Centralna Baza Orzeczeń Sądów Administracyjnych

Naczelny Sąd Administracyjny w składzie: Przewodniczący: Sędzia NSA Przemysław Szustakiewicz Sędziowie: Sędzia NSA Teresa Zyglewska Sędzia del. WSA Paweł Mierzejewski (spr.) Protokolant: starszy asystent sędziego Joanna Ukalska po rozpoznaniu w dniu 29 lutego 2024 r. na rozprawie w Izbie Ogólnoadministracyjnej skargi kasacyjnej Wspólnoty Mieszkaniowej [...] od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 23 lipca 2020 r. sygn. akt II SA/Wa 2316/19 w sprawie ze skargi G.D. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia 23 lipca 2019 r. nr ZSPU.440.205.2019.GŻ.I. w przedmiocie przetwarzania danych osobowych 1. oddala skargę kasacyjną; 2. zasądza od Wspólnoty Mieszkaniowej [...] na rzecz skarżącego G.D. 240 (dwieście czterdzieści) złotych tytułem zwrotu kosztów postępowania kasacyjnego.

Wyrokiem z dnia 23 lipca 2020 r., sygn. akt II SA/Wa 2316/19, Wojewódzki Sąd Administracyjny w Warszawie w sprawie ze skargi G.D. (dalej jako "skarżący") na decyzję Prezesa Urzędu Ochrony Danych Osobowych (dalej jako "Prezes UODO") z dnia 23 lipca 2019 r. nr ZSPU.440.205.2019.GŻ.I. w przedmiocie przetwarzania danych osobowych, uchylił zaskarżoną decyzję oraz zasądził od Prezesa UODO na rzecz skarżącego 697 zł tytułem zwrotu kosztów postępowania sądowego.

Wyrok zapadł w następującym stanie faktycznym i prawnym.

14 lutego 2019 r. skarżący wystąpił do Prezesa UODO ze skargą na niezgodne z prawem przetwarzanie jego danych osobowych, a także naruszenie obowiązku informacyjnego przez Wspólnotę Mieszkaniową [...] (dalej: "uczestnik postępowania" albo "Wspólnota"). Skarżący wniósł o usunięcie jego danych osobowych przetwarzanych bez podstawy prawnej, zakazanie przetwarzania jego danych osobowych przy użyciu monitoringu wizyjnego budynku przy ul. Z. [...] w [...], a także nałożenie kary pieniężnej na administratora. W uzasadnieniu skargi skarżący podał, że uczestnik postępowania w dniu 21 listopada 2018 r. podjął uchwałę nr 10/2018 o zainstalowaniu monitoringu wizyjnego w ww. lokalizacji. Skarżący sprzeciwił się tej uchwale, podnosząc (w piśmie z dnia 29 listopada 2018 r.), że nie został w niej wskazany cel ani sposób przetwarzania danych osobowych za pomocą monitoringu wizyjnego. W dniu 1 stycznia 2019 r. skarżący zauważył, że założono monitoring. Wówczas w skierowanym do Wspólnoty piśmie z dnia 16 stycznia 2019 r. (data wpływu do uczestnika postępowania: 18 stycznia 2019 r.) ponownie wyraził swój sprzeciw wobec przetwarzania jego danych osobowych.

W odpowiedzi na ten sprzeciw Wspólnota (pismem z dnia 30 stycznia 2019 r.) poinformowała skarżącego, że monitoring będzie działał od dnia 1 lutego 2019 r., a więc w tej dacie rozpocznie się przetwarzanie danych. Ponadto informacja o zasadach i sposobie przetwarzania monitoringu została przekazana do wiadomości mieszkańców w dniu 29 stycznia 2019 r. za pośrednictwem Poczty Polskiej, drogą elektroniczną (mailem) oraz poprzez wywieszenie na tablicy ogłoszeń.

Skarżący podkreślił, że dopiero po jego sprzeciwie z dnia 16 stycznia 2019 r. Wspólnota postanowiła dopełnić obowiązku informacyjnego. Zaznaczył również, iż informacje: kto jest administratorem danych, inspektorem ochrony danych osobowych, jaki jest zasięg monitoringu powinny znajdować się w uchwale. Wedle dostarczonej skarżącemu informacji, na inspektora ochrony danych osobowych wyznaczono spółkę cywilną, co nie spełnia wymogów określonych w art. 37 ust. 5 i art. 39 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych; Dz. Urz. UE L 119 z 4 maja 2016 r., str. 1 ze zm.), dalej: "RODO".

Skarżący zarzucił też Wspólnocie naruszenie art. 5 ust. 1 (rzetelny i przejrzysty sposób przetwarzania danych osobowych), art. 12 (przejrzyste informowanie i przejrzysta komunikacja w zakresie przetwarzania danych osobowych) oraz art. 13 ust. 1 i ust. 2 RODO (pełna klauzula obowiązku informacyjnego). Ponadto wskazał, że uczestnik postępowania wywiesił (już po rozpoczęciu nagrywania) mało widoczną, czarno-białą tabliczkę, na której zamieszczono piktogram kamery oraz lakoniczną informację o administratorze danych osobowych.

W toku postępowania prowadzonego przez Prezesa UODO (zainicjowanego skargą skarżącego z dnia 14 lutego 2019 r.) Wspólnota w piśmie z 11 marca 2019 r. przedstawiła informację o sposobie funkcjonowania monitoringu wizyjnego. W tym zakresie podała, że od dnia 1 lutego 2019 r. prowadzi monitoring wizyjny (jedynie obraz) i przetwarza dane osobowe w postaci wizerunków osób przebywających w miejscach objętych zasięgiem monitoringu, tj.: wejście przez bramę główną, przedsionek przy skrzynkach na listy, podwórko ze śmietnikami, oba wejścia na dach. Nie jest objęte monitoringiem wejście do lokalu skarżącego. Wspólnota nie dokonała oceny skutków dla ochrony danych osobowych, ponieważ wdrożony monitoring wizyjny nie mieści się w wykazie rodzajów operacji przetwarzania danych osobowych wymagających oceny skutków przetwarzania dla ich ochrony, opublikowanym przez Prezesa UODO 17 sierpnia 2018 r. Wspólnota podała także, że podstawa prawna przetwarzania danych osobowych (określona w art. 6 ust. 1 lit. f RODO) wynika z prawnie usprawiedliwionych interesów administratora danych osobowych, gdyż służy zapewnieniu bezpieczeństwa osób i mienia w budynku przy ul. Z. [...] w [...] z uwagi na coraz częstsze kradzieże i wtargnięcia osób nieuprawnionych na dach. Dostęp do danych ma wyłącznie administrator danych osobowych, ewentualnie właściwe służby (policja, prokuratura, sąd) w przypadku dewastacji, kradzieży czy pojawienia się osób podejrzanych. W razie potrzeby będą też przekazywane osobom poszkodowanym. Nagrania będą przechowywane przez okres trzech miesięcy.

Przy piśmie z dnia 1 kwietnia 2019 r. Wspólnota przedłożyła organowi poświadczony odpis uchwały z dnia 21 listopada 2018 r. nr 10/2018 wraz z wynikami głosowania oraz odpis uchwały z dnia 4 sierpnia 2011 r. nr 8/2011 o wyborze Zarządu Wspólnoty.

Natomiast w piśmie nadanym 23 maja 2019 r. (data wpływu do organu: 28 maja 2019 r.) Wspólnota przedstawiła sposób przechowywania nagrań z monitoringu, przedłożyła potwierdzenie spełnienia obowiązku informacyjnego wobec skarżącego, jak również wyjaśniła w jaki sposób obowiązek ten spełniła względem pozostałych mieszkańców budynku przy ul. Z. [...] w [...]. Jednocześnie poinformowała, że 18 lutego 2019 r. zniszczono kamery monitoringu przez ich odcięcie od zasilania (przecięcie przewodu elektrycznego), przy czym sprawca nie został uchwycony przez kamery. Natomiast 16 marca 2019 r. doszło do ponownego zniszczenia (w ten sam sposób) naprawionych kamer, a monitoring zrejestrował sprawcę – skarżącego. 8 maja 2019 r. po raz kolejny został przecięty przewód elektryczny (w puszkach) od zasilania kamer przez skarżącego – jak wykazał monitoring. W dniu 21 marca 2019 r. uczestnik postępowania złożył zawiadomienie do Prokuratury Rejonowej [...] o możliwości popełnienia przestępstwa. W dalszej kolejności Wspólnota podała, iż 9 maja 2019 r. ok. godz. 22:10 doszło do celowego wywołania zwarcia instalacji elektrycznej, a także włamania do pomieszczenia, w którym znajduje się urządzenie rejestrujące oraz kradzieży tego sprzętu. Z uwagi na wcześniejsze zwarcie instalacji, monitoring nie zarejestrował sprawcy. W konsekwencji tego zdarzenia, Wspólnota nie prowadzi monitoringu wizyjnego. O tym ostatnim zdarzeniu zawiadomiła prokuraturę. Dodano, że w kwietniu i maju 2019 r., kiedy monitoring był sprawny, celowo zniszczono domofon, co uniemożliwiało wejście do budynku za pomocą kodu; kilkukrotnie zamykano bramę wejściową na klucz; dwukrotnie dochodziło do zwarcia instalacji elektrycznej, wskutek czego brak było prądu (w tym światła) na klatkach schodowych. W tym czasie skarżący samowolnie założył skobel na wejście do pomieszczenia z urządzeniem rejestrującym. Jednocześnie Wspólnota wyraziła zamiar zakupu nowego sprzętu rejestrującego oraz nowych drzwi do pomieszczenia, gdzie będzie znajdował się ten sprzęt.

Decyzją z dnia 23 lipca 2019 r. nr ZSPU.440.205.2019.GŻ.I. wydaną na podstawie art. 105 § 1 ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego (Dz. U. z 2020 r., poz. 256 ze zm.), dalej: "k.p.a.", w związku z art. 7 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r., poz. 1781) w związku z art. 57 ust. 1 lit. a) i lit. f) RODO, Prezes UODO, umorzył prowadzone postępowanie.

W uzasadnieniu wydanej decyzji organ przedstawił poczynione w sprawie następujące ustalenia faktyczne:

1) skarżący jest członkiem Wspólnoty;

2) uchwałą z 22 listopada 2018 r. nr 10/2018 Wspólnota podjęła decyzję o instalacji monitoringu w budynku przy ul. Z. [...] w [...]

3) w grudniu 2018 r. w budynku Wspólnoty został zainstalowany monitoring składający się z 16 kamer rejestrujących bramę wejściową do budynku, przedsionek przy skrzynkach na listy, podwórko ze śmietnikami, dwa wejścia na dach oraz poszczególne piętra kamienicy, monitorując wejścia do tych lokali, których właściciele lokali wyrazili taką wolę. Dane przechowywane są przez 3 miesiące od dnia ich utrwalenia w pomieszczeniu, do którego wstęp ma tylko Zarząd Wspólnoty. Nagrania z monitoringu udostępniane są organom ścigania, a w razie potrzeby poszkodowanym;

4) rejestrator monitoringu znajduje się w pomieszczeniu, o którym wiedzą wyłącznie członkowie Wspólnoty i które jest chronione zamkiem typu Yale. Dodatkowo rejestrator umieszczony jest w puszce ochronnej, do której klucz ma firma serwisująca urządzenie;

5) 18 stycznia 2019 r. skarżący złożył do Wspólnoty sprzeciw przeciwko instalacji monitoringu;

6) 28 stycznia 2019 r. Wspólnota spełniła wobec mieszkańców obowiązek informacyjny dotyczący przetwarzania ich danych osobowych w związku z instalacją monitoringu poprzez przesłanie pisma informacyjnego za pośrednictwem Poczty Polskiej, mailem oraz poprzez wywieszenie go na tablicy ogłoszeń przy bramie wejściowej;

7) jako inspektora danych osobowych Wspólnota wskazała L. Zarząd i Administracja Nieruchomości, ul. Z. [...], [...], który to podmiot jednocześnie pełni funkcję zarządcy nieruchomości przy ul. Z. [...] w K.;

8) w związku z włamaniem i kradzieżą sprzętu rejestrującego w dniu 9 maja 2019 r. obecnie Wspólnota nie prowadzi monitoringu wizyjnego.

Następnie Prezes UODO stwierdził, że decydujące znaczenie dla rozstrzygnięcia ma okoliczność, iż dane osobowe skarżącego w zakresie wizerunku nie są aktualnie przetwarzane przez Wspólnotę (wobec kradzieży urządzeń rejestrujących). Powołując się na treść art. 105 § 1 k.p.a. oraz stanowisko doktryny, Prezes UODO wskazał, że ustalenie zaistnienia przesłanki, o której mowa w ww. przepisie, zobowiązuje go do umorzenia postępowania, bo nie ma podstaw do rozstrzygnięcia sprawy co do istoty, a dalsze prowadzenie postępowania stanowiłoby o jego wadliwości, mającej istotny wpływ na wynik sprawy. Bezprzedmiotowość postępowania może być także - tak jak w niniejszej sprawie - wynikiem zmiany stanu faktycznego sprawy.

Odnosząc się do kradzieży urządzeń monitorujących, na których utrwalony został wizerunek nieokreślonej ilości osób, w tym skarżącego, organ podał, iż rozważy w tym zakresie podjęcie z urzędu stosownych działań przewidzianych przepisami o ochronie danych osobowych, w szczególności w kwestii związanej z prawidłowym zabezpieczeniem przetwarzanych danych osobowych przez Wspólnotę, mających na celu wyjaśnienie kwestii ewentualnego ich naruszenia. Przy czym stroną postępowania wszczętego z urzędu jest wyłącznie podmiot kontrolowany, dlatego organ nie będzie miał obowiązku informowania skarżącego o poczynionych podczas postępowania ustaleniach i sposobie jego zakończenia.

Skarżący wywiódł od powyższego rozstrzygnięcia skargę, zarzucając Prezesowi UODO naruszenie przepisów postępowania, które mogło mieć istotny wpływ na wynik sprawy:

a) art. 7 w związku z art. 77 k.p.a. przez zaniechanie przez organ wyczerpującego zebrania i rozpatrzenia materiału dowodowego oraz niewyjaśnienie stanu faktycznego sprawy, a w szczególności: - brak przeprowadzenia wizji lokalnej i oględzin terenu, na którym zainstalowano monitoring, brak przesłuchania świadków, a tym samym przyjęcie za podstawę rozstrzygnięcia jedynie wyjaśnień jednej strony, tj. Wspólnoty, - całkowite nieuwzględnienie przy wydawaniu zaskarżonej decyzji, że Wspólnota naruszyła obowiązki informacyjne wymagane przepisami RODO, a spóźnione informacje przekazane mieszkańcom były niepełne i nie spełniały wymogów określonych przepisami rozporządzenia, - pominięcie i nieuwzględnienie przy wydawaniu zaskarżonej decyzji, że Wspólnota dopełniła obowiązku informacyjnego dopiero pismem z 11 marca 2019 r. oraz z 1 kwietnia 2019 r. skierowanym tylko i wyłącznie do organu, z pominięciem mieszkańców kamienicy przy ul. Z. [...] w K., - pominięcie i nieuwzględnienie przy wydawaniu zaskarżonej decyzji, że Wspólnota planowała dokonać prawidłowego zabezpieczenia monitoringu dopiero po dokonaniu jego kradzieży;

b) art. 8 k.p.a. przez prowadzanie postępowania w sposób podważający zaufanie obywatela do organów Państwa;

c) art. 105 w związku z art. 104 § 2 k.p.a. poprzez umorzenie postępowania w sytuacji, gdy nie było podstaw do zastosowania tego przepisu i brak wydania rozstrzygnięcia, czy Wspólnota naruszyła obowiązki informacyjne wymagane przepisami RODO oraz czy spóźnione informacje przekazane mieszkańcom spełniały obowiązki informacyjne wymagane przepisami rozporządzenia, tym samym organ nie rozstrzygnął sprawy co do istoty w całości;

d) art. 107 § 1 i § 3 k.p.a. poprzez nieprawidłową konstrukcję uzasadnienia decyzji, w szczególności brak szczegółowego wyjaśnienia podstawy faktycznej rozstrzygnięcia, niewyjaśnienie faktów i niewskazanie dowodów na jakich organ oparł swoje rozstrzygnięcie, brak analizy i wskazania na jakiej podstawie organ uznał, że Wspólnota spełniła wobec mieszkańców obowiązek informacyjny dotyczący przetwarzania danych osobowych, oraz czy informacje przekazane mieszkańcom spełniały obowiązki informacyjne wymagane przepisami RODO.

Z uwagi na powyższe zarzuty skarżący wniósł o uchylenie zaskarżonej decyzji oraz zasądzenie kosztów postępowania, w tym kosztów zastępstwa procesowego według norm przepisanych. Ponadto, skarżący zażądał przeprowadzenia dowodu z czterech sztuk fotografii - na okoliczność: nieprawidłowego zabezpieczenia miejsca przechowywania sprzętu rejestrującego, nieprawidłowego przechowywania nagrań z monitoringu, objęcia monitoringiem wejścia do mieszkania skarżącego oraz niezamykania drzwi do pomieszczenia, w którym znajdował się sprzęt rejestrujący.

W odpowiedzi na skargę Prezes UODO wniósł o jej oddalenie.

Na rozprawie przed Sądem pierwszej instancji w dniu 23 lipca 2020 r. oddalony został zawarty w skardze wniosek dowodowy.

Uwzględniając skargę i uchylając wydaną w sprawie decyzję na podstawie art. 145 § 1 pkt 1 lit. c) ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (tekst jednolity: Dz. U. z 2019 r., poz. 2325 ze zm.), dalej: "P.p.s.a.", Sąd pierwszej instancji wskazał, że Prezes UODO wydając zaskarżoną decyzję dopuścił się naruszenia przepisów postępowania administracyjnego, tj. art. 7, art. 77 § 1, art. 80, a także art. 107 § 3 k.p.a. w stopniu mogącym mieć istotny wpływ na wynik sprawy. Wskazano, że zgodnie z art. 105 § 1 k.p.a., gdy postepowanie z jakiejkolwiek przyczyny stało się bezprzedmiotowe w całości albo w części, organ administracji publicznej wydaje decyzję o umorzeniu postepowania odpowiednio w całości albo w części. W doktrynie i orzecznictwie jednolicie wskazuje się, że z bezprzedmiotowością postępowania administracyjnego w rozumieniu art. 105 § 1 k.p.a. mamy do czynienia wówczas, gdy nie ma materialnoprawnych podstaw do władczej, przyjmującej formę decyzji administracyjnej lub postanowienia, ingerencji organu. Przyczyny, dla których sprawa będąca przedmiotem postępowania administracyjnego utraciła charakter sprawy administracyjnej lub nie miała takiego charakteru jeszcze przed wszczęciem postępowania, mogą być różnorodnej natury. Bezprzedmiotowość może mieć miejsce w szczególności, gdy brak jest przedmiotu faktycznego do rozpatrzenia sprawy, jak również w sytuacji, gdy nie istnieje podstawa prawna do wydania aktu administracyjnego w zakresie żądania wnioskodawcy. W świetle regulacji normatywnych zawartych w ustawie o ochronie danych osobowych oraz RODO, brak jest przepisu, który dawałby podstawę do wydania decyzji administracyjnej w sytuacji, gdy organ nie stwierdzi naruszenia przepisów o ochronie danych osobowych. Brak jest w szczególności takiego przepisu, który dawałby podstawę do oddalenia skargi, czy też odmowy uwzględnienia żądania w nim wyrażonego w sytuacji, gdy nieprawidłowości w ogóle nie wystąpiły, jak również wtedy, gdy wprawdzie naruszenie trwało przez jakiś czas, jednakże ustało przed zakończeniem postępowania prowadzonego przez Prezesa UODO. Na gruncie niniejszej sprawy taka konkluzja jest w ocenie Sądu pierwszej instancji co najmniej przedwczesna. Z akt administracyjnych wynika, że organ prowadził postępowanie zainicjowane wnioskiem (skargą) skarżącego z dnia 14 lutego 2019 r., jednakże – po powzięciu wiadomości z pisma uczestnika postępowania o demontażu monitoringu i zaprzestaniu rejestrowania obrazu (data wpływu ww. pisma do organu: 28 maja 2019 r.) – uznał, iż wystąpiła zmiana stanu faktycznego uprawniająca go do umorzenia postępowania. Sąd pierwszej instancji nie podzielił tego stanowiska, zresztą bardzo lakonicznie uzasadnionego. Okoliczność zdemontowania urządzeń składających się na monitoring wizyjny w dniu 9 maja 2019 r., nie uprawnia Prezesa UODO do zaprzestania oceny legalności przetwarzania danych osobowych skarżącego w sytuacji niedokonania pełnych ustaleń faktycznych niezbędnych do podjęcia rozstrzygnięcia w sprawie. W szczególności organ nie ustalił, czy z okresu funkcjonowania monitoringu zachowały się jakieś nagrania, a jeśli tak, to czy Wspólnota je posiada. Z pism uczestnika postępowania wynika również, iż dochodziło do różnego rodzaju dewastacji urządzeń monitorujących, które naprawiano, a 9 maja 2019 r. doszło do kradzieży z włamaniem (poprzedzonych wywołaniem zwarcia instalacji elektrycznej), ale nie wiadomo, czy cały sprzęt rejestrujący został skradziony. W ocenie Sądu meriti należy także dokładnie ustalić okres (okresy), w których działał monitoring.

Wspólnota wywiodła skargę kasacyjną od powyższego wyroku, zaskarżając go w całości i zarzucając mu naruszenie przepisów postępowania, które miało istotny wpływ na wynik sprawy, tj.:

1) art. 145 § 1 pkt 1 lit. c) P.p.s.a. w zw. z art. 105 § 1 k.p.a. - przez bezzasadne uchylenie zaskarżonej decyzji, w sytuacji kiedy postępowanie w sprawie ewentualnego niezgodnego z prawem przetwarzania danych osobowych skarżącego stało się bezprzedmiotowe z powodu kradzieży monitoringu wizyjnego i zaprzestania przetwarzania jego danych osobowych, co obligowało organ do wydania decyzji o umorzeniu postępowania;

2) art. 145 § 1 pkt 1 lit. c) P.p.s.a. w zw. z art. 7, art. 77 § 1 i art. 80 k.p.a. – przez bezpodstawne uznanie, że w sprawie niniejszej w toku postępowania poprzedzającego wydanie uchylonej decyzji Prezes UODO dopuścił się naruszenia ww. przepisów k.p.a., gdyż nie zebrał w sposób wyczerpujący i nie rozpatrzył całego materiału dowodowego, niezbędnego do rozstrzygnięcia przedmiotowej sprawy.

Z uwagi na powyższe zarzuty skarżąca kasacyjnie Wspólnota wniosła o uchylenie zaskarżonego wyroku i oddalenie skargi w całości oraz o zasądzenie od skarżącego zwrotu kosztów postępowania sądowego za postępowanie kasacyjne. Nadto wniosła o rozpoznanie skargi kasacyjnej na rozprawie.

W sporządzonej w ustawowym terminie odpowiedzi na skargę kasacyjną skarżący wniósł o jej oddalenie oraz zasądzenie kosztów postępowania, w tym kosztów zastępstwa adwokackiego w postępowaniu kasacyjnym według norm przepisanych.

Naczelny Sąd Administracyjny zważył, co następuje:

W świetle art. 174 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (tekst jedn. Dz. U. z 2023 r. poz. 1634 ze zm.), dalej "P.p.s.a.", skargę kasacyjną można oprzeć na następujących podstawach:

1) naruszeniu prawa materialnego przez błędną jego wykładnię lub niewłaściwe zastosowanie,

2) naruszeniu przepisów postępowania, jeżeli uchybienie to mogło mieć istotny wpływ na wynik sprawy.

Naczelny Sąd Administracyjny jest związany podstawami skargi kasacyjnej, ponieważ w świetle art. 183 § 1 p.p.s.a. rozpoznaje sprawę w granicach skargi kasacyjnej, biorąc z urzędu pod rozwagę jedynie nieważność postępowania. Jeżeli zatem nie wystąpiły przesłanki nieważności postępowania wymienione w art. 183 § 2 p.p.s.a., a w rozpoznawanej sprawie przesłanek tych brak, to Sąd związany jest granicami skargi kasacyjnej. Oznacza to, że Sąd nie jest uprawniony do samodzielnego dokonywania konkretyzacji zarzutów skargi kasacyjnej, a upoważniony jest do oceny zaskarżonego orzeczenia wyłącznie w granicach przedstawionych we wniesionej skardze kasacyjnej.

Należy zauważyć, że we wniesionym środku odwoławczym skarżąca kasacyjnie zarzuca wyłącznie naruszenie przepisów postępowania. Skargę kasacyjną oparto zatem na podstawie kasacyjnej wymienionej w art. 174 pkt 2 P.p.s.a.

Zdaniem Naczelnego Sadu Administracyjnego skarga kasacyjna usprawiedliwionej podstawy nie zawiera. Istota opisanych w jej petitum zarzutów sprowadza się do zakwestionowania stanowiska Sądu pierwszej instancji, który uznał, że organ niedostatecznie wyjaśnił stan faktyczny niniejszej sprawy i przedwcześnie umorzył postępowanie.

Mając na uwadze istotę sporu podkreślenia wymaga, że prawidłowe ustalenie stanu faktycznego sprawy stanowi istotę postępowania wyjaśniającego. Niewyjaśnienie lub niedostateczne wyjaśnienie stanu faktycznego sprawy może prowadzić do wydania wadliwego orzeczenia. Zakres i przedmiot postępowania wyjaśniającego determinują z kolei przepisy prawa materialnego, bowiem to normy prawa materialnego przesądzają o przedmiocie sprawy i okolicznościach prawnie istotnych. W postępowaniu wyjaśniającym należy również uwzględnić specyfikę danej sprawy, w tym zwłaszcza odrębność okoliczności, które stanowią o stanie faktycznym. Zatem to przedmiot sprawy determinuje zakres postępowania wyjaśniającego (zob. w tej materii m.in.: wyrok Naczelnego Sądu Administracyjnego z dnia 11 lipca 2023 r.; sygn. akt III OSK 582/22).

Wyjaśnić nadto należy, że podstawą prawną prowadzenia kontroli przestrzegania przepisów o ochronie danych osobowych jest przepis art. 78 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (tekst jedn. Dz. U. z 2019 r., 1781), zgodnie z którym Prezes Urzędu przeprowadza kontrolę przestrzegania przepisów o ochronie danych osobowych. Kontrolę prowadzi się zgodnie z zatwierdzonym przez Prezesa Urzędu planem kontroli lub na podstawie uzyskanych przez Prezesa Urzędu informacji lub w ramach monitorowania przestrzegania stosowania rozporządzenia 2016/679 (ust. 2).

Z kolei podstawą prawną do wniesienia skargi w indywidualnej sprawie przez podmiot, który twierdzi, iż w procesie przetwarzania danych osobowych jego dotyczących doszło do naruszenia przepisów RODO, jest przepis art. 77 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE. Dla wniesienia skargi wystarczające jest więc subiektywne przekonanie danego o tym, że przetwarzanie jego danych następuje z naruszeniem ww. rozporządzenia. Przedmiotem skargi mogą być więc naruszenia przepisów dotyczących zasad przetwarzania danych (art. 5 RODO), czy podstaw dopuszczalności przetwarzania danych (art. 6 RODO). W motywie nr 141 RODO wyjaśniono, że każda osoba, której dane dotyczą, powinna mieć prawo wniesienia skargi do jednego organu nadzorczego oraz prawo do skutecznego środka ochrony prawnej przed sądem, zgodnie z art. 47 Karty Praw Podstawowych, w szczególności w państwie członkowskim, w którym ma miejsce zwykłego pobytu, a jeżeli uzna, że jej prawa wynikające z niniejszego rozporządzenia są naruszane, lub jeżeli organ nadzorczy nie reaguje na skargę, częściowo lub w całości ją odrzuca lub oddala, lub nie podejmuje działania, choć jest to niezbędne do ochrony praw tej osoby. Postępowanie wyjaśniające na podstawie skargi powinno być prowadzone – z zastrzeżeniem kontroli sądowej - w zakresie odpowiadającym konkretnej sprawie. Organ nadzorczy powinien w rozsądnym terminie poinformować osobę, której dane dotyczą, o postępach i wynikach rozpatrywania skargi. Jeżeli dana sprawa wymaga dalszego postępowania wyjaśniającego lub koordynacji działań z innym organem nadzorczym, osoba, której dane dotyczą, powinna zostać o tym uprzednio poinformowana. Aby ułatwić wnoszenie skarg, każdy organ nadzorczy powinien zastosować takie środki jak udostępnienie formularza skargi, który można wypełnić także elektronicznie, przy czym nie należy wykluczać innych sposobów komunikacji (zob. wyrok Naczelnego Sądu Administracyjnego z dnia 20 października 2022 r.; sygn. akt III OSK 5538/21).

Dodać przy tym należy, że z obowiązujących regulacji prawnych wynika, iż przepisy prawne przewidują dwa typy postępowań.

Pierwsze to postępowanie kontrolne prowadzone przez Prezesa UODO względem administratora danych osobowych wszczynane na podstawie art. 78 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r., poz. 1781), dalej: "u.o.d.o.". Stronami tego postępowania są organ i administrator danych osobowych. Postępowanie kontrolne wszczynane jest z urzędu. Może ono być jednak wszczęte także w związku z informacją płynącą od indywidualnego podmiotu, który twierdzi, iż w odniesieniu do jego osoby doszło do naruszenia przepisów RODO. Osoba taka wskazuje wówczas, iż domaga się kontroli przestrzegania przepisów RODO, a nie swojego interesu prawnego. Inaczej mówiąc wnioskuje o przeprowadzenie kontroli, stwierdzenie naruszenia przepisów prawa, nakazanie eliminacji praktyki naruszania prawa przez administratora danych osobowych, i ewentualne jego ukaranie. Działa więc w celu ochrony interesu zbiorowego. Nie uwidacznia, ani nie eksponuje swojego, indywidualnego interesu prawnego i nie żąda wyłącznie jego ochrony, nawet jeśli w procesie przetwarzania jej danych osobowych doszło do złamania przepisów RODO. Podstawą wszczęcia kontroli mogą być także nieprawidłowości stwierdzone w toku postępowań indywidualnych.

Drugie to postępowanie, o którym mowa w art. 60 u.o.d.o., prowadzone w indywidualno-konkretnej sprawie na wniosek osoby, która wyraziła względem organu subiektywne przekonanie, że przetwarzanie jej danych osobowych nastąpiło z naruszeniem przepisów RODO i w ten sposób został naruszony jej interes prawny, bądź też wszczynane z urzędu, np. w związku z wynikami postępowania kontrolnego. Wszczynane jest ono wówczas na podstawie art. 60 w zw. z art. 90 u.o.d.o., zgodnie z którym jeżeli na podstawie informacji zgromadzonych w postępowaniu kontrolnym Prezes Urzędu uzna, że mogło dojść do naruszenia przepisów o ochronie danych osobowych, obowiązany jest do niezwłocznego wszczęcia postępowania, o którym mowa w art. 60. Stronami tego postępowania są osoba twierdząca, iż doszło do naruszenia jej interesu prawnego gwarantowanego przez przepisy RODO, organ i administrator danych osobowych. Postępowanie takie wszczynane jest więc na wniosek zainteresowanej osoby lub z urzędu. Każde z tych postępowań posiada odrębne podstawy prawne, odrębne elementy przedmiotowe oraz elementy podmiotowe.

W niniejszej sprawie skarżący domagał się ochrony swojego interesu prawnego w procesie przetwarzania danych osobowych. W tym celu w dniu 14 lutego 2019 r. skarżący wystąpił do Prezesa UODO ze skargą na niezgodne z prawem przetwarzanie jego danych osobowych, a także naruszenie obowiązku informacyjnego przez Wspólnotę Mieszkaniową Budynku przy ul. Z. [...] w K. Skarżący wniósł o usunięcie jego danych osobowych przetwarzanych bez podstawy prawnej, zakazanie przetwarzania jego danych osobowych przy użyciu monitoringu wizyjnego budynku przy ul. Z. [...] w K., a także nałożenie kary pieniężnej na administratora.

Zaskarżoną do Sądu pierwszej instancji decyzją z dnia 23 lipca 2019 r. Prezes UODO umorzył postępowanie. Zdaniem organu decydujące znaczenie dla takiego rozstrzygnięcia ma okoliczność, że dane osobowe skarżącego w zakresie wizerunku nie są obecnie przetwarzane przez Wspólnotę. Analiza zebranego w sprawie materiału dowodowego wykazała bowiem, iż będące własnością Wspólnoty urządzenia rejestrujące zostały skradzione, w związku z czym Wspólnota nie jest w posiadaniu nośników, na których utrwalone zostały dane osobowe skarżącego. Według organu nie ma więc podstaw aby w prowadzonym postępowaniu wydać rozstrzygnięcie co do istoty.

Zdaniem Naczelnego Sądu Administracyjnego w uzasadnieniu zaskarżonego wyroku Sądu pierwszej instancji trafnie skonstatowano, że nie wszystkie istotne okoliczności – z punktu widzenia przedmiotu niniejszego postępowania dotyczącego nieprawidłowości w zakresie przetwarzania danych osobowych skarżącego – zostały przez Prezesa UODO wyjaśnione.

Przede wszystkim Sąd pierwszej instancji prawidłowo wskazał, że okoliczność zdemontowania urządzeń składających się na monitoring wizyjny w dniu 9 maja 2019 r. nie uprawnia a limine Prezesa UODO do zaprzestania oceny legalności przetwarzania danych osobowych skarżącego w sytuacji niedokonania pełnych ustaleń faktycznych niezbędnych do podjęcia rozstrzygnięcia w sprawie. Sąd meriti wskazał prawidłowo, że organ nie ustalił w szczególności, czy z okresu funkcjonowania monitoringu zachowały się określone zapisy (nagrania), a jeśli tak, to czy Wspólnota je nadal posiada. Istotnym jest w tym miejscu wskazanie, że z pism skarżącej kasacyjnie składanych w toku prowadzonego postępowania wynikało, że dochodziło do różnego rodzaju dewastacji urządzeń monitorujących, które naprawiano. Z kolei w dniu 9 maja 2019 r. doszło do kradzieży z włamaniem (poprzedzonych wywołaniem zwarcia instalacji elektrycznej), ale nie jest wiadomym, jak zasadnie podkreślił Sąd pierwszej instancji, czy cały sprzęt rejestrujący został skradziony. Zasadne było nadto wskazanie ze strony Sądu pierwszej instancji, że obowiązkiem organu jest dokładne ustalenie okresu (względnie okresów), w których sporny monitoring działał.

W ocenie Naczelnego Sądu Administracyjnego należy mieć na uwadze, że w sprawie nie doszło do definitywnego usunięcia danych osobowych skarżącego. Jeżeli określone zapisy monitoringu mogły się zachować pomimo dokonanej kradzieży sprzętu Prezes UODO nie miał podstaw aby umorzyć postępowanie mające za przedmiot ocenę legalności przetwarzania danych osobowych skarżącego. W odpowiedzi na wniesioną skargę kasacyjną podniesiono słusznie, że dokonana kradzież sprzętu skłania do wniosku, że potrzebna jest weryfikacja, czy skarżąca kasacyjnie przedmiotowy sprzęt monitorujący należycie zabezpieczyła. Ewentualne zaniedbania na tym polu uprawniają bowiem organ do podjęcia określonych działań dyscyplinujących skarżącą kasacyjnie bądź nakładających na ten podmiot określone obowiązki czy zakazy. Obiter dicta należy też wskazać, że dokumenty załączone do odpowiedzi na skargę kasacyjną potwierdzają, że monitoring na terenie Wspólnoty, mimo opisywanej wcześniej kradzieży jest nadal prowadzony. Jak wynika z tych dokumentów, skarżąca kasacyjnie odpowiedni sprzęt do monitoringu zainstalowała ponownie (po opisywanej wyżej kradzieży). Nadto zdecydowała się na podłączenie całej instalacji do Internetu. Kradzież, jak wynika z materiału dowodowego w sprawie, miała miejsce w dniu 9 maja 2019 r. W dniu 31 maja 2019 r. podjęto zaś stosowną uchwałę o rozbudowie systemu monitoringu.

W ocenie Naczelnego Sądu Administracyjnego przytoczona przez skarżącą kasacyjnie argumentacja w żaden sposób nie podważa prawidłowości oceny dokonanej przez Sąd pierwszej instancji, który w sposób dostateczny wyjaśnił, z jakich powodów uznał, że rozstrzygnięcie organu jest przedwczesne. Należy zatem podzielić wyrażony przez Sąd pierwszej instancji pogląd, że w realiach tej sprawy nie było przesłanek do uznania, że postępowanie prowadzone przez organ, wobec kradzieży sprzętu służącego do monitoringu i rejestracji odpowiednich zapisów, stało się bezprzedmiotowe w rozumieniu art. 105 § 1 k.p.a.

Z tych względów Naczelny Sąd Administracyjny, na podstawie art. 184 P.p.s.a., orzekł, jak w punkcie pierwszym w sentencji wyroku, o oddaleniu skargi kasacyjnej.

O kosztach postępowania kasacyjnego orzeczono jak w punkcie drugim sentencji wyroku na podstawie art. 204 pkt 2 i art. 205 § 2 P.p.s.a. w zw. z § 14 ust. 1 pkt 2 lit. b) rozporządzenia Ministra Sprawiedliwości z dnia 22 października 2015 r. w sprawie opłat za czynności adwokackie (tekst jednolity: Dz. U. z 2023 r., poz. 1964). Na koszty te składa się wynagrodzenie pełnomocnika skarżącego należne za sporządzenie i wniesienie w terminie ustawowym odpowiedzi na skargę kasacyjną (240 zł).