II SA/Wa 828/24

II SA/Wa 828/24 - Wyrok WSA w Warszawie
Data orzeczenia
2024-10-24
orzeczenie nieprawomocne
Data wpływu
2024-06-03
Sąd
Wojewódzki Sąd Administracyjny w Warszawie
Sędziowie
Ewa Radziszewska-Krupa
Łukasz Krzycki /przewodniczący/
Mateusz Rogala /sprawozdawca/
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne
Ochrona danych osobowych
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Uchylono zaskarżone postanowienie
Powołane przepisy
Dz.U. 2024 poz 935
art. 145 § 1 pkt 1 lit. c)
Ustawa z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (t. j.)
Dz.U. 2024 poz 572
art. 61a
Ustawa z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (t.j.)
Dz.U.UE.L 2016 nr 119 poz 1 art. 57 ust. 4
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z  przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE
Sentencja
Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Łukasz Krzycki, Sędzia WSA Ewa Radziszewska-Krupa, Asesor WSA Mateusz Rogala (spr.), po rozpoznaniu w trybie uproszczonym w dniu 24 października 2024 r. sprawy ze skargi M. M. na postanowienie Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] kwietnia 2024 r. nr [...] w przedmiocie odmowy wszczęcia postępowania 1. uchyla zaskarżone postanowienie; 2. zasądza od Prezesa Urzędu Ochrony Danych Osobowych na rzecz M. M. kwotę 100 (słownie: sto) złotych, tytułem zwrotu kosztów postępowania.
Uzasadnienie
Zaskarżonym do Wojewódzkiego Sądu Administracyjnego w Warszawie postanowieniem z dnia [...] kwietnia 2024 r. nr [...]. Prezes Urzędu Ochrony Danych Osobowych, działając na podstawie art. 61a § 1 ustawy z dnia 14 czerwca 1960 r. – Kodeks postępowania administracyjnego (Dz. U. z 2023 r., poz. 775 ze zm., powoływanej dalej jako k.p.a.) w zw. z art. 7 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r., poz. 1781) oraz w zw. z art. 57 ust. 4 rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE ogólne rozporządzenie o ochronie danych (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 4.05.2016, str. 1 ze zm., powoływanego dalej jako rozporządzenie nr 2016/679), odmówił wszczęcia postępowania administracyjnego w sprawie skargi M. M. na nieprawidłowości w procesie przetwarzania jego danych osobowych przez [...] Sp. z o.o. z siedzibą w [...] .
W uzasadnieniu postanowienia organ wyjaśnił, że w dniu [...] lutego 2024 r. M. M. wniósł skargę na nieprawidłowości w procesie przetwarzania jego danych osobowych przez [...] Sp. z o.o. z siedzibą w [...] polegające na niezrealizowaniu prawa dostępu do danych w zakresie informacji na temat przetwarzania danych (art. 15 ust. 1 rozporządzenia nr 2016/679), udostępnienia kopii przetwarzanych danych osobowych (art. 15 ust. 3 rozporządzenia nr 2016/679) oraz niezrealizowaniu obowiązku informacyjnego spełnianego w przypadku pozyskania danych osobowych w sposób inny niż od osoby, której dane dotyczą (art. 14 rozporządzenia nr 2016/679).
Skarżący wskazał, że w dniu [...] stycznia 2024 r. zadzwonił do niego pracownik spółki [...], który przedstawił się, że dzwoni "z [...]" i dzwoni w sprawie "kursów językowych" i "nauki języka".
W związku z powyższym [...] stycznia 2024 r. M. M. zwrócił się do spółki, za pośrednictwem poczty elektronicznej, z wnioskiem o realizację prawa dostępu do danych, tj. w zakresie informacji na temat przetwarzanych przez spółkę danych oraz o przesłanie kopii przetwarzanych danych osobowych.
Pismem z dnia [...] stycznia 2024 r. spółka - jak twierdzi skarżący - odmówiła uwzględnienia jego wniosków. Skarżący wskazał, że spółka poinformowała go, że nie przetwarza jego danych osobowych oraz, że "Spółka może w Pana imieniu wystąpić do partnerów (będących samodzielnymi administratorami danych osobowych w celu weryfikacji czy przetwarzają oni Pańskie dane osobowe (...)".
W odpowiedzi na powyższe, skarżący w piśmie z dnia [...] stycznia 2024 r. podjął polemikę ze spółką, twierdząc, że partnerzy spółki są współadministratorami i nie stoi to na przeszkodzie realizacji wobec niego obowiązków informacyjnych.
W odpowiedzi z dnia [...] lutego 2024 r. spółka ponownie wskazała, że nie kontaktowała się ze skarżącym, natomiast wspomniani partnerzy są samodzielnymi administratorami danych osobowych, którzy na podstawie zgody osoby, której dane dotyczą, udostępniają dane osobowe spółce.
W piśmie z dnia [...] lutego 2024 r. skarżący wezwał spółkę do realizacji prawa dostępu do danych oraz do spełnienia obowiązku informacyjnego spełnianego w przypadku pozyskania danych osobowych w sposób inny niż od osoby, której dane dotyczą.
W odpowiedzi w piśmie z dnia [...] lutego 2024 r. spółka załączyła skarżącemu klauzulę informacyjną (art. 13 ust. 1 i 2 rozporządzenia nr 2016/679), przekazała kopię przetwarzanych danych (w zakresie imię, nazwisko, adres e-mail) oraz wskazała m.in., że żądanie spełnienia obowiązku informacyjnego z art. 14 rozporządzenia nr 2016/679 nie może zostać wykonane, ponieważ spółka pozyskała dane osobowe bezpośrednio od skarżącego w związku z kierowaną przez niego korespondencją do spółki. Odnosząc się do żądania przekazania kopii pliku dźwiękowego z nagranej rozmowy, spółka wskazała skarżącemu, że nie dysponuje przedmiotowym nagraniem, ponieważ nie kontaktowała się z telefonicznie ze skarżącym. Ponadto spółka podkreśliła, że nie pozostaje z żadnym podmiotem w relacji współadministrowania danymi osobowymi. Spółka oświadczyła skarżącemu, że nie jest abonentem wskazanego przez niego numeru telefonu ani nie korzysta z przedmiotowego numeru telefonu w inny sposób.
W dalszej części uzasadnienia zaskarżonego postanowienia organ podniósł, że stosownie do art. 61 a § 1 k.p.a., gdy żądanie, o którym mowa w art. 61 § 1 k.p.a., zostało wniesione przez osobę niebędącą stroną lub z innych uzasadnionych przyczyn postępowanie nie może być wszczęte, organ administracji publicznej wydaje postanowienie o odmowie wszczęcia postępowania.
Powołując się na orzecznictwo sądów administracyjnych, organ stwierdził, że odmowa wszczęcia postępowania na podstawie art. 61a § 1 k.p.a. "z innych uzasadnionych przyczyn" może mieć miejsce w sytuacjach oczywistych, niewymagających analizy sprawy i przeprowadzenia dowodów, tj. gdy "na pierwszy rzut oka" można stwierdzić, że brak jest podstaw do prowadzenia postępowania.
Prezes UODO wyjaśnił następnie, że zgodnie z art. 57 ust. 4 rozporządzenia nr 2016/679, jeżeli żądanie jest w sposób oczywisty nieuzasadnione lub nadmierne, w szczególności ze względu na swą powtarzalność, organ nadzorczy może pobrać opłatę w rozsądnej wysokości wynikającej z kosztów administracyjnych lub może odmówić podjęcia żądanych działań. Obowiązek wykazania, że żądanie jest w sposób oczywisty nieuzasadnione lub nadmierne, spoczywa na organie nadzorczym. W konsekwencji ocena dokonywana na podstawie art. 57 ust. 4 rozporządzenia nr 2016/679 musi sięgać dalej, aniżeli ta dokonywana w ramach art. 61a § 1 k.p.a. Artykuł 57 ust. 4 rozporządzenia nr 2016/679 swą treścią w zakresie "oczywistej niezasadności" zawsze jest bowiem ocenny, choć w innym zakresie, niż art. 61a § 1 k.p.a. O ile art. 61a § 1 k.p.a. obliguje bowiem jedynie do odmowy podjęcia działań, gdy formalne przeszkody do wszczęcia postępowania widać na pierwszy rzut oka, to art. 57 ust. 4 rozporządzenia nr 2016/679 wymaga dokonania oceny żądania stanowiącego podstawę do wszczęcia postępowania.
W ocenie organu, wniosek skarżącego w przedłożonym w skardze zakresie jest w sposób oczywisty nieuzasadniony. Spółka nie odmówiła skarżącemu realizacji jego praw, a wręcz przeciwnie udzieliła stosownych, wyczerpujących informacji, w tym zaproponowała możliwość zwrócenia się do partnerów spółki w celu ustalenia, czy przetwarzają dane osobowe skarżącego, co potwierdza przedstawiona przez samego skarżącego korespondencja.
Z powyższego organ wywiódł, że już na etapie wpływu skargi do organu spółka udzieliła skarżącemu wszystkich żądanych przez niego informacji i wyjaśniła podnoszone przez niego kwestie. Skarga służy jedynie polemice ze spółką w zakresie domniemanego przez skarżącego statusu spółki jako współadministratora z podmiotem, który wykonał do skarżącego połączenie telefoniczne. Prowadzenie postępowania w sprawie skarżącego wobec spółki miałoby wobec tego charakter pozorny. Podjęcie działań w takim przypadku stanowiłoby przy tym o jego wadliwości od samego początku.
W konsekwencji organ przyjął, że w sprawie wystąpiła inna uzasadniona przyczyna uniemożliwiająca wszczęcie postępowania określona w art. 61a § 1 k.p.a., bowiem żądanie skarżącego jest w sposób oczywisty nieuzasadnione w rozumieniu art. 57 ust. 4 rozporządzenia nr 2016/679.
Organ uznał przy tym, że przedstawiona przez skarżącego skarga wraz z załącznikami jest wystarczająca do podjęcia rozstrzygnięcia i nie było konieczności podejmowania czynności dowodowych w celu uzyskania dodatkowych informacji.
M. M. wniósł na powyższe postanowienie skargę do Wojewódzkiego Sądu Administracyjnego w Warszawie, zaskarżając je w całości.
Skarżący zarzucił organowi naruszenie:
1. art. 77 ust. 1 oraz art. 57 ust. 1 lit. f) rozporządzenia nr 2016/679 oraz art. 28 k.p.a. poprzez ich błędną wykładnię oraz niewłaściwe wspólne zastosowanie - i tym samym błędne uznanie, że skarżący ma obowiązek przed wniesieniem skargi do organu nadzorczego przeprowadzić swoje własne prywatne śledztwo oraz samodzielnie ustalić tożsamość administratora (tj. tożsamość drugiej strony postępowania administracyjnego, o której mowa w art. 28 k.p.a.). Podczas gdy prawidłowa wykładnia tych przepisów oraz ich właściwe wspólne zastosowanie wskazuje na to, że skarżący nie ma takiego obowiązku; zaś tożsamość administratora może być ustalona przez organ nadzorczy w trakcie trwania wszczętego postępowania administracyjnego. Skarżący wskazuje na tym etapie tylko "punkt zaczepienia"/"punkt kontaktowy" i to zrobił, podając organowi nadzorczemu, że firma [...] oraz operator [...] są w posiadaniu pomocnych (dla organu nadzorczego) informacji;
2. art. 57 ust. 1 lit. a) rozporządzenia nr 2016/679 poprzez niemonitorowanie oraz nieegzekwowanie stosowania rozporządzenia wobec wskazanej przez skarżącego operacji przetwarzania jego danych osobowych co najmniej w dniu [...] stycznia 2024 r. o godzinie 12:52. Skarżący dostarczył organowi nadzorczemu dowodów na to, że "jakiś partner [...]" wykonał operacje przetwarzania danych osobowych skarżącego oraz skarżący podpowiedział organowi nadzorczemu, że firma [...] oraz operator [...] są w posiadaniu pomocnych (dla organu nadzorczego) informacji;
3. art. 8 ust. 3 Karty Praw Podstawowych Unii Europejskiej poprzez: nieobjęcie kontrolą przestrzegania zasad z art. 8 ust. 1 i 2 KPP, tj. zasad: czy skarżący miał i ma prawo do ochrony swoich danych osobowych, czy dane skarżącego były i są przetwarzane rzetelnie w określonych celach i na uzasadnionej podstawie prawnej przewidzianej ustawą, czy skarżący ma prawo do dostępu do swoich danych osobowych, czy skarżący ma prawo do sprostowania swoich danych osobowych - w związku z tym, że na danych osobowych skarżącego co najmniej w dniu [...] stycznia 2024 r. o godzinie [...] jakiś podmiot wykonał operacje przetwarzania. Organ nadzorczy swoją bezczynnością w powyższym zakresie doprowadza do sytuacji, że skarżący pragnący korzystać z praw wskazanych w art. 8 KPP będzie zmuszony do złożenia zawiadomienia o podejrzeniach popełnienia przestępstwa z art. 107 ust. 1 ustawy o ochronie danych osobowych - tylko po to żeby to organ ścigania (a nie organ nadzorczy) ustalił tożsamość administratora. Oznacza to, że organ nadzorczy nieprawidłowo postrzega swoją rolę ustrojową;
4. art. 57 ust. 4 rozporządzenia nr 2016/679 poprzez nieprawidłowe i wadliwe usiłowanie wykazania, że żądanie skarżącego wobec operacji przetwarzania jego danych osobowych co najmniej w dniu [...] stycznia 2024 r. o godzinie [...]- jest "w sposób oczywisty nieuzasadnione". Obowiązek wykazania, że żądanie jest w sposób oczywisty nieuzasadnione spoczywa na organie nadzorczym. Organ nadzorczy miał zatem obowiązek wykazać w treści uzasadnienia postanowienia (a tego nie zrobił), że organ nadzorczy nie jest w stanie przy pomocy uzyskanych od skarżącego dowodów oraz informacji uzyskać od firmy [...] oraz od operatora [...] pomocnych informacji (dla organu nadzorczego) potrzebnych do ustalenia (przez organ nadzorczy) - jaki konkretnie podmiot jest administratorem danych osobowych skarżącego (tytułowany frazą “jakiś partner [...]") wobec operacji przetwarzania jego danych osobowych co najmniej w dniu [...] stycznia 2024 r. o godzinie [...]; organ nadzorczy nie wykazał powyższego w uzasadnieniu postanowienia, a zatem nie spełnił nałożonego na niego obowiązku wykazania, że żądanie skarżącego jest w sposób oczywisty nieuzasadnione, co stanowi naruszenie art. 57 ust. 4 rozporządzenia nr 2016/679.
Mając na względzie powyższe zarzuty skarżący wniósł o:
1. uwzględnienie skargi i uchylenie w całości zaskarżonego postanowienia oraz przekazanie sprawy do dalszego prowadzenia przez organ nadzorczy w pełnym zakresie;
2. objęcie, na podstawie art. 78 ust. 1 rozporządzenia nr 2016/679, zaskarżonego postanowienia pełną kontrolą sądową, bowiem wyrok TSUE z dnia 7 grudnia
2023 r. w sprawach połączonych C-26/22 oraz C-64/22 wskazuje, że sąd krajowy może zobowiązać organ nadzorczy do podjęcia konkretnych działań oraz że sąd krajowy, do którego wniesiono skargę na postanowienie organu nadzorczego może wykonywać pełną jurysdykcję w sprawie, w tym w zakresie ustalenia okoliczności faktycznych i prawnych mających znaczenie dla rozstrzygnięcia sprawy. Tym samym wniósł o zobowiązanie organu do wykonania wniosku z punktu nr 8 i 9 jego podania (skargi), do korzystania - w celu prawidłowego ustalenia tożsamości administratora - w komunikacji z operatorem [...] (lub innym) oraz w komunikacji ze spółką [...] z uprawnień przysługujących organowi nadzorczemu wskazanych w art. 64 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych oraz do włączenia do postępowania w charakterze strony w rozumieniu art. 28 k.p.a. podmiotu lub podmiotów, których tożsamość zostanie przez organ nadzorczy ustalona w toku postępowania administracyjnego;
3. umożliwienie mu złożenia sugestii dotyczących pytań prejudycjalnych do Trybunału Sprawiedliwości Unii Europejskiej na etapie gdy zapozna się z odpowiedzią organu na skargę;
4. rozpoznanie sprawy w trybie uproszczonym;
5. zasądzenie kosztów postępowania.
W uzasadnieniu skargi skarżący przedstawił argumentację na poparcie postawionych zarzutów.
W odpowiedzi na skargę organ wniósł o jej oddalenie, podtrzymując dotychczasowe stanowisko w sprawie.
W piśmie procesowym z dnia [...] sierpnia 2024 r. skarżący uzupełnił swoje stanowisko, podkreślając, że [...] Sp. z o.o. oraz [...] posiadają informację o tym, kto jest administratorem jego danych osobowych.
W odpowiedzi w piśmie z dnia [...] października 2024 r. organ wyjaśnił, że postępowanie na wniosek strony jest prowadzone tylko w przedmiocie naruszenia przepisów ustawy i toczy się niejako przeciwko konkretnemu administratorowi danych osobowych. Brak jest w ustawie takich podstaw prawnych, które dawałyby kompetencje do prowadzenia postępowania na wniosek strony w przedmiocie ustalenia administratora danych osobowych. W świetle powyższych regulacji organ nie jest jednak zobligowany do ustalania administratora danych osobowych w konkretnej sprawie, dla konkretnych danych. Osoba, której dane dotyczą może bowiem skutecznie domagać się udzielenia informacji w trybie art. 32 ustawy jedynie od administratora danych, który potencjalnie dane te przetwarza.
Wbrew twierdzeniu skarżącego jakoby skarga została złożona na nieznany podmiot, który przetwarza jego dane osobowe, z treści skargi wyraźnie wynika, że podmiotem, wobec którego skarżący precyzuje zarzuty jest [...] Sp. z o.o. Świadczy o tym jednoznacznie zarówno treść skargi (wyraźne wskazanie ww. spółki), jak i przedstawione załączniki (korespondencja z nią prowadzona). Skarga nie została natomiast złożona na [...] S.A. Organ nie miał wątpliwości co do treści skargi.
Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje:
Skarga zasługuje na uwzględnienie, choć nie wszystkie postawione w niej zarzuty są trafne.
Przedmiotem kontroli Sądu w rozpoznawanej sprawie było postanowienie Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] kwietnia 2024 r. odmawiające wszczęcia postępowania w związku ze skargą M. M. na nieprawidłowości w procesie przetwarzania jego danych osobowych. Jak podstawę prawną swojego rozstrzygnięcia organ wskazał art. 61a § 1 k.p.a. w zw. z art. 57 ust. 4 rozporządzenia nr 2016/679
Zgodnie z pierwszym ze wskazanych przepisów, gdy żądanie, o którym mowa w art. 61 k.p.a., zostało wniesione przez osobę niebędącą stroną lub z innych uzasadnionych przyczyn postępowanie nie może być wszczęte, organ administracji publicznej wydaje postanowienie o odmowie wszczęcia postępowania. W rozpoznawanej sprawie organ uznał, że przesłanką zastosowania tego przepisu jest druga z wymienionych w nim podstaw odmowy wszczęcia postępowania, tj. "inne uzasadnione przyczyny".
W orzecznictwie sądów administracyjnych i doktrynie wskazuje się, że odmowy wszczęcia postępowania na podstawie art. 61a § 1 k.p.a. "z innych uzasadnionych przyczyn" ustawa nie konkretyzuje, natomiast należy przez nie rozumieć sytuacje, które w sposób oczywisty, przy pierwszym zestawieniu zakresu żądania wniosku z obowiązującym stanem prawnym, stanowią przeszkodę do wszczęcia postępowania. Taki przypadek zachodzi np. w przypadku wniesienia żądania przez osobę niemającą zdolności do czynności prawnych; wniesienia żądania w sprawie, która nie podlega załatwieniu w formie decyzji administracyjnej; wniesienia żądania w sprawie rozstrzygniętej już decyzją; wniesienia żądania w sprawie, w której toczy się postępowanie przed właściwym organem administracji; wniesienia żądania po upływie terminu określonego w ustawie dla dochodzenia określonych praw - przedawnienie materialnoprawne (por. wyroki Naczelnego Sądu Administracyjnego: z dnia 27 czerwca 2018 r. sygn. akt I OSK 372/18; z dnia 15 grudnia 2020 r. sygn. akt I OSK 1669/20 oraz z dnia 25 czerwca 2021 r. sygn. akt I OSK 345/21 – wszystkie powoływane orzeczenia są dostępne w internetowej bazie orzeczeń sądów administracyjnych; a także Z.R. Kmiecik, Wszczęcie ogólnego postępowania administracyjnego, Warszawa 2014). Jeżeli zaistnieją uzasadnione przyczyny uniemożliwiające wszczęcie postępowania, obowiązkiem organu jest wydać postanowienie na podstawie art. 61a § 1 k.p.a.
Ponadto, co szczególnie istotne, w orzecznictwie sądów administracyjnych podkreśla się, że omawiana podstawa odmowy wszczęcia postępowania dotyczy tych przypadków, w których niespełnienie przesłanek procesowych ujawnia się już na etapie złożenia wniosku, a stwierdzenie tej okoliczności nie wymaga czynności wyjaśniających. Inaczej ujmując przyczyny, o których mowa w art. 61a § 1 k.p.a., muszą być oczywiste, dostrzegalne prima facie, obiektywne. Jeżeli natomiast kwestia ta wymaga poczynienia szerszych ustaleń, zwłaszcza w kontekście argumentów podanych przez wnioskodawcę, bądź jest nieoczywista, to wówczas organ administracji jest zobowiązany wszcząć postępowanie w celu wyjaśnienia zaistniałych wątpliwości i w zależności od wyniku przeprowadzonych czynności, orzec merytorycznie co do zasadności wniosku lub w przypadku stwierdzenia wystąpienia przesłanki bezprzedmiotowości postępowania, umorzyć postępowanie na podstawie art. 105 § 1 k.p.a. Wydając bowiem rozstrzygnięcie na podstawie art. 61a § 1 k.p.a. organ administracji nie bada merytorycznie wniosku, lecz ogranicza się jedynie do stwierdzenia przesłanek formalnych uniemożliwiających merytoryczne rozstrzygnięcie sprawy (por. wyrok Naczelnego Sądu Administracyjnego z dnia 21 sierpnia 2024 r. sygn. akt I OSK 684/23).
Powyższe koresponduje również z treścią powoływanego przez organ art. 57 ust. 4 rozporządzenia nr 2016/679. W myśl tego przepisu, jeżeli żądanie jest w sposób oczywisty nieuzasadnione lub nadmierne, w szczególności ze względu na swą powtarzalność, organ nadzorczy może pobrać opłatę w rozsądnej wysokości wynikającej z kosztów administracyjnych lub może odmówić podjęcia żądanych działań. Obowiązek wykazania, że żądanie jest w sposób oczywisty nieuzasadnione lub nadmierne, spoczywa na organie nadzorczym.
Prawodawca europejski uznał zatem, że organ będzie mógł skorzystać z narzędzia przewidzianego w tym przepisie, jedynie wówczas, gdy będzie miał do czynienia z żądaniem, które jest w sposób oczywisty nieuzasadnione, a tę kwalifikowana postać braku uzasadnienia żądania organ jest w stanie w sposób przekonujący wykazać. Stosowanie tego przepisu winno mieć charakter wyjątkowy i mieć miejsce w przypadkach, gdy skarżący domaga się od organu np. podjęcia czynności wykraczających poza jego kompetencje (por. wyrok Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 22 maja 2024 r. sygn. akt II SA/Wa 2094/23 wydany w sprawie, w której skarga do organu sprowadzała się do "kwestionowania powszechnie obowiązujących przepisów prawnych w zakresie informacji o podmiotach prowadzących działalność gospodarczą"). Jak podkreślają komentatorzy omawianego przepisu, jego celem jest zapobieżenie poważnego zaburzenia lub paraliżu działalności organu nadzorczego przez podmioty zmierzające do wywołania trudności, które składają absurdalne lub wielokrotnie powtarzane wnioski. Jednak, ponieważ zadaniem organu nadzorczego jest ochrona podstawowych praw jednostki, ten wyjątek powinien być stosowany jedynie w jasno zdefiniowanych sytuacjach (zob. Selmayr [w:] Ehmann, Selmayr, Datenschutz-Grundverordnung, komentarz do art. 57, nb. 22-24, wyd. C.H. Beck 2017).
Przenosząc powyższe rozważania na grunt rozpoznawanej sprawy, należy zauważyć, że postępowanie administracyjne w tej sprawie zostało zainicjowane wnioskiem M. M. z dnia [...] lutego 2024 r., w którym domagał się on od organu podjęcia odpowiednich działań przewidzianych w rozporządzeniu nr 2016/679. Nie budzi zatem wątpliwości, że żądanie wniosła osoba mającą zdolność do czynności prawnych, w sprawie, w której ma interes prawny (bowiem żądanie dotyczy przetwarzania jej danych osobowych), która co do zasady podlega załatwieniu w formie decyzji administracyjnej. Organ nie twierdził, by wniesione żądanie dotyczyło sprawy już rozstrzygniętej w formie decyzji lub sprawy, w której toczy się postępowanie przed właściwym organem administracji. W niniejszej sprawie żądanie nie zostało również wniesione po upływie terminu określonego w ustawie dla dochodzenia praw skarżącego.
Podstawą rozstrzygnięcia organu było natomiast stwierdzenie, że z uwagi na treść skargi oraz załączników do niej, nie budzi – zdaniem organu – wątpliwości, że podmiot wskazywany przez skarżącego nie jest administratorem jego danych osobowych. W ocenie Sądu, przyjęcie przez organ takiej konkluzji wymagało przeprowadzenia postępowania administracyjnego zakończonego wydaniem decyzji administracyjnej. Natomiast w stanie faktycznym niniejszej sprawy brak było podstaw do zastosowania zarówno art. 61a § 1 k.p.a., jak i art. 57 ust. 4 rozporządzenia nr 2016/679, które jak już wskazano dotyczą sytuacji oczywistej bezzasadności wniesionego żądania, która jest dostrzegalna prima facie i obiektywna. Zagadnienie, czy wskazywany przez skarżącego podmiot, czyli [...] Sp. z o.o. jest w istocie administratorem jego danych osobowych, nie może być uznane za niewymagające od organu przeprowadzenia jakiekolwiek postępowania dowodowego, a także merytorycznej analizy zgromadzonego materiału dowodowego i wykładni przepisów. Tymczasem tego rodzaju analiza powinna zostać dokonana w toku postępowania administracyjnego, a ewentualne uznanie, że żądanie skarżącego jest bezprzedmiotowe, może skutkować wydaniem decyzji umarzającej postępowanie na podstawie art. 105 § 1 k.p.a.
Z podanych przyczyn nieprawidłowe było natomiast zastosowanie przez organ trybu przewidzianego w art. 61a § 1 k.p.a. w zw. z art. 57 ust. 4 rozporządzenia nr 2016/679 i wydanie postanowienia odmawiającego wszczęcia postępowania. Sąd uznał zatem, że organ naruszył powyższe przepisy w stopniu mającym istotny wpływ na wynik sprawy.
Na obecnym etapie postępowania Sąd nie mógł dokonać merytorycznej oceny postawionych w skardze do organu zarzutów, ponieważ okoliczności te nie były jeszcze przedmiotem postępowania administracyjnego. Sąd, kontrolując legalność postanowienia w przedmiocie odmowy wszczęcia postępowania administracyjnego, nie ma również kompetencji do nakazywania organowi podejmowania konkretnych czynności w postępowaniu administracyjnym, które nie zostało jeszcze zakończone ostateczną decyzją. Z tej przyczyny złożone w skardze wnioski skarżącego dotyczące zobowiązania organu do podjęcia określonych działań nie mogły zostać przez Sąd uwzględnione.
Biorąc pod uwagę powyższe, Wojewódzki Sąd Administracyjny w Warszawie, na podstawie art. 145 § 1 pkt 1 lit. c) ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2024 r., poz. 935, powoływanej dalej jako p.p.s.a.), orzekł jak w pkt 1. sentencji. O kosztach postępowania w punkcie 2. sentencji orzeczono na podstawie art. 200 w związku z art. 205 p.p.s.a. Zasądzoną od organu na rzecz skarżącego kwotę stanowi uiszczony przez niego wpis od skargi (100 zł). Rozpoznanie sprawy w trybie uproszczonym nastąpiło na podstawie art. 119 pkt 3 i art. 120 p.p.s.a.