III OSK 1065/23

III OSK 1065/23 - Wyrok NSA
Data orzeczenia
2024-11-21
orzeczenie prawomocne
Data wpływu
2023-05-17
Sąd
Naczelny Sąd Administracyjny
Sędziowie
Ewa Kwiecińska /przewodniczący/
Paweł Mierzejewski
Zbigniew Ślusarczyk /sprawozdawca/
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne
Ochrona danych osobowych
Sygn. powiązane
II SA/Wa 2215/20 - Wyrok WSA w Warszawie z 2021-05-21
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Uchylono zaskarżony wyrok i zaskarżoną decyzję
Powołane przepisy
Dz.U. 2019 poz 125
art. 31 ust. 1 pkt 5
Ustawa z 14 grudnia 2018 r. o ochronie danych osobowych przetwarzanych w związku z zapobieganiem i zwalczaniem przestępczości
Sentencja
Naczelny Sąd Administracyjny w składzie: Przewodniczący: sędzia NSA Ewa Kwiecińska Sędziowie sędzia NSA Zbigniew Ślusarczyk (spr.) sędzia del. WSA Paweł Mierzejewski po rozpoznaniu w dniu 21 listopada 2024 r. na posiedzeniu niejawnym w Izbie Ogólnoadministracyjnej skargi kasacyjnej M. F. od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 21 maja 2021 r. sygn. akt II SA/Wa 2215/20 w sprawie ze skargi M. F. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia 31 sierpnia 2020 r. nr ZSOŚS.440.259.2019.89546,89548 w przedmiocie umorzenia postępowania uchyla zaskarżony wyrok i zaskarżoną decyzję.
Uzasadnienie
Wojewódzki Sąd Administracyjny w Warszawie wyrokiem z 21 maja
2021 r., sygn. akt II SA/Wa 2215/20, wydanym po rozpoznaniu sprawy ze skargi M. F. na decyzję Prezesa Urzędu Ochrony Danych Osobowych
z dnia 31 sierpnia 2020 r. nr ZSOŚS.440.259.2019.89546,89548 w przedmiocie umorzenia postępowania, na podstawie art. 151 p.p.s.a. ustawy z 30 sierpnia
2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (Dz.U. z 2019r., poz. 2325 ze zm.), dalej "p.p.s.a.", oddalił skargę.
Wyrok został wydany w poniższym stanie faktycznym i prawnym.
M. F. wniósł skargę do Prezesa Urzędu Ochrony Danych Osobowych na bezprawne przetwarzanie jego danych osobowych przez Komendanta Głównego Policji, polegające na odmowie uwzględnienia wniosku o wykreślenie jego danych osobowych z rejestru policyjnego KSIP i KCIK. Jednocześnie skarżący wniósł
o wydanie decyzji nakazującej Komendantowi wykreślenie jego danych osobowych
z rejestru KSIP i KCIK oraz Centralnego Laboratorium Kryminalistycznego Policji. Skarżący podniósł, w szczególności, iż postanowieniem Prokuratora Rejonowego
[...] postępowanie karne prowadzone w związku z posiadaniem przez niego marihuany zostało wobec niego umorzone. Dodał, że nigdy nie został skazany prawomocnym wyrokiem Sądu.
Prezes Urzędu Ochrony Danych Osobowych (zwany dalej także jako: "Prezes") działając na podstawie art. 105 § 1 ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego (Dz. U. z 2020 r. poz. 256 ze zm., zwanej dalej także "k.p.a."), art. 5 ust. 1 pkt 6 w zw. z art. 12 ustawy z dnia 14 grudnia 2018 r. o ochronie danych osobowych przetwarzanych w związku z zapobieganiem i zwalczaniem przestępczości (Dz. U. z 2019 r., poz. 125, zwanej dalej: "ustawa z 14 grudnia 2018 r."), po przeprowadzeniu postępowania administracyjnego w sprawie skargi M. F. (zwanego dalej także jako: "skarżący" lub "strona skarżąca") na przetwarzanie jego danych osobowych przez Komendanta Głównego Policji (zwanego dalej jako: "Komendant") w Krajowym Systemie Informacyjnym Policji (KSIP) oraz Krajowym Centrum Informacji Kryminalnych (KCIK) - umorzył postępowanie.
Prezes ustalił, iż wobec skarżącego toczyło się postępowanie karne w związku z popełnieniem czynu zabronionego. W związku z tym właściwy organ Policji dokonał tzw. rejestracji procesowej, tj. wprowadził dane osobowe do zbioru danych KSP oraz KCIK jako o osobie podejrzanej o popełnienie przestępstwa ściganego z oskarżenia publicznego. Podkreślił, że właściwe organy przetwarzają dane osobowe wyłącznie w zakresie niezbędnym dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa. Podstawę prawną do przetwarzania danych osobowych osób, wobec których było prowadzone postępowanie przez organy Policji, stanowi art. 20 ust. 1 ustawy o Policji, zgodnie z którym Policja,
z zachowaniem ograniczeń wynikających z art. 19, może uzyskiwać informacje, w tym także niejawnie, gromadzić je, sprawdzać oraz przetwarzać. Organ podkreślił, że Policja może pobierać, uzyskiwać, gromadzić, przetwarzać i wykorzystywać w celu realizacji zadań ustawowych informacje, w tym dane osobowe - o osobach podejrzanych o popełnienie przestępstw ściganych z oskarżenia publicznego - także bez ich wiedzy i zgody (ust. 2a). W konsekwencji Prezes stwierdził brak podstaw do przyjęcia, iż doszło do bezprawnego przetwarzania danych osobowych skarżącego albowiem Komendant Główny Policji w sposób właściwy, adekwatny i zgodny z prawem dokonał zebrania i przetwarzania jego danych osobowych. W związku z tym, iż od samego początku nie miało miejsca naruszenie danych osobowych, Prezes postępowanie jako bezprzedmiotowe umorzył.
Skargę na powyższe rozstrzygnięcie do Wojewódzkiego Sądu Administracyjnego w Warszawie wywiódł skarżący. Wniósł o uwzględnienie skargi
i uchylenie zaskarżonej decyzji w całości.
Sąd I instancji uznał, że skarga podlega oddaleniu albowiem zaskarżona decyzja odpowiada prawu. Stwierdził, że według stanowiska skarżącego, prowadzone postępowanie karne z ustawy o przeciwdziałaniu narkomani zostało umorzone postanowieniem Prokuratora Rejonowego [...] z [...] stycznia 2017 r. "jeszcze na etapie postępowania przygotowawczego" i od daty zarejestrowania danych w rejestrze KSIP i KCIK upłynęło prawie 4 lata i od tego czasu nie miał żadnego konfliktu z prawem oraz "nie był przedmiotem żadnego postępowania karnego ani nawet przygotowawczego". Skarżący wskazał też, że zarówno Prezes UODO, jak i Komendant Główny Policji, nie wykazali w jaki sposób przetwarzanie danych w wymienionych rejestrach pomogło w zapobieganiu
i zwalczaniu przestępstw. Tym samym zaskarżona decyzja narusza przepis art. 26 ust. 1 ustawy o ochronie danych osobowych poprzez przyjęcie, że w sprawie brak jest podstaw do wydania decyzji nakazującej Komendantowi Głównemu Policji usunięcie danych osobowych skarżącego w KSIP i KCIK.
Sąd I instancji odmówił zasadności temu stanowisku. Wyjaśnił, że ustawa z 29 sierpnia 1997 r. o ochronie danych osobowych jest regulacją stwarzającą prawne podstawy stosowania ochrony państwowej w sytuacjach nielegalnego przetwarzania danych osobowych obywateli przez zarówno podmioty prawa publicznego, jak i podmioty prawa prywatnego, posługujące się ich danymi osobowymi. Powołany ustawowo dla ochrony danych osobowych organ może więc – w drodze decyzji administracyjnej – nakładać stosowne nakazy bądź zakazy, których zasadniczą rolą jest przywrócenie stanu zgodnego z prawem. Sąd przytoczył przy tym treść art. 1, art. 7 pkt 2 ustawy o ochronie danych osobowych oraz art. 31 ust. 3 Konstytucji RP i wyprowadził wniosek, że przy przetwarzaniu danych osobowych uwzględniać należy nie tylko prawo do ochrony prywatności zainteresowanego, ale także dopuszczalność pewnych ograniczeń wolności i praw obywatelskich, o ile mają służyć zapewnieniu bezpieczeństwa i porządku publicznego. Tym samym, ocena zasadności wniosku o nakazanie usunięcia danych osobowych – jak w przypadku rozstrzyganej sprawy - z KCIK i KSIP, musi uwzględniać nie tylko ochronę interesu indywidualnego skarżącego, ale także uwarunkowania wynikające z innych regulacji prawnych funkcjonujących w systemie prawa, (a nie tylko z ustawy o ochronie danych osobowych), jako że art. 31 ust. 3 ustawy zasadniczej wskazuje właśnie na ustawowe podstawy owych ograniczeń.
Odnosząc wprowadzone ograniczenia do rozpoznanej sprawy, Sąd zauważył, że zgodnie z art. 23 ust. 1 pkt 2 ww. ustawy o ochronie danych osobowych, przetwarzanie danych jest dopuszczalne tylko wtedy, gdy jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa. Przepis ten statuuje jedną z legalnych podstaw przetwarzania danych osobowych. Wiążąc treść tego przepisu z kompetencjami organów Policji w zakresie zapewniania bezpieczeństwa i porządku publicznego i łącząc te zadania z prawem tych organów do przetwarzania danych osobowych osób podejrzanych o popełnienie przestępstwa, a następnie skazanych prawomocnym wyrokiem sądu, jak również tych, wobec których skazanie uległo zatarciu, należy dojść do wniosku, że przetwarzanie danych osobowych skarżącego w Krajowym Systemie Informacyjnym Policji oparte jest na obowiązujących przepisach prawnych.
I tak, WSA w Warszawie za prawidłowe uznał powołanie przez Prezesa UODO przepisu art. 20 ust. 1 ww. ustawy o Policji, jako podstawy prawnej do przetwarzania danych osobowych osób, wobec których były prowadzone postępowania przez organy Policji. Zgodnie bowiem z tym przepisem Policja,
z zachowaniem ograniczeń wynikających z art. 19, może uzyskiwać informacje, w tym także niejawnie, gromadzić je, sprawdzać oraz przetwarzać. Policja może pobierać, uzyskiwać, gromadzić, przetwarzać i wykorzystywać w celu realizacji zadań ustawowych informacje, w tym dane osobowe – o osobach podejrzanych o popełnienie przestępstw ściganych z oskarżenia publicznego, nieletnich dopuszczających się czynów zabronionych przez ustawę jako przestępstw ściganych z oskarżenia publicznego, o osobach o nieustalonej tożsamości lub usiłujących ukryć swoją tożsamość, o osobach stwarzających zagrożenie, o których mowa w ustawie
z dnia 22 listopada 2013 r. o postępowaniu wobec osób z zaburzeniami psychicznymi stwarzających zagrożenie życia, zdrowia lub wolności seksualnej innych osób (Dz. U. z 2014 r. poz. 24) oraz o osobach poszukiwanych – także bez ich wiedzy i zgody (ust. 2a).
Z kolei, jak wyjaśnił dalej Sąd I instancji, w świetle art. 20 ust. 2b ww. ustawy
o Policji, gromadzone informacje, mogą obejmować: dane osobowe, o których mowa w art. 27 ust. 1 ww. ustawy o ochronie danych osobowych, z tym, że dane dotyczące kodu genetycznego wyłącznie o niekodujących regionach genomu, odciski linii papilarnych, zdjęcia, szkice i opisy wizerunku, cechy i znaki szczególne, pseudonimy, informacje o: miejscu zamieszkania lub pobytu, wykształceniu, zawodzie, miejscu
i stanowisku pracy oraz sytuacji materialnej i stanie majątku, dokumentach
i przedmiotach, którymi się posługują, sposobie działania sprawcy, jego środowisku
i kontaktach, sposobie zachowania się sprawców wobec osób pokrzywdzonych. Wspomnianych informacji nie pobiera się w przypadku, gdy nie mają one przydatności wykrywczej, dowodowej lub identyfikacyjnej w prowadzonym postępowaniu.
Sąd nie podzielił stanowiska z uzasadnienia skargi, wedle którego, niedopuszczalne jest "bezterminowe przechowywanie przez władze danych szczególnie wrażliwych", ponieważ przepisy ustawy o Policji ustalają okres przechowywania danych. Mianowicie zgodnie z art. 20 ust. 17 ustawy o Policji, dane osobowe zebrane w celu wykrycia przestępstwa przechowuje się przez okres niezbędny do realizacji ustawowych zadań Policji, przy czym organy Policji dokonują weryfikacji tych danych po zakończeniu sprawy, w ramach której dane te zostały wprowadzone do zbioru, a ponadto nie rzadziej niż co 10 lat od dnia uzyskania lub pobrania informacji, usuwając zbędne dane.
Sąd wyjaśnił ponadto, że integralną część wspomnianych regulacji stanowią akty wykonawcze do ustawy o Policji. Przytoczył przepisy rozporządzenia Ministra Spraw Wewnętrznych i Administracji z dnia 5 września 2007 r. w sprawie przetwarzania przez Policję informacji o osobach (Dz. U. Nr 107, poz. 1203), m.in. § 4 ust. 1, § 11 ust. 1 i ust. 2, a także rozporządzenia Ministra Spraw Wewnętrznych z dnia 31 grudnia 2012 r. w sprawie przetwarzania informacji przez Policję (Dz. U. z 2013 r. poz. 8), w tym jego § 10 ust. 1. Treść tego przepisu wskazuje, że do wykonywania czynności w zakresie pobierania, uzyskiwania, gromadzenia, sprawdzania, przetwarzania i wykorzystywania informacji, w tym danych osobowych, o których mowa w art. 20 ust. 2a i 2b ww. ustawy o Policji, prowadzi się w Policji Krajowy System Informacyjny Policji (KSIP) będący zestawem zbiorów danych przetwarzanych w systemach teleinformatycznych. W KSIP mogą być przetwarzane również informacje, w tym dane osobowe, do których gromadzenia, uzyskiwania i przetwarzania Policja jest uprawniona na podstawie odrębnych ustaw, jeżeli takie przetwarzanie przyczynia się do koordynacji informacji oraz efektywniejszej organizacji i realizacji ustawowych zadań Policji w zakresie wykrywania i ścigania sprawców przestępstw oraz zapobiegania przestępczości oraz jej zwalczania, a także ochrony życia i zdrowia ludzi (ust. 2).
W konsekwencji, Sąd I instancji uznał, że w świetle powyższych regulacji, wbrew poglądowi skarżącego, organy Policji są uprawnione do przetwarzania danych osób nie tylko skazanych prawomocnym wyrokiem sądu, jak również tych, wobec których skazanie uległo zatarciu, ale także podejrzanych o popełnienie przestępstwa. Realizowanie bowiem celu, jakim jest zapewnienie bezpieczeństwa i porządku publicznego przez organy Policji, wykazuje przesłankę niezbędności przetwarzania danych osobowych w Krajowym Systemie Informacyjnym Policji dla spełnienia obowiązku wynikającego z przepisu prawa (art. 1 ust. 2 ww. ustawy o Policji), co oznacza, że sam proces przetwarzania zawartych w tym zbiorze danych, również w odniesieniu do – jak to określa skarżący – "danych prowadzonych w związku z toczącym się uprzednio jedynie postępowaniem przygotowawczym, zakończonym następnie umorzeniem po 7 dniach", ma oparcie w legalnej przesłance przetwarzania danych, o której mowa w art. 23 ust. 1 pkt 2 ww. ustawy o ochronie danych osobowych. Zaznaczył, że kryterium niezbędności przetwarzania danych osobowych w KSIP musi być bowiem odnoszone do ustawowych zadań Policji, których realizowaniu mają służyć przepisy art. 20 ust. 1, ust. 2a i 2b w związku z art. 20 ust. 17 ww. ustawy o Policji.
Sąd dodał także, że – w jego ocenie – omówione uregulowania ustawowe gwarantują, aby mechanizm działania zasady proporcjonalności odbywał się
z poszanowaniem generalnych zasad konstytucyjnych, czyli zasady Państwa prawnego (art. 2 Konstytucji RP) i zasady legalizmu, wywodzonej z art. 7 ustawy zasadniczej. Sąd podzielił zatem pogląd Prezesa UODO, że przepisy art. 20 ust. 1, ust. 2a i 2b w związku z art. 20 ust. 17 ww. ustawy o Policji mieszczą się w granicach swobody regulacyjnej i odpowiadają zasadzie proporcjonalności i tym samym wspomniane ograniczenie wolności obywatelskiej nie narusza konstytucyjnej hierarchii dóbr. Zdaniem Sądu, prawo wspólnotowe Unii Europejskiej oraz orzecznictwo ETC również nie sprzeciwia się szczególnemu uregulowaniu kwestii przetwarzania danych osobowych przez Policję, niż wynika to z ogólnie obowiązujących przepisów o ochronie danych osobowych. Oznacza to, że art. 20 ust. 17 ustawy o Policji, wyklucza skuteczne stawianie Komendantowi Głównemu Policji, jako administratorowi danych zawartych w Krajowym Systemie Informacyjnym Policji, zarzutu, że w sposób bezprawny przechowuje pozyskane dane osobowe skarżącego w związku z faktem podejrzenia popełnienia w 2017 r. przestępstwa z ustawy
o narkomanii.
Sąd zwrócił uwagę, że z analizy akt sprawy, w tym wyjaśnień złożonych przez Komendanta Głównego Policji wynika, iż w stosunku do skarżącego dokonano wymaganych ustawą weryfikacji, tj. w 2017 r. po zakończeniu sprawy oraz ponownie w 2017 r. i w 2019 r. w związku ze skierowanymi wnioskami do Komendanta Głównego Policji o usuniecie danych z KSIP i skargą do PUODO na decyzję odmawiającą usunięcia danych, skarżącego z KSIP, przy czym w przypadku wniosku o usunięcie danych weryfikacji dokonano w szczególności pod kątem przesłanek z art. 51 ust. 4 Konstytucji RP oraz pod kątem legalności, w tym w zakresie przesłanek z uchylonego już, ale będącego podstawą przeprowadzenia weryfikacji danych osobowych skarżącego w 2017 r. i w styczniu 2019 r. art. 20 ust. 17 ustawy o Policji oraz obowiązującego obecnie art. 16 ustawy o ochronie danych osobowych przetwarzanych w związku z zapobieganiem i zwalczaniem przestępczości. Wskazany w treści obu przepisów, uchylonego i obowiązującego, dziesięcioletni okres obowiązkowej weryfikacji zgromadzonych danych jeszcze nie upłynął, nie zachodzą zatem ustawowe przesłanki do usunięcia danych skarżącego z KSIP.
Według WSA w Warszawie, weryfikacja danych osobowych, tak jak ich gromadzenie, uzyskiwanie i cały proces przetwarzania danych osobowych przez Policję, w tym przetwarzanie danych osobowych w KSIP, odbywa się bez wiedzy i zgody osoby, której dane dotyczą stosownie do przepisów art. 20 ust. 1d zdanie drugie ustawy o Policji. Z tego powodu jako prawidłowe Sąd uznał też stanowisko Prezesa UODO w zakresie braku podstaw do usunięcia danych skarżącego z zasobów KCIK. W tym zakresie Sąd przytoczył treść art. 6, art. 4 pkt 1, art. 13 ust. 1 pkt 5 lit. a, art. 14 ust. 1 ustawy o KCIK i tym samym za niezasadne uznał wskazane w skardze zarzuty naruszenia prawa materialnego tj. art. 26 ust. 1 ustawy o ochronie danych osobowych z dnia 29 sierpnia 1997r. przez jego błędną wykładnię i uznanie, że brak jest podstaw do wydania pozytywnej decyzji w przedmiocie uwzględnienia wniosku skarżącego o nakazanie Komendantowi Głównemu Policji usunięcie danych osobowych skarżącego w KSIP i KCIK.
W tym stanie rzeczy, wedle WSA w Warszawie, na gruncie regulacji zawartych w ustawie o ochronie danych osobowych oraz RODO brak było przepisu, który dawałby podstawę do wydania decyzji administracyjnej w sytuacji, gdy organ nie stwierdził naruszenia przepisów o ochronie danych osobowych, w tym w szczególności, brak było takiego przepisu, który dawałby podstawę do oddalenia skargi kierowanej do organu, czy też odmowy uwzględnienia żądania w nim wyrażonego, w sytuacji, gdy nieprawidłowości w ogóle nie wystąpiły. W tej sytuacji organ prawidło umorzył postępowanie, na podstawie art. 105 § 1 k.p.a., jako postepowanie bezprzedmiotowe.
Skargę kasacyjną od powyższego wyroku wniósł skarżący, reprezentowany przez radcę prawnego ustanowionego z urzędu. Skarżący kasacyjnie zaskarżył wyrok w całości. Na podstawie art. 176 § 1 pkt 3 w zw. z art. 188 p.p.s.a. wniósł o: 1) uchylenie, w całości, wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z 21 maja 2021r., 2) rozważenie przez Sąd uchylenia, w całości, decyzji Prezesa Urzędu Ochrony Danych Osobowych z 31 sierpnia 2020r., 3) przyznanie kosztów nieopłaconej pomocy prawnej świadczonej z urzędu, które nie zostały uiszczone w całości lub w części, na podstawie "art. 250 § 1 p.p.s.a." Z kolei, na podstawie art. 145 § 1 w zw. art. 193 p.p.s.a. wniósł o zobowiązanie Prezesa UODO do wydania w terminie 14 dni, od dnia zwrotu akt, decyzji nakazującej Komendantowi Głównemu Policji wykreślenie danych osobowych skarżącego z rejestru KSIP i KCIK oraz Centralnego Laboratorium Kryminalistycznego Policji. Oświadczył, że zrzeka się rozprawy.
Zaskarżonemu wyrokowi, na podstawie art. 174 pkt 1 p.p.s.a., zarzucił naruszenie prawa materialnego, tj. niewłaściwe zastosowanie:
1) art. 31 ust. 1 pkt 5 ustawy z 14 grudnia 2018 r. o ochronie danych osobowych przetwarzanych w związku z zapobieganiem i zwalczaniem przestępczości, polegające na błędnym przyjęciu, że brak jest podstaw do usunięcia danych osobowych ze zbioru KSIP na skutek nieuwzględnienia przesłanki "osiągnięcia przez administratora celu przetwarzania danych osobowych", przy jednoczesnym braku uzasadnienia:
a) jaki konkretnie cel determinuje dalsze przetwarzanie danych osobowych w KSIP;
b) w jaki sposób przetwarzanie danych osobowych przyczynia się do realizacji któregokolwiek z zadań określonych w art. 1 ust. 2 ustawy o Policji;
c) w jaki sposób ocena kryminalistyczna może ostatecznie doprowadzić do wykluczenia możliwości popełnienia przez skarżącego w przyszłości czynu zabronionego oraz
d) nieuprawnionej polemice w zakresie, w jakim Prezes UODO odwołuje się do "dokonywania dalszych prognoz kryminologicznych", której to oceny dokonał Prokurator Rejonowy [...] umarzając dochodzenie;
2) art. 25 pkt 3 ustawy z 6 lipca 2001 r. o przetwarzaniu informacji kryminalnych, polegające na błędnym przyjęciu, że aktualny - w odniesieniu do M.F. jest cel przetwarzania danych osobowych ze zbioru KCIK, tj. dane są istotne z punktu widzenia czynności operacyjno-rozpoznawczych lub postępowania karnego, w sytuacji gdy w toku prowadzonego postępowania Komendant Główny Policji nie wykazał w jaki sposób przetwarzanie danych skarżącego przyczyniło się do realizacji któregokolwiek z tych zadań.
Natomiast, na podstawie art. 174 pkt 2 p.p.s.a., skarżący kasacyjnie zarzucił naruszenie przepisów postępowania mogące mieć istotny wpływ na wynik sprawy, tj. art. 151 p.p.s.a. w zw. z art. 105 § 1 k.p.a., polegające na błędnej ocenie, iż postępowanie administracyjne zainicjowane wnioskiem skarżącego było bezprzedmiotowe, w sytuacji gdy istniał przedmiot postępowania, zaś w ocenie organu nie zostały spełnione ustawowe przesłanki uwzględnienia żądania zgłoszonego we wniosku wszczynającym postępowanie administracyjne, co doprowadziło do oddalenia skargi w sytuacji kiedy winna ona zostać uwzględniona.
W odpowiedzi na skargę kasacyjną Prezes UODO wniósł o jej oddalenie. Uzasadniając złoży wniosek procesowy stwierdził, że dane osobowe skarżącego zostały pozyskane przez organy Policji zgodnie z prawem i tak też są przetwarzane w zbiorach KSIP i KCIK. Organy Policji zobowiązane są do oceny przydatności zebranych danych, co implikuje pozostawienie w KSIP i KCIK danych skarżącego. Natomiast, jeśli dane o osobie zawarte w zbiorze stają się nieprzydatne do celów prewencyjnych, dowodowych czy wykrywczych, to organ Policji może zdecydować o ich usunięciu w wyniku oceny, o której mowa w § 29 rozporządzenia Ministra Spraw Wewnętrznych i Administracji z 24 sierpnia 2018 r. Jednocześnie podtrzymał dotychczas zajęte stanowisko w sprawie.
Naczelny Sąd Administracyjny zważył, co następuje:
Stosownie do art. 183 § 1 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (t.j. Dz. U. z 2024 r., poz. 935) zwanej dalej p.p.s.a., Naczelny Sąd Administracyjny rozpoznaje sprawę w granicach skargi kasacyjnej, biorąc pod rozwagę z urzędu jedynie nieważność postępowania. W rozpoznawanej sprawie nie zachodzi żadna z okoliczności skutkujących nieważnością postępowania, o jakich mowa w art. 183 § 2 p.p.s.a. i nie zachodzi żadna z przesłanek, o których mowa w art. 189 p.p.s.a., które Naczelny Sąd Administracyjny rozważa z urzędu dokonując kontroli zaskarżonego skargą kasacyjną wyroku. W tych okolicznościach w sprawie badaniu podlegały wyłącznie zarzuty podniesione w skardze kasacyjnej na uzasadnienie przytoczonych podstaw kasacyjnych.
Na wstępie wyjaśnić należy, że skarżący przedmiotem skargi do Prezesa Urzędu Ochrony Danych Osobowych uczynił odmowę usunięcia przez Komendanta Głównego Policji jego danych osobowych przetwarzanych w Krajowym Systemie Informacyjnym Policji (KSIP) i Krajowym Centrum Informacji Kryminalnych (KCIK). Skarżący nie kwestionował uprawnienia organu Policji do wprowadzenia do tych systemów jego danych osobowych w związku z podejrzeniem popełnienie przez niego przestępstwa z art. 62 ustawy o przeciwdziałaniu narkomanii. Jednak według skarżącego, w związku z umorzeniem postępowania przygotowawczego przez prokuratora, cel przetwarzania jego danych osobowych został zrealizowany. Wobec tego dalsze przetwarzanie jego danych osobowych uważa za zbędne, bowiem odbywa się z naruszeniem przepisów obowiązującego prawa, zatem należy jej usunąć.
W tej sytuacji istota sprawy sprowadza się do ustalenia okoliczności, które według Komendanta Głównego Policji uprawniają go do dalszego przetwarzania danych osobowych skarżącego i oceny tych okoliczności z punktu widzenia przepisów zobowiązujących tegoż Komendanta do usunięcia z KSIP i KCIK danych osobowych skarżącego przetwarzanych niezgodnie z celami wskazanymi w obowiązujących przepisach prawa. Trzeba też zaznaczyć, że przetwarzanie danych osobowych w KSIP i w KCIK, w tym ich usunięcie, jest regulowane przez odrębne przepisy prawa, zatem konieczne jest dokonanie odrębnej oceny żądania usunięcia danych z tych dwóch systemów informacyjnych.
Należy również wyjaśnić, że będąca przedmiotem kontroli sądowej decyzja Prezesa Urzędu Ochrony Danych Osobowych w przedmiocie umorzenia postępowania w sprawie przetwarzania danych osobowych została wydana w 31 sierpnia 2020 r. Zgodnie z zasadą aktualności obowiązującą na gruncie prawa administracyjnego organ administracyjny bierze pod uwagę stan faktyczny i stan prawny sprawy na moment orzekania. W konsekwencji również sądy administracyjne dokonują kontroli prawidłowości wydania zaskarżonej decyzji (ustalenia stanu faktycznego i prawnego sprawy) na dzień jej wydania, a nie na dzień wyrokowania. Sądy administracyjne nie stanowią bowiem drugiej lub trzeciej instancji administracyjnej i nie rozpatrują sprawy administracyjnej określając treść stosunku administracyjnoprawnego, lecz jedynie sprawują kontrolę działalności administracji publicznej i stosują środki określone w ustawie. Uwaga ta jest o tyle istotna, że zarówno organ w zaskarżonej decyzji jak i Sąd I instancji w uzasadnieniu zaskarżonego wyroku powołali się na szereg aktów prawnych i zawartych w nich przepisów, które nie obowiązywały już w momencie wydania zaskarżonej decyzji, między innymi art. 20 ust. 2a, ust. 2ac, ust. 17 ustawy o Policji, ustawę o ochronie danych osobowych z 29 sierpnia 1997 r., rozporządzenie Ministra Spraw Wewnętrznych i Administracji z 5 września 2007 r. w sprawie przetwarzania informacji przez Policję, rozporządzenie Ministra Spraw Wewnętrznych z 31 grudnia 2012 r. w sprawie przetwarzania informacji przez Policję, rozporządzenie Ministra Spraw Wewnętrznych z 24 sierpnia 2018 r. w sprawie przetwarzania informacji przez Policję. Zatem przepisy te nie mogły być podstawą oceny zasadności żądania usunięcia danych osobowych z KSIP i KCIK. Podstawą tej oceny powinny być przepisy ustawy z 14 grudnia 2018 r. o ochronie danych osobowych przetwarzanych w związku z zapobieganiem i zwalczaniem przestępczości (Dz. U. z 2019 r. poz. 125), ustawy z 6 lipca 2001 r. o gromadzeniu, przetwarzaniu i przekazywaniu informacji kryminalnych (błędnie nazywanej przez organ w zaskarżonej decyzji, Sąd I instancji a także przez autora skargi kasacyjnej jako ustawa o przetwarzaniu informacji kryminalnych) (Dz. U z 2019 r. poz. 44) – dalej ustawa z 6 lipca 2001 r., ustawa z 6 kwietnia 1990 r o Policji (Dz. U. z 2019 r. poz. 161 ze zm.) i ustawa z 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2018 r. poz. 1000) - oczywiście w brzmieniu z 31 sierpnia 2020 r.
Przechodząc do merytorycznej oceny zarzutów kasacyjnych, stwierdzić należy zasadność zarzutu naruszenia art. 31 ust. 1 pkt 5 ustawy z 14 grudnia 2018 r. o ochronie danych osobowych przetwarzanych w związku z zapobieganiem i zwalczaniem przestępczości (Dz. U. z 2019 r. poz. 125) - dalej ustawa z 14 grudnia 2018 r. Zdaniem Naczelnego Sądu Administracyjnego Sąd I instancji błędnie przyjął, że Prezes UODO wykazał w zaskarżonej decyzji, że przetwarzanie przez Komendanta Głównego Policji danych osobowych skarżącego w KSIP jest niezbędne dla realizacji wskazanych celów ich przetwarzania w rozumieniu art. 31 ust. 1 pkt 5 ustawy z 14 grudnia 2018 r. o ochronie danych osobowych przetwarzanych w związku z zapobieganiem i zwalczaniem przestępczości.
Prezes UODO jest organem nadzorczym w zakresie przetwarzania danych osobowych. Ustawodawca przyznał Prezesowi UODO prawo do dokonania oceny zgodności działań organów Policji z przepisami w zakresie ochrony danych osobowych. W art. 5 ust. 1 pkt 1-12 ustawy z dnia 14 grudnia 2018 r. o ochronie danych osobowych przetwarzanych w związku z zapobieganiem i zwalczaniem przestępczości zostały enumeratywnie wymienione zadania Prezesa UODO, wśród których, oprócz szeroko rozumianych czynności związanych z monitorowaniem i egzekwowaniem przepisów tej ustawy, do zadań Prezesa UODO należy również rozpatrywanie skarg osób, których dane osobowe są przetwarzane niezgodnie z prawem i prowadzenie postępowań w tym zakresie (art. 5 ust. 1 pkt 6). Organ ten był zatem uprawniony do dokonania własnej, autonomicznej oceny, czy przetwarzanie danych osobowych skarżącego, wprowadzonych do KSIP w ramach postępowania karnego prowadzonego wobec niego w sprawie o czyn wypełniający znamiona przestępstwa określonego w art. 62 ust. 1 ustawy o przeciwdziałaniu narkomanii zakończonego prawomocnym postanowieniem Prokuratora Rejonowego [...] z [...] lipca 2017 r. o umorzeniu dochodzenia w sprawie o sygn. akt [...], jest zgodne z prawem, a w szczególności z art. 13 ust. 1 ustawy z 14 grudnia 2018 r., który stanowi, że właściwe organy przetwarzają dane osobowe wyłącznie w zakresie niezbędnym dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa. Wprawdzie art. 16 ustawy z 14 grudnia 2018 r. przewiduje, że weryfikacja danych osobowych w celu ustalenia, czy istnieją dane, których dalsze przechowywanie jest zbędne, stanowi zadanie administratora danych, który, stosownie do art. 31 ust. 1 pkt 5 tej ustawy zapewnia, aby dane osobowe były przechowywane w formie umożliwiającej identyfikację osób, których dane dotyczą, przez okres nie dłuższy, niż jest to niezbędne do celów ich przetwarzania, jednakże Prezes UODO w ramach swoich kompetencji ma obowiązek kontroli stosowania i przestrzegania przepisów ustawy z 14 grudnia 2018 r., w tym również przez organy Policji. W ramach tej kontroli ustawodawca przyznał Prezesowi UODO prawo do dokonania oceny zgodności działań organów Policji z przepisami w zakresie ochrony danych osobowych. Prezes UODO ma prawo do kontrolowania przetwarzania danych osobowych - przetwarzanych w szeroko rozumianym zakresie zwalczania przestępczości - z zachowaniem przepisów ustawy, tj. art. 8 ust. 3 ustawy z 14 grudnia 2018 r. (J. Kudła, Ochrona danych osobowych przetwarzanych w związku z zapobieganiem i zwalczaniem przestępczości - zagadnienia szczegółowe, LEX/el. 2018).
Ustawa z 14 grudnia 2018 r., mająca zastosowanie również do danych osobowych przetwarzanych przez organy Policji, zapewnia osobie, której dane osobowe są przetwarzane w celu określonym w art. 1 tej ustawy, szereg uprawnień pozwalających na skuteczną ochronę jej praw oraz gwarantują jej odpowiednie środki ochrony prawnej. Osoba taka powinna mieć możliwość realnego wykonywania przysługujących jej praw, zaś przyznane na mocy ww. ustawy uprawnienia nie powinny mieć charakteru iluzorycznego. W art. 16 ust. 2 dyrektywy 2016/680 UE (RODO) oraz w art. 24 ust. 1 pkt 2 implementującej ją ustawy z 14 grudnia 2018 r. zostały zagwarantowane między innymi prawa osoby, której dane dotyczą, do usunięcia jej danych osobowych - w przypadku, gdy dane te zostały zebrane lub są przetwarzane z naruszeniem przepisów ustawy. Podkreślenia wymaga, że z wnioskiem o usunięcie danych, w świetle ww. przepisu art. 24 ust. 1 pkt 2, osoba, której dane dotyczą może wystąpić w każdym czasie, zaś administrator zobowiązany jest ocenić w związku z wpłynięciem tego wniosku, czy zachodzą podstawy do usunięcia danych i poinformować o wyniku tej oceny osobę, która wniosek złożyła. Zgodnie z art. 24 ust. 2 ustawy z 14 grudnia 2018 r. uwzględniając wniosek, o którym mowa w ust, 1, administrator bez zbędnej zwłoki odpowiednio uzupełnia, aktualizuje lub sprostowuje dane osobowe albo dokonuje ich usunięcia.
Wymaga także podkreślenia, że obowiązkiem administratora - w niniejszym postępowaniu Komendanta Głównego Policji - jest, zgodnie z art. 31 ust. 1 ustawy z 14 grudnia 2018 r., zapewnienie, aby dane osobowe były: 1) przetwarzane zgodnie z prawem i rzetelnie oraz przy zastosowaniu niezbędnych środków technicznych i organizacyjnych, uwzględniając charakter, zakres, kontekst i cele przetwarzania oraz ryzyko naruszenia praw lub wolności osób fizycznych o różnym prawdopodobieństwie i wadze zagrożenia; 2) przetwarzane w konkretnych i uzasadnionych celach; 3) adekwatne, stosowne i nienadmierne do celów, dla których są przetwarzane; 4) prawidłowe i w razie potrzeby uaktualniane; 5) przechowywane w formie umożliwiającej identyfikację osób, których dane dotyczą, przez okres nie dłuższy, niż jest to niezbędne do celów ich przetwarzania.
Jeżeli dane osobowe są nieprawidłowe - w świetle celów ich przetwarzania - administrator podejmując wszelkie działania jest obowiązany do niezwłocznego ich usunięcia lub sprostowania (art. 31 ust. 2 ustawy z 14 grudnia 2018 r.). Warunek ograniczenia przechowywania danych osobowych został określony w ww. art. 31 ust. 1 pkt 5 ustawy z 14 grudnia 2018 r. Ponadto, zgodnie z art. 16 tej ustawy administrator dokonuje weryfikacji danych osobowych w terminach określonych przez przepisy szczególne, regulujące działania właściwego organu, a jeżeli przepisy te nie określają terminu - nie rzadziej niż co 10 lat od dnia zebrania, uzyskania, pobrania lub aktualizacji danych (ust. 1). Weryfikacja dokonywana jest w celu ustalenia, czy istnieją dane, których dalsze przechowywanie jest zbędne. Zbędne dane usuwa się, z zastrzeżeniem art. 17 (ust. 2). Za zbędne dane należy uznać takie, które nie są już przydatne w świetle celów wyrażonych w art. 1 pkt 1 ustawy z 14 grudnia 2018 r. Warunek ograniczenia przechowywania uniemożliwia bezterminowe przechowywanie danych w przypadku osiągnięcia celu, w którym zostały zebrane. Bezterminowe przechowywanie danych osobowych mogłoby bowiem powodować naruszenie zasad przetwarzania, takich jak adekwatność, minimalizacja danych, związanie celem, rzetelność przetwarzania, a także prawidłowości danych. Powyższe sprawia, że dokonując weryfikacji danych osobowych administrator musi dokonać uprzednio dokładnej analizy stanu faktycznego pod kątem zapewnienia przetwarzania danych osobowych zgodnie z określonymi w ustawie z 14 grudnia 2018 r. zasadami ich przetwarzania. Dane osobowe, które są nieprawidłowe w świetle celów ich przetwarzania, muszą zostać niezwłocznie usunięte. Należy wskazać, że okres przechowywania danych osobowych nie powinien być dłuższy, niż jest to niezbędne do osiągnięcia przez administratora celu ich przetwarzania. Dane osobowe nie muszą być usunięte w najkrótszym terminie wyrażonym ogólnie, lecz najkrótszym w odniesieniu do celu zbierania danych (Grzelak A., Ochrona danych osobowych we współpracy państw członkowskich w zwalczaniu przestępczości. W stronę standardu europejskiego, Warszawa 2015, s. 399).
Zatem przepis art. 16 ustawy z 14 grudnia 2018 r., który nakłada na administratora danych obowiązek przeprowadzenia weryfikacji danych znajdujących się w jego dyspozycji nie rzadziej niż co 10 lat od dnia zebrania, uzyskania, pobrania lub aktualizacji danych, należy rozumieć w ten sposób, że weryfikacji administrator jest obowiązany dokonywać nie później niż po upływie 10 lat, co oznacza, że termin weryfikacji może nastąpić również wcześniej, zaś w przypadku złożenia wniosku o usunięcie danych przed upływem 10 lat musi nastąpić wcześniej.
Odnosząc się do oceny przez organ przesłanki zbędności danych z punktu widzenia realizacji przez Policję jej ustawowych zadań, należy zwrócić uwagę, że przepisy ustawy o Policji są na tyle ogólne, że biorąc tylko je pod uwagę, możliwe byłoby zakwalifikowanie wszystkich zebranych przez Policję danych osobowych jako niezbędnych dla realizacji jej zadań, co umożliwiałoby bezterminowe przechowywanie danych pomimo osiągnięcia celu, w którym zostały zebrane. Tymczasem kluczowym wyznacznikiem dla oceny dopuszczalności przetwarzania danych osobowych w KSIP jest - jak wspomniano - cel gromadzenia określonych informacji, co determinuje konieczność dokonywania każdorazowej, zindywidualizowanej oceny wniosków o usunięcie danych z tego zbioru. Ustalenie celu, w jakim dane są przetwarzane, kształtuje okres, przez jaki dane mogą być przetwarzane. Przy czym cel musi zostać określony konkretnie i musi być zasadny w świetle realizacji ustawowych zadań Policji, a nie określony w sposób ogólnikowy. Natomiast w przypadku ustania celu, dla którego dane są przetwarzane, niezbędne jest ich usunięcie.
Analiza zaskarżonej decyzji wskazuje, że Prezes UODO, nie poczynił ustaleń, dających mu podstawy aby przyjąć, że Komendant Główny Policji uzasadnił jaki konkretnie cel determinuje dalsze przetwarzanie danych osobowych skarżącego w KSIP w związku z prowadzonym przeciwko niemu i zakończonym umorzeniem postępowaniem karnym w sprawie o czyn z art. 62 ust. 1 ustawy o przeciwdziałaniu narkomanii. Nie wykazał bowiem, w jaki sposób przetwarzanie jego danych osobowych przyczynia się do realizacji któregokolwiek z zadań określonych w art. 1 ust. 2 ustawy o Policji. W zaskarżonej decyzji organ nadzorczy nie powołał się na żadne konkretne, zindywidualizowane okoliczności, które świadczyłyby o tym, że dalsze przetwarzanie danych osobowych skarżącego jest niezbędne z punktu widzenia realizacji ustawowych zadań Policji. Uzasadnienie zaskarżonej decyzji zawiera jedynie ogólne rozważania dotyczące zadań Policji, bez odwołania się do realiów niniejszej sprawy. Innymi słowy, organ nie wyjaśnia, z jakiej konkretnie przyczyny uważa dalsze przetwarzanie danych osobowych strony za niezbędne z punktu widzenia powoływanych w przepisach celów. Podkreślić tu należy, że organ w ogóle nie dokonał oceny przesłanek przedstawionych przez Komendanta Głównego Policji przemawiających według niego za niezbędnością dalszego przetwarzania danych osobowych skarżącego. Nie było wystarczające przytoczenie szeregu przepisów, w tym nieobowiązujących w chwili wydania zaskarżonej decyzji i ogólnikowe zaakceptowanie stanowiska Komendanta Głównego Policji.
Należało zatem przyjąć, że Prezes UODO nie wykazał zaistnienia w stosunku do konkretnego przypadku, tj. w odniesieniu do wniosku skarżącego o usunięcie jego danych osobowych z KSIP, wystąpienia przesłanek uzasadniających niezbędność dalszego przetwarzania jego danych osobowych w KSIP.
Niewykazanie przez organ celu przetwarzania danych osobowych skarżącego w KSIP może prowadzić do stwierdzenia, że dalsze przetwarzanie jego danych osobowych odbywa się z naruszeniem art. 13 oraz art. 31 ust. 1 pkt 5 ustawy z 14 grudnia 2018 r. o ochronie danych osobowych przetwarzanych w związku z zapobieganiem i zwalczaniem przestępczości, co wymagać będzie nakazania przywrócenia stanu zgodnego z prawem w tym zakresie, w oparciu o art. 8 ust. 2 pkt 5 tej ustawy.
Zasadny jest również zarzut naruszenia art. 25 pkt 3 ustawy z 6 lipca 2001 r. o gromadzeniu, przetwarzaniu i przekazywaniu informacji kryminalnych, ponieważ Sąd I instancji niezasadnie uznał, że Prezes UODO w zaskarżonej decyzji trafnie przyjął, że aktualny w odniesieniu do skarżącego jest cel przetwarzania jego danych osobowych w zbiorze KCIK, tj. dane są istotne z punktu widzenia czynności operacyjnych, w sytuacji nieustalenia w jaki sposób przetwarzanie danych skarżącego przyczyni się do realizacji tego celu.
Stosownie do treści art. 4 ust. 1 ustawy z 6 lipca 2001 r. przez informacje kryminalne należy rozumieć określone w art. 13 ust. 1 tej ustawy dane dotyczące spraw będących przedmiotem czynności operacyjno-rozpoznawczych, wszczętego lub zakończonego postępowania karnego, w tym postępowania w sprawach o przestępstwa skarbowe, oraz dotyczące innych postępowań lub czynności prowadzonych na podstawie ustaw przez podmioty określone w art. 19 i 20, istotnych z punktu widzenia czynności operacyjno-rozpoznawczych lub postępowania karnego. Natomiast w art. 25 ustawy z 6 lipca 2001 r. określono przypadki, w których informacje kryminalne podlegają usunięciu z baz danych, wskazując między innymi sytuację gdy "ustał cel ich gromadzenia" (pkt 3). Organ analizując przesłanki z art. 25 ustawy z 6 lipca 2001 r. usunięcia danych z KCIK, na gruncie niniejszej sprawy stwierdził, iż żadna z nich nie została spełniona. Aktualność calu przetwarzania danych w KCIK należy oceniać przy uwzględnieniu treści zacytowanego art. 4 ust. 1 ustawy z 6 lipca 2001 r. tj. dane mają być istotne z punktu widzenia czynności operacyjno–rozpoznawczych lub postępowania karnego. Z uzasadnienia zaskarżonej decyzji wynika, że organ uznał, iż "przepisy ustawy o Policji (w tym nieobowiązujący w dniu wydania decyzji art. 20 ust. 2a ustawy o Policji - dopisek NSA) i ustawy o przetwarzaniu informacji kryminalnych zezwalają na gromadzenie danych w celach operacyjnych" tj. w KCIK. Jednak nie wykazał w jaki sposób przetwarzanie informacji kryminalnych dotyczących skarżącego jest istotne z punktu widzenia czynności operacyjnych. Zatem stanowisko organu w tym zakresie jest gołosłowne. Organ nie wykazał także jakichkolwiek okoliczności, które miałyby wskazywać, że celem dalszego przetwarzania danych skarżącego w KCIK jest realizacja zadań ustawowych Policji. W rezultacie należy stwierdzić, że Prezes UODO nie wykazał w zaskarżonej decyzji, że zachodzą przesłanki do niezastosowania art. 25 pkt 3 ustawy z 6 lipca 2001 r.
Dodatkowo należy tu zauważyć, że w kwestii przetwarzania danych osobowych przez Policję wypowiedział się Europejski Trybunał Sprawiedliwości, który w wyroku z 4 grudnia 2008 r. (sygn. 30562/04 i 30566/04) stwierdził, iż bezterminowe przechowywanie przez władze danych szczególnie wrażliwych jest niedopuszczalne w demokratycznym społeczeństwie i prowadzi do naruszenia art. 8 Europejskiej Konwencji Praw Człowieka, stanowiącego o prawie do ochrony życia prywatnego. Trybunał wskazał również, że prawo krajowe powinno zawierać odpowiednie mechanizmy ochronne w celu zapobieżenia takiego wykorzystania informacji osobistych, które naruszałoby art. 8 Konwencji. Trybunał podniósł, iż potrzeba takiej ochrony wzrasta, gdy ma się do czynienia z procesem automatycznego przetwarzania danych, a wykorzystywanie ich do celów policyjnych nie może być usprawiedliwieniem mniejszej ochrony.
Z uwagi na powyższe, co najmniej przedwczesne było zastosowanie art. 105 § 1 k.p.a. i umorzenie postępowania administracyjnego w przedmiocie odmowy usunięcia przez Komendanta Głównego Policji danych osobowych skarżącego przetwarzanych w zbiorach KSIP i KCIK.
Mając na uwadze powyższe wywody, Naczelny Sąd Administracyjny uznał, że skarga kasacyjna ma usprawiedliwione podstawy, dlatego na mocy art. 188 p.p.s.a. uchylił zaskarżony wyrok i uznając, że istota sprawy jest dostatecznie wyjaśniona rozpoznał skargę.
Z powyższych wywodów wynika, że Sąd I instancji nie dostrzegł naruszeń prawa materialnego przez Prezesa UODO, dlatego Naczelny Sąd Administracyjny na podstawie art. 145 § 1 pkt 1 lit. a) p.p.s.a. uwzględnił skargę i uchylił zaskarżoną decyzję.
Prezes UODO ponownie rozpoznając sprawę, stosownie do treści art. 153 p.p.s.a. zastosuje się do oceny prawnej wskazanej przez NSA i wynikających z niej wskazań co do dalszego postępowania.
Naczelny Sąd Administracyjny nie orzekł w wyroku o przyznaniu pełnomocnikowi skarżącego wynagrodzenia za pomoc prawną udzieloną na zasadzie prawa pomocy, gdyż przepisy art. 209 i 210 p.p.s.a. mają zastosowanie tylko do kosztów postępowania między stronami. Natomiast wynagrodzenie dla pełnomocnika ustanowionego z urzędu za wykonaną pomoc prawną, należne od Skarbu Państwa (art. 250 p.p.s.a.) przyznawane jest przez wojewódzki sąd administracyjny w postępowaniu określonym w art. 254 § 1 i art. 258-261 p.p.s.a.