II SA/Wa 1951/20

II SA/Wa 1951/20 - Wyrok WSA w Warszawie
Data orzeczenia
2021-08-31
orzeczenie nieprawomocne
Data wpływu
2020-10-05
Sąd
Wojewódzki Sąd Administracyjny w Warszawie
Sędziowie
Andrzej Wieczorek /sprawozdawca/
Izabela Głowacka-Klimas /przewodniczący/
Joanna Kruszewska-Grońska
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne
Inne
Sygn. powiązane
III OSK 274/22 - Wyrok NSA z 2025-03-21
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Oddalono skargę
Powołane przepisy
Dz.U. 2018 poz 1000
art. 7 ust. 1, art. 160 ust. 2
Ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych
Dz.U.UE.L 2016 nr 119 poz 1 art. 58 ust. 2, art. 99 ust. 1
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z  przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE
Sentencja
Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Izabela Głowacka-Klimas, Sędzia WSA Joanna Kruszewska-Grońska, Sędzia WSA Andrzej Wieczorek (spr.), po rozpoznaniu na posiedzeniu niejawnym w dniu 31 sierpnia 2021 r. sprawy ze skargi H. F. i B. F. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] lipca 2020 r. nr [...] w przedmiocie umorzenia postępowania oddala skargę.
Uzasadnienie
Prezes Urzędu Ochrony Danych Osobowych (zwany dalej organem/ Prezesem UODO) decyzją z dnia [...] lipca 2020 r.,
nr [...] po rozpoznaniu sprawy Pani H. F. oraz Pana B F (zwani dalej skarżącymi) opisanej
w piśmie dnia [...] lipca 2018 r. umorzył postępowanie w sprawie.
Organ ustalił, że do Urzędu Ochrony Danych Osobowych w dniu [...] lipca
2018 r. wpłynęło zawiadomienie skarżących o naruszeniu ich danych osobowych wraz z wnioskiem o podjęcie działań zmierzających do wyciągnięcia konsekwencji wobec osób winnych naruszenia.
Skarżący wskazali, że Naczelnik Urzędu Skarbowego w P. (zwany dalej Naczelnikiem US) udostępnił w decyzjach wydanych w 2015 roku wobec osoby trzeciej szczegółową analizę operacji na rachunku bankowym należącym do skarżących. W piśmie uzupełniającym z dnia [...] lutego 2019 r. wnieśli o udzielenie upomnień administratorowi lub podmiotowi przetwarzającemu w przypadku naruszenia przepisów rozporządzenia przez operacje przetwarzania (art. 58 ust. 2
lit. b RODO) oraz zastosowanie oprócz lub zamiast środków, o których mowa art. 58 ust. 2 rozporządzenia Parlamentu Europejskiego i Rady UE 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz.U.UE.L.2016.119, str. 1 oraz Dz.U.UE.L.2018.127, str. 2), zwanego dalej: "rozporządzeniem 2016/679", administracyjnej kary pieniężnej na mocy art. 83, zależnie od okoliczności konkretnej sprawy (art. 58 ust. 2 lit. i rozporządzenia 2016/679).
Prezes UODO zaskarżoną decyzją umorzył postępowanie i stwierdził, że
w czasie, gdy miało miejsce zdarzenie opisane w skardze, tj. udostępnienie
w decyzjach wydanych przez Naczelnika US w 2015 roku wobec osoby trzeciej szczegółowej analizy operacji na rachunku bankowym należącym do skarżących, obowiązywały przepisy ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r. poz. 922 ze zm., zwanej dalej: "ustawą z dnia 29 sierpnia 1997 r."). Przepisy te określały zasady przetwarzania danych osobowych do dnia 24 maja 2018 r., natomiast od 25 maja 2018 r. obowiązują przepisy rozporządzenia 2016/679 oraz ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz.U. z 2019 r. poz. 1781, zwanej dalej: "ustawą z dnia 10 maja
2018 r."). W ocenie organu opisane w treści skargi zdarzenie nie może być rozpatrywane w toku postępowania administracyjnego zmierzającego do wydania decyzji w oparciu o przepisy rozporządzenia 2016/679. Proces przetwarzania danych osobowych przez Naczelnika Urzędu rozpoczął się i zakończył przed dniem 25 maja 2018 r. Artykuł 99 ust. 1 rozporządzenia 2016/679 wprost wskazuje, że niniejsze rozporządzenie ma zastosowanie od dnia 25 maja 2018 r. W związku z tym, jego zdaniem przepisy rozporządzenia 2016/679 mają zastosowanie wyłącznie
w sprawach, w których skargę wniesiono od dnia 25 maja 2018 r. i w tej dacie kwestionowany proces przetwarzania danych osobowych trwał.
Wskazał, że z uwagi na fakt, że kwestionowane w skardze zdarzenie miało miejsce i zakończyło się w czasie, gdy obowiązywały przepisy ustawy z dnia 29 sierpnia 1997 r., a postępowanie administracyjne przed organem nadzorczym zostało zainicjowane w czasie, gdy zaczęły obowiązywać przepisy ustawy z dnia 10 maja 2018 r, do rozstrzygnięcia przedmiotowej sprawy nie jest możliwe również zastosowanie przepisów ustawy z dnia 29 sierpnia 1997 r. Artykuł 160 ust. 1 i 2 ustawy z dnia 10 maja 2018 r. stanowi, że jedynie postępowania, wszczęte
i niezakończone przed dniem wejścia w życie niniejszej ustawy z dnia 10 maja
2018 r., są prowadzone przez Prezesa UODO, na podstawie ustawy z dnia 29 sierpnia 1997 r. Uznał, że Prezes UODO nie ma możliwości prowadzenia postępowania administracyjnego w oparciu o przepisy ustawy z dnia 29 sierpnia 1997 r., gdyż postępowanie w przedmiotowej sprawie zostało wszczęte po dniu wejścia w życie ustawy z dnia 10 maja 2018 r. Jego zdaniem brak jest podstawy prawnej do korzystania przez Prezesa UODO z uprawnień przewidzianych
w uchylonej ustawie z dnia 29 sierpnia 1997 r., w tym do oceny zgodności zachowania administratora z ww. przepisami w przypadku, gdy skarżony proces przetwarzania nie był kontynuowany po dniu 25 maja 2018 r. Prezes UODO uznał, że nie może dokonać oceny zgodności kwestionowanych w skardze działań administratora z rozporządzeniem 2016/679, ponieważ zdarzenie będące przedmiotem skargi ma charakter zakończony i nie było kontynuowane po dniu 25 maja 2018 r. Ponadto wskazał, że brak jest obecnie przepisów kompetencyjnych, które uprawniałyby Prezesa UODO do prowadzenia postępowania w przedmiocie oceny zgodności działania administratora z przepisami ustawy z dnia 29 sierpnia 1997 r.
W zaistniałej sytuacji, zdaniem Prezesa UODO, postępowanie podlega umorzeniu na podstawie art. 105 § 1 Kpa., bowiem stało się bezprzedmiotowe. Podniósł, że umorzenie postępowania pierwszej instancji oznacza ostateczne zamknięcie sprawy będącej przedmiotem postępowania administracyjnego. Wskazał, że wprawdzie sprawa nie została merytorycznie rozpoznana, to jednak z punktu widzenia proceduralnego sprawa została rozstrzygnięta i zakończona.
Skargę na powyższą decyzję wnieśli do Wojewódzkiego Sądu Administracyjnego w Warszawie skarżący.
Wskazali, że nie może być akceptowalna sytuacja, w której oczywiście niezgodne z prawem zachowanie podmiotu publicznego nie może zostać ocenione tylko dlatego, że doszło do zmiany ustawy, która różnicuje sytuację podmiotów od tego kiedy postępowanie zostało wszczęte. Skoro postępowania wszczęte
i niezakończone przed wejściem w życie nowej ustawy mogą być procedowane
w oparciu o przepisy dotychczasowe to ich zdaniem nie sposób znaleźć racjonalnego powodu, dla którego podmioty których prawa zostały naruszone pozbawione są ochrony prawnej tylko dlatego, że nie wszczęto postępowania przed zmianą przepisów.
W związku z powyższym wnieśli o uchylenie przedmiotowej decyzji
i kontynuowanie postępowania w celu wydania decyzji merytorycznej.
W odpowiedzi na skargę organ podtrzymał stanowisko.
Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje:
Przedmiotem skargi jest decyzja Prezesa UODO z dnia [...] lipca 2020 r.,
nr [...] w przedmiocie umorzenia postępowanie w sprawie udostępnienia danych osobowych.
Dokonując kontroli legalności zaskarżonej decyzji, w świetle kryteriów opisanych w ustawie z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (t.j. Dz.U. z 2019 r., poz. 2325 ze zm.; dalej p.p.s.a.), Sąd nie dopatrzył się w działaniu organu rozstrzygającego w niniejszej sprawie nieprawidłowości, zarówno, gdy idzie o ustalenie stanu faktycznego sprawy, jak i o zastosowanie do jego oceny przepisów prawa. Wyjaśnione zostały motywy podjętego rozstrzygnięcia, a przytoczona na ten temat argumentacja jest wyczerpująca i skarga nie zasługuje na uwzględnienie.
Podstawą wydania zaskarżonej decyzji z dnia [...] lipca 2020 r. były przepisy art. 105 § 1 Kpa. oraz art. 58 ust. 2 rozporządzenia Parlamentu Europejskiego i Rady UE 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz.U.UE.L.2016.119, str. 1 oraz Dz.U.UE.L.2018.127, str. 2 zwane dalej RODO) w zw. z art. 7 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz.U. z 2019 r. poz. 1781). Zaskarżona decyzja niewątpliwie wydana został po dniu 25 maja 2018 r., od którego to dnia
w polskim porządku prawnym obowiązuje u.o.d.o. z 2018 r., jak również bezpośrednie zastosowanie znajdują unijne przepisy rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. RODO. Zasada bezpośredniego stosowania w państwach członkowskich rozporządzeń unijnych wynika z art. 288 zdanie trzecie Traktatu o funkcjonowaniu Unii Europejskiej (Dz.U.
z 2004 r., Nr 90, poz. 864/2 ze zm.). Ponadto, zgodnie z art. 91 ust. 3 Konstytucji RP, jeżeli wynika to z ratyfikowanej przez Rzeczpospolitą Polską umowy konstytuującej organizację międzynarodową, prawo przez nią stanowione jest stosowane bezpośrednio, mając pierwszeństwo w przypadku kolizji z ustawami. Biorąc zatem pod uwagę, iż RODO spełnia wszystkie wymagania wskazane w art. 91 ust. 3 Konstytucji RP, także w świetle prawa polskiego po dniu 24 maja 2018 r. nie jest dopuszczalne stosowanie przepisów poprzednio obowiązującej u.o.d.o. z 1997 r.
w takim zakresie, w jakim do danego stanu faktycznego znajdują zastosowanie przepisy RODO.
Należy zauważyć, że u.o.d.o. z 2018 r. wprowadziła w art. 160 ust. 2 przepis przejściowy, w myśl którego, postępowania prowadzone przez GIODO, wszczęte
i niezakończone przed dniem wejścia w życie ustawy z 2018 r. prowadzi się na podstawie ustawy uchylanej, zgodnie z zasadami określonymi w Kpa..
Na tle powyższej normy przejściowej należy przyjąć – zdaniem Sądu
w składzie orzekającym – że art. 160 ust. 2 u.o.d.o. z 2018 r. odnosi się wyłącznie do "prowadzenia postępowania", zatem dotyczy tylko regulacji o charakterze procesowym.
Za przyjęciem takiego stanowiska dodatkowo przemawia wskazana wyżej zasada bezpośredniego stosowania RODO, jak również przepis końcowy art. 175 u.o.d.o. z 2018 r., w którym wymieniono wprawdzie zachowujące moc przepisy u.o.d.o. z 1997 r., jednakże wyłącznie "w odniesieniu do przetwarzania danych osobowych w celu rozpoznawania, zapobiegania, wykrywania i zwalczania czynów zabronionych, prowadzenia postępowań w sprawach dotyczących tych czynów oraz wykonywania orzeczeń w nich wydanych, kar porządkowych i środków przymusu w zakresie określonym w przepisach stanowiących podstawę działania służb i organów uprawnionych do realizacji zadań w tym zakresie". W konsekwencji, wobec braku przepisu intertemporalnego, który wyraźnie odsyła do regulacji materialnych u.o.d.o. z 1997 r., sięgnąć należy do ogólnych reguł prawa intertemporalnego. Obowiązująca w polskim systemie prawnym podstawowa reguła prawa intertemporalnego, tj. zasada tempus regit actum, co oznacza, że czas rządzi czynnością prawną. Zasada ta każe oceniać skutki zdarzenia prawnego według prawa materialnego obowiązującego w chwili, gdy zdarzenie to miało miejsce. Zasada ta, choć nie wyrażona wprost w Konstytucji RP, znajduje uzewnętrznienie
w jej art. 2, stanowiącym generalną zasadę demokratycznego państwa prawa. Można ją również wywieźć z zasady legalności działania czy zasady zaufania obywatela do państwa, wyrażonych na gruncie prawa administracyjnego w art. 6
i art. 8 Kpa. Oczywiście omawiana zasada nie ma charakteru absolutnego. Są od niej wyjątki, np. gdy wymagają tego względy sprawiedliwości społecznej lub gdy chodzi
o modyfikację prawa na korzyść obywatela. W takich sytuacjach, ustawodawca może postanowić, by to nowe prawo miało zastosowanie do historycznych stanów faktycznych, uchwalając stosowane przepisy przejściowe.
Jeżeli chodzi natomiast o bezpośrednie stosowanie nowego prawa, to kwestia ta była wielokrotnie wyjaśniana w orzecznictwie Trybunału Konstytucyjnego.
W uzasadnieniu do wyroku z dnia 8 listopada 2006 r. o sygn. akt K 30/06 podniesiono, że milczenie ustawodawcy co do reguły intertemporalnej należy uznać za przejaw jego woli bezpośredniego działania nowego prawa, chyba że przeciw jej zastosowaniu przemawiają ważne racje systemowe lub aksjologiczne. Z kolei
w uzasadnieniu do wyroku z dnia 2 marca 1993 r. o sygn. akt K 9/92, Trybunał Konstytucyjny wskazał, że zasada bezpośredniego działania nowej ustawy polega na tym, że od chwili wejścia w życie nowych norm prawnych należy je stosować do stosunków prawnych (zdarzeń, stanów rzeczy) danego rodzaju niezależnie od tego, czy dopiero powstaną, czy też powstały wcześniej przed wejściem w życie nowego prawa, lecz trwają nadal w czasie dokonywania zmiany prawa. Podkreślić zatem wyraźnie należy, że bezpośrednie działanie nowego prawa dotyczy tylko takich zdarzeń czy stanów rzeczy, które powstały wprawdzie wcześniej, ale wciąż trwają.
W konsekwencji oznacza to, że bezpośrednie stosowanie nowej ustawy nie jest możliwe w odniesieniu do stanów rzeczy, które ustały przed dniem wejścia w życie nowego prawa, o ile oczywiście nie postanawia tak przepis przejściowy.
Odnosząc powyższe do kontrolowanej sprawy podnieść trzeba, że decydujące znaczenie dla zastosowania właściwych norm prawa materialnego miała okoliczność czy naruszenia będące przedmiotem skargi z dnia [...] lipca 2020 r ustały czy też trwają one nadal. Nie ulega bowiem wątpliwości, że w czasie gdy (w ocenie skarżących) doszło do nieprawidłowości w procesie przetwarzania ich danych, polegające na udostępnieniu w decyzjach wydanych przez Naczelnika US w 2015 r. wobec osoby trzeciej szczegółowej analizy operacji na rachunku bankowym należącym do skarżących, obowiązywały przepisy ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz.U. z 2016 r. poz. 922 ze zm.). Przepisy te określały zasady przetwarzania danych osobowych do dnia 24 maja 2018 r., natomiast od 25 maja 2018 r. obowiązują przepisy RODO oraz ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz.U. z 2019 r. poz. 1781). Zatem – stosownie do przepisu przejściowego art. 160 ust. 2 u.o.d.o. z 2018 r. –postępowanie w sprawie należało prowadzić od dnia 25 maja 2018 r. na podstawie przepisów procesowych u.o.d.o. z 1997 r. oraz przepisów Kpa. Natomiast dążąc do merytorycznego rozstrzygnięcia sprawy, organ winien stosować przepisy adekwatne do istnienia stanu naruszenia. W stanie faktycznym niniejszej sprawy chodziło
o naruszenie polegające na przekazaniu danych osobowych skarżących przez udostępnieniu wobec osoby trzeciej w decyzjach wydanych przez Naczelnika US w 2015 r szczegółowej analizy operacji na rachunku bankowym należącym do skarżących.
Prezes UODO przeprowadził postępowanie wyjaśniające, a na podstawie zebranego w sprawie materiału dowodowego ustalił, że skarżący wyjaśnili, że Naczelnik US udostępnił szczegółową analizę operacji na rachunku bankowym należącym do skarżących w decyzjach wydanych w 2015 r. wobec osoby trzeciej. Skarżący wskazali, że udostępnienie ww. danych miało miejsce w pięciu decyzjach za lata 2010-2014 o numerach: [...]. Wszystkie decyzje stały się prawomocne, a skarżący nie polemizują z ustaleniami dokonanymi w tych decyzjach. Podkreślili, że nie kwestionują aspektów podatkowych wydanych decyzji oraz podzielają pogląd, że w odpowiednim zakresie można wykorzystywać w toku postępowania podatkowego dane pozyskane w innym postępowaniu. Jednakże uważają, że brak było jakichkolwiek podstaw, aby osobie trzeciej prezentować dane szczegółowe o charakterze najbardziej newralgicznym, bowiem objęte nie tylko tajemnicą skarbową, ale również bankową i stanowiące dane osobowe, które nigdy nie mogłyby zostać udostępnione osobie trzeciej.
Dyrektor Izby Administracji Skarbowej w G. wyjaśnił, że cyt.: "Kwestia naruszenia tajemnicy skarbowej w decyzjach Naczelnika US w P.z dnia [...] grudnia 2015 roku znak [...] była przedmiotem oceny na etapie postępowania przed organem drugiej instancji. Dyrektor Izby Skarbowej
w G., po przeprowadzeniu postępowania, w decyzjach z dnia [...] września
2016 r. znak : [...], jako organ odwoławczy nie dopatrzył się naruszenia przez Organ I instancji tajemnicy skarbowej. Powołanie
w uzasadnieniu decyzji Organu I instancji kwot wpłat i wypłat z rachunku bankowego - bez wskazania danych osób, które wpłaty te dokonywały - służyło wykazaniu kto prowadzi działalność w zakresie najmu pokoi. Ustalenia w tym zakresie były kluczowe jak chodzi o tok przedmiotowego postępowania administracyjnego. Wyżej wymienione orzeczenia organu drugiej instancji są prawomocne."
Prezes UODO stwierdził, że w czasie, gdy miało miejsce zdarzenie opisane
w skardze, tj. udostępnienie w decyzjach wydanych przez Naczelnika US w 2015 r. wobec osoby trzeciej szczegółowej analizy operacji na rachunku bankowym należącym do skarżących, obowiązywały przepisy ustawy z dnia 29 sierpnia 1997 r. Przepisy te określały zasady przetwarzania danych osobowych do dnia 24 maja
2018 r., natomiast od 25 maja 2018 r. obowiązują przepisy rozporządzenia 2016/679 oraz ustawy z dnia 10 maja 2018 r.
W tym stanie rzeczy, w ocenie Sądu, opisane w treści skargi zdarzenie nie może być rozpatrywane w toku postępowania administracyjnego zmierzającego
do wydania decyzji w oparciu o przepisy rozporządzenia 2016/679. Proces przetwarzania danych osobowych przez Naczelnika US rozpoczął się i zakończył przed dniem 25 maja 2018 r. Artykuł 99 ust. 1 rozporządzenia 2016/679 wprost wskazuje, że niniejsze rozporządzenie ma zastosowanie od dnia 25 maja 2018 r.
W związku z tym, przepisy rozporządzenia 2016/679 mają zastosowanie wyłącznie
w sprawach, w których skargę wniesiono od dnia 25 maja 2018 r. i w tej dacie kwestionowany proces przetwarzania danych osobowych trwał.
Jak wynika z akt sprawy naruszenie, które miało polegać na nieuprawnionym udostępnieniu danych osobowych przez Naczelnika US na rzecz osób nieuprawnionych miało miejsce i ustało przed wejściem w życie nowej ustawy. Analizując przedmiotową decyzję z dnia [...] lipca 2020 r. Sąd nie badał jej zasadności pod względem materialnym, bowiem zgodnie z art. 160 ust. 2 u.o.d.o. z 2018
w sprawie mają zastosowanie tylko przepisy proceduralne, gdyż przepis ten odnosi się jedynie do regulacji procesowych. Jak wskazuje Wojewódzki Sąd Administracyjny w Warszawie w wyroku z 7 sierpnia 2019 r. (sygn. akt II SA/Wa 569/19), "godzi się przyjąć, iż wobec braku przepisu intertemporalnego, który wyraźnie odsyła do regulacji materialnych u.o.d.o. z 1997 r., decydujące znaczenie dla stosowania prawa materialnego ma okoliczność czy naruszenie będące przedmiotem sprawy ustało czy też trwa ono nadal". Jak wynika z akt sprawy naruszenie, według twierdzeń skarżących polegające na nieuprawnionym udostępnieniu danych osobowych przez Naczelnika US na rzecz osób nieuprawnionych, miało miejsce i ustało przed wejściem w życie nowej ustawy.
Podkreślić wyraźnie należy, że bezpośrednie działanie nowego prawa dotyczy tylko takich zdarzeń czy stanów rzeczy, które powstały wprawdzie wcześniej, ale wciąż trwają. W konsekwencji oznacza to, że bezpośrednie stosowanie nowej ustawy nie jest możliwe w odniesieniu do stanów rzeczy, które ustały przed dniem wejścia
w życie nowego prawa, o ile oczywiście nie postanawia tak przepis przejściowy,
co nastąpiło w niniejszej sprawie.
Reasumując należy wskazać, że przedmiotem skargi jest zdarzenie przeszłe jakim miało być udostępnienie przez administratora danych skarżących na rzecz nieuprawnionych osób. Bezsprzecznie pojawia się zatem konieczność uznania postępowania za bezprzedmiotowe w świetle mających zastosowanie w tym przypadku przepisów o ochronie danych osobowych. Należy bowiem przypomnieć, że zgodnie z treścią art. 105 § 1 Kpa., gdy postępowanie z jakiejkolwiek przyczyny stało się bezprzedmiotowe w całości albo w części, organ administracji publicznej wydaje decyzję o umorzeniu postępowania odpowiednio w całości albo w części.
Z tych względów Wojewódzki Sąd Administracyjny w Warszawie działając na podstawie 151 p.p.s.a. orzekł, jak w sentencji.