Centralna Baza Orzeczeń Sądów Administracyjnych

Naczelny Sąd Administracyjny w składzie: Przewodniczący: sędzia NSA Tamara Dziełakowska Sędziowie: sędzia NSA Rafał Stasikowski sędzia del. WSA Hanna Knysiak-Sudyka (spr.) Protokolant: asystent sędziego Adam Płusa po rozpoznaniu w dniu 25 września 2024 r. na rozprawie w Izbie Ogólnoadministracyjnej skargi kasacyjnej Prezesa Urzędu Ochrony Danych Osobowych od punktu 1,2 i 4 wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 8 czerwca 2022 r. sygn. akt II SAB/Wa 60/22 w sprawie ze skargi M. K. na przewlekłe prowadzenie postępowania przez Prezesa Urzędu Ochrony Danych Osobowych w przedmiocie rozpoznania skargi na przetwarzanie danych osobowych 1. uchyla zaskarżony wyrok w punktach 1, 2 i 4 i w tym zakresie przekazuje sprawę do ponownego rozpoznania Wojewódzkiemu Sądowi Administracyjnemu w Warszawie, 2. zasądza od M. K. na rzecz Prezesa Urzędu Ochrony Danych Osobowych kwotę 460 (czterysta sześćdziesiąt) złotych tytułem zwrotu kosztów postępowania kasacyjnego.

Wojewódzki Sąd Administracyjny w Warszawie wyrokiem z dnia 8 czerwca 2022 r. sygn. akt II SAB/Wa 60/22, po rozpoznaniu sprawy ze skargi M. K. na przewlekłe prowadzenie postępowania przez Prezesa Urzędu Ochrony Danych Osobowych w przedmiocie rozpoznania skargi z dnia [...] września 2021 r. na przetwarzanie danych osobowych, stwierdził, że Prezes Urzędu Ochrony Danych Osobowych dopuścił się przewlekłego prowadzenia postępowania w sprawie ze skargi M. K. na przetwarzanie danych osobowych (pkt 1), stwierdził, że przewlekłe prowadzenie postępowania nie miało miejsca z rażącym naruszeniem prawa (pkt 2), oddalił skargę w pozostałym zakresie (pkt 3), a także zasądził od Prezesa Urzędu Ochrony Danych Osobowych na rzecz skarżącego M. K. kwotę 100 złotych tytułem zwrotu kosztów postępowania (pkt 4).

Wyrok zapadł w następującym stanie faktycznym i prawnym sprawy.

W dniu 20 września 2021 r. do Prezesa Urzędu Ochrony Danych Osobowych (dalej: "Prezes UODO", "organ") wpłynęła skarga M. K. (dalej: "skarżący"), datowana na 13 września 2021 r., na nieprawidłowości w procesie przetwarzania jego danych osobowych przez P. S.A. z siedzibą w Warszawie (dalej: "P.") polegające na przetwarzaniu jego danych osobowych bez podstawy prawnej oraz ich udostępnieniu Ubezpieczeniowemu Funduszowi Gwarancyjnemu (dalej: "UFG").

Pismami z dnia 25 października 2021 r. Prezes UODO wezwał P. oraz UFG do ustosunkowania się do treści skargi oraz złożenia pisemnych wyjaśnień. Jednocześnie pismem z tej samej daty poinformował skarżącego, że zwrócił się do ww. podmiotów.

Wyjaśnienia od UFG wpłynęły do organu w dniu 3 listopada 2021 r., natomiast w dniu 4 listopada 2021 r. wpłynął wniosek P. o przedłużenie do dnia 10 grudnia 2021 r. wyznaczonego terminu na dostarczenie wymaganych w sprawie informacji oraz dokumentów w związku z zakresem informacji niezbędnych do zgromadzenia w przedmiotowej sprawie oraz okolicznościami związanymi z sytuacją epidemiczną wpływającą w sposób znaczący na zmiany organizacyjne funkcjonowania podmiotu.

W dniu 3 grudnia 2021 r. do Prezesa UODO wpłynęło ponaglenie od skarżącego, w którym wniósł o stwierdzenie, że doszło do bezczynności i przewlekłości w postępowania administracyjnym z rażącym naruszeniem prawa. Jednocześnie w piśmie tym skarżący wniósł o przesłanie, przed wydaniem decyzji, uwierzytelnionych kopii dokumentów znajdujących się w aktach sprawy.

W dniu 13 grudnia 2021 r. do organ wpłynęły wyjaśnienia od P.

Pismami z dnia 22 grudnia 2021 r. Prezes UODO poinformował strony o zgromadzeniu materiału dowodowego wystarczającego do wydania decyzji administracyjnej, o możliwości wypowiedzenia się co do zebranych w toku postępowania dowodów i materiałów oraz zgłoszonych żądań oraz o możliwości wglądu w akta sprawy w siedzibie organu, zakreślając termin 7 dni na realizację powyższych uprawnień, od dnia otrzymania niniejszego pisma.

Jednocześnie postanowieniem z dnia 22 grudnia 2021 r. Prezes UODO odmówił uwzględnienia wniosku M. K. o przesłanie uwierzytelnionych kopii akt przedmiotowej sprawy.

W dniu 23 grudnia 2021 r. M. K.. wniósł skargę do Wojewódzkiego Sądu Administracyjnego w Warszawie.

W odpowiedzi na skargę Prezes UODO wniósł o jej oddalenie, uznając, że w aktualnym stanie prawnym i faktycznym skarga ta jest bezzasadna.

Wojewódzki Sąd Administracyjny w Warszawie w powołanym wyżej wyroku uznał, że skarga była zasadna i zasługiwała na uwzględnienie.

Uzasadniając swoje stanowisko Sąd I instancji wskazał, że nie podzielił stanowiska Prezesa UODO, że przepis art. 78 ust. 2 rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych, zwane dalej: "RODO") jest przepisem szczególnym względem uregulowań Kodeksu postępowania administracyjnego, a tym samym organ ten nie jest związanym terminami załatwienia sprawy określonymi w ustawie z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2021 r. poz. 735 z późn. zm., zwana dalej: "k.p.a."), a jedynie ma obowiązek informować stronę o podejmowanych czynnościach w jej sprawie w odstępach czasu nie przekraczających trzech miesięcy.

Zdaniem WSA w Warszawie powołany przepis pozostaje w związku z art. 77 ust. 2 RODO i art. 57 ust. 1 lit. f RODO, w którym to mowa jest o informowaniu skarżącego - w rozsądnym terminie - o postępach i wynikach prowadzonych postępowań, w szczególności jeżeli niezbędne jest dalsze prowadzenie postępowań lub koordynacja działań z innym organem nadzorczym. Sam zaś przepis art. 78 ust. 2 RODO daje każdej osobie której dane dotyczą, prawo do skutecznego środka ochrony prawnej przed sądem - bez uszczerbku dla innych administracyjnych lub pozasądowych środków ochrony prawnej - jeżeli organ nadzorczy (Prezes UODO), nie rozpatrzył skargi lub nie poinformował osoby, której dane dotyczą, w terminie trzech miesięcy o postępach lub efektach rozpatrywania skargi wniesionej zgodnie z art. 77.

Sąd I instancji podkreślił, że art. 60 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych stanowi, że postępowanie w sprawie naruszenia przepisów o ochronie danych osobowych, zwane dalej "postępowaniem", jest prowadzone przez Prezesa Urzędu. Nie ulega wątpliwości, że postępowanie w sprawie naruszenia przepisów o ochronie danych osobowych jest jednym z postępowań administracyjnych przed Prezesem Urzędu Ochrony Danych Osobowych. O takim jego charakterze rozstrzyga art. 7 ust. 1 ww. ustawy o ochronie danych osobowych, który postępowania z rozdziałów 4-7 i 11 tej ustawy kwalifikuje jako administracyjne i przewiduje w sprawach w niej nieuregulowanych stosowanie do tych postępowań Kodeksu postępowania administracyjnego. Należy przy tym zauważyć, że ustawodawca w art. 7 ust. 1 cyt. ustawy nie przewiduje stosowania odpowiedniego, oznacza to zatem stosowanie przepisów k.p.a. wprost, z modyfikacjami wynikającymi z regulacji ustawy o ochronie danych osobowych.

Wojewódzki Sąd Administracyjny w Warszawie stwierdził, że postępowanie w sprawie rozpoznania skargi M. K. na przetwarzanie jego danych osobowych przez Powszechny Zakład Ubezpieczeń S.A. oraz Ubezpieczeniowy Fundusz Gwarancyjny, prowadzone było w sposób przewlekły. W ocenie Sądu, sposób procedowania organu w niniejszej sprawie wskazuje na naruszenie zasady szybkości i efektywności postępowania administracyjnego. Nie można bowiem zaaprobować stanu, w którym organ, prowadząc tak ograniczone postępowanie wyjaśniające, nie załatwia skargi strony przez okres ponad 4 miesięcy.

Sąd I instancji zaznaczył, że RODO nie zawiera odrębnych od k.p.a. przepisów dotyczących terminów załatwienia sprawy, jak również nie wyłącza stosowania przepisów k.p.a. Załatwienie sprawy wymagającej postępowania wyjaśniającego powinno zatem nastąpić nie później niż w ciągu miesiąca, a sprawy szczególnie skomplikowanej - nie później niż w ciągu dwóch miesięcy od daty wszczęcia postępowania (art. 35 § 3 k.p.a.). Obszerność skargi złożonej przez M. K. do Prezesa UODO, konieczność zbadania zasadności podniesionych w niej kwestii oraz dokonania wnikliwej analizy stanu faktycznego sprawy, nie zwalniają z zarzutu przewlekłego prowadzenia postępowania. Pogląd ten jest zgodny z powszechnie aprobowaną zasadą, że realizacja kompetencji organu administracji publicznej jest jego prawnym obowiązkiem, od którego nie zwalniają go tzw. trudności obiektywne w postaci np. złożoności sprawy.

Z uwagi na wydanie decyzji w sprawie, Sąd nie miał podstaw do zobowiązania organu do rozpoznania skargi M. K. w myśl art. 149 § 1 pkt 1 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2022 r. poz. 329 z późn. zm., zwana dalej: "p.p.s.a."), stwierdził jednak, że organ dopuścił się przewlekłego prowadzenia postepowania - stosownie do art. 149 § 1 pkt 3 p.p.s.a. Jednocześnie Sąd uznał, że stwierdzone przewlekłe prowadzenie postępowania nie miało miejsca z rażącym naruszeniem prawa.

Skargę kasacyjną od tego wyroku wniósł Prezes Urzędu Ochrony Danych Osobowych, zaskarżając wyrok w części w zakresie punktów 1, 2 i 4 oraz zarzucając mu naruszenie przepisów postępowania mające istotny wpływ na wynik sprawy, tj. art. 149 § 1 pkt 3 p.p.s.a. w zw. z art. 35 § 1 i § 3 k.p.a., poprzez błędne przyjęcie, że powyższe przepisy k.p.a. mają zastosowanie w niniejszej sprawie, podczas gdy do określenia terminu załatwienia przedmiotowej sprawy miał zastosowanie art. 78 ust. 2 RODO.

Mając powyższe na uwadze skarżący kasacyjnie wniósł o uchylenie w całości zaskarżonego wyroku i rozpoznanie skargi kasacyjnej przez Naczelny Sąd Administracyjny, ewentualnie o uchylenie zaskarżonego wyroku w całości i przekazanie sprawy do ponownego rozpoznania Wojewódzkiemu Sądowi Administracyjnemu w Warszawie. Jednocześnie organ wniósł o zasądzenie zwrotu kosztów postępowania według norm przepisanych, a także rozpoznanie skargi kasacyjnej na rozprawie.

Powyższe zarzuty rozwinięto w uzasadnieniu skargi kasacyjnej.

Odpowiedzi na skargę kasacyjną nie wniesiono.

Naczelny Sąd Administracyjny zważył, co następuje:

Stosownie do art. 183 § 1 p.p.s.a. Naczelny Sąd Administracyjny rozpoznaje sprawę w granicach skargi kasacyjnej, biorąc pod rozwagę z urzędu jedynie nieważność postępowania. W rozpoznawanej sprawie nie zachodzi żadna z okoliczności skutkujących nieważnością postępowania, o jakich mowa w art. 183 § 2 p.p.s.a. i nie zachodzi żadna z przesłanek, o których mowa w art. 189 p.p.s.a., które Naczelny Sąd Administracyjny rozważa z urzędu dokonując kontroli zaskarżonego skargą kasacyjną wyroku.

W tych okolicznościach w sprawie badaniu podlegał wyłącznie zarzut podniesiony w skardze kasacyjnej na uzasadnienie przytoczonej podstawy kasacyjnej. Naczelny Sąd Administracyjny uznał, że wniesiona skarga kasacyjna jest zasadna.

Wskazać należy, że zgodnie z art. 78 ust. 2 RODO "Bez uszczerbku dla innych administracyjnych lub pozasądowych środków ochrony prawnej każda osoba, której dane dotyczą, ma prawo do skutecznego środka ochrony prawnej przed sądem, jeżeli organ nadzorczy właściwy zgodnie z art. 55 i 56 nie rozpatrzył skargi lub nie poinformował osoby, której dane dotyczą, w terminie trzech miesięcy o postępach lub efektach rozpatrywania skargi wniesionej zgodnie z art. 77." W doktrynie można spotkać pogląd, że "Zgodnie z art. 35 § 4 k.p.a. przepisy szczególne mogą określać inne terminy niż wskazane w treści tego artykułu. Takim przepisem szczególnym nie jest jednak art. 78 ust. 2 rozporządzenia 2016/679 RODO, nie określa on bowiem terminu załatwienia skargi przez organ nadzorczy. Termin trzech miesięcy, o jakim mowa w tym przepisie, odnosi się do wykonania przez organ nadzorczy obowiązku poinformowania strony, której dane dotyczą, o postępach i efektach rozpoznawania jej skargi, z jego upływem RODO łączy możliwość uruchomienia przez podmiot danych środków ochrony prawnej przed sądem - wniesienia skargi na bezczynność organu nadzorczego" (por.: I. Bogucka (w:) Ustawa o ochronie danych osobowych. Komentarz, D. Lubasz (red.), Warszawa 2019, art. 62). Pogląd ten wydaje się podzielać Sąd I instancji.

Powyższe zapatrywania przedstawicieli doktryny prawa nie zostały podzielone w orzecznictwie sądowym (zob. wyroki Naczelnego Sądu Administracyjnego z dnia 7 lipca 2023 r. sygn. akt III OSK 5190/21, III OSK 4754/21 oraz III OSK 1959/22). Naczelny Sąd Administracyjny w składzie rozpoznającym niniejszą sprawę w pełni podziela zapatrywania wyrażone w powyższych judykatach, przyjmując je za własne.

Mając na uwadze istotę problemu w sprawie jak i podniesione przez organ argumenty należy podkreślić, że trzymiesięczny termin z art. 78 ust. 2 RODO nie odnosi się tylko do obowiązku poinformowania osoby, której dane dotyczą, o postępach lub efektach rozpatrywania skargi wniesionej zgodnie z art. 77 RODO, ale w pierwszej kolejności odnosi się do rozpatrzenia skargi, co wynika z treści przepisu ("jeżeli organ nadzorczy właściwy zgodnie z art. 55 i 56 nie rozpatrzył skargi lub nie poinformował..."). Rozpatrzenie skargi w rozumieniu art. 78 ust. 2 RODO w zw. z art. 7 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781 z późn. zm.), dalej: u.o.d.o., oznacza wydanie decyzji administracyjnej. Nie jest więc uprawnione twierdzenie, że art. 78 ust. 2 RODO nie wyznacza terminu na załatwienie sprawy administracyjnej. Skoro upływ trzymiesięcznego terminu, o jakim mowa w art. 78 ust. 2 RODO, uprawnia do wniesienia skargi na bezczynność (jak podnosi przywołana wyżej doktryna; zob. też P. Fajgielski (w:) Komentarz do ustawy o ochronie danych osobowych (w:) Ogólne rozporządzenie o ochronie danych. Ustawa o ochronie danych osobowych. Komentarz, wyd. II, Warszawa 2022, art. 62, uw. 4) - a bezczynność wiąże się z niezałatwieniem sprawy w terminie określonym w art. 35 k.p.a. lub przepisach szczególnych ani w terminie wskazanym zgodnie z art. 36 § 1 k.p.a. (zob. art. 37 § 1 pkt 1 k.p.a.) - to termin z art. 78 ust. 2 RODO musi być traktowany jako termin szczególny, w rozumieniu art. 35 § 4 k.p.a.

W ocenie Naczelnego Sądu Administracyjnego art. 78 ust. 2 RODO należy odczytywać zatem w ten sposób, że obowiązek organu nadzoru poinformowania osoby, której dane dotyczą, w terminie trzech miesięcy o postępach lub efektach rozpatrywania skargi staje się aktualny, jeśli skarga nie została rozpatrzona w tym terminie (czyli nie została wydana decyzja administracyjna) i zachodzi potrzeba jego wydłużenia, w trybie art. 36 k.p.a., co koresponduje z art. 62 u.o.d.o., nakazującym dodatkowo w takiej sytuacji poinformowanie stron o stanie sprawy i przeprowadzonych w jej toku czynnościach. Zgodnie bowiem z art. 62 u.o.d.o. "W przypadku, o którym mowa w art. 36 ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego, Prezes Urzędu, zawiadamiając strony o niezałatwieniu sprawy w terminie, jest obowiązany również poinformować o stanie sprawy i przeprowadzonych w jej toku czynnościach."

Co oczywiste, nic nie stoi na przeszkodzie w złożeniu przez dany podmiot skargi na przewlekłe prowadzenie postępowania, jeżeli postępowanie jest prowadzone dłużej niż jest to niezbędne do załatwienia sprawy (art. 37 § 1 pkt 2 k.p.a.). Sąd I instancji dokonując oceny zasadności skargi w przedmiocie przewlekłego prowadzenia postępowania oparł się jednak na niewłaściwej podstawie prawnej, a tym samym nie rozpoznał istoty sprawy, co uniemożliwia Naczelnemu Sądowi Administracyjnemu poznanie rzeczywistych motywów rozstrzygnięcia.

Mając powyższe na uwadze, Naczelny Sąd Administracyjny na podstawie art. 185 § 1 p.p.s.a. uchylił zaskarżony wyrok w punktach 1, 2 i 4 i przekazał sprawę w tym zakresie Wojewódzkiemu Sądowi Administracyjnemu w Warszawie do ponownego rozpoznania. Ponownie rozpoznając sprawę Wojewódzki Sąd Administracyjny uwzględni przedstawioną wyżej ocenę prawną.

O kosztach postępowania orzeczono na zasadzie art. 203 pkt 2 p.p.s.a., zgodnie z którym stronie, która wniosła skargę kasacyjną, należy się zwrot poniesionych przez nią niezbędnych kosztów postępowania kasacyjnego od skarżącego - jeżeli w wyniku uwzględnienia skargi kasacyjnej został uchylony wyrok sądu pierwszej instancji uwzględniający skargę.