W przypadku, gdy Spółka została wykreślona z rejestru przedsiębiorców Krajowego Rejestru Sądowego, oznacza to, że podmiot, wobec którego zostało wszczęte niniejsze postępowanie już nie istnieje. Powyższe powoduje tym samym niemożność wydania przez Generalnego Inspektora Ochrony Danych Osobowych wobec tego podmiotu jakiejkolwiek decyzji merytorycznej.

W sytuacji, gdy właścicielem domeny, na której znajdują się dane osobowe Skarżącego, jest osoba, której miejsce zamieszkania bądź adres wykonywanej działalności znajduje się w Wielkiej Brytanii, tj. poza granicami Rzeczpospolitej Polskiej, w kontekście ustalenia ewentualnego zaistnienia przesłanek dla sformułowania nakazu, o którym mowa w art. 18 ust. 1 ustawy o ochronie danych osobowych, jest bezprzedmiotowe, zaś podmiotem właściwym dla rozpatrywania takiej skargi będzie brytyjski odpowiednik organu do spraw ochrony danych osobowych, tj. Information Commissioner's Office.

W sytuacji, gdy kwestionowany proces przetwarzania danych osobowych w celach marketingowych nie jest już kontynuowany, nie ma podstaw do jego dalszego badania (do badania zdarzeń przeszłych, a nie mających miejsca obecnie).

Skarżący jako dłużnik musi liczyć się z tym, że popadając w zwłokę w spełnieniu zobowiązania jego prawo do prywatności może zostać ograniczone ze względu na dochodzenie przez wierzyciela należnych kwot. W przeciwnym wypadku mogłoby dojść do sytuacji, w której dłużnik, powołując się na prawo do ochrony danych osobowych, skutecznie uchyliłby się od spoczywającego na nim obowiązku spełnienia świadczenia i sytuacja taka ograniczałaby prawo wierzyciela do uzyskania należnej zapłaty.

Zgodnie z przepisem art. 105a ust. 3 Prawa bankowego, instytucje, o których mowa w ust. 1, mogą przetwarzać informacje stanowiące tajemnicę bankową dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów, bez zgody osoby, której informacje dotyczą, gdy osoba ta nie wykonała zobowiązania lub dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów, a po zaistnieniu tych okoliczności upłynęło co najmniej 30 dni od poinformowania tej osoby przez bank lub inną instytucję ustawowo upoważnioną do udzielania kredytów o zamiarze przetwarzania dotyczących jej informacji stanowiących tajemnicę bankową, bez jej zgody.

Administrator danych powinien dołożyć szczególnej staranności w celu ochrony interesów osób, których dane dotyczą i musi zapewnić, aby pozostające w jego posiadaniu dane były przetwarzane zgodnie z prawem.

Przekazanie danych osobowych Skarżącego przez Bank do BIK S.A. w celu oceny zdolności kredytowej i analizy ryzyka kredytowego nastąpiło w oparciu o przesłankę, o której mowa w art. 23 ust. 1 pkt 2 ustawy, w związku z art. 105a ust. 1 i art. 105 ust 4 Prawa bankowego. Dla legalności tego udostępnienia zgoda Skarżącego nie była wymagana.

W sytuacji, gdy proces przetwarzania danych osobowych nie jest już kontynuowany, badanie jego legalności, w kontekście ustalenia ewentualnego zaistnienia przesłanek dla sformułowania nakazu o którym mowa w art. 18 ust. 1 ustawy o ochronie danych osobowych, jest bezprzedmiotowe.

W razie wykazania przez osobę, której dane osobowe dotyczą, że są one niekompletne, nieaktualne, nieprawdziwe lub zostały zebrane z naruszeniem ustawy albo są zbędne do realizacji celu, dla którego zostały zebrane, administrator danych jest obowiązany, bez zbędnej zwłoki, do uzupełnienia, uaktualnienia, sprostowania danych, czasowego lub stałego wstrzymania przetwarzania kwestionowanych danych lub ich usunięcia ze zbioru, chyba że dotyczy to danych osobowych, w odniesieniu do których tryb ich uzupełnienia, uaktualnienia lub sprostowania określają odrębne ustawy.

Zgodnie z definicją określoną w art. 7 pkt 4 ustawy administratorem danych osobowych jest ten, kto decyduje o celach i środkach. Tak więc, jeżeli zarówno z innych postanowień umowy jak i samego procesu przetwarzania danych wynika, iż podmiot wskazany w umowie jako ten, któremu powierzono przetwarzanie danych, w rzeczywistości decyduje o celach i środkach, należy uznać iż administratorem danych jest właśnie ten podmiot.

Obowiązek informacyjny przewidziany w art. 33 ww. ustawy ma na celu zagwarantowanie osobom, których dane osobowe są przetwarzane, dostępu do informacji o okolicznościach ich przetwarzania. Prawidłowe i rzetelne wypełnienie przez administratora danych tego obowiązku jest niezbędne do zapewnienia osobie, której dane osobowe dotyczą, kontroli prawidłowości procesu przetwarzania jej danych osobowych oraz umożliwienia jej korzystania z uprawnień określonych w ustawie o ochronie danych osobowych.

Na podstawie materiału dowodowego należy stwierdzić, iż to Spółka decyduje o celach i środkach przetwarzania danych posiadaczy kart [...]. Klient co prawda posiada swobodę wyboru, czy karty będą imienne czy też na okaziciela, jednakże w przypadku, gdy zdecyduje się na karty imienne, to Spółka określa jaki zakres danych osobowych jest niezbędny dla wystawienia takich kart. Jeżeli klient natomiast zdecyduje się na karty na okaziciela, nie dochodzi do przetwarzania danych osobowych przez Spółkę.

Nawet jeżeli Spółka przetwarzała dane osobowe Skarżącego na stronie internetowej www.[...].pl z naruszeniem przepisów ustawy, to jednak aktualnie, wobec usunięcia jego danych, nie jest już ona administratorem danych osobowych Skarżącego w rozumieniu art. 7 pkt 4 ustawy o ochronie danych osobowych i nie decyduje już o celach i środkach przetwarzania danych osobowych Skarżącego.

Spółdzielnia jest podmiotem przetwarzającym dane osobowe jej członków. W związku z powyższym spoczywają na niej określone obowiązki wynikające z przepisów ustawy o ochronie danych osobowych. Naruszenie art. 27 ustawy o ochronie danych osobowych przez Spółdzielnię w pełni uzasadnia nakazanie Spółdzielni w drodze decyzji administracyjnej, usunięcia danych osobowych Skarżących w kwestionowanym zakresie.

Ustawa o ochronie danych osobowych reguluje zasady postępowania przy przetwarzaniu danych osobowych, a w szczególności zaś kwestię dopuszczalności przetwarzania (w tym udostępniania) danych osobowych, nie zaś kwestię dopuszczalności udostępnienia dokumentacji. W konsekwencji, Generalny Inspektor może nakazać jedynie udostępnienie danych, nie zaś udostępnienie dokumentacji. Sprawa w przedmiocie udostępnienia dokumentów z akt osobowych jest sprawą z zakresu prawa pracy w rozumieniu art. 476 § 1 pkt 1 kpc.

Nie można zgodzić się ze stanowiskiem, iż udostępnianie danych darczyńców osobom chorym, dla których ww. darczyńcy wpłacili środki finansowe jest, jak stanowi art. 23. ust. 1 pkt 5 ustawy o ochronie danych osobowych, niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez Fundację albo odbiorców danych.

Administrator danych powinien dołożyć szczególnej staranności w celu ochrony interesów osób, których dane dotyczą, a w szczególności zapewnić, by dane były zbierane dla oznaczonych, zgodnych z prawem celów i niepoddawane dalszemu przetwarzaniu niezgodnie z tymi celami.

W przypadku naruszenia przepisów ustawy o ochronie danych osobowych, Generalny Inspektor z urzędu lub na wniosek osoby zainteresowanej, w drodze decyzji administracyjnej, nakazuje przywrócenie stanu zgodnego z prawem. W sytuacji, gdy kwestionowany proces przetwarzania danych osobowych Skarżących nie jest już kontynuowany, badanie jego legalności, w kontekście sformułowania nakazu o którym mowa w art. 18 ust. 1 ustawy jest bezprzedmiotowe.

Zgodnie z art. 31 ust. 1 ustawy, administrator danych może powierzyć innemu podmiotowi, w drodze umowy zawartej na piśmie, przetwarzanie danych. Stosownie do ust. 2 ww. przepisu, podmiot, o którym mowa w ust. 1, może przetwarzać dane wyłącznie w zakresie i celu przewidzianym w umowie.

Każdej osobie przysługuje prawo do kontroli przetwarzania danych, które jej dotyczą, zawartych w zbiorach danych, a zwłaszcza prawo do wniesienia sprzeciwu wobec przetwarzania jej danych w przypadkach, gdy administrator danych zamierza je przetwarzać w celach marketingowych lub wobec przekazywania jego danych osobowych innemu administratorowi danych. W myśl art. 32 ust. 3 ustawy o ochronie danych osobowych, w razie wniesienia sprzeciwu dalsze przetwarzanie kwestionowanych danych jest niedopuszczalne. Administrator danych może jednak pozostawić w zbiorze imię lub imiona i nazwisko osoby oraz numer PESEL lub adres wyłącznie w celu uniknięcia ponownego wykorzystania danych tej osoby w celach objętych sprzeciwem.