III OSK 1395/22

III OSK 1395/22 - Wyrok NSA
Data orzeczenia
2025-09-09
orzeczenie prawomocne
Data wpływu
2022-06-06
Sąd
Naczelny Sąd Administracyjny
Sędziowie
Zbigniew Ślusarczyk /przewodniczący/
Artur Kuś /sprawozdawca/
Maciej Kobak
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne
Ochrona danych osobowych
Sygn. powiązane
II SA/Wa 2286/21 - Wyrok WSA w Warszawie z 2022-02-25
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Oddalono skargę kasacyjną
Powołane przepisy
Dz.U. 2024 poz 935
art.184
Ustawa z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (t. j.)
Sentencja
Naczelny Sąd Administracyjny w składzie: Przewodniczący: sędzia NSA Zbigniew Ślusarczyk Sędziowie: sędzia NSA Artur Kuś (spr.) sędzia del. WSA Maciej Kobak Protokolant: asystent sędziego Anna Krupa po rozpoznaniu w dniu 9 września2025 r. na rozprawie w Izbie Ogólnoadministracyjnej skargi kasacyjnej [...] S. A. z siedzibą w [...] od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z 25 lutego 2022 r. sygn. akt II SA/Wa 2286/21 w sprawie ze skargi M. S. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z 15 kwietnia 2021 r. nr DS.523.4269.2020.AZ.I/120225 w przedmiocie umorzenia postępowania oddala skargę kasacyjną.
Uzasadnienie
Wojewódzki Sąd Administracyjny w Warszawie wyrokiem z 25 lutego 2022 r. sygn. akt II SA/Wa 2286/21 po rozpoznaniu sprawy ze skargi M. S. (dalej: "skarżący") na decyzję Prezesa Urzędu Ochrony Danych Osobowych (dalej: "PUODO", "organ") z 15 kwietnia 2021 r. nr DS.523.4269.2020.AZ. 1/120225 w przedmiocie umorzenia postępowania w pkt 1 uchylił zaskarżoną decyzję, w pkt 2 zasądził od PUODO na rzecz skarżącego M. S. kwotę 200 zł tytułem zwrotu kosztów postępowania.
W uzasadnieniu wyroku Sąd I instancji przyjął następujące okoliczności faktyczne i prawne.
Skarżący wniósł do PUODO skargę na nieprawidłowości w procesie przetwarzania jego danych osobowych przez Ministra Cyfryzacji oraz Pocztę Polską S.A. z siedzibą w Warszawie.
Skarżący podniósł, że 22 kwietnia 2020 r. Minister Cyfryzacji przekazał jego dane zawarte w rejestrze PESEL Poczcie Polskiej S.A., uzasadniając to koniecznością realizacji zadań związanych z organizacją wyborów prezydenckich wyznaczonych na 10 maja 2020 r.
Zdaniem skarżącego, podstawą przetwarzania jego danych osobowych nie mogła być powołana przez Ministra Cyfryzacji decyzja z 16 kwietnia 2020 r. (znak: BPRM.4820.2.3.2020), którą Prezes Rady Ministrów polecił Poczcie Polskiej S.A. z siedzibą w Warszawie podjęcie niezbędnych czynności zmierzających do przygotowania przeprowadzenia wyborów Prezydenta Rzeczypospolitej Polskiej w 2020 r., w trybie korespondencyjnym, ponieważ podstawa taka musi wynikać z przepisów rangi ustawowej. Źródłem obowiązków operatora wyznaczonego, dotyczących realizacji zadań związanych z organizacją wyborów Prezydenta Rzeczypospolitej Polskiej nie jest polecenie (decyzja czy inne rozstrzygnięcie) jakiegokolwiek organu administracji rządowej (o którym mowa w art. 11 ust. 2 ustawy z 2 marca 2020 r. o szczególnych rozwiązaniach związanych z zapobieganiem, przeciwdziałaniem i zwalczaniem COVID-19, innych chorób zakaźnych oraz wywołanych nimi sytuacji kryzysowych (Dz.U. z 2020 r., poz. 374, dalej: "ustawa covidowa"), w brzmieniu obowiązującym od 31 marca do 18 kwietnia 2020 r. Co więcej, z art. 99 ustawy z dnia 16 kwietnia 2020 r. o szczególnych instrumentach wsparcia w związku z rozprzestrzenianiem się wirusa SARS-CoV-2 (Dz.U. z 2020 r., poz. 695, dalej: "ustawa SARS") wynika, że nałożenie obowiązków na operatora pocztowego przez organy administracji rządowej mogło dotyczyć wyłącznie obowiązków innych niż te związane z organizacją wyborów prezydenckich.
PUODO, w oparciu o pisma Ministra Cyfryzacji z 20 października 2020 r. oraz Poczty Polskiej S.A. z 22 października 2020 r. ustalił, że 20 kwietnia 2020 r. Poczta Polska S.A., powołując się na art. 99 ustawy SARS oraz decyzję Prezesa Rady Ministrów z 16 kwietnia 2020 r., wystąpiła do Ministerstwa Cyfryzacji o przekazanie w formie elektronicznej danych z rejestru PESEL, w związku z organizacją wyborów powszechnych na Prezydenta Rzeczypospolitej Polskiej zarządzonych na 10 maja 2020 r. W dniu 22 kwietnia 2020 r. Minister Cyfryzacji przekazał Poczcie Polskiej S.A. m. in. dane osobowe skarżącego w następującym zakresie: imię (imiona), nazwisko, numer PESEL, aktualny adres zameldowania na pobyt stały. W związku z ustaniem celu przetwarzania danych osobowych (tj. przygotowywaniem Poczty Polskiej S.A. do wyborów), Poczta polska S.A. w dniach 15-22 maja 2020 r. trwale usunęła wszystkie dane osobowe pozyskane z rejestru PESEL (oświadczenie Poczty Polskiej S.A. z 26 maja 2020 r. skierowane do Ministra Cyfryzacji, protokoły komisyjnego zniszczenia z 15 i 20 maja 2020 r.).
W tych okolicznościach faktycznych i prawnych PUODO decyzją z 15 kwietnia 2021 r. nr DS.523.4269.2020.AZ.I/120225, wydaną na podstawie art. 105 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2021 r. poz. 735 ze zm., dalej: "k.p.a.") oraz art. 7 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz.U. z 2019 r., poz. 1781), umorzył postępowanie zainicjowane skargą M. S. na nieprawidłowości w procesie przetwarzania jego danych osobowych przez Ministra Cyfryzacji oraz Pocztę Polską S.A. z siedzibą w Warszawie.
Zdaniem organu, nie ma podstaw do stwierdzenia naruszenia przepisów o ochronie danych osobowych, a w konsekwencji skorzystania z uprawnień naprawczych o których mowa w art. 58 ust. 2 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 4.05.2016, str. 1, Dz. Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35, dalej: "rozporządzenie RODO") a w konsekwencji postępowanie w tej sprawie jest bezprzedmiotowe. Uprawnienia naprawcze wymienione w art. 58 ust. 2 lit a) do j) rozporządzenia RODO przysługują bowiem organowi nadzorczemu tylko w przypadku stwierdzenia naruszenia przepisów rozporządzenia.
Kwestionowane przez skarżącego udostępnienie jego danych osobowych przez Ministerstwo Cyfryzacji na rzecz Poczty Polskiej S.A. (pozyskanie danych osobowych przez Pocztę Polską S.A.) miało bowiem podstawę w art. 6 ust. 1 lit c rozporządzenia RODO (było niezbędne dla wypełnienia obowiązku prawnego ciążącego na administratorze) w zw. z art. 99 ustawy SARS, który stanowi, że operator wyznaczony w rozumieniu ustawy z dnia 23 listopada 2012 r. - Prawo pocztowe, po złożeniu wniosku w formie elektronicznej, otrzymuje dane z rejestru PESEL, bądź też z innego spisu lub rejestru będącego w dyspozycji organu administracji publicznej, jeżeli dane te są potrzebne do realizacji zadań związanych z organizacją wyborów Prezydenta Rzeczypospolitej Polskiej bądź w celu wykonania innych obowiązków nałożonych na organy administracji rządowej. Dane, o których mowa w zdaniu pierwszym, przekazywane są operatorowi wyznaczonemu, w formie elektronicznej, w terminie nie dłuższym niż 2 dni robocze od dnia otrzymania wniosku.
Organ dodał, że w chwili przekazania danych osobowych z rejestru PESEL istniała w obrocie prawnym decyzja z 16 kwietnia 2020 r., którą Prezes Rady Ministrów polecił Poczcie Polskiej S.A. realizację działań w zakresie przeciwdziałania COVID-19, polegających na podjęciu i realizacji niezbędnych czynności zmierzających do przygotowania przeprowadzenia wyborów powszechnych na Prezydenta RP w 2020 r. w trybie korespondencyjnym. Zdaniem PUODO, dla oceny legalności udostępnienia przez administratora danych osobowych nie ma znaczenia wynik postępowania ze skargi Rzecznika Praw Obywatelskich na decyzję Prezesa Rady Ministrów z 16 kwietnia 2020 r., ponieważ decyzja ta nie stanowiła "samodzielnej podstawy prawnej" udostępnienia danych. W dacie wydania tej decyzji obowiązywał art. 11 ust. 2 ustawy covidowej, który stanowił, że Prezes Rady Ministrów, z własnej inicjatywy lub na wniosek wojewody, po poinformowaniu ministra właściwego do spraw gospodarki może, w związku z przeciwdziałaniem COVID-19, wydawać polecenia obowiązujące inne, niż wymienione w ust. 1, osoby prawne i jednostki organizacyjne nieposiadające osobowości prawnej oraz przedsiębiorców. Polecenia są wydawane w drodze decyzji administracyjnej i podlegają natychmiastowemu wykonaniu z chwilą ich doręczenia lub ogłoszenia oraz nie wymagają uzasadnienia.
W skardze do Wojewódzkiego Sądu Administracyjnego w Warszawie na powyższą decyzję PUODO skarżący zarzucił wydanie jej z naruszeniem art. 6 ust. 1 lit. c) rozporządzenia RODO. Zdaniem skarżącego, organ niezasadnie przyjął, że przekazanie 22 kwietnia 2020 r. jego danych osobowych z rejestru PESEL przez Ministra Cyfryzacji Poczcie Polskiej S.A. z siedzibą w Warszawie w związku z organizacją wyborów prezydenckich planowanych na dzień 10 maja 2020 r. było zgodne z prawem, ponieważ było niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze.
Zdaniem skarżącego, podstawy do przekazania jego danych osobowych przez Ministra Cyfryzacji Poczcie Polskiej S.A. nie mógł stanowić art. 99 ustawy SARS, w myśl którego operator wyznaczony w rozumieniu ustawy z dnia 23 listopada 2012 r. - Prawo pocztowe (Dz.U. z 2020 r., poz. 1041), po złożeniu wniosku w formie elektronicznej, otrzymuje dane z rejestru PESEL, jeżeli dane te są potrzebne do realizacji zadań związanych z organizacją wyborów Prezydenta Rzeczypospolitej Polskiej bądź w celu wykonania innych obowiązków nałożonych przez organy administracji rządowej. Dane, o których mowa w zd. pierwszym, przekazywane są operatorowi wyznaczonemu, w formie elektronicznej, w terminie nie dłuższym niż 2 dni robocze od dnia otrzymania wniosku. Zdaniem skarżącego, przepis ten nie dawał Poczcie Polskiej kompetencji do realizacji zadań związanych z organizacją wyborów prezydenckich. W dniu wystąpienia przez Pocztę Polską o przekazanie jego danych osobowych z rejestru PESEL (20 kwietnia 2020 r.), organizacja wyborów prezydenckich należała do Krajowego Biura Wyborczego. Ustawa z 6 kwietnia 2020 r. o szczególnych zasadach przeprowadzania wyborów powszechnych na Prezydenta Rzeczypospolitej Polskiej zarządzonych w 2020 r. (Dz.U. z 2020 r., poz. 827), weszła w życie dopiero 9 maja 2020 r.
Skarżący dodał, że do dnia wejścia w życie powołanej ustawy z 6 kwietnia 2020 r. o szczególnych zasadach przeprowadzania wyborów powszechnych na Prezydenta Rzeczypospolitej Polskiej zarządzonych w 2020 r. (9 maja 2020 r.) nie było przepisów ustawowych dopuszczających możliwość głosowania korespondencyjnego. Przepis art. 102 ustawy SARS (obowiązujący od 18 kwietnia 2020 r.) stanowił, że w okresie obowiązywania stanu zagrożenia epidemicznego albo stanu epidemii przy przeprowadzaniu wyborów powszechnych na Prezydenta Rzeczypospolitej Polskiej zarządzonych w 2020 r. nie stosuje się przepisów ustawy z dnia 5 stycznia 2011 r. - Kodeks wyborczy (Dz. U. z 2020 r. poz. 1319 oraz z 2021 r. poz. 1834 i 2054) w zakresie m. in. głosowania korespondencyjnego, o którym mowa w art. 53a.
Skarżący zarzucił zaskarżonej decyzji naruszenie art. 11 ust. 2 ustawy covidowej, w brzmieniu obowiązującym od 31 marca do 18 kwietnia 2020 r., poprzez jego błędną wykładnię i przyjęcie, że wydanie przez Prezesa Rady Ministrów decyzji o powierzeniu Poczcie Polskiej S.A. organizacji wyborów prezydenckich stanowiło polecenie wydane w trybie tego przepisu. Powołany przepis stanowił, że Prezes Rady Ministrów, z własnej inicjatywy lub na wniosek wojewody, po poinformowaniu ministra właściwego do spraw gospodarki mógł, w związku z przeciwdziałaniem C0VID-19, wydawać polecenia obowiązujące inne, niż wymienione w ust. 1, osoby prawne i jednostki organizacyjne nieposiadające osobowości prawnej oraz przedsiębiorców. Zatem polecenie (w formie decyzji administracyjnej) mogło nastąpić wyłączenie w związku z przeciwdziałaniem COVID-19, która to przesłanka w rozpoznawanej sprawie w oczywisty sposób nie została spełniona.
W konkluzji skarżący podniósł, że PUODO naruszył art. 105 § 1 k.p.a. w zw. z art. 7 ust. 1 oraz art. 60 rozporządzenia RODO i wniósł o uchylenie zaskarżonej decyzji oraz zasądzenie kosztów postępowania.
W uzasadnieniu skargi skarżący podkreślił, że w dacie wystąpienia przez Pocztę Polską S.A. z wnioskiem o udostępnienie jego danych osobowych żaden przepis prawa powszechnie obowiązującego nie przewidywał dla Poczty Polskiej jakichkolwiek zadań związanych z organizacją wyborów prezydenckich w trybie korespondencyjnym. Podstawą prawną przekazania danych nie mogła być również decyzja Prezesa Rady Ministrów z 16 kwietnia 2020 r. (znak: BPRM.4820.2.3.2020), ponieważ w dacie jej wydania żaden przepis prawa powszechnie obowiązującego nie nakładał na Pocztę Polską S.A. jakichkolwiek zadań związanych z organizacją wyborów. Podstawy do powierzenia Poczcie Polskiej S.A. jakichkolwiek zadań związanych z organizacją wyborów nie mógł stanowić art. 11 ust. 2 ustawy covidowej (w brzmieniu obowiązującym od 31 marca do 18 kwietnia 2020 r.), który uprawniał Prezesa Rady Ministrów do wydawania poleceń w formie decyzji administracyjnej. Naruszenie art. 11 ust. 2 powołanej ustawy stanowiło jedną z podstaw do stwierdzenia nieważności decyzji Prezesa Rady Ministrów przez WSA w Warszawie (wyrok z 15 września 2020 r. sygn. akt VII SA/Wa 992/20).
PUODO w odpowiedzi na skargę wniósł o jej oddalenie. Organ podniósł m. in., że nie jest prawidłowe zapatrywanie skarżącego, że przetwarzanie jego danych osobowych nie miało oparcia w art. 6 ust. 1 lit c RODO.
Poczta Polska S.A. w piśmie procesowym z 27 lipca 2021 r. wniosła o oddalenie skargi podnosząc m. in., że zgodnie z art. 99 ustawy SARS oraz decyzją Prezesa Rady Ministrów z 16 kwietnia 2020 r., 20 kwietnia 2020 r. złożyła do Ministra Cyfryzacji wniosek o udostępnienie danych osobowych z rejestru PESEL i otrzymała te dane 22 kwietnia 2020 r. W związku z ustaniem celu przetwarzania danych osobowych usunęła trwale wszystkie dane osobowe, które zostały jej przekazane przez Ministra Cyfryzacji w celu przygotowania wyborów.
Powołanym na wstępie wyrokiem Wojewódzki Sąd Administracyjny w Warszawie uwzględnił skargę.
W uzasadnieniu Sąd I instancji stwierdził, że udostępnienie danych osobowych skarżącego Poczcie Polskiej S.A. przez Ministra Cyfryzacji nastąpiło z naruszeniem prawa - art. 6 ust. 1 lit c rozporządzenia RODO. W ocenie Sądu I instancji ma rację skarżący, że w dniu wystąpienia przez Pocztę Polską S.A. z wnioskiem o udostępnienie danych osobowych żaden przepis prawa powszechnie obowiązującego nie przewidywał dla Poczty Polskiej jakichkolwiek zadań i obowiązków związanych z organizacją wyborów prezydenckich w trybie korespondencyjnym. Takim przepisem nie jest art. 99 ustawy SARS, według którego operator wyznaczony w rozumieniu ustawy z dnia 23 listopada 2012 r. - Prawo pocztowe (tj. Poczta Polska) po złożeniu przez siebie wniosku w formie elektronicznej, otrzymuje dane z rejestru PESEL, bądź też z innego spisu lub rejestru będącego w dyspozycji organu administracji publicznej, jeżeli dane te są potrzebne do realizacji zadań związanych z organizacją wyborów Prezydenta Rzeczypospolitej Polskiej bądź w celu wykonania innych obowiązków nałożonych przez organy administracji rządowej. W okresie obejmującym wystąpienie Poczty Polskiej z wnioskiem o dane z rejestru PESEL (20 kwietnia 2020 r.) i udostępnienie jej tych danych przez Ministra Cyfryzacji (22 kwietnia 2020 r.) żaden przepis ustawowy nie nakładał na Pocztę Polską jakichkolwiek zadań i obowiązków w zakresie organizacji wyborów Prezydenta RP. Skoro nie miała takich zadań i obowiązków, to dane PESEL nie były jej potrzebne do ich realizacji.
Zdaniem Sądu I instancji, za podstawę przetwarzania danych osobowych przez Ministra Cyfryzacji i Pocztę Polską nie może być też uznana decyzja Prezesa Rady Ministrów z 16 kwietnia 2020 r. (znak: BPRM.4820.2.3.2020).
Sąd I instancji dodał, że dopiero ustawa z dnia 6 kwietnia 2020 r. o szczególnych zasadach przeprowadzania wyborów powszechnych na Prezydenta Rzeczypospolitej Polskiej zarządzonych w 2020 r. nałożyła na Pocztę Polską pewne obowiązki związane z przeprowadzeniem tych wyborów drogą korespondencyjną.
Sąd I instancji stwierdził, że stanowisko organu dotyczące braku podstaw do prowadzenia postępowania odnośnie do naruszenia przez Spółkę obowiązku informacyjnego jest co najmniej przedwczesne, a zawarte w skardze zarzuty naruszenia art. 15 ust. 1 w zw. z art. 12 ust. 3 rozporządzenia RODO oraz art. 7 k.p.a., art. 77 k.p.a., art. 80 k.p.a., art. 107 § 3 k.p.a. w zw. z art. 7 ust. 1 ustawy o ochronie danych osobowych są uzasadnione.
Od powyższego wyroku wniesione zostały dwie skargi kasacyjne: a) PUODO i b) Poczty Polskiej S.A.
W skardze kasacyjnej PUODO zaskarżonemu wyrokowi wydanemu przez Sąd I instancji zarzucił naruszenie:
I. przepisów postępowania mające istotny wpływ na wynik sprawy, tj.:
1. art. 145 § 1 pkt 1 lit. c) ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (t.j. Dz. U. z 2024 r., poz. 935 ze zm., dalej: "p.p.s.a.") w zw. z art. 105 § 1 k.p.a., poprzez uznanie, że niezasadnie umorzono postępowanie w sprawie podczas, gdy w sprawie zachodziły przesłanki do wydania zaskarżonej decyzji z 15 kwietnia 2021 r. (znak: DS.523.4269.2020. AZ.I), bowiem kwestionowane udostępnienie danych osobowych znajdowało oparcie w przepisach obowiązującego prawa, tj. w art. 6 ust. 1 lit c) rozporządzenia RODO, w zw. z art. 99 ustawy SARS, co tym samym oznaczało brak podstaw do stwierdzenia naruszenia przepisów o ochronie danych osobowych i zastosowania kompetencji z art. 58 ust. 2 rozporządzenia RODO (bezprzedmiotowość postępowania),
2. art. 141 § 4 p.p.s.a. poprzez sporządzenie uzasadnienia wyroku niezawierającego wyjaśnienia rozstrzygnięcia w zakresie dlaczego WSA w Warszawie uznał stanowisko organu dotyczące braku podstaw do prowadzenia postępowania odnośnie do naruszenia przez Pocztę Polską S.A. obowiązku informacyjnego za co najmniej przedwczesne, a zawarte w skardze zarzuty naruszenia art. 15 ust. 1 rozporządzenia RODO w zw. z art. 12 ust. 3 rozporządzenia RODO oraz art. 7 k.p.a., art. 77 k.p.a., art. 80 k.p.a., art. 107 § 3 k.p.a. w zw. z art. 7 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych za uzasadnione,
3. art. 145 § 1 pkt 1 lit. c) p.p.s.a. w zw. z art. 79a § 1 k.p.a. w zw. z art. 10 § 1 k.p.a. i w zw. z art. 15 ust. 1 rozporządzenia RODO, poprzez uznanie, że organ mając wątpliwości co do stanu faktycznego sprawy, w szczególności co do okoliczności złożenia wniosku z art. 15 rozporządzenia RODO pominął ten przepis i nie wezwał M. S. do wykazania, że złożył sporny wniosek, podczas gdy wątpliwości w tym zakresie w sprawie nie było, zaś okoliczność otrzymania przez Pocztę Polską S.A. spornego wniosku nie była przesłanką zależną od M. S., o której mowa w dyspozycji tego przepisu;
II. prawa materialnego przez błędną jego wykładnię, tj.:
1. art. 99 ustawy SARS w zw. z art. 6 ust. 1 lit. c) rozporządzenia RODO, polegającą na przyjęciu, że w dniu wystąpienia przez Pocztę Polską S.A. z wnioskiem o udostępnienie danych osobowych żaden przepis prawa powszechnie obowiązującego nie przewidywał dla Poczty Polskiej S.A. jakichkolwiek zadań i obowiązków związanych z organizacją wyborów prezydenckich w trybie korespondencyjnym, podczas gdy z przepisu art. 99 ustawy SARS, wynikało wykonanie obowiązku przekazania danych operatorowi wyznaczonemu, ciążącego na administratorze w ww. celu,
2. art. 99 ustawy SARS w zw. z art. 6 ust. 1 lit. c) rozporządzenia RODO polegającą na przyjęciu, że to decyzja Prezesa Rady Ministrów z 16 kwietnia 2020 r. (znak: BPRM.4820.2.3.2020) została uznana przez organ za samoistną podstawą prawną udostępnienia danych osobowych operatorowi pocztowemu, podczas gdy przesłanką udostępnienia było niewykonanie decyzji, lecz wykonanie obowiązku przekazania danych operatorowi wyznaczonemu, ciążącego na administratorze, wynikającego z art. 99 ustawy SARS, a o którym mowa w art. 6 ust. 1 lit. c) rozporządzenia RODO, gdzie istnienie w obrocie prawnym decyzji organu administracji rządowej, nakładającej obowiązek na operatora wyznaczonego jest jedną z przesłanek zaistnienia tego obowiązku ciążącego na administratorze (elementem składowym),
Podnosząc powyższe zarzuty wniósł o uchylenie w całości zaskarżonego wyroku i przekazanie sprawy do ponownego rozpoznania WSA w Warszawie, a także o zasądzenie zwrotu kosztów postępowania na rzecz organu według norm prawem przepisanych. PUODO wniósł o rozpoznanie skargi kasacyjnej na rozprawie.
Z kolei w drugiej skardze kasacyjnej, Poczta Polska S. A. zarzuciła naruszenie:
I. prawa materialnego, tj.
1. art. 99 ustawy SARS w związku z art. 11 ust. 2 ustawy covidowej poprzez błędną wykładnie tych przepisów i uznanie, że w czasie przekazywania danych z rejestru PESEL Poczta nie miała podstawy prawnej do przetwarzania danych osobowych, podczas gdy działanie Skarżącej kasacyjnie opierało się na upoważnieniu wyrażonym w art. 99 ustawy SARS oraz na decyzji Prezesa Rady Ministrów wydanej na podstawie art. 11 ustawy o rozwiązaniach wydanej w związku z przeciwdziałaniem COVID-19 oraz kreującej prawny obowiązek organizacji przez Pocztę Polską wyborów na Prezydenta RP, co doprowadziło Sąd I instancji do błędnego wniosku, że decyzja została wydana z naruszeniem prawa;
2. art. 99 ustawy SARS w zw. z art. 6 ust. 1 lit c) oraz d) rozporządzenia RODO poprzez ich niewłaściwe zastosowanie, tj. ich niestosowanie i uznanie przez Sąd I instancji, że skarżąca kasacyjnie nie miała podstaw prawnych do przetwarzania danych osobowych, podczas, gdy taka podstawa prawna wypływała wprost z art. 99 ustawy SARS oraz art. 6 ust. 1 lit. c) oraz d) rozporządzenia RODO, co doprowadziło Sąd I instancji do błędnego wniosku, że decyzja została wydana z naruszeniem prawa,
II. przepisów postępowania, które miało wpływ na wynik sprawy, tj.
1. art. 106 § 4 p.p.s.a. w zw. z art. 146 ust. 4 pkt 1 Konstytucji, poprzez niewzięcie pod uwagę faktu znanego Sądowi z urzędu, tj. trwania procesu legislacyjnego ustawy z dnia 6 kwietnia 2020 r. szczególnych zasadach przeprowadzania wyborów powszechnych na Prezydenta Rzeczypospolitej Polskiej zarządzonych w 2020 r., przekazującej obowiązki przeprowadzenia wyborów na Prezydenta RP Poczcie Polskiej w trybie korespondencyjnym i wynikającej z tego faktu konieczności przygotowania wykonania tej ustawy przez Pocztę i administrację państwową, w tym Ministra Cyfryzacji i Prezesa Rady Ministrów, co doprowadziło do uznania, iż brak było podstaw ustawowych do przekazania Poczcie danych;
2. art. 79a § 1 k.p.a. w zw. z art. 10 § 1 k.p.a. polegające na uznaniu przez Sąd I instancji, że brak poinformowania przez organ skarżącego o tym, że Poczta Polska S.A. zaprzecza otrzymaniu wniosku skarżącego (o podanie informacji czy Poczta otrzymała jego dane osobowe z rejestru PESEL oraz o usunięcie ich) stanowi naruszenie obowiązku wskazywania przesłanek zależnych od strony, podczas gdy to na Skarżącym ciąży obowiązek prawidłowego złożenia wniosku i zapoznawania się z materiałem dowodowym zgromadzonym przez organ w celu rozstrzygnięcia sprawy, a fakt ten nie stanowi przesłanki rozstrzygnięcia o której mowa we wskazanych przepisach, ponadto okoliczność ta nie została pominięta wyjaśnianiu sprawy, bowiem organ zwrócił się do Poczty o udzielenie wyjaśnienia, co doprowadziło do uznania iż naruszone zostały prawa skarżącego.
Podnosząc powyższe zarzuty Poczta Polska S.A. wniosła o uchylenie wyroku w całości i oddalenie skargi ewentualnie o uchylenie zaskarżonego wyroku w całości i przekazanie sprawy do ponownego rozpoznania WSA w Warszawie oraz o zasądzenie zwrotu kosztów postępowania, w tym kosztów wynagrodzenia profesjonalnego pełnomocnika, według norm przepisanych. Poczta Polska S.A. wniosła o rozpoznanie skargi kasacyjnej na rozprawie.
Pismem z 23 maja 2022 r. skarżący złożył odpowiedzi na skargi kasacyjne wnosząc o ich oddalenie jako pozbawionych usprawiedliwionych podstaw.
Pismem z 31 maja 2022 r. Poczta Polska podtrzymała dotychczasowe stanowisko zaprezentowane w skardze kasacyjnej.
Pismem z 28 czerwca 2024 r. PUODO cofnął skargę kasacyjną a Naczelny Sąd Administracyjny postanowieniem z 1 sierpnia 2024 r. sygn. akt III OSK 1395/22 umorzył postępowanie ze skargi kasacyjnej PUODO.
Naczelny Sąd Administracyjny zważył, co następuje.
1. Stosownie do art. 183 § 1 ustawy z 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (t.j. Dz. U. z 2024 r., poz. 935 ze zm.) zwanej dalej p.p.s.a., Naczelny Sąd Administracyjny rozpoznaje sprawę w granicach skargi kasacyjnej, biorąc pod rozwagę z urzędu jedynie nieważność postępowania. W rozpoznawanej sprawie nie zachodzi żadna z okoliczności skutkujących nieważnością postępowania, o jakich mowa w art. 183 § 2 p.p.s.a. i nie zachodzi żadna z przesłanek, o których mowa w art. 189 p.p.s.a., które Naczelny Sąd Administracyjny rozważa z urzędu dokonując kontroli zaskarżonego skargą kasacyjną wyroku. W tych okolicznościach w sprawie badaniu podlegały wyłącznie zarzuty podniesione w skardze kasacyjnej na uzasadnienie przytoczonej podstawy kasacyjnej.
Skargę kasacyjną można oprzeć na następujących podstawach: a) naruszeniu prawa materialnego przez błędną jego wykładnię lub niewłaściwe zastosowanie, b) naruszeniu przepisów postępowania, jeżeli uchybienie to mogło mieć istotny wpływ na wynik sprawy (art. 174 p.p.s.a.).
W skardze kasacyjnej zarzucono naruszenie zarówno przepisów postępowania jak i prawa materialnego.
2. Dla uporządkowania ocen prawnych formułowanych w ramach rozpoznania poszczególnych zarzutów kasacyjnych należy wstępnie podać, że od wyroku Sądu pierwszej instancji zostały wniesione dwie skargi kasacyjne: organu, tj. PUODO oraz Poczty Polskiej S.A.
PUODO pismem procesowym z 28 czerwca 2024 r. cofnął skargę kasacyjną a w związku z tym NSA w postanowieniu z 1 sierpnia 2024 r. (sygn. akt III OSK 1395/22) umorzył postępowanie ze skargi kasacyjnej PUODO. Do rozpoznania zatem pozostała jedynie skarga kasacyjna Poczty Polskiej S.A.
Dodatkowo wskazać trzeba, że istotne znaczenie dla rozpatrzenia niniejszej sprawy mają następujące rozstrzygnięcia NSA:
a) wyrok NSA z 28 czerwca 2024 r. (sygn. akt III OSK 4524/21), gdzie NSA oddalił skargi kasacyjne od wyroku WSA w Warszawie z 15 września 2020 r. (sygn. akt VII SA/Wa 992/20) stwierdzającego nieważność decyzji Prezesa Rady Ministrów z 16 kwietnia 2020 r. znak: BPRM.4820.2.3.2020 w przedmiocie polecenia Poczcie Polskiej S.A. realizacji działań w zakresie przeciwdziałania COVID-19 zmierzających do przygotowania i przeprowadzenia wyborów Prezydenta RP w 2020 r. w trybie korespondencyjnym;
b) wyrok NSA z 13 marca 2024 r. (sygn. akt II OSK 1630/21), gdzie NSA między innymi oddalił skargę kasacyjną Poczty Polskiej S.A. od wyroku WSA w Warszawie z 26 lutego 2021 r. (sygn. akt IV SA/Wa 1817/20), który stwierdził bezskuteczność czynności Ministra Cyfryzacji z 22 kwietnia 2020 r. polegającej na udostępnieniu Poczcie Polskiej S.A. danych osobowych z rejestru PESEL (dotyczących żyjących obywateli polskich, którzy uzyskali pełnoletność dnia 10 maja 2020 r. i których krajem zamieszkania jest Polska).
Podsumowując, w obrocie prawnym obowiązują prawomocne wyroki NSA, z których wynika, że:
- w dniu podjęcia zaskarżonej czynności (tj. udostępnienia Poczcie Polskiej S.A. danych osobowych z rejestru PESEL) nie było przepisów rangi ustawowej przewidujących dla operatora wyznaczonego, materialnoprawnej (ustawowej) kompetencji do przetwarzania danych osobowych na potrzeby realizacji zadań związanych z organizacją wyborów Prezydenta RP; nie było również takich przepisów w innych regulacjach rangi ustawowej a w szczególności w ustawie z 2 marca 2020 r. (tzw. ustawie covidowej);
- art. 11 ust. 2 ustawy covidowej nie mógł stanowić wyłącznej i samodzielnej podstawy prawnej wydania przez Prezesa Rady Ministrów Poczcie Polskiej polecenia "podjęcia i realizacji niezbędnych czynności zmierzających do przygotowania przeprowadzenia wyborów Prezydenta Rzeczypospolitej Polskiej w 2020 r. w trybie korespondencyjnym";
- czynności Ministra Cyfryzacji z 22 kwietnia 2020 r. polegającej na udostępnieniu Poczcie Polskiej S.A. danych osobowych z rejestru PESEL została prawomocnie uznana za bezskuteczną a zaskarżona w niniejszym postępowaniu decyzja PUODO (tj. o umorzeniu postępowania) i oceniona przez Sąd I instancji (tj. uchylono tą decyzję) dotyczyła właśnie "nieprawidłowości w procesie przetwarzania danych osobowych przez Ministra Cyfryzacji oraz Pocztę Polską S.A.".
Przypomnieć przy tym należy, że jakkolwiek związanie prawomocnym wyrokiem wiąże tylko w danej sprawie, może odnosić się do innych postępowań w zakresie, w jakim w wyroku tym rozstrzygnięta została określona kwestia prawna, która ma znaczenie dla rozstrzygnięcia w innej sprawie jako zagadnienie wstępne, czy też dalszy element kształtujący proces stosowania prawa przez sąd (por. wyrok NSA z 5 czerwca 2024 r., sygn. akt III FSK 1029/23). Ratio legis art. 170 p.p.s.a. polega na tym, że gwarantuje on zachowanie spójności i logiki działania organów państwowych, zapobiegając funkcjonowaniu w obrocie prawnym rozstrzygnięć nie do pogodzenia w całym systemie sprawowania władzy. Skoro moc wiążąca orzeczenia określona w art. 170 p.p.s.a. oznacza, że podmioty wymienione w tym przepisie muszą przyjmować, iż dana kwestia prawna kształtuje się tak, jak stwierdzono w prawomocnym orzeczeniu, zatem w kolejnym postępowaniu, w którym pojawia się dana kwestia, nie może być już ona ponownie badana (por. wyrok NSA z 9 stycznia 2024 r., sygn. akt II OSK 1409/21). Implikuje to zakaz formułowania nowych ocen prawnych - zarówno przez sądy, jak i przez organy - sprzecznych z dotychczasowym stanowiskiem wyrażonym przez sąd.
3. Podniesione w skardze kasacyjnej Poczty Polskiej S.A. zarzuty oparto na obu podstawach kasacyjnych dopuszczonych treścią art. 174 pkt 1 i pkt 2 p.p.s.a., tj. zarówno na naruszeniu prawa materialnego, jak i na naruszeniu przepisów postępowania.
Z przyczyn metodologicznych w pierwszej kolejności należało rozpoznać zarzut naruszenia prawa materialnego, gdyż w skardze kasacyjnej jako formę tego naruszenia wskazano błędną wykładnię wskazanych przepisów. W takim skonfigurowaniu, wobec zakwestionowania prawidłowości rekonstrukcji materialnoprawnej podstawy rozstrzygnięcia kwestionowanego skargą kasacyjną, kwestia naruszenia przepisów prawa procesowego ma charakter wtórny. Ustalenie wiążącej dyrektywy prawnej kształtującej treść stosunku administracyjnego w ramach rozpoznawanej sprawy determinuje zakres istotnych okoliczności faktycznych, których ustalenia dokonuje się w oparciu o przepisy procesowe.
W skardze kasacyjnej wskazano na naruszenie:
a) art. 99 ustawy z dnia 16 kwietnia 2020 r. o szczególnych instrumentach wsparcia w związku z rozprzestrzenianiem się wirusa SARS-CoV-2 (t.j. Dz. U. z 2022 r. poz. 376; dalej: "ustawa o wsparciu") w zw. z art. 11 ust. 2 ustawy covidowej wskazując, że:
- błędna jest wykładnia prawa przyjmująca, że w czasie przekazywania danych z rejestru PESEL Poczta nie miała podstawy prawnej do przetwarzania danych osobowych
- działanie Poczty opierało się na upoważnieniu wyrażonym w art. 99 ustawy o wsparciu oraz na decyzji Prezesa Rady Ministrów wydanej na podstawie art. 11 ustawy covidowej;
b) art. 99 ustawy o wsparciu w zw. z art. 6 ust. 1 lit. c) oraz d) rozporządzenia RODO poprzez błędną wykładnię wskazującą, że skarżąca kasacyjnie nie miała podstaw prawnych do przetwarzania danych osobowych, podczas gdy taka podstawa prawna wypływała z art. 99 ustawy o wsparciu oraz art. 6 ust. 1 lit. c) oraz d) rozporządzenia RODO.
Odnosząc się w pierwszej kolejności do zarzutów dotyczących prawa materialnego, należy wskazać, że powoływany przez skarżącą kasacyjnie art. 11 ust. 2 ustawy covidowej w związku z art. 99 ustawy o wsparciu nie znajdowały w niniejszej sprawie zastosowania, tj. nie mogły stanowić podstawy do wydania decyzji przez Prezesa Rady Ministrów powierzającej Poczcie Polskiej S.A. przeprowadzenie wyborów, albowiem nie jest to czynność mająca na celu przeciwdziałanie COVID-19 (por. na ten temat szeroki wywód zawarty w wyroku NSA z 28 czerwca 2024 r., sygn. akt III OSK 4524/21). Kwestia ta została zatem prawomocnie rozstrzygnięta przez NSA i w niniejszej sprawie nie jest potrzebne ponowne przytaczanie argumentacji wskazanej w tym wyroku NSA.
Za swoiste nieporozumienie należy uznać twierdzenie Poczty Polskiej, jakoby przetwarzanie danych osobowych było zgodne z rozporządzeniem RODO, tj. z art. 6 ust. 1 lit. c (przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze) i lit. d (przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej), gdyż:
- jak wynika z motywu 46 preambuły rozporządzenia RODO: "(...) Przetwarzanie danych osobowych należy uznać za zgodne z prawem również w przypadkach, gdy jest niezbędne do ochrony interesu, który ma istotne znaczenie dla życia osoby, której dane dotyczą, lub innej osoby fizycznej. Żywotny interes innej osoby fizycznej powinien zasadniczo być podstawą przetwarzania danych osobowych wyłącznie w przypadkach, gdy ewidentnie przetwarzania tego nie da się oprzeć na innej podstawie prawnej. Niektóre rodzaje przetwarzania mogą służyć zarówno ważnemu interesowi publicznemu, jak i żywotnym interesom osoby, której dane dotyczą, na przykład gdy przetwarzanie jest niezbędne do celów humanitarnych, w tym monitorowania epidemii i ich rozprzestrzeniania się lub w nadzwyczajnych sytuacjach humanitarnych, w szczególności w przypadku klęsk żywiołowych i katastrof spowodowanych przez człowieka";
- przetwarzanie danych w celu ochrony żywotnego interesu innej osoby fizycznej powinno być podstawą przetwarzania danych osobowych wyłącznie w przypadkach, gdy ewidentnie przetwarzania tego nie da się oprzeć na innej podstawie prawnej;
- interes "żywotny" to taki, który ma istotne znaczenie dla życia osoby, której dane są przetwarzane; nie sposób uznać, że organizacja wyborów prezydenckich w trybie korespondencyjnym była niezbędna dla życia obywateli;
- motyw 46 rozporządzenia RODO wskazuje na "monitorowanie epidemii i jej rozprzestrzenianie się", ale nie ulega wątpliwości to, że pozyskanie danych z rejestru PESEL (mimo że rzeczywiście nastąpiło w okresie pandemii COVID-19) nie służyło ochronie obywateli przed pandemią i nie było związane z monitorowaniem jej rozprzestrzeniania się;
- rozporządzenie RODO wyraźnie wskazuje na wyjątkowość tej podstawy przetwarzania danych, wskazując przede wszystkim na względy humanitarne czy związane z usuwaniem skutków klęsk żywiołowych; nie ulega wątpliwości, że organizacja wyborów tzw. "kopertowych" nie może być uznana za wypełnienie przesłanki "żywotnych interesów osób fizycznych";
- dodatkowo argumentacja odnosząca się do pominięcia wiadomości znanych z urzędu na temat toczącego się procesu legislacyjnego, nie zasługuje również na uwzględnienie; art. 6 ust. 1 lit. c rozporządzenia RODO stanowi o "obowiązku prawnym ciążącym na administratorze" a obowiązek ten wynikać może wyłącznie z ustawy, która faktycznie obowiązuje w dacie pozyskania danych osobowych; inaczej mówiąc nie stanowi podstawy prawnej ustawa, co do której proces legislacyjny jeszcze się nie zakończył, gdyż taki akt nie jest jeszcze aktem prawnym kreującym jakiekolwiek prawa czy obowiązki.
Biorąc pod uwagę powyższe, wszelkie zarzuty zawarte w skardze kasacyjnej wskazujące na naruszenie prawa materialnego przez Sąd I instancji należało uznać za niezasadne. NSA w niniejszym składzie za niecelowe uznał ponowne powtarzanie tez i uzasadnienia wynikających między innymi z cytowanych wyroków NSA z 28 czerwca 2024 r. (sygn. akt III OSK 4524/21) i z 13 marca 2024 r. (sygn. akt II OSK 1630/21), które w sposób kompleksowy i szczegółowy odnoszą się do omawianej problematyki.
4. Z niezasadne należy uznać również zarzuty skargi kasacyjnej wskazujące na naruszenie przepisów postępowania z kilku zasadniczych względów.
Po pierwsze – bezzasadny jest zarzut naruszenia art. 106 § 4 p.p.s.a. w zw. z art. 146 ust. 4 pkt 1 Konstytucji, poprzez "(...) niewzięcie pod uwagę faktu znanego Sądowi z urzędu, tj. trwania procesu legislacyjnego ustawy z dnia 6 kwietnia 2020 r. szczególnych zasadach przeprowadzania wyborów powszechnych na Prezydenta Rzeczypospolitej Polskiej zarządzonych w 2020 r. przekazującej obowiązki przeprowadzenia wyborów na Prezydenta RP Poczcie Polskiej w trybie korespondencyjnym i wynikającej z tego faktu konieczności przygotowania wykonania tej ustawy przez Pocztę i administrację państwową, w tym Ministra Cyfryzacji i Prezesa Rady Ministrów, co doprowadziło do uznania, iż brak było podstaw ustawowych do przekazania Poczcie Polskiej S.A. danych". Przypomnieć należy, że fakty powszechnie znane, to okoliczności, zdarzenia, czynności lub stany, które powinny być znane każdemu rozsądnemu i mającemu doświadczenie życiowe człowiekowi. Chodzi więc o wydarzenia historyczne, polityczne, zjawiska przyrodnicze, procesy ekonomiczne lub zdarzenia normalnie i zwyczajnie zachodzące w określonym miejscu i czasie. Za fakty powszechnie znane mogą być uznane tylko te, które odpowiadają rzeczywistości, przy czym kryterium oceny, czy dany fakt ma charakter faktu notorycznego musi być obiektywne, a nie subiektywne (por. wyrok NSA z 9 stycznia 2025 r., sygn. akt III OSK 2359/23). Proces legislacyjny jako zjawisko polityczne może być w pewnych okolicznościach uznany jako "fakt powszechnie znany". Nie oznacza to jednak, że sąd administracyjny badając daną sprawę pod kątem "zgodności z prawem" (art. 2 § 2 p.u.s.a.) może opierać swoje rozstrzygniecie o projekty aktów normatywnych. Każde władcze działanie organu władzy publicznej bez podstawy prawnej musi być oceniane w perspektywie naruszenia zasady legalizmu (art. 7 Konstytucji). Sąd administracyjny ma obowiązek badania zaskarżonych aktów prawnych wyłącznie w zakresie ich legalności, a więc z punktu widzenia ich zgodności z przepisami powszechnie obowiązującego prawa (por. wyrok WSA w Olsztynie z 28 listopada 2019 r., sygn. akt II SA/Ol 813/19). Sąd administracyjny bada legalność zaskarżonego aktu jedynie pod kątem czy jest on zgodny z prawem materialnym (tj. obowiązującymi w dacie jego podjęcia), określającym prawa i obowiązki stron oraz czy jest zgodny z prawem procesowym, regulującym postępowanie przed organami administracji publicznej. Jest to więc tzw. "sąd prawa", nie zaś "sąd faktu" lub sąd "legislacyjnych zdarzeń przyszłych" a z istoty sądowej kontroli administracji wynika, że sąd administracyjny orzeka wedle stanu faktycznego i prawnego istniejącego w dacie wydania zaskarżonego aktu i nie bierze pod uwagę zdarzeń przyszłych i niepewnych wynikających z toczącego się procesu legislacyjnego.
Po drugie - powołanie się przez skarżącą kasacyjnie na art. 146 ust. 4 pkt 1 Konstytucji nie było prawidłowe. Wskazany przez Pocztę Polską S.A. przepis Konstytucji nie miał zastosowania w niniejszej sprawie, albowiem: a) jest to norma o charakterze kompetencyjnym, wskazująca na podstawowe zadania Rady Ministrów; b) z normy tej wynika, że Rada Ministrów zapewnia wykonanie ustaw, a nie "projektów ustaw", co do których proces legislacyjny jeszcze się nie zakończył; c) norma wynikająca z art. 146 ust. 4 pkt 1 Konstytucji nie znajduje zastosowania do Poczty Polskiej ani tym bardziej nie może stanowić usprawiedliwienia dla przetwarzania danych osobowych z rejestru PESEL bez podstawy prawnej.
Po trzecie – całkowicie nieuzasadniony jest zarzut naruszenia przez Sąd I instancji art. 79a § 1 k.p.a. w zw. z art. 10 § 1 k.p.a. Sąd I instancji wskazanych przepisów nie stosował, wobec czego nie mógł ich też naruszyć. Przepisy k.p.a. są bowiem stosowane przez organy administracji, zaś sądy administracyjne w postępowaniu sądowym stosują przepisy p.p.s.a. a nie k.p.a. Tym samym zarzut ten, jako wadliwie skonstruowany nie mógł odnieść zakładanego przez skarżącą kasacyjnie rezultatu.
5. Mając powyższe na uwadze Naczelny Sąd Administracyjny, po rozpoznaniu sprawy na rozprawie, orzekł o oddaleniu skargi kasacyjnej na podstawie art. 184 p.p.s.a.