Centralna Baza Orzeczeń Sądów Administracyjnych

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Joanna Kube, Sędzia WSA Tomasz Szmydt (spr.), Sędzia WSA Andrzej Góraj, po rozpoznaniu w trybie uproszczonym w dniu 4 lutego 2021 r. sprawy ze skargi [...] Sp. z o. o. siedzibą w [...] na bezczynność Prezesa Urzędu Ochrony Danych Osobowych w przedmiocie rozpatrzenia wniosku z dnia [...] kwietnia 2018 r. 1. zobowiązuje Prezesa Urzędu Ochrony Danych Osobowych do rozpoznania wniosku [...] Sp. z o. o. siedzibą w [...] z dnia [...] kwietnia 2018 r. w terminie 30 dni od daty doręczenia prawomocnego wyroku wraz z aktami sprawy; 2. stwierdza, że bezczynność organu nie miała miejsca z rażącym naruszeniem prawa; 3. zasądza od Prezesa Urzędu Ochrony Danych Osobowych na rzecz [...] Sp. z o. o. siedzibą w [...] kwotę 697 (słownie: sześćset dziewięćdziesiąt siedem) złotych, tytułem zwrotu kosztów postępowania.

[...] Hotel [...] Spółka z o.o. z siedzibą w [...] (dalej "Spółka") wniosła skargę na bezczynność Prezesa Urzędu Ochrony Danych Osobowych (dalej "Prezes UODO", "PUODO") w przedmiocie rozpatrzenia wniosku z dnia [...] kwietnia 2018r.

Pismem z dnia [...] kwietnia 2018 roku (przesłanym listem poleconym w dniu 6 kwietnia 2018 roku i doręczonym organowi w dniu 10 kwietnia 2018 roku) Spółka złożyła wniosek (podanie) "o udzielenie informacji w zakresie stosowania ustawy o ochronie danych osobowych" na niezgodne z prawem (w ocenie Spółki) działania firmy [...] z siedzibą w [...], wpisaną do rejestru przedsiębiorców stanu [...] pod nr [...] (dalej jako "[...]") mające miejsce w odniesieniu do Spółki, w zakresie stosowania ustawy z dnia 29 sierpnia 1997 roku o ochronie danych osobowych.

Skarżący wskazywał, iż w jego ocenie wymóg nakładany na operatora hotelu przez sieć hotelową [...] w zakresie obowiązku przekazania do państwa trzeciego danych osobowych (imię i nazwisko) osób korzystających z usług hotelu, w zakresie rezerwacji dokonanych poza kanałami sprzedażowymi obsługiwanymi przez sieć hotelową, jest niezgodny z obowiązującymi przepisami i wniosła o zbadanie konkretnego przypadku odnoszącego się do [...].

Spółka wskazała, iż jest podmiotem zarządzającym obiektem zaszeregowanym i skategoryzowanym jako hotel. Zgodnie z umową podlicencyjną z dnia [...] stycznia 2015 roku, Spółka przystąpiła do sieci hotelowej zarządzanej przez [...]. W oparciu o umowę podlicencyjną [...] zobowiązuje operatorów hoteli, w tym Spółkę do wysyłania, za pomocą interfejsu [...], danych dotyczących rezerwacji hotelowych (data wyjazdu i przyjazdu oraz ilość zarezerwowanych miejsc noclegowych, a także jak się okazało w toku współpracy, także imienia i nazwiska osób korzystających z usług hotelu). Transfer danych dotyczy nie tylko rezerwacji dokonanych przez kanały sprzedażowe [...], ale także rezerwacji dokonanych poza kanałami sprzedażowymi [...] (samodzielnie przez operatora hotelu w miejscu świadczenia usług lub za pośrednictwem innych podmiotów, w szczególności portali [...],[...],[...],[...]). Transfer danych następował poza Europejski Obszar Gospodarczy (do [...]) za pośrednictwem programu komputerowego zakupionego przez Spółkę od [...] S.A. [...] S.A. była podmiotem rekomendowanym przez [...], a dostarczony program był kompatybilny z oprogramowaniem funkcjonującym w sieci hotelowej zarządzanej przez [...]. Zgodnie z zawartą umową podlicencyjną - zapewnienie funkcjonalności [...] było obligatoryjnym wymogiem funkcjonowania obiektu hotelowego w sieci hotelowej zarządzanej przez [...] i bez tego systemu ([...]) Spółka w ogóle nie mogłaby zawrzeć umowy o zarządzanie hotelem. Zgodnie z oczekiwaniem [...], Spółka zakupiła od [...] S.A. licencję na program hotelowy i wdrożyła jego funkcjonowanie dla potrzeb obiektu hotelowego.

Skarżący wskazuje, że Spółka nie miała wpływu na określenie funkcjonalności dostarczonego oprogramowania, a bazowała wyłącznie na zapewnieniach przedstawicieli [...] i rekomendowanego przez [...] - [...] S.A. - że oprogramowanie jest stosowane także w innych obiektach hotelowych i jest w pełni zgodne z obowiązującym prawem.

W sierpniu 2017 roku, Spółka powzięła informację, że [...], za pośrednictwem programu dostarczonego przez [...] S.A., pobiera także dane osobowe (imię i nazwisko wszystkich osób korzystających z usług hotelu, niezależnie od sposobu rezerwacji), a nie tylko informacje odnośnie daty wyjazdu i przyjazdu oraz ilości zarezerwowanych miejsc noclegowych. Powyższe dotyczy także rezerwacji dokonanych poza kanałami sprzedażowymi [...]. Do sierpnia 2017 roku Spółka pozostawała w przekonaniu, że program [...] nie pobiera jakichkolwiek danych osobowych, a jedynie informacje dotyczące dat i zakresu rezerwacji pokoi hotelowych. Skarżący podnosił, że ani [...], ani [...] S.A. nigdy nie informowały Spółki, że program [...] ma funkcjonalność umożliwiającą na transfer danych osobowych, w szczególności danych osobowych gości hotelowych dokonujących rezerwacji poza kaniami sprzedażowymi [...]. [...]S.A. zapewniało funkcjonalność [...], niemniej [...] S.A. nigdy nie miało zgody Spółki na gromadzenie danych osobowych i dalsze ich przetwarzanie, a w szczególności nigdy nie miało zgody na przekazywanie danych do państw trzecich.

Skarżący podkreślał, że nie jest uprawniony do przesyłania danych gości hotelowych do [...] bez zgody gościa hotelowego ani nie ma prawa zmusić gościa hotelowego do wyrażenia zgody na przetwarzanie danych osobowych poprzez warunkowanie wykonania usługi hotelowej od wyrażenia zgody. W ocenie Spółki zasady działania interfejsu [...], narzucone przez [...], skutkowały przesyłaniem danych osobowych wszystkich gości hotelowych za granicę (poza Europejski Obszar Gospodarczy), bez zgody i wiedzy Spółki. Spółka wielokrotnie informowała [...] oraz [...] S.A. o nieprawidłowościach, a pomimo, to odmówiono zmiany sposobu funkcjonowania interfejsu [...], tak aby w efekcie zapewnić funkcjonowanie interfejsu [...] zgodnie z obowiązującym prawem. Z uwagi na powyższe okoliczności, Spółka zażądała odłączenia [...] w grudniu 2017 roku. Zaprzestanie korzystania z interfejsu [...] przez Spółkę skutkowało wyłączeniem hotelu z sieci zarządzanej przez [...], co nastąpiło w grudniu 2017 roku.

Zdaniem Spółki, oczekiwanie [...] odnośnie przesyłania danych osobowych gości hotelowych naruszało przepisy o ochronie danych osobowych, ponieważ wykraczało poza sferę realizacji umów zawartych przez Spółkę z gośćmi hotelowymi, którzy są dysponentami swoich danych osobowych i nie wyrazili. Spółce, ani innym podmiotom, zgody na przetwarzanie swoich danych osobowych w innym celu, niż w związku z realizacją umowy o świadczenie usług w obiekcie hotelowym. W ocenie Spółki, działanie [...] i [...] S.A. były sprzeczne z obowiązującym prawem, a wobec tego Spółka złożyła wniosek, stanowiący zdanie Spółki skargę na takie naruszenie prawa - z dnia [...] kwietnia 2018 roku, która do chwili obecnej nie została rozpoznana.

Wobec braku odpowiedzi ze strony organu na złożony w dniu [...] kwietnia 2018 roku wniosek, pismem z dnia [...] października 2018 roku (doręczonym w dniu 29 października 2018 roku) Spółka złożyła do organu ponaglenie (wniosek o przyśpieszenie rozpoznania sprawy).

We wskazanym ponagleniu. Spółka wskazała, iż zwraca się do organu z wnioskiem o przyspieszenie rozpoznania wniosku kierowanego do Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] kwietnia 2018 roku. Powyższy wniosek Spółka motywowała tym, iż wniosek z dnia [...] kwietnia 2018 roku został złożony ponad 6 miesięcy temu, a przedmiotowa informacja jest bardzo ważna dla ewentualnego rozstrzygnięcia prowadzonego przez Spółkę sporu z [...] (postępowanie o zapłatę toczące się przed Sądem Okręgowym w [...] Wydział [...] Sąd [...] ul. [...],[...] w sprawie do sygn. akt: [...]).

Skarżący wskazywał, iż pomimo złożonego w dniu 23 października 2018 roku ponaglenia, organ nadał nie wykonał żadnych czynności w sprawie, ani nie poinformował Spółki o sposobie załatwienia sprawy.

Organ wskazywał, iż do Biura Generalnego Inspektora Ochrony Danych Osobowych wpłynął w dniu [...] kwietnia 2018 r. wniosek Prezesa [...] Hotel [...] Sp. z o.o. (ul. [...],[...]) z [...]kwietnia 2018 r. — cyt.: "o udzielenie informacji w zakresie stosowania ustawy o ochronie danych osobowych", a dokładniej — cyt.: "czy zasady działania interfejsu [...], narzucone przez [...] (zwany dalej: Franczyzodawcą przy pomocy, którego Franczyzodawca pobierał dane osobowe (imię i nazwisko) wszystkich Gości hotelowych i przekazywał je za granicę (poza Europejski Obszar Gospodarczy), bez zgody i wiedzy [...] Hotel [...] sp. z o.o. oraz samych Gości hotelowych jest zgodny z obowiązującymi przepisami prawa. Franczyzodawca nie uwzględnił w interfejsie [...] faktu, iż Gość hotelowy może nie wyrazić zgody na przetwarzanie jego danych osobowych przez podmioty trzecie oraz na transfer ich za granicę".

Organ podnosił, iż zarówno z tytułu jak i z treści wniosku wynika, że stanowił on pytanie, w związku z czym tak właśnie został zakwalifikowany i zarejestrowany pod nr [...], a następnie — po zmianie struktury urzędu - pod nr [...].

W dniu 29 października 2018 r. do Urzędu Ochrony Danych Osobowych (dalej: UODO) wpłynął wniosek [...] Hotel [...] sp. z o.o. z dnia [...] października 2018 r. - cyt.: "o przyspieszenie rozpoznania wniosku o udzielenie informacji w zakresie stosowania ustawy o ochronie danych osobowych", ponieważ — cyt.: "przedmiotowa informacja jest bardzo ważna dla ewentualnego rozstrzygnięcia prowadzonego przez Spółkę sporu z [...]".

Organ przyjął, iż w ustawie z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (wówczas Dz.U. z 2016 r. poz. 922 oraz Dz.U. z 2018 poz.138, art. 282; dalej u.o.d.o.), jak i w Rozporządzeniu Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z 4 maja 2016 r., str. 1, ze zm.; dalej RODO) podstaw prawnych obligujących organ ochrony danych osobowych do udzielania odpowiedzi na takie pytania. Zatem wniosek [...] Hotel [...] sp. z o.o. pozostał bez odpowiedzi. GIODO, a obecnie Prezes UODO, nie podjął w tej sprawie żadnych czynności.

W dniu 5 sierpnia 2019 r. do UODO wpłynęło datowane na [...] lipca 2019 r. pismo prokurenta [...] Hotel [...] sp. z o.o.. L. G. zatytułowane - cyt.: "Pismo skarżącej wniosek o udzielenie odpowiedzi w sprawie skargi z dnia [...].04.2019 roku".

W dniu 8 sierpnia 2019 r. do UODO wpłynęła skarga [...] Hotel [...] sp. z o.o. na bezczynność Prezesa Urzędu Ochrony Danych Osobowych w opisanej sprawie.

Wojewódzki Sąd Administracyjny w Warszawie postanowieniem z dnia 6 listopada 2019 r. sygn. akt II SAB/Wa 692/19 odrzucił skargę [...] Hotel [...] sp. z o.o. z siedzibą w [...] na bezczynność Prezesa Urzędu Ochrony Danych Osobowych w przedmiocie rozpatrzenia skargi z [...] kwietnia 2018 r. W motywach rozstrzygnięcia Sąd I instancji wskazał, że strona skarżąca substratem skargi uczyniła bezczynność Prezesa Urzędu Ochrony Danych Osobowych. Analiza pisma wniesionego przez stronę skarżącą wskazuje, że jest on niezadowolony z działania Prezesa Urzędu Ochrony Danych Osobowych, któremu zarzuca naruszenie przepisów ustawy o ochronie danych osobowych. W ocenie Sądu I instancji, wniesioną w niniejszej sprawie skargę należy uznać za tzw. skargę powszechną, jaką strona niezadowolona z nienależytego wykonywania zadań przez organ może wnieść na zasadzie przepisów działu VIII k.p.a. zatytułowanego "Skargi i wnioski". Przedmiotem skargi powszechnej może być bowiem w szczególności zaniedbanie lub nienależyte wykonywanie zadań przez właściwe organy albo przez ich pracowników, naruszenie praworządności lub interesów skarżących, a także przewlekłe lub biurokratyczne załatwianie spraw (art. 227 k.p.a.). W postępowaniu skargowym, rozpatrywanym w trybie działu VIII k.p.a., nie rozstrzyga się konkretnej sprawy administracyjnej, nie ma w nim stron postępowania, nie wydaje się rozstrzygnięć adresowanych do skarżącego, a jedynie zawiadamia się go o czynnościach wewnętrznych, zmierzających do wyjaśnienia okoliczności podniesionych w skardze oraz o sposobie załatwienia skargi.

Skargę kasacyjną od powyższego postanowienia wywiodła skarżąca Spółka.

Naczelny Sąd Administracyjny postanowieniem z dnia 22 września 2020r. sygn. akt I OSK 59/20 uchylił przedmiotowe postanowienie i wskazał, iż Sąd I instancji nie wykazał, że w sprawie wystąpiły przesłanki do zastosowania art. 58 § 1 pkt 1 p.p.s.a. Odrzucając skargę na podstawie tego przepisu WSA w Warszawie stwierdził, że skarga wniesiona przez Spółkę ma charakter skargi powszechnej składanej w trybie art. 227 k.p.a., co skutkowało uznaniem braku kompetencji Sądu do jej rozpoznania. W nader lakonicznym uzasadnieniu wskazał, że strona skarżąca "substratem skargi uczyniła bezczynność Prezesa Urzędu Ochrony Danych Osobowych. Analiza pisma wniesionego przez stronę skarżącą wskazuje, że jest on niezadowolony z działania Prezesa Urzędu Ochrony Danych Osobowych, któremu zarzuca naruszenie przepisów ustawy o ochronie danych osobowych". W ocenie Naczelnego Sądu Administracyjnego, treść skargi wniesionej w tej sprawie nie uprawniała do tak jednoznacznych wniosków i wymagała szerszej analizy prawnej i faktycznej. Brak stosownej w tym zakresie argumentacji czyniło kontrolowane postanowienie o braku właściwości sądu administracyjnego w rozpoznaniu przedmiotowej skargi przedwczesnym, jak również świadczyło o zasadności podniesionych w tej mierze zarzutów naruszenia art. 3 § 2 pkt 8 i 9 p.p.s.a.

Wojewódzki Sąd Administracyjny zważył, co następuje:

Zgodnie z brzmieniem art. 1 § 1 i 2 ustawy z dnia 25 lipca 2002 r. – Prawo o ustroju sądów administracyjnych (t.j. Dz. U. z 2018 r., poz. 1066), sąd administracyjny sprawuje wymiar sprawiedliwości m.in. poprzez kontrolę działalności administracji publicznej pod względem zgodności z prawem. Innymi słowy, wojewódzki sąd administracyjny nie orzeka co do istoty sprawy w zakresie danego przypadku, lecz jedynie kontroluje legalność rozstrzygnięcia zapadłego w tym postępowaniu, z punktu widzenia jego zgodności z prawem materialnym i obowiązującymi przepisami prawa procesowego.

Kognicja sądów administracyjnych do rozpoznania skarg na bezczynność wynika natomiast z art. 3 § 2 pkt 4 i 8 ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (t.j. Dz. U. z 2018, poz. 1302, dalej "p.p.s.a."). Stosownie do treści art. 149 § 1a ustawy sąd, uwzględniając skargę na bezczynność lub przewlekłe prowadzenie postępowania przez organy w sprawach określonych w art. 3 § 2 pkt 1-4a, stwierdza, czy bezczynność lub przewlekłe prowadzenie postępowania miały miejsce z rażącym naruszeniem prawa.

Wstępnej analizy wymaga dyspozycja art. 3 § 2 p.p.s.a. i art. 58 § 1 pkt 1 p.p.s.a. w zestawieniu z dyspozycją art. 227 k.p.a., co warunkuje ocenę tego czy skarga podlega merytorycznemu rozpoznaniu przed sądem administracyjnym.

Na podstawie art. 58 § 1 pkt 1 p.p.s.a. sąd odrzuca skargę, jeżeli sprawa nie należy do właściwości sądu administracyjnego. Właściwość sądów administracyjnych została wskazana w art. 3 § 2 p.p.s.a. Artykuł 3 § 2 pkt 8 i 9 p.p.s.a. stanowi, że kontrolą sądów administracyjnych objęta jest bezczynność lub przewlekłe prowadzenie postępowania w przypadkach określonych w punktach 1-4, oraz bezczynność lub przewlekłe prowadzenie postępowania w sprawach dotyczących innych niż określone w pkt 1-3 aktów lub czynności z zakresu administracji publicznej dotyczących uprawnień lub obowiązków wynikających z przepisów prawa podjętych w ramach postępowania administracyjnego określonego w ustawie z dnia 14 czerwca 1960 r. – Kodeks postępowania administracyjnego oraz postępowań określonych w działach IV, V i VI ustawy z dnia 29 sierpnia 1997 r. – Ordynacja podatkowa oraz postępowań, do których mają zastosowanie przepisy powołanych ustaw.

Należy zatem ocenić czy w przedmiotowej sprawie występuje tzw. skarga powszechna, jaką strona niezadowolona z nienależytego wykonywania zadań przez organ może wnieść na zasadzie przepisów działu VIII k.p.a. zatytułowanego "Skargi i wnioski". Przedmiotem skargi powszechnej może być w szczególności zaniedbanie lub nienależyte wykonywanie zadań przez właściwe organy albo przez ich pracowników, naruszenie praworządności lub interesów skarżących, a także przewlekłe lub biurokratyczne załatwianie spraw (art. 227 k.p.a.). W postępowaniu skargowym, rozpatrywanym w trybie działu VIII k.p.a., nie rozstrzyga się konkretnej sprawy administracyjnej, nie ma w nim stron postępowania, nie wydaje się rozstrzygnięć adresowanych do skarżącego, a jedynie zawiadamia się go o czynnościach wewnętrznych, zmierzających do wyjaśnienia okoliczności podniesionych w skardze oraz o sposobie załatwienia skargi. W konsekwencji, działania administracji publicznej będące przedmiotem tego typu skarg nie podlegają kontroli sądów administracyjnych z uwagi na to, iż nie mieszczą się w katalogu czynności i aktów poddawanych nadzorowi sądowemu w świetle art. 3 § 2, § 2a i § 3 p.p.s.a.

Do Biura Generalnego Inspektora Ochrony Danych Osobowych wpłynął w dniu 10 kwietnia 2018 r. wniosek Prezesa [...] Hotel [...] Sp. z o.o. (ul. [...],[...]) z dnia [...] kwietnia 2018 r.: "o udzielenie informacji w zakresie stosowania ustawy o ochronie danych osobowych", a dokładniej — cyt.: "czy zasady działania interfejsu [...], narzucone przez [...] (zwany dalej: Franczyzodawcą przy pomocy, którego Franczyzodawca pobierał dane osobowe (imię i nazwisko) wszystkich Gości hotelowych i przekazywał je za granicę (poza Europejski Obszar Gospodarczy), bez zgody i wiedzy [...] Hotel [...] sp. z o.o. oraz samych Gości hotelowych jest zgodny z obowiązującymi przepisami prawa. Franczyzodawca nie uwzględnił w interfejsie [...] faktu, iż Gość hotelowy może nie wyrazić zgody na przetwarzanie jego danych osobowych przez podmioty trzecie oraz na transfer ich za granicę".

Organ podnosił, iż zarówno z tytułu jak i z treści wniosku wynika, że stanowił on pytanie, w związku z czym tak właśnie został zakwalifikowany i zarejestrowany pod nr [...], a następnie — po zmianie struktury urzędu - pod nr [...].

Dokonując wstępnej analizy wniosku organ posłużył się wykładnią literalną i z tego tytułu nie można organowi postawić żadnego zarzutu. Treść pisma wskazywała w jakich obszarach wnioskodawca domagał się działania organu (de facto zapytanie dotyczyło wykładni przepisów).

Okoliczność tą potwierdza kolejne pismo skarżącego skierowane do organu. W dniu 29 października 2018 r. do Urzędu Ochrony Danych Osobowych wpłynął wniosek [...] Hotel [...] sp. z o.o. z dnia [...] października 2018 r. - cyt.: "o przyspieszenie rozpoznania wniosku o udzielenie informacji w zakresie stosowania ustawy o ochronie danych osobowych", ponieważ — cyt.: "przedmiotowa informacja jest bardzo ważna dla ewentualnego rozstrzygnięcia prowadzonego przez Spółkę sporu z [...]".

Natomiast w następnym piśmie skarżący wyraźnie i w sposób jednoznaczny wyartykułował żądanie określonego działania po stronie organu. Oczekiwanym działaniem nie było już udzielenie informacji prawnej (wykładni przepisów) lecz podjęcie postępowania wobec podnoszonych przez skarżącego naruszeń w zakresie ochrony danych osobowych. W dniu 5 sierpnia 2019 r. do UODO wpłynęło datowane na [...] lipca 2019 r. pismo prokurenta [...] Hotel [...] sp. z o.o. L. G. zatytułowane "Pismo skarżącej wniosek o udzielenie odpowiedzi w sprawie skargi z dnia [...].04.2019 roku". W zestawieniu treści ww. pisma z treścią poprzedzających pism organ miał już wiedzę o tym, iż podmiot oczekuje na wszczęcie postępowania. Jest to tym bardziej czytelne, iż skarżący w pismach do organu wskazywał na konkretne nieprawidłowości występujące w jego ocenie w obszarze dysponowania danymi osobowymi klientów (nieuprawione przekazywanie danych osobowych klientów do podmiotu mającego siedzibę w USA). Organ winien więc na tym etapie ocenić swoją właściwość rzeczową i miejscową oraz podjąć określone działanie.

W rozpoznawanej sprawie skarga jest zatem dopuszczalna, przy czym przed jej wniesieniem skarżący wystąpił z ponagleniem w trybie art. 37 § 1 k.p.a.

Należy wskazać, iż w krajowym porządku prawnym od dnia 25 maja 2018 r. funkcjonuje rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z 4 maja 2016 r., str. 1 oraz Dz. Urz. UE L 127 z 23.05.2018 r., s. 2., dalej "rozporządzenie 2016/679"), prawodawca unijny przewidział termin 3 miesięcy na rozpatrzenie przez organ nadzorczy - właściwy zgodnie z art. 55 i 56 rozporządzenia 2016/679 - skargi bądź poinformowanie osoby, której dane dotyczą, o postępach lub efektach rozpatrywania skargi. Dopiero po upływie tego terminu, wobec braku ww. działań po stronie organu nadzorczego osoba, której dane dotyczą, ma prawo do skutecznego środka ochrony prawnej przed sądem (art. 78 ust. 2 rozporządzenie 2016/679).

Przyznając pierwszeństwo regulacjom zawartym w rozporządzeniu 2016/679 nad prawem krajowym należało uznać, iż organ pozostawał w bezczynności, co w znacznym stopniu wynikało z zawiłości sprawy oraz ostatecznego sprecyzowania żądania przez skarżącego dopiero w piśmie z dnia [...] sierpnia 2019 r.

Odnosząc się do przepisów rozporządzeniu 2016/679 należało uznać, iż 3 miesięczny termin wskazany w niniejszej regulacji został przez organ przekroczony. Sąd nie mógł przy tym dokonać kontroli prawidłowości postępowania administracyjnego w oderwaniu od regulacji krajowych, takich jak art. 12 k.p.a. zgodnie, z którym organy administracji publicznej powinny działać w sprawie wnikliwie i szybko, posługując się możliwie najprostszymi środkami prowadzącymi do jej załatwienia. Sprawy, które nie wymagają zbierania dowodów, informacji lub wyjaśnień, powinny być załatwione niezwłocznie. Zasada szybkości postępowania wyrażona we wskazanym przepisie ściśle związana z regulacjami zawartymi w art. 35-38 k.p.a., nie może jednak pozostawać w sprzeczności z obowiązkiem organu dokładnego wyjaśnienia stanu faktycznego oraz dokładnego wyjaśnienia sprawy, mając na względzie interes społeczny i słuszny interes obywatela. Niekiedy może to się wiązać z koniecznością dłuższego prowadzenia postępowania i wówczas, stosownie do treści art. 36 § 1 k.p.a., organ obowiązany jest zawiadomić o tym strony, podając przyczyny zwłoki i wskazując nowy termin załatwienia sprawy. Podkreślić należy również, że samo informowanie o niezałatwieniu sprawy w terminie nie chroni organu przed zarzutem przewlekłości postępowania, ponieważ działania organu w tym zakresie również podlegają kontroli sądu administracyjnego. W sprawach ze skargi na przewlekłość postępowania administracyjnego sąd administracyjny bada, czy podejmowane przez organ czynności zmierzają do należytego i szybkiego załatwienia sprawy. Natomiast z bezczynnością organu mamy do czynienia wtedy, gdy organ w ogóle nie podejmuje żadnych czynności, co w przedmiotowej sprawie miało miejsca. Kwestie związane z trudnościami organu wynikającymi z konieczności gromadzenia materiału dowodowego, czy też z błędnej wykładni przepisów nie zwalnia organu z odpowiedzialności. Pogląd ten jest zgodny z powszechnie aprobowaną zasadą, że realizacja kompetencji organu administracji publicznej jest jego prawnym obowiązkiem, od którego nie zwalniają go tzw. trudności obiektywne w postaci złożoności sprawy, kumulacji spraw, braku etatów czy też środków pieniężnych. Poza tym strona nie może ponosić negatywnych skutków braku działań leżących po stronie organu, w tym w zakresie dotrzymywania terminów załatwienia sprawy. Dodać również należy, że jednym z podstawowych zadań organu administracji publicznej jest rozstrzyganie, co do istoty indywidualnych spraw w drodze decyzji administracyjnej.

Wracając do meritum sprawy, jak Sąd wspomniał wcześniej, skarżący dopiero w piśmie z dnia [...] sierpnia 2019 r. (data wpływu) sprecyzował żądanie a sprawa należy do zawiłych. Świadczy o tym chociażby postanowienie WSA w Warszawie z dnia 6 listopada 2019r. uchylone postanowieniem NSA z dnia 22 września 2020r. Nie ma natomiast podstaw do tego aby organowi zarzucić lekceważenie sprawy, co stanowi o tym, iż nie można PUDO przypisać rżącego naruszenia prawa. Okoliczności te nie wpływają natomiast na ocenę, iż organ dopuścił się bezczynności w przedmiotowej sprawie.

Mając powyższe na względzie Wojewódzki Sąd Administracyjny w Warszawie na podstawie art. 149 § 1 pkt 1 i 3 ustawy – Prawo o postępowaniu przed sądami administracyjnymi (t.j. Dz. U. z 2018 r., poz. 1302 ze zm.) zobowiązał Prezesa UODO do rozpatrzenia wniosku skarżącego w terminie 30 dni od daty doręczenia prawomocnego wyroku oraz stwierdził, iż organ dopuścił się bezczynności, która nie stanowiła jednak rażącego naruszenia prawa. Konsekwencją uwzględnienia skargi było obciążenie organu kosztami postępowania sądowego poniesionymi przez stronę skarżącą. O kosztach postępowania orzeczono stosownie do treści art. 200 w związku z art. 210 § 1 Prawa o postępowaniu przed sądami administracyjnymi.