Centralna Baza Orzeczeń Sądów Administracyjnych

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Izabela Głowacka-Klimas, Sędzia WSA Andrzej Góraj (spr.), Asesor WSA Mateusz Rogala, , Protokolant referent Joanna Mazur po rozpoznaniu na rozprawie w dniu 2 marca 2026 r. sprawy ze skargi Ministra [...] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] grudnia 2023 r. nr [...] w przedmiocie przetwarzania danych osobowych 1) uchyla zaskarżoną decyzję; 2) zasądza od Prezesa Urzędu Ochrony Danych Osobowych na rzecz skarżącego Ministra [...] kwotę 7400 (siedem tysięcy czterysta) złotych, tytułem zwrotu kosztów postępowania.

Prezes Urzędu Ochrony Danych Osobowych (dalej: "Prezes UODO") decyzją z dnia [...] grudnia 2023r. nr [...] na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2023 r. poz. 775 ze zm.) w związku z art. 7, art. 60, art. 102 ust. 1 pkt 1 i ust. 3 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781) oraz art. 57 ust. 1 lit. a) i lit. h), art. 58 ust. 2 lit. d), e) i lit. i), art. 83 ust. 1 i 2, art. 83 ust. 4 lit. a) w związku z art. 24 ust. 1, art. 25 ust. 1, art. 32 ust. 1 i 2 oraz art. 34 ust. 2 i 4 w związku z art. 33 ust. 3, a także art. 83 ust. 5 lit. a) w związku z art 5 ust. 1 lit. a) i f), art. 5 ust. 2, art. 6 ust. 1 i art. 9 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady UE 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenia o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1 Dz. Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35), po przeprowadzeniu wszczętego z urzędu postępowania administracyjnego w sprawie naruszenia przepisów o ochronie danych osobowych przez Ministra [...], stwierdził naruszenie przez Ministra [...] przepisów:

a) art. 6 ust. 1 oraz art. 9 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady UE 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1, Dz. Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35), zwanego dalej "rozporządzeniem 2016/679", polegające na niezgodnym z prawem przetwarzaniu danych osobowych, w tym danych szczególnej kategorii, poprzez ich pozyskanie z Elektronicznej Platformy Gromadzenia, Analizy i Udostępniania Zasobów Cyfrowych o Zdarzeniach [...], o której mowa w art. 7 ust 1 ustawy z dnia 28 kwietnia 2011 r. o systemie informacji w ochronie zdrowia (Dz. U. z 2023 r. poz. 2465), oraz opublikowanie na platformie społecznościowej [...] (dawniej [...]) bez podstawy prawnej, co skutkowało naruszeniem zasad zgodności z prawem, rzetelności i przejrzystości, określonej w art. 5 ust. 1 lit a) rozporządzenia 2016/679), zasady integralności i poufności, wyrażonej wart. 5 ust 1 lit f) rozporządzenia 2016/679 oraz zasady rozliczalności, o której mowa w art. 5 ust. 2 rozporządzenia 2016/679;

b) art. 24 ust, 1, art. 25 ust 1 oraz art. 32 ust. 1 i 2 rozporządzenia 2016/679, polegające na niewdrożeniu odpowiednich środków technicznych i organizacyjnych zapewniających stopień bezpieczeństwa odpowiadający ryzyku przetwarzania danych przy wykorzystaniu Elektronicznej Platformy Gromadzenia, Analizy i Udostępniania Zasobów Cyfrowych o Zdarzeniach [...], o której mowa w art. 7 ust 1 ustawy z dnia 28 kwietnia 2011 r. o systemie informacji w ochronie zdrowia (Dz. U. z 2023 r. poz. 2465), w tym ich ochrony przed przypadkową utratą, zniszczeniem lub uszkodzeniem oraz ujawnieniem osobom nieuprawnionym, co skutkowało naruszeniem zasad integralności i poufności (art. 5 ust. 1 lit. f) rozporządzenia 2016/679) oraz zasady rozliczalności (art. 5 ust. 2 rozporządzenia 2016/679);

c) art. 34 ust 2 w związku z art. 33 ust. 3 rozporządzenia 2016/679, polegające na nieprzedstawieniu osobie, której dane naruszono w sposób określony w pkt. a), informacji, o których mowa w art. 33 ust 3 lit c) i d) rozporządzenia 2016/679, to jest opisu możliwych konsekwencji naruszenia ochrony danych osobowych oraz opisu środków zastosowanych lub proponowanych przez administratora w celu zaradzenia naruszeniu, w tym środków w celu zminimalizowania jego ewentualnych negatywnych skutków.

Stwierdzając powyższe naruszenie Prezes UODO nałożył na Ministra [...] za naruszenie art. 5 ust. 1 lit. a) i f), art. 5 ust. 2, art. 6 ust. 1, art. 9 ust. 1, art. 25 ust 1, art. 32 ust. 1 i 2 oraz art. 34 ust. 2 w związku z art. 33 ust. 3 rozporządzenia 2016/679 administracyjną karę pieniężną w kwocie 100 000 zł (słownie: stu tysięcy złotych) oraz nakazał Ministrowi [...] wdrożenie - w terminie 30 dni od dnia doręczenia niniejszej decyzji - odpowiednich środków technicznych i organizacyjnych w celu zminimalizowania ryzyka wiążącego się z przetwarzaniem danych osobowych przy wykorzystaniu Elektronicznej Platformy Gromadzenia, Analizy i Udostępniania Zasobów Cyfrowych o Zdarzeniach [...], o której mowa w art. 7 ust. 1 ustawy z dnia 28 kwietnia 2011 r. o systemie informacji w ochronie zdrowia (Dz. U. z 2023 r. poz. 2465), w szczególności wynikającego z przypadkowego lub niezgodnego z prawem zniszczenia, utraty, modyfikacji, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych osobowych przesyłanych, przechowywanych lub w inny sposób przetwarzanych, po uprzednim przeprowadzeniu analizy ryzyka, uwzględniającej stan wiedzy technicznej, koszt wdrożenia, charakter, zakres, kontekst i cele przetwarzania oraz ryzyko naruszenia praw lub wolności osób fizycznych. Ponadto nakazał Ministrowi [...] zawiadomienie - w terminie 3 dni od dnia doręczenia niniejszej decyzji - osoby, której dane zostały ujawnione na platformie społecznościowej [...] (dawniej [...]), o naruszeniu ochrony danych osobowych w celu przekazania jej informacji określonych w art. 34 ust. 2 w związku z art. 33 ust. 3 lit. c) i d) rozporządzenia 2016/679, tj.: opisu możliwych konsekwencji naruszenia ochrony danych osobowych; -opisu środków zastosowanych lub proponowanych przez administratora w celu zaradzenia naruszeniu - w tym środków w celu zminimalizowania jego ewentualnych negatywnych skutków.

W uzasadnieniu organ przedstawił ustalony przez siebie stan faktyczny, który uczynił podstawa rozstrzygnięcia wskazując, że Minister [...] w dniu [...] sierpnia 2023 r. opublikował w serwisie społecznościowym [...] (dawniej [...]) wpis zawierający informację na temat lekarza, który wystawił receptę "pro auctore" na lek z grupy psychotropowych i przeciwbólowych, którego dotyczy rozporządzenie Ministra Zdrowia z dnia 12 lipca 2023r. zmieniające rozporządzenie w sprawie środków odurzających, substancji psychotropowych, prekursorów kategorii 1 i preparatów zawierających te środki lub substancje (Dz. U. z 2023 r. poz. 1368). We wpisie znalazły się dane osobowe lekarza w postaci imienia i nazwiska, miejsca pracy oraz informacji o kategorii leku, na który została wystawiona recepta. W związku z ww. wydarzeniem, w dniu [...] sierpnia 2023 r. do Prezesa Urzędu Ochrony Danych Osobowych wpłynęło wstępne zgłoszenie naruszenia ochrony danych osobowych dokonane przez Ministra [...], w którym wskazano na wystąpienie naruszenia ochrony danych osobowych przetwarzanych przy wykorzystaniu Elektronicznej Platformy Gromadzenia, Analizy i Udostępniania Zasobów Cyfrowych o Zdarzeniach [...], o której mowa w art. 7 ust. 1 ustawy z dnia 28 kwietnia 2011 r. o systemie informacji w ochronie zdrowia (Dz. U. z 2023 r. poz. 2465), zwanej dalej również "systemem [...]". Dalej organ wskazał, że w zgłoszeniu Administrator potwierdził fakt uzyskania przez Ministra [...] danych osobowych lekarza z systemu [...] za pomocą osób upoważnionych do korzystania z ww. systemu wyjaśniając, iż Dyrektor Pionu Rozwoju SIM i Wdrożeń w Ministerstwie [...], na ustne polecenie Ministra [...], wyznaczył pracownika, który odszyfrował w systemie [...] receptę, na której znajdowały się dane osobowe lekarza, a następnie przekazał te dane Ministrowi [...].

W oparciu o analizę w/w zdarzenia organ uznał, że winnym naruszenia przepisów RODO wyszczególnionych w decyzji jest Minister [...]. Stąd to jego uczynił adresatem swego rozstrzygnięcia.

Minister [...], pismem z dnia [...] stycznia 2024 r. wniósł do Wojewódzkiego Sądu Administracyjnego w Warszawie skargę na decyzję Prezesa UODO z dnia [...] grudnia 2023 r. nr [...]

Zaskarżonej decyzji zarzucił:

1) zaistnienie wady kwalifikowanej decyzji, powodującej jej nieważność w części, tj. przyczyny określonej w art. 156 § 1 pkt 4 ustawy dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. 2023 poz. 775 ze zm., dalej: k.p.a.), w zakresie lit. a Decyzji, tj. stwierdzenia naruszenia przez Ministra [...] art. 6 ust. 1 w zw. z art. 9 ust. 1 w zw. z art. 5 ust. 1 lit. a oraz lit. f oraz art. 5 ust. 2 RODO oraz pkt 1 decyzji, tj. nałożenia na Ministra [...] administracyjnej kary pieniężnej w wysokości 100.000,00 zł, z uwagi na skierowanie decyzji do podmiotu niebędącego stroną w sprawie, tj. do Ministra [...], podczas gdy sprawcą naruszenia przepisów o ochronie danych osobowych polegającego na udostępnieniu danych osobowych lekarza na portalu [...] był wyłącznie A. N. (jako osoba fizyczna "prywatna" działająca poza piastowaniem funkcji organu - Ministra [...]), co miało wpływ na wynik sprawy,

2). naruszenie przepisów prawa procesowego, tj.:

a) art. 7, 77 § 1 i 80 k.p.a. poprzez brak zebrania i rozpatrzenia całości materiału dowodowego w sprawie koniecznych dla wyjaśnienia oraz ustalenia istotnych w sprawie okoliczności, polegające na zaniechaniu przesłuchania A. N., co do jego roli w kwestionowanym w Decyzji, procesie przetwarzania danych osobowych oraz dowolne stwierdzenie przez Prezesa UODO, bez oparcia w materiale dowodowym, że dostęp do danych osobowych osoby, której dane dotyczą przez Ministra [...], był pozbawiony podstaw prawnych, podczas gdy Prezes UODO nie poczynił ustaleń faktycznych w tym zakresie, a w aktach brak jest dowodów na tę okoliczność, co miało wpływ na wynik sprawy;

b) art. 7 i art. 77 §1 w zw. z art. 107 § 3 k.p.a. poprzez wewnętrzną sprzeczność Decyzji, w której z jednej strony Prezes UODO uznaje Ministra [...] za administratora odpowiedzialnego za bezprawne pozyskanie i udostępnienie danych osobowych lekarza na portalu [...], przy jednoczesnym wskazaniu, że zainteresowanemu lekarzowi przysługuje "prawo złożenia do Prezesa UODO skargi na niezgodne z prawem przetwarzanie jego danych osobowych przez Ministra [...] działającego jako osoba fizyczna", co oznacza, że w przedmiocie tego samego zdarzenia - zdaniem organu - administratorem jest A. N., a nie Minister [...], co miało istotny wpływ na wynik sprawy;

c) art. 7 i art. 77 §1 w zw. z art. 107 § 3 k.p.a. poprzez wewnętrzną sprzeczność Decyzji, w której Prezes UODO przypisał Ministrowi [...] odpowiedzialność za naruszenie ochrony danych osobowych w rozumieniu art. 33 ust. 1 w zw. z art. 4 pkt 7 RODO, przy jednoczesnym przypisaniu Ministrowi [...] odpowiedzialności za bezprawne pozyskanie i udostępnienie danych osobowych lekarza na portalu [...], w zakresie imienia, nazwiska, miejscu wykonywania zawodu i rodzaju zawodu oraz informacji o stanie zdrowia dokonane z naruszeniem art. 6 ust. 1 i art. 9 ust. 1 RODO, co miało istotny wpływ na wynik sprawy; nie jest bowiem dopuszczalne, aby ten sam podmiot z tytułu jednego zdarzenia ponosił jednocześnie odpowiedzialność za niedopuszczalne przetwarzanie danych osobowych (art. 6 ust.1 i art. 9 ust.1 RODO) oraz za zaistnienie naruszenia ochrony danych, w wyniku którego doszło do utraty poufności danych (art. 33-34 RODO); organ w prowadzonym postępowaniu nie ustalił zatem, która z tych dwóch sytuacji wystąpiła (w alternatywie rozłącznej),

3) naruszenie przepisów prawa materialnego, tj.:

a) art. 4 pkt 7 w zw. z art. 58 ust. 2 lit. d, lit. e oraz lit. i RODO poprzez przyjęcie, że podmiotem, który dopuścił się nieprawidłowości w niniejszej sprawie jest Minister [...], podczas gdy podmiotem odpowiedzialnym, za pozyskanie bez podstawy prawnej, a następnie za udostępnienie danych osobowych lekarza w zakresie jego imienia, nazwiska, miejscu wykonywania zawodu i rodzaju zawodu i informacji o stanie zdrowia, a tym samym administratorem w rozumieniu art. 4 pkt 7 RODO, był A. N., działający bez podstawy prawnej poza piastowaniem funkcji Ministra [...] (jako tzw. "osoba prywatna"), co miało wpływ na wynik sprawy;

b) art. 24 ust. 1, art. 25 ust. 1 oraz art. 32 ust. 1 i 2 w zw. z art. 5 ust. 1 lit. f i art. 5 ust. 2 RODO poprzez uznanie, że Minister [...] nie wdrożył odpowiednich środków technicznych i organizacyjnych w tym ich ochrony przed przypadkową utratą, zniszczeniem lub uszkodzeniem oraz ujawnieniem, podczas gdy Minister [...] takie środki wdrożył, a nieprawidłowości polegające na bezpodstawnym udostępnieniu danych osobowych lekarza w zakresie jego imienia, nazwiska, miejscu wykonywania zawodu i rodzaju zawodu i informacji o stanie zdrowia jest wynikiem wyłącznie celowego działania A. N. (działającego jako "osoba prywatna" poza pastowaniem funkcji Ministra [...]), co miało wpływ na wynik sprawy;

c) art. 6 ust. 1 oraz art. 9 ust. 1 w zw. z art. 5 ust. 1 lit. a, lit. f oraz art. 5 ust. 2 RODO poprzez uznanie, że Minister [...] dopuścił się niezgodnego z prawem przetwarzania danych osobowych, w tym danych szczególnej kategorii poprzez ich pozyskanie oraz opublikowanie na platformie społecznościowej [...], podczas gdy administratorem, który pozyskał i udostępnił dane osobowe lekarza na platformie społecznościowej [...] był A. N. (działający jako "osoba prywatna" poza pastowaniem funkcji Ministra [...]), co miało wpływ na wynik sprawy);

d) art. 58 ust. 2 lit. d oraz lit. e RODO poprzez skierowanie do Ministra [...] nakazu wdrożenia "odpowiednich środków technicznych i organizacyjnych" oraz "zawiadomienie (...) osoby (...) o naruszeniu ochrony danych osobowych w celu przekazania jej informacji określonych w art. 34 ust. 2 w związku z art. 33 ust. 3 lit. c) i d) rozporządzenia 2016/679, tj.: -opisu możliwych konsekwencji naruszenia ochrony danych osobowych; -opisu środków zastosowanych lub proponowanych przez administratora w celu zaradzenia naruszeniu - w tym środków w celu zminimalizowania jego ewentualnych negatywnych skutków", podczas gdy rozstrzygnięcia te nie mają charakteru dookreślonego i nie można na ich podstawie stwierdzić, jakie konkretnie działanie powinien podjąć adresat nakazu, aby uniknąć zarzutu niewykonania decyzji administracyjnej, co powoduje, że rozstrzygnięcia te są na granicy ich wykonalności przez ich adresata), co miało wpływ na wynik sprawy;

e) art. 58 ust. 2 lit. i w zw. z art. 83 ust. 1 RODO w zw. z art. 102 ust. 1 i 3 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. 2019 r. poz. 1781 ze zm.; dalej: "u.o.d.o.") poprzez zastosowanie w stosunku do Ministra [...] administracyjnej kary pieniężnej, podczas gdy stan naruszenia przepisów o ochronie danych osobowych, stwierdzony w Decyzji, był wynikiem działania A. N., a zastosowanie środka sankcyjnego w sytuacji, gdy bezpośredni sprawca naruszeń przepisów nie jest piastunem organu, nie spełni funkcji, które powinna realizować administracyjna kara pieniężna przewidziana w art. 58 ust. 2 lit. i w zw. z. art. 83 ust. 1 RODO w zw. z art. 102 ust. 1 i 3 u.o.d.o.

Podnosząc powyższe zarzuty wniósł o:

1) stwierdzenie nieważności w zakresie lit. a oraz pkt 1 decyzji;

2) uchylenie zaskarżonej decyzji w całości, również w zakresie lit. a decyzji i pkt 1 decyzji w przypadku nieuwzględnienia powyższego wniosku o stwierdzenie nieważności decyzji w ww. zakresie oraz przekazanie sprawy do ponownego rozpoznania;

3) dopuszczenie dowodów powołanych w treści niniejszego pisma na podstawie art. 106 § 3 p.p.s.a., tj.:

- [...] z [...] maja 2023 r. obowiązujące w chwili dokonania publikacji danych;

- Dokument o nazwie: [...];

- Zrzut ekranu obejmujący oznaczenie konta Ministerstwa [...] na portalu [...];

- Zrzut ekranu obejmujący wpis A. N. na portalu [...];

4) zasądzenie na rzecz Ministra [...] od Prezesa UODO zwrotu kosztów postępowania według norm przepisanych, w tym kosztów zastępstwa procesowego.

W odpowiedzi na skargę organ wniósł o jej oddalenie.

Okolicznością znaną tut. Sądowi z urzędu było też to, że Prokuratura Okręgowa w [...] skierowała akt oskarżenia przeciwko A. N. podejrzanemu o to, że w dniu [...] sierpnia 2023 r., jako funkcjonariusz publiczny Minister właściwy do spraw zdrowia - Minister [...], przekroczył swoje uprawnienia wynikające z art. 11 ust. 1 ustawy z dnia 27 sierpnia 2004 r. o świadczeniach opieki zdrowotnej finansowanych ze środków publicznych, w ten sposób, że ujawnił za pośrednictwem środków masowego komunikowania, niezgodnie z przepisami, tj. art. 6 ust. 1 Rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 2016/679 z dnia 27 kwietnia 2016 r. a więc wbrew zadaniom wyrażonym art. 11 ust. 1 w/wym. ustawy, pozyskane z Systemu Informacji [...] dane osobowe o charakterze danych dotyczących zdrowia w postaci rodzaju przepisanych receptą leków, ustalonej osoby, publikując, z użytkowanego tylko przez siebie profilu na internetowym portalu [...], wpis zawierający tak określoną informację, z którą to informacją zapoznał się w związku z pełnioną funkcją Ministra właściwego do spraw zdrowia, czym działał na szkodę interesu prywatnego pokrzywdzonego, tj. o czyn z art. 231 § 1 kk w zb. z art. 266 § 1 kk w zb. z art. 107 ust. 2 Ustawy o ochronnie danych osobowych z dnia 10 maja 2018 r. w zw. z art. 11 § 2 kk.

Uwzględniając powyższą okoliczność tut. Sąd postanowieniem z dnia [...] października 2024r. zawiesił niniejsze postępowanie do czasu prawomocnego rozstrzygnięcia w/w sprawy karnej. W uzasadnieniu postanowienia stwierdzono, że Sąd karny będzie badał to, czy opisanego w skarżonej decyzji Prezesa UODO bezprawnego działania, dopuściła się osoba fizyczna czy piastun organu administracji, stąd od wyniku postępowania karnego będzie zależeć rozstrzygnięcie sprawy zawisłej przed Sądem administracyjnym. Poprawność w/w postanowienia potwierdził Naczelny Sąd Administracyjny rozpoznając złożony od niego środek zaskarżenia i oddalając w dniu [...] stycznia 2025r. złożone zażalenie (sygn. Akt III OZ 542/24).

Wyrokiem z dnia [...] września 2025r. Sąd Okręgowy w [...] Wydział [...] (sygn. akt [...]) utrzymał w mocy wyrok Sądu I instancji z [...] grudnia 2024r. (sygn. Akt [...]) skazujący A. N. za popełnienie czynu opisanego w przywołanym akcie oskarżenia. Dzięki temu ziściła się przesłanka do podjęcia postępowania w sprawie o czym tut. Sąd orzekł postanowieniem z dnia [...] stycznia 2026r.

W piśmie procesowym z dnia [...] lutego 2026r. strona skarżąca podtrzymała wnioski i żądania zawarte w skardze podnosząc dodatkowo, iż skoro Sąd karny przesądził że nieuprawnionego udostępnienia danych osobowych dopuściła się osoba fizyczna, to decyzja skierowana wobec Ministra [...] jest wadliwa.

Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje:

zgodnie z treścią przepisu art.1 § 1 i 2 ustawy z dnia 25 lipca 2002 r. – Prawo o ustroju sądów administracyjnych (t.j. Dz. U. z 2024 r. poz. 1267) Sąd Administracyjny sprawuje wymiar sprawiedliwości poprzez kontrolę pod względem zgodności z prawem skarżonej decyzji administracyjnej. Jest więc to kontrola legalności rozstrzygnięcia zapadłego w postępowaniu administracyjnym, z punktu widzenia jego zgodności z prawem materialnym i procesowym. Oceniając przedmiotową decyzję według powyższych kryteriów, uznać należy, iż powinna zostać wyeliminowana z obrotu prawnego jako wadliwa.

Istota sprawy w niniejszym postępowaniu sprowadzała się do oceny tego, czy organ w sposób poprawny ustalił stan faktyczny.

Całokształt materiału zgromadzonego w sprawie świadczy o tym, że na w/postawione pytanie należało udzielić negatywnej odpowiedzi.

W pierwszej kolejności wyjaśnienia wymagało to, ze tut. Sąd przy wydawaniu wyroku, działał niejako na zasadzie podwójnego związania. W trakcie postępowania – zawieszając je - przesądził, że wynik niniejszej sprawy uzależniony jest od rozstrzygnięcia sprawy karnej w ramach której rozpoznawany był akt oskarżenia skierowany wobec A. N. Ten tok rozumowania tut. Sądu zaakceptował w pełni Sąd kasacyjny oddalając zażalenie na postanowienie o zawieszeniu postępowania. Od czasu więc, gdy Sąd wyższej instancji ostatecznie uznał, że rozstrzygnięcie niniejszej skargi Ministra [...] uzależnione jest od rozpoznania konkretnego zagadnienia wstępnego, Wojewódzki Sąd Administracyjny w Warszawie był związany tym stanowiskiem.

Stąd tez tut. Sąd podjął zawieszone postępowanie dopiero po pojawieniu się w obrocie prawnym ostatecznego wyroku Sądu karnego odwoławczego, wskazanego w postanowieniu tut. Sądu o zawieszeniu postępowania jako zagadnienie wstępne od którego zależy rozstrzygnięcie. Treść tego rozstrzygnięcia stanowiła zaś właśnie owo drugie związanie, rzutujące bezpośrednio na ocenę poprawności skarżonej decyzji.

Przenosząc powyższe na realia faktyczne niniejszej sprawy uznać należało, że badana decyzja została oparta na błędnie ustalonym stanie faktycznym. Organ uznał bowiem, że sprawcą bezprawnego ujawnienia danych osobowych był Minister [...]. W świetle jednak treści wyroku Sądu karnego powyższa konstatacja okazała się niewłaściwa. W wyniku prowadzonego postępowania karnego ustalono bowiem, że sprawcą naruszenia przepisów RODO nie był organ administracji a konkretna osoba fizyczna.

Skoro więc cała skarżona decyzja wywodzona była z błędnie ustalonego stanu faktycznego, to oczywistym jest, że cała decyzja musiała zostać wyeliminowana z obrotu prawnego. Zarówno bowiem przypisane Ministrowi [...] naruszenia przepisów RODO (i powiązane z tym faktem nałożenie administracyjnej kary pieniężnej), jak i nakaz podjęcia działań naprawczych sprecyzowany w punktach 2 i 3 decyzji, organ powiązał w sposób bezpośredni ze stanem faktycznym, który nie odzwierciedlał jednak prawdy materialnej.

Rozpoznając niniejsza sprawę tut. Sąd świadom jest oczywiści istnienia pewnego rodzaju niejasności wynikającej z tego, że osoba fizyczna, którą Sąd karny uznał za sprawcę omawianych naruszeń RODO, była jednocześnie piastunem organu administracji jakim jest Minister [...]. Nie mniej jednak owa dwoistość funkcji danej osoby fizycznej nie oznacza tego, ze w każdej z tych ról obarczona była tymi samymi rygorami prawnymi. Nie wymaga przecież dowodu okoliczność, że inne prawa i obowiązki spoczywają na organie administracji rządowej a inne na piastunie tego organu. Nawet więc gdy w niektórych sferach działalności, owe prawa i obowiązki są wspólne dla obydwu w/w postaci, to nie upoważnia to Prezesa UODO do całkowitego abstrahowania od występujących pomiędzy nimi różnic.

W związku z powyższym, biorąc pod uwagę okoliczność, ze prawda materialna ustalona w wyniku postępowania karnego obrazuje inne fakty od przyjętych przez organ jako podstawa skarżonej decyzji, Wojewódzki Sad Administracyjny w Warszawie orzekł jak w wyroku na podstawie art.145 § 1 pkt.1c ustawy z dnia 30 sierpnia 2002r. – Prawo o postępowaniu przed sądami administracyjnymi (t.j. Dz. U. z 2026 r. poz. 143), zaś o kosztach rozstrzygnął w oparciu o normę art.200 w/powołanej ustawy zasądzając od organu na rzecz strony skarżącej zwrot poniesionych przez nią stosunkowych kosztów z tytułu uiszczenia wpisu sądowego od skargi i wynagrodzenia profesjonalnego pełnomocnika.

Ponownie rozpoznając sprawę organ będzie zobligowany do tego, aby czynić to w nawiązaniu do treści wyroków Sądów karnych przywołanych na wstępie niniejszego uzasadnienia.