Centralna Baza Orzeczeń Sądów Administracyjnych

Naczelny Sąd Administracyjny w składzie: Przewodniczący: Sędzia NSA Tamara Dziełakowska Sędziowie: Sędzia NSA Przemysław Szustakiewicz (spr.) Sędzia NSA Zbigniew Ślusarczyk po rozpoznaniu w dniu 20 stycznia 2021 r. na posiedzeniu niejawnym w Izbie Ogólnoadministracyjnej skargi kasacyjnej G.G. od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 4 grudnia 2019 r., sygn. akt II SA/Wa 1050/19 w sprawie ze skargi G.G. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] marca 2019 r., nr [...] w przedmiocie przetwarzania danych osobowych 1. uchyla zaskarżony wyrok oraz zaskarżoną decyzję; 2. zasądza od Prezesa Urzędu Ochrony Danych Osobowych na rzecz G.G. kwotę 640 (sześćset czterdzieści) złotych tytułem zwrotu kosztów postępowania sądowego.

Wojewódzki Sąd Administracyjny w Warszawie wyrokiem z dnia 20 listopada 2019 r,. sygn. akt II SA/Wa 1050/19 oddalił skargę G.G. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] marca 2019 r., nr: [...] w przedmiocie przetwarzania danych osobowych. W uzasadnieniu wskazano na następujący stan faktyczny i prawny sprawy:

W dniu 10 lipca 2018 r. do Urzędu Ochrony Danych Osobowych wpłynęła skarga G.G. na nieprawidłowości w procesie przetwarzania jego danych osobowych przez Komendanta Miejskiego Policji [...], polegające na udostępnieniu jego danych osobowych w postaci numeru telefonu i adresu zamieszkania osobie nieuprawnionej, tj. J.K. - Zastępcy Prezesa Spółdzielni "[...]. Skarżący wskazał również, że Komendant nie wypełnił ciążących na nim, jako na administratorze danych, obowiązków informacyjnych określonych w art. 12 i art. 13 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz.U.UE.L.2016.119.1 ze zm., dalej jako "RODO").

Następnie w piśmie z dnia 27 lipca 2018 r. skarżący podniósł, że nadal nie posiada wiedzy, kto w rzeczywistości jest administratorem jego danych osobowych. Podkreślił, że dwukrotnie informował IODO Komendy Miejskiej Policji [...] o nieprawidłowościach, po czym, na stronie internetowej [...] Komisariatu Policji pojawiła się informacja, że administratorem danych osobowych jest Komendant Miejski Policji [...], a następnie, w dniu 23 lipca 2018 r. zauważył, że na stronie tego Komisariatu, w zakładce "załatw sprawę", w pliku PDF dotyczącym przetwarzania i ochrony danych osobowych znajduje się wpis, że administratorem danych jest Komendant Wojewódzki Policji [...]. Na potwierdzenie powyższego skarżący załączył wydruki ze strony internetowej Komisariatu Policji [...].

W piśmie z dnia 22 sierpnia 2018 r., Komendant wyjaśnił, iż dane skarżącego zostały udostępnione na wniosek Zarządu Spółdzielni Mieszkaniowej [...], reprezentowanego przez Prezesa Zarządu, kierownika Spółdzielni M.U. i Zastępcę Prezesa Zarządu, J.K. na podstawie art. 156a ustawy z dnia 6 czerwca 1997 r. Kodeks postępowania karnego (Dz. U. z 2017 r, poz. 1904 ze zm., dalej jako k.p.k.). Jednocześnie poinformował, że funkcjonariusze Wydziału Kryminalnego [...] Komisariatu Policji [...], pod nadzorem Prokuratury Rejonowej [...], wykonywali czynności w ramach powierzonego śledztwa w sprawie nieumyślnego spowodowania śmierci Z.S. (matki skarżącego) w nieustalonym dniu w roku 2018. Z uwagi na długi czas pozostawania zwłok w mieszkaniu (kilka miesięcy), należało przeprowadzić dezynfekcję tego lokalu. W związku z tym Spółdzielnia Mieszkaniowa [...], zwróciła się do [...] Komisariatu Policji [...] o umożliwienie kontaktu ze spadkobiercą, synem denatki – G.G., w celu przeprowadzenia dezynfekcji lokalu. Jak wskazał Komendant w ww. piśmie, po rozmowie telefonicznej z referentem postępowania skarżący zobowiązał się skontaktować ze Spółdzielnią, jednak oświadczył równocześnie, iż czynność dezynfekcji powinna zostać wykonana przez Spółdzielnię.

Jak wynika z treści pisma Komendanta z dnia 7 sierpnia 2018 r., skarżący nie wykonał jednak powyższego zobowiązania. W dniu 5 lipca 2018 r. Zastępca Komendanta Komisariatu Policji [...] odpowiadając na pismo z dnia 3 lipca 2018 r. Zarządu Spółdzielni Mieszkaniowej [...], podpisane przez dwóch członków zarządu: Prezesa Zarządu M.U. i Zastępcę Prezesa Zarządu J.K., na podstawie art. 156a k.p.k. i za zgodą Prokuratora Prokuratury Rejonowej [...], przekazał Spółdzielni adres skarżącego, celem realizacji jej ustawowych zadań związanych z przeprowadzeniem dezynfekcji lokalu mieszkalnego, który stanowił zagrożenie sanitarno-epidemiologiczne. W ww. piśmie Komendant wskazał również, że pismem z dnia 30 lipca 2018 r. skarżący został poinformowany o podstawach faktycznych i prawnych przekazania jego danych osobowych na rzecz Spółdzielni Mieszkaniowej.

Odrębnym pismem z dnia 7 sierpnia 2018 r. skarżący został poinformowany o przeprowadzeniu czynności sprawdzających, które nie potwierdziły naruszenia przepisów RODO. Do ww. pism zostały załączone klauzule informacyjne, dotyczące przetwarzania danych osobowych wraz z danymi administratora danych - Komendanta Miejskiego Policji [...]. Komendant odniósł się również do błędnych informacji na temat klauzul informacyjnych, dotyczących przetwarzania danych osobowych wskazując, że użycie zakładki "załatw sprawę" na stronach internetowych Komendy Miejskiej Policji [...] oraz Komisariatu Policji [...], powoduje przekierowanie do formularzy Komendy Wojewódzkiej Policji [...].

W piśmie z dnia 15 października 2018 r., stanowiącym odpowiedź na zarzuty skarżącego, zawarte w przywołanym powyżej piśmie z dnia 23 września 2018 r., Komendant ponownie przytoczył podstawę prawną udostępnienia danych osobowych skarżącego, tj. art. 156a k.p.k. Wskazał, iż przywołany przepis zezwala na udostępnienie danych lub oryginałów dokumentów znajdujących się w załączniku adresowym, przy czym nie zawęża danych do miejsca zamieszkania czy imienia i nazwiska. W niniejszej sprawie, numer telefonu skarżącego przechowywany był w załączniku adresowym do akt sprawy, a sam skarżący, jak twierdzi Komendant, wyraził zgodę na kontakt telefoniczny z przedstawicielami Spółdzielni w tej sprawie. Ponadto wyjaśnił, że Spółdzielnia dążąc do przeprowadzenia dezynfekcji lokalu mieszkalnego, miała na celu ochronę zdrowia mieszkańców budynku przed negatywnymi konsekwencjami postępującego rozkładu ciała w lokalu mieszkalnym skarżącego. Wskazał także, że złożono zawiadomienie o popełnieniu przestępstwa z art. 165 § 1 k.k., tj. sprowadzenie niebezpieczeństwa dla życia lub zdrowia wielu osób, poprzez spowodowanie zagrożenia epidemiologicznego w związku z postawą skarżącego, który sam nie przeprowadził dezynfekcji lokalu, ani nie podjął próby współdziałania w tym zakresie ze Spółdzielnią, mimo istnienia w tym zakresie obowiązku prawnego.

Decyzją z dnia [...] marca 2019 r., wydaną na podstawie art. 104 § 1 k.p.a. w zw. z art. 7 ust. 1 oraz z art. 57 ust. 1 pkt f i art. 6 ust. 1 lit. c i lit. e RODO Prezes Urzędu Ochrony Danych Osobowych odmówił uwzględnienia wniosku w sprawie.

W decyzji Prezes powołał się na brzmienie art. 156a k.p.k. stanowiącego, że dane lub oryginały dokumentów znajdujące się w załączniku adresowym udostępnia się wyłącznie organom państwowym oraz organom samorządu terytorialnego na ich wniosek, jeżeli jest to niezbędne dla wykonywania ustawowych zadań tych organów. Można je udostępnić także na wniosek innych instytucji lub osób, jeżeli przemawia za tym ich ważny interes. Przepis określa sposób udostępniania zawartości załącznika adresowego określonym podmiotom, jeśli wystąpią one z wnioskiem do organu prowadzącego postępowanie lub prokuratora, w zależności od tego, jaki jest status procesowy organu lub osoby wnoszącej o udostępnienie tych danych.

W niniejszej sprawie zgoda na udostępnienie danych osobowych skarżącego została wyrażona przez prokuratora, nadzorującego postępowanie przygotowawcze. W piśmie z dnia 3 lipca 2018 r. zarząd Spółdzielni Mieszkaniowej wskazał jako interes w pozyskaniu danych osobowych skarżącego zagrożenie sanitarno-epidemiologiczne sąsiednich lokali mieszkalnych, w związku z rozkładem zwłok ludzkich w lokalu należącym do skarżącego.

Prezes UODO wskazał, że zgodnie z art. 22 ustawy z dnia 5 grudnia 2008 r. o zapobieganiu oraz zwalczaniu zakażeń i chorób zakaźnych u ludzi (Dz. z 2018 r. poz. 151 ze zm.), ustawodawca nałożył zarówno na właściciela jak i na zarządzającego nieruchomością, w tym przypadku Spółdzielnię, obowiązek utrzymania należytego stanu sanitarno–epidemiologicznego nieruchomości. Oznacza to, że Spółdzielnia ma obowiązek ustalenia czy stan sanitarny budynku, w tym lokalu mieszkalnego, nie wskazuje na istnienie zagrożenia dla życia lub zdrowia pozostałych mieszkańców, a w przypadku stwierdzenia nieprawidłowości, powinna podjąć odpowiednie czynności w celu jego wyeliminowania.

W związku z tym, iż lokal stanowi odrębną własność skarżącego, Spółdzielnia podjęła próbę uzyskania jego danych adresowych, celem zobowiązania go do wykonania dezynfekcji lokalu. Jednocześnie zgodnie z art. 13 ustawy z dnia 24 czerwca 1994 r. o własności lokali (Dz. U. z 2018 r. poz. 716 ze zm.), właściciel ponosi wydatki związane z utrzymaniem jego lokalu, jest obowiązany utrzymywać swój lokal w należytym stanie, przestrzegać porządku domowego, uczestniczyć w kosztach zarządu związanych z utrzymaniem nieruchomości wspólnej, korzystać z niej w sposób nie utrudniający korzystania przez innych współwłaścicieli oraz współdziałać z nimi w ochronie wspólnego dobra. Ponadto ustawa z dnia 15 grudnia 2000 r. o spółdzielniach mieszkaniowych (Dz. U. z 2018 r. poz. 845) w art. 61 ust. 3 pkt 2, zezwala Spółdzielni na zastępcze wykonanie prac obciążających właściciela lokalu, po uprzednim udostępnieniu przez niego lokalu. Tożsame obowiązki utrzymania lokalu w należytym stanie techniczno-sanitarnym oraz udostępnienia lokalu w celu zastępczego wykonania prac, określa Statut Spółdzielni Mieszkaniowej [...] z dnia 23 listopada 2007 r. z późniejszymi zmianami w § 26 ust. 10 i ust. 13 pkt b.

Organ podkreślił, że w niniejszej sprawie skarżący nie zadbał o należyty stan sanitarny swojego lokalu mieszkalnego, gdyż nie dokonał koniecznej dezynfekcji w celu usunięcia szkodliwych substancji i śladów biologicznych po zwłokach swojej matki. Nie podjął również próby współdziałania w tym zakresie ze Spółdzielnią, która była uprawniona do dokonania tej czynności w ramach wykonania zastępczego, o którym stanowi art. 61 ust. 3 pkt 2 ustawy o spółdzielniach mieszkaniowych. Tym samym nie wypełnił on nałożonych na niego, jako właściciela lokalu, obowiązków prawnych wynikających z wyżej przywołanych aktów prawnych.

Odnosząc się do kwestii udostępnienia danych zmarłej matki skarżącego organ wskazał, że RODO nie ma zastosowania do danych osobowych osób zmarłych (motyw 27 rozporządzenia).

W odniesieniu do zarzutu w zakresie błędnych informacji na temat klauzul informacyjnych, dotyczących przetwarzania danych osobowych zamieszczonych na stronach internetowych Komendy Miejskiej Policji [...], wskazał, że w tejże zakładce została zawarta także klauzula dotycząca przetwarzania i ochrony danych osobowych w Komendzie Wojewódzkiej Policji [...], ale w odniesieniu do spraw należących do właściwości tej jednostki. Komendant w pismach z 30 lipca 2018 r. oraz 7 sierpnia 2018 r. poinformował skarżącego o podstawach faktycznych i prawnych przekazania jego danych osobowych na rzecz Spółdzielni oraz załączył klauzule informacyjne dotyczące przetwarzania danych osobowych wraz z danymi administratora danych - Komendanta Miejskiego Policji [...] i inspektora ochrony danych osobowych, wobec czego wypełnił obowiązek informacyjny.

G.G. wniósł do Wojewódzkiego Sądu Administracyjnego w Warszawie skargę na powyższą decyzję.

W odpowiedzi na skargę Prezes UODO podtrzymał stanowisko wyrażone w zaskarżonej decyzji i wniósł o oddalenie skargi.

Powołanym na wstępie wyrokiem, Wojewódzki Sąd Administracyjny w Warszawie na podstawie art. 151 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2019 r., poz. 2325 ze zm., dalej jako "P.p.s.a."), uznał, że skarga jest niezasadna.

Zdaniem Sądu pierwszej instancji nie można uznać, że ustawa bezwzględnie chroni dane osobowe skarżącego w sytuacji, gdy przez brak współdziałania w zakresie dezynfekcji lokalu, w którym przez kilka miesięcy znajdowały się i rozkładały zwłoki jego matki, naraził on bezpieczeństwo innych lokatorów bloku, w którym jest on również właścicielem mieszkania. Obowiązkom skarżącego w zakresie doprowadzenia do należytego zdezynfekowania lokalu, odpowiadają prawa współlokatorów bloku do bezpiecznego zamieszkiwania i prawa Spółdzielni do pozyskania danych osobowych skarżącego, jako osoby uprawnionej i zobowiązanej do dezynfekcji lokalu.

Powołane jako podstawa prawna zaskarżonej decyzji RODO, stwarza prawne podstawy stosowania ochrony państwowej w sytuacjach nielegalnego przetwarzania danych osobowych obywateli zarówno przez podmioty prawa publicznego, jak i podmioty prawa prywatnego. W celu jego realizacji, organ ochrony danych osobowych został wyposażony w kompetencje władcze, umożliwiające sankcjonowanie stwierdzanych nieprawidłowości w procesie przetwarzania danych osobowych. Zadaniem organu ochrony danych osobowych, oceniającego stan sprawy jest ustalenie, czy kwestionowane przetwarzanie danych osobowych znajduje oparcie choćby w jednej z przesłanek legalizujących przetwarzanie danych osobowych, wskazanej w art. 6 ust. 1 RODO. W zależności od występujących w sprawie ustaleń organ wydaje nakaz lub zakaz, albo odmawia uwzględnienia wniosku, ewentualnie umarza postępowanie. Wydanie nakazu usunięcia uchybień w procesie przetwarzania danych osobowych następuje wówczas, gdy organ ochrony danych osobowych stwierdza naruszenie norm prawnych w zakresie przetwarzania danych osobowych.

Zgodnie z treścią art. 1 ust. 2 RODO, chroni ono podstawowe prawa i wolności osób fizycznych, w szczególności ich prawo do ochrony danych osobowych, a przetwarzanie tych danych, w znaczeniu, o którym mowa w art. 4 pkt 2 RODO, musi odbywać się zgodnie z prawem, rzetelnie i w sposób przejrzysty, w prawnie uzasadnionych celach i ograniczone do tego co niezbędne do tych celów, a także z zapewnieniem odpowiedniego bezpieczeństwa tych danych.

W toku postępowania dane osobowe skarżącego zostały pozyskane w związku z prowadzonymi przez funkcjonariuszy policji czynnościami w ramach śledztwa w sprawie nieumyślnego spowodowania śmierci matki. Skarżący w tym postępowaniu występował w charakterze świadka. Jego dane osobowe w postaci imienia, nazwiska, adresu zamieszkania oraz numeru telefonu zostały umieszczone w załączniku adresowym akt sprawy. Spółdzielnia, dążąc do przeprowadzenia dezynfekcji lokalu mieszkalnego w celu ochrony zdrowia mieszkańców budynku przed negatywnymi konsekwencjami postępującego rozkładu ciała matki skarżącego, zwróciła się do Komendanta o nawiązanie kontaktu ze skarżącym. Z uwagi na brak współdziałania skarżącego ze Spółdzielnią, Prokurator Prokuratury Rejonowej [...] na wniosek Zarządu Spółdzielni oraz na podstawie art. 156a k.p.k. wyraził zgodę na udostępnienie adresu skarżącego celem umożliwienia realizacji zadań Spółdzielni związanych z utrzymywaniem nieruchomości w należytym stanie higieniczno-sanitarnym.

Zgodnie z treścią art. 156a k.p.k., dane lub oryginały dokumentów znajdujące się w załączniku adresowym udostępnia się wyłącznie organom państwowym oraz organom samorządu terytorialnego na ich wniosek, jeżeli jest to niezbędne dla wykonywania ustawowych zadań tych organów. Można je udostępnić także na wniosek innych instytucji lub osób, jeżeli przemawia za tym ich ważny interes. Przesłanka "ważnego interesu" została wskazana piśmie z dnia 3 lipca 2018 r. przez zarząd Spółdzielni Mieszkaniowej jako "zagrożenie sanitarno-epidemiologiczne sąsiednich lokali mieszkalnych w związku z rozkładem zwłok ludzkich w lokalu należącym do skarżącego" i jest ona zdaniem WSA w Warszawie oczywista. Nadto zgodnie z art. 22 ustawy o zapobieganiu oraz zwalczaniu zakażeń i chorób zakaźnych u ludzi ustawodawca nałożył zarówno na właściciela jak i na zarządzającego nieruchomością, w tym przypadku Spółdzielnię, obowiązek utrzymania należytego stanu sanitarno–epidemiologicznego nieruchomości. Spółdzielnia ma obowiązek ustalenia, czy stan sanitarny budynku, w tym lokalu mieszkalnego, nie wskazuje na istnienie zagrożenia dla życia lub zdrowia pozostałych mieszkańców, a w przypadku stwierdzenia nieprawidłowości podjąć odpowiednie czynności w celu jego wyeliminowania. Zdaniem Sądu w świetle cytowanego przepisu nie ma znaczenia, że zgon matki skarżącego nie był spowodowany chorobą zakaźną. W związku z tym, iż lokal stanowi odrębną własność, skarżący był obowiązany współdziałać ze Spółdzielnią, która była zobowiązana do podjęcia czynności prowadzących do dezynfekcji lokalu. Z kolei zgodnie z art. 13 ustawy o własności lokali, właściciel ponosi wydatki związane z utrzymaniem jego lokalu, jest obowiązany utrzymywać swój lokal w należytym stanie, przestrzegać porządku domowego, uczestniczyć w kosztach zarządu, związanych z utrzymaniem nieruchomości wspólnej, korzystać z niej w sposób nie utrudniający korzystania przez innych współwłaścicieli oraz współdziałać z nimi w ochronie wspólnego dobra. Nadto ustawa o spółdzielniach mieszkaniowych w art. 61 ust. 3 pkt 2 zezwala Spółdzielni na zastępcze wykonanie prac obciążających właściciela lokalu, po uprzednim udostępnieniu przez niego lokalu. Tożsame obowiązki utrzymania lokalu w należytym stanie techniczno-sanitarnym oraz udostępnienia lokalu w celu zastępczego wykonania prac określa Statut Spółdzielni Mieszkaniowej [...] z 23 listopada 2007 r. z późniejszymi zmianami w § 26 ust. 10 i ust. 13 pkt b.

Skarżący niewątpliwie nie zadbał o należyty stan sanitarny swojego lokalu mieszkalnego oraz nie podjął próby współdziałania w tym zakresie ze Spółdzielnią, która była uprawniona do dokonania tej czynności w ramach wykonania zastępczego, o którym stanowi art. 61 ust. 3 pkt 2 ustawy o spółdzielniach mieszkaniowych. Tym samym nie wypełnił nałożonych na niego jako właściciela lokalu, obowiązków prawnych, wynikających z wyżej przywołanych aktów prawnych.

Podsumowując, dane osobowe skarżącego zostały udostępnione w oparciu i w zgodzie z treścią art. 156a k.p.k., przez prokuratora nadzorującego postępowanie przygotowawcze, z uwagi na wystąpienie "ważnego interesu", polegającego na zagrożeniu sanitarno-epidemiologicznym sąsiednich lokali mieszkalnych, w związku z rozkładem zwłok matki skarżącego w lokalu należącym do niego.

W odniesieniu do kwestii błędnych informacji na temat klauzul informacyjnych, zamieszczonych na stronach internetowych, dotyczących przetwarzania danych osobowych, Sąd pierwszej instancji podniósł, że nie mogą one mieć znaczenia przesądzającego o zasadności skargi. Komendant w pismach z 30 lipca 2018 r. oraz 7 sierpnia 2018 r. poinformował o podstawach faktycznych i prawnych przekazania jego danych osobowych na rzecz Spółdzielni oraz załączył klauzule informacyjne, dotyczące przetwarzania danych osobowych wraz z danymi administratora danych - Komendanta Miejskiego Policji [...] i inspektora ochrony danych osobowych, wobec czego wypełnił obowiązek informacyjny.

W dniu 20 marca 2019 r. skargę kasacyjną od powyższego wyroku wywiódł G.G., wnosząc o uchylenie zaskarżonego orzeczenia i uwzględnienie skargi ewentualnie uchylenie zaskarżonego orzeczenia i przekazanie sprawy Wojewódzkiemu Sądowi Administracyjnemu w Warszawie do ponownego rozpoznania oraz zasądzenie kosztów postępowania, w tym kosztów zastępstwa procesowego według norm przepisanych.

Zaskarżonemu orzeczeniu zarzucił:

1. naruszenie przepisów postępowania, które miały istotny wpływ na wynik sprawy tj.:

• art. 151 P.p.s.a. w zw. z art. 145 § 1 pkt 1 lit. a i c P.p.s.a. poprzez oddalenie skargi na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] marca 2019 r., w przedmiocie przetwarzania danych osobowych mimo istnienia podstaw do jej uwzględnienia i uchylenia wskazanej decyzji Prezesa Urzędu Ochrony Danych Osobowych;

• art. 145 § 1 pkt 1 lit. a) P.p.s.a. w zw. z art. 7, 8, 77 § 1 i 80 k.p.a. poprzez oddalenie skargi w sytuacji, gdy organ nie zebrał w sposób wyczerpujący materiału dowodowego i nie dążył do ustalenia prawdy obiektywnej w sposób budzący zaufanie skarżącego do władzy publicznej, a zebrany przez niego materiał dowodowy został oceniony w sposób dowolny, a nie swobodny, bez uwzględnienia interesu społecznego i słusznego interesu skarżącego poprzez:

a. błędne przyjęcie, że skarżący nie zadbał o należyty stan sanitarny swojego mieszkania, gdyż nie dokonał koniecznej dezynfekcji, podczas gdy skarżący nie miał dostępu do swojego mieszkania przez okres 4 miesięcy (tj. od 14 czerwca 2018 r. do 22 października 2018 r.) z winy organu, a ponadto samodzielnie i dobrowolnie wykonał dezynfekcję mieszkania w dniu 31 października 2018 r;

b. błędne przyjęcie, że skarżący wyraził zgodę na przekazanie swojego numeru telefonu przedstawicielom Spółdzielni, podczas gdy takiej zgody ani pisemnie, ani telefonicznie nie przekazywał, a tym samym Komendant Policji nie był uprawniony do przekazania Spółdzielni numeru telefonu;

c. brak wyjaśnienia przez organ, w którym dniu, któremu funkcjonariuszowi skarżący miał udzielić zgody na przekazanie Spółdzielni jego numeru telefonu i brak przesłuchania tego funkcjonariusza na okoliczność udzielenia mu zgody przez skarżącego na przekazanie Spółdzielni numeru telefonu skarżącego;

d. pominięcie faktu, że skarżący dwukrotnie informował Inspektora Danych Komendy Miejskiej Policji [...] o nieprawidłowościach w przetwarzaniu jego danych osobowych, które to zgłoszenia były bagatelizowane;

e. pominięcie faktu, że skarżący dowiedział się o udostępnieniu jego danych osobowych przez Komendanta Komisariatu Policji [...] bezpośrednio od osoby, której dane udostępniono i to dopiero po 40 dniach od ich udostępnienia;

• art. 141 § 4 P.p.s.a. poprzez wadliwe i lakoniczne uzasadnienie wyroku uniemożliwiające kontrolę kasacyjną orzeczenia zapadłego w sprawie.

2. naruszenie prawa materialnego, tj.:

• art. 156a k.p.k. poprzez jego błędne zastosowanie w niniejszej sprawie i przyjęcie, że Komendant był uprawniony do przekazania Spółdzielni danych adresowych skarżącego, podczas gdy zarządzenie prokuratora nadzorującego postępowanie przygotowawcze zostało oparte na nieprawidłowych przesłankach i informacjach dotyczących sprawy, w konsekwencji czego było nieskuteczne;

• art. 61 ust. 3 pkt 2 ustawy o spółdzielniach mieszkaniowych oraz art. 22 ustawy o zapobieganiu i zwalczaniu chorób zakaźnych poprzez ich błędne zastosowanie w niniejszej sprawie i stwierdzenie, że skarżący nie zadbał o należyty stan swojego lokalu, gdyż nie dokonał należytej dezynfekcji, a Spółdzielnia była uprawniona do czynności zastępczych i podjęcia czynności prowadzących do dezynfekcji lokalu, podczas gdy Spółdzielnia nie była uprawniona do czynności zastępczych w sprawie, a skarżący samodzielnie i dobrowolnie wykonał dezynfekcję mieszkania niezwłocznie po tym, jak otrzymał klucze do lokalu;

• art. 12 oraz art. 13 RODO poprzez ich niewłaściwą wykładnię i uznanie, że brak poinformowania skarżącego o tym, kto jest administratorem jego danych osobowych oraz jakie prawa w związku z tym mu przysługują w trakcie jego przesłuchania w charakterze świadka w dniu 14 czerwca nie stanowi naruszeń obowiązku informacyjnego dotyczącego przetwarzania danych osobowych, podczas gdy realizacja obowiązku informacyjnego powinna mieć charakter bezwzględny i uprzedni w stosunku do ich pozyskania i gromadzenia;

• art. 15 RODO poprzez pobawienie skarżącego prawa do żądania od administratora danych osobowych sprostowana, usunięcia lub ograniczenia przetwarzania danych skarżącego.

W odpowiedzi na skargę kasacyjną organ wniósł o jej oddalenie wskazując, że zaskarżone orzeczenie jest zgodne z prawem.

Naczelny Sąd Administracyjny zaważył co następuje:

Zgodnie z art. 183 § 1 P.p.s.a., Naczelny Sąd Administracyjny rozpoznając skargę kasacyjną, związany jest jej granicami. Z urzędu bierze pod rozwagę wyłącznie nieważność postępowania. W rozpoznawanej sprawie żadna z enumeratywnie wymienionych w art. 183 § 2 P.p.s.a. przesłanek nieważności postępowania nie zachodzi, stąd NSA rozpoznał skargę kasacyjną w jej granicach.

W skardze kasacyjnej opartej na obu podstawach wskazanych w art.174 pkt 1 i 2 P.p.s.a. zarzucono naruszenie norm procesowych, jak również przepisów prawa materialnego. Jednakże zarzuty, zarówno te natury procesowej, jak również dotyczące norm prawa materialnego, oscylują faktycznie wokół prawidłowości ujawnienia przez Komendanta Miejskiego Policji [...] danych osobowych w postaci numeru telefonu skarżącego kasacyjnie.

Zarzuty skargi kasacyjnej są częściowo zasadne w zakresie naruszenia przez WSA w Warszawie art. 145 § 1 pkt 1 lit. a) P.p.s.a. w zw. z art. 7, 8, 77 § 1 i 80 k.p.a. poprzez błędną ocenę zebranego w sprawie materiału dowodowego w zakresie w jakim można było zastosować w sprawie art. 156a k.p.k. jako przesłankę legalizującą z art. 6 ust. 1 lit. c i e RODO.

W tym miejscu wskazać należy, że w orzecznictwie podkreśla się, że celem przepisów o ochronie danych osobowych jest ochrona prywatności w rozumieniu art. 47 Konstytucji RP (wyrok NSA z dnia 30 marca 2006 r., I OSK 628/05; wyrok NSA w składzie 7 sędziów z dnia 6 czerwca 2005 r., I OPS 2/05, wyrok NSA z 3 grudnia 2019 r., sygn. akt I OSK 920/18). Jednocześnie należy podkreślić, że zagwarantowana w art. 51 Konstytucji RP autonomia informacyjna oznacza prawo do samodzielnego decydowania o ujawnianiu innym informacji dotyczących swojej osoby, a także prawo do sprawowania kontroli nad takimi informacjami, jeśli znajdują się w posiadaniu innych podmiotów (zob. wyrok TK z dnia 19 lutego 2002 r., sygn. U 3/01, OTK ZU nr 1/A/2002, poz. 3). Przepis art. 51 Konstytucji RP wyraża prawo jednostki do ochrony danych osobowych, w zakres którego wchodzi m.in. wymaganie ustawowej podstawy nałożenia obowiązku ujawnienia przez daną osobę informacji jej dotyczących (ust. 1), zakaz pozyskiwania, gromadzenia i udostępniania innych informacji o obywatelach niż niezbędne w demokratycznym państwie prawnym (ust. 2), prawo dostępu jednostki do dokumentów i zbiorów danych oraz żądania sprostowania bądź usunięcia danych nieprawdziwych, niepełnych lub zebranych w sposób sprzeczny z ustawą (ust. 3 i 4). Powyższe rozwiązania oznaczają z jednej strony, że przesłanki legalizujące przetwarzanie danych osobowych powinny być wykładane sposób zawężający, a postępowanie w sprawach związanych z wystąpieniem przesłanki pozwalającej na ujawnienie danych osobowych powinno zmierzać do tego, aby nie było wątpliwości co do wystąpienia możliwości przetwarzania danych osobowych przez dany podmiot. Zgodnie z art. 6 ust. 1 lit. c RODO wedle którego możliwe jest przetwarzanie danych osobowych, gdy jest to niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze. Natomiast wedle treści art. 6 ust. 1 lit. e RODO przetwarzanie jest dozwolone, gdy jest ono niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi. Zgodnie z art. 6 ust. 3 RODO podstawa przetwarzania, o którym mowa w ust. 1 lit. c) i e), musi być określona: w prawie Unii lub w prawie państwa członkowskiego, któremu podlega administrator. Oznacza to, że art. 6 ust. 1 lit. c i e RODO "samodzielnie nie stanowi podstawy legalizacyjnej przetwarzania, ale jedynie w połączeniu z odpowiednim przepisem prawa obowiązującego w państwie, któremu podlega administrator, lub też w połączeniu z odpowiednim przepisem unijnym" (E. Bielak-Jomaa (red.), D. Lubasz (red.), RODO. Ogólne rozporządzenie o ochronie danych. Komentarz, LEX 2019). Podstawą legalizującą przekazanie danych osobowych skarżącego kasacyjnie Zastępcy Prezesa Spółdzielni Mieszkaniowej [...] był art. 156a k.p.k. wedle którego dane lub oryginały dokumentów znajdujące się w załączniku adresowym udostępnia się wyłącznie organom państwowym oraz organom samorządu terytorialnego na ich wniosek, jeżeli jest to niezbędne dla wykonywania ustawowych zadań tych organów. Można je udostępnić także na wniosek innych instytucji lub osób, jeżeli przemawia za tym ich ważny interes. W przypadku podmiotów niepaństwowych przekazywanie danych odbywa się tylko na ich wniosek i tylko wówczas, gdy wykażą się one wystąpienie ważnego interesu społecznego, przy czym w postępowaniu przygotowawczym w tym zakresie zarządzenie wydaje prokurator (por. D. Świecki (red.), Kodeks postępowania karnego. Tom I. Komentarz aktualizowany, LEX 2020, Kodeks postępowania karnego. Tom I. Komentarz. I red. D. Drajewicz 2020, wyd. 1 Legalis 2020). Zebrany materiał dowodowy wskazuje, na co zwrócił uwagę skarżący kasacyjnie, że Komendant Miejski Policji [...] wyszedł poza ramy pozwalające mu na udostępnienie danych osobowych wyznaczone przez art. 156a k.p.k., czym naruszył art. 6 ust. 1 lit. c i e RODO.

Wskazać bowiem należy, że z danych znajdujących się w aktach sprawy wynika, że Spółdzielnia nie wystąpiła z wnioskiem o udostępnienie danych osobowych skarżącego kasacyjnie. W znajdującym się aktach sprawy piśmie Spółdzielni z dnia 3 lipca 2018 r. wynika jedynie, że wnosi ona o "przymuszenie" skarżącego kasacyjnie do wykonania dezynfekcji (k- 31 akt administracyjnych sprawy), natomiast nie wynika z niego, iż żąda ona udostępnienia danych w trybie art. 156a k.p.k., choć jest w nim wzmianka o tym, że wcześniej była korespondencja z Komendantem Miejskim Policji [...] w sprawie udostępnienia danych skarżącego kasacyjnie, ale brak jest informacji jaki był cel i charakter wniosków Spółdzielni. Z kolei z pisma Komendanta Policji [...] z dnia 5 lipca 2018 r. (k- 30 akt administracyjnych sprawy) jasno wynika, że zakres zarządzenia prokuratora dotyczy tylko adresu skarżącego kasacyjnie, natomiast nie przekazano danych dotyczących numeru jego telefonu. Tymczasem skarżący kasacyjnie od samego początku konsekwentnie wskazuje, że bezprawnie przekazano jego dane osobowe w postaci numeru telefonu. W aktach sprawy brak jest ponadto zarządzenia prokuratora w tym zakresie, a zatem nie wiadomo, czy w ogóle takie zarządzenie było wydane. Organ zatem nie poczynił niezbędnych ustaleń pozwalających na ustalenie, czy istotnie zaistniała przesłanka legalizująca pozwalająca na przekazanie Spółdzielni Mieszkaniowej przez Komendanta Miejskiego Policji [...] danych osobowych skarżącego kasacyjnie.

Pozostałe zarzuty skargi kasacyjnej są niezasadne.

Odnosząc się do zarzutu naruszenia art. 141 § 4 P.p.s.a. stwierdzić należy, że jest on nieusprawiedliwiony. Zgodnie z treścią 141 § 4 P.p.s.a. uzasadnienie wyroku powinno zawierać zwięzłe przedstawienie stanu sprawy, zarzutów podniesionych w skardze, stanowisk pozostałych stron, podstawę prawną rozstrzygnięcia oraz jej wyjaśnienie. Uzasadnienie wyroku jest aktem o doniosłym znaczeniu społecznym, a przede wszystkim procesowym pełniącym dwojaką funkcję. Z jednej strony ma charakter informacyjny względem stron postępowania sądowoadministracyjnego. Strona, chcąc skutecznie zaskarżyć wyrok Sądu I instancji musi poznać przyjęty przez sąd stan faktyczny sprawy oraz argumenty przemawiające za rozstrzygnięciem zawartym w zaskarżonym wyroku pozwalające na należyte wywiedzenie zarzutów skargi kasacyjnej. Z drugiej strony, uzasadnienie wyroku umożliwia Naczelnemu Sądowi Administracyjnemu ocenę zasadności przesłanek, na których oparto zaskarżone orzeczenie. Jest to niezbędne dla przeprowadzenia prawidłowej kontroli instancyjnej. Zatem do sytuacji kiedy wadliwość uzasadnienia wyroku może stanowić usprawiedliwioną podstawę skargi kasacyjnej, należy zaliczyć tę, gdy to uzasadnienie nie pozwala na kontrolę kasacyjną orzeczenia. Sytuacja ta nie ma miejsca w rozpoznawanej sprawie, ponieważ uzasadnienie zaskarżonego wyroku zawiera wszystkie wymagane elementy, wyczerpująco wyjaśniające podstawy rozstrzygnięcia.

Nie jest usprawiedliwiony zarzuty odnoszący się do naruszenia przez WSA w Warszawie art. 61 ust. 3 pkt 2 ustawy o spółdzielniach mieszkaniowych oraz art. 22 ustawy o zapobieganiu i zwalczaniu chorób zakaźnych poprzez ich błędne zastosowanie. W istocie bowiem skarżący kasacyjnie chce w nim podważyć konieczność wykonania przez niego obowiązku dezynfekcji mieszkania - co nie jest przedmiotem sprawy w zakresie ochrony danych osobowych.

Prawidłowe są ustalenia Sądu pierwszej instancji dotyczące wykonania wobec skarżącego obowiązku informacyjnego w związku z prowadzonym postępowaniem, ponieważ jak wskazano w zaskarżonym orzeczeniu był on poinformowany o podstawach faktycznych i prawnych dotyczących przetwarzania jego danych osobowych przez organ policji.

W sprawie, wobec uznania, że sprawa jest dostatecznie wyjaśniona, zaistniałej przesłanki do zastosowania art. 188 P.p.s.a. i rozpoznania skargi w postępowaniu przed Naczelnym Sądem Administracyjnym, a w konsekwencji do jej uwzględnienia na podstawie art. 145 § 1 pkt 1 lit. a i c P.p.s.a., o czym orzeczono jak w pkt. 1 wyroku.

O kosztach postępowania sądowego orzeczono na podstawie art. 203 pkt 1 w zw. z art. 205 § 2 P.p.s.a. w zw. z § 14 ust. 1 pkt 2 lit. b rozporządzenia Ministra Sprawiedliwości z dnia 22 października 2015 r. w sprawie opłat za czynności adwokackie (Dz. U. z 2015 r., poz. 1800 ze zm.). Koszty te wynoszą 640 zł i obejmują: zwrot wpisu od skargi (200 zł), zwrot opłaty kancelaryjnej za sporządzenie uzasadnienia (100 zł), zwrot wpisu od skargi kasacyjnej (100 zł) oraz wynagrodzenie pełnomocnika za sporządzenie skargi kasacyjnej (240 zł).