Centralna Baza Orzeczeń Sądów Administracyjnych

Naczelny Sąd Administracyjny w składzie: Przewodniczący: sędzia NSA Tamara Dziełakowska Sędziowie: sędzia NSA Artur Kuś (sprawozdawca) sędzia del. WSA Kazimierz Bandarzewski po rozpoznaniu w dniu 6 maja 2026 r. na posiedzeniu niejawnym w Izbie Ogólnoadministracyjnej skargi kasacyjnej I. N. od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z 21 maja 2025 r. sygn. akt II SA/Wa 1747/24 w sprawie ze skargi I. N. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z 16 sierpnia 2024 r. nr DS.523.3911.2022.WP.ŁZ w przedmiocie przetwarzania danych osobowych oddala skargę kasacyjną.

Wojewódzki Sąd Administracyjny w Warszawie, wyrokiem z 21 maja 2025 r., sygn. akt II SA/Wa 1747/24, oddalił skargę I. N. (dalej: "skarżąca") na decyzję Prezesa Urzędu Ochrony Danych Osobowych (dalej: "PUODO", "organ") z 16 sierpnia 2024 r. nr DS.523.3911.2022.WP.ŁZ w przedmiocie przetwarzania danych osobowych.

W uzasadnieniu wyroku Sąd I instancji przyjął następujące okoliczności faktyczne i prawne.

PUODO decyzją z 16 sierpnia 2024 r. nr DS.523.3911.2022.WP.ŁZ, na podstawie art. 104 § 1 i art. 105 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2024 r. poz. 572, dalej: "k.p.a.") w zw. z art. 7 ust. 1 i ust. 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781), art. 9 ust. 2 lit. g) oraz j), art. 14 ust. 5 lit. c), art. 15 ust. 1 oraz art. 58 ust. 2 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 4.05.2016, str. 1, Dz. Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35; dalej: "RODO"), po przeprowadzeniu postępowania administracyjnego w sprawie ze skargi skarżącej na nieprawidłowości w procesie przetwarzania jej danych osobowych przez Komendanta Wojewódzkiego Policji w [...] (dalej: "Komendant"), polegające na przetwarzaniu bez podstawy prawnej jej danych osobowych zawartych w dokumentacji medycznej pozyskanej od S. M., w tym ich przesłaniu do Urzędu Miasta [...] (dalej: "Urząd Miasta"), oraz żądania nakazania spełnienia wobec skarżącej obowiązków informacyjnych określonych w art. 14 oraz art. 15 ust. 1 RODO: w pkt 1 umorzył postępowanie w zakresie dotyczącym żądania nakazania Komendantowi spełnienia wobec skarżącej obowiązku informacyjnego określonego w art. 15 ust. 1 RODO, w pkt 2 w pozostałym zakresie odmówił uwzględnienia wniosku.

W uzasadnieniu podjętej decyzji organ wskazał na następujące ustalenia stanu faktycznego sprawy.

W dniu 10 kwietnia 2022 r. do Urzędu Ochrony Danych Osobowych (dalej: "UODO") wpłynęła skarga skarżącej na nieprawidłowości w procesie przetwarzania jej danych osobowych m.in. przez Komendanta, polegające na przetwarzaniu bez podstawy prawnej jej danych osobowych zawartych w dokumentacji medycznej pozyskanej od S. M., w tym ich przesłaniu do Urzędu Miasta.

W treści skargi skarżąca zarzuciła, że Komenda Wojewódzka Policji w [...] (dalej: "Komenda") weszła bezprawnie w posiadanie dokumentów medycznych, które pozyskała od S. M.. Skarżąca wnioskowała o wyjaśnienie sprawy i ukaranie winnych.

W piśmie z 13 maja 2022 r. wniosła o wystąpienie do Komendy w celu uzyskania kopii odpowiedzi udzielonej skarżącej na jej pismo, w którym zażądała przesłania całej korespondencji S. M. wraz z załączonymi dokumentami medycznymi do Prokuratury [...].

W piśmie z 15 czerwca 2022 r. skarżąca wskazała, że oczekuje w tej sprawie od PUODO nakazania spełnienia obowiązku informacyjnego w przypadku pozyskiwania danych osobowych w sposób inny niż od osoby, której dane dotyczą, nakazania spełnienia obowiązku informacyjnego dotyczącego uprawnienia osoby, której dane dotyczą, do uzyskania od administratora potwierdzenia, czy przetwarzane są dane osobowe jej dotyczące, a jeżeli ma to miejsce, uzyskania dostępu do nich oraz informacji m.in. o celu przetwarzania.

Skarżąca w piśmie z 6 czerwca 2023 r. zarzuciła, że Komenda naruszyła art. 33 ust. 1 RODO, poprzez niezgłoszenie PUODO naruszenia ochrony danych osobowych bez zbędnej zwłoki, nie później niż w terminie 72 godzin po stwierdzeniu naruszenia.

W toku przeprowadzonego postępowania wyjaśniającego w niniejszej sprawie PUODO ustalił następujący stan faktyczny.

Pismem z 14 lutego 2022 r. Komenda Główna Policji przesłała do Wydziału Ruchu Drogowego Komendy, dotyczący skarżącej e-mail S. M. z 7 lutego 2022 r. wraz z załącznikami w postaci kopii dokumentacji medycznej skarżącej.

Wydział Ruchu Drogowego Komendy, pismem z 25 lutego 2022 r., przesłał do Prezydenta Miasta [...] (dalej: "Prezydent Miasta") e-mail S. M. z 7 lutego 2022 r. wraz z załącznikami.

W złożonych w sprawie wyjaśnieniach z 15 lipca 2022 r. Komendant wskazał, że dokumentacja została przekazana do Prezydenta Miasta w związku z uzasadnionymi i poważnymi zastrzeżeniami, co do stanu zdrowia i predyspozycji psychofizycznych wymaganych do kierowania pojazdami przez skarżącą.

Komendant wyjaśnił również, że nie zrealizował w stosunku do skarżącej - w związku z pozyskaniem jej danych osobowych zawartych w jej dokumentacji medycznej - obowiązku informacyjnego określonego w art. 14 RODO, gdyż stwierdził, że dane osobowe skarżącej zawarte w dokumentacji medycznej, przetwarzane były w związku z ustawowymi zadaniami Policji na podstawie ustawy z dnia 6 kwietnia 1990 r. o Policji (Dz. U. z 2020 r. poz. 360 ze zm., dalej: "ustawa o Policji"). Ponadto podniósł, że skarżąca nie zwracała się z żądaniem wypełnienia obowiązku informacyjnego określonego w art. 15 ust. 1 RODO.

W wyjaśnieniach z 27 kwietnia 2023 r. Komendant podał, że dokumentacja medyczna skarżącej, pozyskana od S. M., została zakwalifikowana jako korespondencja o charakterze kancelaryjno-manipulacyjnym o krótkotrwałym znaczeniu. Po zakończeniu sprawy, 19 grudnia 2022 r., dokumentacja skarżącej została zniszczona w Komendzie. Wcześniej, dane osobowe skarżącej, zgromadzone w jej dokumentacji medycznej, zostały zanonimizowane, zgodnie z instrukcją przesłaną przez inspektora ochrony danych Komendy 16 listopada 2022 r. i były w tej formie przechowywane do momentu zniszczenia dokumentacji.

PUODO stwierdził, że Komendant, w związku z realizacją swoich zadań, otrzymał, dotyczącą skarżącej korespondencję S. M., zawierającą m.in. wniosek o "wstrzymanie tej osobie możliwości prowadzenia pojazdu i zweryfikowania na podstawie przeprowadzonych badań psychologicznych, psychiatrycznych w odpowiednim ośrodku dla kierowców, które to badania potwierdzą lub wykluczą możliwość prowadzenia przez tą osobę pojazdów mechanicznych". Wraz z tą korespondencją Komendant wszedł w posiadanie wiarygodnych informacji dotyczących stanu zdrowia skarżącej - będącej kierowcą samochodu osobowego. W ocenie Komendanta, okoliczności, o których posiadł on wiedzę z przekazanej mu korespondencji S. M., mogły wskazywać, że skarżąca nie spełnia wymagań dla osoby uprawnionej do kierowania pojazdami określonych w art. 3 ustawy z dnia 5 stycznia 2011 r. o kierujących pojazdami (Dz. U. z 2021 r. poz. 1212 ze zm., dalej: "ustawa o kierujących pojazdami"). Z powyższych względów Komendant przekazał korespondencję S. M. do Prezydenta Miasta, jako właściwego w tym zakresie organu.

W związku z powyższym, na podstawie art. 243 zdanie pierwsze k.p.a., art. 96 ust. 1 pkt 2 ustawy o kierujących pojazdami, art. 99 ust. 1 pkt 2 ustawy o kierujących pojazdami oraz art. 75 ust. 1 pkt 5 ustawy o kierujących pojazdami - PUODO uznał, że działanie Komendanta polegające na przekazaniu Prezydentowi Miasta, jako organowi właściwemu w sprawie nadzoru w zakresie spełniania wymagań określonych dla posiadania dokumentu stwierdzającego posiadanie uprawnienia do kierowania pojazdem, danych osobowych skarżącej zawartych w kopiach dokumentacji medycznej dołączonych do e-maila S. M. z 7 lutego 2022 r. znajdowało oparcie w przytoczonych wyżej przepisach, a tym samym wypełniało przesłanki określone w art. 9 ust. 2 lit. g) RODO.

Podkreślił jednocześnie, że organ właściwy w sprawie nadzoru w zakresie spełniania wymagań określonych dla posiadania dokumentu stwierdzającego posiadanie uprawnienia do kierowania pojazdem, decyzję odnośnie skierowania na badania podejmuje po przeprowadzeniu postępowania, o którym mowa w przepisach ustawy o kierujących pojazdami. W takim postępowaniu skarżącej, jako jego stronie, przysługują przewidziane prawem środki zaskarżenia, służące ochronie jej praw i interesów.

Odnośnie do kwestii dopuszczalności przechowywania przez Komendanta danych osobowych skarżącej, zawartych w dokumentacji medycznej pozyskanej od S. M., PUODO wskazał, że ustawa z dnia 14 lipca 1983 r. o narodowym zasobie archiwalnym i archiwach (Dz. U. z 2020 r., poz. 154 ze zm.), nakładająca obowiązek przechowywania nadesłanej lub składanej dokumentacji oraz art. 254 k.p.a. - nakładający obowiązek przechowywania składanych wniosków i związanych z nimi dokumentów, są przepisami prawa państwa członkowskiego stanowiącymi podstawę do przetwarzania danych do celów archiwalnych w interesie publicznym (przesłanka z art. 9 ust. 2 lit. j) RODO). Oznacza to, że Komendant był obowiązany do przechowywania danych osobowych skarżącej, zawartych w dokumentacji medycznej pozyskanej od S. M., przed zniszczeniem ww. dokumentacji.

Odnośnie do wskazanego w piśmie skarżącej z 15 czerwca 2022 r. i oczekiwanego przez nią od PUODO działania, polegającego na nakazaniu spełnienia obowiązku informacyjnego określonego w art. 14 RODO organ podał, że art. 14 ust. 5 lit. c) RODO przewiduje zwolnienie administratora z ww. obowiązku informacyjnego, gdy pozyskiwanie lub ujawnianie jest wyraźnie uregulowane prawem UE lub prawem państwa członkowskiego, któremu podlega administrator, przewidującym odpowiednie środki chroniące prawnie uzasadnione interesy osoby, której dane dotyczą.

Ponadto PUODO stwierdził, że w sprawie będącej przedmiotem rozstrzygania Komendant, działając jako administrator, pozyskał dane osobowe skarżącej na podstawie przepisów k.p.a. i ustawy o Policji. Organ właściwy w sprawie nadzoru w zakresie spełniania wymagań określonych dla posiadania dokumentu stwierdzającego posiadanie uprawnienia do kierowania pojazdem rozstrzyga zaś o skierowaniu na badanie lekarskie po przeprowadzeniu postępowania, o którym mowa w przepisach ustawy o kierujących pojazdami. W takim postępowaniu skarżącej, jako jego stronie, przysługują przewidziane prawem środki zaskarżenia, służące ochronie jej prawnie uzasadnionych interesów. Zgodnie z art. 99 ust. 1 pkt 2 ustawy o kierujących pojazdami, skierowanie przez starostę kierowcy na badanie lekarskie następuje w drodze decyzji administracyjnej. Od decyzji administracyjnej służy zaś - stosownie do art. 127 § 1 k.p.a. - odwołanie. Ponadto, PUODO stwierdził, że wyłączenie, o którym mowa w art. 14 ust. 5 lit. c) RODO, generalnie obejmuje przypadki pozyskiwania danych osobowych na podstawie przepisów k.p.a.

Wobec powyższego, w ocenie PUODO, Komendant nie był zobligowany do spełnienia wobec skarżącej obowiązku informacyjnego określonego w art. 14 RODO, bowiem zaistniała określona w art. 14 ust. 5 lit. c) RODO przesłanka zwalniająca go z tego obowiązku i stwierdził, że w ww. zakresie brak jest podstaw do stwierdzenia naruszenia przez Komendanta przepisów o ochronie danych osobowych.

PUODO wyjaśnił, że w związku z niestwierdzeniem takiego naruszenia, nie może skorzystać z uprawnień naprawczych, o których mowa w art. 58 ust. 2 RODO, tym samym, w powyższym zakresie, nie ma podstaw faktycznych i prawnych do uwzględnienia wniosku skarżącej.

Odnośnie do wskazanego w piśmie skarżącej z 15 czerwca 2022 r., żądania nakazania spełnienia obowiązku informacyjnego określonego w art. 15 ust. 1 RODO, organ wyjaśnił, że przepis ten przyznaje osobie, której dane dotyczą, uprawnienie do uzyskania potwierdzenia od administratora, czy przetwarzane są dane osobowe jej dotyczące, a jeżeli ma to miejsce, osoba ta jest uprawniona do uzyskania dostępu do tych danych oraz do informacji wskazanych w art. 15 ust. 1 lit. a-h RODO.

Zatem osoba, której dane dotyczą, korzystając z prawa określonego w art. 15 ust. 1 RODO, powinna wystąpić do administratora z żądaniem udzielenia jej informacji na temat przetwarzania jej danych osobowych. Organ podkreślił, że uprawnienie wynikające z art. 15 ust. 1 RODO realizowane jest wyłącznie na wniosek osoby uprawnionej i brak takiego wniosku oznacza, że po stronie administratora nie powstaje skorelowany z nim obowiązek.

PUODO wskazał, że z materiału dowodowego zgromadzonego w sprawie wynika, że skarżąca nie wystąpiła do Komendanta z wnioskiem o udzielenie jej informacji wynikających z art. 15 ust. 1 RODO. Komendant wyjaśnił bowiem, że skarżąca nie zwracała się do niego z żądaniem wypełnienia takiego obowiązku informacyjnego.

PUODO uznał żądanie wniesione przez skarżącą, w tym zakresie, za przedwczesne, gdyż skarżąca w pierwszej kolejności powinna złożyć wniosek dotyczący realizacji uprawnienia z art. 15 ust. 1 RODO do administratora. Dopiero niespełnienie, czy też nieprawidłowe spełnienie obowiązku informacyjnego podlegać może ocenie organu, w następstwie którego organ w przypadku stwierdzenia nieprawidłowości skierować może do administratora stosowny nakaz lub zastosować inne przysługujące mu uprawnienie.

W ocenie PUODO, w niniejszej sprawie w zakresie dotyczącym żądania nakazania spełnienia w stosunku do skarżącej obowiązku informacyjnego określonego w art. 15 ust. 1 RODO, zaistniała przesłanka bezprzedmiotowości i umorzenia postępowania, w oparciu o art. 105 § 1 k.p.a., gdyż skarżąca nie wystąpiła do Komendanta z wnioskiem zawierającym żądanie w przedmiocie prawa dostępu do jej danych osobowych na podstawie art. 15 ust. 1 RODO.

W skardze do Wojewódzkiego Sądu Administracyjnego w Warszawie skarżąca zarzuciła zaskarżonej decyzji naruszenie obowiązku zgłoszenia naruszenia ochrony danych osobowych przez Komendę, niedostateczną ocenę naruszenia ochrony danych osobowych przez Komendę, zignorowanie dalszego naruszenia ochrony danych przez Komendę, niedopełnienie obowiązków przez PUODO w zakresie ochrony danych osobowych wrażliwych skarżącej, naruszenie art. 9 ust. 1 RODO, brak oceny przestępczego charakteru pozyskania danych przez osoby trzecie.

Do skargi dołączyła kopię sporządzonego w Urzędzie Miasta protokołu z 16 marca 2022 r. w sprawie przekazania skanów dokumentów jej dotyczących.

PUODO w odpowiedzi na skargę skarżącej wniósł o jej oddalenie.

Skarżąca w piśmie z 22 listopada 2024 r. podtrzymała wniesioną skargę.

Powołanym na wstępie wyrokiem, Wojewódzki Sąd Administracyjny w Warszawie, na podstawie art. 151 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz.U. z 2024 r., poz. 935 ze zm., dalej: "p.p.s.a."), uznał, że skarga nie zasługuje na uwzględnienie.

W ocenie Sądu I instancji, PUODO prawidłowo przyjął w zaskarżonej decyzji, że nie zaistniało po stronie Komendanta naruszenie przepisów o ochronie danych osobowych w procesie przetwarzania danych osobowych skarżącej, a w szczególności, aby naruszeniem takim było pozyskanie przez Komendanta danych osobowych skarżącej.

W związku z powyższym, zdaniem Sądu I instancji, brak jest podstaw do przyjęcia, że Komendant obowiązany był dokonać PUODO - zgodnie z art. 33 ust. 1 RODO - zgłoszenia naruszenia ochrony danych osobowych, polegającego na nieuprawnionym dostępie Komendanta do tych danych osobowych.

Sąd I instancji stwierdził, że działanie Komendanta polegające na przekazaniu Prezydentowi Miasta, jako organowi właściwemu w sprawie nadzoru w zakresie spełniania wymagań określonych dla posiadania dokumentu stwierdzającego posiadanie uprawnienia do kierowania pojazdem, danych osobowych skarżącej zawartych w kopiach dokumentacji medycznej dołączonych do e-maila S. M. z 7 lutego 2022 r., znajdowało oparcie w art. 243 k.p.a. oraz przepisach ustawy o kierujących pojazdami, a tym samym wypełniało przesłanki określone w art. 9 ust. 2 lit. g) RODO.

Ponadto Sąd I instancji stwierdził, że Komendant był obowiązany do przechowywania danych osobowych skarżącej, zawartych w dokumentacji medycznej pozyskanej od S. M., przed zniszczeniem ww. dokumentacji, co znajduje potwierdzenie w przepisach ustawy o narodowym zasobie archiwalnym i archiwach - art. 5 ust. 1 i art. 6 ust. 1 - nakładających obowiązek przechowywania nadesłanej lub składanej dokumentacji oraz w art. 254 k.p.a., nakładających obowiązek przechowywania składanych wniosków i związanych z nimi dokumentów, czyli w przepisach prawa państwa członkowskiego stanowiącymi podstawę do przetwarzania danych do celów archiwalnych w interesie publicznym (przesłanka z art. 9 ust. 2 lit. j RODO).

W ocenie Sądu I instancji, PUODO zasadnie stwierdził, że to czy Prezydent Miasta uznał przekazane mu przez Komendanta materiały za przydatne, czy też za nieprzydatne dla postępowania w sprawie skierowania skarżącej na badanie lekarskie nie ma znaczenia dla rozstrzygnięcia sprawy. Zdaniem Sądu I instancji, wynikający z art. 243 zdanie pierwsze k.p.a. obowiązek przekazania wniosku zgodnie z właściwością, ciąży bowiem na organie (w niniejszej sprawie na Komendancie) niezależnie od tego w jaki sposób wniosek rozpatrzy organ właściwy do jego załatwienia. Organ przekazujący wniosek zgodnie z właściwością, jako niewłaściwy do załatwienia sprawy, nie może zaś dokonywać merytorycznej oceny przydatności dla organu właściwego materiałów dołączonych do przekazywanego wniosku.

W ocenie Sądu I instancji, PUODO prawidłowo przyjął, że Komendant nie był zobligowany do spełnienia wobec skarżącej obowiązku informacyjnego określonego w art. 14 RODO, bowiem zaistniała określona w art. 14 ust. 5 lit. c) RODO przesłanka zwalniająca go z tego obowiązku. Komendant, działając jako administrator, pozyskał dane osobowe skarżącej na podstawie przepisów k.p.a. i ustawy o Policji, które wyraźnie regulują kwestie odpowiednich środków chroniących prawnie uzasadnione interesy osoby, której dane dotyczą.

Sąd I instancji podkreślił, że w niniejszym postępowaniu PUODO nie mógł oceniać, czy S. M. był uprawniony do dysponowania danymi osobowymi skarżącej. Przedmiotem niniejszego postępowania nie była bowiem kwestia dopuszczalności przetwarzania danych osobowych przez S. M..

Również kwestia udostępnienia danych osobowych przez Komendanta na rzecz Starosty [...] nie była przedmiotem postępowania administracyjnego w przedmiotowej sprawie, jak również zaskarżonego rozstrzygnięcia.

W ocenie Sądu I instancji, PUODO prawidłowo umorzył postępowanie w zakresie dotyczącym żądania skarżącej nakazania Komendantowi spełnienia wobec niej obowiązku informacyjnego określonego w art. 15 ust. 1 RODO. Skarżąca bowiem nie złożyła do administratora wniosku dotyczącego realizacji uprawnienia z art. 15 ust. 1 RODO, a zatem organ nie mógł oceniać realizacji tego obowiązku informacyjnego administratora wobec skarżącej.

Skarżąca wywiodła skargę kasacyjną od powyższego wyroku. Zaskarżając powyższy wyrok w całości zarzuciła naruszenie:

I. prawa materialnego przez błędną wykładnię i niewłaściwe zastosowanie tj.:

1. art. 9 ust. 1 RODO w zw. z art. 5 ust. 1 lit. a), b), c), i f) RODO poprzez niedokonanie oceny działania Komendanta w zakresie zasady legalności, adekwatności, minimalizacji i poufności przetwarzania danych, w sytuacji gdy dokumentacja medyczna przekazana organom zawierała dane ściśle prywatne w tym opisy rozmów skarżącej z psychologiem;

2. art. 9 ust. 2 lit g) i j) RODO poprzez błędną wykładnię przepisów ustalającą, że dane w tym dokumentacja medyczna skarżącej, które uprzednio bezprawnie uzyskane trafiły do Komendanta mogły być przetwarzane "z ważnego interesu publicznego", jak również na podstawie ustawy o narodowym zasobie archiwalnym i archiwach, która nie dotyczy dokumentacji o takim charakterze;

3. art. 33 ust. 1 RODO poprzez brak ustalenia, iż Komendant był obowiązany do zgłoszenia naruszenia zgodnie z przepisem tj. w sytuacji ryzyka naruszenia praw lub wolności osoby fizycznej w sytuacji przekazania danych wrażliwych uzyskanych bezprawnie przez osobę trzecią;

4. art. 14 ust. 1 i 2 RODO poprzez ustalenie, iż Komendant był zwolniony z obowiązku informacyjnego wobec skarżącej na podstawie art. 14 ust. 5 lit. c) RODO w sytuacji nieprzedstawienia konkretnych regulacji, które stanowiłyby zgodnie z przepisem "wyraźne uregulowanie prawa Unii lub prawa państwa członkowskiego;

5. art. 8 ust. 1 Karty Praw Podstawowych UE oraz art. 16 Traktatu o Funkcjonowaniu Unii Europejskiej (dalej: "TFUE") poprzez brak odniesienia się do zarzucanego organowi naruszenia traktatowych gwarancji ochrony danych osobowych oraz prawa do prywatności;

II. przepisów postępowania mające istotny wpływ na wynik sprawy, tj.:

1. art. 145 § 1 pkt 1 lit. c p.p.s.a. w zw. z art. 7 k.p.a., art. 77 § 1 k.p.a. i art. 80 k.p.a. poprzez zaakceptowanie przez Sąd I instancji dowolnej i wybiórczej oceny materiału dowodowego dokonanej przez PUODO, w szczególności bez ustalenia źródła danych, zakresu i celu ich przetwarzania, potrzeby przekazania pełnej dokumentacji medycznej, możliwości zastosowania anonimizacji/redakcji oraz bez weryfikacji przesłanek i testu proporcjonalności z art. 9 ust. 2 lit. g) RODO;

2. art. 141 § 4 p.p.s.a. przez niewystarczające uzasadnienie wyroku w części kluczowej: brak wskazania konkretnych przepisów prawa krajowego spełniających wymogi art. 14 ust. 5 lit. c) RODO oraz brak analizy dlaczego art. 9 ust. 2 lit. j) RODO miałby obejmować przechowywanie bezprawnie pozyskanej dokumentacji medycznej.

W uzasadnieniu skargi kasacyjnej rozwinięto przedstawione zarzuty.

Podnosząc powyższe zarzuty skarżąca wniosła o uchylenie wyroku w całości i przekazanie sprawy do ponownego rozpoznania przez Wojewódzki Sąd Administracyjny w Warszawie, ewentualnie o uchylenie decyzji PUODO i przekazanie sprawy organowi do ponownego rozpoznania oraz o zasądzenie kosztów postępowania według norm przepisanych.

Skarżąca kasacyjnie nie wniosła o rozpoznanie skargi kasacyjnej na rozprawie.

W odpowiedzi na skargę kasacyjną PUODO wniósł o jej oddalenie.

Naczelny Sąd Administracyjny zważył, co następuje.

1. Zgodnie z art. 183 § 1 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2024 r. poz. 935 ze zm.; dalej: "p.p.s.a.") Naczelny Sąd Administracyjny rozpoznaje sprawę w granicach skargi kasacyjnej, bierze jednak z urzędu pod rozwagę przesłanki uzasadniające nieważność postępowania wymienione w art. 183 § 2 p.p.s.a. oraz przesłanki uzasadniające odrzucenie skargi bądź umorzenie postępowania przed wojewódzkim sądem administracyjnym, stosownie do treści art. 189 p.p.s.a. Żadna z powyższych przesłanek w tej sprawie nie zaistniała.

Rozpoznając sprawę Naczelny Sąd Administracyjny związany jest granicami skargi. Związanie granicami skargi oznacza związanie podstawami zaskarżenia wskazanymi w skardze kasacyjnej oraz jej wnioskami. Naczelny Sąd Administracyjny bada przy tym wszystkie podniesione przez stronę skarżącą kasacyjnie zarzuty naruszenia prawa (tak NSA w uchwale pełnego składu z 26 października 2009 r. sygn. I OPS 10/09, opubl. w ONSAiWSA 2010 z. 1 poz. 1).

Zgodnie z art. 174 p.p.s.a. skargę kasacyjną można oprzeć na następujących podstawach: 1) naruszeniu prawa materialnego przez błędną jego wykładnię lub niewłaściwe zastosowanie, a także 2) naruszeniu przepisów postępowania, jeżeli uchybienie to mogło mieć istotny wpływ na wynik sprawy.

Stosownie do art. 176 p.p.s.a. strona skarżąca kasacyjnie ma obowiązek przytoczyć podstawy skargi kasacyjnej wnoszonej od wyroku Sądu pierwszej instancji i szczegółowo je uzasadnić wskazując, które przepisy ustawy zostały naruszone, na czym to naruszenie polegało i jaki miało wpływ na wynik sprawy. Rola Naczelnego Sądu Administracyjnego w postępowaniu kasacyjnym ogranicza się do skontrolowania i zweryfikowania zarzutów wnoszącego skargę kasacyjną.

2. Skarga kasacyjna nie zawiera usprawiedliwionych podstaw. Istota sprawy sprowadza się do oceny zgodności z prawem wyroku Sądu I instancji, który oddalił skargę skarżącej na decyzję PUODO z 16 sierpnia 2024 r. w przedmiocie przetwarzania danych osobowych. W ocenie Sądu I instancji, PUODO prawidłowo przyjął w zaskarżonej decyzji, że nie zaistniało po stronie Komendanta Wojewódzkiego Policji w [...] naruszenie przepisów o ochronie danych osobowych w procesie przetwarzania danych osobowych skarżącej. W szczególności naruszeniem takim nie było pozyskanie przez Komendanta danych osobowych skarżącej. W konsekwencji brak było podstaw do przyjęcia, że Komendant obowiązany był dokonać PUODO zgłoszenia naruszenia ochrony danych osobowych, polegającego na nieuprawnionym dostępie Komendanta do tych danych osobowych.

Skarżąca kasacyjnie kwestionuje takie stanowisko i wskazuje, że dokumentacja medyczna (w sumie 31 kart) przekazana organom zawierała dane prywatne (w tym dane medyczne) i postępowanie organu naruszało wskazane w skardze kasacyjnej regulacje prawne.

W ocenie NSA, sposób sformułowania zarzutów skargi kasacyjnej pozwala na odniesienie się do nich łączne. Żaden z podnoszonych zarzutów nie zasługuje na uwzględnienie, z kilku zasadniczych powodów.

Po pierwsze – podkreślić należy, że niniejsza sprawa nie dotyczy pozyskania i przetwarzania dokumentacji medycznej skarżącej przez S. M.. Ta kwestia była przedmiotem odrębnego postępowania administracyjnego. Jak wskazał PUODO w odpowiedzi na skargę kasacyjną, to postępowanie zostało zakończone przez PUODO odrębną prawomocną decyzją z 9 października 2023 r. W związku z tym, w postępowaniu zakończonym decyzją z 16 sierpnia 2024 r. brak było podstaw do badania przez PUODO (a następnie przez Sąd I instancji) czy S. M. był uprawniony czy też nie był do pozyskania dokumentacji medycznej dotyczącej skarżącej.

Po drugie – nie można zgodzić się z zarzutem zawartym w skardze kasacyjnej a wskazującym, że Sąd I instancji naruszył art. 145 § 1 pkt 1 lit. c p.p.s.a. w zw. z art. 7 k.p.a., art. 77 § 1 k.p.a. i art. 80 k.p.a. poprzez "(...) zaakceptowanie przez WSA dowolnej i wybiórczej oceny materiału dowodowego dokonanej przez PUODO, w szczególności bez ustalenia źródła danych, zakresu i celu ich przetwarzania". Prawidłowo przyjął Sąd I instancji, że w wydanej w sprawie decyzji organ ustalił z jakiego źródła Komendant pozyskał dane osobowe skarżącej zawarte w jej dokumentacji medycznej. Z akt sprawy wynika, że to Komenda Główna Policji przesłała do Komendy Wojewódzkiej Policji w [...] dotyczący skarżącej e-mail S. M. z 7 lutego 2022 r. wraz z załącznikami w postaci kopii dokumentacji medycznej Skarżącej (por. s. 3, pkt 1 decyzji). Wskazano również na cele przekazania tej korespondencji do Komendy Wojewódzkiej Policji. Mając na uwadze zawarty w uzasadnieniu skargi kasacyjnej zarzut, że Sąd I instancji nie dokonał oceny tego, czy Komendant zweryfikował źródło jak i cel przekazania dokumentacji, wskazać należy, że dla kwestii dopuszczalności przetwarzania danych osobowych skarżącej przez Komendanta (czyli zgodności działania Komendanta z art. 9 RODO) nie ma wpływu to, czy zweryfikował on, że korespondencja rzeczywiście pochodzi z Komendy Głównej Policji oraz jakich konkretnie działań Komenda Główna Policji oczekuje w związku z nią od Komendanta. Z art. 9 ust. 1 RODO wynika między innymi to, że "zabrania się przetwarzania danych osobowych ujawniających (...) danych dotyczących zdrowia". Regulacja ta nie ma jednak zastosowania między innymi w przypadku: a) przetwarzanie jest niezbędne ze względów związanych z ważnym interesem publicznym, na podstawie prawa Unii lub prawa państwa członkowskiego, które są proporcjonalne do wyznaczonego celu, nie naruszają istoty prawa do ochrony danych i przewidują odpowiednie i konkretne środki ochrony praw podstawowych i interesów osoby, której dane dotyczą (art. 9 ust. 2 lit g RODO); b) przetwarzanie jest niezbędne do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych zgodnie z art. 89 ust. 1, na podstawie prawa Unii lub prawa państwa członkowskiego, które są proporcjonalne do wyznaczonego celu, nie naruszają istoty prawa do ochrony danych i przewidują odpowiednie, konkretne środki ochrony praw podstawowych i interesów osoby, której dane dotyczą (art. 9 ust. 2 lit j RODO). Mając na uwadze zawarty w uzasadnieniu skargi kasacyjnej zarzut, że Sąd I instancji nie dokonał analizy charakteru dokumentacji, którą S. M. przekazał Komendantowi, podkreślić należy, że powołane powyżej ustalenia zawarte w uzasadnieniu decyzji PUODO jednoznacznie wskazują, że to nie S. M. przekazał Komendantowi dokumentację medyczną skarżącej. Dokonała tego Komenda Główna Policji. Z kolei dalsze działanie Komendanta polegające na przekazaniu Prezydentowi Miasta [...], jako organowi właściwemu w sprawie nadzoru w zakresie spełniania wymagań określonych dla posiadania dokumentu stwierdzającego posiadanie uprawnienia do kierowania pojazdem, danych osobowych skarżącej zawartych w kopiach dokumentacji medycznej dołączonych do e-maila S. M. z 7 lutego 2022 r. znajdowało oparcie między innymi w art. 243 k.p.a. oraz szeregu przepisach ustawy z dnia 5 stycznia 2011 r. o kierujących pojazdami (t.j. Dz.U. z 2025 r. poz. 1226; dalej: "u.k.p."). Wskazać trzeba, że zgodnie z art. 75 ust. 1 pkt 5 u.k.p. badaniu lekarskiemu przeprowadzanemu w celu ustalenia istnienia lub braku przeciwwskazań zdrowotnych do kierowania pojazdami podlega między innymi osoba posiadająca prawo jazdy, jeżeli istnieją uzasadnione i poważne zastrzeżenia co do stanu jej zdrowia. Źródłem powzięcia uzasadnionych zastrzeżeń odnośnie do stanu zdrowia uzasadniających ocenę o zaktualizowaniu się przesłanki podjęcia decyzji o skierowaniu na badania lekarskie może być również dowód, na który powołał się w rozpatrywanej sprawie organ administracji publicznej (por. wyrok NSA z 13 listopada 2024 r., sygn. akt II GSK 1045/21). Tym samym takie postępowanie organów w niniejszej sprawie wypełniało przesłanki określone w art. 9 ust. 2 lit. g RODO. Ponadto Komendant był obowiązany do przechowywania danych osobowych skarżącej, zawartych w dokumentacji medycznej pozyskanej od S. M., przed zniszczeniem ww. dokumentacji, co znajduje potwierdzenie w art. 5 ust. 1 i art. 6 ust. 1 ustawy z dnia 14 lipca 1983 r. o narodowym zasobie archiwalnym i archiwach (Dz. U. z 2020 r., poz. 154 ze zm.). Przepisy te nakładają obowiązek przechowywania nadesłanej lub składanej dokumentacji. Są to właśnie te "przepisy prawa państwa członkowskiego", które stanowią podstawę do przetwarzania danych do celów archiwalnych w interesie publicznym (przesłanka z art. 9 ust. 2 lit. j RODO).

Po trzecie – NSA rozważając zawarty w uzasadnieniu skargi kasacyjnej zarzut, że Komendant nie przedstawił w toku postępowania podstawy prawnej przetwarzania danych jak również nie wypełnił obowiązków informacyjnych z art. 13 RODO oraz art. 14 RODO, wskazuje, że Komendant w założonych w sprawie wyjaśnieniach z 15 lipca 2022 r. przedstawił konkretne przepisy prawa, w których upatrywał podstawę prawną swoich działań związanych z dokumentacją medyczną skarżącej. Dodatkowo kwestia wypełnienia przez Komendanta w stosunku do skarżącej obowiązku informacyjnego z art. 13 RODO nie mogła być rozstrzygana przez PUODO w wydanej w sprawie decyzji, bo nie mieściła się ona w wyznaczonym przez skarżącą przedmiocie postępowania zakończonego tą decyzją. Zatem Komendant nie był zobligowany do spełnienia wobec skarżącej obowiązku informacyjnego (z art. 14 RODO), gdyż zaistniała określona w art. 14 ust. 5 lit. c RODO przesłanka zwalniająca go z tego obowiązku, oraz uzasadnienie tego stanowiska. Zgodnie z tą regulacją obowiązki informacyjne zawarte w art. 14 ust. 1- 4 RODO nie mają zastosowania, gdy - i w zakresie, w jakim pozyskiwanie lub ujawnianie jest wyraźnie uregulowane prawem Unii lub prawem państwa członkowskiego, któremu podlega administrator, przewidującym odpowiednie środki chroniące prawnie uzasadnione interesy osoby, której dane dotyczą. Sąd I instancji prawidłowo wskazał, że Komendant, działając jako administrator, pozyskał dane osobowe skarżącej na podstawie przepisów k.p.a. i ustawy o Policji, które wyraźnie regulują kwestie odpowiednich środków chroniących prawnie uzasadnione interesy osoby, której dane dotyczą.

Po czwarte – prawidłowo również przyjął Sąd I instancji, że nie zaistniało po stronie Komendanta Wojewódzkiego Policji w [...] naruszenie przepisów o ochronie danych osobowych w procesie przetwarzania danych osobowych skarżącej, a w szczególności, aby naruszeniem takim było pozyskanie przez Komendanta danych osobowych skarżącej. W konsekwencji brak było podstaw do przyjęcia, że Komendant obowiązany był dokonać PUODO (zgodnie z art. 33 ust. 1 RODO) zgłoszenia naruszenia ochrony danych osobowych, polegającego na nieuprawnionym dostępie Komendanta do tych danych osobowych.

Po piąte – Sąd I instancji zasadnie również przyjął, że PUODO prawidłowo umorzył postępowanie w zakresie dotyczącym żądania skarżącej nakazania Komendantowi Wojewódzkiemu Policji w [...] spełnienia wobec niej obowiązku informacyjnego określonego w art. 15 ust. 1 RODO. Skarżąca bowiem nie złożyła do administratora wniosku dotyczącego realizacji uprawnienia z art. 15 ust. 1 RODO, a zatem organ nie mógł oceniać realizacji tego obowiązku informacyjnego administratora wobec skarżącej.

Po szóste – niezasadny jest również zarzut wskazujący na naruszenie art. 141 § 4 p.p.s.a. przez niewystarczające uzasadnienie wyroku przez Sąd I instancji. Brak przekonania strony o trafności rozstrzygnięcia sprawy, w tym co do przyjętego kierunku wykładni i zastosowania prawa, czy też oceny zgromadzonego w sprawie materiału dowodowego, która nie koresponduje z oczekiwaniami skarżącej kasacyjnie, nie oznacza wadliwości uzasadnienia wyroku. Polemika z merytorycznym stanowiskiem Sądu I instancji nie może czynić skutecznym zarzutu naruszenia art. 141 § 4 p.p.s.a. (por. wyrok NSA z 17 lutego 2026 r., sygn. akt III OSK 462/23). Brak odniesienia się przez wojewódzki sąd administracyjny do niektórych zarzutów lub twierdzeń zawartych w skardze sam w sobie nie stanowi uchybienia skutkującego koniecznością uchylenia zaskarżonego wyroku, albowiem jest, czy też może nim być - to jest uchybieniem stanowiącym uzasadnioną podstawę uchylenia wyroku - pominięcie zarzutów i argumentów istotnych oraz - co istotne - wykazanie w skardze kasacyjnej takiego właśnie ich charakteru, a mianowicie, że należycie je oceniając oraz prawidłowo identyfikując z ich punktu widzenia istotę spornego w sprawie zagadnienia, sąd ten mógłby jednak inaczej orzec w sprawie. To, że Sąd I instancji nie wskazał w uzasadnieniu wyroku na art. 8 ust. 1 KPP ("Każdy ma prawo do ochrony danych osobowych, które go dotyczą") oraz korespondujący z nim art. 16 ust. 1 TFUE ("Każda osoba ma prawo do ochrony danych osobowych jej dotyczących") nie ma istotnego znaczenia w kontekście prawidłowej oceny dokonanej przez Sąd stanu faktycznego i prawnego analizowanej sprawy.

3. W związku z powyższym, Naczelny Sąd Administracyjny na podstawie art. 184 p.p.s.a. orzekł, jak w sentencji wyroku.