Centralna Baza Orzeczeń Sądów Administracyjnych

Naczelny Sąd Administracyjny w składzie: Przewodniczący: sędzia NSA Jerzy Stelmasiak Sędziowie: sędzia NSA Piotr Korzeniowski sędzia del. WSA Mariusz Kotulski (spr.) Protokolant: starszy asystent sędziego Tomasz Godlewski po rozpoznaniu w dniu 19 września 2023 r. na rozprawie w Izbie Ogólnoadministracyjnej sprawy ze skargi kasacyjnej [...] sp. z o.o. z siedzibą w [...] (obecnie [...] sp. z o.o. w [...]) od pkt 3 wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 11 grudnia 2019 r. sygn. akt II SA/Wa 1030/19 w sprawie ze skargi [...] sp. z o.o. z siedzibą w [...] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] marca 2019 r. nr [...] w przedmiocie przetwarzania danych osobowych 1. oddala skargę kasacyjną, 2. zasądza od [...] sp. z o.o. w [...] na rzecz Prezesa Urzędu Ochrony Danych Osobowych kwotę 5400 (pięć tysięcy czterysta) złotych tytułem zwrotu kosztów postępowania kasacyjnego.

Wojewódzki Sąd Administracyjny w Warszawie wyrokiem z dnia 11 grudnia 2019 r. sygn. akt II SA/Wa 1030/19, po rozpoznaniu skargi [...] Sp. z o.o. z siedzibą w [...] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] marca 2019 r. nr [...] w przedmiocie przetwarzania danych osobowych: uchylił punkt 1 zaskarżonej decyzji w zakresie w jakim nakazywała ona [...] Sp. z o.o. z siedzibą w [...] dopełnienie obowiązku podania informacji określonych w art. 14 ust. 1 i 2 rozporządzenia Parlamentu Europejskiego i Rady UE 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. EU L 119 z dnia 4 maja 2016 r., str. 1, ze zmianą ogłoszoną w Dz. Urz. UE L 127 z dnia 23 maja 2018 r., str. 2) osobom fizycznym, których dane osobowe [...] Sp. z o.o. z siedzibą w [...] przetwarza, prowadzącym w przeszłości jednoosobową działalność gospodarczą, którym informacje te nie zostały podane (pkt 1), uchylił punkt 2 zaskarżonej decyzji (pkt 2), oddalił skargę w pozostałym zakresie (pkt 3), a także zasądził od Prezesa Urzędu Ochrony Danych Osobowych na rzecz [...] Sp. z o.o. z siedzibą w [...] kwotę 20.235 zł, tytułem zwrotu kosztów postępowania (pkt 4).

Wyrok zapadł w następującym stanie faktycznym i prawnym sprawy.

Prezes Urzędu Ochrony Danych Osobowych decyzją z dnia [...] marca 2019 r. nr [...], na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2018 r. poz. 2096, z późn. zm., zwana dalej: "k.p.a.") oraz art. 7 ust. 1 i 2, art. 60 i art. 101 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2018 r. poz. 1000, z późn. zm., zwana dalej: "u.o.d.o.") w związku z art. 12 ust. 1, art. 14 ust. 1 - 3 i art. 58 ust. 2 lit. d i lit. i oraz z art. 83 ust. 5 lit. b Rozporządzenia Parlamentu Europejskiego i Rady UE 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1, ze zmianą ogłoszoną w Dz. Urz. UE L 127 z 23.05.2018, str. 2), zwanego dalej: "rozporządzeniem 2016/679", "RODO", po przeprowadzeniu postępowania administracyjnego w sprawie przetwarzania danych osobowych przez [...] Sp. z o. o. z siedzibą w [...], stwierdzając naruszenie przez Spółkę przepisów art. 14 ust. 1-3 rozporządzenia 2016/679, polegające na niepodaniu informacji zawartych w art. 14 ust. 1 i 2 wyżej powołanego rozporządzenia wszystkim osobom fizycznym, których dane osobowe [...] Sp. z o. o. przetwarza, prowadzącym aktualnie lub w przeszłości jednoosobową działalność gospodarczą oraz osobom fizycznym, które zawiesiły wykonywanie tej działalności;

- w punkcie 1 nakazał [...] Sp. z o. o. z siedzibą w [...] dopełnienie obowiązku podania informacji określonych w art. 14 ust. 1 i 2 rozporządzenia 2016/679, osobom fizycznym, których dane osobowe [...] Sp. z o. o. przetwarza, prowadzącym aktualnie lub w przeszłości jednoosobową działalność gospodarczą oraz osobom fizycznym, które zawiesiły wykonywanie tej działalność, którym informacje te nie zostały podane - w terminie trzech miesięcy od dnia doręczenia niniejszej decyzji;

- w punkcie 2 nałożył na [...] Sp. z o. o. z siedzibą w [...] za naruszenie stwierdzone w niniejszej decyzji, administracyjną karę pieniężną w wysokości 943.470,00 PLN.

Na powyższą decyzję [...] Sp. z o.o. z siedzibą w [...], wniosła skargę do Wojewódzkiego Sądu Administracyjnego w Warszawie.

Prezes Urzędu Ochrony Danych Osobowych w odpowiedzi na skargę wniósł o jej oddalenie, podtrzymując ustalenia dokonane w zaskarżonej decyzji.

Wojewódzki Sąd Administracyjny w Warszawie postanowieniem z dnia 3 czerwca 2019 r. sygn. akt II SA/Wa 1030/19 po rozpatrzeniu wniosku Spółki wstrzymał wykonanie punktu pierwszego decyzji Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] marca 2019 r. nr [...] i oddalił wniosek w pozostałym zakresie.

W piśmie procesowym z 4 grudnia 2019 r. pełnomocnik Spółki odnosząc się do odpowiedzi na skargę podtrzymał dotychczasowe zarzuty. Wskazał m.in., że w uzasadnieniu zaskarżonej decyzji, organ przyjął liczbę 6.671.368 jako liczbę osób dotkniętych rzekomym naruszeniem, którego miała dopuścić się skarżąca.

Wojewódzki Sąd Administracyjny w Warszawie w powołanym wyżej wyroku uznał, że skarga w części była zasadna i zasługiwała na uwzględnienie.

Uzasadniając swoje stanowisko Sąd I instancji wskazał, że zaskarżona decyzja Prezesa UODO w części w jakiej nakazuje Spółce dopełnienie obowiązku podania informacji określonych w art. 14 ust. 1 i 2 rozporządzenia 2016/679 osobom fizycznym prowadzącym w przeszłości jednoosobową działalność gospodarczą, którym informacje te nie zostały podane, wydana została z naruszeniem prawa procesowego, tj. art. 7, art. 77 § 1 i art. 80 k.p.a., które mogło mieć istotny wpływ na wynik sprawy. W ocenie Sądu brak jest na tym etapie postępowania podstaw do stwierdzenia nieważności zaskarżonej decyzji we wskazanym zakresie, jak chciałaby tego Spółka. Przede wszystkim zauważyć należy, że organ nie dokonał żadnych ustaleń, co do faktycznej możliwości wykonania przez Spółkę wobec tych osób obowiązku, o którym mowa wyżej, z uwzględnieniem konieczności osiągnięcia rzeczywistego celu jego realizacji. Organ nie ustalił bowiem, czy istnieje możliwość faktycznego dotarcia informacji, o których mowa w powołanych przepisach rozporządzenia 2016/679 do adresata będącego w tym przypadku osobą fizyczną, która nie prowadzi już działalności gospodarczej (w decyzji określona jako osoba fizyczna prowadząca w przeszłości jednoosobową działalność gospodarczą).

Fakt, że Spółka na etapie postępowania administracyjnego nie podnosiła okoliczności, że nie dysponuje aktualnymi adresami tych osób, nie zwalniał organu od dokonania ustaleń, czy Spółka dysponując tymi danymi, które w zbiorze danych posiada i przetwarza, ma możliwość realnego dotarcia z informacją określoną w art. 14 ust. 1 i 2 rozporządzenia 2016/679 – poprzez przesłanie drogą pocztową lub poprzez kontakt telefoniczny – do tych właśnie osób. W decyzji nie ma ustaleń w stosunku do ilu osób, które w przeszłości prowadziły jednoosobową działalność gospodarczą istnieje faktyczna możliwość realizacji nałożonego w decyzji w tym zakresie obowiązku. Organ wskazał, że poza imieniem i nazwiskiem takiej osoby (jak i innych osób prowadzących jednoosobową działalność gospodarczą ujętych w decyzji), Spółka przetwarza m.in. także nazwę przedsiębiorstwa, adres rejestrowy oraz inne adresy, opcjonalnie numer telefonu. W decyzji nie określono, czy chodzi o adres do doręczeń, adres stałego miejsca wykonywania działalności gospodarczej (art. 5 ust. 1 pkt 6 ustawy o CEIDG), czy też mowa o innych adresach, a jeśli tak, to o jakich.

Wojewódzki Sąd Administracyjny w Warszawie podzielił podniesione w skardze wątpliwości Spółki co do ewentualnych możliwości pozyskania aktualnych danych kontaktowych tych osób. Oczywiście wobec braku ustaleń organu w decyzji w tym zakresie nie sposób stwierdzić, czy i w odniesieniu do ilu osób fizycznych, które w przeszłości prowadziły jednoosobową działalność gospodarczą w istocie możliwa jest realizacja obowiązku określonego w art. 14 ust. 1 i 2 rozporządzenia 2016/679. Organ ponownie rozpoznając sprawę w tym zakresie obowiązany będzie dokonać niezbędnych ustaleń.

Sąd I instancji podkreślił, że w niniejszej sprawie nie miał podstaw, aby przyjąć, że nałożona kara pieniężna jest proporcjonalna do stwierdzonego naruszenia przepisu art. 14 ust. 1 i 2 rozporządzenia 2016/679, jak wymaga tego art. 83 ust. 1 tegoż rozporządzenia. Sąd podzielił wprawdzie stwierdzenie organu, że naruszenie ma poważny charakter, albowiem dotyczy podstawowych praw i wolności osób fizycznych, narusza również zasadę przejrzystości i rzetelności (art. 5 ust. 1 lit. a rozporządzenia), jednakże powyższe nie przesądza – w stanie faktycznym tej sprawy – o niezasadności zarzutu naruszenia przez organ art. 83 rozporządzenia 2016/679. Sąd zauważył przy tym, że poniesiona szkoda, o której jest mowa w art. 83 ust. 2 lit. a rozporządzenia 2016/679, w okolicznościach każdego przypadku powinna być rozumiana inaczej. Liczba poszkodowanych osób, o których także jest mowa w tym przepisie, to liczba osób, wobec których w tym konkretnym przypadku Spółka nie dopełniła ciążącego na niej obowiązku określonego w art. 14 ust. 1 i 2 rozporządzenia 2016/679.

Do organu należy ponowna ocena tak co do niezbędności zastosowania administracyjnej kary pieniężnej w tej sprawie jak i – w przypadku podtrzymania stanowiska co do potrzeby wymierzenia kary pieniężnej – ustalenia jej wysokości z uwzględnieniem wymogów art. 83 rozporządzenia 2016/679.

W ocenie Sądu w sprawie tej nie wystąpiły przesłanki, które mogłyby uzasadniać wystąpienie z pytaniem prejudycjalnym do Trybunału Sprawiedliwości Unii Europejskiej.

Skargę kasacyjną od tego wyroku wniosła [...] Sp. z o.o. z siedzibą w [...], zaskarżając wyrok w części, tj. punktu 3 zarzucając mu:

I. naruszenie przepisów prawa materialnego, tj.:

1) art. 145 § 1 pkt 1 lit. a) ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2019 r. poz. 2325 z późn. zm., zwana dalej: "p.p.s.a.") w zw. z art. 14 ust. 5 lit. b) RODO w związku z art. 14 ust. 1 i 2 RODO, polegające na ich błędnej wykładni, a także niewłaściwym zastosowaniu i niezasadnym przyjęciu przez WSA, że Skarżąca kasacyjnie powinna była zrealizować obowiązek informacyjny, o którym mowa w art. 14 ust. 1 i 2 RODO wobec osób fizycznych prowadzących aktualnie działalność gospodarczą oraz osób, które taką działalność zawiesiły, podczas gdy Skarżąca kasacyjnie miała podstawy, by oprzeć się na wyjątku od tego obowiązku, ustanowionym w art. 14 ust. 5 lit. b) RODO, w związku z tym, że wykonanie go wymagałoby niewspółmiernie dużego wysiłku, rozumianego jako nadmierne obciążenie organizacyjne oraz finansowe dla Skarżącej kasacyjnie, niewspółmierne do ryzyka i ewentualnego uszczerbku dla praw lub wolności osób, których dane dotyczą;

2) art. 145 § 1 pkt 1 lit. a) p.p.s.a. w zw. z art. 14 ust. 5 lit. c) RODO, polegające na jego niewłaściwym zastosowaniu i niezasadnym przyjęciu przez WSA, że prawo do ponownego wykorzystywania informacji sektora publicznego w celach komercyjnych uregulowane w przepisie art. 5 ustawy z dnia 25 lutego 2016 roku o ponownym wykorzystywaniu informacji sektora publicznego nie stanowi normy uprawniającej do pozyskiwania danych wyraźnie uregulowanego przepisami prawa krajowego w rozumieniu przepisu art. 14 ust. 5 lit. c) RODO;

3) art. 145 § 1 pkt 1 lit. a) p.p.s.a. w zw. z art. 14 ust. 5 lit. b) RODO w związku z art. 14 ust. 1 i 2 RODO, polegające na ich niewłaściwym zastosowaniu i niezasadnym przyjęciu przez WSA, że Skarżąca kasacyjnie powinna była zrealizować obowiązek informacyjny, o którym mowa w art. 14 ust. 1 i 2 RODO wobec osób fizycznych prowadzących aktualnie działalność gospodarczą oraz osób, które taką działalność zawiesiły, podczas gdy Skarżąca kasacyjnie miała podstawy, by oprzeć się na wyjątku od tego obowiązku, ustanowionym w art. 14 ust. 5 lit. b) RODO, w związku z tym, że wykonanie tego obowiązku uniemożliwi lub poważnie utrudni realizację celów przetwarzania danych osobowych przez Spółkę;

II. naruszenie przepisów postępowania mające istotny wpływ na wynik sprawy, tj.:

4) art. 141 § 4 p.p.s.a. poprzez wadliwe uzasadnienie wydanego wyroku, polegające na niepełnym (zdawkowym) odniesieniu się do braku możliwości powołania się przez Skarżącą kasacyjnie na wyjątek określony w art. 14 ust. 5 lit. c) RODO, w związku z art. 45 ust. 1 ustawy z dnia 6 marca 2018 r. o Centralnej Ewidencji i Informacji o Działalności Gospodarczej i Punkcie Informacji dla Przedsiębiorcy (Dz. U. z 2019 r. poz. 1291, ze zm., zwana dalej: "Ustawa o CEIDG"), co miało istotny wpływ na wynik sprawy, ponieważ pozbawiło Skarżącą kasacyjnie informacji o przesłankach rozstrzygnięcia i uniemożliwiło kontrolę instancyjną zaskarżonego wyroku;

5) art. 141 § 4 p.p.s.a. poprzez wadliwe uzasadnienie wydanego wyroku, polegające na niepełnym (zdawkowym) odniesieniu się do braku możliwości powołania się przez Skarżącą kasacyjnie na wyłączenie od realizacji obowiązku informacyjnego określone w art. 50 Ustawy o CEIDG (w brzmieniu obowiązującym w dniu wydania decyzji, której dotyczy zaskarżony wyrok), w związku z art. 23 ust. 1 lit. c) oraz i) RODO, które wyłączały zastosowanie przepisów o ochronie danych osobowych w stosunku do jawnych danych i informacji udostępnianych w ramach Centralnej Ewidencji i Informacji Gospodarczej (dalej również jako "CEIDG") w zakresie obowiązków informacyjnych, co miało istotny wpływ na wynik sprawy, ponieważ pozbawiło Skarżącą kasacyjnie informacji o przesłankach rozstrzygnięcia i uniemożliwiło kontrolę instancyjną zaskarżonego wyroku;

6) art. 141 § 4 p.p.s.a. poprzez wadliwe uzasadnienie wydanego wyroku, polegające na niepełnym (zdawkowym) odniesieniu się do obowiązku zastosowania art. 14 ust. 1 i 2 oraz art. 99 ust. 1 i 2 RODO w świetle brzmienia motywu 171 preambuły RODO, do danych osobowych pochodzących (zebranych) z CEIDG przez Skarżącą kasacyjnie przed 25 maja 2018 r., co miało istotny wpływ na wynik sprawy, ponieważ pozbawiło Skarżącą kasacyjnie informacji o przesłankach rozstrzygnięcia i uniemożliwiło kontrolę instancyjną zaskarżonego wyroku.

Mając powyższe na uwadze skarżąca kasacyjnie Spółka wniosła o uchylenie zaskarżonego wyroku w zaskarżonej części, tj. punktu 3 sentencji zaskarżonego wyroku oraz uchylenie decyzji Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] marca 2019 r. w części, w jakiej nakazuje ona Skarżącej kasacyjnie dopełnienie obowiązku podania informacji określonych w art. 14 ust. 1 i 2 RODO, osobom fizycznym, których dane osobowe Spółka przetwarza, prowadzącym aktualnie jednoosobową działalność gospodarczą oraz osobom fizycznym, które zawiesiły wykonywanie tej działalności, którym informacje te nie zostały podane, względnie o uchylenie zaskarżonego wyroku w zaskarżonej części, tj. punktu 3 sentencji wyroku i przekazanie sprawy do ponownego rozpoznania Wojewódzkiemu Sądowi Administracyjnemu w Warszawie. Jednocześnie wniosła o zasądzenie kosztów postępowania według norm przepisanych, a także rozpoznanie sprawy objętej niniejszą skargą kasacyjną na rozprawie.

W związku z wątpliwościami dotyczącymi interpretacji przepisu art. 14 ust. 5 lit. b) oraz art. 99 ust. 1 i 2 RODO w świetle brzmienia motywu 171 preambuły RODO, skarżąca kasacyjnie Spółka wniosła o zawieszenie przez Sąd postępowania z urzędu w trybie art. 124 § 1 pkt 5 p.p.s.a. i zwrócenie się do Trybunału Sprawiedliwości Unii Europejskiej, na podstawie art. 267 zdanie 3 Traktatu o funkcjonowaniu Unii Europejskiej, z następującymi pytaniami prawnymi w trybie prejudycjalnym:

a) Czy pojęcie "niewspółmiernie dużego wysiłku", o którym mowa w art. 14 ust. 5 lit. b) rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) ma zastosowanie w sytuacji, w której administrator przetwarza na dużą skalę dane kontaktowe dotyczące przedsiębiorców - osób wykonujących jednoosobowo działalność gospodarczą, pozyskane z ogólnodostępnych rejestrów publicznych? Czy na odpowiedź na to pytanie ma wpływ liczba osób, których dane dotyczą, do których administrator miałby wysłać powiadomienia, zawierające informacje wymagane przez art. 15 ust. 1 i 2 ogólnego rozporządzenia o ochronie danych?

b) Czy pojęcie "niewspółmiernie dużego wysiłku", o którym mowa w art. 14 ust. 5 lit. b) ogólnego rozporządzenia o ochronie danych odnosi się do takiego obciążenia organizacyjnego lub finansowego administratora, które mogłoby prowadzić do utraty płynności finansowej, na przykład konieczności poniesienia przez administratora kosztów wysłania pocztą tradycyjną kilku milionów listów z powiadomieniami, zawierającymi informacje wymagane przez art. 14 ust. 1 i 2 ogólnego rozporządzenia o ochronie danych?

c) Czy art. 99 ust. 1 i 2 ogólnego rozporządzenia o ochronie danych oraz motyw 171 ogólnego rozporządzenia o ochronie danych należy interpretować w taki sposób, że administrator powinien zrealizować obowiązek informacyjny, o którym mowa w art. 14 ust. 1 i 2 ogólnego rozporządzenia o ochronie danych, wobec osób, których dane dotyczą, których dane administrator zebrał przed wejściem w życie ogólnego rozporządzenia o ochronie danych, a więc przed 24 maja 2016 roku? Czy odpowiedź na to pytanie różniłaby się w przypadku, gdy administrator zebrał dane w okresie po wejściu w życie ogólnego rozporządzenia o ochronie danych, a przed rozpoczęciem jego stosowania, a więc przed 25 maja 2018 roku?

Powyższe zarzuty rozwinięto w uzasadnieniu skargi kasacyjnej.

W odpowiedzi na skargę kasacyjną Prezes Urzędu Ochrony Danych Osobowych wniósł o jej oddalenie.

Pismem z 9 czerwca 2020 r. [...] Spółka z o.o. z siedzibą w [...] podtrzymała swoje dotychczasowe stanowisko w sprawie.

Pismem z 26 listopada 2021 r. pełnomocnik skarżącej kasacyjnie Spółki poinformował, że nastąpiła zmiana nazwy spółki z dotychczasowej "[...] Sp. z o.o." na obecną "[...] Sp. z o.o.". Jednocześnie wskazał, że zmianie uległa jedynie firma skarżącej kasacyjnie, natomiast wszystkie pozostałe dane, w tym również numer NIP i KRS pozostały bez zmian.

Pismem z 10 grudnia 2021 r. pełnomocnik skarżącej kasacyjnie Spółki ponownie poinformował o zmianie nazwy spółki oraz przesłał centralną informację z Krajowego Rejestru Sadowego.

Pismem z 30 sierpnia 2023 r. pełnomocnik Spółki [...] Sp. z o.o. z siedzibą w [...] podtrzymała dotychczasowe stanowisko w sprawie.

Naczelny Sąd Administracyjny zważył, co następuje.

Zgodnie z art. 183 § 1 p.p.s.a. Naczelny Sąd Administracyjny przy rozpatrywaniu sprawy na skutek wniesienia skargi kasacyjnej związany jest granicami tej skargi, a z urzędu bierze pod rozwagę tylko nieważność postępowania w wypadkach określonych w § 2, z których żaden w rozpoznawanej sprawie nie zachodzi. Oznacza to, że przytoczone w skardze kasacyjnej przyczyny wadliwości prawnej zaskarżonego orzeczenia determinują zakres kontroli dokonywanej przez Naczelny Sąd Administracyjny. Sąd ten, w odróżnieniu od wojewódzkiego sądu administracyjnego, nie bada całokształtu sprawy, lecz tylko weryfikuje zasadność zarzutów postawionych w skardze kasacyjnej.

Podstawy, na których można oprzeć skargę kasacyjną zostały określone w art.174 p.p.s.a. Przepis art. 174 pkt 1 p.p.s.a. przewiduje dwie postacie naruszenia prawa materialnego, a mianowicie błędną jego wykładnię lub niewłaściwe zastosowanie. Przez błędną wykładnię należy rozumieć niewłaściwe zrekonstruowanie treści normy prawnej wynikającej z konkretnego przepisu, natomiast przez niewłaściwe zastosowanie, dokonanie wadliwej subsumcji przepisu do ustalonego stanu faktycznego. Również druga podstawa kasacyjna wymieniona w art. 174 pkt 2 p.p.s.a. – naruszenie przepisów postępowania – może przejawiać się w tych samych postaciach, co naruszenie prawa materialnego, przy czym w wypadku oparcia skargi kasacyjnej na tej podstawie skarżący powinien nadto wykazać istotny wpływ wytkniętego uchybienia na wynik sprawy.

Na wstępie stwierdzić należy, że nieuzasadniony jest zarzut naruszenia art. 141 § 4 p.p.s.a., który określa elementy, jakie powinno zawierać uzasadnienie wyroku i ma charakter formalny. O naruszeniu tego przepisu można mówić w przypadku, gdy uzasadnienie wyroku nie spełnia określonych w nim warunków. W orzecznictwie przyjmuje się, że art. 141 § 4 p.p.s.a. może stanowić samodzielną podstawę kasacyjną wówczas, gdy uzasadnienie wyroku nie zawiera stanowiska co do stanu faktycznego przyjętego za podstawę rozstrzygnięcia (por. uchwała składu siedmiu sędziów NSA z dnia 15 lutego 2010 r. sygn. akt II FPS 9/09 ONSAiWSA 2010/3/39) bądź uniemożliwia dokonanie przez Naczelny Sąd Administracyjny kontroli instancyjnej zaskarżonego wyroku (por. wyroki NSA z dnia: 28 września 2010 r., sygn. akt I OSK 1605/09; 13 października 2010 r., sygn. akt II FSK 1479/09). Co więcej Sąd ma obowiązek zwięzłego przedstawienia stanu sprawy, co obejmuje nie tylko przytoczenie ustaleń dokonanych przez organ administracji publicznej, ale także ich ocenę pod względem zgodności z prawem. W niniejszej sprawie uzasadnienie zaskarżonego wyroku spełnia wymogi określone w art. 141 § 4 p.p.s.a. Przedstawiono w nim stan faktyczny sprawy, podano zarzuty sformułowane w skardze, stanowisko organu oraz wskazano podstawę prawną rozstrzygnięcia i jej wyjaśnienie. Analiza uzasadnienia zaskarżonego wyroku pozwala zatem na prześledzenie toku rozumowania Wojewódzkiego Sądu Administracyjnego w Warszawie i poznanie motywów, jakimi kierował się podejmując rozstrzygnięcie w sprawie. Podkreślenia wymaga, iż za pomocą zarzutu naruszenia art. 141 § 4 p.p.s.a nie można skutecznie zwalczać prawidłowości przyjętego przez sąd stanu faktycznego, czy też stanowiska co do wykładni bądź zastosowania prawa materialnego, czy procesowego. Fakt reprezentowania odmiennego poglądu prawnego przez skarżącego kasacyjnie, nie oznacza wadliwości uzasadnienia zaskarżonego wyroku.

Nie jest także kwestionowany przez stronę ustalony przez organ i przyjęty przez Sąd I instancji stan faktyczny w niniejszej sprawie. Sama Spółka przyznaje, że dokonuje przetwarzania danych osobowych, a wykonanie obowiązku nałożonego przez organ (w tej części, którą zaakceptował Sąd I instancji) "uniemożliwi lub poważnie utrudni realizację celów przetwarzania danych osobowych przez Spółkę". Skarżąca Spółka pozyskuje dane osobowe ze źródeł jakimi są publicznie dostępne rejestry m.in. z Centralnej Ewidencji i Informacji o Działalności Gospodarczej, a następnie przetwarzając je poprzez ich zestawienie i analizę przygotowuje określone informacje dla swoich klientów. Zatem w swojej komercyjnej działalności Spółka dokonuje działań na dużych zbiorach danych oraz wciąż poszerza posiadaną przez siebie bazę danych liczącą "kilka milionów rekordów, którymi Skarżąca kasacyjnie administruje’.

Natomiast w świetle zarzutów naruszenia prawa materialnego podstawowe znaczenie ma zarzut naruszenia art. 14 ust. 5 lit. b) RODO w związku z art. 14 ust. 1 i 2 RODO, polegające na ich błędnej wykładni, a także niewłaściwym zastosowaniu. Ową błędną wykładnię Spółka upatruje w utożsamianiu pojęcia "niewspółmiernie dużego wysiłku" wyłącznie z kosztem realizacji obowiązku informacyjnego. Tymczasem «"niewspółmierność" wysiłku musi mieć punkt odniesienia (niewspółmierność "od czegoś") i tym punktem odniesienia jest szkoda, jaka w konkretnych okolicznościach poniósłby podmiot danych w związku z brakiem informacji, o których mowa w art.14 ust. 1 i 2 RODO».

Istotą sporu w niniejszej sprawie jest więc relacja pomiędzy obowiązkiem wynikającym z art.14 ust. 1 i 2 RODO a wyjątkiem wskazanym w art. 14 ust. 5 lit. b) RODO. Na wstępie zwrócić należy uwagę, iż jak wynika z rozporządzenia 2016/679 podstawowym elementem korzystania i przetwarzania danych osób fizycznych jest transparentność. Cecha ta wynika z art. 5 RODO, gdzie wyraźnie wskazano, że dane osobowe muszą być przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą ("zgodność z prawem, rzetelność i przejrzystość") oraz art. 12 RODO, gdzie sformułowane zostały obowiązki administratora danych względem osób, których dane są przetwarzane. Koncentrują się one odpowiednio na trzech elementach: przejrzystym informowaniu i komunikacji, umożliwieniu osobie, której dane dotyczą wykonywaniu jej praw oraz udzieleniu informacji o podjętych działaniach. Przede wszystkim administrator ma podjąć odpowiednie środki, aby w zwięzłej przejrzystej, zrozumiałej i łatwo dostępnej formie, a więc jasnym i prostym językiem udzielić osobie, której dane dotyczą, wszelkich informacji, o których mowa w art. 13 i 14 RODO, oraz prowadzić z nią wszelką komunikację na mocy art. 15 - 22 i 34 RODO w sprawie przetwarzania. Informacji udziela się na piśmie lub w inny sposób, w tym w stosownych przypadkach - elektronicznie. W konsekwencji administrator ma ułatwiać osobie, której dane dotyczą, wykonywanie praw przysługujących jej na mocy art. 15 – 22 RODO.

Artykuł 14 ust. 1 i 2 RODO precyzuje sposób postępowania administratora danych w przypadku pozyskiwania danych osobowych w sposób inny niż od osoby, której dane dotyczą. Co istotne, każdy taki podmiot jest co do zasady zobowiązany do poinformowania osoby, której dane przetwarza o tym fakcie.

Jednocześnie unijny prawodawca wprowadził w art. 14 ust. 5 lit. a – d RODO katalog czterech wyjątków od wyżej przedstawionych obowiązków. W przesłance zamieszczonej w art. 14 ust. 5 lit. b RODO (na którą powołuje się strona skarżąca kasacyjnie) wskazano, że wskazane w art. 14 ust. 1-4 RODO obowiązki nie mają zastosowania, jeżeli udzielenie takich informacji okazuje się niemożliwe lub wymagałoby niewspółmiernie dużego wysiłku; w szczególności w przypadku przetwarzania do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych, z zastrzeżeniem warunków i zabezpieczeń, o których mowa w art. 89 ust. 1, lub o ile obowiązek, o którym mowa w ust. 1 niniejszego artykułu, może uniemożliwić lub poważnie utrudnić realizację celów takiego przetwarzania. W takich przypadkach administrator podejmuje odpowiednie środki, by chronić prawa i wolności oraz prawnie uzasadnione interesy osoby, której dane dotyczą, w tym udostępnia informacje publicznie;

Przytoczony wyjątek od zasady informowania zawiera w sobie dwa odrębne, alternatywnie wskazane elementy ziszczenia się tej przesłanki.

Pierwszy odnosi się do sytuacji, gdy udzielenie informacji nie jest możliwe. Owa "niemożliwość" zrealizowania obowiązku informacyjnego musi mieć charakter obiektywny, a nie wynikający z subiektywnego przekonania administratora danych (co zresztą nie jest podnoszona przez stronę skarżącą kasacyjnie).

Drugi natomiast powiązany został z sytuacją, gdy realizacja obowiązku informacyjnego wymagałoby niewspółmiernie dużego wysiłku od administratora danych osobowych. Prawodawca posłużył się w tym przypadku pojęciem nieostrym "niewspółmiernie dużego wysiłku", które nie zostało zdefiniowane. Po pierwsze pamiętać należy, że mamy tu do czynienia z wyjątkiem od kardynalnej zasady rozporządzenia 2016/679 tj. zasady transparentności korzystania i przetwarzania danych osobowych i powiązanej z nią zasady informowania i jak wszystkie wyjątki musi być on interpretowany ściśle (interpretatio declarativa), a więc w sposób, który by nie dezawuował samej zasady. Dodatkowo sam prawodawca określił kierunek wykładni tego wyjątku. Chodzi o przypadki przetwarzania danych dla celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych, z zastrzeżeniem warunków i zabezpieczeń, o których mowa w art. 89 ust. 1 RODO, lub o ile obowiązek, o którym mowa w art. 14 ust. 1 RODO, może uniemożliwić lub poważnie utrudnić realizację celów takiego przetwarzania.

Wprawdzie w przepisie tym użyty został zwrot "w szczególności" podkreślający przykładowy charakter tego wyliczenia, ale należy go, zgodnie z przytoczoną wyżej zasadą wykładni, odnosić do charakteru wskazanych w tym wyliczeniu przypadków. Charakter tych przykładów dotyczy przetwarzania danych w celach ogólnych, w interesie publicznym. Są to badania naukowe lub historyczne (wolność prowadzenia badań naukowych), cele statystyczne (a zatem analiza danych i ich przetwarzanie, operowanie na dużych zbiorach w celu poznania tendencji, prawidłowości w zakresie zjawisk masowych), a także cele archiwalne, ale dokonywane tylko w interesie publicznym. Możliwość odstąpienia od obowiązku informacyjnego poprzez zastosowanie wyjątku z art. 14 ust. 5 lit. b RODO nie obejmuje więc działalności polegającej na przetwarzaniu danych, która nie realizuje interesu publicznego, służąc w ten sposób realizacji lub ochronie innych wartości istotnych dla dobra ogółu np. w zakresie zdrowia publicznego. Dopiero, gdy ten aspekt przetwarzania danych osobowych ma miejsce, administrator może powoływać na wskazane zwolnienie z obowiązku informacyjnego wykazując jednocześnie, że jego realizacja wiązałaby się z niewspółmiernym dużym wysiłkiem.

Kiedy więc ziszczą się przesłanki do zastosowania wyjątku od obowiązku informacyjnego, prawodawca unijny w celu zminimalizowania negatywnych skutków takiej sytuacji, nakazuje administratorowi danych osobowych podjęcie środków mających na celu ochronę praw i wolności oraz prawnie uzasadnionych interesów osoby, której dane dotyczą, w tym udostępnia informacje publicznie. Wbrew twierdzeniom strony skarżącej kasacyjnie tym punktem odniesienia dla wykładni pojęcia "niewspółmiernie dużego wysiłku" nie jest wystąpienie i zakres ewentualnej szkody, jaką w konkretnych okolicznościach poniósłby podmiot w związku z brakiem informacji o przetwarzaniu danych osobowych bez jego wiedzy, gdyż taka szkoda w sferze ochrony praw przysługujących takiemu podmiotowi wynika już z samego niedopełnienia obowiązku informacyjnego i dlatego przypadkach objętych wyjątkiem na administratora nałożony został prawny obowiązek podjęcia starań jej minimalizowania.

Wspomniany wyjątek nie obejmuje więc przetwarzania danych osobowych w ramach prowadzonej przez stronę skarżącą kasacyjnie działalności gospodarczej, której celem jest osiąganie celów komercyjnych.

Fakt, że strona skarżąca przetwarza dane, które są powszechnie dostępne w prowadzonych publicznie rejestrach nie zmienia tej oceny. Dane gromadzone w publicznie prowadzonych rejestrach np. CEIDG służą zapewnieniu jawności w określonej sferze życia społeczno-gospodarczego. Podkreślić należy, że zamieszczenie danych osobowych w tych rejestrach jest obligatoryjne (podmiot zobowiązany do ich upublicznienia nie może się temu sprzeciwić, ani odmówić ich podania), gdyż wynika z realizacji obowiązku prawnego. Obowiązek taki ma więc charakter publicznoprawny. Podmiot zobowiązany do ujawnienia swoich danych, podaje je organowi prowadzącemu rejestr, gdyż tak nakazuje obowiązujący porządek prawny, chcąc prowadzić określoną działalność (np. gospodarczą), a nie z własnej woli. Upublicznienie w urzędowym rejestrze prawem przewidzianych danych osobowych ma w zasadzie wymiar statyczny. Każdy zainteresowany może w takim rejestrze sprawdzić ujawnione w nim informacje. Nie oznacza to jednak, że podmiot zobowiązany do ujawnienia danych w rejestrach publicznych, jednocześnie wyraża zgodę na dalsze przetwarzanie tych danych przez inne podmioty realizujące własne, gospodarcze cele. Okoliczność, że dane i informacje udostępniane przez CEIDG są jawne i każdy ma prawo dostępu do tych danych i informacji ujawnionych w rejestrze (art. 45 ust. 1 ustawy o CEIDG) nie jest równoznaczna z możliwością dowolnego ich przetwarzania przez inne podmioty w celach innych niż te dane zostały w CEIDG zgromadzone. O ile więc zamieszczenie i upublicznienie danych w rejestrze ma wymiar publicznoprawny, o tyle charakter działalności strony skarżącej kasacyjnie jest zupełnie inny – prywatny, komercyjny. Działalność prowadzona przez Spółkę nie ma charakteru publicznoprawnego, ani nie realizuje takiego celu – nie jest ona nakazana przez prawo, zlecona przez organ administracji publicznej, wyniki przetwarzania nie są powszechnie i w sposób nieograniczony dostępne erga omnes. Wręcz przeciwnie są one realizowane na zlecenie innych kontrahentów i tylko im udostępniane.

Obowiązek informacyjny wynikający z art. 14 ust. 1 – 2 RODO nie jest zależny od profilu i skali prowadzonej działalności prowadzonej przez podmiot zobowiązany do jego realizacji. Administrator danych, prowadzący taką działalność gospodarczą musi brać pod uwagę związane z tym koszty – w tym koszty związane z ochroną praw osób, których dane przetwarza. Dla zastosowania wyjątku z art. 14 ust. 5 lit. b bez znaczenia jest sama skala oraz koszty związane z realizacją obowiązku informacyjnego. Inaczej prowadziłoby to do swoistego paradoksu polegającego na tym, iż podmiot, który przetwarza dane osobowe na dużą skalę mógłby skorzystać z wyjątku i nie realizować obowiązku informacyjnego uwalniając się tym samym od związanych z tym kosztów, natomiast podmiot, który to czyni na małą skalę musi go wypełniać ponosząc w całości tego koszty. Co więcej prowadziłoby to do nieuzasadnionego zróżnicowania poziomu ochrony osób, których dane są przetwarzane, a w konsekwencji ich praw. W przypadku administratorów, którzy przetwarzają dane osobowe na dużą skalę ochrona osób, których dane są wykorzystywane byłaby znacznie węższa, niż w przypadku tych, którzy przetwarzają te dane w mniejszym zakresie.

Nie znajduje uzasadnienia także zarzut naruszenia art. 145 § 1 pkt 1 lit. a) p.p.s.a. w zw. z art. 14 ust. 5 lit. c) RODO, polegające na jego niewłaściwym zastosowaniu i niezasadnym przyjęciu przez WSA, że prawo do ponownego wykorzystywania informacji sektora publicznego w celach komercyjnych uregulowane w przepisie art. 5 ustawy z dnia 25 lutego 2016 roku o ponownym wykorzystywaniu informacji sektora publicznego nie stanowi normy uprawniającej do pozyskiwania danych wyraźnie uregulowanego przepisami prawa krajowego w rozumieniu przepisu art. 14 ust. 5 lit. c) RODO. Z treści powołanego art. 5 pkt 1 ustawy z dnia 25 lutego 2016 roku o ponownym wykorzystywaniu informacji sektora publicznego wynika prawo do ponownego wykorzystywania informacji sektora publicznego udostępnionych w systemie teleinformatycznym, a w szczególności na stronie podmiotowej Biuletynu Informacji Publicznej podmiotu zobowiązanego lub w centralnym repozytorium informacji publicznej, o którym mowa w art. 9a ustawy z dnia 6 września 2001 r. o dostępie do informacji publicznej (Dz. U. z 2018 r. poz. 1330 i 1669), zwanym dalej "centralnym repozytorium", lub w inny sposób. Z przepisu tego nie wynikają jednak środki chroniące prawnie uzasadnione interesy osoby, której dane dotyczą, o czym jest mowa w art. art. 14 ust. 5 lit. c) RODO. Przypomnieć należy, że skarga kasacyjna jest nader sformalizowanym aktem zaskarżenia, a NSA jest związany wskazanymi w niej zarzutami i dokładny wskazaniem w nich przepisów, które zostały naruszone przez sąd I instancji z podaniem numery artykułu, ustępu, paragrafu, punktu i innych jednostek redakcyjnych.

W świetle powyższych rozważań skład orzekający Naczelnego Sądu Administracyjnego nie było potrzeby do zwrócenie się do Trybunału Sprawiedliwości Unii Europejskiej podstawie art. 267 zdanie 3 Traktatu o funkcjonowaniu Unii Europejskiej z pytaniami prawnymi w trybie prejudycjalnym dotyczących wykładni art. 14 ust. 5 lit. b) RODO. Zdaniem NSA wskazany przepis nie rodzi wątpliwości wymagających sformułowania pytania prejudycjalnego, odnoszą się one do zaistniałego ad casum stanu faktycznego, a nie wątpliwości interpretacyjnych wynikających z zastosowanej normy prawa unijnego.

Z powyższych przyczyn Naczelny Sąd Administracyjny uznał skargę kasacyjną za pozbawioną usprawiedliwionych podstaw, co skutkowało jej oddaleniem na podstawie art. 184 p.p.s.a.

O kosztach postępowania sądowego orzeczono na podstawie art. 204 pkt 1 p.p.s.a.