Z przepisu art. 33a ustawy Prawo przewozowe wynika, że dane osobowe pasażerów przetwarzać mogą „przewoźnik albo osoba przez niego upoważniona", to w każdym przypadku skutki prawne działań podejmowanych przez pracowników firm, które dokonują kontroli biletowej za zgodą i wiedzą przewoźnika, powstają bezpośrednio w sferze prawnej z jednej strony - przewoźnika, a z drugiej - podróżnego. Nie jest zatem dopuszczalne zawarcie przez przewoźnika umowy, na podstawie której nastąpiłaby sukcesja prawna na rzecz firmy kontrolującej bilety, bowiem przewoźnik może jedynie upoważnić ją do działania w swoim imieniu.

Treść i forma załączonej do przedmiotowej sprawy umowy zlecenia wykonania ochrony transportu wartości pieniężnych zawartej pomiędzy Towarzystwem, a Agencja Ochrony wskazuje, iż Spółka powierzyła do przetwarzania Agencji dane osobowe Skarżącej, zgodnie z dyspozycją art. 31 ustawy o ochronie danych osobowych. Należy przy tym podkreślić, iż ze złożonych w sprawie wyjaśnień i przedstawionej dokumentacji nie wynika, aby Agencja, przetwarzała dane Skarżącej niezgodnie z celem i zakresem wskazanym pierwotnie przez administratora danych w umowie powierzenia.

Legalność przetwarzania przez Spółkę danych osobowych Skarżącego na podstawie i w celu określonym w art. 19 ust. 2 pkt 3 i art. 21 ust. 1 ustawy o świadczeniu usług drogą elektroniczną nie jest uzależniona od wyrażenia przez niego zgody.