Wyrok NSA może wymusić analizę danych tysięcy myśliwych przez PZŁ
Naczelny Sąd Administracyjny 14 lipca 2026 r. oddalił skargę kasacyjną Polskiego Związku Łowieckiego od wyroku WSA w Warszawie. W rezultacie prawomocne stało się orzeczenie oddalające skargę PZŁ na decyzję Prezesa Urzędu Ochrony Danych Osobowych dotyczącą przetwarzania danych myśliwego: imienia ojca, miejsca pracy, wykształcenia, zawodu i numeru telefonu. Rozstrzygnięcie ma istotne znaczenie dla praktyki związku, nie ustanawia jednak abstrakcyjnego zakazu przetwarzania tych kategorii danych w każdej sytuacji.
Sprawa rozpoczęła się od skargi myśliwego do Prezesa UODO na nieprawidłowości w przetwarzaniu jego danych osobowych przez PZŁ. Wstępując do związku w 2010 r., myśliwy wypełnił deklaracje członkowskie oraz kartę ewidencyjną członka, w których podał m.in. imię ojca, miejsce pracy, wykształcenie, zawód i numer telefonu. Twierdził, że dalsze przetwarzanie tych danych nie ma podstawy prawnej i narusza zasadę minimalizacji danych z art. 5 ust. 1 lit. c RODO.
Decyzją z października 2022 r. Prezes UODO nakazał PZŁ zaprzestanie przetwarzania danych skarżącego w zakresie imienia ojca, miejsca pracy, wykształcenia, zawodu i numeru telefonu, pozyskanych z dokumentów wypełnionych przy przyjęciu do zrzeszenia. Udzielił też związkowi upomnienia za przekroczenie miesięcznego terminu na odpowiedź na wniosek dotyczący przetwarzania danych.
PZŁ zaskarżył do WSA wyłącznie punkt pierwszy decyzji, obejmujący nakaz zaprzestania przetwarzania wskazanych danych. WSA w Warszawie wyrokiem z 20 lipca 2023 r. (sygn. akt II SA/Wa 2306/22) skargę oddalił.
Na rozprawie 14 lipca 2026 r. NSA oddalił skargę kasacyjną PZŁ (sygn. akt III OSK 3073/23), tym samym wyrok WSA stał się prawomocny, a decyzja Prezesa UODO pozostała w mocy po zakończeniu dwuinstancyjnej kontroli sądowoadministracyjnej.
Nie ma uzasadnienia przetwarzania na podstawie umowy
Jednym z głównych argumentów PZŁ było twierdzenie, że statut zrzeszenia stanowi rodzaj umowy, a przetwarzanie spornych danych jest niezbędne do jej wykonania w rozumieniu art. 6 ust. 1 lit. b RODO.
WSA, odwołując się do wyroku Trybunału Konstytucyjnego z 6 listopada 2012 r. (sygn. akt K 21/11), wskazał jednak na przymusowy i dominująco publicznoprawny charakter PZŁ. Związku nie tworzy się ani nie rozwiązuje z inicjatywy członków, a brak członkostwa uniemożliwia wykonywanie polowania. Na potrzeby zastosowania art. 6 ust. 1 lit. b RODO relacji między PZŁ a jego członkiem nie można więc było zakwalifikować jako umowy cywilnoprawnej. Bez znaczenia dla oceny legalności przetwarzania pozostawało zatwierdzenie statutu przez ministra właściwego do spraw środowiska, ponieważ organem właściwym do nadzoru nad stosowaniem RODO jest Prezes UODO.
Przeczytaj także: Obowiązek lustracyjny w PZŁ - przepis, który nie działa
Cel statystyczny nie legalizuje każdego zakresu danych
Najistotniejszy praktycznie wątek sprawy dotyczył danych o miejscu pracy, wykształceniu i zawodzie. PZŁ twierdził, że przetwarza je na podstawie prawnie uzasadnionego interesu z art. 6 ust. 1 lit. f RODO, aby prowadzić statystyki dotyczące środowisk, w których rozwija się kultura łowiecka.
WSA podzielił jednak ocenę Prezesa UODO, że osoba wypełniająca formularze członkowskie nie mogła rozsądnie spodziewać się wykorzystania tych danych do celów statystycznych, skoro taki cel nie został wskazany w deklaracji ani w karcie ewidencyjnej. Samo wskazanie użytecznego dla administratora celu nie wystarcza: administrator musi wykazać także niezbędność przetwarzania oraz przeprowadzić ważenie własnego interesu z prawami i rozsądnymi oczekiwaniami osoby, której dane dotyczą.
Ocena WSA pozostaje zgodna z europejską wykładnią art. 6 ust. 1 lit. f RODO. TSUE w wyroku z 4 lipca 2023 r. w sprawie C-252/21, Meta Platforms, wskazał, że zastosowanie tej podstawy wymaga łącznego spełnienia trzech przesłanek: istnienia prawnie uzasadnionego interesu, niezbędności przetwarzania do jego realizacji oraz braku nadrzędności interesów lub podstawowych praw i wolności osoby, której dane dotyczą. Ten sam schemat przedstawiono w Wytycznych EROD 1/2024 dotyczących art. 6 ust. 1 lit. f RODO, w wersji 1.0 przyjętej do konsultacji publicznych.
Kierunek tej wykładni potwierdza również późniejszy od wyroku WSA wyrok TSUE z 4 października 2024 r. w sprawie C-621/22, Koninklijke Nederlandse Lawn Tennisbond, dotyczący odpłatnego przekazywania danych członków związku tenisowego sponsorom. Trybunał dopuścił możliwość uznania interesu komercyjnego za interes prawnie uzasadniony, ale podkreślił konieczność wykazania ścisłej niezbędności przetwarzania, przestrzegania zasady minimalizacji i uwzględnienia rozsądnych oczekiwań członków. Członek organizacji, który przekazuje dane w celu uzyskania lub wykonywania członkostwa, nie musi spodziewać się ich wykorzystania do innego, nieujawnionego mu celu.
Zgoda musi być dobrowolna, konkretna i świadoma
PZŁ powoływał się również na oświadczenie o zgodzie zawarte we wniosku myśliwego o przyjęcie na staż z 2008 r. WSA uznał jednak, że blankietowa zgoda na przetwarzanie danych „do celów statutowych” nie obejmowała automatycznie wszystkich danych podanych dwa lata później w deklaracjach członkowskich i karcie ewidencyjnej. Zgodnie z art. 4 pkt 11 RODO zgoda musi być dobrowolna, konkretna, świadoma i jednoznaczna. Samo wpisanie danych do obowiązkowego formularza nie stanowi odrębnej zgody na ich przetwarzanie.
Ocena ta odpowiada Wytycznym EROD 05/2020 dotyczącym zgody. Zgoda nie jest dobrowolna, jeżeli między administratorem a osobą, której dane dotyczą, występuje wyraźna nierównowaga albo gdy od jej udzielenia uzależnione jest świadczenie, do którego dane nie są niezbędne. W wyroku z 11 listopada 2020 r. w sprawie C-61/19, Orange România, TSUE podkreślił ponadto, że to administrator ma wykazać, iż uzyskał aktywne, świadome i odrębne oświadczenie woli obejmujące konkretną operację przetwarzania.
Obowiązek systemowego przeglądu zasad przetwarzania danych przez PZŁ
Nakaz Prezesa UODO i kontrolujące go wyroki dotyczą danych konkretnego myśliwego, pozyskanych z określonych deklaracji członkowskich i karty ewidencyjnej. Nie stanowią zatem formalnie generalnego nakazu usunięcia takich danych ze wszystkich zbiorów PZŁ. Nie oznacza to jednak, że znaczenie sprawy może zostać ograniczone do sytuacji jednej osoby. Z ustaleń opisanych w wyroku WSA wynika, że kwestionowane dane były zbierane przy użyciu jednolitych formularzy, a PZŁ uzasadniał ich przetwarzanie wspólnym celem statystycznym. Jeżeli ten sam model przetwarzania stosowano wobec szerszej grupy członków, wadliwość podstawy prawnej ma charakter systemowy.
Z zasady rozliczalności ustanowionej w art. 5 ust. 2 RODO oraz z obowiązków administratora określonych w art. 24 RODO wynika, że PZŁ powinien z własnej inicjatywy przeprowadzić przegląd całego procesu przetwarzania danych osób, wobec których stosowano analogiczne formularze i cele przetwarzania. Przegląd powinien objąć w szczególności ustalenie zakresu danych przechowywanych w strukturach centralnych i okręgowych, zweryfikowanie celu oraz podstawy prawnej każdej kategorii danych, a także ocenę okresów retencji i sposobu wykorzystywania danych w systemach informatycznych. W odniesieniu do danych, dla których związek nie będzie w stanie wykazać odrębnej i aktualnej podstawy prawnej, powinien zaprzestać ich przetwarzania oraz je usunąć albo skutecznie zanonimizować. Obowiązek ten wynika również z zasady zgodności z prawem i minimalizacji danych z art. 5 ust. 1 lit. a i c, zamkniętego katalogu podstaw przetwarzania z art. 6 oraz art. 17 ust. 1 lit. d RODO, odnoszącego się do danych przetwarzanych niezgodnie z prawem.
Wyrok nie wywołuje skutku erga omnes, dlatego nie można bez badania poszczególnych procesów założyć, że każdy rekord dotyczący wszystkich członków podlega automatycznemu usunięciu. Znaczenie mogą mieć między innymi wersja formularza, data i sposób pozyskania danych, ich aktualizacja, rzeczywisty cel dalszego przechowywania oraz ewentualna odrębna podstawa prawna. Ciężar wykazania zgodności tych operacji spoczywa jednak na PZŁ. Związek nie może ograniczyć się do wykonania nakazu wobec uczestnika postępowania i nadal powoływać się w analogicznych przypadkach na te same argumenty, które nie zostały zaakceptowane w prawomocnie zakończonej sprawie.
Nie można automatycznie przyjąć, że każda operacja przetwarzania dokonywana od chwili ogłoszenia wyroku NSA stała się umyślna. Administrator musi mieć realną możliwość zidentyfikowania procesów i wdrożenia działań naprawczych. Jednak dalsze utrzymywanie identycznego modelu przetwarzania po 14 lipca 2026 r., bez niezwłocznego rozpoczęcia audytu i bez podjęcia adekwatnych środków, byłoby znacznie trudniejsze do wyjaśnienia usprawiedliwionym błędem interpretacyjnym. Wiedza PZŁ o treści decyzji i prawomocnym wyniku kontroli sądowej może stanowić istotną okoliczność przy ocenie umyślnego lub niedbałego charakteru naruszenia na podstawie art. 83 ust. 2 lit. b RODO. Przy wymiarze ewentualnej kary znaczenie miałyby również czas trwania naruszenia, działania podjęte w celu ograniczenia jego skutków oraz stopień odpowiedzialności administratora.
UODO może wszcząć postępowanie obejmujące cały system przetwarzania danych
Prezes UODO nie musi czekać na kolejne skargi indywidualne. Może z urzędu wszcząć postępowanie dotyczące systemowego przetwarzania tych kategorii danych w strukturach PZŁ, poprzedzić je czynnościami kontrolnymi oraz zastosować uprawnienia naprawcze z art. 58 ust. 2 RODO. Organ mógłby w szczególności ustalić zakres i skalę przetwarzania, określić, które jednostki PZŁ pełnią funkcję administratora lub współadministratorów, nakazać dostosowanie operacji do RODO, ograniczyć albo zakazać dalszego przetwarzania oraz nakazać usunięcie danych pozbawionych podstawy prawnej. W odpowiednich okolicznościach może również nałożyć administracyjną karę pieniężną. Określenie takiego postępowania jako „ogólnokrajowego” opisuje jego możliwy zakres faktyczny, nie stanowi natomiast nazwy odrębnego trybu postępowania.
Wyrok nie tworzy natomiast automatycznego roszczenia odszkodowawczego dla wszystkich myśliwych. Art. 82 ust. 1 RODO wymaga wykazania naruszenia, poniesienia szkody oraz związku przyczynowego między nimi. TSUE w wyroku z 4 maja 2023 r. w sprawie C-300/21, Österreichische Post, stwierdził, że sama niezgodność przetwarzania z RODO nie wystarcza do zasądzenia odszkodowania, choć prawo krajowe nie może uzależniać naprawienia szkody niemajątkowej od przekroczenia określonego progu jej dotkliwości. W wyroku z 14 grudnia 2023 r. w sprawie C-340/21 Trybunał dopuścił uznanie uzasadnionej obawy przed niewłaściwym wykorzystaniem danych za szkodę niemajątkową. Prawomocne potwierdzenie bezprawności przetwarzania ma więc szczególne znaczenie dla uczestnika tej sprawy; inni członkowie musieliby wykazać własne, analogiczne okoliczności oraz indywidualną szkodę.
Bartosz Bacia-jest doktorem nauk prawnych i radcą prawnym
