Czy zaprzestanie prowadzenia działalności gospodarczej i wykreślenie z CEIDG oznacza kres odpowiedzialności za naruszenie RODO?

Czy zaprzestanie działalności gospodarczej przez jednoosobowego przedsiębiorcę to koniec potencjalnych problemów wynikających z wycieku z firmy danych osobowych? Czy wykreślenie przedsiębiorcy z CEIDG skutkuje tym, że traci on status administratora, a decyzja w/s naruszenia RODO może dotyczyć tylko administratora? Czy jednak zamknięcie działalności nie wiąże się z wygaśnięciem odpowiedzialności za uprzednie naruszenia prawa — bo człowiek ... Dowiedz się więcej Tekst Czy zaprzestanie prowadzenia działalności gospodarczej i wykreślenie z CEIDG oznacza kres odpowiedzialności za naruszenie RODO? pojawił się poraz pierwszy w Czasopismo Lege Artis.

Lut 20, 2025 - 06:26

Czy zaprzestanie prowadzenia działalności gospodarczej i wykreślenie z CEIDG oznacza kres odpowiedzialności za naruszenie RODO?

Czy zaprzestanie działalności gospodarczej przez jednoosobowego przedsiębiorcę to koniec potencjalnych problemów wynikających z wycieku z firmy danych osobowych? Czy wykreślenie przedsiębiorcy z CEIDG skutkuje tym, że traci on status administratora, a decyzja w/s naruszenia RODO może dotyczyć tylko administratora? Czy jednak zamknięcie działalności nie wiąże się z wygaśnięciem odpowiedzialności za uprzednie naruszenia prawa — bo człowiek nadal żyje, więc może ponosić konsekwencje? (wyrok WSA w Warszawie z 18 października 2024 r., II SA/Wa 74/24).

Centrum Południe Wrocław — Ujęcie czysto ilustracyjne (fot. Olgierd Rudak, CC BY-SA 4.0)

opis stanu faktycznego:

sprawa zaczęła się od skargi na bezprawne udostępnienie danych przez osobę fizyczną prowadzącą jednoosobową działalność gospodarczą;
dla ciekawskich: przedsiębiorca prowadził sklep ze sprzętem AGD, skarżący kupił od niego pralkę, pralka się zepsuła — wyciek miał polegać na udostępnieniu danych osobowych klienta do autoryzowanego serwisu producenta; zdaniem zainteresowanego, który początkowo zgłosił roszczenia z gwarancji, ale później postanowił skorzystać z rękojmi, skoro obowiązkiem sprzedającego było wymienić towar na nowy i wolny od wad, to żadna naprawa, a więc także przekazywanie jego danych serwisowi nie było konieczne;
w toku postępowania sklep powoływał się na procedurę ustaloną przez producenta pralki: rękojmia czy gwarancja, zgłoszenie wymaga prawidłowej obsługi, w tym podania numeru telefonu konsumenta, już choćby dla umówienia się w celu odbioru zepsutego sprzętu, a ta informacja była prawidłowo wyłuszczona w klauzuli informacyjnej; PUODO najwyraźniej ten tok myślenia był gotów zaakceptować…

…aczkolwiek, ponieważ jeszcze przed wydaniem decyzji przedsiębiorca został wykreślony z CEIDG, PUODO (pamiętając, że sprawę rozstrzyga się według stanu z chwili wydania decyzji) uznał, że „przedsiębiorca aktualnie już nie istnieje”, więc utracił status administratora, zatem nie można wydać wobec niego decyzji — i umorzył postępowanie jako bezprzedmiotowe;

art. 4 ust. 1 prawa przedsiębiorców
Przedsiębiorcą jest osoba fizyczna, osoba prawna lub jednostka organizacyjna niebędąca osobą prawną, której odrębna ustawa przyznaje zdolność prawną, wykonująca działalność gospodarczą.

art. 105 par. 1 kodeksu postępowania administracyjnego
Gdy postępowanie z jakiejkolwiek przyczyny stało się bezprzedmiotowe w całości albo w części, organ administracji publicznej wydaje decyzję o umorzeniu postępowania odpowiednio w całości albo w części.

w skardze na to postanowienie klient zwrócił uwagę, że przedsiębiorcą jest osoba fizyczna, zaś firma przedsiębiorcy jest niezbywalna, więc nawet jeśli wykreślenie przedsiębiorcy z CEIDG zmienia jego status jako administratora w/g RODO, to nie oznacza wygaśnięcia odpowiedzialności za różne zdarzenia, które miały miejsce podczas jej prowadzenia;
(zarazem twierdził, że na przekazanie numeru telefonu do autoryzowanego serwisu się nie zgadzał, zaś sklep nie mógł takiej zgody domniemywać z faktu, że ten numer znał);

orzeczenie WSA:

zgodnie z prawem przedsiębiorcą jest osoba fizyczna (osoba prawna lub inna jednostka organizacyjna pozbawiona osobowości prawnej), która wykonuje działalność gospodarczą;
odpowiedzialność za naruszenie zasad przetwarzania danych osobowych ponosi administrator;
administratorem danych osobowych był przedsiębiorca prowadzący sklep;
zatem wykreślenie przedsiębiorcy z CEIDG oznacza, iż status administratora w rozumieniu RODO już mu nie przysługuje, a więc nie może być adresatem ewentualnej decyzji;
i chociaż rację ma skarżący, że zakończenie działalności gospodarczej nie wiąże się z wygaśnięciem odpowiedzialności cywilnoprawnej — choćby za szkodę wyrządzoną wskutek bezprawnego przetwarzania danych osobowych — to jednak wskutek zamknięcia działalności gospodarczej sklep danych klienta już nie przetwarza, a więc nie jest administratorem — zaś taka zmiana podmiotowo-przedmiotowa postępowania wyklucza dalsze prowadzenie postępowania, które podlega umorzeniu jako bezprzedmiotowe;
(całkiem na marginesie WSA zgodził się, że przetwarzanie danych w celu rozpatrzenia reklamacji mieściło się w art. 6 ust. 1 lit. c RODO, zaś ich udostępnienie autoryzowanemu serwisowi miało na celu weryfikację roszczeń z tytułu rękojmi, a więc opierało się na prawnie uzasadnionym interesie administratora).

Zamiast komentarza: co było, a w rejestr już nie jest, się umarza? Swego czasu PUODO i WSA dość konsekwentnie stali na stanowisku, iż zaprzestanie przetwarzania danych skutkuje umorzeniem postępowania ze skargi (por. wyrok WSA w Warszawie z 24 lipca 2020 r., II SA/Wa 1369/19). Później front się nieco zmienił: skoro doszło do naruszenia, to urząd powinien sprawę zbadać i ocenić naruszenie, nawet jeśli administrator dane już usunął (wyrok WSA w Warszawie z 24 marca 2021 r., II SA/Wa 1336/20). Czy jednak zarówno definicja administratora, jak i definicja strony w kpa usprawiedliwia umorzenie ze względu na bezprzedmiotowość?

Tekst Czy zaprzestanie prowadzenia działalności gospodarczej i wykreślenie z CEIDG oznacza kres odpowiedzialności za naruszenie RODO? pojawił się poraz pierwszy w Czasopismo Lege Artis.

Czytaj Więcej