II SA/Wa 1992/19

SENTENCJA Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Łukasz Krzycki, Sędzia WSA Piotr Borowiecki, Sędzia WSA Janusz Walawski (spr.), po rozpoznaniu na posiedzeniu niejawnym w dniu 3 listopada 2020 r. sprawy ze skargi G.G., A.G., I.G. oraz małoletnich H.G.i A.G. reprezentowanych przez przedstawicieli ustawowych A.G. i G.G. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] lipca 2019 r. nr [...] w przedmiocie odmowy uwzględnienia wniosku oddala skargę UZASADNIENIE G. G. złożył do Prezesa Urzędu Ochrony Danych Osobowych skargę dotyczącą przetwarzania przez Spółdzielnię Mieszkaniową "[...]", (dalej jako "Spółdzielnia"), jego danych osobowych oraz danych osobowych A. G., I. G., małoletnich H. G. i A. G. Skarżący w treści skargi podał, że Spółdzielnia bezpodstawnie udostępniła informacje o nim i osobach mu najbliższych osobie niemającej żadnych podstaw prawnych do uzyskania informacji, zażądał nakazania Spółdzielni wypełnienie w stosunku do niego obowiązku informacyjnego, przywrócenie stanu zgodnego z prawem poprzez usunięcie z obrotu prawnego pisma zawierającego jego dane osobowe i dane osób mu najbliższych, a także ukaranie osoby winnej udostępnienia tych danych. Prezes UODO, na podstawie art. 104 k.p.a., art. 7 ust. 1 i art. 160 ust. 1 i 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2018 r. poz. 1000 z późn. zm.) w zw. z art. 22 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. z 2018 r. poz. 1000 z późn. zm.) oraz art. 6 ust. 1 lit. c) i f), art. 57 ust. 1 lit. a) i f) i art. 58 ust. 2 lit. c) rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. U. UE.L.2016.119.1 i Dz. U.UE.L.2018.127.2), w dniu [...] września 2019 r. wydał decyzję nr [...], którą odmówił uwzględnienia wniosku. Prezes UODO w uzasadnieniu decyzji podał, że na podstawie art. 160 ust. 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2018 r. poz. 1000 z późn. zm.), postępowania prowadzone przez Generalnego Inspektora Ochrony Danych Osobowych, wszczęte i nie zakończone przez 25 maja 2018 r. prowadzone są przez Prezesa UODO, na podstawie przepisów ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r. poz. 922 z póżn. zm.), zgodnie z zasadami określonym w ustawie z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2018 r. poz. 2096 z póżn. zm.). Oznacza to, że wszelkie czynności podejmowane przez Generalnego Inspektora Ochrony Danych Osobowych przed 25 maja 2018 r. pozostają skuteczne. W dniu 25 maja 2018 r. weszła w życie ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2018 r. poz. 1000 z późn. zm.) i od tego dnia istniej obowiązek bezpośredniego stosowania przepisów rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz.Urz.UE.L 119 z 04.05.2016 z późn. zm.). Podstawę do zgodnego z prawem przetwarzania danych osobowych (w tym udostępniania) danych osobowych daje spełnienie jednej z przesłanek określonych w art. 6 ust. 1 powyżej określonego rozporządzenia. Nie sposób stwierdzić, że Prezes Spółdzielni wydając G. G. oświadczenie z dnia 2 października 2017 r. naruszył przepisy przedmiotowego rozporządzenia. Informacje zawarte w tym oświadczeniu uniemożliwiają zidentyfikowanie konkretnych osób. Jedyną osobą wskazana w oświadczeniu jest I. G.. Dane te został udostępnione z zachowaniem odpowiednich proporcji, tj. udostępniono tylko i wyłącznie takie dane, które były potrzebne do realizacji określonego celu. Nie udostępniono danych I. G. w zakresie szerszym niż wynika z wniosku. Aby stwierdzić, czy dana osoba fizyczna jest możliwa do identyfikowania, należy wziąć pod uwagę wszelkie prawdopodobne sposoby, w stosunku do których istnieje uzasadnione prawdopodobieństwo, że zostaną wykorzystane przez administratora lub inna osobę w celu bezpośredniego lub pośrednie zidentyfikowania. Odnosząc się do żądania skarżącego o nakazanie Spółdzielni, należy stwierdzić, że obowiązek informacyjny uregulowany w art. 13 i art. 14 przedmiotowego rozporządzenia, polega na obowiązku poinformowania osoby, której dane dotyczą o aspektach przetwarzania jej danych osobowych. Jak wynika z ustalonego stanu faktycznego sprawy, skarżący nie jest członkiem Spółdzielni i w związku z tym Spółdzielnia nie dysponowała jego danymi ani danymi członków jego rodziny z wyłączeniem I. G., która jest właścicielem lokalu spółdzielczego i jest członkiem Spółdzielni. Niemniej jednak Spółdzielnia ma obowiązek respektować zasady ochrony danych osobowych wobec wszystkich lokatorów, a nie tylko wobec jej członków. W związku z niestwierdzeniem naruszenia przez Prezesa Spółdzielni przepisów ogólnego rozporządzenia, Prezes UODO nie może wydać decyzji administracyjnej nakazującego przywrócenia stanu zgodnego z prawem, jak również nie może korzystać z uprawnień naprawczych, o których mowa w art. 58 ust. ogólnego rozporządzenia. Tym samym Prezes UODO nie znalazł podstaw faktycznych i prawnych do uwzględnienia skargi. G. G. wniósł do Wojewódzkiego Sądu Administracyjnego w Warszawie skargę na decyzję Prezesa UODO z dnia [...] lipca 2019 r. zarzucając, że decyzja został wydana z naruszeniem następujących przepisów: art. 47, art. 51 ust. 1 Konstytucji RP, poprzez jego niezastosowanie i nie wzięcie pod uwagę przy rozpatrywaniu postępowania sprawdzającego, co skutkowało nie uwzględnieniem przekazanych danych osobowych jako danych podlegających ochronie prawnej i udostępnienie ich osobie nieuprawnionej; art. 7, art. 77 § 1 i art. 80 k.p.a. w zw. z art. 22 ustawy z dnia 22 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych polegającej na dowolnej ocenie materiału dowodowego sprawy przez GIODO i w konsekwencji na blędnym przyjęciu, że w niniejszej sprawie G. G. legitymuje się ustawowymi przesłankami do uzyskania informacji od Spółdzielni; art. 61a § 1 k.p.a. w zw. z art. 12 pkt 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych poprzez nieuwzględnienie czy w związku ze złożoną skargą istnieją przesłanki do wszczęcia postępowania z urzędu pomimo przyznania przez organ udostępnienia danych osobowych I. G.; art. 23 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych, poprzez niewłaściwe zastosowanie i uznanie, że żądane udostępnienie danych osobowy rodziny skarżącego jest uzasadnione i wypełnia dyspozycję tego przepisu; art. 30 ustawy z dnia 16 września 1982 r. Prawo spółdzielcze, poprzez jego niezastosowanie i nie wzięcie pod uwagę przy rozpatrywaniu postępowania sprawdzającego czego rezultatem jest udostępnienie danych osobowych osobie nieupoważnionej. Skarżący podnosząc powyższe zarzuty wniósł o uchylenie zaskarżonej decyzji o "odmowie wszczęcia postępowania administracyjnego" i zasądzenie od organ na jego rzecz kosztów postępowania. Prezes UODO w odpowiedzi na skargę wniósł o jej oddalenie i podtrzymał stanowisko przedstawione w uzasadnieniu zaskarżonej decyzji. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: Zgodnie z art. 1 § 1 i 2 ustawy z dnia 25 lipca 2002 r. - Prawo o ustroju sądów administracyjnych (Dz. U. z 2019 r. poz. 2167), sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej, przy czym kontrola ta sprawowana jest pod względem zgodności z prawem, jeżeli ustawy nie stanowią inaczej. W świetle powołanych powyżej przepisów Wojewódzki Sąd Administracyjny w Warszawie, w zakresie swojej właściwości, ocenia zaskarżoną decyzję administracyjną, postanowienie, czy też inny akt lub czynność z zakresu administracji publicznej dotyczącą uprawnień lub obowiązków wynikających z przepisów prawa, z punktu widzenia ich zgodności z prawem materialnym i przepisami postępowania administracyjnego, według stanu faktycznego i prawnego obowiązującego w dacie wydania tego aktu lub podjęcia spornej czynności. Chodzi więc o kontrolę aktów lub czynności z zakresu administracji publicznej dokonywaną pod względem ich zgodności z prawem materialnym i przepisami procesowymi, nie zaś według kryteriów słuszności. Ponadto, co wymaga podkreślenia, Sąd rozstrzyga w granicach danej sprawy, nie będąc jednak związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną (vide art. 134 § 1 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi - Dz. U. z 2019 r. poz. 2325 - dalej p.p.s.a.). Należy jednocześnie wyraźnie zaznaczyć, że od dnia wejścia w życie Traktatu Akcesyjnego z dnia 16 kwietnia 2003 r. (Dz. U. z 2004 r. Nr 90, poz. 864), na mocy którego Polska stała się państwem członkowskim Unii Europejskiej, kontrola sądu administracyjnego obejmuje również zgodność rozstrzygnięć krajowych organów administracji publicznej z prawem europejskim (prawem Unii Europejskiej), rozumianym, jako całokształt dorobku prawnego Unii Europejskiej (acquis communautaire), w tym zasad ogólnych prawa europejskiego, interpretowanych oraz stosowanych w sposób jednolity na całym obszarze Unii Europejskiej. W ocenie Sądu analizowana pod tym kątem skarga nie zasługuje na uwzględnienie, albowiem wydając zaskarżoną decyzję Prezes UODO prawidłowo zastosował przepisy prawa materialnego i procesowego. Wyjaśnienia wymaga, że w dniu 25 maja 2018 r. weszła w życie ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych (dalej u.o.d.o. 2018), ponadto, od dnia 25 maja 2018 r. bezpośrednie zastosowanie w polskim porządku prawnym mają przepisy rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (dalej RODO). Stosownie bowiem do przepisu art. 99 ust. 1 RODO, wchodzi ono w życie dwudziestego dnia po publikacji w Dzienniku Urzędowym Unii Europejskiej, która miała miejsce w dniu 4 maja 2016 r. (Dz.U.UE.L2016.119.1), natomiast zastosowanie w państwach członkowskich wspomniane rozporządzenie ma od dnia 25 maja 2018 r. (art. 99 ust. 2 RODO). Zgodnie z art. 51 ust. 1 RODO, każde państwo członkowskie zapewnia, by za monitorowanie stosowania RODO odpowiadał co najmniej jeden niezależny organ publiczny w celu ochrony podstawowych praw i wolności osób fizycznych w związku z przetwarzaniem oraz ułatwiania swobodnego przepływu danych osobowych w Unii. W związku z powyższym, na podstawie art. 34 ust. 1 u.o.d.o. organem właściwym w sprawie ochrony danych osobowych jest w Rzeczypospolitej Polskiej Prezes Urzędu Ochrony Danych Osobowych. Przechodząc na grunt rozpoznawanej stwierdzić należy, że ustalony w sprawie stan faktyczny znajduje potwierdzenie w zebranym materiale dowodowym. Zgodnie z art. 160 ust. 1-3 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych, postępowania prowadzone przez Generalnego Inspektora Ochrony Danych Osobowych, wszczęte i niezakończone przed dniem wejścia w życie niniejszej ustawy, prowadzone są przez Prezesa Urzędu. Postępowania, o których mowa w ust.1, prowadzi się na podstawie ustawy uchylanej w art. 175, zgodnie z zasadami określonymi w ustawie z dnia 14 czerwca Kodeks postępowania administracyjnego (Dz. U. z 2018 r. poz. 2096 oraz z 2019 r. poz. 60, 730 i 1133). Czynności dokonane w postępowaniach, o których mowa w ust.1, pozostają skuteczne. Zgodnie z art. 4 pkt 1 i 2 przedmiotowego rozporządzenia, "dane osobowe" oznaczają wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej ("osobie, której dane dotyczą"); możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora takiego jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej. Natomiast "przetwarzanie" oznacza operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, taką jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie. Zgodnie z art. 5 ust. 1 przedmiotowego rozporządzenia, dane osobowe muszą być: a) przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą ("zgodność z prawem, rzetelność i przejrzystość"). Natomiast art. 6 ust. 1 stanowi, że przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy – i w takim zakresie, w jakim – spełniony jest co najmniej jeden z poniższych warunków: a) osoba, której dane dotyczą wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów; b) przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy; c) przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze; d) przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej; e) przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi; f) przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem. Akapit pierwszy lit. f) nie ma zastosowania do przetwarzania, którego dokonują organy publiczne w ramach realizacji swoich zadań. Mając na uwadze powyżej przytoczone przepisy stwierdzić należy, że organ właściwie je zinterpretował na tle ustalonego w sprawie stanu faktycznego. Udostępnienie osobie trzeciej (G. G.) dane uniemożliwiały zidentyfikowanie konkretnych osób, a w szczególności skarżącego i członków jego rodzin, z wyłączeniem jego matki I. G., której dane osobowe(imię i nazwisko) były znane G. G., jak również posiadała ona wiedzę, że jest ona właścicielem lokalu spółdzielczego i jest członkiem Spółdzielni. G. G., jak osoba trzecia, działała w ramach art. 6 ust. 1 lit. f przedmiotowego rozporządzenia. Przekazane jej dane osobowe nie obejmowały danych osobowych członków jej rodziny. Zgodnie z art. 13 ust. 1-2 i art. 14 ust. 1-3 przedmiotowego rozporządzenia, jeżeli dane osobowe osoby, której dane dotyczą, zbierane są od tej osoby, administrator podczas pozyskiwania danych osobowych podaje jej wszystkie następujące informacje: a) swoją tożsamość i dane kontaktowe oraz, gdy ma to zastosowanie, tożsamość i dane kontaktowe swojego przedstawiciela; b) gdy ma to zastosowanie – dane kontaktowe inspektora ochrony danych; c) cele przetwarzania danych osobowych, oraz podstawę prawną przetwarzania; d) jeżeli przetwarzanie odbywa się na podstawie art. 6 ust. 1 lit. f) – prawnie uzasadnione interesy realizowane przez administratora lub przez stronę trzecią; e) informacje o odbiorcach danych osobowych lub o kategoriach odbiorców, jeżeli istnieją; 1f) gdy ma to zastosowanie – informacje o zamiarze przekazania danych osobowych do państwa trzeciego lub organizacji międzynarodowej oraz o stwierdzeniu lub braku stwierdzenia przez Komisję odpowiedniego stopnia ochrony lub w przypadku przekazania, o którym mowa w art. 46, art. 47 lub art. 49 ust. 1 akapit drugi, wzmiankę o odpowiednich lub właściwych zabezpieczeniach oraz informację o sposobach uzyskania kopii tych zabezpieczeń lub o miejscu ich udostępnienia. Poza informacjami, o których mowa w ust. 1, podczas pozyskiwania danych osobowych administrator podaje osobie, której dane dotyczą, następujące inne informacje niezbędne do zapewnienia rzetelności i przejrzystości przetwarzania: a) okres, przez który dane osobowe będą przechowywane, a gdy nie jest to możliwe, kryteria ustalania tego okresu; b) informacje o prawie do żądania od administratora dostępu do danych osobowych dotyczących osoby, której dane dotyczą, ich sprostowania, usunięcia lub ograniczenia przetwarzania lub o prawie do wniesienia sprzeciwu wobec przetwarzania, a także o prawie do przenoszenia danych; c) jeżeli przetwarzanie odbywa się na podstawie art. 6 ust. 1 lit. a) lub art. 9 ust. 2 lit. a) – informacje o prawie do cofnięcia zgody w dowolnym momencie bez wpływu na zgodność z prawem przetwarzania, którego dokonano na podstawie zgody przed jej cofnięciem; d) informacje o prawie wniesienia skargi do organu nadzorczego; e) informację, czy podanie danych osobowych jest wymogiem ustawowym lub umownym lub warunkiem zawarcia umowy oraz czy osoba, której dane dotyczą, jest zobowiązana do ich podania i jakie są ewentualne konsekwencje niepodania danych; f) informacje o zautomatyzowanym podejmowaniu decyzji, w tym o profilowaniu, o którym mowa w art. 22 ust. 1 i 4, oraz – przynajmniej w tych przypadkach – istotne informacje o zasadach ich podejmowania, a także o znaczeniu i przewidywanych konsekwencjach takiego przetwarzania dla osoby, której dane dotyczą. Jeżeli administrator planuje dalej przetwarzać dane osobowe w celu innym niż cel, w którym dane osobowe zostały zebrane, przed takim dalszym przetwarzaniem informuje on osobę, której dane dotyczą, o tym innym celu oraz udziela jej wszelkich innych stosownych informacji, o których mowa w ust. 2.4. Ust. 1, 2 i 3 nie mają zastosowania, gdy – i w zakresie, w jakim – osoba, której dane dotyczą, dysponuje już tymi informacjami. Informacje podawane w przypadku pozyskiwania danych osobowych w sposób inny niż od osoby, której dane dotyczą 1. Jeżeli danych osobowych nie pozyskano od osoby, której dane dotyczą, administrator podaje osobie, której dane dotyczą, następujące informacje: a) swoją tożsamość i dane kontaktowe oraz, gdy ma to zastosowanie, tożsamość i dane kontaktowe swojego przedstawiciela; b) gdy ma to zastosowanie – dane kontaktowe inspektora ochrony danych; c) cele przetwarzania, do których mają posłużyć dane osobowe, oraz podstawę prawną przetwarzania; d) kategorie odnośnych danych osobowych; e) informacje o odbiorcach danych osobowych lub o kategoriach odbiorców, jeżeli istnieją; f) gdy ma to zastosowanie – informacje o zamiarze przekazania danych osobowych odbiorcy w państwie trzecim lub organizacji międzynarodowej oraz o stwierdzeniu lub braku stwierdzenia przez Komisję odpowiedniego stopnia ochrony lub w przypadku przekazania, o którym mowa w art. 46, art. 47 lub art. 49 ust. 1 akapit drugi, wzmiankę o odpowiednich lub właściwych zabezpieczeniach oraz informację o sposobach uzyskania kopii tych zabezpieczeń lub o miejscu ich udostępnienia. Poza informacjami, o których mowa w ust. 1, administrator podaje osobie, której dane dotyczą, następujące informacje niezbędne do zapewnienia rzetelności i przejrzystości przetwarzania wobec osoby, której dane dotyczą: a) okres, przez który dane osobowe będą przechowywane, a gdy nie jest to możliwe, kryteria ustalania tego okresu;b) jeżeli przetwarzanie odbywa się na podstawie art. 6 ust. 1 lit. f) – prawnie uzasadnione interesy realizowane przez administratora lub przez stronę trzecią;c) informacje o prawie do żądania od administratora dostępu do danych osobowych dotyczących osoby, której dane dotyczą, ich sprostowania, usunięcia lub ograniczenia przetwarzania oraz o prawie do wniesienia sprzeciwu wobec przetwarzania, a także o prawie do przenoszenia danych; d) jeżeli przetwarzanie odbywa się na podstawie art. 6 ust. 1 lit. a) lub art. 9 ust. 2 lit. a) – informacje o prawie do cofnięcia zgody w dowolnym momencie bez wpływu na zgodność z prawem przetwarzania, którego dokonano na podstawie zgody przed jej cofnięciem; e) informacje o prawie wniesienia skargi do organu nadzorczego; f) źródło pochodzenia danych osobowych, a gdy ma to zastosowanie – czy pochodzą one ze źródeł publicznie dostępnych; g) informacje o zautomatyzowanym podejmowaniu decyzji, w tym o profilowaniu, o którym mowa w art. 22 ust. 1 i 4, oraz – przynajmniej w tych przypadkach – istotne informacje o zasadach ich podejmowania, a także o znaczeniu i przewidywanych konsekwencjach takiego przetwarzania dla osoby, której dane dotyczą. Informacje, o których mowa w ust. 1 i 2, administrator podaje: a) w rozsądnym terminie po pozyskaniu danych osobowych – najpóźniej w ciągu miesiąca – mając na uwadze konkretne okoliczności przetwarzania danych osobowych; b) jeżeli dane osobowe mają być stosowane do komunikacji z osobą, której dane dotyczą – najpóźniej przy pierwszej takiej komunikacji z osobą, której dane dotyczą; lub c) jeżeli planuje się ujawnić dane osobowe innemu odbiorcy – najpóźniej przy ich pierwszym ujawnieniu. Z powyżej przytoczonych przepisów wynika, że skoro skarżący nie był członkiem Spółdzielni, to nie ciążył na niej obowiązek informacyjny, albowiem nie była ona w posiadaniu jego danych osobowych, a tym samym nie mogła ich przetwarzać. Odnosząc się do zarzutów podniesionych w skardze, Sąd uznał je za niezasadne, gdyż organ prowadząc postępowanie administracyjne nie naruszył przepisów prawa procesowe, jak również przepisów prawa materialnego. Wyjaśnić należy rownież, że art. 61a k.p.a. nie miał w sprawie zastosowania, gdyż zaskarżona decyzja została wydana po przeprowadzeniu postępowania administracyjnego i rozstrzygała o istocie sprawy, a nie odmowie wszczęcia postępowania. Mając powyższe na względzie, Sąd na podstawie art. 151 p.p.s.a. orzekł, jak w sentencji wyroku