Centralna Baza Orzeczeń Sądów Administracyjnych

Naczelny Sąd Administracyjny w składzie: Przewodniczący: Sędzia NSA Małgorzata Pocztarek Sędziowie Sędzia NSA Rafał Stasikowski (spr.) Sędzia del. WSA Kazimierz Bandarzewski po rozpoznaniu w dniu 20 października 2022 r. na posiedzeniu niejawnym w Izbie Ogólnoadministracyjnej skargi kasacyjnej W. M. od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 23 marca 2021 r., sygn. akt II SA/Wa 2366/20 w sprawie ze skargi W. M. na postanowienie Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] października 2020 r., nr [...] w przedmiocie odmowy wszczęcia postępowania oddala skargę kasacyjną.

Wyrokiem z 23 marca 2021 r., sygn. akt II SA/Wa 2366/20, Wojewódzki Sąd Administracyjny w Warszawie oddalił skargę W. M. na postanowienie Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] października 2020 r., nr [...], w przedmiocie odmowy wszczęcia postępowania.

Wyrok zapadł w następującym stanie faktycznym i prawnym.

Postanowieniem z [...] października 2020 r. Prezes Urzędu Ochrony Danych Osobowych, działając na podstawie art. 61a § 1 ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego (Dz. U. z 2020 r., poz. 256 ze. zm.; dalej: "k.p.a.") w związku z art. 7 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781; dalej: "u.o.d.o."), odmówił wszczęcia postępowania w sprawie skargi W. M. na stosowaną przez L. sp. z o.o. z siedzibą w W. praktykę, polegającą na niestosowaniu znaków diaktrycznych podczas procedury przeniesienia numeru telefonu do tej spółki.

W. M. zażądał od Prezesa UODO nakazanie administratorowi lub podmiotowi przetwarzającemu w zakresie uprawnień naprawczych:

1. spełnienia żądania osoby, której dane dotyczą, czyli stosowania polskich znaków diakrytcznych przy identyfikowaniu jego tożsamości;

2. dostosowania operacji przetwarzania do przepisów niniejszego rozporządzenia, a w stosownych przypadkach wskazanie sposobu i terminu, czyli stosowania polskich znaków diaktrycznych przy identyfikacji jego tożsamości

oraz o

3. zastosowanie powyżej określonych środków, administracyjnej kary pieniężnej na mocy art. 83 zależnie od okoliczności konkretnej sprawy.

W uzasadnieniu zaskarżonego postanowienia organ, powołując się na art. 77 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych – zwanej dalej RODO), podniósł, że w niniejszej sprawie nie doszło do przetwarzania, w tym utrwalania, danych osobowych skarżącego, podczas procedury przeniesienia numeru telefonu skarżącego do ww. spółki.

Prezes UODO zwrócił uwagę, że czynności w sprawie ogólnych praktyk stosowanych przez administratorów danych nie są podejmowane na wniosek osoby zainteresowanej. Powyższa kwestia może być przedmiotem postępowania administracyjnego prowadzonego z urzędu przez organ właściwy do spraw ochrony danych osobowych. Podjęte z urzędu postępowanie toczy się wówczas pomiędzy administratorem danych, a Prezesem UODO. Ogólne praktyki przetwarzania danych osobowych dotyczą nie tylko skarżącego, ale także innych osób. Skarżącemu nie przysługuje status strony w prowadzonym przez Prezesa UODO postępowaniu

w przedmiocie ogólnych praktyk przetwarzania danych osobowych. Nie posiada interesu prawnego w wydawanym rozstrzygnięciu. Dlatego skarżący nie może być informowany o czynnościach podejmowanych w tym postępowaniu.

Organ wskazał również, iż nie jest władny prowadzić postępowania administracyjnego w sprawie indywidualnej w przypadku hipotetycznych

i nieistniejących procesów przetwarzania danych osobowych, ponieważ tego rodzaju postępowanie byłoby bezprzedmiotowe już w samej chwili jego wszczęcia.

Funkcją skargi wnoszonej do Prezesa UODO jest egzekwowanie przestrzegania przepisów u.o.d.o. w operacjach przetwarzania danych bezpośrednio wpływających na osobę, której przetwarzane dane dotyczą. W rozpoznawanej sprawie brak jest procesu przetwarzania danych osobowych, który musi być przedmiotem skargi wniesionej na podstawie art. 77 ust. 1 RODO i jako taki mógłby podlegać ocenie organu co do jego legalności. Kontrola stosowanych przez administratorów danych ogólnych praktyk, których dotyczy skarga, nie może być przedmiotem indywidualnej skargi, gdyż należy do autonomicznych kompetencji Prezesa UODO.

Skargę na powyższe postanowienie do Wojewódzkiego Sądu Administracyjnego w Warszawie wniósł skarżący.

W odpowiedzi na skargę Prezes UODO wniósł o jej oddalenie.

Oddalając skargę Sąd pierwszej instancji przytoczył treść art. 77 ust. 1 RODO. Wskazał, że z akt administracyjnych i sądowych wynika, iż w niniejszej sprawie nie doszło do operacji przetwarzania danych osobowych skarżącego, gdyż czynności w sprawie ogólnych praktyk stosowanych przez administratorów danych nie są podejmowane na wniosek osoby zainteresowanej. Zatem skarżący kwestionuje ogólną praktykę spółki dotyczącą przetwarzania danych osobowych i obejmującą wszystkich jej klientów. Skoro skarga skarżącego dotyczy ogólnych praktyka spółki, to nie wystąpił proces przetwarzania danych osobowych skarżącego, a zatem brak jest przedmiotu skargi, o której mowa w art. 77 ust. 1 RODO. Ponadto, jak trafnie wskazał Prezes UODO, do jego wyłącznej kompetencji należy kontrola ogólnych praktyk stosowanych przez administratorów danych. Innymi słowy ogólna praktyka spółki nie może być przedmiotem indywidualnej skargi.

Następnie Sąd pierwszej instancji przytoczył treść art. 61a § 1 k.p.a. Wskazał, że z uzasadnienia zaskarżonego postanowienia wynika, że odmowa wszczęcia postępowania nastąpiła w oparciu o brak przymiotu strony przez skarżącego. Jak powszechnie przyjmuje się w piśmiennictwie prawniczym i orzecznictwie Naczelnego Sądu Administracyjnego, odmowa wszczęcia postępowania na podstawie tej przesłanki jest możliwa wówczas, gdy wnioskodawca nie posiada zdolności prawnej lub nie ma interesu prawnego w sprawie (nie jest stroną postępowania w rozumieniu art. 28 k.p.a.) oraz ustalenie tej kwestii jest oczywiste i nie wymaga złożonego procesu wykładni.

W ocenie tego Sądu w przedmiotowej sprawie mamy właśnie do czynienia z "oczywistością" żądania wszczęcia postępowania przez osobę niebędącą stroną, która uzasadnia odmowę wszczęcia postępowania administracyjnego bez przeprowadzenia czynności wyjaśniających.

Z powyższych względów Wojewódzki Sąd Administracyjny w Warszawie, na podstawie art. 151 ustawy z 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz.U. z 2022 r., poz. 329 ze zm.; zwanej dalej: "p.p.s.a."), oddalił skargę.

Skargę kasacyjną od powyższego wyroku wywiódł skarżący reprezentowany przez adwokata, zaskarżając wyrok w całości. Wniósł o uchylenie zaskarżonego wyroku w całości i przekazanie sprawy do ponownego rozpoznania Sądowi pierwszej instancji. Nadto wniósł o zasądzenie zwrotu kosztów postępowania oraz

zrzekł się rozprawy. Zaskarżonemu wyrokowi zarzucił:

1. na podstawie art. 174 pkt. 1 p.p.s.a. naruszenie prawa materialnego, błędne rozpatrzenie materiału dowodowego, błędną wykładnię wskazanych poniżej przepisów i w konsekwencji niewłaściwe ich zastosowanie, w szczególności poprzez naruszenie art. 5 ust. 1 lit. a do c w związku z art. 4 pkt 2 RODO, art. 51 ust. 1, art. 55 ust. 1, art. 57 ust. 1 lit. a-f RODO, art. 77 ust. 1 RODO, a także art. 45 i 51 ust. 1 Konstytucji RP, jak również art. 8 ust. 2 Karty Praw Podstawowych Unii Europejskiej poprzez błędne uznanie, że w niniejszej sprawie:

a) nie nastąpiło przetwarzanie danych osobowych i wobec tego błędne uznanie, że sprawa nie dotyczy indywidualnego interesu skarżącego, lecz ogólnych praktyk stosowanych przez administratorów danych, na podstawie czego z kolei również błędnie stwierdzono, że skarżącemu nie przysługuje status strony w prowadzonym przez Prezesa UODO postępowaniu

w przedmiocie ogólnych praktyk przetwarzania danych;

b) zachodzi tożsamość znaczenia analizy zagadnienia ogólnych praktyk administratorów na wniosek osoby zainteresowanej z analizą, czy w danym stanie faktycznym miało miejsce przetwarzanie danych osobowych;

c) brak dokonania interpretacji definicji przetwarzania danych osobowych z art. 4 RODO, która jest ogólna i złożona, co było niezbędne do rozstrzygnięcia zasadności skargi.

2. naruszenie prawa procesowego, mające istotny wpływ na wynik sprawy - zgodnie z art. 174 pkt 2 p.p.s.a., a to art. 61a § 1, art. 35 § 1-3, art. 36, art. 37 § 5, art. 6, art. 7 i art. 12 § 1 k.p.a. poprzez:

- błędne uznanie, że żądanie wszczęcia postępowania zostało wniesione przez osobę niebędącą stroną i z tej przyczyny postępowanie nie może być wszczęte;

- niedokonanie kontroli prawidłowości czy też wadliwości proceduralnej postępowania UODO w niniejszej sprawie;

- brak zweryfikowania czy w sprawie przeprowadzono prawidłowe postępowanie wyjaśniające oraz czy w sposób prawidłowy organ ustalił czy wnioskodawca posiadał przymiot strony postępowania administracyjnego.

W uzasadnieniu skargi kasacyjnej skarżący odniósł się do powyższych zarzutów.

W odpowiedzi na skargę kasacyjną organ wniósł o jej oddalenie. Nie żądał przeprowadzenia rozprawy.

Naczelny Sąd Administracyjny rozważył, co następuje:

Zgodnie z art. 183 § 1 p.p.s.a. Naczelny Sąd Administracyjny rozpoznaje sprawę w granicach skargi kasacyjnej, biorąc pod uwagę z urzędu jedynie nieważność postępowania. W przedmiotowej sprawie nie zachodzą przesłanki nieważności postępowania określone w art. 183 § 2 p.p.s.a. Naczelny Sąd Administracyjny kontroluje więc zgodność zaskarżonego orzeczenia z prawem materialnym i procesowym w granicach skargi kasacyjnej.

W niniejszej sprawie pełnomocnik strony skarżącej kasacyjnie – na podstawie art. 176 § 2 p.p.s.a. – zrzekł się rozprawy, a strona przeciwna w ustawowym terminie nie zawnioskowała o jej przeprowadzenie, stąd też rozpoznanie skargi kasacyjnej nastąpiło na posiedzeniu niejawnym, zgodnie z art. 182 § 2 i 3 p.p.s.a.

Skarga kasacyjna nie zasługiwała na uwzględnienie.

Skarżący kasacyjnie zarzucił zaskarżonemu orzeczeniu naruszenie zarówno przepisów prawa materialnego, jak też przepisów postępowania. W takiej sytuacji, co do zasady, jako pierwsze podlegają rozpatrzeniu zarzuty naruszenia przepisów postępowania, gdyż weryfikacja prawidłowości wykładni przepisów prawa materialnego, dokonanej przez Sąd pierwszej instancji, jest możliwa jedynie w przypadku stwierdzenia braku uchybień natury procesowej, mogących mieć istotny wpływ na treść rozstrzygnięcia. W rozpoznawanej sprawie zarzuty rozpoznane zostaną łącznie, gdyż pozostają ze sobą w ścisłym związku.

Istota sprawy poddanej kontroli sądowoadministracyjnej koncentruje się na odmiennej ocenie skarżącego i organu co do zaistnienia sprawy administracyjnej. Organ stoi na stanowisku, iż skarżący zawnioskował o przeprowadzenie przez Prezesa UODO postępowania kontrolnego administratora danych osobowych, zaś skarżący uważa, iż złożył skargę do Prezesa UODO na proces przetwarzania jego danych osobowych.

Podstawą prawną prowadzenia kontroli przestrzegania przepisów o ochronie danych osobowych jest przepis art. 78 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. 2019, 1781), zgodnie z którym Prezes Urzędu przeprowadza kontrolę przestrzegania przepisów o ochronie danych osobowych. Kontrolę prowadzi się zgodnie z zatwierdzonym przez Prezesa Urzędu planem kontroli lub na podstawie uzyskanych przez Prezesa Urzędu informacji lub w ramach monitorowania przestrzegania stosowania rozporządzenia 2016/679 (ust. 2).

Podstawą prawną do wniesienia skargi w indywidualnej sprawie przez podmiot, który twierdzi, iż w procesie przetwarzania danych osobowych jego dotyczących doszło do naruszenia przepisów RODO, jest przepis art. 77 ust.1 RODO. Dla wniesienia skargi wystarczające jest więc subiektywne przekonanie podmiotu danych o tym, że przetwarzanie jego danych następuje z naruszeniem komentowanego rozporządzenia. Przedmiotem skargi mogą być więc naruszenia przepisów dotyczących zasad przetwarzania danych (art. 5 RODO), czy podstaw dopuszczalności przetwarzania danych (art. 6 RODO). W motywie nr 141 RODO wyjaśniono, że każda osoba, której dane dotyczą, powinna mieć prawo wniesienia skargi do jednego organu nadzorczego oraz prawo do skutecznego środka ochrony prawnej przed sądem, zgodnie z art. 47 Karty Praw Podstawowych, w szczególności w państwie członkowskim, w którym ma miejsce zwykłego pobytu, a jeżeli uzna, że jej prawa wynikające z niniejszego rozporządzenia są naruszane, lub jeżeli organ nadzorczy nie reaguje na skargę, częściowo lub w całości ją odrzuca lub oddala, lub nie podejmuje działania, choć jest to niezbędne do ochrony praw tej osoby. Postępowanie wyjaśniające na podstawie skargi powinno być prowadzone - z zastrzeżeniem kontroli sądowej - w zakresie odpowiadającym konkretnej sprawie. Organ nadzorczy powinien w rozsądnym terminie poinformować osobę, której dane dotyczą, o postępach i wynikach rozpatrywania skargi. Jeżeli dana sprawa wymaga dalszego postępowania wyjaśniającego lub koordynacji działań z innym organem nadzorczym, osoba, której dane dotyczą, powinna zostać o tym uprzednio poinformowana. Aby ułatwić wnoszenie skarg, każdy organ nadzorczy powinien zastosować takie środki jak udostępnienie formularza skargi, który można wypełnić także elektronicznie, przy czym nie należy wykluczać innych sposobów komunikacji.

Z analizy powyższych regulacji prawnych wynika, iż obowiązujące przepisy prawne w interesującym z punktu widzenia rozpoznawanej sprawy zakresie przewidują dwa typy postępowań.

Pierwsze to postępowanie kontrolne prowadzone przez Prezesa UODO względem administratora danych osobowych wszczynane na podstawie art. 78 ust. 1 u.o.d.o. Stronami tego postępowania są organ i administrator danych osobowych. Postępowanie kontrolne wszczynane jest z urzędu. Może ono być jednak wszczęte także w związku z informacją płynącą od indywidualnego podmiotu, który twierdzi, iż w odniesieniu do jego osoby doszło do naruszenia przepisów RODO. Osoba taka wskazuje wówczas, iż domaga się kontroli przestrzegania przepisów RODO, a nie swojego interesu prawnego. Inaczej mówiąc wnioskuje o przeprowadzenie kontroli, stwierdzenie naruszenia przepisów prawa, nakazanie eliminacji praktyki naruszania prawa przez administratora danych osobowych, i ewentualne jego ukaranie. Działa więc w celu ochrony interesu zbiorowego. Nie uwidacznia, ani nie eksponuje swojego, indywidualnego interesu prawnego i nie żąda wyłącznie jego ochrony, nawet jeśli w procesie przetwarzania jej danych osobowych doszło do złamania przepisów RODO. Podstawą wszczęcia kontroli mogą być także nieprawidłowości stwierdzone w toku postępowań indywidualnych.

Drugie to postępowanie, o którym mowa w art. 60 u.o.d.o., prowadzone w indywidualno-konkretnej sprawie na wniosek osoby, która wyraziła względem organu subiektywne przekonanie, że przetwarzanie jej danych osobowych nastąpiło z naruszeniem przepisów RODO i w ten sposób został naruszony jej interes prawny, bądź też wszczynane z urzędu, np. w związku z wynikami postępowania kontrolnego. Wszczynane jest ono wówczas na podstawie art. 60 w zw. z art. 90 u.o.d.o., zgodnie z którym jeżeli na podstawie informacji zgromadzonych w postępowaniu kontrolnym Prezes Urzędu uzna, że mogło dojść do naruszenia przepisów o ochronie danych osobowych, obowiązany jest do niezwłocznego wszczęcia postępowania, o którym mowa w art. 60. Stronami tego postępowania są osoba twierdząca, iż doszło do naruszenia jej interesu prawnego gwarantowanego przez przepisy RODO, organ i administrator danych osobowych. Postępowanie takie wszczynane jest więc na wniosek zainteresowanej osoby lub z urzędu. Każde z tych postępowań posiada odrębne podstawy prawne, odrębne elementy przedmiotowe oraz elementy podmiotowe.

Z punktu widzenia rozpoznawanej sprawy kluczowe dla oceny legalności wyroku i legalności wydanego postanowienia przez pryzmat podniesionych w skardze kasacyjnej zarzutów jest po pierwsze ustalenie treści żądania skierowanego przez skarżącego do organu, gdyż może ono przesądzić o dopuszczalności prowadzenia postępowania z udziałem tej strony, a po drugie, ustalenie czy doszło do przetwarzania danych osobowych podmiotu, gdyż tylko w takiej sytuacji możliwe jest wszczęcie drugiego rodzaju postępowania.

Z treści skargi wynika, że skarżący zażądał od Prezesa UODO, w zakresie uprawnień naprawczych nakazanie administratorowi lub podmiotowi przetwarzającemu:

1. spełnienia żądania osoby, której dane dotyczą, czyli stosowania polskich znaków diakrytcznych przy identyfikowaniu jego tożsamości;

2. dostosowania operacji przetwarzania do przepisów niniejszego rozporządzenia, a w stosownych przypadkach wskazanie sposobu i terminu, czyli stosowania polskich znaków diaktrycznych przy identyfikacji jego tożsamości oraz o

3. zastosowanie powyżej określonych środków, administracyjnej kary pieniężnej na mocy art. 83 zależnie od okoliczności konkretnej sprawy.

Zakres żądań nie rozstrzyga jednoznacznie i ponad wszelką wątpliwość, iż skarżący domaga się ochrony swojego interesu prawnego w procesie przetwarzania danych osobowych. Posłużenie się zwrotem uprawnień naprawczych ukierunkowuje organ na oczekiwanie skarżącego doprowadzenia przez niego do generalnej eliminacji określonej praktyki przetwarzania danych osobowych przez administratora, co wskazuje, iż skarżący nie domaga się ochrony swojego subiektywnego interesu. Punkt drugi wniosku prowadzić może również do usprawiedliwionego przekonania, iż skarżący wnioskuje o spowodowanie eliminacji ogólnych praktyk stosowanych przez administratora danych osobowych, co uzasadniałoby w pełni wniosek, iż skarżący informuje organ o naruszeniu przepisów RODO, celem wszczęcia przez Prezesa UODO postępowania kontrolnego. Postępowanie, o którym mowa w art. 78 ust. 1 u.o.d.o. – jak wskazano powyżej - jest wszczynane z urzędu i toczy się bez udziału podmiotu, który twierdzi, że został naruszony jego interes prawny. Podmiot taki nie jest więc stroną powyższego postępowania.

Organ słusznie jednak poszerzył zakres postępowania wyjaśniającego poza samą skargę W. M. i zbadał, czy doszło do przetworzenia jego danych osobowych, zwracając się pismem z dnia 9 czerwca 2020 r. o uzupełnienie braków formalnych skargi przez wskazanie, czy podczas kwestionowanej procedury dotyczącej niestosowania znaków diakretycznych przy identyfikacji klienta przez spółkę L. doszło do przetwarzania jego danych osobowych, a jeśli tak, to wskazania zakresu danych jaki w ocenie skarżącego został naruszony. Ewentualne stwierdzenie tej okoliczności dawałoby podstawę do prowadzenia rozważań, czy wniesiona skarga oparta jest na przepisach art. 60 u.o.d.o.

Naczelny Sąd Administracyjny podziela stanowisko Sądu pierwszej instancji oraz organu, iż w rozpoznawanej sprawie nie doszło do przetwarzania danych osobowych skarżącego w rozumieniu art. 4 pkt 2 RODO. Z pism skarżącego z dnia 4 marca 2020 r. oraz z pisma z 19 czerwca 2020 r., będącego odpowiedzią na zobowiązanie organu do uzupełnienia braków formalnych skargi, wynika, iż dane skarżącego nie zostały pobrane przez Spółkę. Skarżący wskazał, iż wypełnił formularz wniosku pobrany w wersji elektronicznej przy użyciu polskich znaków, a następnie po wybraniu opcji "zarejestruj" wyświetlił mu się komunikat o błędzie, będący informacja o odmowie rejestracji, co wskazuje, iż do systemów teleinformatycznych Spółki nie zostały wprowadzone dane osobowe. Zachodzące różnice w zakresie danych osobowych posiadanych przez Spółkę widniejących przy zarejestrowanej karcie SIM a danymi wprowadzonymi do formularza stanowiącego załącznik nr 3, uniemożliwiły dokonanie planowanej przez skarżącego operacji. Wyświetlenie się komunikatu o błędzie oznaczało odrzucenie czynności rejestracji, inaczej mówiąc trwałego pobrania danych osobowych przez administratora. Na brak pobrania danych przez Spółkę wskazuje ona sama w korespondencji mailowej jaką prowadził z nią skarżący w dniu 3 marca 2020 r. Nie można zgodzić się ze stanowiskiem prezentowanym w skardze kasacyjnej oraz dalszych pismach procesowych, jakoby proces rejestracji wypełniał znamiona przetwarzania danych, o którym mowa w art. 4 pkt 2 RODO. Definicja to odnosi się do rodzajowo określonych czynności dokonanych, rzec by można dla podkreślenia efektu – definitywnie. W przypadku skarżącego proces ten (zwany przez Spółkę procesem MNP) nie został zakończony, gdyż skarżący użył znaków, które nie były brane pod uwagę przez system ("systemy ich nie akceptują").

Przechodząc do zarzutów skargi kasacyjnej Naczelny Sąd Administracyjny nie dopatrzył się naruszenia przepisów postępowania przez Sąd pierwszej instancji. Zarzut ten sporządzony został bez dostatecznej precyzji, gdyż sąd administracyjny naruszyć mógł jedynie przepisy p.p.s.a., które stosował w procesie kontroli zaskarżonego postanowienia. Kontrola merytoryczna zaskarżonego wyroku jest jednak możliwa, gdyż z treści całości skargi kasacyjnej wywieść można przekonanie, iż naruszenie przepisów p.p.s.a. polegało na niedostrzeżenia naruszenia przez organ przepisów k.p.a. wskazanych przez autora skargi kasacyjnej.

Nie został naruszony przepis art. 61a § 1 k.p.a., gdyż w związku z brakiem procesu przetwarzania danych osobowych organ słusznie przyjął, iż skarżący domaga się wszczęcia postepowania kontrolnego, o którym mowa w art. 78 ust. 1 u.o.d.o., a w postępowaniu tym skarżący nie może być stroną. Przepisy art. 35 § 1-3 k.p.a. regulują terminy załatwienia sprawy administracyjnej, przepis art. 36 k.p.a. obowiązek organu w razie ich przekroczenia, art. 37 § 5 k.p.a. termin rozpoznania przez organ ponaglenia, art. 6 k.p.a. zasadę praworządności, art. 7 k.p.a. zasadę prawdy obiektywnej, a art. 12 § 1 k.p.a. zasadę szybkości i prostoty postępowania. Z treści skargi kasacyjnej wynika, iż tylko zarzut naruszenia przepisów art. 61a § 1 k.p.a. i art. 6 oraz 7 k.p.a. zostały powiązane z konkretnymi działaniami Sądu pierwszej instancji, których legalność skarżący kwestionuje. Naczelny Sąd Administracyjny nie podziela oceny skarżącego w zakresie naruszenia tych przepisów, z przyczyn wskazanych w powyższym wywodzie. W rozpoznawanej sprawie organ przeprowadził konieczne postępowanie wyjaśniające, ustalił wszystkie istotne z punktu widzenia ewentualnej potencjalnej sprawy administracyjnej okoliczności dotyczące naruszenia danych osobowych, a następnie stwierdził, że do ich naruszenia nie doszło, co dało asumpt do wydania na podstawie art. 61a § 1 k.p.a. zaskarżonego postanowienia. Organ słusznie uznał, iż w rachubę wchodzi jedynie przeprowadzenie postępowania kontrolnego wszczynanego jednakże z urzędu i prowadzonego bez udziału skarżącego. Nie zostały tym samym naruszone przepisy art. 6 i 7 k.p.a.

Odniesienie się do pozostałych zarzutów jest niemożliwe, gdyż nie zostały one skonkretyzowane w skardze kasacyjnej. Naczelny Sąd Administracyjny nie może zasadniczo we własnym zakresie konkretyzować zarzutów skargi kasacyjnej, ani uściślać bądź w inny sposób ich korygować (por. wyrok NSA z dnia 27 stycznia 2015 r., sygn. akt II GSK 2140/13). Skarga kasacyjna jest bowiem wysoce sformalizowanym środkiem odwoławczym wnoszonym w konkretnej sprawie, co obliguje autora skargi kasacyjnej do powiązania zarzutu naruszenia wskazanej normy generalno-abstrakcyjnej z konkretnym działaniem bądź zaniechaniem sądu pierwszej instancji w danej sprawie. Oznacza to, że w skardze winny być sprecyzowane zarzuty kasacyjne w taki sposób, by możliwe było odniesienie się przez ich treść do zaskarżonego orzeczenia. Tym samym nieskuteczne okazać się muszą zarzuty abstrakcyjne, z których na przykład nie sposób wywieść jakie konkretnie działanie sądu naruszyło dany przepis. Przypadek taki zachodzi w odniesieniu do pozostałych zarzutów naruszenia prawa procesowego.

Naczelny Sąd Administracyjny uznał za bezzasadne również zarzuty naruszenia prawa materialnego. Szeroko odniósł się uprzednio do braku naruszenia przepisu art. 4 pkt 2 RODO. Stwierdzenie braku przetwarzania czyni bezprzedmiotowymi pozostałe zarzuty naruszenie poszczególnych przepisów RODO, gdyż tylko stwierdzenie przetwarzania danych osobowych stwarza możliwość ich naruszenia i analizy w tym zakresie przez Sąd drugiej instancji. W tym miejscu wskazać także należy, iż co do wszystkich pozostałych przepisów wskazanych w ramach zarzutu naruszenia prawa materialnego, za wyjątkiem zarzutu naruszenia art. 4 pkt 2 RODO, zarzut ich naruszenia jest abstrakcyjny, gdyż autorka skargi kasacyjnej nie wskazała, które konkretne działania organu, a następnie Sądu pierwszej instancji i w jaki sposób je naruszyły. Dotyczy to nie tylko zarzutu naruszenia przepisów RODO (za wyjątkiem jak już wskazano art. 4 pkt 2 RODO), lecz także przepisów art. 45 i 51 ust. 1 Konstytucji oraz art. 8 ust. 2 Karty Praw Podstawowych UE.

Dodatkowo zauważyć należy, iż w drodze zarzutu naruszenia prawa materialnego, autorka skargi kasacyjnej podejmuje próbę kwestionowania ustaleń faktycznych przyjętych przez organ za podstawę wydania zaskarżonego postanowienia. Stwierdzenie braku przetwarzania danych osobowych (litera "a" zarzutu) jest elementem stanu faktycznego sprawy. Próba zwalczenia ustaleń faktycznych poczynionych przez Sąd pierwszej instancji nie może następować przez zarzut naruszenia prawa materialnego (zob. wyrok NSA z dnia 29 stycznia 2013 r., I OSK 2747/12; wyrok NSA z dnia 6 marca 2013 r., II GSK 2327/1). Ocena zarzutu prawa materialnego może być dokonana wyłącznie na podstawie konkretnego stanu faktycznego, nie zaś na podstawie stanu faktycznego, który skarżący uznaje za prawidłowy (zob. wyrok NSA z dnia 6 marca 2013 r., II GSK 2328/11; wyrok NSA z dnia 14 lutego 2013 r., II GSK 2173/11). Ustalenia faktyczne nie są bowiem dokonywane w oparciu o przepisy prawa materialnego, a to oznacza, iż błąd w tym zakresie można kwestionować podnosząc zarzut naruszenia prawa procesowego. W rozpoznawanej sprawie zaś zarzuty procesowe okazały się nieskuteczne. Naczelny Sąd Administracyjny związany był w takiej sytuacji ustaleniami Sądu pierwszej instancji, w tym także ustaleniem, iż nie doszło do przetwarzania danych osobowych skarżącego. Z tych względów zarzuty naruszenia prawa materialnego nie mogły zostać uznane za uzasadnione.

Naczelny Sąd Administracyjny, działając na podstawie art. 184 p.p.s.a., orzekł o oddaleniu skargi kasacyjnej.