III OSK 1018/22

III OSK 1018/22 - Wyrok NSA
Data orzeczenia
2025-05-29
orzeczenie prawomocne
Data wpływu
2022-04-20
Sąd
Naczelny Sąd Administracyjny
Sędziowie
Hanna Knysiak - Sudyka
Rafał Stasikowski /przewodniczący/
Sławomir Wojciechowski /sprawozdawca/
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne
Ochrona danych osobowych
Sygn. powiązane
II SA/Wa 1724/21 - Wyrok WSA w Warszawie z 2021-09-29
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Oddalono skargę kasacyjną
Powołane przepisy
Dz.U. 2018 poz 1000
art. 101 a ust. 1 i 2
Ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych
Dz.U.UE.L 2016 nr 119 poz 1 art. 5 ust. 1 lit. c, art. 6 ust. 1 lit. f, art. 7 ust. 1, art. 34 ust. 1
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z  przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE
Sentencja
Naczelny Sąd Administracyjny w składzie: Przewodniczący: sędzia NSA Rafał Stasikowski Sędziowie: sędzia NSA Sławomir Wojciechowski (spr.) sędzia del. WSA Hanna Knysiak-Sudyka Protokolant: starszy asystent sędziego Łukasz Sielanko po rozpoznaniu w dniu 29 maja 2025 r. na rozprawie w Izbie Ogólnoadministracyjnej skargi kasacyjnej M.S. od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 29 września 2021 r., sygn. akt II SA/Wa 1724/21 w sprawie ze skargi M.S. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...], nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę kasacyjną.
Uzasadnienie
Wyrokiem z dnia 29 września 2021 r., sygn. akt II SA/Wa 1724/21, Wojewódzki Sąd Administracyjny w Warszawie, po rozpoznaniu na posiedzeniu niejawnym, sprawy ze skargi M.S. (dalej także jako: "skarżący", "skarżący kasacyjnie") na decyzję Prezesa Urzędu Ochrony Danych Osobowych (dalej także jako: "Prezes UODO", "Organ") z dnia [...], nr [...] w przedmiocie przetwarzania danych osobowych: oddalił skargę.
Stan faktyczny sprawy przedstawia się w sposób następujący:
Z okoliczności faktycznych sprawy wynika, że skarżący w dniu 5 października 2020 r. złożył do Prezes UODO skargę na nieprawidłowości w procesie przetwarzania jego danych osobowych przez [...] Sp. z o.o. z siedzibą w [...] polegające na udostępnieniu jego danych osobowych na rzecz osób nieuprawnionych.
Skarżący podał, że w dniu 26 lutego 2019 r. pracownik Spółki (jego ówczesny przełożony) wysłał wiadomość mailową, zawierającą jego dane osobowe takie jak imię, nazwisko oraz informację o rezygnacji z pracy do pracowników Spółki oraz do Z.K., który nie był jej pracownikiem "w celu postawienia go w negatywnym świetle". W ten sposób doszło do naruszenia art. 6 ust. 1 lit b i f rozporządzenia. Spółka ponadto nie zgłosiła naruszenia organowi właściwemu zgodnie z art. 33 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679.
Skarżący wniósł o wydanie decyzji zobowiązującej Spółkę do usunięcia tych danych oraz nałożenia na nią jako administratora danych osobowych stosownej kary pieniężnej.
[...] Sp. z o.o. z siedzibą w [...] w piśmie z 5 listopada 2020 r., podała, że w dniu 26 lutego 2019 r. skarżący był jej pracownikiem i Spółka przetwarzała jego dane osobowe (imię, nazwisko) na podstawie art. 6 ust. 1 lit c rozporządzenia oraz art. 221 ustawy z dnia 26 czerwca 1974 r. – Kodeks pracy (Dz.U. z 2020 r., poz. 1320).
Spółka wyjaśniła, że w dniu 26 lutego 2019 r. bezpośredni przełożony skarżącego (J.R.) w wiadomości skierowanej do podlegających mu pracowników z tej samej komórki organizacyjnej Spółki poinformował, że "w związku z rezygnacją z pracy na stanowisku M.S. na rzecz własnego pomysłu na życie, proszę o uwzględnienie powyższego w grafiku na marzec 2019". Informacja ta, zawierająca jedynie dane osobowe skarżącego w postaci wyłącznie jego imienia i nazwiska, miała na celu zabezpieczenie ciągłości pracy Spółki (ustalenie grafiku).
[...] Sp. z o.o. z siedzibą w [...] podała, że wśród adresatów tej wiadomości znalazł się klient Spółki i wyjaśniła, że w momencie powzięcia wiadomości o wysłaniu wiadomości do niewłaściwej osoby, wysłała do niej kolejną wiadomość z prośbą o usunięcie poprzedniej, jako błędnie do niej skierowanej. Adresat potwierdził usunięcie wiadomości email. O powyższym naruszeniu został poinformowany zarząd Spółki, który przeprowadził rozmowę dyscyplinującą z J.R.
Decyzją z [...] (nr [...]) Prezes UODO, działając na podstawie art. 104 § 1 k.p.a. w zw. z art. 7 ust. 1 ustawy z 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781) oraz art. 5 ust. 1 lit. c. art. 6 ust. 1 i art. 58 ust. 2 lit. b rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46AVE (Dz. Urz. UE L 119 z 04.05.2016, str. 1, ze zm.), udzielił upomnienia [...] Sp. z o.o. z siedzibą w [...] za naruszenie art. 5 ust. 1 lit. c oraz art. 6 ust. 1 rozporządzenia, polegające na udostępnieniu przez pracownika Spółki danych osobowych skarżącego, zawartych w treści e-maila z dnia 26 lutego 2019 r. na rzecz osoby nieuprawnionej.
Organ stwierdził, że udostępnienie przez pracownika Spółki danych osobowych skarżącego, zawartych w treści e-maila z dnia 26 lutego 2019 r. osobie trzeciej, niebędącej pracownikiem spółki, stanowiło naruszenie art. 5 ust. 1 lit. c (zasady minimalizacji danych) oraz było niezgodne z art. 6 ust. 1 rozporządzenia.
Organ podał, że udostępnienie danych osobowych skarżącego, zawartych w wiadomości e-mail pracownikom Spółki, znajdowało oparcie w art. 6 ust. 1 lit. f rozporządzenia, który stanowi, że przetwarzanie danych jest zgodne z prawem, jeżeli jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią. Spółka dokonała udostępnienia danych osobowych skarżącego na podstawie art. 221 k.p. Organ podkreślił, że Spółka przekazała byłym współpracownikom skarżącego minimalny zakres jego danych osobowych, tj. imię i nazwisko, wyłącznie w celu ustalenia grafiku pracy i zapewnienia w ten sposób ciągłości pracy w Spółce, w związku z rozwiązaniem ze skarżącym umowy o pracę z dniem 1 marca 2019 r.
Prezes UODO wyjaśnił, że niektóre z uprawień naprawczych które mu przysługują na podstawie art. 58 ust. 2 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 służą przywróceniu stanu zgodnego z prawem w procesie przetwarzania danych i mogą być zastosowane o ile nieprawidłowości w procesie przetwarzania danych osobowych istnieją. Zdaniem organu, w okolicznościach rozpatrywanej sprawy właściwe jest zastosowanie wobec Spółki upomnienia za stwierdzone naruszenie przepisów o ochronie danych osobowych, tj. art. 5 ust. 1 lit. c oraz art. 6 ust. 1 RODO. Organ odnosząc się do pozostałych żądań skarżącego zawartych w skardze na niezgodne z prawem przetwarzanie danych osobowych podał, że na żądanie osoby składającej skargę nie przeprowadza kontroli co do zgodności przetwarzania danych osobowych oraz nie wymierza administracyjnych kar pieniężnych oraz że sprawa dotycząca ewentualnego naruszenia dóbr osobistych skarżącego należy do właściwości sądu powszechnego, nie zaś Prezesa UODO.
Skarżący w skardze wniesionej do Wojewódzkiego Sądu Administracyjnego w Warszawie na decyzję Prezesa UODO z 3 marca 2021 r. zarzucił organowi naruszenie art. 7 w zw. z art. 77 § 1 k.p.a. przez niewyczerpujące rozpatrzenie materiału dowodowego i w konsekwencji nieustalenie, czy jego były pracodawca miał co do zasady prawo posługiwania się adresem e-mali pracownika. Zdaniem skarżącego, jego były pracodawca w ogóle nie był uprawniony do przetwarzania jego danych osobowych w postaci adresu poczty e-mail i wysyłania jego danych osobowych innym pracownikom oraz klientowi [...] Sp. z o.o. Skarżący dodał, że znajdujące się w aktach sprawy upoważnienia do przetwarzania danych osobowych mają charakter ogólny, gdyż ograniczają się wyłącznie do wskazania dwóch zbiorów danych: zawartych w zbiorze papierowym oraz w systemie informatycznym i w związku z tym nie mogą stanowić "skutecznej" podstawy do udzielania adresatom maila dostępu do danych osobowych skarżącego (otrzymywania tych danych na niezabezpieczone skrzynki mailowe). Skarżący podniósł, że w aktach sprawy brak jest upoważnienia dla Z.K., który był jednym z adresatów poczty mailowej z 26 lutego 2020 r., co potwierdza, że nie był uprawniony do przetwarzania jakichkolwiek danych osobowych przetwarzanych przez Spółkę.
Zdaniem skarżącego, zaskarżona decyzja została wydana z naruszeniem art. 6 ust. 1 lit. f rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679, poprzez błędną jego wykładnię i w konsekwencji nieuzasadnione przyjęcie, że wysyłanie maila zawierającego dane osobowe pracownika: imię nazwisko, adres poczty e-mail do pracowników i osoby trzeciej jest uzasadnione ważnym interesem administratora danych osobowych oraz że interes ten jest ważniejszy niż interes osoby, której dane byty przetwarzane. Skarżący podniósł, że w e-mailu ujawniono jego imię i nazwisko, informację, że był pracownikiem Spółki oraz że "nie podjął wyzwania", co jego zdaniem miało na celu pokazanie pozostałym pracownikom Spółki, że nie nadawał się do pracy na tym stanowisku i że jego właściwości oraz cechy nie pozwoliły mu na prawidłowe wykonywanie obowiązków. Zgodnie z art. 94 pkt 9 i art. 94 3 § 1 k.p., pracodawca jest obowiązany stosować obiektywne i sprawiedliwe kryteria oceny pracowników oraz oceny ich pracy, a także zobowiązany jest do przeciwdziałania wszelkim praktykom mobbingowym. Pisanie przez przełożonego w godzinach wieczornych do pracowników, że skarżący jest osobą niepodejmującą wyzwań zawodowych i wskazywanie tej okoliczności jako przyczyny rezygnacji z pracy stanowi jaskrawy przykład naruszenia dóbr osobistych pracownika. Nie istniał żaden uzasadniony interes prawny pracodawcy jako administratora danych osobowych, aby wysyłać do pracowników tego typu maila. Przełożony zdecydował się postawić pracownika w złym świetle, w tym także przed klientem [...] Sp. z o.o. Skarżący dodał, że art. 221 k.p. nie pozwala na wysyłanie jakichkolwiek ocen pracownika innym pracownikom, a także na przekazywanie danych o zatrudnieniu klientom administratora, a także na przetwarzanie adresu mailowego pracownika. Nietrafna jest zatem ocena organu, że istniał ważny interes Spółki (ówczesnego pracodawcy skarżącego) aby wysłać maila z jego danymi osobowymi do pracowników i osoby trzeciej. To zaś prowadzi, zdaniem skarżącego do wniosku, że organ naruszył art. 221 i art. 943 pkt 9 i 94 § 1 k.p. poprzez ich niezastosowanie.
Skarżący dodał, że w przypadku wysłania maila nie można mówić o nieumyślności. Treść maila była poświęcona skarżącemu – to nie stało się przez przypadek. Ktoś musiał tego maila edytować, wpisać jego treść, wstawić adresy do listy adresowej. Okoliczność, że na liście adresowej znalazła się osoba niebędąca w ogóle pracownikiem Spółki wskazuje, że nie była to lista zaciągnięta przypadkowo z poprzedniej korespondencji mailowej.
Skarżący w skardze do Sądu sformułował ponadto zarzuty dotyczące naruszenia art. 34, 37 i 83 ust. 1 i 2 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679. W ich uzasadnieniu stwierdził, że [...] Sp. z o.o. jako administrator danych osobowych skarżącego, nie poinformowała organu o naruszeniu danych osobowych mimo obowiązku wynikającego z art. 34 rozporządzenia, a także nie wyznaczyła wcześniej inspektora danych osobowych. [...] Sp. z o.o. nie wykazała, aby mail był wysłany do osób faktycznie zatrudnionych w spółce (brak jest kopii umów o pracę, świadectw pracy, czy zgłoszeń do ZUS). [...] Sp. z o.o. nie załączył do wyjaśnień zakresów obowiązków, umów o pracę. W związku z tym wskazanie, że przetwarzanie było zgodne z zakresem obowiązków nie zostało wykazane zgodnie z zasadą rozliczalności.
Zdaniem skarżącego, zaskarżona decyzja wydana została z naruszeniem art. 189a § 1, § 2 pkt 1 i pkt 2 k.p.a. w zw. z art. 83 ust. 1 i 2 RODO i w zw. z art. 101 a ust. 1 i ust. 2 ustawy z dnia 10 maja 2008 r. o ochronie danych osobowych (Dz.U. z 2019 r., poz. 1781), dalej jako u.o.d.o. przez ich niezastosowanie. Zdaniem skarżącego, organ "zaniechał stosowania kryteriów wymierzenia kary administracyjnej oraz udzielił upomnienia zamiast kary administracyjnej adekwatnej do przewinienia.
Skarżący stwierdził, m.in. że wbrew zapatrywaniu organu wyrażonym w zaskarżonej decyzji, Prezes UODO nie działa w postępowaniu o wymierzenie administracyjnej kary pieniężnej autonomicznie i dowolnie.
Z uwagi na ogólną zasadę stosowania w postępowaniu przed tym organem przepisów k.p.a.(art. 7 ust. 1 u.o.d.o.), do nakładania kar administracyjnych stosuje się art. 189a § 1, § 2 pkt 1 i pkt 2 k.p.a., a organ oceniając czy i ewentualnie w jakiej wysokości zastosować karę pieniężną, powinien kierować się kryteriami wskazanymi w art. 83 ust. 2 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679.
Zdaniem skarżącego, Prezes UODO nie zebrał informacji niezbędnych dla ustalenia wymiaru kary (art. 189a § 2 pkt 1 k.p.a.) oraz zastosowania wobec podmiotu odpowiedzialnego za naruszenie zasad przetwarzania danych osobowych pouczenia (art. 189a § 2 pkt 2 k.p.a.), mimo, że przepisy rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 nie pozwalają na odstąpienie od wymierzenia kary, w sytuacji gdy administrator danych osobowych nie wdrożył środków bezpieczeństwa, bezprawnie przetwarzał dane osobowe skarżącego, naruszenie miało charakter umyślny, a administrator danych osobowych nie podjął żadnych działań w celu zminimalizowania szkody skarżącego.
Skarżący dodał, że organ nie zastosował art. 101a ust.1 i ust. 2 u.o.d.o., który stanowi, że w związku z toczącym się postępowaniem w sprawie nałożenia administracyjnej kary pieniężnej, podmiot zobowiązany do przestrzegania przepisów rozporządzenia 2016/679, inny niż jednostka sektora finansów publicznych, instytut badawczy, Narodowy Bank Polski jest obowiązany dostarczyć Prezesowi Urzędu Ochrony Danych Osobowych dane niezbędne do określenia podstawy wymiaru administracyjnej kary pieniężnej. Jeśli nie wywiąże się z tego obowiązku lub gdy dostarczone dane uniemożliwiają ustalenie wymiaru kary, organ ustala podstawę wymiaru administracyjnej kary pieniężnej w sposób szacunkowy, uwzględniając kryteria wymienione w ust 2 art. 101a u.o.d.o. W myśl art. 108 ust. 2 tej ustawy, niedostarczenie niezbędnych danych, stanowi przestępstwo zagrożone karą grzywny, ograniczenia wolności albo pozbawienia wolności do lat dwóch.
Skarżący wniósł o uchylenie, na podstawie art. 145 § 1 pkt 1 lit. a i c ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (Dz.U. z 2019 r., poz. 2325 ze zm.), zaskarżonej decyzji w całości oraz zasądzenie kosztów postępowania administracyjnego, w tym kosztów zastępstwa adwokackiego w sprawie oraz opłaty skarbowej od pełnomocnictwa według norm przepisanych.
Prezes UODO w odpowiedzi na skargę wniósł o jej oddalenie.
Odnosząc się do zarzutów skargi dotyczących nieustalenia wszystkich istotnych okoliczności faktycznych sprawy organ podał, że na podstawie art. 58 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 zwrócił się do Spółki o złożenie pisemnych wyjaśnień i dowodów. Rozstrzygając sprawę oparł się przede wszystkim na pisemnych wyjaśnieniach skarżącego oraz Spółki i przesłanych przez nie dowodach. Zaskarżona decyzja wydana została w oparciu o wystarczający i niebudzący wątpliwości organu materiał dowodowy.
Ustosunkowując się do zarzutu naruszenia art. 189a § 1 § 2 pkt 1 i 2 k.p.a. w zw. z art. 83 ust. 1 i 2 rozporządzenia w zw. z art. 101a ust. 1 i ust. 2 u.o.d.o., poprzez ich niezastosowanie, a w konsekwencji zaniechanie zbierania informacji niezbędnych dla ustalenia wysokości kary oraz zastosowanie wobec podmiotu odpowiedzialnego za naruszenia zasad przetwarzania danych osobowych pouczenia mimo, że przepisy rozporządzenia nie umożliwiają na odstąpienie od wymierzenia kary, w sytuacji, gdy administrator danych osobowych nie wdrożył środków bezpieczeństwa, bezprawnie przetwarzał dane osobowe skarżącego, naruszenie miało charakter umyślny, administrator danych osobowych nie podjął żadnych działań w celu zminimalizowania szkody skarżącego, Prezes UODO stwierdził, że przysługujące mu na mocy art. 58 ust. 2 lit. i rozporządzenia uprawnienie do nakładania administracyjnych kar pieniężnych należy do jego autonomicznych kompetencji i czynności polegające na karaniu nie są podejmowane na wniosek strony skarżącej. Organ oprócz nakładania administracyjnych kar pieniężnych posiada także inne kompetencje naprawcze, wskazane w art. 58 ust. 2 RODO, w tym m. in. udzielanie upomnień administratorowi lub podmiotowi lub podmiotowi przetwarzającemu w przypadku naruszenia przepisów niniejszego rozporządzenia przez operacje przetwarzania (lit. b art. 58 ust. 2 rozporządzenia).
W ocenie organu nie jest również uzasadniony zarzut naruszenia przez Prezesa UODO przepisów art. 22, art. 94 pkt 9 oraz art. 94 § 1 k.p. przez ich niezastosowanie i w konsekwencji przyjęcie, że pracodawca jest uprawniony do przetwarzania adresu e-mail pracownika bez jego zgody, a nadto do wysyłania ocen pracownika zniesławiających go osobom trzecim pocztą elektroniczną, organ wyjaśnił, że może podejmować tylko te czynności, które znajdują się w zakresie jego uprawnień oraz tylko w tych sprawach, które należą do jego właściwości. Prezes UODO nie posiada kompetencji do rozstrzygania w kwestiach dotyczących zniesławienia, mobbingu czy oceny pracowników i wyników ich pracy przez pracodawcę. Przedmiotem postępowania zakończonego zaskarżoną decyzją było udostępnienie danych osobowych skarżącego, zawartych w treści e-maila z 26 lutego 2019 r. osobom nieuprawnionym.
Organ podkreślił, że przekazanie danych osobowych skarżącego innym pracownikom Spółki w celu zapewnienia ciągłości pracy w Spółce nie stanowiło naruszenia przepisów prawa i znajdowało oparcie w art. 6 ust. 1 lit. f rozporządzenia w związku z art. 221 k.p. Sąd Najwyższy w wyroku z dnia 19 listopada 2003 r. (sygn. akt I PK 590/02), stwierdził, że "ujawnienie przez pracodawcę nazwiska pracownika musi być usprawiedliwione celem działania pracodawcy, łączącym się z jego zadaniami i obowiązkami związanymi z prowadzeniem zakładu, musi być niezbędne oraz nie może naruszać praw i wolności pracownika".
Zaskarżonym wyrokiem z dnia 29 września 2021 r., sygn. akt II SA/Wa 1724/21, Wojewódzki Sąd Administracyjny w Warszawie: oddalił skargę podzielając argumentację zaprezentowaną w zaskarżonej decyzji.
Skargę kasacyjną od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie wywiódł skarżący zaskarżając go w całości i zarzucając Sądowi pierwszej instancji w trybie art. 174 pkt 1 i 2 p.p.s.a. naruszenie:
I. prawa materialnego, poprzez błędną wykładnię:
a. art. 6 ust. 1 lit. f rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 2016/679 z 27.04.2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz.Urz. UE L z 2016 r. 119, s. 1) – dalej RODO – poprzez nietrafne przyjęcie, że wysyłanie maila o tym, że skarżący wymieniony z imienia i nazwiska "nie podjął wyzwania", zawierającego ocenę byłego pracownika, stanowiło realizację ważnego interesu pracodawcy jako prawną przesłankę przetwarzania danych osobowych przez administratora danych osobowych;
b. art. 6 ust. 1 lit. c RODO w zw. z art. 22(1) i art. 94 pkt 2 k.p. poprzez nietrafne przyjęcie, iż pracodawca jest uprawniony do posiadania adresu poczty e-mail pracowników bez ich zgody, jest uprawniony do kierowania do pracowników korespondencji e-mail oraz do udostępniania adresów poczty e-mail innym swoim pracownikom czy osobie niezatrudnionej przez administratora danych osobowych;
c. art. 34 ust. 1 RODO poprzez nietrafne przyjęcie, że przekazanie mailowo informacji na temat pracownika zawierającej negatywną ocenę jego osoby, jego pracy wraz ze wskazaniem jego danych osobowych osobie niezatrudnionej oraz zatrudnionym - zawierającej negatywną ocenę jego osoby nie narusza praw i wolności skarżącego, a w konsekwencji nie obliguje do zawiadomienia skarżącego o naruszeniu;
d. art. 83 ust. 1 i 2 RODO poprzez nietrafne przyjęcie, iż przepis ten w zakresie w jakim mówi o możliwości zastosowania przez organ nadzorczy środków przewidzianych w art. 58 ust. 2 lit. a – h RODO wprowadza dowolność stosowania kar administracyjnych w przypadku stwierdzenia naruszenia zasad ochrony danych osobowych bez konieczności badania przez organ okoliczności danego przypadku;
II. przepisów postępowania przed sądami administracyjnymi:
a. naruszenie art. 3 § 1 i art. 134 § 1 p.p.s.a., wobec nierozpoznania przez Sąd, podniesionego w skardze zarzutu naruszenia art. 37 RODO;
b. naruszenie art. 3 § 1 i art. 141 § 4 p.p.s.a., przejawiające się w tym, że Sąd w uzasadnieniu zaskarżonego wyroku nie wskazał na jakiej podstawie ustalił, że naruszenie przepisów rozporządzenia było niewielkie, spółka zareagowała na naruszenie natychmiast po ustaleniu jego zaistnienia, a wiadomość zawierająca dane osobowe skarżącego została usunięta;
c. naruszenie art. 3 § 1 i art. 145 § 1 pkt 1 a) i c) p.p.s.a., polegające na tym, że Sąd pierwszej instancji w wyniku niewłaściwej kontroli legalności działalności administracji publicznej nie zastosował środka określonego w ustawie – art. 145 § 1 pkt 1 p.p.s.a., mimo że decyzja została wydana z naruszeniem przepisów prawa materialnego oraz przepisów postępowania mających istotny wpływ na wynik sprawy.
Wskazując na powyższe zarzuty kasacyjne skarżący wniósł o uchylenie zaskarżonego wyroku w całości i przekazanie sprawy do ponownego rozpoznania Wojewódzkiemu Sądowi Administracyjnemu w Warszawie oraz zasądzenie na rzecz skarżącego kosztów postępowania według norm przepisanych. Nadto skarżący wniósł o rozpoznanie skargi kasacyjnej na rozprawie.
W odpowiedzi na skargę kasacyjną Prezes UODO wniósł o oddalenie skargi kasacyjnej podtrzymując swoją argumentację.
Naczelny Sąd Administracyjny zważył, co następuje:
Skarga kasacyjna nie zasługuje na uwzględnienie.
Stosownie do art. 183 § 1 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (t.j.: Dz.U. z 2024 r. poz. 935; dalej jako: "p.p.s.a."), Naczelny Sąd Administracyjny rozpoznaje sprawę w granicach skargi kasacyjnej, bierze jednak z urzędu pod rozwagę przesłanki uzasadniające nieważność postępowania wymienione w art. 183 § 2 p.p.s.a. Granice skargi kasacyjnej są wyznaczone przez zakres zaskarżenia orzeczenia sądu pierwszej instancji oraz podniesione i poddane konkretyzacji podstawy kasacyjne.
Zgodnie z treścią art. 174 p.p.s.a., skargę kasacyjną można oprzeć na następujących podstawach: 1) naruszeniu prawa materialnego przez błędną jego wykładnię lub niewłaściwe zastosowanie; 2) naruszeniu przepisów postępowania, jeżeli uchybienie to mogło mieć istotny wpływ na wynik sprawy. Powyższe ustawowe podstawy kasacyjne wymagają od skarżącego kasacyjnie konkretyzacji poprzez sformułowanie tzw. zarzutów kasacyjnych. Oznacza to, że jeżeli – tak jak w rozpoznawanej sprawie – nie zachodzi nieważność postępowania zakres postępowania kasacyjnego wyznacza strona wnosząca skargę kasacyjną przez przytoczenie podstaw kasacyjnych i ich uzasadnienie.
Jak wskazano, Naczelny Sąd Administracyjny jest związany podstawami skargi kasacyjnej biorąc z urzędu pod uwagę jedynie nieważność postępowania. Ze wskazanych przepisów wynika, że wywołane skargą kasacyjną postępowanie przed Naczelnym Sądem Administracyjnym podlega zasadzie dyspozycyjności i nie polega na ponownym rozpoznaniu sprawy w jej całokształcie, lecz ogranicza się do rozpatrzenia poszczególnych zarzutów przedstawionych w skardze kasacyjnej w ramach wskazanych podstaw kasacyjnych. Istotą tego postępowania jest bowiem weryfikacja zgodności z prawem orzeczenia wojewódzkiego sądu administracyjnego oraz postępowania, które doprowadziło do jego wydania.
W skardze kasacyjnej zarzucono naruszenie prawa materialnego, jak i naruszenie przepisów postępowania.
W sytuacji, gdy skarga kasacyjna zarzuca naruszenie prawa materialnego oraz naruszenie przepisów postępowania, co do zasady w pierwszej kolejności rozpoznaniu podlegają zarzuty naruszenia przepisów postępowania (por. wyrok NSA z dnia 27 czerwca 2012 r., II GSK 819/11, LEX nr 1217424; wyrok NSA z dnia 26 marca 2010 r., II FSK 1842/08, LEX nr 596025; wyrok NSA z dnia 4 czerwca 2014 r., II GSK 402/13, LEX nr 1488113; wyrok NSA z dnia 17 lutego 2023 r., II GSK 1458/19; wyrok NSA z dnia 1 marca 2023 r., I FSK 375/20). Dopiero bowiem po przesądzeniu, że stan faktyczny przyjęty przez sąd w zaskarżonym wyroku jest prawidłowy, albo nie został dostatecznie podważony, można przejść do skontrolowania procesu subsumcji danego stanu faktycznego pod zastosowany przez sąd pierwszej instancji przepis prawa materialnego.
Wskazać należy, że dla uznania za usprawiedliwioną podstawę kasacyjną z art. 174 pkt 2 p.p.s.a. nie wystarcza samo wskazanie naruszenia przepisów postępowania, ale nadto wymagane jest, aby skarżący kasacyjnie wykazał, że następstwa stwierdzonych wadliwości postępowania były tego rodzaju lub skali, iż kształtowały one lub współkształtowały treść kwestionowanego w sprawie orzeczenia (tak: wyrok Naczelnego Sądu Administracyjnego z dnia 4 lipca 2024 r., sygn. akt III OSK 2469/22, Legalis). Dalej, o skuteczności zarzutów naruszenia przepisów postępowania nie decyduje każde uchybienie przepisów postępowania, lecz tylko i wyłącznie takie, które mogło mieć istotny wpływ na wynik sprawy. Przez "wpływ", o którym mowa w art. 174 pkt 2 p.p.s.a. rozumieć należy istnienie związku przyczynowego pomiędzy uchybieniem procesowym stanowiącym przedmiot zarzutu skargi kasacyjnej, a wydanym w sprawie zaskarżonym orzeczeniem sądu administracyjnego pierwszej instancji, który to związek przyczynowy, jakkolwiek nie musi być realny, to jednak musi uzasadniać istnienie hipotetycznej możliwości odmiennego wyniku sprawy. W konsekwencji, dla spełnienia wymogu z art. 174 pkt 2 p.p.s.a. nie wystarczy przytoczenie w petitum skargi kasacyjnej formuły o naruszeniu przepisów postępowania w stopniu mającym wpływ na wynik sprawy, lecz konieczne jest wykazanie, który przepis postępowania został naruszony, w jaki sposób oraz wpływu zarzucanego naruszenia na wynik sprawy. Trzeba zatem wskazać indywidualne uzasadnienie dla każdego zarzutu formułowanego wobec każdego z tych przepisów, który w ocenie skarżącego kasacyjnie naruszył Sąd pierwszej instancji. Ponadto w treści samego zarzutu – niezależnie od obowiązku wyjaśnienia zajętego stanowiska w uzasadnieniu skargi kasacyjnej – konieczne jest wskazanie, na czym polegało naruszenie konkretnego przepisu, oraz przedstawienie prawidłowej – w ocenie autora skargi kasacyjnej – wersji wykładni lub zastosowania danego przepisu, a także określenie wpływu zarzucanego naruszenia na treść rozstrzygnięcia (patrz: wyrok Naczelnego Sądu Administracyjnego z dnia 12 lipca 2024 r., II GSK 666/24, Legalis).
Nie zasługuje na uwzględnienie najdalej idący zarzut naruszenia przez Sąd I instancji art. 141 § 4 p.p.s.a. oraz podnoszone naruszenie art. 3 § 1 p.p.s.a., 134 § 1 p.p.s.a. i art. 145 § 1 pkt. 1 lit. a) i lit. c) - pkt II petitum skargi kasacyjnej.
Odnosząc się do przedmiotowych zarzutów przypomnieć należy, że w art. 141 § 4 p.p.s.a. ustawodawca określił niezbędne elementy uzasadnienia wyroku, czyli: zwięzłe przedstawienie stanu sprawy, zarzutów podniesionych w skardze, stanowisk pozostałych stron, podstawę prawną rozstrzygnięcia oraz jej wyjaśnienie. Jeżeli w wyniku uwzględnienia skargi sprawa ma być ponownie rozpatrzona przez organ administracji, uzasadnienie powinno ponadto zawierać wskazania, co do dalszego postępowania. Naczelny Sąd Administracyjny konsekwentnie przyjmuje w swym orzecznictwie, że naruszenie art. 141 § 4 p.p.s.a. może stanowić samodzielną podstawę kasacyjną w dwóch przypadkach: po pierwsze, jeżeli uzasadnienie orzeczenia Wojewódzkiego Sądu Administracyjnego nie zawiera stanowiska co do stanu faktycznego przyjętego za podstawę zaskarżonego rozstrzygnięcia (por. uchwała składu siedmiu sędziów NSA z 15 lutego 2010 r., sygn. akt II FPS 8/09, opubl. ONSAiWSA z 2010 r. Nr 3, poz. 39), po drugie, gdy uzasadnienie zaskarżonego wyroku zostało sporządzone w sposób uniemożliwiający przeprowadzenie jego kontroli przez Naczelny Sąd Administracyjny.
Zdaniem Naczelnego Sądu Administracyjne żadna z tych sytuacji nie wystąpiła w rozpatrywanej sprawie. Uzasadnienie zaskarżonego wyroku zawiera wszystkie elementy konstrukcyjne przewidziane w powołanym przepisie. Wojewódzki Sąd Administracyjny w Krakowie przedstawił w nim w szczególności stan faktyczny przyjęty za podstawę wyroku, wskazując, z jakich przyczyn – w jego ocenie – skarga nie zasługiwała na uwzględnienie. Okoliczność natomiast, że autor skargi kasacyjnej nie podziela stanowiska Sądu I instancji, czy też jego ocena, że uzasadnienie wyroku jest niepełne i nieprzekonujące, nie stanowi skutecznej przesłanki uwzględnienia zarzutu naruszenia art. 141 § 4 p.p.s.a. Uzasadnienie zaskarżonego wyroku spełniło swą funkcję, gdyż pozwoliło na przeprowadzenie kontroli instancyjnej, w szczególności merytoryczne odniesienie się przez Naczelny Sąd Administracyjny do zarzutów skargi kasacyjnej.
W rozpoznawanej sprawie uzasadnienie zaskarżonego wyroku odpowiada wymogom art. 141 § 4 p.p.s.a., gdyż Sąd pierwszej instancji wyjaśnił w należyty sposób przyczyny podjętego rozstrzygnięcia, przytoczył stan sprawy, jak również stanowiska biorących udział w postępowaniu stron zawarte w skardze, jak i w odpowiedzi na skargę. Prawidłowo Sąd pierwszej instancji doszedł do przekonania, że organy wywiązały się z obowiązku ustalenia stanu faktycznego w zgodzie z regułami dowodowymi wynikającymi z k.p.a.
Dalej przyjdzie wskazać, że dyspozycja art. 134 § 1 p.p.s.a. stanowi, że sąd rozstrzyga w granicach danej sprawy nie będąc związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną. Niezwiązanie granicami skargi oznacza, że sąd ten ma prawo, a jednocześnie i obowiązek dokonania oceny zgodności z prawem zaskarżonej decyzji nawet wówczas, gdy w skardze dany zarzut nie został podniesiony. Nie jest przy tym skrępowany sposobem sformułowania skargi, użytymi argumentami, a także zgłoszonymi wnioskami, zarzutami i żądaniami. Dla skuteczności zarzutu skargi kasacyjnej opartego na tym przepisie należy wykazać, że rozpoznając skargę sąd dokonał oceny pod względem zgodności z prawem innej sprawy albo, że sąd powinien wyjść poza granice zakreślone zarzutami i wnioskami skargi oraz powołaną w niej podstawą prawną, a tego nie uczynił i co najważniejsze w niniejszej sprawie, że owo zaniechanie mogło mieć istotny wpływ na wynik sprawy albo też, że strona w postępowaniu sądowym wskazywała na istotne dla sprawy uchybienia popełnione na etapie postępowania administracyjnego bądź powołała w postępowaniu sądowym dowody, które zostały przez sąd pominięte, względnie, gdy w postępowaniu administracyjnym popełniono uchybienia na tyle istotne, a przy tym oczywiste, iż bez względu na treść zarzutów sąd nie powinien był przechodzić nad nimi do porządku (patrz: wyrok z dnia 18 marca 2025 r., sygn. akt II GSK 2492/24, CBOSA).
Unormowanie zawarte w art. 134 § 1 p.p.s.a. można naruszyć wtedy, gdy strona w postępowaniu sądowym wskazywała na istotne dla sprawy uchybienia popełnione na etapie postępowania bądź powołała w postępowaniu sądowym dowody, które zostały przez Sąd pominięte, lub gdy w postępowaniu administracyjnym popełniono uchybienia na tyle istotne, a przy tym oczywiste, że bez względu na treść zarzutów sąd nie powinien był przechodzić nad nimi do porządku.
Autor skargi kasacyjnej nie wykazał jakie ewentualne uchybienia popełnione na etapie postępowania sądowego lub administracyjnego mogły mieć istotny wpływ na wynik sprawy, tym samym w czym skarżący kasacyjnie upatruje naruszenia art. 134 § 1 p.p.s.a. Za takie naruszenie na pewno nie można uznać podnoszonego nierozpoznania zarzutu naruszenia art. 37 RODO, który został wskazany bez konkretnej jednostki redakcyjnej, co już czyni ten zarzut bezskutecznym, przez co nie mającym też wpływu na rozstrzygnięcie, a nadto brak jest jakiegokolwiek jego uzasadnienia w motywach skargi kasacyjnej.
Nie mogło też dojść w sprawie do naruszenia art. 145 § 1 pkt 1 lit. a) i lit. c) p.p.s.a., gdyż po pierwsze Sąd I instancji ich nie stosował, a po drugie z uwagi na prawidłowe ustalenie stanu faktycznego i prawidłowe zastosowanie przepisów prawa materialnego w rozpoznawanej sprawie. Istota tego zarzutu sprowadza się do zakwestionowania oceny poprawności ustalenia stanu faktycznego sprawy, a więc i zastosowania przepisów prawa materialnego i tym samy poprawności uzasadnienia wyroku. Powyższe kwestie omówiono przy rozważaniach dotyczących zarzutu naruszenia art. 141 § 4 p.p.s.a.
Dalej, w tym aspekcie podkreślenia wymaga, że w orzecznictwie Naczelnego Sądu Administracyjnego prezentowane jest stanowisko, zgodnie z którym nie jest dopuszczalne w świetle brzmienia art. 174 p.p.s.a. formułowanie zarzutu skargi kasacyjnej jako naruszenie przepisu prawa "poprzez jego niezastosowanie" czy "pominięcie" (por. wyrok NSA z dnia 3 grudnia 2008 r., I OSK 1807/07, LEX nr 525973; wyrok NSA z dnia 14 maja 2007 r., I OSK 1247/06, LEX nr 342527; wyrok NSA z dnia 28 marca 2007 r., I OSK 31/07, LEX nr 327781; postanowienie NSA z dnia 2 marca 2012 r., I OSK 294/12, LEX nr 1136684).
Przywołany przepisy p.p.s.a. jest przepisem wynikowym. W orzecznictwie Naczelnego Sądu Administracyjnego ugruntowane jest stanowisko, że ma on charakter ogólny (blankietowy) i określa kompetencje sądu administracyjnego w fazie orzekania. Tego typu przepisy nie mogą zatem stanowić samodzielnej podstawy kasacyjnej. Strona skarżąca kasacyjnie chcąc powołać się na zarzut naruszenia art. 145 § 1 pkt 1 lit. a) i lit. c) p.p.s.a. zobowiązana jest więc bezpośrednio powiązać omawiany zarzut z zarzutem naruszenia konkretnych przepisów, którym – jej zdaniem – Sąd I instancji uchybił w toku rozpoznania sprawy. Naruszenie ww. przepisu jest zawsze następstwem uchybienia innym przepisom, czy to procesowym, czy też materialnym (por. wyroki NSA: z dnia 30 kwietnia 2015 r., I OSK 1701/14, z dnia 29 kwietnia 2015 r., I OSK 1595/14, z dnia 29 kwietnia 2015 r., I OSK 1596/14, z dnia 24 kwietnia 2015 r., I OSK 1088/14, z dnia 8 kwietnia 2015 r., I OSK 71/15, z dnia 9 stycznia 2015 r., I OSK 638/14). Takiego powiązania w rozpatrywanej skardze kasacyjnej nie dokonano w ogóle a sam zarzut jaka i wszystkie pozostałe odnoszące się do naruszenie przepisów postępowania nie zawierają uzasadnienia w skardze kasacyjnej.
Również przywołany art. 3 § 1 p.p.s.a., który jest przepisem ustrojowym nie mógł być naruszony przez Sąd I instancji w toku dokonywanej kontroli administracji publicznej. Przepis ten, posiada wiele mniejszych jednostek redakcyjnych, których nie wskazał skarżący kasacyjnie jako naruszonych i przypisuje kompetencje wojewódzkim sądom administracyjnym do rozpoznawania określonych w nim spraw z zakresu administracji publicznej. Bez wątpienia doszło do rozpoznania sprawy przez Wojewódzki Sąd Administracyjny w Warszawie, a nadto skarga kasacyjna nie zawiera też żadnego uzasadnienia tego zarzutu.
Konstrukcja zarzutów naruszenia przepisów prawa materialnego sformułowanych przez skarżącego kasacyjnie umożliwia ich łączne rozpoznanie, bowiem ich istota sprowadza się do próby zakwestionowania merytorycznego stanowiska Sądu I instancji na gruncie ustalonego stanu faktycznego, leżącego u podstaw konkluzji co do zakwalifikowania spornego naruszenia prawa i zastosowanych środków naprawczych. Naruszone dane osobowe skarżącego należy zakwalifikować do danych zwykłych, spełniających co najmniej jedną z przesłanek art. 6 ust. 1 ustawy, zawierający zamknięty katalog autonomicznych przesłanek przetwarzania danych zwykłych.
W ocenie Naczelnego Sądu Administracyjnego w sprawie pozostaje poza sporem, że w kontrolowanej decyzji Prezes UODO stwierdził, że pracownik [...] Sp. z o.o. z siedzibą w [...] z naruszeniem art 5 ust. 1 lit c i art. 6 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679, udostępnił dane osobowe skarżącego, zawarte w treści e-maila z 26 lutego 2019 r., osobie nieuprawnionej, niebędącej pracownikiem Spółki i zastosował wobec Spółki jako administratora danych osobowych, środek naprawczy w postaci upomnienia. Sąd podziela również te wywody z uzasadnienia zaskarżonego wyroku, że udostępnienie danych osobowych skarżącego w mailu skierowanym do pracowników Spółki znajduje uzasadnienie w art. 6 ust. 1 lit. f rozporządzenia. Natomiast udostępnienie tych danych osobie spoza Spółki, zasadnie należało uznał za naruszenie przez Spółkę art. 5 ust. 1 lit. c oraz art. 6 ust. 1 rozporządzenia.
Oceny dokonanej w uzasadnieniu Sądu I instancji nie zmienia również podnoszone przez skarżącego stwierdzenie, że w treści maila wysłanego przez jego przełożonego znalazła się treść, że "nie podjął wyzwania". Ocena skarżącego, że miało to na celu pokazanie pozostałym pracownikom Spółki, że nie nadawał się do pracy na tym stanowisku i stanowi "jaskrawy przykład" naruszenia dóbr osobistych pracownika, również nie ma wpływu na treść rozstrzygnięcia. Skarżący zarzucił też, że udzielenie Spółce upomnienia było "nieadekwatne do przewinienia" a mail został wysłany umyślnie. Nadto według skarżącego Prezes UODO dopuścił się naruszenia art. 189a § 1 i § 2 pkt 1 i pkt 2 k.p.a., dotyczącego zasad ustalania wymiaru kary administracyjnej, mającego w sprawie zastosowanie na podstawie art. 7 ust. 1 u.o.d.o., a ponadto art. 101a ust.1 i ust. 2 u.o.d.o., który nakłada na wymienione w nim podmioty obowiązek dostarczenia organowi, w toku postępowania o nałożenie administracyjnej kary pieniężnej, danych niezbędnych do określenia podstawy jej wymiaru.
Odnosząc się do pierwszego i drugiego z zarzutów naruszenia prawa materialnego stwierdzić przyjdzie, że Spółka miała prawnie uzasadniony interes w powiadomieniu współpracowników skarżącego o jego odejściu z pracy. Z wyjaśnień Spółki i z treści maila wynika, że przesłanie maila z informacją o rezygnacji skarżącego z pracy było podyktowane potrzebą przeorganizowania pracy, ustaleniem nowego grafiku pracy w komórce dziale sprzedaży, uwzględniającego odejście skarżącego. Do podstawowych i zarazem oczywistych kompetencji (praw) pracodawcy, wynikających z art. 22 1 i art. 94 pkt 2 Kodeksu pracy należy organizowanie i kierowanie pracą pracowników. Zachodziła zatem określona w art. 6 ust. 1 lit. f rozporządzenia przesłanka przetwarzania danych osobowych skarżącego przez jego pracodawcę. We współczesnym świecie komunikacja mailowa z pracownikami firmy jest czymś tak oczywistym i naturalnym, że próba zakwestionowania korzystania z tej formy komunikacji, jest nie do obrony. Mail skarżącego musiał być znany pozostałym pracownikom jak i jego numer telefonu, które były wręcz służbowymi narzędziami i formami komunikacji, również między pracownikami, gdyż inaczej pracodawca by ich nie znał. Musiało więc dojść do ich przekazania pracodawcy.
Jedynie na marginesie można powtórzyć za Sądem I instancji, że stwierdzenie "nie podjął wyzwania" w kontekście rezygnacji skarżącego z pracy w Spółce jest stwierdzeniem faktu. Jeżeli natomiast skarżący dopatruje się w tym oceny czy opinii naruszającej jego dobra osobiste, to tego rodzaju zarzuty mogą być podnoszone w innym postępowaniu np. o naruszenie dóbr osobistych, czy w sprawie o mobbing a nie w rozpatrywanej sprawie. Przedmiotem postępowania zakończonego zaskarżoną decyzją było udostępnienie danych osobowych skarżącego, zawartych w treści e-maila z 26 lutego 2019 r. osobom trzecim – nieuprawnionym ( jedynie jednej osobie ).
Oczywiście nie zmienia to spojrzenia na bezprawne udostępnienie przez pracownika [...] Sp. z o.o. z siedzibą w [...] danych osobowych skarżącego, zawartych w treści e-maila z 26 lutego 2019 r. osobie, która nie była i nie jest jej pracownikiem, co nie znajdowało podstaw w art. 6 rozporządzenia, który określa przypadki, w których przetwarzanie danych jest dozwolone, wskazuje przesłanki dopuszczalności przetwarzania danych oraz naruszało zasadę adekwatności i minimalizacji danych, o której mowa w art. 5 ust. 1 lit c rozporządzenia, rozumianą jako konieczność zachowania odpowiednich proporcji zakresu danych do celów przetwarzania i przetwarzanie tylko takich danych, które są potrzebne dla realizacji określonych celów.
Sąd nie podziela również zarzutu skarżącego, wywiedzionego w pkt. I lit. c skargi kasacyjnej. że w rozpatrywanej sprawie Spółka nie poinformowała go o naruszeniu jego danych osobowych, mimo obowiązku wynikającego z art. 34 ust. 1 rozporządzenia. Według powołanego przepisu, administrator danych osobowych jest obowiązany zawiadomić osobę, której dotyczy naruszenie ochrony danych osobowych wówczas, gdy może powodować to wysokie ryzyko naruszenia jej praw lub wolności. Podjęte działania przez Spółkę polegające na skontaktowaniu się z klientem, któremu omyłkowo przesłano dane skarżącego, niezwłocznie po ustaleniu i skierowanie prośby, która została wykonana przez klienta, należy poczytywać za adekwatne i wystarczające działanie. W sprawie nie zaistniała sytuacja mogąca powodować wysokie ryzyko naruszenia praw skarżącego, jaką przyjął organ, co można też potwierdzać upływ czasu 6 lat od wysłania maila i braku jakichkolwiek negatywnych konsekwencji dla skarżącego, co tylko następczo potwierdza właściwą ocenę organu wynikającą z uzasadnienia zaskarżonego wyroku.
Naczelny Sąd Administracyjny nie podziela też stanowiska skarżącego przedstawionego w ostatnim z zarzutów naruszenia prawa materialnego, że udzielenie Spółce upomnienia było "nieadekwatne do przewinienia" i nastąpiło bez badania przez organ okoliczności danego przypadku. Upomnienie, jako jedna z kompetencji naprawczych organu nadzorczego (art. 58 ust. 2 rozporządzenia), może być stosowane – jak wyjaśniono w motywie 148 preambuły – w przypadku, gdy naruszenie przepisów rozporządzenia jest niewielkie lub jeżeli grożąca kara pieniężna stanowiłaby dla osoby fizycznej nieproporcjonalne obciążenie.
Należy zwrócić uwagę, co było już wcześniej podnoszone, że Spółka na naruszenie zareagowała natychmiast po ustaleniu jego zaistnienia, a wiadomość zawierająca dane osobowe skarżącego została usunięta.
Kary pieniężne mogą być stosowane – jak stanowi art. 83 ust. 2 rozporządzenia - "oprócz lub zamiast" innych uprawnień naprawczych. Oznacza to, że organ nadzorczy nie jest zobligowany do nałożenia kary w każdym przypadku naruszenia przepisów rozporządzenia. Może bowiem uznać, że nałożenie kary pieniężnej jest sankcją nieproporcjonalną do rodzaju naruszenia i poprzestać na zastosowaniu innych środków nadzorczych. Taki wniosek potwierdza również treść motywu 148 preambuły rozporządzenia, w którym wyjaśniono, że jeżeli naruszenie jest niewielkie lub jeżeli grożąca kara pieniężna stanowiłaby dla osoby fizycznej nieproporcjonalne obciążenie, można zamiast tego udzielić upomnienia. Trudno też dopatrzyć się w działaniach Spółki umyślności postępowania, wcześniejszych naruszeń, długotrwałości naruszenia, czy też innych nagannych zachowań wobec pracownika. Prowadzi to do wniosku, że organ nadzoru rozważał te okoliczności i skorzystał z określonego uprawnienia naprawczego, np. może tylko upomnieć administratora danych, upominając może równocześnie nałożyć administracyjną karę pieniężną, może także ograniczyć się do upomnienia lub nałożenia kary, stosując wówczas zasady jej wymiaru określone w art. 83 rozporządzenia. Nałożona kara upomnienia jest w ocenie Naczelnego Sądu Administracyjnego proporcjonalna i adekwatna do stopnia i charakteru naruszenia prawa.
Reasumując, przeprowadzona przez Sąd kasacyjny kontrola instancyjna zaskarżonego wyroku prowadzi do wniosku, że wyrok Sądu I instancji jest zgodny z prawem.
W świetle znaczenia konsekwencji wynikających z zasady dyspozycyjności obowiązującej w postępowaniu przed Naczelnym Sądem Administracyjnym, skarga kasacyjna nie mogła być więc uznana za usprawiedliwioną, a co za tym idzie i skuteczną. Brak zaangażowania autora skargi kasacyjnej w rzeczowe zakwestionowanie naruszenia przepisu prawa materialnego (art. 174 pkt 1 p.p.s.a) oraz brak wykazania, że naruszenie przepisów postępowania mogło mieć istotny wpływ na wynik sprawy (art. 174 pkt 2 p.p.s.a.) przekonały Naczelny Sąd Administracyjny o niezasadności skargi kasacyjnej.
Z tych względów Naczelny Sąd Administracyjny, na podstawie art. 184 p.p.s.a., orzekł, jak w sentencji wyroku.