Centralna Baza Orzeczeń Sądów Administracyjnych

Termin trzech miesięcy wskazany w art. 78 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólnego rozporządzenia o ochronie danych), (Dz. Urz. UE L 119 z 4.05.2016 r. ze zm.) odnosi się do prawa żądania uruchomienia skutecznego środka ochrony prawnej przed sądem (kontroli sądu administracyjnego poprzez skargę na bezczynność lub przewlekle prowadzenie postępowania), jeżeli w tym terminie Prezes Urzędu Ochrony Danych Osobowych nie rozpatrzył skargi lub nie poinformował osoby, której dane dotyczą o postępach lub efektach rozpatrywania skargi wniesionej zgodnie z art. 77.

Naczelny Sąd Administracyjny w składzie: Przewodniczący: Sędzia NSA Tamara Dziełakowska Sędziowie: Sędzia NSA Jerzy Stelmasiak Sędzia del. WSA Mariusz Kotulski (spr.) po rozpoznaniu w dniu 21 marca 2023 r. na posiedzeniu niejawnym w Izbie Ogólnoadministracyjnej skargi kasacyjnej Prezesa Urzędu Ochrony Danych Osobowych od punktu 1, 2, 3, 5 wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 15 listopada 2019 r. sygn. akt II SAB/Wa 103/19 w sprawie ze skargi W. G. na bezczynność Prezesa Urzędu Ochrony Danych Osobowych w przedmiocie rozpoznania skargi z dnia [...] lipca 2018 r. na przetwarzanie danych osobowych 1. oddala skargę kasacyjną, 2. oddala wniosek W. G. o zwrot kosztów postępowania kasacyjnego.

Wojewódzki Sąd Administracyjny w Warszawie wyrokiem z dnia 15 listopada 2019 r. sygn. akt II SAB/Wa 103/19 w sprawie ze skargi W. G. na bezczynność Prezesa Urzędu Ochrony Danych Osobowych w przedmiocie rozpoznania skargi z dnia 30 lipca 2018 r. na przetwarzanie danych osobowych: stwierdził, że Prezes Urzędu Ochrony Danych Osobowych dopuścił się bezczynności (pkt 1), stwierdził, że bezczynność Prezesa Urzędu Ochrony Danych Osobowych miała miejsce z rażącym naruszeniem prawa (pkt 2), wymierzył Prezesowi Urzędu Ochrony Danych Osobowych grzywnę w wysokości 500 złotych (pkt 3), oddalił skargę w pozostałym zakresie (pkt 4), a także zasądził od Prezesa Urzędu Ochrony Danych Osobowych na rzecz skarżącego W. G. zwrot kosztów postępowania (pkt 5).

Wyrok zapadł w następującym stanie faktycznym i prawnym sprawy.

Pismem z dnia 30 lipca 2018 r. W. G. (dalej: "wnioskodawca", "skarżący") złożył skargę w trybie art. 60 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2018 r. poz. 1000) w zw. z art. 55 ust. 1 oraz art. 57 ust. 1 lit. a RODO, na łamanie przepisów Rozporządzenia przez [...] S.A. z siedzibą w [...] (dalej: "[...] S.A.", "spółka") polegające na przetwarzaniu danych osobowych skarżącego bez jego zgody, a także wobec zgłoszonego do podmiotu sprzeciwu.

W dniu 6 września 2018 r. organ wystąpił do Prezesa Zarządu [...] S.A. o ustosunkowanie się do treści skargi oraz złożenie wyjaśnień w sprawie, w terminie 7 dni od dnia doręczenia pisma, a także poinformował wnioskodawcę o wszczęciu postępowania wyjaśniającego.

W odpowiedzi, pismem z dnia 17 września 2019 r. [...] S.A. przedstawił stanowisko w sprawie uznając złożoną skargę za niezasadną. Do pisma dołączona została korespondencja prowadzona przez spółkę z wnioskodawcą.

Pismem z dnia 3 września 2018 r. skarżący złożył w trybie art. 37 ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego (Dz. U. z 2017 r., poz. 1257, zwana dalej: "k.p.a.") ponaglenie, wskazując, że termin wyznaczony przez art. 37 § 3 k.p.a. upłynął w dniu 30 sierpnia 2018 r., a organ ani nie zakończył postępowania, ani nie dopełnił obowiązku wynikającego z art. 36 k.p.a.

W dniu 8 października 2018 r. organ poinformował skarżącego oraz spółkę, że zgromadzony materiał dowodowy jest wystarczający do wydania decyzji administracyjnej, a także powiadomił strony o zamiarze zakończenia postępowania i przysługującym prawie do zapoznania się z aktami sprawy przed wydaniem decyzji.

Pismem z 3 grudnia 2018 r. skarżący wystosował do organu kolejne ponaglenie, w którym podniósł, że postępowanie w sprawie jego skargi ma charakter przewlekły oraz jest prowadzone w sposób sprzeczny z art. 35 § 3 k.p.a.

W odpowiedzi z dnia 12 grudnia 2018 r. organ poinformował wnioskodawcę, że ponaglenie powinno zawierać uzasadnienie, a także wskazał, że z uwagi na znaczną ilość spraw prowadzonych przez Prezesa Urzędu termin załatwienia sprawy zostaje przedłużony o jeden miesiąc.

W dniu 16 stycznia 2019 r. W. G. wniósł skargę do Wojewódzkiego Sądu Administracyjnego w Warszawie.

W odpowiedzi na skargę z dnia 12 lutego 2019 r., Prezes Urzędu Ochrony Danych Osobowych wniósł o jej oddalenie.

Wojewódzki Sąd Administracyjny w Warszawie w powołanym wyżej wyroku wskazał, że złożona skarga była zasadna i zasługiwała na uwzględnienie.

Uzasadniając swoje stanowisko Sąd I instancji wskazał, że bezczynność organu administracji publicznej zachodzi wówczas, gdy w prawnie ustalonym terminie organ ten nie podjął żadnych czynności w sprawie lub wprawdzie prowadził postępowanie, ale - mimo istnienia ustawowego obowiązku - nie zakończył go wydaniem w terminie decyzji, postanowienia lub też innego aktu lub nie podjął stosownej czynności.

Skarga na bezczynność może być wniesiona po upływie terminu przewidzianego do załatwienia sprawy, po wyczerpaniu środków zaskarżenia. Sąd uznał, że skarga spełnia wymogi formalne, wniesiona została bowiem po wyczerpaniu przysługującego środka zaskarżenia – ponaglenia z dnia 3 września 2018 r. oraz z dnia 3 grudnia 2018 r., a także nie została obwarowana ograniczeniem w zakresie terminu jej wniesienia.

Wojewódzki Sąd Administracyjny w Warszawie podkreślił, że skarga skierowana do Prezesa UODO wpłynęła w dniu 30 lipca 2018 r., świadczy o tym data stempla organu, znajdująca się na oryginale "skargi", to postępowanie w sprawie powinno zakończyć się do 30 sierpnia 2018 r. Jeżeli nawet organ uznałby, że sprawa wymaga przeprowadzenia szczegółowego postępowania wyjaśniającego, winien zawiadomić o tym stronę, podając przyczynę zwłoki oraz wskazać jej termin załatwienia sprawy wynikający z przepisów k.p.a. – 30 września 2018 r. Tymczasem wniesiona skarga, co wynika ze znajdujących się kolejnych stempli urzędowych została najpierw przekazana do Zespołu Wstępnej Oceny Skarg w dniu 31 lipca 2018 r., a następnie dopiero w dniu 14 sierpnia 2018 r. do Zespołu ds. Sektora Prywatnego. Pierwszą czynność w sprawie organ podjął dopiero w dniu 6 września 2018 r. a zatem już po upływie miesięcznego terminu na załatwienie sprawy. Organ zwrócił się wtedy do Spółki celem uzyskania od niej wyjaśnień, po których uzyskaniu – Spółka odpowiedziała pismem z 17 września 2018 r., doręczonym organowi 18 września 2018 r., - pozostawał w bezczynności do 8 października 2018 r. (nawet pomimo wniesienia przez skarżącego w dniu 3 września 2018 r. ponaglenia). Organ nie podjął nawet próby obrony przed - sformułowanym w skardze - zarzutem bezczynności w toku postępowania. Dopiero po wpłynięciu skargi w dniu 18 stycznia 2019 r. organ wydał decyzję w sprawie.

Sąd I instancji zaznaczył, że oczywistym jest, że podnoszona w odpowiedzi na skargę przez organ okoliczność, że to na nim spoczywa statuowany w art. 77 k.p.a. obowiązek wyczerpującego zebrania i rozpatrzenia materiału dowodowego sprawy. Nie oznacza to jednak, że przez niemal półtora roku organ może nie podjąć żadnej czynności w sprawie, jak również nie zawiadamiać skarżących o niezałatwieniu sprawy w terminie. Takie procedowanie organu może rodzić po stronie wnioskodawcy uzasadnione wątpliwości, czy jego sprawa w ogóle zmierza ku zakończeniu. Organ miał obowiązek komunikowania się ze stroną i wyjaśnienia jej przyczyn opóźnienia w załatwieniu sprawy. Tymczasem tak długa bezczynność organu i tego typu prowadzenie postępowania, a w zasadzie jego nieprowadzenie, nie licuje z wyrażoną w art. 8 k.p.a. zasadą pogłębiania zaufania uczestników postępowania do organów władzy publicznej, jak również stanowi klasyczny przykład pozostawania przez organ w bezczynności, której dopuścił się z rażącym naruszeniem prawa. W takiej sytuacji zasadnym było także wymierzenie organowi grzywny w kwocie 500 zł. Jednocześnie Sąd I instancji nie znalazł przesłanek do zasądzenia na rzecz skarżącego sumy pieniężnej.

Skargę kasacyjną od tego wyroku wniósł Prezes Urzędu Ochrony Danych Osobowych, zaskarżając wyrok w części w zakresie punktów: 1, 2, 3 i 5 oraz zarzucając mu naruszenie przepisów postępowania mających istotny wpływ na wynik sprawy, tj. art. 149 § 1 pkt 3, § 1a i § 2 p.p.s.a. w związku z art. 7, art. 8, art. 12 § 1, art. 35 § 1 i § 3, art. 36 § 1 i § 2 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2018 r. poz. 2096 ze zm., zwanej dalej "k.p.a.") oraz art. 78 ust. 2 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólnego rozporządzenia o ochronie danych), (Dz. Urz. UE L 119 z 04.05.2016, str. 1 oraz Dz. Urz. UE L 127 z 23.05.2018, str. 2, dalej: RODO), poprzez błędną wykładnię, a w konsekwencji niewłaściwe zastosowanie, co doprowadziło do uznania, że Prezes Urzędu Ochrony Danych Osobowych dopuścił się bezczynności i orzeczenie, że miała ona miejsce z rażącym naruszeniem prawa oraz wymierzenie Prezesowi Urzędu Ochrony Danych Osobowych grzywny w wysokości 500 złotych.

Mając powyższe na uwadze skarżący kasacyjnie wniósł na podstawie art. 188 p.p.s.a. o uchylenie wyroku w zaskarżonej części i rozpoznanie skargi kasacyjnej przez Naczelny Sąd Administracyjny ewentualnie, na podstawie art. 185 p.p.s.a., o uchylenie wyroku w zaskarżonej części i przekazanie sprawy do ponownego rozpoznania Wojewódzkiemu Sądowi Administracyjnemu w Warszawie. Ponadto wniósł o zasądzenie zwrotu kosztów postępowania według norm prawem przepisanych oraz rozpoznanie skargi kasacyjnej na rozprawie.

Powyższe zarzuty rozwinięto w uzasadnieniu skargi kasacyjnej.

W odpowiedzi na skargę kasacyjną W. G. wniósł o jej oddalenie i zasądzenie zwrotu kosztów postępowania według norm przepisanych, a w przypadku dyspozycji Sądu wymagających poniesienia dodatkowych kosztów przez skarżącego - zwrotu tych kosztów w wysokości wynikającej z przedstawionych Sądowi rachunków.

Naczelny Sąd Administracyjny zważył, co następuje.

Na podstawie art. 15zzs4 ust. 3 w zw. z ust. 1 ustawy z dnia 2 marca 2020 r. o szczególnych rozwiązaniach związanych z zapobieganiem, przeciwdziałaniem i zwalczaniem COVID - 19, innych chorób zakaźnych oraz wywołanych nimi sytuacji kryzysowych (Dz. U. z 2021 r. poz. 2095 ze zm.) Przewodnicząca Wydziału III zarządzeniem z dnia 5 stycznia 2023 r. wyznaczyła posiedzenie niejawne w dniu 21 marca 2023 r.

Zgodnie z art. 183 § 1 p.p.s.a. Naczelny Sąd Administracyjny przy rozpatrywaniu sprawy na skutek wniesienia skargi kasacyjnej związany jest granicami tej skargi, a z urzędu bierze pod rozwagę tylko nieważność postępowania w wypadkach określonych w § 2, z których żaden w rozpoznawanej sprawie nie zachodzi. Oznacza to, że przytoczone w skardze kasacyjnej przyczyny wadliwości prawnej zaskarżonego orzeczenia determinują zakres kontroli dokonywanej przez Naczelny Sąd Administracyjny. Sąd ten, w odróżnieniu od wojewódzkiego sądu administracyjnego, nie bada całokształtu sprawy, lecz tylko weryfikuje zasadność zarzutów postawionych w skardze kasacyjnej.

Podstawy, na których można oprzeć skargę kasacyjną zostały określone w art.174 p.p.s.a. Przepis art. 174 pkt 1 p.p.s.a. przewiduje dwie postacie naruszenia prawa materialnego, a mianowicie błędną jego wykładnię lub niewłaściwe zastosowanie. Przez błędną wykładnię należy rozumieć niewłaściwe zrekonstruowanie treści normy prawnej wynikającej z konkretnego przepisu, natomiast przez niewłaściwe zastosowanie, dokonanie wadliwej subsumcji przepisu do ustalonego stanu faktycznego. Również druga podstawa kasacyjna wymieniona w art. 174 pkt 2 p.p.s.a. – naruszenie przepisów postępowania – może przejawiać się w tych samych postaciach, co naruszenie prawa materialnego, przy czym w wypadku oparcia skargi kasacyjnej na tej podstawie skarżący powinien nadto wykazać istotny wpływ wytkniętego uchybienia na wynik sprawy.

Istota wniesionej skargi kasacyjnej sprowadza się do określenia wzajemnej relacji pomiędzy art. 78 ust. 2 RODO a art. 35 § 1 i § 3, art. 36 § 1 i § 2 k.p.a.

Jak stanowi art. 78 ust. 2 RODO "bez uszczerbku dla innych administracyjnych lub pozasądowych środków ochrony prawnej każda osoba, której dane dotyczą, ma prawo do skutecznego środka ochrony prawnej przed sądem, jeżeli organ nadzorczy właściwy zgodnie z art. 55 i 56 nie rozpatrzył skargi lub nie poinformował osoby, której dane dotyczą, w terminie trzech miesięcy o postępach lub efektach rozpatrywania skargi wniesionej zgodnie z art. 77".

Jednocześnie jak wynika z treści art. 57 ust. 1 lit. a i lit. f RODO, bez uszczerbku dla innych zadań określonych na mocy niniejszego rozporządzenia, każdy organ nadzorczy na swoim terytorium monitoruje i egzekwuje stosowanie niniejszego rozporządzenia, a także rozpatruje skargi wniesione przez osobę, której dane dotyczą.

Nie ulega wątpliwości, że rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE stanowi kompleksową regulację dotyczącą ochrony danych osobowych, którą stosuje się bezpośrednio i która nie wymaga implementacji ustawą krajową, aby mogła być stosowana w danym państwie.

Zadania określone w art. 57 ust. 1 lit. f RODO są efektem prawa do wniesienia skargi na mocy art. 77 oraz art. 80. Formalne wymogi związane z rozpatrywaniem przez organ wniesionych skarg, a więc odpowiednie zasady i procedury, powinny być więc określone w przepisach krajowych, z uwzględnieniem art. 57 ust. 2, w którym ustawodawca nakazuje wprowadzenie mechanizmów i rozwiązań ułatwiających wnoszenie skarg. (zob. U. Góral, P. Makowski, RODO. Ogólne rozporządzenie o ochronie danych osobowych. Komentarz, pod red. E. Bielak-Jomaa i D. Lubasza, 2018 r.) Jest to wyrazem realizacji zasady autonomii proceduralnej państw członkowskich. W tej sytuacji, skargi są wnoszone i rozpatrywane na podstawie przepisów proceduralnych obowiązujących w danym państwie członkowskim UE. Oczywiście przepisy krajowe regulujące postępowanie muszą zapewnić efektywność prawa europejskiego, realizację wyznaczonych przez nie celów, praw i obowiązków (por. A. Wróbel, Autonomia proceduralna państw członkowskich. Zasada efektywności i zasada efektywnej ochrony sądowej w prawie Unii Europejskiej, RPEiS 2005/1, s. 35 i nast.).

Pozostawiono zatem państwom członkowskim Unii Europejskiej pewien zakres swobody w zakresie regulacji na poziomie krajowym, aby niektóre zagadnienia doprecyzować (np. dotyczące organu nadzorczego, czy odpowiedzialności za naruszenie zasad ochrony danych osobowych), czy też dostosować zasady wprowadzone przez RODO do innych obowiązujących w danym porządku prawnym zasad. Kwestie te zostały uregulowane w ustawie z 10 maja 2018 r. o ochronie danych osobowych (t.j. Dz.U. z 2019 r., poz. 1781, dalej: ustawa), która służy stosowaniu rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych).

Jak wynika z art. 60 ustawy postępowanie w sprawie naruszenia przepisów o ochronie danych osobowych, zwane dalej "postępowaniem", jest prowadzone przez Prezesa Urzędu Ochrony Danych Osobowych.

Nie ulega wątpliwości, że postępowanie w sprawie naruszenia przepisów o ochronie danych osobowych jest jednym z postępowań administracyjnych przed Prezesem UODO. O takim jego charakterze rozstrzyga art. 7 ust. 1 ustawy, który postępowania z rozdziałów 4-7 i 11 tej ustawy kwalifikuje jako administracyjne i przewiduje w sprawach w niej nieuregulowanych stosowanie do tych postępowań kodeksu postępowania administracyjnego. Należy przy tym zauważyć, że ustawodawca w art. 7 ust. 1 ustawy nie przewiduje stosowania odpowiedniego, oznacza to zatem stosowanie przepisów k.p.a. wprost, z modyfikacjami wynikającymi z regulacji ustawy o ochronie danych osobowych.

Zatem odnośnie terminowości załatwiania spraw przez Prezesa UODO zastosowanie będą miały przepisy art. 12, art. 35 § 1-3 oraz art. 36 § 1-2 k.p.a.

Zgodnie z art. 12 k.p.a. organy administracji publicznej powinny działać w sprawie wnikliwie i szybko, posługując się możliwie najprostszymi środkami prowadzącymi do jej załatwienia. Sprawy, które nie wymagają zbierania dowodów, informacji lub wyjaśnień, powinny być załatwione niezwłocznie. Zasada szybkości postępowania wyrażona w ww. przepisie - ściśle związana z regulacjami zawartymi w art. 35-38 k.p.a. - nie może jednak pozostawać w sprzeczności z obowiązkiem organu dokładnego wyjaśnienia sprawy, mając na względzie interes społeczny i słuszny interes obywatela.

W art. 35 k.p.a. określone zostały terminy do załatwienia sprawy przez organ administracji publicznej. Przepis ten zobowiązuje organy administracji publicznej do załatwiania spraw bez zbędnej zwłoki, co stanowi realizację zasady zawartej w art. 12 k.p.a. Załatwienie sprawy wymagającej postępowania wyjaśniającego powinno nastąpić nie później niż w ciągu miesiąca, a sprawy szczególnie skomplikowanej - nie później niż w ciągu dwóch miesięcy od daty wszczęcia postępowania (art. 35 § 3 k.p.a.). Ponadto w każdym przypadku niezałatwienia sprawy w ustawowym terminie organ powinien podać stronom przyczyny zwłoki i wskazać nowy termin załatwienia sprawy, co wynika z art. 36 § 1 k.p.a., zaś ten sam obowiązek ciąży na organie administracji publicznej również w przypadku zwłoki w załatwieniu sprawy z przyczyn niezależnych od organu (art. 36 § 2 k.p.a.). Podkreślić również należy, że samo informowanie o niezałatwieniu sprawy w terminie nie chroni organu przed zarzutem przewlekłego prowadzenia postępowania, ponieważ działania organu w tym zakresie również podlegają kontroli sądu administracyjnego.

Zgodnie z art. 35 § 4 k.p.a. przepisy szczególne mogą określać inne terminy niż wskazane w treści tego artykułu. Takim przepisem szczególnym nie jest jednak art. 78 ust. 2 RODO, nie określa on bowiem terminu załatwienia skargi przez organ nadzorczy. Termin trzech miesięcy, o jakim mowa w tym przepisie, odnosi się do wykonania przez organ nadzorczy obowiązku poinformowania strony, której dane dotyczą, o postępach i efektach rozpoznawania jej skargi, z jego upływem RODO łączy możliwość uruchomienia przez podmiot danych środków ochrony prawnej przed sądem.

Jak wynika z uzasadnienia projektu ustawy z 10 maja 2018 r. o ochronie danych osobowych (Uzasadnienie rządowego projektu ustawy o ochronie danych osobowych, VIII kadencja, druk sejm. nr 2410, s. 27) w art. 62 ustawy wprowadzono rozwiązanie, zgodnie z którym Prezes Urzędu, zawiadamiając strony o niezałatwieniu sprawy w terminie, obowiązany jest również poinformować o stanie sprawy i przeprowadzonych w jej toku czynnościach. "Należy wskazać, że powołana regulacja uzupełnia art. 36 k.p.a. i służy zapewnieniu pełnego stosowania art. 78 ust. 2 Rozporządzenia, który stanowi, iż bez uszczerbku dla innych administracyjnych lub pozasądowych środków ochrony prawnej każda osoba, której dane dotyczą, ma prawo do skutecznego środka ochrony prawnej przed sądem, jeżeli organ nadzorczy właściwy zgodnie z art. 55 i art. 56 Rozporządzenia nie rozpatrzył skargi lub nie poinformował osoby, której dane dotyczą, w terminie trzech miesięcy o postępach lub efektach rozpatrywania skargi wniesionej do organu nadzorczego. Przyjmując, iż zgodnie z k.p.a. rozpatrzenie sprawy szczególnie skomplikowanej powinno nastąpić nie później niż w terminie dwóch miesięcy od dnia wszczęcia postępowania, a o każdym przypadku jej niezałatwienia w terminie należy zawiadomić strony, przyjęto, iż powyższa regulacja projektu zapewni stronie postępowania, w terminie trzech miesięcy od dnia wszczęcia postępowania, informację o postępach lub efektach rozpatrywania wniosku przed Prezesem Urzędu. Brak takiej informacji w terminie trzech miesięcy od dnia wszczęcia postępowania dawał będzie stronie prawo do wniesienia skargi do sądu administracyjnego. W ocenie projektodawcy państwo członkowskie, wzmacniając ochronę danych osobowych, może w praktyce zobowiązać organ nadzorczy do informowania osób, których dane dotyczą, wcześniej niż po upływie trzech miesięcy, a okres wynikający z Rozporządzenia jest okresem maksymalnym." Zatem w przypadku niezałatwienia sprawy w terminie również z przyczyn niezależnych od organu (art. 36 § 2 k.p.a.), Prezes UODO na podstawie art. 62 ustawy, zawiadamiając o niezałatwieniu sprawy w terminie, jest obowiązany nie tylko wykonać obowiązki określone w art. 36 § 1 k.p.a. (powiadomienia strony o niedochowaniu terminu, podania przyczyn zwłoki, wskazania nowego terminu załatwienia sprawy), ale także poinformować strony o stanie sprawy i przeprowadzonych w jej toku czynnościach (zob. także I. Bogucka, Ustawa o ochronie danych osobowych. Komentarz, pod red. D. Lubasza, 2019 r.).

Termin trzech miesięcy wskazany w art. 78 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólnego rozporządzenia o ochronie danych), (Dz. Urz. UE L 119 z 4.05.2016 r. ze zm.) odnosi się do prawa żądania uruchomienia skutecznego środka ochrony prawnej przed sądem (kontroli sądu administracyjnego poprzez skargę na bezczynność lub przewlekłe prowadzenie postępowania), jeżeli w tym terminie Prezes Urzędu Ochrony Danych Osobowych nie rozpatrzył skargi lub nie poinformował osoby, której dane dotyczą o postępach lub efektach rozpatrywania skargi wniesionej zgodnie z art. 77.

Jak wynika z ustalonego przez Sąd I instancji stanu faktycznego pismem z dnia 30 lipca 2018 r. W. G. złożył skargę w trybie art. 60 ustawy w zw. z art. 55 ust. 1 oraz art. 57 ust. 1 lit. a RODO. Zatem termin trzech miesięcy, po którego upływie mógł wnieść skargę do sądu administracyjnego żądając stosownej ochrony minął w dniu 30 października 2018 r. Jednocześnie organ w terminie miesiąca nie podjął żadnych czynności merytorycznych, a nawet przyjmując, że sprawa była szczególnie skomplikowana to w 2 miesięcy nie zakończył postępowania, ani nie dopełnił obowiązku wynikającego z art. 36 § 1 k.p.a. Skarga z niniejszej sprawie została wniesiona w dniu 16 stycznia 2019 r.

Dodać należy, że dopiero w dniu 6 września 2018 r. organ poinformował wnioskodawcę o wszczęciu postępowania wyjaśniającego. Wprawdzie w dniu 8 października 2018 r. organ poinformował skarżącego, że zgromadzony materiał dowodowy jest wystarczający do wydania decyzji administracyjnej, a także powiadomił strony o zamiarze zakończenia postępowania i przysługującym prawie do zapoznania się z aktami sprawy przed wydaniem decyzji, to decyzję wydał dopiero w dniu 18 stycznia 2019 r. (znak: ZSPR.440.998.2018.ME.I.). W tym czasie (a więc przez ponad 3 miesiące) organ nie podejmował żadnych dodatkowych czynności dowodowych w sprawie, ani nie poinformował osoby, której dane dotyczą o postępach i efektach rozpatrywania skargi.

Tym samym zarzut naruszenia art. 149 § 1 pkt 3, § 1a i § 2 p.p.s.a. w związku z art. 7, art. 8, art. 12 § 1, art. 35 § 1 i § 3, art. 36 § 1 i § 2 k.p.a. oraz art. 78 ust. 2 RODO poprzez ich niewłaściwą wykładnię jest nieuzasadniony.

Z powyższych przyczyn Naczelny Sąd Administracyjny uznał skargę kasacyjną za pozbawioną usprawiedliwionych podstaw, co skutkowało jej oddaleniem na podstawie art. 184 p.p.s.a.

Wniosek W. G. zwrot kosztów postępowania kasacyjnego w oparciu o art. 204 pkt 2 p.p.s.a. został oddalony (pkt 2 wyroku), ponieważ skarżący nie wykazał (sporządzając samodzielnie odpowiedź na skargę kasacyjną), że takowe koszty poniósł, a zgodnie z uchwałą Naczelnego Sądu Administracyjnego z 19 listopada 2012 r. sygn. akt II FPS 4/12 przepisy art. 204 i art. 205 § 2 – 4 w związku z art. 207 § 1 p.p.s.a., stanowią podstawę do zasądzenia zwrotu kosztów jedynie za wniesienie odpowiedzi na skargę kasacyjną sporządzoną przez profesjonalnego pełnomocnika.