Centralna Baza Orzeczeń Sądów Administracyjnych

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Janusz Walawski, Sędzia WSA Izabela Głowacka-Klimas (spr.), Sędzia WSA Andrzej Wieczorek, po rozpoznaniu na posiedzeniu niejawnym w dniu 8 marca 2021 r. sprawy ze skargi R. Z. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] lutego 2020 r. nr [...] w przedmiocie przetwarzania danych osobowych uchyla zaskarżoną decyzję

Prezes Urzędu Ochrony Danych Osobowych (dalej: organ, Prezes UODO) decyzją z [...] lutego 2020 r. nr [...], na podstawie art. 104

§ 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego

(Dz.U. z 2018 r. poz. 2096 ze zm.; dalej Kpa.), w zw. z art. 7 ust. 1 ustawy z 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2018 r. poz. 1000 ze zm.), oraz na podstawie art. 6 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku

z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z 04.05.2016, str. 1 oraz Dz. Urz. UE L 127 z 23.05.2018, str. 2 ze zm.) w zw. z art. 159 ust. 2 ustawy

z dnia 16 lipca 2004 r. Prawo telekomunikacyjne (Dz.U. z 2018 r. poz. 1954 ze zm.; dalej Pt.), po przeprowadzeniu postępowania administracyjnego w sprawie wniosku R. Z. (skarżący) o nakazanie K. M. prowadzącej działalność gospodarczą pod firmą [...], z siedzibą w [...] przy ul. [...] (zainteresowana), udostępnienia danych osobowych, w zakresie imienia i nazwiska/nazwy oraz adresu abonenta numeru [...], w celu umożliwienia skorzystania z prawa do sądu, odmówił uwzględnienia ww. wniosku.

Wydaniu powyższej decyzji towarzyszył następujący stan sprawy.

Do Prezesa UODO wpłynął wniosek (pismo z [...] lutego 2019 r.) skarżącego

o nakazanie K. M. prowadzącej działalność gospodarczą pod firmą [...] z siedzibą w Szczecinie przy ul. [...], udostępnienia danych osobowych, w zakresie imienia i nazwiska/nazwy oraz adresu, abonenta numeru [...], w celu umożliwienia skorzystania z prawa do sądu.

Pismem z [...] marca 2019 r. zainteresowana odmówiła ujawnienia danych osobowych abonenta numeru końcowego [...]. Jako podstawę odmowy wskazała tajemnicę komunikacyjną, w związku z art. 159 ust. 1 ustawy z dnia

16 lipca 2004 r. Prawo telekomunikacyjne.

Jak stwierdził w uzasadnieniu wskazanej na wstępie decyzji organ,

w niniejszej sprawie zastosowanie znajdują przepisy ustawy z dnia 16 lipca 2004 r. Prawo telekomunikacyjne, ponieważ zainteresowana jest przedsiębiorcą telekomunikacyjnym i świadczy na rzecz osób, których dane dotyczą usługi telekomunikacyjne. Jako przedsiębiorca telekomunikacyjny przetwarza ona w zbiorze dane osobowe swoich abonentów i jest zobowiązana do ochrony ich danych osobowych w świetle tzw. tajemnicy telekomunikacyjnej, o której mowa w art. 159 ust. 1 Pt..

Organ wyjaśnił, że stosownie do art. 159 ust. 2 Pt., zakazane jest zapoznawanie się, utrwalanie, przechowywanie, przekazywanie lub inne wykorzystywanie treści lub danych objętych tajemnicą telekomunikacyjną przez osoby inne niż nadawca i odbiorca komunikatu, chyba że: będzie to przedmiotem usługi lub będzie to niezbędne do jej wykonania (pkt 1), nastąpi za zgodą nadawcy lub odbiorcy, których dane te dotyczą (pkt 2), dokonanie tych czynności jest niezbędne w celu rejestrowania komunikatów i związanych z nimi danych transmisyjnych, stosowanego w zgodnej z prawem praktyce handlowej dla celów zapewnienia dowodów transakcji handlowej lub celów łączności w działalności handlowej (pkt 3), będzie to konieczne z innych powodów przewidzianych ustawą lub przepisami odrębnymi (pkt 4). W myśl art. 159 ust. 3 Pt., z wyjątkiem przypadków określonych ustawą, ujawnianie lub przetwarzanie treści albo danych objętych tajemnicą telekomunikacyjną narusza obowiązek zachowania tajemnicy telekomunikacyjnej.

Prezes UODO stwierdził, że przepisy Pt. dopuszczają co prawda zbieranie czy udostępnianie danych objętych tajemnicą telekomunikacyjną, ale tylko wówczas, gdy dotyczy to usługi świadczonej użytkownikowi albo gdy dane te są niezbędne do jej wykonania. Natomiast przetwarzanie tych danych w innych celach jest dopuszczalne jedynie na podstawie przepisów ustawowych (stosownie do art. 161 ust. 1 zd. 2 Pt.). Tym samym, zdaniem organu, przepisy Prawa telekomunikacyjnego odwołują się

do innych ustaw przyznających wprost podmiotom nieuczestniczącym

w prowadzeniu działalności telekomunikacyjnej prawo do przetwarzania ściśle określonych kategorii informacji - wymienionych w art. 159 ust. 1 Pt., pozyskiwanych od podmiotów prowadzących tego rodzaju działalność (działalność telekomunikacyjną). Zezwolenie to dotyczy wyłącznie sytuacji, gdy przetwarzanie wskazanych kategorii informacji (stanowiących tajemnicę telekomunikacyjną) jest niezbędne dla realizacji ściśle określonych odrębnymi przepisami zadań.

Zdaniem organu powyższe przepisy przewidują dalej idącą ochronę danych osobowych abonentów objętych tajemnicą telekomunikacyjną, niż art. 6 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych Dz.U.UE.L.2016.119.1 oraz Dz. Urz. L 127 z 23.05.2018 str. 2), dalej jako rozporządzenie 2016/679 lub RODO – zezwalając na ich udostępnianie podmiotowi nieuczestniczącemu w działalności telekomunikacyjnej lub pozyskanie przez podmiot nieuczestniczący w takiej działalności pod warunkiem istnienia wyraźnego ustawowego upoważnienia w tym zakresie i wyłącznie wówczas, gdy jest to konieczne dla realizacji celów ściśle określonych obowiązującymi przepisami.

Organ podkreślił, że przepisy art. 159 ust. 2 pkt 4 i ust. 3 oraz art. 161 ust. 1 Pt. - odnoszące się wyłącznie do informacji objętych tajemnicą telekomunikacyjną

(a więc także do imienia i nazwiska/nazwy i adresu zamieszkania abonenta), należy uznać za gwarantujące dalej idącą ochronę niż przepisy rozporządzenia 2016/679.

Prezes UODO wyjaśnił, że zgodnie na przykład z art. 6 ust. 1 lit. c) rozporządzenia 2016/679, przetwarzanie danych jest zgodne z prawem gdy jest ono niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze. Działania administratora w tym zakresie są natomiast zdeterminowane brzmieniem przepisów Pt., w zakresie ochrony tajemnicy telekomunikacyjnej. Administrator,

ze względu na tę tajemnicę może zatem przetwarzać te dane, ale chroniąc je przed udostępnieniem osobom mocą tych przepisów nieupoważnionym. Stwierdził

w związku z tym, że w niniejszej sprawie znajdują zastosowanie przepisy rozporządzenia 2016/679 z uwzględnieniem przepisów Pt. Zwrócił w tym miejscu uwagę na pogląd Naczelnego Sądu Administracyjnego zawarty w wyroku z dnia

20 lutego 2013 r., sygn. I OSK 368/12: "w niniejszej sprawie mamy do czynienia

z danymi (objętymi wnioskiem o ich udostępnienie), które na podstawie art. 159

ust. 1 pkt 1 Prawa telekomunikacyjnego stanowią tajemnicę telekomunikacyjną (są to dane identyfikujące użytkownika). Tym samym ich udostępnienie osobom trzecim jest co do zasady niedozwolone, chyba że zachodzą okoliczności enumeratywnie wymienione w art. 159 ust. 2 pkt 1-4 Prawa telekomunikacyjnego lub okoliczność sprecyzowana w art. 159 ust. 4 tej ustawy".

W konkluzji organ stwierdził, że z uwagi na powyższe ustalenia, dotyczące możliwości przetwarzania danych osobowych, skarżący nie wskazał konkretnej normy prawnej, obligującej zainteresowaną (przedsiębiorcę) do udostępnienia

mu danych osobowych objętych tajemnicą telekomunikacyjną.

Skarżący objął ww. decyzję organu skargą do Wojewódzkiego Sądu Administracyjnego w Warszawie, wnosząc o:

1. uchylenie zaskarżonej decyzji Prezesa UODO nr [...] i zwrócenie sprawy do organu w celu prawidłowego przeprowadzenia postępowania administracyjnego, lub

2. zmianę (uchylenie) zaskarżonej decyzji i orzeczenie co do istoty sprawy, poprzez nakazanie zainteresowanej zgodnie z wnioskiem z [...] lutego 2019 r.,

3. przeprowadzenie dowód z dokumentów znajdujących się w aktach sprawy administracyjnej oraz załączonych do skargi,

4. udzielnie prawa pomocy w zakresie zwolnienia od kosztów sądowych w tym

z opłaty od skargi,

5. udzielenie prawa pomocy w zakresie wyznaczenia pełnomocnika z urzędu,

6. zasądzenie od organu na jego rzecz zwrotu kosztów wywołanych przedmiotową skargą według norm prawem przewidzianych.

Zaskarżonej decyzji zarzucił naruszenie następujących przepisów,

a mianowicie:

- art. 159 ust. 2 pkt 4 Pt. poprzez jego pominięcie i jedynie szczątkowe powołanie

w treści zaskarżonej decyzji oraz przyjęcie, że w sprawie nie zachodzą inne powody uzasadniające udostępnienie danych przez zainteresowaną na jego wniosek;

- art. 7 w zw. z art. 77 § 1 i art. 80 Kpa. poprzez zaniechanie rozpoznania całokształtu sprawy i dobrowolne, oderwane od wiedzy i doświadczenia życiowego, pobieżne rozpoznanie materiału dowodowego, co skutkowało odmową uwzględnienia wniosku o nakazanie udostępnienia danych osobowych i utrzymaniu tej decyzji przez organ;

- art. 7 Kpa. poprzez oczekiwanie przez Prezesa UODO konkretnej podstawy prawnej, na podstawie której mają być udostępnione dane osobowe, gdy organ

z urzędu bada taki stan rzeczy i zobowiązany jest działać w słusznym interesie strony;

- art. 126 § 2 pkt 1 w zw. z art. 187 § 1 ustawy z dnia 17 listopada 1964 r. "Kodeks postępowania administracyjnego", poprzez pominięcie jego dyspozycji, z której jasno wynika, że w pozwie cywilnym o ochronę danych osobowych należy wskazać dane osobowe (imię, nazwisko i adres) pozwanego, które to dane są w posiadaniu [...] z/s w [...] a informacje te zostały powołane już w toku postępowania administracyjnego, choć bez konkretnego wskazania przepisów k.p.c., które powinny być znane organowi z urzędu.

W uzasadnieniu skargi skarżący rozwinął powyższą argumentację. Przywołał między innymi pogląd wyrażony przez Naczelny Sąd Administracyjny w wyroku

z dnia 21 lutego 2014 r., sygn. I OSK 2324/12, LEX nr 1427782, gdzie wskazano, jak podał skarżący, iż przepisy Pt. i ustawy o ochronie danych osobowych należy interpretować łącznie, mając na uwadze przepisy Konstytucji. Takim celem jest m.in. ściganie przestępstw, również z oskarżenia prywatnego. Usprawiedliwionym celem jest także chęć wywiedzenia sprawy cywilnej, do której należy sporządzić pozew a do jego sporządzenia potrzebne są dane pozwanego - vide art. 126 § 2 pkt 1

w zw. z art. 187 § 1 k.p.c. czy odpowiednio w sprawach karnych art. 487 k.p.k. - minimum przy sporządzaniu aktu oskarżenia to wskazanie danych oskarżonego, zarzucany mu czyn i wskazanie dowodów. W ocenie skarżącego, dlatego też w celu zainicjowania tak procedury karnej czy cywilnej potrzebne są dane osobowe oskarżonego/pozwanego w minimalnym zakresie obejmującym imię, nazwisko, adres a dane te posiada jedynie [...] z/s w [...], gdyż sprawca pomówień (art. 212 K.k.)/naruszenia dóbr osobistych (art. 23-24 K.c.) ukrył się za pseudonimem poczty email i adresem IP czy numerem telefonu.

Skarżący stwierdził, że w myśl art. 159 ust. 2 pkt 4 Pt. tajemnica telekomunikacyjna nie obejmuje danych osobowych, gdy potrzeba ich uzyskania będzie uzasadniona ustawą lub przepisami odrębnymi – w tym przypadku będą to m.in. art. 126 § 2 pkt 1 k.p.c. w zw. z art. 187 § 1 k.p.c. (w zakresie procedury cywilnej z art. 23-24 K.c.) czy art. 487 k.p.k. (w przypadku procedury karnej z art. 212 K.k.). Natomiast przepisy obu ww. ustaw należy interpretować łącznie, mając

na uwadze przepisy Konstytucji.

W odpowiedzi na skargę Prezes UODO wniósł o uchylenie skarżonej decyzji

i umorzenie postępowania administracyjnego.

Prezes UODO przychylił się do skargi skarżącego w zakresie punktu pierwszego, tj. wniosku o uchylenie decyzji z dnia [...] lutego 2020 r., uznając,

iż przedmiotowe orzeczenie zostało wydane z naruszeniem prawa materialnego, które miało wpływ na wynik sprawy.

Prezes UODO uznał, że błędnie rozstrzygnął niniejszą sprawę w oparciu

o art. 6 ust. 1 rozporządzenia 2016/679 w związku z art. 159 ust. 2 Pt., nie będąc umocowany przepisami prawa do jej rozpatrzenia. 

Wojewódzki Sąd Administracyjny zważył, co następuje:

Skarga jest zasadna jednakże z innych przyczyn niż w niej wskazano.

Przedmiotem niniejszego postępowania jest decyzja Prezes Urzędu Ochrony Danych Osobowych, którą to decyzją odmówiono skarżącemu rozpatrzenia jego wniosku o nakazanie K. M. prowadzącej działalność gospodarczą pod firmą [...], z siedzibą

w [...] przy ul. [...], udostępnienia danych osobowych,

w zakresie imienia i nazwiska/nazwy oraz adresu abonenta numeru [...],

w celu umożliwienia skorzystania z prawa do sądu.

Zgodnie z art. 55 ust. 1 RODO każdy organ nadzorczy jest właściwy

do wypełniania zadań i wykonywania uprawnień powierzonych mu zgodnie

z niniejszym rozporządzeniem na terytorium swojego państwa członkowskiego, natomiast do zadań organu nadzorczego należy prowadzenie postępowań w sprawie stosowania tego rozporządzenia (art. 57 ust. 1 lit. h RODO).

Artykuł 58 RODO, określa uprawnienia organu nadzorczego. Przepisy art. 58 ust. 1, 2 i 3 RODO wyliczają uprawnienia przysługujące każdemu organowi nadzorczemu - uprawnienia do prowadzenia postępowań, uprawnienia naprawcze i do nakładania kar, uprawnienia do udzielania zezwoleń i uprawnienia doradcze oraz uprawnienia do zgłaszania naruszeń organom wymiaru sprawiedliwości oraz do udziału w postępowaniu sądowym. Ocena dokonywana przez Prezesa Urzędu Ochrony Danych Osobowych w każdym przypadku służy zbadaniu zasadności skierowania pod adresem określonego podmiotu rozstrzygnięcia odpowiadającego dyspozycji art. 58 ust. 2 RODO służącego przywróceniu stanu zgodnego z prawem. W tej sprawie organ nadzorczy nie ma możliwości zastosowania przysługujących mu uprawnień, gdyż żądanie udostępnienia danych osobowych osoby trzeciej nie zostało ujęte w art. 58 rozporządzenia 2016/679 – RODO.

Zgodnie z treścią art. 61a § 1 Kpa., gdy żądanie wszczęcia postępowania zostało wniesione przez osobę niebędącą stroną lub z innych uzasadnionych przyczyn postępowanie nie może być wszczęte, organ administracji publicznej wydaje postanowienie o odmowie wszczęcia postępowania. Skarżący wystąpił

z żądaniem, które nie mieści się w kompetencjach przyznanych Prezesowi UODO,

a zatem zachodzi przesłanka odmowy wszczęcia postępowania z "innych uzasadnionych przyczyn". Przyczyny te nie zostały skonkretyzowane w Kpa., dlatego należy przez nie rozumieć takie sytuacje, które w sposób oczywisty stanowią przeszkodę do wszczęcia i prowadzenia postępowania administracyjnego w danej sprawie, np. gdy w tej samej sprawie postępowanie administracyjne już toczy się, albo w sprawie takiej zapadło już rozstrzygnięcie, lub gdy w przepisach prawa brak jest podstawy materialnoprawnej do rozpatrzenia żądania w trybie administracyjnym (vide wyrok Wojewódzkiego Sądu Administracyjnego w Poznaniu z dnia 3 października 2019 roku, sygn. akt II SA/Po 273/19). Oznacza to, że opisane w treści skargi zdarzenie nie może być rozpatrywane w toku postępowania administracyjnego zmierzającego do wydania decyzji w oparciu o przepisy RODO, a organ winien wydać postanowienie w oparciu o art. 61a o odmowie wszczęcia przedmiotowego postępowania.

Sąd stoi na stanowisku, że Prezes Urzędu może podejmować jedynie takie działania, które mieszczą się w posiadanych przez niego kompetencjach art. 58 ust. 2 RODO. Skoro więc skarżący wystąpił z żądaniem, które nie mieści się

w kompetencjach przyznanych Prezesowi UODO, a zatem zachodzi przesłanka odmowy wszczęcia postępowania z "innych uzasadnionych przyczyn".

W ocenie Sądu w niniejszej sprawie organ dopuścił się naruszenia art. 58

ust. 2 RODO i art. 61a Kpa., poprzez jego niezastosowanie, co miało istotny wpływ na rozstrzygnięcie.

Na zakończenie należy wskazać, że Prezes UODO wydając przedmiotowe rozstrzygnięcie naruszył również określoną w art. 129 RODO zasadę jednomyślności, gdyż organy nadzorcze innych państw Unii Europejskiej (hiszpański, rumuński, francuski, estoński, włoski i szwedzki) zgodnie przyjęły brak możliwości wydawania rozstrzygnięć nakazujących udostępnienie danych osobowych osób trzecich w oparciu o rozporządzenie RODO.

Odnosząc się do zarzutów skargi i przytoczonych tam orzeczeń sądów administracyjnych, należy wskazać, że przed 25 maja 2018 r. polski organ nadzorczy uznawał się za kompetentny do wydawania ww. nakazów na podstawie art. 18 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz.U. z 2016 r. poz. 922 ze zm.). Artykuł ten wskazywał, że polski organ ochrony danych

w przypadku stwierdzenia naruszenia przepisów o ochronie danych osobowych

"w drodze decyzji administracyjnej, nakazuje przywrócenie stanu zgodnego

z prawem" w tym mógł nakazać "uzupełnienie, uaktualnienie, sprostowanie, udostępnienie lub nieudostępnienie danych osobowych". Obecnie polska ustawa

o ochronie danych osobowych z dnia 10 maja 2018 r. (Dz. U. z 2019 r. poz. 1781) nie zawiera podobnych przepisów.

Biorąc powyższe pod rozwagę, działając ma podstawie art. 145 § 1 a) i c) ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz.U. z 2019 r. poz. 2325 ze zm.), Sąd uchylił zaskarżoną decyzję.

-----------------------

8