Centralna Baza Orzeczeń Sądów Administracyjnych

Naczelny Sąd Administracyjny w składzie: Przewodniczący: Sędzia NSA Tamara Dziełakowska Sędziowie Sędzia NSA Artur Kuś Sędzia del. WSA Maciej Kobak (spr.) po rozpoznaniu w dniu 19 marca 2025 r. na posiedzeniu niejawnym w Izbie Ogólnoadministracyjnej skargi kasacyjnej Miasta Stołecznego Warszawy od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 28 października 2022 r. sygn. akt II SA/Wa 1341/22 w sprawie ze skargi Miasta Stołecznego Warszawy na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia 31 maja 2022 r. DKN.5131.51.2021.172158 w przedmiocie przetwarzania danych osobowych 1. uchyla zaskarżony wyrok i zaskarżoną decyzję; 2. zasądza od Prezesa Urzędu Ochrony Danych Osobowych na rzecz Miasta Stołecznego Warszawy kwotę 3400 (trzy tysiące czterysta) złotych tytułem zwrotu kosztów postępowania sądowego.

Wyrokiem z dnia 28 października 2022 r., sygn. akt II SA/Wa 1341/22 Wojewódzki Sąd Administracyjny w Warszawie oddalił skargę Miasta Stołecznego Warszawy (dalej: "skarżący") na decyzję Prezesa Urzędu Ochrony Danych Osobowych (dalej: "organ") z dnia 31 maja 2022 r. DKN.5131.51.2021.172158 w przedmiocie przetwarzania danych osobowych.

Powyższy wyrok został wydany w następujących okolicznościach faktycznych i prawnych sprawy.

Zgodnie z zarządzeniem z dnia 10 lipca 2019 r. nr 17/2019 w systemie monitoringu w Stołecznym Ośrodku dla Osób Nietrzeźwych z siedzibą w Warszawie (dalej: "Ośrodek") zainstalowano mikrofony w monitoringu, zarówno w pomieszczeniach przeznaczonych do izolacji jak i na parterze: przy wejściu do Ośrodka od strony parkingu dla służb miejskich, w pomieszczeniu alkomatu, w poczekalni dla osób doprowadzonych, w pomieszczeniu zdawania depozytu, w przebieralni, w pomieszczeniu lekarza w części przeznaczonej do przyjmowania osób doprowadzonych do Działu Izba Wytrzeźwień Ośrodka, na korytarzu przy drzwiach wejściowych do Działu Izba Wytrzeźwień przy głównym wejściu do budynku Ośrodka (2 mikrofony), w pomieszczeniu depozytariuszy nad biurkiem oraz na pierwszym piętrze - na początku i końcu korytarzy po stronie prawej i lewej budynku (łącznie cztery mikrofony).

Decyzją z dnia 31 maja 2022 r. nr DKN.5131.51.2021.172158 wydaną na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2021 r., poz. 735, ze zm., dalej: "K.p.a."), art. 7 ust. 1, art. 60, art. 102 ust. 1 pkt 1 i ust. 3 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r., poz. 1781, dalej: "u.o.d.o.") oraz art. 57 ust. 1 lit. a) i h), art. 58 ust. 2 lit. i) w zw. z art. 5 ust. 1 lit. a), art. 6 ust. 1, a także art. 83 ust. 1 - 2 i art. 83 ust. 5 lit. a) rozporządzenia Parlamentu Europejskiego i Rady UE 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 4.05.2016, str. 1, Dz. Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35, dalej: "RODO"), organ stwierdził naruszenie przez Ośrodek przepisów art. 6 ust. 1 w związku z art. 5 ust. 1 lit. a) RODO polegające na nagrywaniu i utrwalaniu dźwięku (głosu) w zainstalowanym systemie monitoringu, tj. przetwarzania bez podstawy prawnej danych osobowych w tym zakresie i nałożył na Ośrodek administracyjną karę pieniężną w kwocie 10 000 złotych. Ośrodkowi zarzucono "(...) pozbawione podstawy prawnej rejestrowanie dźwięku na terenie tej placówki za pośrednictwem zainstalowanego systemu monitoringu".

Powyższą decyzję zaskarżono do WSA w Warszawie.

W odpowiedzi na skargę organ wniósł o jej oddalenie podtrzymując stanowisko wyrażone w zaskarżonej decyzji.

W piśmie procesowym z dnia 17 października 2022 r. strona skarżąca podtrzymała skargę i zawarte w niej zarzuty i przedstawiła dodatkową argumentację na ich poparcie.

Opisanym na wstępie wyrokiem Wojewódzki Sąd Administracyjny w Warszawie oddalił skargę. W ocenie Sądu pierwszej instancji organ zasadnie stwierdził, że brak jest podstaw prawnych przetwarzania danych osobowych osób przebywających w ośrodku poprzez nagrywanie i utrwalanie dźwięku przez stosowany w Ośrodku system monitoringu. Podstaw takich nie przewiduje ustawa o wychowaniu w trzeźwości i przeciwdziałania alkoholizmowi, jak również rozporządzenie Ministra Zdrowia z dnia 8 grudnia 2014 r. w sprawie izb wytrzeźwień i placówek wskazanych lub utworzonych przez jednostkę samorządu terytorialnego. Nie można uznać, że spełniona została w tym przypadku którakolwiek z przesłanek legalizujących przetwarzanie danych osobowych przewidziana w art. 6 ust. 1 RODO. Przetwarzanie nie jest w tym przypadku niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze, albowiem brak jest takiego obowiązku (lit. c). Z opisanych wyżej względów nie jest również niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej (lit. d). Nie można także uznać, że przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi (lit. e). Słusznie organ zauważył, że pozostałe przesłanki wymienione w art. 6 ust. 1 RODO z uwagi na ich charakter nie mogą stanowić podstawy przetwarzania danych osobowych w niniejszej sprawie.

W uzasadnieniu wyroku podkreślono, że art. 42 ust. 12 ustawy o wychowaniu w trzeźwości i przeciwdziałaniu alkoholizmowi nie wskazuje wprost, czy instalacja monitoringu ma służyć również nagrywaniu i utrwalaniu dźwięku. W ocenie Sądu, nie ulega wątpliwości, że instalacja monitoringu stosowana w pomieszczeniach przeznaczonych do izolacji winna umożliwiać wyłącznie zapis obrazu, a nie dźwięku. Świadczy o tym wprost treść § 6 ust. 3 rozporządzenia Ministra Zdrowia z dnia 8 grudnia 2014 r.

Skład orzekający zgodził się z organem, że przepisy rozporządzenia Ministra Spraw Wewnętrznych z dnia 4 czerwca 2012 r. w sprawie pomieszczeń przeznaczonych dla osób zatrzymanych lub doprowadzonych w celu wytrzeźwienia, pokoi przejściowych, tymczasowych pomieszczeń przejściowych i policyjnych izb dziecka, regulaminu pobytu w tych pomieszczeniach, pokojach i izbach oraz sposobu postępowania z zapisami obrazu z tych pomieszczeń, pokoi i izb (Dz. U. z 2012, poz. 638, ze zm.) nie przewidują w tym przypadku możliwości zapisu dźwięku.

Za niespełnione uznano także przesłanki określone w art. 9 ust. 2 lit b) i c) RODO. Zdaniem WSA prawidłowo w tym zakresie organ podniósł, że przetwarzanie danych osób przebywających w Ośrodku w zakresie nagrywanego dźwięku nie jest niezbędne do wypełnienia obowiązków i wykonywania szczególnych praw przez Administratora lub osobę, której dane dotyczą (w dziedzinie prawa pracy, zabezpieczenia społecznego i ochrony socjalnej), a także nie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą lub innej osoby fizycznej - fizycznie lub prawnie niezdolnych do wyrażenia zgody.

Odnośnie zasadności wymierzenia administracyjnej kary pieniężnej i jej wysokości Sąd w całości podzielił zaprezentowaną w tym zakresie argumentację organu przyjmując, że naruszenie przepisów RODO miało w tym przypadku dużą wagę i poważny charakter. Nagrywanie dźwięku w przypadku osób, które niejednokrotnie ze względu na swój stan mogą mieć ograniczoną zdolność kontrolowania swoich działań stanowi poważną ingerencję w sferę prywatności tych osób. W szczególności mieć tu należy na uwadze sytuacje, gdy osoby te poddawane są środkom przymusu. Stan naruszenia był długotrwały (ponad 3 lata) i mógł dotyczyć bardzo dużej ilości osób. Jak wynika z danych przedstawionych w raporcie Krajowego Mechanizmu Prewencji Tortur z wizytacji Ośrodka przeprowadzonej w dniach 19-20 lipca 2017 r., w 2016 r. w Ośrodku umieszczono 26 432 osoby dorosłe i 12 nieletnich.

Z treści zaskarżonej decyzji wynika, że organ rozważył przesłanki określone w art. 83 ust. 2 RODO i uzasadnił przyjęte stanowisko. Wskazał okoliczności mające wpływ na jej wysokość. Wśród tych przesłanek organ wskazał przesłankę określoną w art. 83 ust. 2 lit a i b RODO, tj. charakter, wagę i czas trwania naruszenia przy uwzględnieniu charakteru, zakresu lub celu danego przetwarzania, liczby poszkodowanych osób, których dane dotyczą, oraz rozmiaru poniesionej przez nie szkody oraz umyślny lub nieumyślny charakter naruszenia. PUODO określił też czynnik łagodzący wymiar kary, tj. stopień współpracy z organem nadzorczym w celu usunięcia naruszenia oraz złagodzenia jego ewentualnych negatywnych skutków (art. 83 ust. 2 lit f RODO).

Organ wskazał też, że pozostałe przesłanki wymienione w art. 83 ust. 2 RODO

nie miały wpływu na fakt zastosowania administracyjnej kary pieniężnej oraz na jej wysokość.

W ocenie Sądu organ w sposób wyczerpujący wyważył dyrektywy zasadności nałożenia oraz wysokości administracyjnej kary pieniężnej w analizowanym przypadku. Brak jest zatem podstaw do uznania, że kara ta jest rażąco wygórowana i nieadekwatna do stopnia przewinienia. Zaznaczyć przy tym należy, że kara wymierzona została w wysokości 1/10 możliwej kwoty przewidzianej w art. 102 ust. 1 u.o.d.o. Zgodzić się należy z organem, że kara w tej wysokości jest proporcjonalna do stwierdzonego naruszenia, a ponadto jest karą skuteczną i odstraszającą.

Postanowieniem z 18 września 2023 r. WSA w Warszawie uchyliło postanowienie Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 7 marca 2023 r. sygn. akt II SA/Wa 1341/22 stwierdzające prawomocność wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 28 października 2022 r., sygn. akt II SA/Wa 1341/22.

W skardze kasacyjnej zaskarżono wyrok w całości zarzucając mu naruszenie:

1) art. 6 ust. 1 lit. c i d i art. 9 ust. 2 lit. c w związku z art. 5 ust. 1 lit. a-c RODO,

§ 6 ust. 2 pkt 4 rozporządzenia Ministra Zdrowia z dnia 8 grudnia 2014 r. w sprawie izb wytrzeźwień i placówek wskazanych lub utworzonych przez jednostkę samorządu terytorialnego (Dz. U. z 2022 r. poz. 2075), a także

art. 42 ust. 12, art. 423 ust. 1 w związku z art. 39 ust. 2 pkt 1 i 3 ustawy z dnia 26 października 1982 r. o wychowaniu w trzeźwości i przeciwdziałaniu alkoholizmowi (Dz. U. z 2023 r. poz. 2151, dalej: "u.a.l.k."), poprzez błędną ich wykładnię, a w konsekwencji – sprzeczne z treścią ww. przepisów uznanie, iż skarżący nie posiada prawa przetwarzania danych obejmujących dźwięk z monitoringu zainstalowanego w budynku skarżącego;

2) art. 58 ust. 2 lit. a, b, d, f RODO w związku z art. 72 oraz z art. 102 ust. 3 u.o.d.o. - poprzez ich niezastosowanie, przejawiające się w uznaniu z zasadne nałożenia przez organ administracyjnej kary pieniężnej z pominięciem skorzystania z innych niż nałożenie administracyjnej kary pieniężnej uprawnień naprawczych, o których mowa w art. 58 ust. 2 lit. a, b, d, f RODO;

3) art. 83 ust. 1 i 2 RODO w związku z art. 102 ust. 3 u.o.d.o. - poprzez ich niezastosowanie, przejawiające się w nieuwzględnieniu lub nieprawidłowej ocenie, w ramach rozważania zasadności nałożenia i wymiaru administracyjnej kary pieniężnej, okoliczności wskazanych w art. 83 ust. 2 RODO, czego skutkiem jest bezpodstawne stwierdzenie zasadności nałożenia na skarżącego administracyjnej kary pieniężnej, jak i bezpodstawne stwierdzenie zasadności dokonania jej wymiaru w nadmiernej wysokości, nieadekwatnej do całokształtu okoliczności mających wpływ na nałożenie i wymiar administracyjnej kary pieniężnej;

a w konsekwencji

4) mające istotny wpływ na wynik sprawy naruszenie przez Sąd I instancji przepisów postępowania, tj. art. 145 § 1 pkt 1 lit. a ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2023 r. poz. 1634, dalej: "P.p.s.a.") - poprzez nieuwzględnienie skargi na decyzję organu, mimo iż organ naruszył prawo materialne i procesowe w sposób mający wpływ na wynik sprawy.

Na podstawie powyższych zarzutów wniesiono o uchylenie zaskarżonego wyroku w całości oraz - ze względu na to, że istota sprawy jest dostatecznie wyjaśniona – o rozpoznanie skargi, uchylenie w całości decyzji Prezesa Urzędu Ochrony Danych Osobowych z dnia 31 maja 2022 r. znak DKN.5131.51.2021.172158 oraz zasądzenie od organu na rzecz Miasta Stołecznego Warszawy - Stołecznego Ośrodka dla Osób Nietrzeźwych kosztów postępowania, w tym kosztów zastępstwa prawnego zgodnie z obowiązującymi przepisami, ewentualnie o uchylenie zaskarżonego wyroku w całości i przekazanie sprawy do ponownego rozpoznania Wojewódzkiemu Sądowi Administracyjnemu w Warszawie, zasądzenie od organu na rzecz Miasta Stołecznego Warszawy - Stołecznego Ośrodka dla Osób Nietrzeźwych kosztów postępowania, w tym kosztów zastępstwa prawnego zgodnie z obowiązującymi przepisami. Skarżący oświadczył o zrzeczeniu się rozprawy.

W odpowiedzi na skargę kasacyjną organ wniósł o jej oddalenie.

Naczelny Sąd Administracyjny zważył, co następuje:

Wobec oświadczenia skarżącego kasacyjnie o zrzeczeniu się rozprawy, sprawa została rozpoznana na posiedzeniu niejawnym, stosownie do postanowień art. 182 § 2 P.p.s.a.

Stosownie do art. 183 § 1 P.p.s.a., Naczelny Sąd Administracyjny rozpoznaje sprawę w granicach skargi kasacyjnej, biorąc pod rozwagę z urzędu jedynie nieważność postępowania. W rozpoznawanej sprawie nie zachodzi żadna

z okoliczności skutkujących nieważnością postępowania, o jakich mowa w art. 183 § 2 P.p.s.a. i nie zachodzi żadna z przesłanek, o których mowa w art. 189 P.p.s.a., które Naczelny Sąd Administracyjny rozważa z urzędu dokonując kontroli zaskarżonego skargą kasacyjną wyroku. Wobec tego Naczelny Sąd Administracyjny przeszedł do zbadania zarzutów kasacyjnych.

Skarga kasacyjna jest zasadna choć nie wszystkie podniesione w niej zarzuty podlegały uwzględnieniu.

W sprawie nie doszło do naruszenia art. 9 ust. 2 lit. c RODO. Przepis ten dotyczy przetwarzania danych osobowych wrażliwych, czego organ skarżącej kasacyjnie nie zarzucał.

Naczelny Sąd Administracyjny nie podzielił również zastrzeżeń skarżącej kasacyjnie dotyczących wadliwości oceny Sądu pierwszej instancji co do braku podstaw do przetwarzania danych osobowych poprzez nagrywanie i utrwalanie dźwięku w zainstalowanym w Ośrodku systemie monitoringu.

Podstawową zasadą o charakterze systemowym, obowiązującym na gruncie RODO jest wymóg przetwarzania danych osobowych zgodnie z prawem. Zasada ta została wyartykułowana wprost w art. 5 ust. 1 lit. a RODO. Istotę jej treści wyjaśniono w motywie 40 RODO, w którym podano, że "[a]by przetwarzanie danych było zgodne z prawem, powinno się odbywać na podstawie zgody osoby, której dane dotyczą, lub na innej uzasadnionej podstawie przewidzianej prawem: albo w niniejszym rozporządzeniu, albo w innym akcie prawnym Unii lub w prawie państwa członkowskiego, o których mowa w niniejszym rozporządzeniu, w tym musi się ono odbywać z poszanowaniem obowiązku prawnego, któremu podlega administrator, lub z poszanowaniem umowy, której stroną jest osoba, której dane dotyczą, lub w celu podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy."

Stosownie do postanowień art. 6 ust. 1 lit. c RODO przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy - i w takim zakresie - w jakim "jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze." W motywie 10 RODO postanowiono, że w odniesieniu do przetwarzania danych osobowych w celu wypełnienia obowiązku prawnego państwa członkowskie powinny móc zachować lub wprowadzić krajowe przepisy doprecyzowujące stosowanie przepisów RODO.

Rozwijając tę dyrektywę w art. 6 ust. 2 RODO zadekretowano, że

państwa członkowskie mogą zachować lub wprowadzić bardziej szczegółowe przepisy, aby dostosować stosowanie przepisów RODO w odniesieniu do przetwarzania służącego wypełnieniu warunków określonych w art. 6 ust. 1 lit. c) i e); w tym celu mogą dokładniej określić szczegółowe wymogi przetwarzania i inne środki w celu zapewnienia zgodności przetwarzania z prawem.

Zgodnie z motywem 45 RODO "[j]eżeli przetwarzanie odbywa się w celu wypełnienia obowiązku prawnego, któremu podlega administrator, (...) podstawę przetwarzania powinno stanowić prawo Unii lub prawo państwa członkowskiego. Niniejsze rozporządzenie nie nakłada wymogu, aby dla każdego indywidualnego przetwarzania istniało szczegółowe uregulowanie prawne. Wystarczyć może to, że dane uregulowanie prawne stanowi podstawę różnych operacji przetwarzania wynikających z obowiązku prawnego, któremu podlega administrator (...). Prawo Unii lub prawo państwa członkowskiego powinno określać także cel przetwarzania (...).

Pozytywizacją motywu 45 RODO są postanowienia art. 6 ust. 3, który stanowi, że podstawa przetwarzania, o którym mowa w art. 6 ust. 1 lit. c) i e), musi być określona w prawie Unii lub w prawie państwa członkowskiego, któremu podlega administrator. W przepisie tym przesądzono również, że cel przetwarzania musi być określony w podstawie prawnej przetwarzania.

Z przedstawionych przepisów RODO wynika, że podstawa prawna, o której mowa w art. 6 ust. 1 lit. c RODO nie musi wprost treściowo upoważniać do przetwarzania danych osobowych. Za wystarczający należy uznać taki układ normatywny, w którym z przepisów prawa wynika nałożony na administratora obowiązek, do zrealizowania którego niezbędne jest przetwarzanie danych osobowych. Legalność przetwarzania danych osobowych na podstawie art. 6 ust. 1 lit. c RODO wymaga więc wykazania, że nałożonego na administratora obowiązku prawnego nie da się wykonać bez przetwarzania danych osobowych. Odnotować przy tym należy, że w takim skonfigurowaniu zakres przetwarzanych danych osobowych oraz sposób tego przetwarzania wyznaczony jest przez "próg niezbędności". Jak wynika bowiem z art. 6 ust. 1 lit c RODO przetwarzanie danych osobowych na tej podstawie odbywa się "w przypadkach" i "w zakresie", w jakim jest to niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze. Przetwarzanie danych osobowych jest jedynie elementem zbioru działań administratora, których podjęcie jest konieczne do wykonania ciążącego na nim obowiązku prawnego. Bez przetwarzania danych osobowych obowiązku tego wykonać się nie da. Postanowienia art. 6 ust. 1 lit c RODO co do zasady nie mogą więc stanowić samodzielnej podstawy prawnej przetwarzania danych osobowych. Dla oparcia przetwarzania danych osobowych na tej podstawie należy wskazać - w prawie krajowym lub unijnym – przepisy nakładające na administratora obowiązek, którego realizacja wymaga podjęcia działań o takim charakterze. Tworząc architekturę normatywną przedmiotowego obowiązku prawodawca może działać w dwóch formułach. Po pierwsze, określając obowiązek administratora w przepisach prawa może wprost postanowić, że jego realizacja wymaga przetwarzania danych osobowych. W takim układzie przepisy prawa pozwalają wprost odtworzyć normy prawne, z treści których wynika zakres i sposób przetwarzania danych osobowych. Po drugie, prawodawca może w przepisach prawa unormować wyłącznie sam ciążący na administratorze obowiązek, bez wskazania, że jego realizacja wymaga przetwarzania danych osobowych. W takim przypadku, sposób i zakres przetwarzania danych osobowych musi być odtworzony "prakseologicznie", jako element zbioru działań, bez podjęcia których realizacja obowiązku prawnego nałożonego na administratora nie będzie możliwa.

W analogicznych uwarunkowaniach należy odczytywać treść art. 6 ust. 1 lit d RODO, który uprawnia do przetwarzania danych osobowych, jeżeli jest ono niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej. I w tym wypadku, to ustawodawca może zdecydować, jaki rodzaj przetwarzania i jakich danych jest niezbędne do ochrony konkretnych interesów osób fizycznych, a jeżeli tego nie uczyni, rozstrzygają o tym okoliczności konkretnej sprawy.

Przedstawione unormowania pozwalają właściwie odnieść się do istoty sprawy, a przede wszystkim ocenić podniesione zarzuty kasacyjne. Dla czytelności dalszych wywodów należy zwrócić uwagę na przedmiot niniejszej sprawy. Jest to o tyle istotne, że skarżący kasacyjnie zdaje się go identyfikować niedostatecznie precyzyjnie. Otóż kwestionowaną skargą decyzją organ nałożył na skarżącego kasacyjnie karę pieniężną za naruszenie art. 6 ust. 1 w związku z art. 5 ust. 1 lit. a) RODO polegające na nagrywaniu i utrwalaniu dźwięku (głosu) w zainstalowanym w Ośrodku systemie monitoringu, tj. za przetwarzanie danych osobowych bez podstawy prawnej. Istotne w sprawie jest więc to, że organ nie nałożył na skarżącego kary za sam bieżący dostęp do dźwięku z pomieszczeń, w których zainstalowany jest monitoring, lecz za jego nagrywanie i utrwalanie. Jest to okoliczność rozstrzygająca w kontekście podniesionych zarzutów i podanej na ich uzasadnienie argumentacji.

Trzeba zgodzić się ze skarżącą kasacyjnie, że zgodnie z art. 39 ust. 2 pkt 1

i pkt 3 u.a.l.k. do zadań izby wytrzeźwień należy sprawowanie opieki nad osobami

w stanie nietrzeźwości oraz udzielanie im pierwszej pomocy. Nie ma również wątpliwości, że w izbie wytrzeźwień przebywają osoby w stanie nietrzeźwości, które znajdują się w okolicznościach zagrażających ich życiu lub zdrowiu albo zagrażają życiu lub zdrowiu innych osób – art. 40 ust. 1 u.a.l.k. Naczelny Sąd Administracyjny podziela stanowisko skarżącego kasacyjnie, że dostęp do dźwięku

w pomieszczeniach, w których przebywają osoby nietrzeźwe, znajdujące się

w okolicznościach zagrażających ich życiu lub zdrowiu albo zagrażające życiu lub zdrowiu innych osób może być konieczny. Do wyobrażenia są bowiem układy faktyczne, w których osoby te wołają o pomoc, dławią się, grożą innym osobom, lub zachowują się w każdy inny sposób generujący dźwięk, który wskazuje konieczność podjęcia szybkiej reakcji przez personel Ośrodka w celu realizacja jego zadań - sprawowanie opieki, udzielanie pierwszej pomocy. W niniejszej sprawie organ nie nałożył jednak kary w związku z dostępem do dźwięku z monitoringu, lecz w związku z nagrywaniem i utrwalaniem tego dźwięku. Poza oceną prawną organu – przynajmniej w odniesieniu do rozstrzygnięcia wydanej decyzji – pozostawała kwestia dostępu do dźwięku monitoringu w czasie rzeczywistym. Organ wytknął, że Ośrodek nie miał prawa dźwięku nagrywać i utrwalać. Całość argumentacji skarżącego kasacyjnie sprowadza się do wykazania celowości dostępu do dźwięku monitoringu z pomieszczeń, w których znajdują się osoby nietrzeźwe. Podane przez skarżącego kasacyjnie racje, odnoszą się wprawdzie do celów działań izby wytrzeźwień, jakim jest zapewnienie opieki i pomocy osobom w niej przebywającym. O ile realizacja tych zadań mogłaby uzasadnić dostęp do dźwięku z monitoringu (z niektórych pomieszczeń) w czasie rzeczywistym, to nie podano żadnych argumentów, które wykazywałyby zasadność jego nagrywania i utrwalania. Innymi słowy, ujmując referowaną kwestię przez pryzmat art. 6 ust. 1 lit. c i lit. d RODO, ciążący na Ośrodku obowiązek zapewnienia bezpieczeństwa, opieki i pomocy osobom nietrzeźwym dla swej realizacji może uzasadniać dostęp do dźwięku z monitoringu w czasie rzeczywistym. Skarżący kasacyjnie nie podał natomiast żadnych racji, które przemawiałyby za tezą, że do realizacji tego obowiązku konieczne jest nagrywanie i utrwalanie dźwięku z monitoringu. Posiadanie materiału dźwiękowego zapisanego na nośniku nie służy bieżącemu monitorowaniu stanu osób przebywających w izbie wytrzeźwień. Z założenia jest ono potrzebne do ewentualnego odtworzenia w przyszłości. Działanie takie nie będzie jednak służyć celom, na jakie powołano się w skardze kasacyjnej, to jest tym, które wynikają z art. 39 ust. 2 pkt 1 i pkt 3 u.a.l.k. Naczelny Sąd Administracyjny zaznacza, że nie rozstrzyga o tym, czy dostęp do dźwięku z monitoringu w czasie rzeczywistym, bez jego nagrywania i utrwalania, jest przetwarzaniem danych osobowych w rozumieniu art. 4 pkt 2 RODO. Nie to było przedmiotem postępowania w niniejszej sprawie.

Odmiennych ocen prawnych, nie można wyprowadzić z powołanych

w zarzutach kasacyjnych przepisów u.a.l.k., choć nie pozostają one bez znaczenia.

Zgodnie z art. 42

- ust. 12 u.a.l.k. "[z]amknięte pomieszczenie przeznaczone do izolacji wyposaża się

w instalację monitoringu umożliwiającą stały nadzór nad osobą w nim umieszczoną oraz kontrolę wykonania czynności związanych z tym środkiem przymusu bezpośredniego."

- ust. 13 u.a.l.k. "[o]braz z monitoringu pomieszczeń lub ich części przeznaczonych do celów sanitarnohigienicznych jest przekazywany w sposób uniemożliwiający ukazywanie intymnych części ciała ludzkiego oraz intymnych czynności fizjologicznych."

- ust. 14 u.a.l.k. "[d]ane utrwalone za pomocą urządzeń monitorujących są przetwarzane wyłącznie przez osoby posiadające pisemne upoważnienie wydane przez administratora danych w celu realizacji zadań określonych w ustawie. Osoby te są zobowiązane do zachowania tych danych w poufności."

- ust. 15 u.a.l.k. "[z]apis monitoringu jest przechowywany przez okres co najmniej 30 dni, nie dłużej jednak niż 60 dni od dnia jego zarejestrowania, o ile nie zostanie on zabezpieczony jako dowód w sprawie w przypadku toczącego się postępowania. Po upływie terminu przechowywania zapis usuwa się w sposób uniemożliwiający jego odzyskanie. Z usunięcia zapisu sporządza się protokół, w którym należy wskazać datę tej czynności oraz imię i nazwisko osoby, która dokonała usunięcia. Dopuszcza się niszczenie zapisu na urządzeniu monitorującym przez jego automatyczne nadpisanie w przypadku, gdy warunki techniczne tego urządzenia umożliwiają przechowywanie zapisu przez okres, o którym mowa w zdaniu pierwszym."

Z kolei po myśli art. 423 ust. 1 u.a.l.k. "[p]omieszczenia i urządzenia izby wytrzeźwień lub placówki odpowiadają wymaganiom odpowiednim do wykonywanych zadań, w tym są wyposażone w system umożliwiający obserwację osób w nich umieszczonych w celu zapewnienia bezpieczeństwa tych osób."

Treść powołanych przepisów u.a.l.k. jest wysoce nieprecyzyjna, co poważnie utrudnia odkodowanie obowiązujących na ich podstawie norm prawnych.

Naczelny Sąd Administracyjny zauważa, że prawodawca posługuje się pojęciami:

- "instalacja monitoringu" (art. 42 ust. 12), "monitoring" (art. 42 ust. 13 i ust. 15), "urządzenia monitorujące" (art. 42 ust. 14 i ust. 15) i "system umożliwiający obserwację" (art. 423 ust. 1);

- "obraz z monitoringu" (art. 42 ust. 13), "dane utrwalone za pomocą urządzeń monitorujących" (art. 42 ust. 14), "zapis monitoringu" (art. 42 ust. 15).

Wychodząc z założenia racjonalności ustawodawcy każdemu z powołanych wyrażeń normatywnych należałoby nadać odrębną treść. Kierując się bowiem zasadami racjonalnego tworzenia prawa pojęciom odmiennym nadaje się różną treść, a tę samą treść nadaje się pojęciom tożsamym (takim samym) – zob. § 10 rozporządzenia Prezesa Rady Ministrów z dnia 20 czerwca 2002 r. w sprawie "Zasad techniki prawodawczej" (Dz. U. 2016 r. poz. 283). Wykorzystanie dostępnych reguł wykładni nie pozwala jednak zracjonalizować działań prawodawczych i ustalić sensownego rozróżnienia terminów użytych w cytowanych przepisach.

Postanowienia art. 42 ust. 12 u.a.l.k. odnoszą się niewątpliwie do pomieszczeń zamkniętych, w których stosuje się przymus bezpośredni w postaci izolacji. Celem stosowania w tych pomieszczeniach instalacji monitoringu jest umożliwienie stałego nadzoru nad osobą w nim umieszczoną oraz kontroli wykonania czynności związanych z tym środkiem przymusu bezpośredniego. Dodać przy tym trzeba, że zgodnie z 42 ust. 3 u.a.l.k. nadzór nad wykonaniem przymusu bezpośredniego w formie izolacji sprawuje osobiście lekarz lub felczer, który zdecydował o jego zastosowaniu. Ponadto, zgodnie z art. 42 ust. 10 u.a.l.k. wyznaczony przez dyrektora izby pracownik jest obowiązany do kontroli stanu zdrowia osoby, wobec której zastosowano przymus bezpośredni w formie unieruchomienia lub izolacji, nie rzadziej niż co 15 minut, również w czasie snu tej osoby oraz niezwłocznie po zaprzestaniu stosowania przymusu bezpośredniego. Jak z powyższego wynika, kontrola i nadzór wykonania środka przymusu bezpośredniego w formie izolacji nie następuje wyłącznie poprzez monitoring, ale również w innych, bardziej bezpośrednich formach.

Postanowienia art. 42 ust. 13 u.a.l.k. odnoszą się wprost do "obrazu

z monitoringu". Przepis ten znajduje zastosowanie jedynie w pomieszczeniach przeznaczonych do celów sanitarnohigienicznych (toaletach, prysznicach) i wyłącza przekazywanie obrazu intymnych części ciała osób przebywających w izbie. Reguluje on więc kwestie monitorowania pomieszczeń innych od tych, których dotyczy art. 42 ust. 12 u.a.l.k. Należy odnotować, że powołany przepis nie umocowuje do nagrywania i utrwalania obrazu, lecz do jego "przekazywania", co wskazuje raczej na bieżący wgląd w czynności osób przebywających w izbie. Artykuł 42 ust. 13 u.a.l.k. swą treścią nie wyłącza możliwości pozyskiwania dźwięku z pomieszczeń, do których się odnosi, nie potwierdza również, że takie działania są dopuszczalne. Jego celem – wynikającym z treści - jest ograniczenie zakresu przekazywanego obrazu, a nie wytyczenie ram pozyskiwanych monitoringiem danych.

Artykuł 42 ust. 14 u.a.l.k. wyznacza osoby upoważnione do przetwarzania danych utrwalonych za pomocą urządzeń monitorujących. Zgodnie z jego treścią dane te są przetwarzane wyłącznie przez osoby posiadające pisemne upoważnienie wydane przez administratora danych w celu realizacji zadań określonych w ustawie. Osoby te są zobowiązane do zachowania tych danych w poufności. Postanowienia powołanego przepisu są istotne z kilku względów. Po pierwsze, przesądzono w nich, że dane z monitoringu są utrwalane i przetwarzane przez osoby upoważnione przez administratora danych. Nie ma zatem wątpliwości, że ustawodawca dane utrwalone przez urządzenia monitorujące uznał za dane osobowe. W art. 42 ust. 14 u.a.l.k. wskazano również wprost, że dane osobowe przetwarza się "w celu realizacji zadań określonych w ustawie". Z postanowień analizowanego przepisu nie wynika, aby miał on zastosowanie wyłącznie do jakiejś ściśle określonej kategorii pomieszczeń izby. Odnosi się on do danych utrwalonych urządzeniami monitorującymi, bez konkretyzacji miejsca, gdzie te urządzenia się znajdują. Zakres (kategorie) utrwalanych przez urządzenia monitorujące danych osobowych nie został w treści art. 42 ust. 14 u.a.l.k. podany. W ocenie Naczelnego Sądu Administracyjnego należy go wyznaczyć zgodnie z zawartym w nim odwołaniem do "realizacji celów określonych w ustawie". Rozwiązanie to jest zbieżne z wyżej omówioną dyrektywą niezbędności wyrażoną w art. 6 ust. 1 lit. c i d RODO oraz zasadą minimalizacji danych, o której mowa w art. 5 ust. 1 lit. c RODO. Uwzględnienie przedmiotowych dyrektyw nie pozwala stwierdzić, że dane osobowe utrwalane przez urządzenia monitorujące obejmują również dźwięk. Jak już wyżej wykazano, monitoring nie jest jedynym przewidzianym przepisami u.a.l.k. sposobem realizacji celów ustawowych w postaci zapewnienia bezpieczeństwa, opieki i pomocy osobom przebywającym w izbie. Co kluczowe, adekwatności przetwarzania danych osobowych poprzez nagrywanie i utrwalanie dźwięku z monitoringu dla realizacji celów nałożonych na izbę przez przepisy u.a.l.k. nie wykazano w skardze kasacyjnej, której granicami NSA jest związany. Zakresu stosowania normy wyinterpretowanej z art. 42 ust. 14 u.a.l.k. nie zmieniają postanowienia art. 42 ust. 15 u.a.l.k., który reguluje okres przechowywania "zapisu" z monitoringu oraz tryb jego usuwania.

Artykuł 423 ust. 1 u.a.l.k. odnosi się do wszystkich pomieszczeń

i urządzeń izby, nakładając obowiązek dostosowania ich do wymagań adekwatnych do realizacji zadań tej placówki, w tym do wyposażenia ich (pomieszczeń i urządzeń) "w system umożliwiający obserwację osób w nich umieszczonych w celu zapewnienia bezpieczeństwa tych osób." I w tym wypadku nie można rozstrzygnąć, czy "system" o jakim mowa w tym przepisie ma być wyposażony w możliwość utrwalania i nagrywania pozyskiwanych przy jego pomocy danych i czy jest to system inny od urządzeń monitorujących, o których mowa w art. 42 ust. 14 u.a.l.k. Uwzględnienie wykładni językowej skłania do wniosku, że system umożliwiający obserwację, nie wymaga utrwalania i zapisywania danych. Z kolei wykładnia systemowa wewnętrzna wskazuje raczej na to, że 423 ust. 1 u.a.l.k. należy odczytywać w skorelowaniu z art. 42 ust. 14 u.a.l.k., a zatem, że utrwalanie danych przez ten system jest dopuszczalne. I w tym wypadku prawodawca jednak nie zrealizował zasady komunikatywności regulacji prawnej, albowiem zgodnie z § 6 ust. 2 pkt 4 i ust. 3 wydanego na podstawie art. 423 ust. 5 u.a.l.k. rozporządzenia Ministra Zdrowia z dnia 8 grudnia 2014 r. w sprawie izb wytrzeźwień i placówek wskazanych lub utworzonych przez jednostkę samorządu terytorialnego (Dz. U. 2019 r. poz. 2119) pomieszczenia dla osób, których zachowanie stwarza poważne zagrożenie dla ich zdrowia lub życia albo zdrowia lub życia innych osób przyjętych do izby wytrzeźwień powinny być wyposażone w "zabezpieczoną przed uszkodzeniem instalację monitoringu umożliwiającą stały nadzór nad (taką) osobą" (§ 6 ust. 2 pkt 4). Przedmiotowa instalacja ma umożliwiać zapis obrazu oraz jego przechowywanie przez okres co najmniej 30 dni, nie dłużej jednak niż 60 dni od dnia jego zarejestrowania. Dostęp do tej instalacji i zapisu obrazu jest kontrolowany, możliwy tylko dla dyrektora izby wytrzeźwień, kierownika placówki lub upoważnionej przez nich osoby (§ 6 ust. 3). Rozporządzenie, odmiennie niż czyni to ustawa, konkretyzuje, że instalacja monitoringu powinna znajdować się w każdym pomieszczeniu, w którym przebywają osoby, "których zachowanie stwarza poważne zagrożenie dla ich zdrowia lub życia albo zdrowia lub życia innych osób przyjętych do izby". Wyeksponować należy, że powołany przepis rozporządzenia kreuje nową przesłankę wyposażenia danego pomieszczenia w instalację monitoringu, jaką jest "poważne zagrożenie". Przepisy u.a.l.k. regulują postępowanie wyłącznie wobec osób stwarzających "zagrożenie", nie odnoszą sią natomiast w ogóle do osób stwarzających "poważne zagrożenie". Przepisy rozporządzenia dla uzasadnienia instalacji urządzenia monitoringu dokonują zatem nieuzasadnionej ustawowo kwalifikacji tego zagrożenia do stopnia "poważnego". Ustalenie uzasadnienia dystynkcji pomiędzy "zagrożeniem" a "poważnym zagrożeniem" oraz podmiotu, który miałby jej wiążąco dokonać w celu wskazania pomieszczeń zaopatrzonych w instalacje monitoringu jest niemożliwe. Nie można wobec tego rozstrzygnąć, do jakich pomieszczeń należy stosowań § 6 ust. 2 pkt 4 i ust. 3 rozporządzenia.

Warto również dodać, że § 6 rozporządzenia obowiązuje od 1 stycznia 2015 roku. Przepisy art. 42 ust. 12 do ust. 15 u.a.l.k. obowiązują natomiast od 1 stycznia 2018 roku (na mocy art. 2 pkt 20 ustawy z dnia 24 listopada 2017 r. o zmianie ustawy o ochronie zdrowia psychicznego oraz niektórych innych ustaw, Dz. U. 2017 r. poz. 2439). W ocenie Naczelnego Sądu Administracyjnego działania nowelizacyjne doprowadziły do tego, że postanowienia art. 42 ust. 12-15 u.a.l.k. niewątpliwie krzyżują się z postanowieniami § 6 rozporządzenia. Zgodnie z hierarchiczną budową systemu źródeł prawa, regulacja ustawowa niewątpliwie będzie miała pierwszeństwo.

Przedstawione uwagi, jakkolwiek uzasadniają wniosek, że na gruncie przepisów u.a.l.k. nagrywanie i utrwalanie dźwięku z monitoringu nie jest uzasadnione, to dowodzą również i tego, że ustalenie zakresu ich stosowania oraz normowania jest niezwykle trudne z uwagi na brak komunikatywności językowej tekstu prawnego, a zatem, przez wadliwe działania prawodawcze. Przedmiotową ocenę potwierdza pośrednio sam organ, który dla ustalenia znaczenia przepisów u.a.l.k. dokonuje skomplikowanych i złożonych zabiegów interpretacyjnych z wykorzystaniem dyrektyw wykładni porównawczej. Jest to o tyle istotne, że ma wpływ na rozważenie pozostałych zarzutów kasacyjnych, które odnoszą się do wymiaru kary administracyjnej, nałożonej kwestionowaną decyzją.

Naczelny Sąd Administracyjny zgadza się ze skarżącym kasacyjnie, że WSA naruszył art. 58 ust. 2 lit. a, b, d, f RODO w związku z art. 72 oraz z art. 102 ust. 3 u.o.d.o. oraz art. 83 ust. 1 i ust. 2 RODO. Nałożenie administracyjnej kary pieniężnej w wysokości 10000 zł. było przedwczesne a zatem nieuzasadnione. Naczelny Sąd Administracyjny zwraca uwagę, że administracyjna kara pieniężna nakładana na mocy art. 83 ust. 1 i ust. 2 RODO nie jest środkiem obligatoryjnym, orzekanym w razie naruszenia przepisów RODO. Rozważając jej stosowanie organ powinien kierować się tym, aby była ona skuteczna, proporcjonalna i odstraszająca. W tym kontekście należy zwrócić uwagę, że skarżąca kasacyjnie zaprzestała przetwarzania danych osobowych poprzez nagrywanie i utrwalanie dźwięku z monitoringu już w trakcie postępowania. Wymierzenie kary w kontekście skuteczności, rozumianej jako doprowadzenie do stanu zgodnego z RODO jest więc wątpliwe. Proporcjonalność nakładania kary pieniężnej w rozpatrywanej sprawie powinna z kolei odzwierciedlać fakt, że przepisy, w oparciu o które działała skarżąca kasacyjnie są niejasne, nieprecyzyjne i niepozwalające na pewne odtworzenie zakresu umocowania prawnego do przetwarzania przez nią danych osobowych osób przebywających w izbie. Z uwagi na te same przesłanki trudno uzasadnić odstraszającą funkcję wymierzonej kary pieniężnej. Jej uwzględnienie ma sens, gdy dany podmiot celowo przetwarza dane osobowe z naruszeniem przepisów RODO. W niniejszej sprawie taka sytuacja nie wystąpiła. Naczelny Sąd Administracyjny nie podziela stanowiska organu, że do naruszenia RODO przez skarżącą kasacyjnie doszło umyślnie (art. 83 ust. 2 lit. b RODO). Trudno stwierdzić celowość działania skarżącej kasacyjnie w układzie, w którym nie da się wyznaczyć precyzyjnych granic normatywnych, w których może ona przetwarzać dane osobowe. Skarżąca kasacyjnie konsekwentnie twierdziła, że nagrywała dźwięk z monitoringu w celu realizacji jej zadań ustawowych. Organ nie podważył tej motywacji, przyjął natomiast słusznie, że nie miała ona oparcia w przepisach u.a.l.k. Sam cel przetwarzania (art. 83 ust. 2 lit a RODO) danych osobowych przez skarżącą kasacyjnie nie zasługiwał na tak poważne sankcjonowanie. Nie została również wykazana jakakolwiek szkoda związana z nieprawnym przetwarzaniem dźwięku z monitoringu (art. 83 ust. 2 lit a RODO). Nie bez znaczenia jest również to, że skarżąca kasacyjnie wcześniej nie naruszała przepisów RODO (art. 83 ust. 2 lit e RODO) oraz nie odniosła żadnej korzyści z ustalonego przez organ naruszenia (art. 83 ust. 2 lit k RODO). Również kategoria danych osobowych, jakim jest dźwięk, nie stanowi danych wrażliwych (art. 83 ust. 2 lit d RODO). Danych tych nie przetwarzano poprzez ujawnienie, czy udostępnienie podmiotom trzecim.

W tym stanie rzeczy Naczelny Sąd Administracyjny podzielił zarzuty kasacyjne dotyczące naruszenia art. 83 ust. 1 i ust. 2 RODO uznając, iż wymierzenie kary pieniężnej w wysokości 10000 zł. nie było poprzedzone należytym uwzględnieniem tych okoliczności sprawy, które stosownie do tego przepisu należało uwzględnić tak przy doborze rodzaju sankcji za naruszenie RODO (wyboru kary administracyjnej), jak i jej intensywności (wysokości grzywny).

Z tych przyczyn Naczelny Sąd Administracyjny uchylił zaskarżony wyrok WSA w Warszawie. Jednocześnie uznając, iż istota sprawy została dostatecznie wyjaśniona, na podstawie art. 188 P.p.s.a. uchylił w całości zaskarżoną decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia 31 maja 2022 r. DKN.5131.51.2021.172158.

Rozpoznając ponownie sprawę organ uwzględni oceny prawne i wskazania zawarte w części zważającej niniejszego uzasadnienia.

O kosztach postępowania za obie instancje orzeczono na podstawie art. 200, art. 203 pkt 1, art. 205 § 2 oraz § 14 ust. 1 pkt 1 lit. a i pkt 2 lit. b w zw. z § 2 rozporządzenia Ministra Sprawiedliwości z dnia 22 października 2015 r. w sprawie opłat za czynności radców prawnych (Dz. U. 2023 r. poz. 1935). Na zasądzoną kwotę 3400 zł. złożył się: wpis od skargi (400 zł.), opłata kancelaryjna od uzasadnienia (100 zł.), wpis od skargi kasacyjnej (200 zł.), wynagrodzenie radcy prawnego za pierwszą instancję (1800 zł.), wynagrodzenie radcy prawnego za drugą instancję (900 zł.).