Centralna Baza Orzeczeń Sądów Administracyjnych

Dnia 19 lutego 2025 roku Naczelny Sąd Administracyjny w składzie: Przewodniczący: sędzia NSA Tamara Dziełakowska Sędziowie: sędzia NSA Artur Kuś (spr.) sędzia del. WSA Mariusz Kotulski po rozpoznaniu w dniu 19 lutego 2025 roku na posiedzeniu niejawnym w Izbie Ogólnoadministracyjnej skargi kasacyjnej J. M. od wyroku Wojewódzkiego Sądu Administracyjnego w Gdańsku z 7 grudnia 2023 r. sygn. akt III SAB/Gd 220/23 w sprawie ze skargi J. M. na bezczynność Generalnego Dyrektora Dróg Krajowych i Autostrad Oddział w Gdańsku w przedmiocie udostępnienia informacji publicznej oddala skargę kasacyjną.

1. Wojewódzki Sąd Administracyjny w Gdańsku wyrokiem z 7 grudnia 2023 r. sygn. akt III SAB/Wa 220/23, oddalił skargę J. M. (dalej: "skarżący") na bezczynność Generalnego Dyrektora Dróg Krajowych i Autostrad Oddział w Gdańsku w przedmiocie udostępnienia informacji publicznej.

W uzasadnieniu wyroku Sąd I instancji przyjął następujące okoliczności faktyczne i prawne.

W dniu 19 października 2023 r. do Wojewódzkiego Sądu Administracyjnego w Gdańsku wpłynęła skarga J. M. na bezczynność Generalnego Dyrektora Dróg Krajowych i Autostrad Oddział w Gdańsku w sprawie udostępnianie informacji publicznej.

W skardze, która do Generalnego Dyrektora Dróg Krajowych i Autostrad Oddział w Gdańsku wpłynęła w dniu 8 października 2023 r., zarzucono naruszenie:

a) art. 61 ust. 1 Konstytucji Rzeczypospolitej Polskiej z 2 kwietnia 1997 r. (Dz.U. z 1997 r. nr 78 poz. 483 ze zm.; dalej: "Konstytucja") w zakresie w jakim przepis ten stanowi podstawę prawa do uzyskiwania informacji publicznej poprzez błędne zastosowanie, polegające na braku udostępnienia informacji publicznej na wniosek;

b) art. 10 ust. 1 ustawy z dnia 6 września 2001 r. o dostępie do informacji publicznej (tekst jednolity: Dz.U. z 2022 r., poz. 902 ze zm.; dalej: "u.d.i.p."), w zakresie, w jakim przepis ten stanowi o tym, że informacja, która nie została udostępniona w Biuletynie Informacji Publicznej lub centralnym repozytorium, jest udostępniana na wniosek, poprzez błędne zastosowanie, polegające na braku zrealizowania wniosku o udostępnienie informacji publicznej.

W uzasadnieniu skargi skarżący podniósł, że 3 sierpnia 2023 r. do Generalnego Dyrektora Dróg Krajowych i Autostrad Oddział w Gdańsku na adres: sekretariat-qdansk@qddkia.qov.pl przesłał wniosek dotyczący przesłania lub udostępnienia elektronicznej wersji projektu organizacji ruchu dla drogi ekspresowej S6 na odcinku stanowiącym obwodnicę Słupska.

W terminie wynikającym z art. 13 ust. 1 u.d.i.p., to jest do 17 sierpnia 2023 r., jak i do dnia sporządzenia niniejszej skargi, skarżący nie otrzymał żadnej odpowiedzi na wniosek. Tym samym informacja nie została udostępniona.

Wskazując na powyższe skarżący wniósł o zobowiązanie organu do załatwienia wniosku z 3 sierpnia 2023 r. oraz o zasądzenie od organu na jego rzecz kosztów postępowania według norm przepisanych.

W odpowiedzi na skargę Generalny Dyrektor Dróg Krajowych i Autostrad Oddział w Gdańsku wniósł o jej oddalenie. W uzasadnieniu swego stanowiska organ wskazał, że do skargi nie dołączono potwierdzenia nadania skargi w formie elektronicznej na wskazany w skardze adres poczty elektronicznej organu. Po dokonanym sprawdzeniu korespondencji wpływającej na wskazany w skardze adres poczty elektronicznej ustalono, że 3 sierpnia 2023 r. nie wpłynęła od skarżącego żadna korespondencja.

W korespondencji prowadzonej w toku postępowania skarżący wykazywał stosownymi wydrukami, że przesyłkę zawierającą wniosek o udostępnienie informacji publicznej przesłał organowi. Wskazywał w szczególności, że skoro wniosek przesłał także na inny adres pocztowy, na który przesyłka ta dotarła, to również i do skrzynki pocztowej organu przesyłka ta musiała trafić.

Organ przedkładał natomiast wydruki ze swego konta pocztowego podnosząc, że szczegółowa analiza danych przesyłki z 3 sierpnia 2023 r. pochodząca od skarżącego została zatrzymana na tak zwanej "kwarantannie" i nie została przepuszczona na serwer organu.

Opisanym na wstępie wyrokiem Wojewódzki Sąd Administracyjny w Gdańsku oddalił skargę.

W uzasadnieniu Sąd stwierdził, że w przedmiotowej sprawie nie było sporne, że żądanie skarżącego dotyczyło udostępnienia informacji o charakterze publicznym. Warunkiem udostępnienia informacji publicznej jest jednak skuteczne doręczenie organowi wniosku w tym przedmiocie. Ustawodawca nie sprecyzował formy, w jakiej wniosek powinien zostać złożony, lecz nie może budzić wątpliwości, że dopóki wniosek w sposób niebudzący wątpliwości nie zostanie doręczony organowi, to nie można mu zarzucać bezczynności. Ciężar wykazania doręczenia - złożenia wniosku - w razie zaistnienia sporu co do tego faktu - spoczywa na wnioskodawcy, który wywodzi z niego określone skutki prawne.

Sąd I instancji zwrócił uwagę, że w dotychczasowym orzecznictwie sądów administracyjnych ukształtował się pogląd, zgodnie z którym złożenie wniosku o udostępnienie informacji publicznej pocztą elektroniczną (e-mail) do podmiotu wymienionego w art. 4 ust. 1 pkt 5 u.d.i.p., wywołuje obowiązek działania, o którym mowa w art. 13 ust. 1 i 2 u.d.i.p. w terminie tam zakreślonym. Obowiązkiem organu jest takie zorganizowanie pracy, w tym takie skonfigurowanie zasad odbioru poczty elektronicznej, aby wnioski o udzielenie informacji publicznej drogą elektroniczną były odbierane i analizowane, a w efekcie, aby informacja publiczna wnioskowana za pośrednictwem poczty elektronicznej była udzielana w terminie. Ryzyko nieodebrania, czy też nieodczytania przez organ wysłanego do niego przy użyciu poczty elektronicznej wniosku, skierowanego na oficjalnie podany adres elektroniczny organu, obciąża ten organ, a nie wnioskodawcę. Organ winien posiadać taki system poczty elektronicznej, który umożliwi odebranie każdej elektronicznej przesyłki, mogącej potencjalnie zawierać wniosek o udostępnienie informacji publicznej.

Sąd I instancji zwrócił jednak uwagę, że stanowisko powyższe zostało wypracowane w orzecznictwie przed laty w zupełnie innych realiach, zarówno co do rozwoju technologii komunikacji cyfrowej, jak i co do możliwych zagrożeń bezpieczeństwa Rzeczypospolitej Polskiej i jej obywateli.

Zdaniem Sądu I instancji, gwałtowny rozwój technologii cyfrowych, który w ostatnich latach objął każdą niemal dziedzinę życia pociągnął za sobą także eskalację nielegalnych działań (tzw. cyberprzestępczości), mających na celu między innymi przejęcie różnego rodzaju baz danych, obejmujących między innymi dane osobowe czy inne dane mogące posłużyć w celach przestępczych takich jak kradzież środków z kont bankowych, udostępnianie informacji niejawnych osobom nieupoważnionym, oszustwa i szantaże, wymaga, by stanowisko to zmodyfikować.

Ponadto wskazał, że pojawiło się ponadto zjawisko wojny hybrydowej, której jednym z instrumentów są ataki hakerskie z zagranicy skierowane wobec systemów informatycznych instytucji publicznych, mające na celu zdezorganizowanie czy uniemożliwienie działania tych instytucji. Częstym, a może nawet najczęstszym środkiem używanym jako instrument ataków hakerskich są odpowiednio spreparowane przesyłki poczty elektronicznej.

Sąd I instancji stwierdził, że w ślad za rozwojem coraz bardziej wyrafinowanej technologii stosowanej przez osoby i podmioty prowadzące nielegalną działalność w Internecie podążać muszą podmioty administrujące danymi chronionymi, a w tym w szczególności instytucje publiczne. Są one nie tylko uprawnione, ale i zobowiązane, by podejmować wszelkie działania mające na celu ochronę posiadanych danych i zapewnienie im bezpiecznego, sprawnego działania, pomimo możliwych ataków hakerskich. Ochrona przed zagrożeniem tego rodzaju wymaga stosowania profesjonalnych, opracowanych przez wyspecjalizowane firmy zewnętrzne zabezpieczeń, uniemożliwiających przeniknięcie przez podmioty nieuprawnione do stosowanych w tych instytucjach systemów informatycznych. Odpowiednie "skonfigurowanie zasad odbioru poczty elektronicznej" nie jest obecnie wystarczającym środkiem, który umożliwiałby podmiotom publicznym bezpieczne odebranie i odczytanie każdej przesyłki nadesłanej pocztą elektroniczną, która potencjalnie mogłaby zawierać wniosek o udostępnienie informacji publicznej.

W ocenie Sądu I instancji, informacje przedstawione przez organ wskazują na to, że wysłana przez skarżącego przesyłka elektroniczna została zatrzymana przed przyjęciem przez serwer odbiorcy na tak zwanej kwarantannie i ostatecznie przez tę kwarantannę nie została przepuszczona. W ten sposób zadziałał najprawdopodobniej system zabezpieczający pocztę elektroniczną organu, który zapobiegł temu, by przesyłka dostała się na serwer odbiorcy. Przesyłkę tę system zabezpieczający uznał zatem za potencjalnie niebezpieczną. Sąd administracyjny nie dysponuje środkami dowodowymi, mogącymi jednoznacznie i autorytatywnie wyjaśnić przyczynę tej sytuacji. Takim środkiem dowodowym mogłaby bowiem być jedynie opinia biegłego, która nie jest przewidziana przepisami p.p.s.a. i nie może być przeprowadzona. Postępowanie w sprawach dotyczących udostępnienia informacji publicznej ma ze swej istoty charakter uproszczony i sprzeczne z jego ideą jest prowadzenie swoistego dochodzenia w celu ustalenia czy wniosek został doręczony adresatowi, czy też nie, a jeśli nie to z jakiego powodu.

Sąd zwrócił uwagę na upowszechnienie się obecnie bezpiecznej komunikacji drogą elektroniczną przez platformę ePUAP oraz posiadaną przez większość programów pocztowych możliwość zażądania potwierdzenia odebrania przesyłki email. Stwierdził, że skoro skarżący jest osobą aktywnie korzystającą z komunikacji przy pomocy platformy ePUAP to nic nie stało na przeszkodzie, by składając wniosek o udostępnienie informacji publicznej skorzystał z możliwości, jakie daje ta platforma, w postaci uzyskania informacji o odbiorze przesyłki przez adresata, czy też użył takiego programu pocztowego, który umożliwia uzyskanie poświadczenia odbioru korespondencji.

Zdaniem Sądu I instancji, konieczność zapewnienia bezpieczeństwa cyfrowego obywateli i instytucji publicznych stoi na przeszkodzie, by sam dowód wysłania wniosku o udostępnienie informacji publicznej na podstawie art. 10 ust. 1 u.d.i.p. pocztą elektroniczną mógł być uznawany za potwierdzenie, że wniosek taki dotarł do adresata w sposób umożliwiający zapoznanie się z nim, jeśli przedstawione przez tego adresata dane z jego konta pocztowego okoliczności tej nie potwierdzają.

W ocenie Sądu I instancji, skoro w niniejszej sprawie nie zostało wykazane, że przesłany przez skarżącego do Generalnego Dyrektora Dróg Krajowych i Autostrad Oddział w Gdańsku wniosek dotarł do niego w sposób umożliwiający zapoznanie się z nim, to nie można uznać, że organ pozostawał w bezczynności co do udostępnienia skarżącemu żądanej przez niego informacji publicznej.

2. Skargę kasacyjną od powyższego wyroku wywiódł J. M.. Zaskarżonemu wyrokowi zarzucił naruszenie:

a) przepisów postępowania, którego uchybienie miało istotny wpływ na wynik sprawy tj.: art. 151 p.p.s.a. w zw. z art. 77 § 1 ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego (Dz.U. z 2023 r. poz. 775 dalej: "k.p.a.") w zw. z art. 80 k.p.a. w zw. z art. 107 § 3 k.p.a. - poprzez błędną ocenę i pominięcie zgromadzonego w sprawie materiału dowodowego, w tym przedłożonych przez skarżącego wydruków wysłania wiadomości z adresu mailowego skarżącego na dwa adresy należące do organu, wskazujące na wysłanie wniosku, który następnie dotarł do organu, co doprowadziło do uznania, że wniosek o udostępnienie informacji publicznej nie dotarł do organu, a tym samym nie można było udzielić informacji publicznej, co skutkowało oddaleniem skargi,

b) przepisów prawa materialnego, tj. art. 61 ust. 1 Konstytucji w zakresie w jakim przepis ten stanowi podstawę do uzyskiwania informacji publicznej, poprzez jego niewłaściwe zastosowanie polegające na nieudzieleniu skarżącemu informacji publicznej, o którą wnioskował,

c) przepisów prawa materialnego, tj. art. 10 ust. 1 u.d.i.p. poprzez jego błędną wykładnię i przyjęcie, że przywołany przepis zawiera normę ograniczającą udzielenie informacji publicznej na wniosek, z uwagi na konieczność zapewnienia bezpieczeństwa cyfrowego obywateli i instytucji publicznych,

d) przepisów prawa materialnego, tj. art. 13 ust. 1 u.d.i.p. poprzez jego niewłaściwe zastosowanie (brak zastosowania tego przepisu), w sytuacji, gdy organ pozostawał w bezczynności, bowiem nie udzielił odpowiedzi na wniosek o udostępnienie informacji publicznej w ustawowym terminie.

Podnosząc powyższe zarzuty wniósł o uchylenie zaskarżonego orzeczenia w całości i przekazanie sprawy do ponownego rozpoznania Wojewódzkiemu Sądowi Administracyjnemu w Gdańsku, zasądzenie kosztów postępowania, w tym kosztów zastępstwa procesowego, wg nom przepisanych.

Skarżący kasacyjnie zrzekł się rozprawy.

W uzasadnieniu skargi kasacyjnej nie zgodził się ze stanowiskiem Sądu I instancji zaprezentowanym w zaskarżonym wyroku, twierdząc, że prowadzi ono do sytuacji, w której "prawo do wnioskowania o informację publiczną za pomocą poczty elektronicznej (e-mail) byłoby iluzoryczne, którego skuteczność zależna byłaby od arbitralnej woli organu. Zdaniem skarżącego kasacyjnie, godziłoby to w regulacje konstytucyjne, wymagające zapewnienia sprawności działania władz publicznych (preambuła Konstytucji), jak też dostępność informacji publicznej (art. 61 ust. 1 Konstytucji). Skarżący kasacyjnie zwrócił uwagę, że wniosek o udostępnienie informacji publicznej został wysłany na dwa adresy organu, w tym jeden zamieszczony na jego oficjalnej stronie internetowej. Skarżący kasacyjnie stwierdził również, że Sąd I instancji pominął również fakt, że moment wysłania wiadomości elektronicznej stanowi jednocześnie moment otrzymania wiadomości przez adresata. Do obowiązków organu administracji publicznej należy taka konfiguracja poczty elektronicznej, w tym filtrów antyspamowych, oraz takie zorganizowanie obsługi technicznej poczty elektronicznej organu, aby zapewnić bezproblemowy i niezwłoczny odbiór przesłanych na ten adres podań. Zdaniem skarżącego kasacyjnie, brak wskazania przez Sąd I instancji w orzeczeniu faktów uznanych za udowodnione (tj. faktu, że wniosek dotarł do organu), poprzez dowody z wydruków wysłania wniosku przez skarżącego na dwa adresy organu, a także brak uznania tych dowodów za wiarygodne, pominięcie ich, doprowadziło do błędnej oceny dokonanej przez Sąd, co skutkowało oddaleniem skargi w całości, a tym samym naruszeniem wskazanych wyżej przepisów procesowych.

4. W odpowiedzi na skargę kasacyjną Generalny Dyrektor Dróg Krajowych i Autostrad wniósł o jej oddalenie. Organ zrzekł się rozprawy.

Argumentując swoje stanowisko wskazał, że wysłana przez skarżącego wiadomość, z uwagi na program z jakiego on korzystał oraz sposób przypisywania wiadomościom adresu nadawczego, została zatrzymana przed przyjęciem przez serwer odbiorcy na kwarantannie i ostatecznie pomimo przejścia przez kwarantannę nie została prawidłowo pobrana. Nie można zatem w przypadku mówić o tym, aby organ nie dopełnił jakichkolwiek obowiązków, czy też posiadał skonfigurowane systemy w sposób ograniczający dostęp do nich (poprzez wysyłanie wiadomości e-mail) dla wnioskodawców, albowiem nie zostało wykazane, że do braku doręczenia wiadomości doszło z przyczyn leżących po stronie systemu informatycznego organu, a wiadomość skarżącego została poprawnie wysłana, żaden z przedłożonych przez skarżącego dowodów tego nie potwierdzał. Zdaniem organu w tak nietypowej i skomplikowanej sytuacji, z pewnością nie można zastosować prostej reguły, że ryzyko nieodebrania, czy też nieodczytania przez organ wysłanej do niego przy użyciu poczty elektronicznej korespondencji, skierowanej na oficjalnie podany adres elektroniczny organu, w każdej sytuacji obciąża organ, należy bowiem również wziąć po uwagę kwestię prawidłowej wysyłki po stronie skarżącego, gdzie sama widoczność wiadomości w wiadomościach wysłanych nie potwierdza rzeczywistego i skutecznego jej wysłania na poziomie serwera, tego zaś skarżący nie wykazał, do czego był zobowiązany, zwłaszcza w sytuacji, gdy organ zaprzeczał otrzymaniu wiadomości oraz przedstawił na powyższe stosowne dowody.

Organ wskazał również, że art. 10 u.d.i.p., którego naruszenie skarżący zarzuca organowi, reguluje wnioskowy tryb uzyskiwania informacji publicznej nieudostępnionej w BIP oraz zawiera uprawnienie do jej udostępniania w formie ustnej lub pisemnej bez pisemnego wniosku i nie odnosi się do istoty rozpoznawanej sprawy, co oznacza, iż przepis ten nie mógł zostać naruszone przez Sąd przy wydawaniu skarżonego wyroku. Również art. 13 u.d.i.p. nie odnosi się do podstaw faktycznych i prawnych orzekania przez Sąd co oznacza, że zarzuty w tym zakresie również nie mogą być skuteczne. Przedmiotem regulacji tego przepisu jest termin udzielenia informacji publicznej na wniosek jednostki, a tym samym w drodze zarzutu naruszenia tego przepisu nie jest możliwe kwestionowanie poprawności ustaleń faktycznych w zakresie złożenia przez skarżącego wniosku o udostępnienie informacji publicznej, co zdaniem organu czyni również ten zarzuty niezasadnym.

Naczelny Sąd Administracyjny zważył, co następuje.

Zarzuty podniesione w skardze kasacyjnej okazały się niezasadne.

1. Stosownie do art. 183 § 1 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (t.j. Dz. U. z 2024 r. poz. 935; dalej: "p.p.s.a.") Naczelny Sąd Administracyjny rozpoznaje sprawę w granicach skargi kasacyjnej, biorąc pod rozwagę z urzędu jedynie nieważność postępowania. W rozpoznawanej sprawie nie zachodzi żadna z okoliczności skutkujących nieważnością postępowania, o jakich mowa w art. 183 § 2 p.p.s.a. i nie zachodzi żadna z przesłanek, o których mowa w art. 189 p.p.s.a., które Naczelny Sąd Administracyjny rozważa z urzędu dokonując kontroli zaskarżonego skargą kasacyjną wyroku. W tych okolicznościach w sprawie badaniu podlegały wyłącznie zarzuty podniesione w skardze kasacyjnej na uzasadnienie przytoczonych podstaw kasacyjnych.

Naczelny Sąd Administracyjny kontroluje więc zgodność zaskarżonego orzeczenia z prawem materialnym i procesowym w granicach skargi kasacyjnej. Granice te są wyznaczone wskazanymi w niej podstawami, którymi - zgodnie z art. 174 p.p.s.a. - może być naruszenie prawa materialnego przez błędną jego wykładnię lub niewłaściwe zastosowanie (art. 174 pkt 1 p.p.s.a.) albo naruszenie przepisów postępowania, jeżeli uchybienie to mogło mieć istotny wpływ na wynik sprawy (art. 174 pkt 2 p.p.s.a.). Związanie Naczelnego Sądu Administracyjnego granicami skargi kasacyjnej polega na tym, że jest on władny badać naruszenie jedynie tych przepisów, które zostały wyraźnie wskazane przez stronę skarżącą i nie może we własnym zakresie konkretyzować zarzutów skargi kasacyjnej, uściślać ich ani w inny sposób korygować.

2. W ocenie Naczelnego Sądu Administracyjnego, na gruncie niniejszej sprawy nie pozostaje sporny ustalony przez Sąd I instancji stan faktyczny.

Skarżący 3 sierpnia 2023 r. wysłał do gdańskiego oddziału Generalnej Dyrekcji Dróg Krajowych i Autostrad na adres: sekretariat_gdansk@gddkia.gov.pl wniosek o przesłanie lub udostępnienie wersji elektronicznej projektu organizacji ruchu dla drogi ekspresowej S6 na odcinku stanowiącym obwodnicę Słupska. Skarżący korzystał z darmowego programu Thunderbird od Mozillli, który nie posiada własnego serwera wysyłkowego. To oznacza, że wykorzystuje usługi innych operatorów (wp.pl, onet.pl, gmail.com, proton itd.) i w konsekwencji powoduje, że to, iż wiadomość jest widoczna, jako wysłana dla programu skarżącego, ale nie przesądza, ani nie potwierdza, że została ona w pełni poprawnie wysłana z poziomu serwera wysyłkowego. Adres wysyłkowy wygenerowany przez system jako: wniosek-fofnyi.frkwtl@nozbe.email z uwagi na jego konstrukcję mógł zostać i prawdopodobnie został zablokowany na etapie weryfikacji bezpieczeństwa korespondencji mailowej przez systemy bezpieczeństwa, z których korzysta organ, chroniące jego system informatyczny przed spamem, phishingiem i spooferami w skrzynkach pocztowych, ale również przed nieuprawnionym dostępem i kradzieżą danych oraz zainfekowaniem. Wysłana przez skarżącego przesyłka elektroniczna została zatrzymana przed przyjęciem przez serwer odbiorcy na "kwarantannie" i ostatecznie przez tę "kwarantannę" nie została przepuszczona. W ten sposób zadziałał najprawdopodobniej system zabezpieczający pocztę elektroniczną organu, który zapobiegł temu, by przesyłka dostała się na serwer odbiorcy. Przesyłkę tę system zabezpieczający uznał zatem za potencjalnie niebezpieczną.

Termin na udostępnienie informacji publicznej upłynął (zgodnie z art. 13 ust. 1 u.d.i.p.) z dniem 17 sierpnia 2023 r., czyli po 14 dniach od dnia otrzymania wniosku (tj. 3 sierpnia 2023 r.). Skarżącemu nie została udzielona odpowiedź na wniosek o udostępnienie informacji publicznej, zarówno w ustawowym terminie, określonym w art. 13 ust. 1 u.d.i.p., a także do dnia sporządzenia skargi na bezczynność organu.

W takich okolicznościach faktycznych, zdaniem Sądu I instancji, konieczność zapewnienia bezpieczeństwa cyfrowego obywateli i instytucji publicznych stoi na przeszkodzie, by sam dowód wysłania wniosku o udostępnienie informacji publicznej na podstawie art. 10 ust. 1 u.d.i.p. pocztą elektroniczną mógł być uznawany za potwierdzenie, że wniosek taki dotarł do adresata w sposób umożliwiający zapoznanie się z nim, jeśli przedstawione przez tego adresata dane z jego konta pocztowego okoliczności tej nie potwierdzają. W ocenie Sądu I instancji, ciężar wykazania doręczenia - złożenia wniosku - w razie zaistnienia sporu co do tego faktu - spoczywa na wnioskodawcy, który wywodzi z niego określone skutki prawne.

3. Zdaniem Naczelnego Sądu Administracyjnego, w pełni prawidłowe jest stanowisko Sądu I instancji. W związku z tym zarzuty skargi kasacyjnej (do których ze względu na komplementarny charakter należało odnieść się łącznie) wskazujące na naruszenie art. 151 p.p.s.a. w zw. z art. 77 § 1 k.p.a., art. 80 k.p.a., art. 107 § 3 k.p.a. a także art. 61 ust. 1 Konstytucji i art. 10 ust. 1 u.d.i.p. oraz art. 13 ust. 1 u.d.i.p. – są niezasadne z kilku podstawowych przyczyn.

Naczelny Sąd Administracyjny w składzie rozpoznającym sprawę, dostrzega dotychczasowe i jednolite orzecznictwo jakie pojawiło się na tle analizowanego w sprawie problemu. Przypomnieć można, że komunikacja elektroniczna stanowi narzędzie powszechnie wykorzystywane w życiu codziennym przez współczesne społeczeństwo informacyjne. Jest też coraz bardziej powszechnie wykorzystywana w administracji publicznej. W dotychczasowym orzecznictwie sądów administracyjnych wskazuje się, że:

- złożenie wniosku o udostępnienie informacji publicznej pocztą elektroniczną (e-mail) do podmiotu wymienionego w art. 4 ust. 1 pkt 5 u.d.i.p., wywołuje obowiązek działania, o którym mowa w art. 13 ust. 1 i 2 u.d.i.p. w terminie tam zakreślonym; rzeczą organu jest posiadanie takiego systemu poczty elektronicznej, który umożliwi odebranie każdej elektronicznej przesyłki, mogącej potencjalnie zawierać wniosek o udostępnienie informacji publicznej; jeżeli wiadomość została prawidłowo nadana na oficjalny adres poczty elektronicznej organu, to oznacza, że dotarła ona do adresata; potwierdzenie faktu wysłania wiadomości pozwala przenieść ciężar dowodu, że wniosek nie został doręczony, na organ administracji, na którego adres poczty elektronicznej skierowany został wniosek (por. wyrok WSA w Krakowie z 4 grudnia 2024 r., sygn. akt II SAB/Kr 183/24);

- ryzyko nieodebrania czy też nieodczytania przez organ wysłanego do niego przy użyciu poczty elektronicznej wniosku, skierowanego na oficjalnie podany adres poczty elektronicznej organu, obciąża ten organ, a nie skarżącego (por. wyrok NSA z 19 maja 2017 r. sygn. akt I OSK 2589/15);

- dla zastosowania domniemania odebrania wniosku kluczowe jest ustalenie, czy wniosek został w ogóle wysłany drogą elektroniczną (por. wyrok NSA z 16 września 2016 r., sygn. akt I OSK 1924/16);

- jeżeli wiadomość została prawidłowo nadana na oficjalny adres poczty elektronicznej organu, oznacza to, że dotarła ona do adresata; odmienne zapatrywanie sprawiałoby bowiem, że w praktyce prawo do wnioskowania o informację publiczną za pomocą poczty elektronicznej byłoby pozostawione w gruncie rzeczy dowolnemu uznaniu pracowników organu a jego skuteczność zależna byłaby od arbitralnej woli organu (por. wyrok WSA w Białymstoku z 2 grudnia 2022 r., sygn. akt II SAB/Bk 103/22);

- do obowiązków organu administracji publicznej należy zatem takie przygotowanie informatyczne poczty elektronicznej (w tym filtrów antyspamowych) oraz takie zorganizowanie obsługi technicznej poczty elektronicznej organu, aby zapewnić bezproblemowy i niezwłoczny odbiór przesłanych na ten adres podań (por. np. postanowienie NSA z 10 września 2015 r. sygn. akt I OSK 1968/15, wyrok NSA z 27 maja 2020 r. sygn. akt I OSK 1622/19);

- potwierdzenie faktu wysłania wiadomości pozwala przenieść ciężar dowodu, że wniosek nie został doręczony, na organ administracji, na którego adres poczty elektronicznej skierowany został wniosek; odmienne zapatrywanie prowadziłoby w praktyce do sytuacji, w której prawo do wnioskowania o informację publiczną za pomocą poczty elektronicznej byłoby iluzoryczne, a jego skuteczność zależna od arbitralnej woli organu (por. wyrok NSA z 13 grudnia 2019 r. sygn. akt I OSK 1890/18; wyrok NSA z 31 marca 2019 r. sygn. akt I OSK 708/17);

- do obowiązków organu administracji publicznej należy taka konfiguracja i zabezpieczenie poczty elektronicznej, w tym filtrów antyspamowych, oraz takie zorganizowanie obsługi technicznej poczty elektronicznej organu - aby zapewnić bezproblemowy i niezwłoczny odbiór przesyłanych na ten adres podań, wobec prawnej dopuszczalności ich wnoszenia także drogą elektroniczną (zob. postanowienie NSA z 10 września 2015 r., sygn. akt I OSK 1968/15; postanowienie NSA z 3 listopada 2015 r., sygn. akt I OSK 1940/15; postanowienie NSA z 18 listopada 2015 r., sygn. akt I OSK 2897/15);

- skutki trudności, błędów czy nieprawidłowości w zakresie kształtowania i obsługiwania przez organy administracji publicznej oficjalnych systemów służących do komunikacji z tymi organami (np. poczty elektronicznej, systemu ePUAP) nie mogą być przerzucane na korzystających z tych systemów (zob. postanowienie NSA z 5 listopada 2015 r., sygn. akt I OZ 1414/15).

5. Naczelny Sąd Administracyjny w składzie rozpoznającym sprawę wskazuje, że dotychczasowe orzecznictwo rozwinęło się jednak w zupełnie innych warunkach technologicznych, informatycznych i geopolitycznych. Były to czasy intensywnego rozwoju usług informatycznych związanych z coraz bardziej powszechnym dostępem obywateli do internetu. Rozwiązania takie miały na celu ułatwienie korzystania z dostępności technologicznej do informacji publicznych będących w posiadaniu organów. Aktualnie jednak sytuacja jest zupełnie odmienna a narzędzia informatyczne są coraz bardziej skomplikowane i powszechne a wręcz wszechobecne.

Rację ma Sąd I instancji twierdząc, że: "(...) gwałtowny rozwój technologii cyfrowych, który w ostatnich latach objął każdą niemal dziedzinę życia pociągnął za sobą także eskalację nielegalnych działań (tzw. cyberprzestępczości), mających na celu między innymi przejęcie różnego rodzaju baz danych, obejmujących między innymi dane osobowe czy inne dane mogące posłużyć w celach przestępczych takich jak kradzież środków z kont bankowych, udostępnianie informacji niejawnych osobom nieupoważnionym, oszustwa i szantaże. Pojawiło się ponadto zjawisko wojny hybrydowej, której jednym z instrumentów są ataki hakerskie z zagranicy skierowane wobec systemów informatycznych instytucji publicznych, mające na celu zdezorganizowanie czy uniemożliwienie działania tych instytucji. Chodzi tu już nie tylko o działania mogące mieć wpływ na prywatność i majątek poszczególnych osób, ale także takie które mogą wpłynąć na przykład na bezpieczeństwo w komunikacji publicznej czy zaopatrzenie ludności w energię elektryczną i cieplną. Do wiedzy powszechnie dostępnej należy to, że częstym, a może nawet najczęstszym środkiem używanym jako instrument ataków hakerskich są odpowiednio spreparowane przesyłki poczty elektronicznej".

Zasadnie twierdzi również Sąd I instancji, że: "(...) w ślad za rozwojem coraz bardziej wyrafinowanej technologii stosowanej przez osoby i podmioty prowadzące nielegalną działalność w Internecie podążać muszą podmioty administrujące danymi chronionymi, a w tym w szczególności instytucje publiczne. Są one nie tylko uprawnione, ale i zobowiązane, by podejmować wszelkie działania mające na celu ochronę posiadanych danych i zapewnienie im bezpiecznego, sprawnego działania, pomimo możliwych ataków hakerskich. Ochrona przed zagrożeniem tego rodzaju wymaga stosowania profesjonalnych, opracowanych przez wyspecjalizowane firmy zewnętrzne zabezpieczeń, uniemożliwiających przeniknięcie przez podmioty nieuprawnione do stosowanych w tych instytucjach systemów informatycznych".

Nie ulega wątpliwości, że w niniejszej sprawie skarżący wysłał wniosek zawierający wniosek o informację publiczną na oficjalny adres organu administracyjnego poczty elektronicznej, tj.: sekretariat_gdansk@gddkia.gov.pl.

Podany na stronie organu oficjalny adres poczty elektronicznej umożliwia kontakt z organem we wszelkich sprawach. Na adres ten może trafiać wiele listów elektronicznych, zróżnicowanych próśb, zawiadomień i innych wniosków lub skarg obywateli. Z doświadczenia życiowego wynika, że tylko część z takich wniosków podlega dalszemu procedowaniu (i to w różnych trybach). Z kolei część z nich może być potraktowana jako tzw. spam lub może zostać przekazywana właśnie na "kwarantannę". To właśnie rozwój technologii informatycznych i opisane wcześniej zagrożenia związane z przestępczością cybernetyczną lub celowym działaniami polegającym na "zainfekowaniu" systemów informatycznych – powodują konieczność reagowania organów państwa w tym zakresie. Sytuacja taka jest w obecnych czasach zupełnie zrozumiała i akceptowalna nawet dla osób nie posiadających odpowiednich kwalifikacji w dziedzinie informatyki.

Oczywistym przy tym pozostaje to, że obowiązkiem organu jest przestrzeganie obowiązujących przepisów prawa (art. 7 Konstytucji), a w konsekwencji takie zorganizowanie swojej pracy i zatrudnienia, aby obowiązek ten - także w zakresie przepisów ustawy o dostępie do informacji publicznej - był zrealizowany. W dzisiejszych czasach odpowiednie "skonfigurowanie zasad odbioru poczty elektronicznej" nie jest wystarczającym środkiem, który umożliwiałby podmiotom publicznym bezpieczne odebranie i odczytanie każdej przesyłki nadesłanej pocztą elektroniczną, która potencjalnie mogłaby zawierać wniosek o udostępnienie informacji publicznej. Organy administracji publicznej dysponują szeregiem możliwych instrumentów prawnych i technicznych aby minimalizować zagrożenia związane z przestępczością internetową oraz atakami hakerskimi. Oczywiście, że w tym zakresie konieczne są także dodatkowe rozwiązania prawne, infrastrukturalne i finansowe (np. potraktowanie budżetów na bezpieczeństwo IT jako inwestycję, a nie koszt). W tym zakresie zostały także wprowadzone w Polsce Narodowe Standardy Cyberbezpieczeństwa (tj. zbiór rekomendacji standaryzujących rozwiązania zabezpieczające w sieciach i systemach informacyjnych wykorzystywanych przez podmioty chcące efektywnie zarządzać systemami bezpieczeństwa informacji). Standardy te zostały przyporządkowane obowiązującym w polskim systemie prawnym normom stosowanym w zarządzaniu bezpieczeństwem informacji przez podmioty krajowego systemu cyberbezpieczeństwa, w tym podmioty realizujące zadania publiczne, operatorów usług kluczowych i dostawców usług cyfrowych (por. https://www.gov.pl/web/baza-wiedzy/narodowe-standardy-cyber).

Naczelny Sąd Administracyjny w składzie rozpoznającym sprawę wskazuje, że obowiązkiem organów administracji jest takie skonfigurowanie "dostępowych" systemów informatycznych aby organy te mogły skutecznie działać i realizować swoje zadania. Temu też służą najnowsze rozwiązania prawne przewidziane w następujących ustawach:

a) z dnia 28 lipca 2023 r. o zwalczaniu nadużyć w komunikacji elektronicznej (Dz.U. z 2024 r. poz. 1803; dalej: "z.n.k.e.");

b) z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (Dz.U. z 2024 r. poz. 1077; dalej: "k.s.c.")

Ustawa z.n.k.e. określa między innymi obowiązki dostawcy poczty elektronicznej oraz podmiotu publicznego związane ze świadczeniem i korzystaniem z poczty elektronicznej w celu zapobiegania nadużyciom w komunikacji elektronicznej (art. 1 pkt 6 z.n.k.e.). Wskazuje się, że zakazane są nadużycia w komunikacji elektronicznej, w szczególności polegające na nieuprawnionej zmianie informacji adresowej (jest to niezgodne z prawem modyfikowanie informacji adresowej uniemożliwiające albo istotnie utrudniające ustalenie, przez uprawnione podmioty lub przedsiębiorców telekomunikacyjnych uczestniczących w dostarczeniu komunikatu elektronicznego, informacji adresowej użytkownika wysyłającego komunikat elektroniczny – por. art. 3 ust. 1 pkt 4 z.n.k.e.). Dodatkowo należy wskazać, że przedsiębiorca telekomunikacyjny jest obowiązany do podejmowania proporcjonalnych środków organizacyjnych i technicznych mających na celu zapobieganie nadużyciom w komunikacji elektronicznej i ich zwalczanie (art. 3 ust. 3 z.n.k.e.). Przedsiębiorca telekomunikacyjny jest to podmiot rozumieniu art. 2 pkt 40 ustawy z dnia 12 lipca 2024 r. - Prawo komunikacji elektroniczne (Dz.U. z 2024 r. poz. 1221), czyli przedsiębiorca lub inny podmiot uprawniony do wykonywania działalności gospodarczej na podstawie odrębnych przepisów, który wykonuje działalność gospodarczą polegającą na dostarczaniu publicznej sieci telekomunikacyjnej, świadczeniu powiązanych usług lub świadczeniu publicznie dostępnych usług telekomunikacyjnych, przy czym przedsiębiorca telekomunikacyjny, uprawniony do: a) świadczenia publicznie dostępnych usług telekomunikacyjnych, b) dostarczania publicznej sieci telekomunikacyjnej lub świadczenia powiązanych usług.

Podkreślić trzeba, że z uzasadnienia projektu do ustawy z.n.k.e. wynika, między innymi że regulacje te mają służyć stworzeniu odpowiednich ram prawnych do podejmowania działań w zakresie zapobiegania nadużyciom w komunikacji elektronicznej przez przedsiębiorców telekomunikacyjnych, a w dalszej perspektywie pozwolą w większym stopniu niż obecnie ograniczyć skalę nadużyć i chronić bezpieczeństwo użytkowników. Ustawa z.n.k.e. ma na celu wdrożenie art. 97 ust. 2 dyrektywy Parlamentu Europejskiego i Rady (UE) 2018/1972 z dnia 11 grudnia 2018 r. ustanawiającej Europejski kodeks łączności elektronicznej (Dz. Urz. UE L 321 z 17.12.2018, str. 36, ze zm.), zgodnie z którym organy mogą wymagać od podmiotów udostępniających publiczne sieci łączności elektronicznej lub świadczących publicznie dostępne usługi łączności elektronicznej zablokowania w indywidualnych przypadkach dostępu do numerów lub usług, w przypadku gdy jest to uzasadnione ze względu na oszustwo lub nadużycie. Szybki wzrost liczby tego typu przestępstw oraz fakt, że regulowana materia znajduje się na styku dziedziny prawa telekomunikacyjnego i wyodrębniającego się materialnego prawa administracyjnego z zakresu cyberbezpieczeństwa, sprawia, że konieczne było ujęcie tego zagadnienia w odrębnej ustawie.

W ocenie NSA w składzie rozpoznającym sprawę, wskazane zagrożenia nie tyle potencjalnie umożliwiają określone działania, co wręcz nakładają obowiązek na organy odpowiedniego skonfigurowania systemów informatycznych (w tym między innymi najbardziej popularnych skrzynek e-mail). Nie oznacza to automatycznie naruszenia art. 61 Konstytucji. Konstytucyjne prawo do informacji publicznej winno służyć jak najszerszemu obywatelskiemu dostępowi do danych publicznych. Zatem normy regulujące zarówno tryb, jak i zasady dostępu do informacji publicznej winny być wykładane z poszanowaniem podstawowej reguły in dubio pro libertate. Zasada jawności życia publicznego i transparentności działań władzy publicznej, które to zasady legły u podstaw obywatelskiego prawa do informacji publicznej, realizowanego w trybie przepisów ustawy o dostępie do informacji publicznej, mają bowiem sprzyjać sprawowaniu społecznej kontroli przez wszystkich obywateli (por. wyrok WSA w Krakowie z 12 września 2016 r., sygn. akt II SA/Kr 747/16).

Przypomnieć należy, że wniosek o udzielenie informacji publicznej może przybrać każdą formę, o ile wynika z niego jasno, co jest przedmiotem tego wniosku. U.d.i.p. nie precyzuje bowiem formy w jakiej wniosek powinien zostać złożony. Oznacza to, że dopuszczalne są w tym zakresie wszelkie formy komunikacji. Niemniej jednak warunkiem udzielenia informacji publicznej, jest skuteczne doręczenie organowi wniosku o udostępnienie określonej informacji publicznej (por. wyrok WSA w Gorzowie Wielkopolskim z 4 marca 2020 r., sygn. akt II SAB/Go 176/19). Za wniosek pisemny uznawać należy również przesłanie zapytania pocztą elektroniczną lub w systemie ePUAP.

W ocenie NSA, w obecnych czasach nie ma żadnych przeszkód aby złożyć wniosek o udzielenie informacji publicznej przez ePUAP lub w zwykłej formie pisemnej. Tym bardziej, że wygenerowane za pośrednictwem platformy ePUAP poświadczenie doręczenia stanowi dowód na realną możliwość zapoznania się adresata z treścią pisma. Poświadczenie doręczenia jest niezaprzeczalnym urzędowym poświadczeniem odbioru. Rozwiązania techniczne systemu doręczeń za pośrednictwem platformy ePUAP zapewniają niezaprzeczalność urzędowego poświadczenia odbioru (por. wyrok NSA z 15 marca 2017 r., sygn. akt I OSK 1729/15). W tych przypadkach znacznie ułatwiona jest identyfikacja samego wnioskodawcy oraz sam fakt "doręczenia wniosku organowi" co przecież dopiero uruchamia odpowiednią procedurę wynikającą z u.d.i.p. W tym kontekście warto przywołać wyrok NSA z 18 grudnia 2024 r. sygn. akt III OSK 1602/24, gdzie wskazuje się również na to, że nietrafne jest stanowisko, że: "(...) w istocie każdy niepodpisany wniosek o udostępnienie informacji publicznej złożony drogą e-mail identyfikuje w sposób bezpośredni jego autora, gdyż identyfikatorem jest właśnie adres e-mail, z którego nadano wniosek. Nie można bowiem uznać, że adres e-mail, który w żaden sposób nie identyfikuje bądź nie odzwierciedla imienia i nazwiska osoby fizycznej (odpowiednio nazwy w przypadku osób prawnych oraz innych jednostek organizacyjnych) - autora wniosku, zawsze zawiera cechy w pełni identyfikujące dany podmiot (autora wniosku dostępowego), gdyż w takiej sytuacji swoistym identyfikatorem jest właśnie ten adres". Dodatkowo NSA wskazał, że: "(...) udostępnienie informacji publicznej zwrotnie na adres e-mail, z którego przesłano wniosek nie determinuje stanu pewności, że informacja ta trafiła do podmiotu, który w świetle obowiązujących przepisów jest uprawniony do realizacji podmiotowego prawa dostępu do informacji publicznej. Standardy związane z procedurą dostępu do informacji publicznej muszą bowiem gwarantować adresatowi wniosku dostępowego pewność, że informacja jest udostępniania wyłącznie temu podmiotowi, który o nią wnioskował." NSA składzie rozpoznającym sprawę w pełni akceptuje takie stanowisko.

Zatem wniosek elektroniczny złożony na adres e-mail organu może nieść ze sobą ryzyko braku doręczenia takiego wniosku do organu (tj. potencjalnego trafienia do folderu "spam" lub na "kwarantannę"). Rację ma Sąd I instancji, że konieczność zapewnienia bezpieczeństwa cyfrowego obywateli i instytucji publicznych stoi na przeszkodzie, by sam dowód wysłania wniosku o udostępnienie informacji publicznej na podstawie art. 10 ust. 1 u.d.i.p. pocztą elektroniczną mógł być uznawany za potwierdzenie, że wniosek taki dotarł do adresata w sposób umożliwiający zapoznanie się z nim, jeśli przedstawione przez tego adresata dane z jego konta pocztowego okoliczności tej nie potwierdzają. W takiej sytuacji, ciężar wykazania doręczenia – tj. złożenia wniosku - w razie zaistnienia sporu co do tego faktu - spoczywa na wnioskodawcy, który wywodzi z niego określone skutki prawne. W niniejszej sprawie mamy bowiem do czynienia ze "zderzeniem" dwóch wartości: szeroko pojętego bezpieczeństwa informatycznego państwa, jako dobra wspólnego wszystkich obywateli (art. 1 Konstytucji) oraz prawa obywateli do dostępu do informacji publicznej (art. 61 Konstytucji). Przypomnieć również należy, że prawo do informacji publicznej nie jest prawem bezwzględnym i może podlegać ograniczeniu ze względu na określone w ustawach ochronę wolności i praw innych osób i podmiotów gospodarczych oraz ochronę porządku publicznego, bezpieczeństwa lub ważnego interesu gospodarczego państwa. Ograniczając sferę wolności konstytucyjnej obywatela, przepis ustawy musi czynić to w sposób, który przede wszystkim nie naruszy jej istoty i nie spowoduje zachwiania relacji konstytucyjnego dobra, które jest ograniczane do celu, jaki temu przyświeca (por. wyrok WSA w Opolu z 4 lipca 2018 r., sygn. akt II SAB/Op 58/18). Zatem nie będzie konstytucyjnym ograniczeniem prawa do informacji sytuacja w której wniosek elektroniczny wysłany przez daną osobę (a być może generowany w sposób sztuczny) na adres e-mail organu będzie podlegał sprawdzeniu pod katem zagrożeń związanych z cyberbezpieczeństwem. W takiej sytuacji ciężar wykazania doręczenia takiego wniosku w razie zaistnienia sporu co do tego faktu (tj. zablokowania owego wniosku w folderze "spam" czy przesłania pliku na "kwarantannę") - spoczywa na wnioskodawcy, który wywodzi z niego określone skutki prawne. Dopiero bowiem wniosek prawidłowo doręczony (przekazany) do organu wywołuje wskazane w u.d.i.p. określone skutki prawne i obowiązki po stronie organów administracji. W sytuacji złożenia wniosku w formie elektronicznej na oficjalny adres mailowy organu to wnioskodawca powinien dochować należytej staranności i upewnić się, że ów wniosek – po sprawdzeniu ewentualnych zagrożeń informatycznych – został w sposób prawidłowy "doręczony" organowi administracji. Sytuacja taka – co warto podkreślić – nie występuje w przypadku złożenia wniosku w zwykłej formie pisemnej i przesłania w systemie ePUAP. Z powszechnie dostępnych publikacji (por. K. Gawkowski, Wpływ nowoczesnych technologii informatycznych na zdrowie i jakość życia człowieka, Prace naukowe Akademii im. Jana Długosza w Częstochowie, Technika, Informatyka, Inżynieria Bezpieczeństwa 2018, t. VI, s. 185–197) wynika, że codziennie atakowanych jest pięćset tysięcy stron internetowych i generuje się ponad trzydzieści mld maili o charakterze spamu. Dodatkowo warto podkreślić, że odnotowuje się kilkaset istotnych włamań do systemów teleinformatycznych. Są to więc zagrożenia realne a nie tylko potencjalne wymagające odpowiedniej reakcji.

3. Mając na uwadze podane argumenty, stwierdzić należy, że zarzuty skargi nie są uzasadnione i z tego powodu skarga kasacyjna nie zasługiwała na uwzględnienie. Dlatego też Naczelny Sąd Administracyjny, na podstawie art. 184 p.p.s.a., oddalił skargę kasacyjną.