Centralna Baza Orzeczeń Sądów Administracyjnych

Naczelny Sąd Administracyjny w składzie: Przewodniczący: sędzia NSA Tamara Dziełakowska (sprawozdawca) Sędziowie sędzia NSA Artur Kuś sędzia del. WSA Kazimierz Bandarzewski protokolant starszy asystent sędziego Tomasz Godlewski po rozpoznaniu w dniu 6 maja 2026 r. na rozprawie w Izbie Ogólnoadministracyjnej sprawy ze skargi kasacyjnej I.N. od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 15 lipca 2025 r. sygn. akt II SA/Wa 23/25 w sprawie ze skargi I.N. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia 23 października 2024 r. nr [...] w przedmiocie przetwarzania danych osobowych 1. oddala skargę kasacyjną; 2. oddala wniosek Starosty Opolskiego o zasądzenie zwrotu kosztów postępowania kasacyjnego w całości.

Wyrokiem z 15 lipca 2025 r. Wojewódzki Sąd Administracyjny w Warszawie oddalił skargę I.N. (dalej: skarżąca) na decyzję Prezesa Urzędu Ochrony Danych Osobowych z 23 października 2024 r. w przedmiocie przetwarzania danych osobowych.

W uzasadnieniu Sąd I instancji wskazał, że 10 kwietnia 2022 r. do Prezesa Urzędu Ochrony Danych Osobowych wpłynęła skarga skarżącej na nieprawidłowości w procesie przetwarzania jej danych osobowych m.in. przez Starostę Opolskiego, polegające na przetwarzaniu bez podstawy prawnej danych osobowych skarżącej zawartych w dokumentacji medycznej przekazanej przez Ministra Infrastruktury wraz z wnioskiem S.M., w tym ich udostępnieniu na rzecz Prezydenta Miasta Opola. Ponadto, w piśmie z 15 czerwca 2022 r. skarżąca wskazała, że oczekuje nakazania spełnienia obowiązku informacyjnego w przypadku pozyskiwania danych osobowych w sposób inny niż od osoby, której dane dotyczą; nakazania spełnienia obowiązku informacyjnego dotyczącego uprawnienia osoby, której dane dotyczą, do uzyskania od administratora potwierdzenia, czy przetwarzane są dane osobowe jej dotyczące, a jeżeli ma to miejsce, uzyskania dostępu do nich oraz informacji m.in. o celu przetwarzania.

W toku postępowania organ ustalił, że 14 stycznia 2022 r. do Starosty Opolskiego wpłynął wniosek S.M., przekazany z Departamentu Kontroli Ministerstwa Infrastruktury, o skierowanie skarżącej na badania lekarskie mające potwierdzić lub wykluczyć możliwość prowadzenia przez skarżącą pojazdów mechanicznych. Wniosek zawierał załączniki, którymi były skany dokumentacji medycznej skarżącej. Starosta Opolski przesłał wniosek Prezydentowi Miasta Opola, na podstawie art. 65 § 1 zdanie pierwsze ustawy z 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2022 r., poz. 2000 ze zm., dalej: k.p.a.).

Decyzją z 23 października 2024 r. Prezes Urzędu Ochrony Danych Osobowych w pkt 1 rozstrzygnięcia umorzył postępowanie w zakresie dotyczącym żądania nakazania Staroście Opolskiemu spełnienia wobec skarżącej obowiązku informacyjnego określonego w art. 15 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz.Urz. UE L 119 z 4.05.2016, s. 1, ze zm., dalej: RODO) a w pkt 2 odmówił uwzględnienia wniosku skarżącej w pozostałym zakresie.

Jako podstawę rozstrzygnięcia organ powołał art. 104 i art. 105 § 1 k.p.a. w związku z art. 7 ust. 1 i 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. 2019 r., poz. 1781, dalej: u.o.d.o.) oraz art. 14 ust. 5 lit. c, art. 15 ust. 1 oraz art. 58 ust. 2 RODO.

W uzasadnieniu decyzji organ wyjaśnił, że skoro do Starosty Opolskiego wpłynął przedmiotowy wniosek o skierowanie skarżącej na badania lekarskie, to niezbędne i dopuszczalne było pozyskanie przez Starostę Opolskiego danych osobowych zawartych w dokumentach dołączonych do tego wniosku. Tym samym pozyskanie przez Starostę Opolskiego danych osobowych skarżącej zawartych w dokumentacji medycznej, której skany zostały dołączone do wniosku o skierowanie skarżącej na badania lekarskie, wypełniło przesłanki określone w art. 9 ust. 2 lit. g RODO. Ponadto, z wyjaśnień Starosty Opolskiego wynika, że przesyłając do Prezydenta Miasta Opola wniosek wraz z załącznikami, organ ten zastosował przewidziany dla spraw indywidualnych rozstrzyganych w drodze decyzji administracyjnych tryb określony w art. 65 § 1 zdanie pierwsze k.p.a. Przepis ten zobowiązuje niewłaściwy w sprawie organ administracji publicznej, do którego podanie wniesiono, do niezwłocznego przekazania takiego podania organowi właściwemu. Z kolei zgodnie z art. 96 ust. 1 pkt 2 ustawy z dnia 5 stycznia 2011 r. o kierujących pojazdami (Dz. U. z 2024 r. poz. 1210), kierowca i osoba posiadająca pozwolenie na kierowanie tramwajem podlegają nadzorowi w zakresie spełniania wymagań określonych dla uzyskania i posiadania dokumentu stwierdzającego posiadanie uprawnienia do kierowania pojazdem lub tramwajem. Nadzór w zakresie, o którym stanowi ten przepis sprawuje starosta (art. 96 ust. 2 pkt 2 ustawy o kierujących pojazdami). Starosta wydaje decyzję administracyjną o skierowaniu kierowcy lub osoby posiadającej pozwolenie na kierowanie tramwajem na badanie lekarskie, jeżeli istnieją uzasadnione zastrzeżenia co do ich stanu zdrowia (art. 99 ust. 1 pkt 2 o kierujących pojazdami). Decyzja ta jest wydawana przez starostę z urzędu na podstawie informacji i ustaleń stanu faktycznego uzyskanych w ramach wykonywania zadań własnych w zakresie, o którym mowa w ust. 1 (art. 99 ust. 2 pkt 1 lit. a ustawy o kierujących pojazdami). Badaniu lekarskiemu, przeprowadzanemu w celu ustalenia istnienia lub braku przeciwwskazań zdrowotnych do kierowania pojazdami, podlega osoba posiadająca prawo jazdy lub pozwolenie na kierowanie tramwajem, jeżeli istnieją uzasadnione i poważne zastrzeżenia co do stanu jej zdrowia (art. 75 ust. 1 pkt 5 ustawy). Natomiast, zgodnie z art. 92 ust. 1 pkt 2 ustawy z dnia 5 czerwca 1998 r. o samorządzie powiatowym (Dz. U. z 2024 r. poz. 107) funkcje organów powiatu w miastach na prawach powiatu sprawuje prezydent miasta. W tej sytuacji organem właściwym w sprawie był Prezydent Miasta Opola. Powyższe działanie Starosty Opolskiego znajdowało oparcie w powołanych wyżej przepisach, a tym samym wypełniało przesłanki określone w art. 9 ust. 2 lit. g RODO.

Organ powołał się na art. 14 ust. 5 lit. c RODO wskazując, że z przepisu tego wynika zwolnienie administratora z obowiązku informacyjnego, o którym mowa w art. 14 ust. 1 RODO, gdy pozyskiwanie lub ujawnianie jest wyraźnie uregulowane prawem Unii lub prawem państwa członkowskiego, któremu podlega administrator, przewidującym odpowiednie środki chroniące prawnie uzasadnione interesy osoby, której dane dotyczą. Starosta Opolski, działając jako administrator, pozyskał dane osobowe skarżącej na podstawie przepisów Kodeksu postępowania administracyjnego. Organ właściwy w sprawie nadzoru w zakresie spełniania wymagań określonych dla posiadania dokumentu potwierdzającego uprawnienia do kierowania pojazdem, rozstrzyga natomiast o skierowaniu na badanie lekarskie po przeprowadzeniu postępowania, o którym mowa w przepisach ustawy o kierujących pojazdami. W takim postępowaniu skarżącej, jako stronie, przysługują przewidziane prawem środki zaskarżenia, służące ochronie jej prawnie uzasadnionych interesów. Zgodnie bowiem z art. 99 ust. 1 pkt 2 ustawy o kierujących pojazdami, skierowanie kierowcy na badanie lekarskie następuje w drodze decyzji administracyjnej, od której przysługuje odwołanie. Wyłączenie z art. 14 ust. 5 lit. c RODO generalnie obejmuje przypadki pozyskiwania danych osobowych na podstawie przepisów Kodeksu postępowania administracyjnego. Wyłączenie obowiązku informacyjnego ma również zastosowanie w przypadku przetwarzania danych osobowych na potrzeby postępowania administracyjnego, dlatego też w przepisach Kodeksu postępowania administracyjnego unormowany został jedynie sposób realizacji obowiązku informacyjnego z art. 13 RODO, natomiast nie było potrzeby powtarzania regulacji dotyczącej zwolnienia z obowiązku określonego w art. 14 RODO. W konsekwencji Starosta Opolski nie był zobligowany do spełnienia wobec skarżącej obowiązku informacyjnego określonego w art. 14 RODO, bowiem zaistniała określona w art. 14 ust. 5 lit. c RODO przesłanka zwalniająca z tego obowiązku. Brak jest tym samym podstaw do stwierdzenia przez organ naruszenia przez Starostę Opolskiego przepisów o ochronie danych osobowych, a tym samym do uwzględnienia wniosku skarżącej i skorzystania z uprawnień naprawczych, o których mowa w art. 58 ust. 2 RODO.

Uprawnienie wynikające z art. 15 ust. 1 RODO realizowane jest wyłącznie na wniosek osoby uprawnionej i brak takiego wniosku oznacza, że po stronie administratora nie powstaje skorelowany z nim obowiązek. Realizacja uprawnień określonych w art. 15, w odróżnieniu od prawa do informacji zagwarantowanego w art. 13 czy 14, wymaga inicjatywy podmiotu danych. Skarżąca nie wystąpiła do Starosty Opolskiego z wnioskiem o udzielenie informacji wynikających z art. 15 ust. 1 RODO. Tym samym żądanie skarżącej w zakresie nakazania przez organ spełnienia przez Starostę Opolskiego obowiązku informacyjnego określonego w art. 15 ust. 1 RODO należy uznać za przedwczesne. Skarżąca w pierwszej kolejności powinna złożyć wniosek o realizację uprawnienia z art. 15 ust. 1 RODO do administratora. Dopiero niespełnienie, czy też nieprawidłowe spełnienie obowiązku informacyjnego podlegać może ocenie organu, a następnie ewentualnemu zastosowaniu przez organ stosownego nakazu lub innego uprawnienia określonych przepisami RODO. Żądanie w tym zakresie było zatem obecnie bezprzedmiotowe (art. 105 § 1 k.p.a.).

Skarżąca wniosła skargę na decyzję z 23 października 2024 r. do Wojewódzkiego Sądu Administracyjnego w Warszawie.

Oddalając skargę Sąd I instancji w pierwszej kolejności wskazał, że wobec związania Prezesa Urzędu Ochrony Danych Osobowych zakresem skargi złożonej i doprecyzowanej w postępowaniu administracyjnym, nieuzasadnione są zarzuty skarżącej dotyczące braku oczekiwanej przez nią reakcji organu na wskazywane naruszenia w procesie przetwarzania jej danych osobowych przez inne podmioty niż Starosta Opolski. Z odpowiedzi na skargę wynika natomiast, że organ prowadził wobec innych podmiotów odrębne postępowania dotyczące nieprawidłowości w procesie przetwarzania danych osobowych skarżącej.

W ocenie Sądu I instancji, również pozostałe zarzuty skargi nie zasługiwały na uwzględnienie. Nie doszło do naruszenia art. 9 ust. 1 RODO, bowiem w rozpatrywanej sprawie miał zastosowanie art. 9 ust. 2 lit. g RODO w związku z art. 21 § 1 pkt 3 i art. 65 § 1 zdanie pierwsze k.p.a., art. 96 ust. 1 pkt 2, art. 99 ust. 1 pkt 2 oraz art. 75 ust. 1 pkt 5 ustawy o kierujących pojazdami, a także z art. 92 ust. 1 ustawy o samorządzie powiatowym. Pozyskanie i przekazanie danych osobowych skarżącej przez Starostę Opolskiego było niezbędne w świetle przepisów Kodeksu postępowania administracyjnego oraz ustawy o kierujących pojazdami. Jak wynika z akt postępowania administracyjnego, wniosek wraz z załącznikami, przekazany według właściwości miejscowej (art. 21 § 1 pkt 3 k.p.a.) przez Ministra Infrastruktury, wpłynął do Starosty Opolskiego 14 stycznia 2022 r. Starosta Opolski, prawidłowo stwierdzając, że jest niewłaściwy w sprawie rozpoznania wniosku, przekazał wniosek wraz ze wszystkimi załącznikami do organu właściwego miejscowo, tj. Prezydenta Miasta Opola. Właściwość Prezydenta Miasta Opola do rozpatrzenia przedmiotowego wniosku wynikała z art. 99 ust. 1 ustawy o kierujących pojazdami. Starosta Opolski pozyskał i przekazał organowi właściwemu dane osobowe skarżącej (zawarte w załącznikach do wniosku), to jednak nie był zobligowany do spełnienia względem skarżącej obowiązku informacyjnego, o którym stanowi art. 14 RODO. Starosta Opolski nie prowadził postępowania administracyjnego, o którym mowa w art. 99 ustawy o kierujących pojazdami, ale na podstawie art. 65 § 1 k.p.a., był zobligowany zbadać swoją właściwość i przekazać wniosek wraz z załącznikami organowi właściwemu do jego rozpatrzenia. Stosował zatem przepisy Kodeksu postępowania administracyjnego. Ustalona przez Starostę Opolskiego właściwość Prezydenta Miasta Opola do rozpatrzenia wniosku mogła być kwestionowana przez skarżącą w toku instancji w ewentualnym postępowaniu głównym (prowadzonym na podstawie ustawy o kierujących pojazdami). Oznacza to, że skarżącej przysługiwały odpowiednie środki chroniące jej prawnie uzasadnione interesy. Wobec wystąpienia przesłanki z art. 14 ust. 5 lit. c RODO, Starosta Opolski nie był zobligowany do spełnienia wobec skarżącej obowiązku informacyjnego określonego w art. 14 RODO.

W ocenie Sądu I instancji, prawidłowe było również umorzenie postępowania w zakresie dotyczącym żądania nakazania Staroście Opolskiemu spełnienia wobec skarżącej obowiązku informacyjnego określonego w art. 15 ust. 1 RODO (pkt 1 zaskarżonej decyzji). Realizacja uprawnień określonych w art. 15 RODO, w odróżnieniu od prawa do informacji zagwarantowanego w art. 13 lub art. 14 RODO, wymaga inicjatywy samego podmiotu danych. Oznacza to, że wykonanie prawa dostępu do danych osobowych zgodnie z art. 15 RODO ma miejsce na skutek wystąpienia podmiotu danych z żądaniami określonymi w tym przepisie. Z materiału dowodowego sprawy nie wynika, że skarżąca wystąpiła do Starosty Opolskiego z żądaniem wykonania prawa dostępu do danych osobowych na podstawie art. 15 RODO.

Ponadto Sąd I instancji wskazał, że nie doszło także do naruszenia art. 33 RODO. Przepis art. 33 RODO nie miał zastosowania w sprawie, bowiem w prawidłowo ustalonych przez organ okolicznościach faktycznych nie doszło do naruszenia bezpieczeństwa ochrony danych osobowych. Kwestia zgodności działania Starosty Opolskiego z tym przepisem nie mogła być podstawą do wydania decyzji w indywidualnej sprawie skarżącej. Stroną postępowania dotyczącego zgłoszenia naruszenia ochrony danych osobowych jest bowiem wyłącznie administrator, a osobom, których dane dotyczą (a więc również skarżącej), nie przysługuje prawo do żądania nakazania administratorowi poinformowania Prezesa Urzędu Ochrony Danych Osobowych o naruszeniu ochrony danych osobowych. O tym, że oceny zgodności działania administratora z treścią art. 33 RODO organ nadzorczy dokonuje wyłącznie z urzędu, Prezes Urzędu Ochrony Danych Osobowych poinformował skarżącą w piśmie z 8 lipca 2022 r.

Zdaniem Sądu I instancji, nieuzasadniony jest zarzut skarżącej, że Prezes Urzędu Ochrony Danych Osobowych nie dokonał należytej analizy i oceny naruszenia jej danych osobowych przez Starostę Opolskiego. Organ prawidłowo bowiem stwierdził, że pozyskanie i przekazanie danych osobowych skarżącej przez Starostę Opolskiego (w tym danych wrażliwych zawartych w załącznikach do wniosku o skierowanie na badania) miało miejsce na podstawie art. 9 ust. 2 lit. g RODO. Bez znaczenia jest, że dane osobowe zawarte w załącznikach do wniosku nie były związane z postępowaniem administracyjnym, bowiem takie w ogóle się nie toczyło przed Starostą Opolskim. Ponadto załączniki do wniosku (dokumentacja medyczna) zostały skarżącej zwrócone, co potwierdza protokół przekazania dokumentacji z 16 marca 2022 r. Starosta Opolski nie badał bowiem wartości merytorycznej załączników dla ewentualnego postępowania administracyjnego. Nie był bowiem to tego zobowiązany. Obowiązkiem Starosty było natomiast zbadanie swojej właściwości i wobec stwierdzenia, że jest on organem niewłaściwym do rozpatrzenia wniosku - przekazanie go do organu właściwego.

Skargę kasacyjną od powyższego wyroku wniosła skarżąca.

Skarżąca zarzuciła naruszenie przepisów postępowania, które mogło mieć istotny wpływ na wynik sprawy.

Po pierwsze, art. 145 § 1 pkt 1 lit. c) ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz.U. z 2024 r., poz. 935 ze zm. - dalej: p.p.s.a.) w związku z art. 7, art. 77 § 1 oraz art. 80 k.p.a. przez nieprzeprowadzenie wszechstronnego i wyczerpującego rozpatrzenia zgromadzonego w sprawie materiału dowodowego, dokonanie jego oceny w sposób dowolny i wybiórczy, z przekroczeniem granic swobodnej oceny dowodów, co doprowadziło do niezasadnej odmowy ukarania organu grzywną oraz przyznania skarżącej sumy pieniężnej.

Po drugie, art. 9 ust. 1 RODO w związku z art. 5 ust. 1 lit. a), b), c) i f) RODO przez niedokonanie oceny działania Starosty Opolskiego w zakresie zasady legalności, adekwatności, minimalizacji i poufności przetwarzania danych, mimo że przekazana dokumentacja medyczna zawierała dane szczególnie wrażliwe, w tym opisy rozmów skarżącej z psychologiem.

Po trzecie, art. 9 ust. 2 lit. g RODO przez błędną wykładnię polegającą na przyjęciu, że dane, w tym dokumentacja medyczna skarżącej, które uprzednio bezprawnie uzyskane trafiły do Komendanta Policji, mogły być przetwarzane z uwagi na ważny interes publiczny, podczas gdy przepis ten wymaga, aby przetwarzanie było proporcjonalne i ograniczone do danych niezbędnych.

Po czwarte, art. 33 ust. 1 RODO przez brak ustalenia, że Starosta Opolski był zobowiązany do zgłoszenia naruszenia w sytuacji ryzyka naruszenia praw lub wolności osoby fizycznej, w związku z przekazaniem danych wrażliwych uzyskanych bezprawnie przez osobę trzecią, które następnie zostały uznane przez Urząd Miasta Opola za niemające znaczenia dla sprawy.

Po piąte, art. 14 ust. 1 RODO przez przyjęcie, że Starosta Opolski był zwolniony z obowiązku informacyjnego wobec skarżącej na podstawie art. 14 ust. 5 lit. c RODO, podczas gdy wskazane przez Sąd I instancji regulacje nie stanowiły odpowiednich środków ochrony.

Po szóste, art. 8 ust. 1 Karty praw podstawowych Unii Europejskiej oraz art. 16 Traktatu o funkcjonowaniu Unii Europejskiej przez brak odniesienia się do zarzucanego organowi naruszenia gwarancji ochrony danych osobowych oraz prawa do prywatności.

Po siódme, art. 7 i art. 8 Karty praw podstawowych Unii Europejskiej przez nieuwzględnienie wpływu wskazanych naruszeń na życie prywatne skarżącej oraz ograniczenie się do aspektów formalnych, pomimo, że dokumentacja zawierała dane o charakterze intymnym, które mogły prowadzić do jej stygmatyzacji i nękania.

Wskazując na powyższe zarzuty, skarżąca wniosła o uchylenie zaskarżonego wyroku w całości oraz przekazanie sprawy do ponownego rozpoznania przez Wojewódzki Sąd Administracyjny w Warszawie, a także o zasądzenie kosztów postępowania według norm przepisanych. Skarżąca oświadczyła ponadto, że nie wnosi o rozpoznanie sprawy na rozprawie.

W odpowiedzi na skargę kasacyjną organ wniósł o jej oddalenie.

W odpowiedzi na skargę kasacyjną Starosta Opolski wniósł o jej oddalenie oraz o zasądzenie od skarżącej na rzecz uczestnika postępowania zwrotu kosztów postępowania kasacyjnego, w tym kosztów zastępstwa prawnego.

Naczelny Sąd Administracyjny zważył co następuje:

W świetle art. 174 p.p.s.a. skargę kasacyjną można oprzeć na następujących podstawach:

1) naruszeniu prawa materialnego przez błędną jego wykładnię lub niewłaściwe zastosowanie,

2) naruszeniu przepisów postępowania, jeżeli uchybienie to mogło mieć istotny wpływ na wynik sprawy.

Podkreślić przy tym trzeba, że Naczelny Sąd Administracyjny jest związany podstawami skargi kasacyjnej, ponieważ w świetle art. 183 § 1 p.p.s.a. rozpoznaje sprawę w granicach skargi kasacyjnej, biorąc z urzędu pod rozwagę jedynie nieważność postępowania. Jeżeli zatem nie wystąpiły przesłanki nieważności postępowania wymienione w art. 183 § 2 p.p.s.a. (a w rozpoznawanej sprawie przesłanek tych brak), to Sąd związany jest granicami skargi kasacyjnej. Oznacza to, że Sąd nie jest uprawniony do samodzielnego dokonywania konkretyzacji zarzutów skargi kasacyjnej, a upoważniony jest do oceny zaskarżonego orzeczenia wyłącznie w granicach przedstawionych we wniesionej skardze kasacyjnej.

Po pierwsze, na uwzględnienie nie zasługiwał zarzut naruszenia art. 145 § 1 pkt 1 lit. c) p.p.s.a w związku z art. 7, art. 77 § 1 oraz art. 80 k.p.a. W ocenie skarżącej polegało to na braku przeprowadzenia przez Sąd I instancji wszechstronnego i wyczerpującego rozpatrzenia zgromadzonego w sprawie materiału dowodowego, dokonania jego oceny w sposób dowolny i wybiórczy, z przekroczeniem granic swobodnej oceny dowodów co doprowadziło do niezasadnej odmowy ukarania organu grzywną i przyznania skarżącej sumy pieniężnej. Tak sformułowany zarzut nie mógł odnieść zamierzonego skutku, ponieważ przedmiotem tej sprawy w ogóle nie była ocena przesłanek orzeczenia z urzędu albo na wniosek strony o wymierzeniu organowi grzywny w wysokości określonej w art. 154 § 6 p.p.s.a. lub przyznania od organu na rzecz skarżącego sumy pieniężnej do wysokości połowy kwoty określonej w art. 154 § 6 (art. 149 § 2 p.p.s.a.). Ponadto, normy z art. 7, art. 77 § 1 oraz art. 80 k.p.a. stanowią normy procesowe, które zobowiązany jest stosować organ administracji publicznej prowadząc procesowe postępowanie administracyjne w trybie przepisów Kodeksu postępowania administracyjnego. Przepisów tych nie stosuje i nie może stosować wojewódzki sąd administracyjny. Nie bez znaczenia jest także, że stan faktyczny sprawy nie budzi w istocie wątpliwości, natomiast przedmiotem sporu pozostaje wykładnia lub zastosowanie przepisów RODO powołanych w ramach pozostałych zarzutów kasacyjnych.

Po drugie, zgodnie z art. 9 ust. 1 RODO, zabrania się przetwarzania danych osobowych ujawniających pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe, przynależność do związków zawodowych oraz przetwarzania danych genetycznych, danych biometrycznych w celu jednoznacznego zidentyfikowania osoby fizycznej lub danych dotyczących zdrowia, seksualności lub orientacji seksualnej tej osoby. Jednocześnie norma z art. 9 ust. 2 lit. g) RODO przewiduje wyjątek od zakazu z art. 9 ust. 1, wyłączając zastosowanie tego ostatniego przepisu, jeżeli przetwarzanie danych jest niezbędne ze względów związanych z ważnym interesem publicznym, na podstawie prawa Unii lub prawa państwa członkowskiego, które są proporcjonalne do wyznaczonego celu, nie naruszają istoty prawa do ochrony danych i przewidują odpowiednie i konkretne środki ochrony praw podstawowych i interesów osoby, której dane dotyczą. Prawodawca unijny zastrzegł także, że dane osobowe muszą być przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą ("zgodność z prawem, rzetelność i przejrzystość"); zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach i nieprzetwarzane dalej w sposób niezgodny z tymi celami; dalsze przetwarzanie do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych nie jest uznawane w myśl art. 89 ust. 1 za niezgodne z pierwotnymi celami ("ograniczenie celu"); adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane ("minimalizacja danych"); a ponadto przetwarzane w sposób zapewniający odpowiednie bezpieczeństwo danych osobowych, w tym ochronę przed niedozwolonym lub niezgodnym z prawem przetwarzaniem oraz przypadkową utratą, zniszczeniem lub uszkodzeniem, za pomocą odpowiednich środków technicznych lub organizacyjnych ("integralność i poufność"). Zasady te wynikają powołanych w ramach zarzutów kasacyjnych art. 5 ust. 1 lit. a), b), c) i f) RODO.

Zarzuty kasacyjne odnoszące się do powyższych przepisów nie mogły odnieść zamierzonego skutku, ponieważ skarżąca w istocie nie wyjaśnia, na czym polegało ich naruszenie i jakie konkretnie działania powinien podjąć Starosta Opolski po otrzymaniu dokumentacji zawierającej dane wrażliwe dotyczące skarżącej (poza zawiadomieniem o naruszeniu obowiązków w zakresie danych osobowych, do czego odnoszą się dalsze zarzuty kasacyjne). Nie ulega natomiast wątpliwości, że wniosek wraz z załącznikami, przekazany został do Starosty Opolskiego według właściwości miejscowej (art. 21 § 1 pkt 3 k.p.a.) przez Ministerstwo Infrastruktury, wpłynął do Starostwa Opolskiego w dniu 14 stycznia 2022 r. (k. 5 akt admin.). Starosta Opolski, stwierdzając, że jest niewłaściwy w sprawie rozpoznania wniosku, przekazał ten wniosek w dniu 18 stycznia 2022 r. (k. 4 verte akt admin.) do organu właściwego miejscowo, tj. Prezydenta Miasta Opola (adresując pismo do Urzędu Miasta Opola). Podstawą przekazania wniosku był art. 65 § 1 k.p.a. Właściwość Prezydenta Miasta Opola do rozpatrzenia przedmiotowego wniosku wynikała z art. 99 ust. 1 ustawy o kierujących pojazdami, na który to przepis, wbrew twierdzeniom skargi kasacyjnej, Sąd I instancji powołał się w ramach kontroli legalności zaskarżonej decyzji. Zgodnie z tym przepisem, decyzję administracyjną o skierowaniu kierowcy lub osoby posiadającej pozwolenie na kierowanie tramwajem na: 1) kontrolne sprawdzenie kwalifikacji w formie egzaminu państwowego, jeżeli istnieją uzasadnione zastrzeżenia co do ich kwalifikacji; 2) badania lekarskie, jeżeli istnieją uzasadnione zastrzeżenia co do ich stanu zdrowia - wydaje starosta. Decyzja ta jest wydawana z urzędu m.in. na podstawie informacji i ustaleń stanu faktycznego uzyskanych w ramach wykonywania zadań własnych, w zakresie, o którym mowa w art. 99 ust. 1 cytowanej ustawy. Nie ulega przy tym wątpliwości, że funkcje organów powiatu w miastach na prawach powiatu sprawuje prezydent miasta, a w tym wypadku Prezydent Miasta Opola.

W konsekwencji powyższych ustaleń uzasadnione jest stanowisko Sądu I instancji (który podzielił w tym zakresie argumentację organu), że przetwarzanie danych było niezbędne ze względów związanych z ważnym interesem publicznym (bezpieczeństwo w ruchu drogowym), na podstawie prawa państwa członkowskiego (art. 99 ust. 1 i ust. 2 pkt 1a ustawy o kierujących pojazdami oraz art. 65 § 1 k.p.a.). Przetwarzanie było proporcjonalne do wyznaczonego celu (ograniczało się wyłącznie do analizy w celu przekazania akt według właściwości), nie naruszało istoty prawa do ochrony danych i przewidywało odpowiednie i konkretne środki ochrony praw podstawowych i interesów osoby, której dane dotyczą (możliwość zaskarżenia ewentualnej decyzji wydanej w trybie przepisów ustawy o kierujących pojazdami w administracyjnym toku instancji, a także możliwość zakwestionowania przekazania sprawy według właściwości). Dane osobowe skarżącej były przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą (skarżąca otrzymała zawiadomienie o przekazaniu sprawy według właściwości); zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach i nieprzetwarzane dalej w sposób niezgodny z tymi celami (wyłącznie na potrzeby przekazana sprawy według właściwości w celu wydania konkretnej decyzji znajdującej oparcie w przepisach powszechnie obowiązującego prawa, a więc także w ograniczonym celu). Skarżąca nie wykazała przy tym, że nie zachowano bezpieczeństwa danych osobowych ("integralność i poufność"), ponieważ nie jest wystarczające w tym celu wskazanie, że dane były przekazywane między organami administracji publicznej.

W konsekwencji powyższego zarzuty podnoszące naruszenie art. 9 ust. 1 RODO w związku z art. 5 ust. 1 lit. a), b), c) i f) RODO oraz art. 9 ust. 2 lit. g RODO, nie zasługiwały na uwzględnienie.

Po trzecie, zgodnie z art. 33 ust. 1 RODO, w przypadku naruszenia ochrony danych osobowych, administrator bez zbędnej zwłoki - w miarę możliwości, nie później niż w terminie 72 godzin po stwierdzeniu naruszenia - zgłasza je organowi nadzorczemu właściwemu zgodnie z art. 55, chyba że jest mało prawdopodobne, by naruszenie to skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych. Do zgłoszenia przekazanego organowi nadzorczemu po upływie 72 godzin dołącza się wyjaśnienie przyczyn opóźnienia. Sąd I instancji prawidłowo orzekł, że art. 33 RODO nie miał zastosowania w tej sprawie, bowiem nie można uznać, że doszło do naruszenia bezpieczeństwa ochrony danych osobowych w rozumieniu powołanego przepisu. Istotne znaczenie ma, że administrator danych osobowych – w tym przypadku Starosta Opolski – nie doprowadził do przypadkowego lub niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych osobowych przesyłanych, przechowywanych lub w inny sposób przetwarzanych. W konsekwencji nie została spełniona przesłanka naruszenia ochrony danych osobowych w rozumieniu art. 4 pkt 12 RODO.

Przepis art. 33 ust. 1 RODO stanowi o obowiązku zgłoszenia naruszenia ochrony danych osobowych, a nie "naruszenia przepisów przez administratora". Kluczowa jest także powołana wyżej definicja z art. 4 pkt 12 RODO. Źródło naruszenia (kto zawinił) nie jest elementem tej definicji. Jeżeli zatem w sprawie dochodzi do naruszenia ochrony danych osobowych, które podlegało zgłoszeniu (czyli powodowało ryzyko dla praw lub wolności), a administrator nie dokonał zgłoszenia w terminie 72 godzin, to mamy do czynienia z naruszeniem art. 33 ust. 1 RODO, niezależnie od samego pierwotnego incydentu. Ustalenia zatem wymaga przede wszystkim, czy doszło do naruszenia ochrony danych osobowych? Naruszenie takie niewątpliwie następuje, jeżeli dane zostały wcześniej ujawnione osobie nieuprawnionej, a następnie trafiły do organu. Naruszenie polega na nieuprawnionym ujawnieniu danych osobowych (czego w tej sprawie Naczelny Sąd Administracyjny nie przesądza, ponieważ działania osoby przekazującej dane do Ministra Infrastruktury pozostają poza granicami tej sprawy), ale naruszenie to powstało u podmiotu, który dane ujawnił, a nie u organu. W konsekwencji w dalszej kolejności wymagało ustalenia, czy organ miał obowiązek zastosować art. 33 ust. 1 RODO. W ocenie Naczelnego Sądu Administracyjnego, w takiej sytuacji organ musi dokonać zgłoszenia tylko takiego naruszenia, które dotyczą przetwarzania danych osobowych przez ten organ albo powstały w jego "łańcuchu przetwarzania" (np. u procesora). W tej natomiast sprawie organ otrzymał dane już po ewentualnym naruszeniu, ale sam nie doprowadził do naruszenia bezpieczeństwa danych i brak jest podstaw do przyjęcia, że doszło do wtórnego naruszenia np. przez dalsze ujawnienie (co jak już wyżej wskazano, nie miało w tej sprawie miejsca) lub brak zabezpieczenia akt. Dopiero bowiem w takiej sytuacji doszłoby do nowego, własnego naruszenia bezpieczeństwa danych, które podlegałoby zgłoszeniu przez administratora (Starostę Opolskiego). Ewentualne przekazanie bezprawnie uzyskanych danych osobowych podmiotowi, który może je przetwarzać zgodnie z prawem nie oznacza zatem "automatycznie" obowiązku tego podmiotu dokonania zgłoszenia na podstawie art. 33 ust. 1 RODO. Zarzut naruszenia art. 33 RODO nie zasługiwał zatem na uwzględnienie. Odrębną kwestią jest oczywiście, czy dane te rzeczywiście zostały bezprawnie uzyskane i przekazane, co jak już wyżej wskazano wykracza poza przedmiot tej sprawy, który dotyczy wyłącznie obowiązków Starosty Opolskiego, ocenianych przez pryzmat skargi z art. 77 ust. 1 RODO.

Po czwarte, na uwzględnienie nie zasługiwał także zarzut naruszenia art. 14 ust. 1 RODO w związku z art. 14 ust. 5 lit. c RODO. Zgodnie z wyrokiem TSUE z 28 listopada 2024 r., C-169/23, art. 14 ust. 5 lit. c) RODO powinien być interpretowany w sposób zgodny z celem realizowanym przez to rozporządzenie, który polega w szczególności - jak wynika z jego art. 1 w związku z jego motywami 1 i 10 - na zapewnieniu wysokiego poziomu ochrony podstawowych praw i wolności osób fizycznych, a zwłaszcza ich prawa do życia prywatnego w zakresie przetwarzania danych osobowych, ustanowionego w art. 8 ust. 1 Karty praw podstawowych i w art. 16 ust. 1 TFUE (zob. podobnie wyrok z dnia 7 marca 2024 r., IAB Europe , C-604/22, EU:C:2024:214, pkt 53 i przytoczone tam orzecznictwo). W tym względzie z motywu 63 RODO wynika, że prawodawca Unii chciał, aby osoba, której dane dotyczą, w rozumieniu tego rozporządzenia, miała prawo dostępu do zebranych danych jej dotyczących, by mieć świadomość przetwarzania i móc zweryfikować zgodność przetwarzania z prawem. W związku z tym administrator może zostać zwolniony z obowiązku informacyjnego spoczywającego na nim zwykle wobec osoby, której dane dotyczą, pod warunkiem że osoba ta jest w stanie sprawować kontrolę nad swoimi danymi osobowymi i wykonywać prawa przyznane jej na mocy RODO. Zgodnie z celem realizowanym przez to rozporządzenie wyjątek od obowiązku informowania osoby, której dane dotyczą, przewidziany w art. 14 ust. 5 lit. c) RODO wymaga, po pierwsze, aby pozyskanie lub ujawnienie danych osobowych przez administratora było wyraźnie przewidziane w prawie Unii lub w prawie państwa członkowskiego, któremu podlega ów administrator. Z drugiej strony prawo to powinno przewidywać odpowiednie środki służące zapewnieniu ochrony uzasadnionych interesów osoby, której dane dotyczą. Wynika z tego, że aby stosowanie art. 14 ust. 5 lit. c) tego rozporządzenia było w pełni zgodne z celem realizowanym przez RODO, jest ono uzależnione od skrupulatnego przestrzegania warunków przewidzianych w tym przepisie, tj. w szczególności od istnienia poziomu ochrony osoby, której dane dotyczą, który jest co najmniej równoważny poziomowi ochrony gwarantowanemu przez art. 14 ust. 1-4 tego rozporządzenia.

W tym kontekście Sąd I instancji dokonał prawidłowej wykładni tych przepisów, chociaż w ocenie Naczelnego Sądu Administracyjnego, stanowisko w tym zakresie wymaga uzupełnienia. Przede wszystkim podkreślenia wymaga, że przekazanie wniosku wraz z załącznikami przez Starostę Opolskiego do Prezydenta Miasta Opola w trybie art. 65 § 1 k.p.a. zwalniało organ z obowiązku informacyjnego wobec skarżącej, wynikającego z art. 14 ust. 1 RODO. Artykuł 65 § 1 k.p.a. reguluje kwestię przekazania sprawy według właściwości, co niewątpliwie wiąże się również z koniecznością pozyskania danych przez organ przekazujący oraz ujawnienia danych organowi, któremu sprawa jest przekazywana. Przepis ten samodzielnie nie ustanawia mechanizmów ochrony danych osobowych, ale mechanizmy takie zawiera ustawa Kodeks postępowania administracyjnego, w szczególności w przepisach Działu II Rozdziału 3 "Udostępnianie akt". Ponadto, jak prawidłowo orzekł Sąd I instancji, różnego rodzaju gwarancje wynikają również z przysługujących stronie uprawnień procesowych związanych z toczącym się ewentualnie postępowaniem administracyjnym. W konsekwencji zawiadomienie z art. 65 § 1 k.p.a. zastępuje obowiązek informacyjny z art. 14 ust. 1 i 2 RODO, na podstawie wyjątku z art. 14 ust. 5 lit. c RODO. Stanowisko to potwierdza także wskazywany przez organ brak uregulowania obowiązków wynikających z art. 14 RODO w przepisach Kodeksu postępowania administracyjnego. Z uzasadnienia projektu ustawy z dnia 21 lutego 2019 r. o zmianie niektórych ustaw w związku z zapewnieniem stosowania rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz.U. z 2019 r., poz. 730) wynika, że pominięcie regulacji art. 14 RODO (informacje podawane w przypadku pozyskiwania danych osobowych w sposób inny niż od osoby, której dane dotyczą), przy jednoczesnym wprowadzeniu w art. 2a k.p.a. odwołania do obowiązków z art. 13 RODO (informacje podawane w przypadku zbierania danych od osoby, której dane dotyczą) miało na celu zachowanie autonomii obowiązków wynikających z RODO względem procedury administracyjnej oraz uniknięcie utożsamiania ich z elementami postępowania administracyjnego, od których naruszenia zależy jego wynik. W konsekwencji przyjmuje się, że uregulowane w art. 14 ust. 5 lit. c) RODO wyłączenie obowiązku informacyjnego ma zastosowanie w przypadku przetwarzania danych osobowych na potrzeby postępowania administracyjnego. W przepisach Kodeksu postępowania administracyjnego unormowany został więc jedynie sposób realizacji obowiązku informacyjnego z art. 13 RODO (w tym przypadku obowiązek informacyjny nie został wyłączony, a jedynie odmiennie określono sposób jego spełnienia), natomiast nie było potrzeby powtarzania regulacji dotyczącej zwolnienia z obowiązku określonego w art. 14 ust. 1 i ust. 2 RODO (P. Fajgielski [w:] Komentarz do rozporządzenia nr 2016/679 w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych), [w:] Ogólne rozporządzenie o ochronie danych. Ustawa o ochronie danych osobowych. Komentarz, wyd. III, Warszawa 2025, art. 14.). Należy przy tym pamiętać, że przetwarzanie danych w sytuacji, w której jest to niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze jest przetwarzaniem zgodnym z prawem (art. 6 ust. 1 lit. c RODO). Oznacza to, że obowiązek informacyjny z art. 14 ust. 1 i 2 RODO będzie więc wyłączony w przypadku znacznej części przekazywania danych osobowych pomiędzy organami administracji publicznej, w tym w przypadku zastosowania art. 65 § 1 k.p.a.

Po piąte, zarzuty naruszenia art. 7 Karty praw podstawowych Unii Europejskiej i art. 16 Traktatu o funkcjonowaniu Unii Europejskiej nie zawierają w istocie szerszego uzasadnienia. Natomiast stosownie do art. 8 ust. 1 i ust. 2 Karty praw podstawowych Unii Europejskiej, każdy ma prawo do ochrony danych osobowych, które go dotyczą, a dane te muszą być przetwarzane rzetelnie w określonych celach i za zgodą osoby zainteresowanej lub na innej uzasadnionej podstawie przewidzianej ustawą. Każdy ma prawo dostępu do zebranych danych, które go dotyczą, i prawo do dokonania ich sprostowania. Warunki gwarantujące poszanowanie wolności uregulowanej tym przepisem określone zostały w przepisach RODO i samo ewentualne naruszenie określonych obowiązków wynikających z RODO nie oznacza niejako "automatycznie" naruszenia art. 8 ust. 1 i ust. 2 Karty praw podstawowych. O naruszeniu powołanych przepisów nie może również świadczyć rodzaj danych, których dotyczy ewentualne naruszenie, ponieważ takiego rozróżnienia przez ten nie wprowadza.

Z powyższych przyczyn, nie znajdując podstaw do uwzględnienia skargi kasacyjnej, orzeczono o jej oddaleniu na podstawie art. 184 p.p.s.a. Naczelny Sąd Administracyjny oddalił wniosek Starosty Opolskiego o zwrot kosztów postępowania kasacyjnego w całości, ponieważ żaden przepis ustawy Prawo o postępowaniu przed sądami administracyjnymi (w tym art. 204 p.p.s.a.), jaki też żaden przepis szczególny, nie przewidują możliwości zasądzenia zwrotu kosztów postępowania na rzecz uczestnika postępowania w przypadku oddalenia skargi kasacyjnej strony skarżącej od wyroku Sądu I instancji oddalającego skargę.