Centralna Baza Orzeczeń Sądów Administracyjnych

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Karolina Kisielewicz, Sędzia WSA Joanna Kube (spr.), Sędzia WSA Agnieszka Góra-Błaszczykowska, , po rozpoznaniu w trybie uproszczonym w dniu 18 sierpnia 2022 r. sprawy ze skargi W. A. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] grudnia 2021 r. nr [...] w przedmiocie umorzenia postępowania oddala skargę

Prezes Urzędu Ochrony Danych Osobowych, dalej: "Prezes UODO", decyzją

z dnia [...] grudnia 2021 r. nr [...], na podstawie art. 105 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U.

z 2021 r. poz. 735) w zw. z art. 7 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781), umorzył postępowanie administracyjne w sprawie ze skargi W. A. na nieprawidłowości w procesie przetwarzania przez [...] Sp. z o.o. z siedzibą w [...], dalej: "Spółka", jej danych osobowych polegające na udostępnieniu danych osobowych skarżącej na rzecz podmiotów nieuprawnionych, przetwarzaniu danych osobowych skarżącej zawartych w kopii dowodu osobistego bez podstawy prawnej oraz niewypełnieniu obowiązku informacyjnego z art. 33 ust. 1 i art. 32 ust. 1 pkt 5 ustawy z dnia 29 sierpnia 1997 r.

o ochronie danych osobowych (Dz. U. z 2016 r., poz. 922 z późn. zm.).

Prezes UODO ustalił następujący stan faktyczny w sprawie:

Skarżąca pismem z dnia [...] sierpnia 2018 r. wniosła o przeprowadzenie kontroli przetwarzania jej danych osobowych i ustalenie, czy Spółka udostępniła jej dane osobowe w tym bilingi rozmów, a jeżeli tak to kiedy i komu, pozyskanie wniosków od Spółki, na podstawie których udostępniono jej dane osobowe, w tym bilingi rozmów, ustalenie winnych nieudzielenia jej odpowiedzi na wnioski z dnia [...] grudnia 2017 r. oraz [...] stycznia 2018 r. oraz pociągnięcia ich do odpowiedzialności, nałożenie kary pieniężnej na Spółkę, zobligowanie Spółki do zaniechania naruszania przepisów dotyczących ochrony danych osobowych w stosunku do jej osoby, zobligowanie Spółki do usunięcia ze swoich zbiorów kserokopii dowodu osobistego wykonanej w celu zawarcia umowy, spowodowanie usunięcia skutków dokonanych naruszeń poprzez zobligowanie Spółki do pozyskania zwrotnego ewentualnie udostępnionych danych osobowych do nieuprawnionych osób/podmiotów i ich zniszczenia w celu zapobieżenia rozpowszechnianiu tych danych.

Decyzją z dnia [...] sierpnia 2020 r. nr [...] Prezes UODO:

1. nakazał Spółce usunięcie danych osobowych zawartych w kopii dowodu osobistego skarżącej dotyczących jej danych osobowych w zakresie: obywatelstwa, nazwiska rodowego, imion rodziców, daty i miejsca urodzenia, płci, wzrostu w centymetrach, koloru oczu, nazwy organu wydającego dowód osobisty, daty wydania i terminu ważności, serii i numeru dowodu osobistego oraz wizerunku twarzy i wzoru podpisu;

2. w pozostałym zakresie umorzył postępowanie.

Prezes UODO uzasadniając pkt 2 ww. decyzji podał, że przetwarzanie przez Spółkę danych osobowych skarżącej poprzez udostępnienie ich podmiotom nieuprawnionym i niewykonanie obowiązku informacyjnego wobec skarżącej miało miejsce (rozpoczęło się i zakończyło) przed dniem 25 maja 2018 r., a więc pod rządami ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r. poz. 922 ze zm.), a postępowanie administracyjne w tej sprawie zostało zainicjowane po dniu 25 maja 2018 r., a więc pod rządami rozporządzenia Parlamentu Europejskiego

i Rady UE 2016/679 z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych

w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z 04.05.2016, str. 1 oraz Dz. Urz. UE L 127 z 23.05.2018, str. 2 z późn. zm., dalej: "RODO", "rozporządzenie") i ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych.

Organ podał, że RODO ma zastosowanie wyłącznie w sprawach, w których skargę na niezgodne z prawem przetwarzanie danych osobowych wniesiono od dnia 25 maja 2018 r. (data wejścia w życie RODO - art. 99 ust. 1) i w tej dacie kwestionowany proces przetwarzania danych osobowych trwał.

Skoro zarzucane przetwarzanie danych ma charakter zakończony i nie było kontynuowane po 25 maja 2018 r., to organ nie może dokonać oceny zgodności

z prawem (RODO) działań administratora danych i zastosować uprawnienia naprawcze o których mowa w art. 58 rozporządzenia. W konsekwencji postępowanie w tym zakresie jest bezprzedmiotowe w rozumieniu art. 105 § 1 k.p.a. (nie można załatwić sprawy co do istoty).

Po rozpoznaniu skargi W. A. Wojewódzki Sąd Administracyjny

w Warszawie, wyrokiem z dnia 5 maja 2021 r. sygn. akt II SA/Wa 2014/20, uwzględnił jej skargę i uchylił pkt 2 ww. decyzji w zakresie umorzenia postępowania. Sąd oddalił natomiast skargę Spółki w zakresie pkt 1 ww. decyzji.

Zdaniem Sądu rozpatrującego sprawę o sygn. akt II SA/Wa 2014/20, kontrolowana decyzja w części, w której orzeka o umorzeniu postępowania, została wydana z naruszeniem art. 7, art. 77 § 1 oraz art. 107 § 3, a w konsekwencji art. 105 § 1 k.p.a. Sąd podzielił stanowisko skarżącej, że Prezes UODO nie ustalił i nie wyjaśnił,

w jakim okresie Spółka udostępniała jej dane osobowe. Nie wyjaśnił również, dlaczego przyjął, że przetwarzanie tych danych zostało zakończone pod rządem ustawy

o ochronie danych osobowych z 1997 r. Te okoliczności faktyczne mają istotne znaczenie dla wyniku postępowania, ponieważ obecnie obowiązująca ustawa

o ochronie danych osobowych oraz rozporządzenie RODO, mają zastosowanie do zdarzeń powstałych po jej wejściu w życie, ale także do tych, które miały miejsce wcześniej i trwają dalej po 25 maja 2018 r. Uzasadnienie decyzji w tym zakresie jest lakoniczne i ogranicza się do stwierdzenia, że kwestionowane przetwarzanie danych osobowych zostało zakończone i nie było kontynuowane po dniu 25 maja 2018 r.

Wyrok w sprawie o sygn. akt II SA/Wa 2014/20 jest prawomocny od dnia

3 sierpnia 2021 r.

Prezes UODO po ponownym rozpoznaniu sprawy wydał w dniu [...] grudnia 2021 r. decyzję nr [...] o umorzeniu postępowania na podstawie art. 105 § 1 k.p.a.

Uzasadniając rozstrzygnięcie wskazał, że w czasie, gdy miały miejsce zdarzenia opisane w skardze, polegające na udostępnieniu danych skarżącej, obowiązywały przepisy ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U.

z 2016 r., poz. 922 z późn. zm.). Przepisy te określały zasady przetwarzania danych osobowych do 24 maja 2018 r., natomiast od 25 maja 2018 r. obowiązują przepisy RODO oraz ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U.

z 2019 r. poz. 1781).

Spółka do treści wyjaśnień z dnia [...] września 2021 r. załączyła szczegółowy wykaz dat udostępnień danych osobowych skarżącej na rzecz wskazanych podmiotów trzecich, zgodnie z którym te dane udostępniała w dniach [...] kwietnia 2013 r.,

[...] czerwca 2013 r., [...] lipca 2013 r., [...] czerwca 2014 r., [...] października 2016 r., [...] marca 2017 r. oraz [...] lutego 2018 r. Tym samym wszystkie powyższe procesy przetwarzania danych osobowych skarżącej, polegające na ich udostępnieniach na rzecz podmiotów trzecich, miały miejsce na podstawie ustawy z dnia 29 sierpnia 1997 r.

Organ przyjął zatem, iż opisane w treści skargi zdarzenia nie mogą być rozpatrywane w toku postępowania administracyjnego zmierzającego do wydania decyzji w oparciu o przepisy RODO. Procesy przetwarzania danych osobowych przez skarżony podmiot, polegające na udostępnieniu danych osobowych skarżącej rozpoczęły się i zakończyły przed 25 maja 2018 r. Artykuł 99 ust. 1 RODO wprost wskazuje, że rozporządzenie to ma zastosowanie od dnia 25 maja 2018 r. W związku

z tym, przepisy RODO mają zastosowanie wyłącznie w sprawach, w których skargę wniesiono od 25 maja 2018 r. i w tej dacie kwestionowany proces przetwarzania danych osobowych trwał.

Jednocześnie organ wskazał, że zgodnie z motywem 122 RODO, "każdy organ nadzorczy powinien być właściwy na terytorium swojego państwa członkowskiego do wykonywania uprawnień i wypełniania zadań powierzonych mu w myśl niniejszego rozporządzenia. (...) Powinno to dotyczyć rozpatrywania skarg wnoszonych przez osoby, których dane dotyczą, prowadzenia postępowań sprawie stosowania niniejszego rozporządzania oraz uświadamiania ryzyka, zasad zabezpieczeń praw związanych

z przetwarzaniem danych osobowych".

Prezes UODO zwrócił uwagę, że zgodnie z art. 55 ust. 1 RODO, każdy organ nadzorczy jest właściwy do wypełniania zadań i wykonywania uprawnień powierzonych mu zgodnie z niniejszym rozporządzeniem na terytorium swojego państwa członkowskiego, natomiast do zadań organu nadzorczego należy prowadzenie postępowań w sprawie stosowania tego rozporządzenia (art. 57 ust. 1 lit. h RODO). Artykuł 58 RODO określa zaś uprawnienia organu nadzorczego. Przepisy art. 58 ust. 1, 2 i 3 RODO wyliczają uprawnienia przysługujące każdemu organowi nadzorczemu - uprawnienia do prowadzenia postępowań, uprawnienia naprawcze i do nakładania kar, uprawnienia do udzielania zezwoleń i uprawnienia doradcze oraz uprawnienia do zgłaszania naruszeń organom wymiaru sprawiedliwości oraz do udziału

w postępowaniu sądowym.

Ocena dokonywana przez Prezesa UODO w każdym przypadku służy zbadaniu zasadności skierowania pod adresem określonego podmiotu rozstrzygnięcia odpowiadającego dyspozycji art. 58 ust. 2 RODO służącego przywróceniu stanu zgodnego z prawem. W przedmiotowej sprawie organ nadzorczy nie ma możliwości zastosowania przysługujących mu uprawnień naprawczych. Zdarzenia, których przedmiotowa skarga dotyczy, polegające na udostępnieniu danych osobowych skarżącej były procesami jednorazowymi i zakończyły się przed dniem 25 maja 2018 r., a postępowanie administracyjne w tej sprawie zostało zainicjowane po 25 maja 2018 r.

Z uwagi na fakt, że kwestionowane w skardze zdarzenia, polegające na udostępnieniu danych osobowych skarżącej na rzecz podmiotów trzecich, miały miejsce i zakończyły się w czasie, gdy obowiązywały przepisy ustawy z dnia 29 sierpnia 1997 r., a postępowanie administracyjne przed organem nadzorczym zostało zainicjowane

w czasie, gdy zaczęły obowiązywać przepisy ustawy z dnia 10 maja 2018 r., do rozstrzygnięcia przedmiotowej sprawy nie jest możliwe również zastosowanie przepisów ustawy z dnia 29 sierpnia 1997 r. Artykuł 160 ust. 1 i 2 ustawy z dnia 10 maja 2018 r. stanowi, że jedynie postępowania wszczęte i niezakończone przed dniem wejścia w życie niniejszej ustawy z dnia 10 maja 2018 r., są prowadzone przez Prezesa UODO, na podstawie ustawy z dnia 29 sierpnia 1997 r. Tym samym Prezes UODO nie ma możliwości prowadzenia postępowania administracyjnego w oparciu o przepisy ustawy z dnia 29 sierpnia 1997 r., gdyż postępowanie w przedmiotowej sprawie zostało wszczęte po dniu wejścia w życie ustawy z dnia 10 maja 2018 r. Brak jest również podstawy do korzystania przez Prezesa UODO z uprawnień przewidzianych

w uchylonej ustawie z 29 sierpnia 1997 r., w tym do oceny zgodności zachowania administratora z ww. przepisami w przypadku, gdy skarżone procesy przetwarzania nie były kontynuowane po 25 maja 2018 r. Organ nie może również dokonać oceny zgodności kwestionowanych w skardze działań administratora z RODO, ponieważ zdarzenia będące przedmiotem skargi mają charakter zakończony i nie były kontynuowane po 25 maja 2018 r. Ponadto, brak jest obecnie przepisów kompetencyjnych uprawniających organ do prowadzenia postępowania w przedmiocie oceny zgodności działania administratora z przepisami ustawy z 29 sierpnia 1997 r.

Z powyższych powodów organ nie może dokonać także oceny kwestionowanego niespełnienia obowiązku informacyjnego, związanego z ww. udostępnieniami. W tej sytuacji niniejsze postępowanie podlega umorzeniu na podstawie art. 105 § 1 k.p.a.

W. A. wniosła do Wojewódzkiego Sądu Administracyjnego

w Warszawie skargę na decyzję Prezesa UODO z dnia [...] grudnia 2021 r. nr [...].

Skarżąca zażądała uchylenia zaskarżonej decyzji w całości i nakazania wykonania wskazań prawomocnego wyroku WSA w Warszawie z dnia 5 maja 2021 r. sygn. akt II SA/Wa 2014/20 w zakresie ustalenia faktów, celowości, adekwatności, legalności oraz czasokresu udostępniania (ujawniania) jej danych osobowych, a także nakazanie wyłączenia ze sprawy pracowników, którzy dopuścili się rażących uchybień

i nieprawidłowości wskazanych wyrokiem WSA w Warszawie sygn. akt II SA/Wa 2014/20 z dnia 5 maja 2021 r. oraz z dnia 20 maja 2020 r. sygn. akt II SAB/Wa 182/20, a także wykonania obowiązków wynikających z ustawy o odpowiedzialności majątkowej funkcjonariuszy publicznych za rażące naruszenie prawa przez tych pracowników. Ponadto, wniosła o zasądzenie zwrotu kosztów postępowania.

Skarżąca zarzuciła organowi naruszenie:

1. art. 107 § 1 pkt 8 i § 3 w zw. z art. 109 § 1 k.p.a. w wyniku doręczenia skarżącej elektronicznie poprzez system ePUAP niepodpisanej decyzji, jako skanu stanowiącego załącznik do pisma przewodniego, a także sporządzenia uzasadnienia zawierającego lakoniczne cytowanie przepisów nie związanych ze sprawą i braku ich odniesienia do faktów, które nie zostały ustalone przez organ według wskazań zawartych w wyroku WSA w Warszawie z dnia 5 maja 2021 r. sygn. akt II SA/Wa 2014/20, uchylającego poprzednią decyzję organu z dnia [...] sierpnia 2020 r. w tym samym zakresie;

2. art. 153 p.p.s.a. poprzez niewykonanie wskazań zawartych w prawomocnym wyroku WSA w Warszawie z dnia 5 maja 2021 r. sygn. akt II SA/Wa 2014/20 i niedokonanie żadnych ustaleń faktycznych związanych z bezpodstawnym i dowolnym rozpowszechnianiem danych osobowych przez Spółkę nieuprawnionym podmiotom wojskowym do chwili obecnej, a w zamian tego ponowne umorzenie postępowania na podstawie tego samego uzasadnienia, jakie zawierała uchylona ww. wyrokiem decyzja UODO z [...] sierpnia 2020 r.;

3. art. 105 § 1 k.p.a. w wyniku bezpodstawnego umorzenia postępowania w sytuacji niewykonania wskazań wyroku WSA w Warszawie z dnia 5 maja 2021 r. sygn. akt

II SA/Wa 2014/20 i niedokonanie żadnych ustaleń związanych z ujawnianiem

i dowolnym udostępnianiem przez Spółkę danych osobowych skarżącej, w tym dla nieuprawnionych podmiotów wojskowych oraz w sytuacji zignorowania przez organ dowodów potwierdzających ujawnianie danych i ich rozpowszechnianie do chwili obecnej wniesionych przez skarżącą wnioskami dowodowymi z dnia [...] sierpnia 2021 r. oraz [...] października 2021 r.;

4. art. 159 ust. 1 i 2 i art. 161 ust. 1 i 2 ustawy z dnia 16 lipca 2004 r. Prawo telekomunikacyjne w zw. z art. 5 ust. 1 i 2 oraz art. 6 ust. 1 lit. a, ust. 3 i ust. 4 RODO

i nieustalenie żadnych faktów związanych z ujawnianiem i rozpowszechnianiem danych osobowych przez Spółkę do chwili obecnej i niewykonanie w tym zakresie wskazań zawartych w wyroku WSA w Warszawie z dnia 5 maja 2021 r. sygn. akt II SA/Wa 2014/20 oraz zignorowanie wniosków dowodowych z dnia [...] sierpnia 2021 r. oraz

z dnia [...] października 2021 r.;

5. art. 159 ust. 1 i 2 i art. 161 ust. 1 i 2 ustawy z dnia 16 lipca 2004 r. Prawo telekomunikacyjne i nieustalenie żadnych faktów związanych z udostępnianiem przez kilka lat nieprzerwanie danych osobowych skarżącej (m.in. bilingi rozmów, dane teleadresowe, dane transmisyjne, sms) Służbie Kontrwywiadu Wojskowego,

a następnie bezpodstawne i lakoniczne odniesienie się w uzasadnieniu zaskarżonej decyzji do zapisów art. 218 k.p.k., który nie dotyczy SKW jako podmiotu wojskowego nie będącego organem uprawnionym do prowadzenia postępowań w trybie przepisów prawa karnego, podczas gdy Spółka nie mogła realizować żadnych uprawnień na podstawie art. 218 k.p.k., gdyż nie istnieje postanowienie sądu, o którym mowa w tym przepisie uprawniające do udostępniania danych, a SKW co do zasady wynikającej

z ustawy o SKW nie jest organem procesowym uprawnionym do prowadzenia jakichkolwiek czynności na podstawie przepisów prawa karnego i nigdy takiego nie prowadziła z udziałem skarżącej (osoby cywilnej), a ponadto organ w czasie 3 lat prowadzenia sprawy nie ustalił legalności i daty końcowej udostępniania danych oraz miejsca ich przechowywania i zignorował dowody z dokumentów przedłożone przez skarżącą wskazane wnioskiem dowodowym z dnia [...] sierpnia 2021 r.;

6. art. 24 w zw. z art. 8 § 1, art. 11 oraz w zw. z art. 38 k.p.a. i art. 7 ust. 1 ustawy

o odpowiedzialności majątkowej funkcjonariuszy publicznych za rażące naruszenie prawa poprzez prowadzenie postępowania w sposób niebudzący zaufania do organu przez pracowników podlegających wyłączeniu ze sprawy i podlegających odpowiedzialności za rażące naruszenie prawa skutkujące wypłatą skarżącej odszkodowania na podstawie wyroku WSA w Warszawie z dnia 20 maja 2020 r. oraz nierozpoznanie przez organ pkt 2 wniosku z dnia [...] sierpnia 2021 r. i skargi z dnia [...] października 2021 r. wraz z wnioskiem o wyłączenie pracowników i przekazanie sprawy do innego działu oraz pociągnięcie do odpowiedzialności wynikającej z art. 38 i art. 223 § 2 k.p.a.;

7. art. 51 Konstytucji RP, art. 8 ust. 1 i 2 Karty Praw Podstawowych Unii Europejskiej

i art. 16 ust. 1 Traktatu o funkcjonowaniu Unii Europejskiej poprzez ich niezastosowanie

i nieustalenie żadnych faktów związanych z podstawą ujawniania danych osobowych skarżącej nieuprawnionym podmiotom wojskowym w sytuacji nie prowadzenia przez te podmioty żadnego postępowania, które zezwalałoby na pozyskiwanie i gromadzenie jakichkolwiek danych;

8. art. 78 § 1, art. 80, art. 7, art. 75 oraz art. 77 k.p.a. poprzez nieuwzględnienie

i zignorowanie dowodów i faktów wskazanych przez skarżącą, w tym wniosków z dnia [...] sierpnia 2021 r. oraz z dnia [...] października 2021 r. wraz z załącznikami, wskazującymi na brak legalności ujawniania przez Spółkę danych osobowych skarżącej nieuprawnionym podmiotom wojskowym, a w konsekwencji zlekceważenie wskazań

w tym zakresie zawartych w wyroku WSA w Warszawie z dnia 5 maja 2021 r. sygn. akt II SA/Wa 2014/20;

9. art. 58 RODO poprzez niepodjęcie żadnych działań naprawczych, w tym nierozpoznanie wniosku skarżącej w tym zakresie z dnia [...] października 2021 r.

W odpowiedzi na skargę organ wniósł o jej oddalenie, podtrzymując twierdzenia zawarte w uzasadnieniu zaskarżonej decyzji.

Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje:

Skarga nie zasługuje na uwzględnienie, ponieważ Sąd, przeprowadzając kontrolę pod względem zgodności z prawem zaskarżonej decyzji administracyjnej, stosownie do art. 1 § 1 i § 2 ustawy z dnia 30 sierpnia 2002 r. - Prawo postępowaniu przed sądami administracyjnymi (t.j. Dz. U. z 2022 r., poz. 329 z późn. zm., dalej: "p.p.s.a."), nie stwierdził, aby Prezes Urzędu, wydając decyzję z dnia [...] grudnia 2021 r., naruszył przepisy prawa materialnego w stopniu mającym wpływ na wynik sprawy, czy też przepisy postępowania administracyjnego w stopniu mogącym mieć istotny wpływ na wynik sprawy.

Stan faktyczny ustalony przez Prezes UODO w ramach przeprowadzonego postępowania administracyjnego był wystarczający do zakończenia sprawy i wydania decyzji o umorzeniu postępowania.

Zaskarżona decyzja - wbrew twierdzeniom skargi – została prawidłowo podpisana kwalifikowanym podpisem elektronicznym osoby upoważnionej przez Prezesa UODO do załatwiania spraw w jego imieniu i w sposób uprawniony doręczona skarżącej za pośrednictwem elektronicznej skrzynki podawczej ePUAP.

Prezes UODO, wydając zaskarżoną decyzję, uwzględnił wszelkie wskazania zawarte w wyroku o sygn. akt II SA/Wa 2014/20. Błędy dostrzeżone przez Sąd polegały na nieustaleniu przez organ, w jakim okresie doszło do udostępnienia danych osobowych skarżącej i niewyjaśnieniu, dlaczego przyjęto, że przetwarzanie tych danych zostało zakończone pod rządem ustawy z 29 sierpnia 1997 r.

Według Sądu, te okoliczności faktyczne mają istotne znaczenie dla wyniku postępowania, ponieważ obecnie obowiązująca ustawa o ochronie danych osobowych oraz RODO, mają zastosowanie do zdarzeń powstałych po jej wejściu w życie, ale także do tych, które miały miejsce wcześniej i trwają dalej po 25 maja 2018 r. Sąd jednocześnie nie zakwestionował prawidłowości rozstrzygnięcia o umorzeniu postępowania w sytuacji ustalenia, iż do kwestionowanych przez skarżącą zdarzeń doszło przed 25 maja 2018 r.

Organ, kierując się zatem wskazaniami Sądu i będąc nimi związany, dokonał brakujących ustaleń, a następnie ponownie wydał decyzję umarzającą przedmiotowe postępowanie. Tak więc organ zadośćuczynił treści wyroku WSA w Warszawie o sygn. akt II SA/Wa 2014/20.

Zebrany w sprawie materiał dowody wykazał, że udostępnienie danych osobowych skarżącej miało miejsce w dniach [...] kwietnia 2013 r., [...] czerwca 2013 r., [...] lipca 2013 r., [...] czerwca 2014 r., [...] października 2016 r., [...] marca 2017 r., oraz [...] lutego 2018 r., a zatem jednoznacznie wynika z tego, że do ww. udostępnień doszło przed datą wejścia w życie RODO, tj. przed dniem 25 maja 2018 r., i nie były po tej dacie kontynuowane. Zauważyć ponadto należy, że udostępnienia te stanowiły zdarzenia

o charakterze jednorazowym i zakończonym. Samo postępowanie administracyjne zostało zainicjowane natomiast już pod rządami RODO i ustawy z dnia 10 maja 2018 r. Wobec powyższego do rozstrzygnięcia przedmiotowej sprawy nie jest możliwe również zastosowanie przepisów ustawy z dnia 29 sierpnia 1997 r. Ze względu na powyższe okoliczności postępowanie w sprawie [...] zostało umorzone, ponieważ artykuł 160 ust. 1 i 2 ustawy z dnia 10 maja 2018 r. stanowi, że jedynie postępowania wszczęte i niezakończone przed dniem wejścia w życie niniejszej ustawy z dnia 10 maja 2018 r. są prowadzone przez Prezesa UODO na podstawie ustawy

z dnia 29 sierpnia 1997 r. Tym samym Prezes UODO nie ma możliwości prowadzenia postępowania administracyjnego w oparciu o przepisy ustawy z dnia 29 sierpnia

1997 r., gdyż postępowanie w przedmiotowej sprawie zostało wszczęte po dniu wejścia w życie ustawy z dnia 10 maja 2018 r. Brak jest również podstawy do korzystania przez Prezesa UODO z uprawnień przewidzianych w uchylonej ustawie z 29 sierpnia 1997 r., w tym do oceny zgodności zachowania administratora z ww. przepisami w przypadku, gdy skarżone procesy przetwarzania nie były kontynuowane po 25 maja 2018 r.

Organ nie może również dokonać oceny zgodności kwestionowanych w skardze działań administratora z RODO, ponieważ zdarzenia będące przedmiotem skargi mają charakter zakończony i nie były kontynuowane po 25 maja 2018 r. Ponadto, brak jest obecnie przepisów kompetencyjnych uprawniających organ do prowadzenia postępowania w przedmiocie oceny zgodności działania administratora z przepisami ustawy z 29 sierpnia 1997 r. Z powyższych powodów organ nie mógł ocenić także podnoszonego przez skarżącą braku wypełnienia obowiązku informacyjnego, związanego z ww. udostępnieniami.

Organ prawidłowo wskazał, że nie posiada kompetencji pozwalających na ustalenie, czy Spółka faktycznie udostępniła dane osobowe skarżącej, zawarte

w billingach, na rzecz organów ścigania, a tym bardziej badania podstaw prawnych takiego działania. Prezes UODO jest organem zajmującym się oceną prawidłowości przetwarzania danych osobowych zgodnie z przepisami dotyczącymi ochrony danych oraz egzekwowaniem tych przepisów.

Prezes UODO nie jest organem kompetentnym, aby oceniać prawidłowości działań podejmowanych przez administratora, na podstawie art. 218 § ustawy z dnia

6 czerwca 1997 r. Kodeks postępowania karnego (Dz. U. z 2021 r., poz. 534).

Prezes UODO nie jest organem kontrolującym ani nadzorującym prawidłowość stosowania prawa materialnego i procesowego w sprawach należących do właściwości innych organów - służb, czy sądów - których orzeczenia podlegają ocenom w toku instancji, czy w inny sposób określony odpowiednimi procedurami. Tego rodzaju kompetencje nie zostały również przyznane organowi w art. 57 RODO. Niezależnie zatem od tego, w jakim czasie doszło do udostępnienia danych osobowych skarżącej przez Spółkę na rzecz organów ścigania i czy w ogóle do tego doszło, Prezes UODO nie może badać prawidłowości takiego procesu przetwarzania danych.

Odnosząc się do kwestionowanej zasadności odmowy wyłączenia wskazanych imiennie pracowników organu to należy wskazać, że stosownie do art. 24 § 1 k.p.a. pracownik organu administracji publicznej podlega wyłączeniu od udziału

w postępowaniu w sprawie: 1) w której jest stroną albo pozostaje z jedną ze stron

w takim stosunku prawnym, że wynik sprawy może mieć wpływ na jego prawa lub obowiązki; 2) swego małżonka oraz krewnych i powinowatych do drugiego stopnia;

3) osoby związanej z nim z tytułu przysposobienia, opieki lub kurateli; 4) w której był świadkiem lub biegłym albo był lub jest przedstawicielem jednej ze stron, albo w której przedstawicielem strony jest jedna z osób wymienionych w pkt 2 i 3; 5) w której brał udział w wydaniu zaskarżonej decyzji; 6) z powodu, której wszczęto przeciw niemu dochodzenie służbowe, postępowanie dyscyplinarne lub karne; 7) w której jedną ze stron jest osoba pozostająca wobec niego w stosunku nadrzędności służbowej.

W stanie faktycznym przedmiotowej sprawy nie zachodzi żadna z sytuacji wskazanych w art. 24 § 1 k.p.a., ponieważ wskazani pracownicy nie byli i nie są w żaden sposób związani osobistymi, służbowymi, czy też rodzinnymi relacjami ze stronami niniejszego postępowania. Pracownicy nie występowali i nie występują w roli świadka lub biegłego lub strony w niniejszym postępowaniu. W sprawie nie wszczęto w stosunku do pracowników dochodzenia służbowego, postępowania dyscyplinarnego lub karnego.

W sprawie też nie została wydana decyzja, która podlegałaby weryfikacji

w przedmiotowym postępowaniu, a tym samym nie mogli oni brać udziału w jej wydaniu. Postępowanie w przedmiotowej sprawie toczy się od nowa w zakresie zakwestionowanym przez Wojewódzki Sąd Administracyjny w Warszawie w wyroku

z dnia 5 maja 2021 r. sygn. II SA/Wa 2014/20. Jednocześnie skarżąca nie uprawdopodobniła zaistnienia okoliczności mogących wywołać wątpliwość co do bezstronności pracowników, powołując się na okoliczności, oparte wyłącznie na przypuszczeniach wynikających z niezadowolenia z rozstrzygnięć wydanych dotychczas w sprawie.

Należy również wskazać, że sąd administracyjny nie jest władny do orzekania

o odpowiedzialności porządkowej lub dyscyplinarnej albo innej odpowiedzialności przewidzianej w przepisach prawa, jeżeli z nieuzasadnionych przyczyn nie załatwił sprawy w terminie lub prowadził postępowanie dłużej niż było to niezbędne do załatwienia sprawy (art. 38 k.p.a.). Jak wynika bowiem z art. 5 pkt 2 p.p.s.a., sądy administracyjne nie są właściwe w sprawach wynikających z podległości służbowej między przełożonymi i podwładnymi.

Prezes UODO w niniejszej sprawie w sposób wyczerpujący zebrał materiał dowodowy potrzebny do jej rozstrzygnięcia oraz dokonał wnikliwych i rzetelnych ustaleń faktycznych niezbędnych do rozstrzygnięcia jej decyzją administracyjną.

W szczególności zwrócił się do Spółki o złożenie pisemnych wyjaśnień w sprawie oraz potwierdzających je dowodów, które następnie poddał ocenie, tym samym zarzuty naruszenia przez organ art. 7, oraz art. 77 § 1 k.p.a. są nieuprawnione.

Odnośnie zaś do zarzutu pominięcia w sprawie składanych przez skarżącą wniosków dowodowych należy stwierdzić, że stosownie do treści art. 78 § 1 k.p.a. żądanie strony dotyczące przeprowadzenia dowodu należy uwzględnić, jeżeli przedmiotem dowodu jest okoliczność mająca znaczenie dla sprawy. Skoro przeprowadzone przez organ postępowanie dowodowe nie budzi zastrzeżeń,

a dokonana ocena dowodów zebranych w sprawie jest prawidłowa to organ zasadnie uznał, że żądanie przeprowadzenia dowodu dla wyjaśnienia okoliczności już bezspornie ustalonych nie zasługuje na uwzględnienie.

Uprawnienie strony do zgłoszenia żądania przeprowadzenia dowodu podlega ograniczeniom, a organ powinien każdorazowo rozważyć żądanie przeprowadzenia dowodu z uwagi na celowość i konieczność zapewnienia szybkości postępowania, zwłaszcza w sytuacji, gdy nie ma dostatecznych argumentów przemawiających za zakwestionowaniem dotychczasowych ustaleń (por. wyrok NSA z dnia 2 grudnia 2021 r., sygn. akt II GSK 3768/17).

W ocenie Sądu, w niniejszej sprawie zgromadzone przez organ dowody były wystarczające dla wydania rozstrzygnięcia w sprawie. Z tego względu dalsze prowadzenie postępowania dowodowego przez dopuszczenie dowodów wnioskowanych przez skarżącą byłoby nieracjonalne i niecelowe w świetle zasad ekonomiki oraz szybkości i prostoty postępowania, określonej w art. 12 k.p.a.

Skoro Prezes UODO działał w ramach swoich kompetencji, przyznanych m.in. na mocy przepisów ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych, mając przy tym na względzie także przepisy RODO i przepisy k.p.a., niezasadne okazały się więc podniesione w skardze zarzuty naruszenia art. 51 Konstytucji RP, art. 8 ust. 1 i 2 Karty Praw Podstawowych Unii Europejskiej i art. 16 ust. 1 Traktatu o funkcjonowaniu Unii Europejskiej poprzez ich niezastosowanie.

Z tych wszystkich względów uprawnione było umorzenie postępowanie administracyjnego.

Mając powyższe na uwadze, Wojewódzki Sąd Administracyjny w Warszawie, na podstawie art. 151 w zw. z art. 119 pkt 2 p.p.s.a., orzekł jak w sentencji wyroku.