie art. 174 pkt 1 P.p.s.a. naruszenie prawa materialnego, tj.: naruszenie art. 6 ust. 1 lit. f RODO w zw. z art. 509 K.c., poprzez oddalenie skargi na decyzję, podczas gdy organ zastosował błędną jego wykładnię, skutkującą tym, że nie uznał, że przekazanie kompletnej dokumentacji przy przelewie wierzytelności (cesji) przez wierzyciela na osobę trzecią, mieści się w granicach uzasadnionych interesów realizowanych przez tego wierzyciela jako administratora (w rozumieniu RODO).Wniesiono o uchylenie wyroku Sądu I instancji w całości i uchylenie poprzedzającej go decyzji na podstawie art. 188 P.p.s.a., ewentualnie o uchylenie wyroku w całości i przekazanie sprawy do ponownego rozpoznania na podstawie art. 185 § 1 P.p.s.a., a także o rozpoznanie skargi kasacyjnej na posiedzeniu jawnym oraz zasądzenie na rzecz Spółki od organu zwrotu kosztów postępowania według norm przepisanych, w tym kosztów zastępstwa procesowego.W odpowiedzi na skargę kasacyjną organ wniósł o jej oddalenie.Naczelny Sąd Administracyjny zważył, co następuje:Zgodnie z art. 183 § 1 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2026 r., poz. 143, dalej P.p.s.a.) Naczelny Sąd Administracyjny rozpoznaje sprawę w granicach skargi kasacyjnej, bierze jednak z urzędu pod rozwagę nieważność postępowania, której przesłanki, określone w art. 183 § 2 P.p.s.a., w przedmiotowej sprawie nie występują.W pierwszej kolejności rozpoznaniu podlegały zarzuty naruszenia przepisów postępowania, ponieważ dopiero po przesądzeniu, że postępowanie w sprawie przebiegło w sposób prawidłowy, możliwe jest badanie zasadności zarzutów naruszenia prawa materialnego.Zarzut naruszenia 151 P.p.s.a. w zw. z art. 7, art. 77 § 1, art. 80 K.p.a. należy uznać za bezzasadny. Wskazać należy, że zgodnie z zasadą prawdy obiektywnej, wyrażoną w art. 7 K.p.a., w toku postępowania organy administracji publicznej stoją na straży praworządności i podejmują wszelkie kroki niezbędne do dokładnego wyjaśnienia stanu faktycznego oraz do załatwienia sprawy, mając na względzie interes społeczny i słuszny interes obywateli. Na mocy art. 77 § 1 K.p.a., organ ma obowiązek wyczerpującego zebrania oraz rozpatrzenia całego materiału dowodowego. Natomiast według art. 80 K.p.a. organ administracji publicznej ocenia na podstawie całokształtu materiału dowodowego, czy dana okoliczność została udowodniona. Tym samym wydanie decyzji administracyjnej powinno być poprzedzone dokładnym zbadaniem jej okoliczności faktycznych oraz zebraniem niezbędnego i wystarczającego materiału dowodowego. Zauważyć należy, że Sąd I instancji trafnie uznał, że organ prawidło ustalił stan faktyczny sprawy, w wystarczający sposób zebrał i ocenił materiał dowodowy, a następnie w przekonywujący sposób uzasadnił swoje rozstrzygnięcie. Postępowanie administracyjne zostało więc przeprowadzone zgodnie z zasadami ogólnymi Kodeksu postępowania administracyjnego.Za nieuprawnione należy uznać również zarzuty naruszenia prawa materialnego. Zgodnie z art. 6 ust. 1 lit. f RODO przetwarzanie jest zgodne z prawem, jeżeli jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią. Według natomiast art. 509 § 2 K.c. wraz z wierzytelnością przechodzą na nabywcę wszelkie związane z nią prawa. Słusznie więc zauważył Sąd I instancji, że wraz z wierzytelnością przechodzi na nabywcę prawo do dysponowania danymi osobowymi dłużnika w celu realizacji długu. Nabywca wierzytelności staje się zatem administratorem danych osobowych i przetwarza dane osobowe na własny rachunek i ryzyko. Korzysta z takich samych praw i obowiązków w zakresie przetwarzania danych osobowych, jakie przysługiwały poprzedniemu administratorowi danych. W sprawie, Fundusz, na podstawie zawartej umowy cesji wierzytelności, stał się administratorem przekazanych danych osobowych osoby trzeciej i przetwarzał je w celu windykacji nabytych wierzytelności, co stanowiło prawnie uzasadniony cel, o którym mowa w art. 6 ust. 1 lit. f RODO.Zgodzić się należy, tak z organem, jak i Sądem I instancji, że proces przetwarzania danych osobowych uczestnika niebędącego dłużnikiem, związany z cesją wierzytelności, nie znajdował podstaw w art. 6 ust. 1 lit. f RODO. Dane osobowe uczestnika ꟷ który nie był dłużnikiem w przedmiotowej sprawie ꟷ nie były ani konieczne do zawarcia umowy cesji wierzytelności, ale także do egzekucji samej wierzytelności od osoby trzeciej. Rozstrzygający o dopuszczalności przetwarzania danych osobowych na podstawie art. 6 ust. 1 lit. f RODO jest charakter relacji istniejącej pomiędzy administratorem danych osobowych, a osobą, której dane podlegają przetwarzaniu. Jeżeli z charakteru tej relacji da się racjonalnie wywieść, że przetwarzanie danych osobowych jest niezbędne do zrealizowania przez administratora celu wynikającego z tej relacji i jest to cel przez prawo dopuszczony, to zgodnie z art. 6 ust. 1 lit. f RODO, przetwarzanie będzie uzasadnione (por. wyrok NSA z 20 lutego 2024 r., sygn. akt III OSK 2700/22). Podkreślić tu należy, że takiej relacji pomiędzy Podmiotem danych a Funduszem nie sposób wywieść, a więc przetwarzanie danych uczestnika ꟷ w świetle postanowień art. 6 ust. 1 lit. f RODO ꟷ nie jest niezbędne.Z uwagi na powyższe, Naczelny Sąd Administracyjny, na podstawie art. 184 P.p.s.a., orzekł jak w sentencji.O kosztach postępowania orzeczono na podstawie art. 204 pkt 2 w zw. z art. 205 § 2 P.p.s.a..