II SA/Wa 2009/24

II SA/Wa 2009/24 - Wyrok WSA w Warszawie
Data orzeczenia
2025-06-10
orzeczenie nieprawomocne
Data wpływu
2024-12-11
Sąd
Wojewódzki Sąd Administracyjny w Warszawie
Sędziowie
Iwona Maciejuk /przewodniczący/
Joanna Kube
Mateusz Rogala /sprawozdawca/
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne
Inne
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Uchylono zaskarżone postanowienie
Powołane przepisy
Dz.U. 2022 poz 2000
art 61a par 1, art 105 par 1, art.
Ustawa z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego - t.j.
Sentencja
Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Iwona Maciejuk, Sędzia WSA Joanna Kube, Asesor WSA Mateusz Rogala (spr.), , po rozpoznaniu w trybie uproszczonym w dniu 10 czerwca 2025 r. sprawy ze skargi R.Z. na postanowienie Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] listopada 2024 r. nr [...] w przedmiocie odmowy wszczęcia postępowania uchyla zaskarżone postanowienie
Uzasadnienie
Zaskarżonym do Wojewódzkiego Sądu Administracyjnego w Warszawie postanowieniem z dnia [...] listopada 2024 r. nr [...] Prezes Urzędu Ochrony Danych Osobowych, działając na podstawie art. 61a § 1 ustawy z dnia 14 czerwca 1960 r. – Kodeks postępowania administracyjnego (Dz. U. z 2024 r., poz. 572 ze zm., powoływanej dalej jako k.p.a.) w zw. z art. 7 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r., poz. 1781) w związku z art. 57 ust. 4 rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE ogólne rozporządzenie o ochronie danych (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 4.05.2016, str. 1 ze zm., powoływanego dalej jako rozporządzenie nr 2016/679), odmówił wszczęcia postępowania administracyjnego w sprawie skargi R.Z. na nieprawidłowości w procesie przetwarzania jego danych osobowych przez E. Sp. J. z siedzibą w [...] polegające na niewypełnieniu wobec niego obowiązku informacyjnego, o którym mowa w art. 13 rozporządzenia nr 2016/679, oraz niewypełnienia obowiązku, o którym mowa w art. 15 ust. 3 tego rozporządzenia.
W uzasadnieniu postanowienia organ wyjaśnił, że R.Z. wniósł do organu w dniu 20 września 2024 r. skargę na nieprawidłowości w procesie przetwarzania jego danych osobowych przez E. Sp. J. w wyżej wskazanym zakresie. Do skargi dołączył m.in. odpowiedź [...]S.A. udzieloną na żądanie skarżącego wniesione w trybie art. 15 rozporządzenia nr 2016/679. [...]poinformowała w niej skarżącego, że jest administratorem jego danych osobowych, oraz wskazała odbiorców jego danych osobowych, w tym spółkę E.. Skarżący do skargi załączył również odpowiedź spółki E. na jego wniosek z dnia 1 maja 2024 r. wniesiony w trybie art. 15 rozporządzenia nr 2016/679 i zarzucił, że nie wynikała z niej odpowiedź na zadanie przez niego pytania w powyższym wniosku. Skarżący wskazał, że, skoro spółka uzyskała jego wniosek z dnia 1 maja 2024 r., przekazała dane do kancelarii radcy prawnego i udzieliła odpowiedzi, stała się administratorem danych, a nie podmiotem jedynie przetwarzającym. Skarżący wskazał, że wystąpił do spółki z żądaniem zrealizowania wobec niego obowiązku informacyjnego, o którym mowa w art. 15 ust. 3 rozporządzenia nr 2016/679, lecz nie otrzymał kopii danych osobowych ani nie został wobec niego zrealizowany obowiązek informacyjny, o którym mowa w art. 13 rozporządzenia nr 2016/679. W przesłanej skarżącemu odpowiedzi spółka wskazała, że jest podwykonawcą [...]i działa na podstawie umowy z tym podmiotem, których elementem są postanowienia o powierzeniu do przetwarzania danych osobowych wynikające z art. 28 rozporządzenia nr 2016/679. Pouczyła także skarżącego, że podmiotem zobowiązanym do realizacji żądania z art. 15 rozporządzenia nr 2016/679 jest administrator danych osobowych, którym jest [...]
W dalszej części uzasadnienia swojego rozstrzygnięcia organ przytoczył przepisy prawa mające zastosowanie w tej sprawie i stwierdził, że zarówno obowiązek wynikający z art. 15 ust. 3, jak i z art. 13 rozporządzenia nr 2016/679 skierowany jest tylko i wyłącznie do administratora danych osobowych. Z przedłożonej skargi wynika natomiast, że spółka E., o ile w ogóle przetwarzała dane osobowe skarżącego, czyniła to tylko jako podmiot przetwarzający na polecenie administratora danych osobowych, czyli [...]Nie miała zatem obowiązku realizować dyspozycji wskazanych przepisów.
Odnosząc się do zarzutu skarżącego, że spółka po przekazaniu jego wniosku z dnia 1 maja 2024 r. kancelarii radcy prawnego i udzieleniu na niego odpowiedzi, stała się administratorem danych skarżącego, organ wskazał, że spółka powyższe czynności wykonywała jako podmiot przetwarzający, a nie administrator. Z treści żądania skarżącego wynika bowiem jasno, że zostało ono skierowane w związku z udostępnieniem spółce danych osobowych przez [...]jako administratora danych. Wszelka komunikacja prowadzona na tej podstawie odbywała się w imieniu administratora.
W związku z powyższym organ uznał, że już z treści skargi wynika, iż spółka E. działała jako podmiot przetwarzający i nie podlegała obowiązkom przewidzianym w art. 13 i art. 15 ust. 3 rozporządzenia nr 2016/679, a zatem nie można jej skutecznie zarzucić naruszenia tych obowiązków ani nakazać ich realizacji wobec skarżącego. Z tych przyczyn organ stwierdził, że skarga jest w sposób oczywisty nieuzasadniona, co uzasadniało odmowę wszczęcia postępowania administracyjnego w tej sprawie.
R.Z. wniósł na powyższe postanowienie skargę do Wojewódzkiego Sądu Administracyjnego w Warszawie, wnosząc o jego uchylenie w całości i przekazanie sprawy organowi do ponownego rozpatrzenia.
Skarżący zarzucił organowi naruszenie:
1. art. 61a § 1 k.p.a., poprzez jego błędną interpretację i zastosowanie, a także przyjęcie, że skarżący nie jest stroną lub z innych uzasadnionych przyczyn postępowanie nie może być wszczęte, podczas gdy prawidłowa interpretacja, zastosowanie i doświadczenie życiowe prowadzi do wniosku przeciwnego;
2. art. 77 § 1 k.p.a., poprzez dowolną i oderwaną od wiedzy i doświadczenia życiowego ocenę zgromadzonego w sprawie materiału dowodowego oraz wyciągnięcie błędnych wniosków, które doprowadziły do odmowy wszczęcia postępowania w całości, podczas gdy pełna, nieskrępowana i wszechstronna ocena dowodów prowadzi do wniosku przeciwnego;
3. art. 4 pkt 2 rozporządzenia nr 2016/679, poprzez jego obrazę i pominięcie, że przetwarzanie danych to wszelkie operacje lub zestaw operacji wykonywanych na danych osobowych, tak w sposób zautomatyzowany, jak i niezautomatyzowany, więc także w formie papierowej;
4. art. 57 ust. 4 rozporządzenia nr 2016/679, poprzez jego nadinterpretację i błędne zastosowanie w przedmiotowej sprawie oraz przyjęcie, że żądanie wobec przedsiębiorców jest nieuzasadnione;
5. art. 13 ust. 1-3 rozporządzenia nr 2016/679, poprzez błędną interpretację, a także błędne wyciągniecie wniosków w ramach uzasadnienia postanowienia w związku ze zgromadzonym w sprawie materiałem dowodowym;
6. art. 14 ust. 1-5 rozporządzenia nr 2016/679, poprzez błędną interpretację;
7. art. 24 i art. 28 rozporządzenia nr 2016/679, poprzez ich pominięcie.
W uzasadnieniu skargi skarżący stwierdził, że istotnie w piśmie z dnia 5 kwietnia 2024 r. [...]S.A. wskazała mu E. Sp. J. jako jednego z odbiorców jego danych osobowych oraz że uczestniczy ona w wykonywaniu zadań m.in. w zakresie obsługi klienta, sprzedaży usług, obsługi systemów teleinformatycznych, wysyłaniu korespondencji, obsłudze i utrzymaniu sieci [...]Nie wskazano natomiast, w jakim zakresie podmiot ten uzyskał dane osobowe skarżącego i w jakim zakresie je przetwarza oraz przez jaki okres.
Zdaniem skarżącego, z uwagi choćby na jego wniosek z dnia 1 maja 2024 r. skierowany do E. o informacje w zakresie przetwarzania danych osobowych skarżącego, który zawierał jego dane osobowe, kontaktowe, adresowe, nie można mówić, że podmiot ten nadal pozostaje wyłączenie podmiotem przetwarzającym, gdyż stał się administratorem tych danych. Spółka przekazała kancelarii radcy prawnego dane osobowe skarżącego w swoich celach, tj. udzielenia odpowiedzi na wniosek.
Skarżący zarzucił organowi, że zaniechał on czynności w zakresie ustalenia, czy spółka E. była podmiotem przetwarzającym i przyjął z góry powziętą hipotezę, bez zgromadzenia materiału dowodowego. Nie ma bowiem żadnych dowodów uzasadniających twierdzenie, że była jakakolwiek umowa powierzenia danych osobowych między [...], a spółka E.
Skarżący zauważył, że w momencie, w którym podmiot przetwarzający zaczyna przetwarzać powierzone mu dane osobowe dla własnych celów, traci w tym zakresie przymiot procesora, stając się jednocześnie w odniesieniu do "własnych" operacji przetwarzania administratorem, wraz ze wszystkimi przewidzianymi z tego tytułu obowiązkami i konsekwencjami - co w ocenie skarżącego miało miejsce w przedmiotowej sprawie, ale organ zaniechał przeprowadzenia postępowania i wyjaśnień w tej kwestii.
W ocenie skarżącego, w celu prawidłowego ustalenia, kto pełni rolę administratora lub procesora, a w konsekwencji, czy zachodzi relacja powierzenia czy udostępnienia danych osobowych, warto poddać osobnej analizie sferę stosunków gospodarczych i sferę przetwarzania danych osobowych, czego jednak organ w niniejszej sprawie całkowicie zaniechał. Dodatkowo pojęcia administratora i podmiotu przetwarzającego, a w konsekwencji również pojęcia powierzenia i udostępnienia danych osobowych, należy przede wszystkim rozumieć w aspekcie funkcjonalnym, nie zaś formalnym. Przypisanie ról poszczególnym podmiotom uczestniczącym w procesie przetwarzania danych osobowych wymaga ustalenia, który z nich decyduje o celach i sposobach przetwarzania danych osobowych, biorąc pod uwagę zakres obowiązków i uprawnień tych podmiotów w konkretnej relacji gospodarczej.
W odpowiedzi na skargę organ wniósł o jej oddalenie, podtrzymując dotychczasowe stanowisko w sprawie.
W piśmie procesowym z dnia 24 marca 2025 r. ustanowiony z urzędu pełnomocnik skarżącego podtrzymał skargę i dotychczasową argumentację skarżącego, podnosząc dodatkowo, że organ pozbawił skarżącego prawa do merytorycznego rozpoznania sprawy, wydając postanowienie o odmowie wszczęcia postępowania w miejsce decyzji administracyjnej. Zdaniem pełnomocnika, skarżący został również pozbawiony prawa do czynnego udziału w postępowaniu. Pełnomocnik wniósł także o zwrot kosztów postępowania.
W piśmie procesowym z dnia 11 kwietnia 2025 r. organ podtrzymał dotychczasowe stanowisko w sprawie, rozwijając podnoszoną argumentację.
Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje:
Skarga zasługuje na uwzględnienie.
Przedmiotem kontroli Sądu w rozpoznawanej sprawie było postanowienie Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] listopada 2024 r. odmawiające wszczęcia postępowania w związku ze skargą R.Z. na nieprawidłowości w procesie przetwarzania jego danych osobowych. Jak podstawę prawną swojego rozstrzygnięcia organ wskazał art. 61a § 1 k.p.a. w zw. z art. 57 ust. 4 rozporządzenia nr 2016/679
Zgodnie z pierwszym ze wskazanych przepisów, gdy żądanie, o którym mowa w art. 61 k.p.a., zostało wniesione przez osobę niebędącą stroną lub z innych uzasadnionych przyczyn postępowanie nie może być wszczęte, organ administracji publicznej wydaje postanowienie o odmowie wszczęcia postępowania. W rozpoznawanej sprawie organ uznał, że przesłanką zastosowania tego przepisu jest druga z wymienionych w nim podstaw odmowy wszczęcia postępowania, tj. "inne uzasadnione przyczyny".
W orzecznictwie sądów administracyjnych i doktrynie wskazuje się, że odmowy wszczęcia postępowania na podstawie art. 61a § 1 k.p.a. "z innych uzasadnionych przyczyn" ustawa nie konkretyzuje, natomiast należy przez nie rozumieć sytuacje, które w sposób oczywisty, przy pierwszym zestawieniu zakresu żądania wniosku z obowiązującym stanem prawnym, stanowią przeszkodę do wszczęcia postępowania. Taki przypadek zachodzi np. w przypadku wniesienia żądania przez osobę niemającą zdolności do czynności prawnych; wniesienia żądania w sprawie, która nie podlega załatwieniu w formie decyzji administracyjnej; wniesienia żądania w sprawie rozstrzygniętej już decyzją; wniesienia żądania w sprawie, w której toczy się postępowanie przed właściwym organem administracji; wniesienia żądania po upływie terminu określonego w ustawie dla dochodzenia określonych praw - przedawnienie materialnoprawne (por. wyroki Naczelnego Sądu Administracyjnego: z dnia 27 czerwca 2018 r. sygn. akt I OSK 372/18; z dnia 15 grudnia 2020 r. sygn. akt I OSK 1669/20 oraz z dnia 25 czerwca 2021 r. sygn. akt I OSK 345/21 – wszystkie powoływane orzeczenia są dostępne w internetowej bazie orzeczeń sądów administracyjnych; a także Z.R. Kmiecik, Wszczęcie ogólnego postępowania administracyjnego, Warszawa 2014). Jeżeli zaistnieją uzasadnione przyczyny uniemożliwiające wszczęcie postępowania, obowiązkiem organu jest wydać postanowienie na podstawie art. 61a § 1 k.p.a.
Ponadto, co szczególnie istotne, w orzecznictwie sądów administracyjnych podkreśla się, że omawiana podstawa odmowy wszczęcia postępowania dotyczy tych przypadków, w których niespełnienie przesłanek procesowych ujawnia się już na etapie złożenia wniosku, a stwierdzenie tej okoliczności nie wymaga czynności wyjaśniających. Inaczej ujmując przyczyny, o których mowa w art. 61a § 1 k.p.a., muszą być oczywiste, dostrzegalne prima facie, obiektywne. Jeżeli natomiast kwestia ta wymaga poczynienia szerszych ustaleń, zwłaszcza w kontekście argumentów podanych przez wnioskodawcę, bądź jest nieoczywista, to wówczas organ administracji jest zobowiązany wszcząć postępowanie w celu wyjaśnienia zaistniałych wątpliwości i w zależności od wyniku przeprowadzonych czynności, orzec merytorycznie co do zasadności wniosku lub w przypadku stwierdzenia wystąpienia przesłanki bezprzedmiotowości postępowania, umorzyć postępowanie na podstawie art. 105 § 1 k.p.a. Wydając bowiem rozstrzygnięcie na podstawie art. 61a § 1 k.p.a. organ administracji nie bada merytorycznie wniosku, lecz ogranicza się jedynie do stwierdzenia przesłanek formalnych uniemożliwiających merytoryczne rozstrzygnięcie sprawy (por. wyrok Naczelnego Sądu Administracyjnego z dnia 21 sierpnia 2024 r. sygn. akt I OSK 684/23).
Powyższe koresponduje również z treścią powoływanego przez organ art. 57 ust. 4 rozporządzenia nr 2016/679. W myśl tego przepisu, jeżeli żądanie jest w sposób oczywisty nieuzasadnione lub nadmierne, w szczególności ze względu na swą powtarzalność, organ nadzorczy może pobrać opłatę w rozsądnej wysokości wynikającej z kosztów administracyjnych lub może odmówić podjęcia żądanych działań. Obowiązek wykazania, że żądanie jest w sposób oczywisty nieuzasadnione lub nadmierne, spoczywa na organie nadzorczym.
Prawodawca europejski uznał zatem, że organ będzie mógł skorzystać z narzędzia przewidzianego w tym przepisie, jedynie wówczas, gdy będzie miał do czynienia z żądaniem, które jest w sposób oczywisty nieuzasadnione, a tę kwalifikowana postać braku uzasadnienia żądania organ jest w stanie w sposób przekonujący wykazać. Stosowanie tego przepisu winno mieć charakter wyjątkowy i mieć miejsce w przypadkach, gdy skarżący domaga się od organu np. podjęcia czynności wykraczających poza jego kompetencje (por. wyrok Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 22 maja 2024 r. sygn. akt II SA/Wa 2094/23 wydany w sprawie, w której skarga do organu sprowadzała się do "kwestionowania powszechnie obowiązujących przepisów prawnych w zakresie informacji o podmiotach prowadzących działalność gospodarczą"). Jak podkreślają komentatorzy omawianego przepisu, jego celem jest zapobieżenie poważnego zaburzenia lub paraliżu działalności organu nadzorczego przez podmioty zmierzające do wywołania trudności, które składają absurdalne lub wielokrotnie powtarzane wnioski. Jednak, ponieważ zadaniem organu nadzorczego jest ochrona podstawowych praw jednostki, ten wyjątek powinien być stosowany jedynie w jasno zdefiniowanych sytuacjach (zob. Selmayr [w:] Ehmann, Selmayr, Datenschutz-Grundverordnung, komentarz do art. 57, nb. 22-24, wyd. C.H. Beck 2017).
Przenosząc powyższe rozważania na grunt rozpoznawanej sprawy, należy zauważyć, że postępowanie administracyjne w tej sprawie zostało zainicjowane skargą R.Z. z dnia 20 września 2024 r. na nieprawidłowości w procesie przetwarzania jego danych osobowych przez E. Sp. jawna, polegające na niewykonaniu obowiązków nałożonych na administratora w art. 13 oraz art. 15 ust. 3 rozporządzenia nr 2016/679. Nie budzi wątpliwości, że żądanie wniosła osoba mającą zdolność do czynności prawnych, w sprawie, w której ma interes prawny (bowiem żądanie dotyczy przetwarzania jej danych osobowych), która co do zasady podlega załatwieniu w formie decyzji administracyjnej. Organ nie twierdził, by wniesione żądanie dotyczyło sprawy już rozstrzygniętej w formie decyzji lub sprawy, w której toczy się postępowanie przed właściwym organem administracji. W niniejszej sprawie żądanie nie zostało również wniesione po upływie terminu określonego w ustawie dla dochodzenia praw skarżącego.
Podstawą rozstrzygnięcia organu było natomiast stwierdzenie, że z uwagi na treść skargi oraz załączników do niej, nie budzi – zdaniem organu – wątpliwości, że podmiot wskazywany przez skarżącego nie jest administratorem jego danych osobowych. W ocenie Sądu, przyjęcie przez organ takiej konkluzji wymagało przeprowadzenia postępowania administracyjnego zakończonego wydaniem decyzji administracyjnej. Natomiast w stanie faktycznym niniejszej sprawy brak było podstaw do zastosowania zarówno art. 61a § 1 k.p.a., jak i art. 57 ust. 4 rozporządzenia nr 2016/679, które jak już wskazano dotyczą sytuacji oczywistej bezzasadności wniesionego żądania, która jest dostrzegalna prima facie i obiektywna. Zagadnienie, czy wskazywany przez skarżącego podmiot, czyli E. Sp. jawna jest w istocie administratorem jego danych osobowych, nie może być uznane za niewymagające od organu przeprowadzenia jakiekolwiek postępowania dowodowego, a także merytorycznej analizy zgromadzonego materiału dowodowego i wykładni przepisów. Tymczasem tego rodzaju analiza powinna zostać dokonana w toku postępowania administracyjnego, a ewentualne uznanie, że żądanie skarżącego jest bezprzedmiotowe, może skutkować wydaniem decyzji umarzającej postępowanie na podstawie art. 105 § 1 k.p.a.
Ponadto, w ocenie Sądu, za niewystarczające należy uznać poprzestanie przez organ na treści załączonych do skargi oświadczeń spółki E. oraz [...], w sytuacji gdy skarżący podnosi nieprawidłowości w procesie przetwarzania jego danych osobowych przez spółkę E., a więc w istocie kwestionuje prawdziwość tych oświadczeń. Niedokonanie przez organ ustaleń faktycznych i oceny co do tego, czy E. jest podmiotem, o którym mowa w art. 4 pkt 7 rozporządzenia nr 2016/679 (tj. administratorem), czy podmiotem, o którym mowa w art. 4 pkt 8 tego rozporządzenia (tj. podmiotem przetwarzającym), było kluczowe i miało charakter nadrzędny z punktu widzenia potrzeby i możliwości wypełnienia przewidzianych w rozporządzeniu nr 2016/679 obowiązków informacyjnych, których wykonanie kwestionował skarżący.
Z podanych przyczyn nieprawidłowe było zastosowanie przez organ trybu przewidzianego w art. 61a § 1 k.p.a. w zw. z art. 57 ust. 4 rozporządzenia nr 2016/679 i wydanie postanowienia odmawiającego wszczęcia postępowania. Sąd uznał zatem, że organ naruszył powyższe przepisy w stopniu mającym istotny wpływ na wynik sprawy.
Na obecnym etapie postępowania Sąd nie mógł dokonać merytorycznej oceny postawionych w skardze do organu zarzutów, ponieważ okoliczności te nie były jeszcze przedmiotem postępowania administracyjnego. Sąd, kontrolując legalność postanowienia w przedmiocie odmowy wszczęcia postępowania administracyjnego, nie ma również kompetencji do nakazywania organowi podejmowania konkretnych czynności w postępowaniu administracyjnym, które nie zostało jeszcze zakończone ostateczną decyzją.
Biorąc pod uwagę powyższe, Wojewódzki Sąd Administracyjny w Warszawie, na podstawie art. 145 § 1 pkt 1 lit. c) ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2024 r., poz. 935, powoływanej dalej jako p.p.s.a.), orzekł jak w sentencji. Rozpoznanie sprawy w trybie uproszczonym nastąpiło na podstawie art. 119 pkt 3 i art. 120 p.p.s.a.
Sąd nie orzekał w zakresie zwrotu kosztów postępowania, bowiem skarżącemu zostało przyznane prawo pomocy w zakresie zwolnienia z kosztów sądowych oraz ustanowienia adwokata, co oznacza, że skarżący nie poniósł kosztów postępowania w rozumieniu art. 205 cyt. ustawy.