III OSK 1631/22

III OSK 1631/22 - Wyrok NSA
Data orzeczenia
2025-09-18
orzeczenie prawomocne
Data wpływu
2022-07-05
Sąd
Naczelny Sąd Administracyjny
Sędziowie
Arkadiusz Windak
Przemysław Szustakiewicz /przewodniczący sprawozdawca/
Rafał Stasikowski
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne
Inne
Sygn. powiązane
II SA/Wa 2138/21 - Wyrok WSA w Warszawie z 2021-12-20
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Uchylono zaskarżony wyrok i zaskarżone postanowienie
Powołane przepisy
Dz.U. 2019 poz 2325
art. 188
Ustawa z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi - t.j.
Sentencja
Naczelny Sąd Administracyjny w składzie: Przewodniczący: sędzia NSA Przemysław Szustakiewicz (spr.) Sędziowie: sędzia NSA Rafał Stasikowski sędzia del. WSA Arkadiusz Windak Protokolant asystent sędziego Marita Sukiennik-Sikora po rozpoznaniu w dniu 18 września 2025 r. na rozprawie w Izbie Ogólnoadministracyjnej skargi kasacyjnej B.S. od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 20 grudnia 2021 r. sygn. akt II SA/Wa 2138/21 w sprawie ze skargi B.S. na postanowienie Prezesa Urzędu Ochrony Danych Osobowych z dnia 18 marca 2021 r. nr DS.523.4134.2020.WP.JP.116745 w przedmiocie odmowy wszczęcia postępowania uchyla zaskarżony wyrok oraz zaskarżone postanowienie.
Uzasadnienie
Wojewódzki Sąd Administracyjny w Warszawie, wyrokiem z dnia 20 grudnia 2021 r., sygn. akt II SA/Wa 2138/21, oddalił skargę B.S. na postanowienie Prezesa Urzędu Ochrony Danych Osobowych z dnia 18 marca 2021 r., nr DS.523.4134.2020.WP.JP. w przedmiocie odmowy wszczęcia postępowania. W sprawie ustalono następujący stan faktyczny i prawny:
B.S. w dniu 10 sierpnia 2020 r. wniosła do Prezesa Urzędu Ochrony Danych Osobowych skargę na udostępnienie jej danych osobowych przez Komornika Sądowego przy Sądzie Rejonowym [...] osobom nieuprawnionym. Wskazała, że Komornik, prowadzący przeciwko niej postępowania egzekucyjne w kilkunastu sprawach, pismem z dnia 24 sierpnia 2017 r. poinformował osobę trzecią – R.S., właściciela zajętych ruchomości, o zajęciu ruchomości "rzekomo" należących do skarżącej, a ponadto dozorcy doręczył protokół zajęcia ruchomości. W ocenie skarżącej poinformowanie zarówno dozorcy, jak i osoby trzeciej - właściciela ruchomości zajętych w orzeczeniach sądowych dotyczących jej osoby narusza przepis art. 27 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz.U. z 2016 r., poz. 922, dalej "ustawa z dnia 29 sierpnia 1997 r."). W ocenie skarżącej nie zachodzi także żadna z okoliczności przewidzianych w przepisie art. 23 ustawy z dnia 29 sierpnia 1997 r., zezwalających na udostępnianie danych dotyczących jej zadłużenia oraz orzeczeń sądowych osobie trzeciej oraz dozorcy. W związku z tym wniosła o przeprowadzenie kontroli postępowania Komornika z punktu widzenia naruszenia przepisów ustawy z dnia 29 sierpnia 1997 r. polegającego na ujawnieniu wobec osób nieuprawnionych szczegółowych informacji dotyczących stanu jej zadłużenia w prowadzonych przeciwko niej postępowaniach egzekucyjnych.
Prezes Urzędu Ochrony Danych Osobowych, postanowieniem z dnia 18 marca 2021 r., nr DS.523.4134.2020.WP.JP.116745, działając na podstawie art. 61 a § 1 k.p.a. odmówił wszczęcia postępowania, podnosząc, że w czasie, gdy miały miejsce zdarzenia opisane w skardze, tj. w 2017 r. obowiązywały przepisy ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych. Przepisy tej ustawy określały zasady przetwarzania danych osobowych do dnia 24 maja 2018 r. Natomiast od dnia 25 maja 2018 r. obowiązują przepisy rozporządzenia Parlamentu Europejskiego i Rady UE 2016/679 z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z 04.05.2016, str. 1 oraz Dz. Urz. UE L 127 z 23.05.2018, str. 2 ze zm., dalej jako "RODO") oraz ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz.U. z 2019 r. poz. 1781, dalej "ustawa z dnia 10 maja 2018 r.).
Zdaniem organu, opisane w treści skargi zdarzenia, nie mogą być rozpatrywane w toku postępowania administracyjnego zmierzającego do wydania decyzji w oparciu o przepisy RODO. Proces przetwarzania danych osobowych przez skarżony podmiot rozpoczął się i zakończył przed 25 maja 2018 r., zaś art. 99 ust. 1 RODO wskazuje, że niniejsze rozporządzenie ma zastosowanie od dnia 25 maja 2018 r. W związku z tym, przepisy RODO mają zastosowanie wyłącznie w sprawach, w których skargę wniesiono od 25 maja 2018 r. i w tej dacie kwestionowany proces przetwarzania danych osobowych trwał. Zgodnie z motywem 122 RODO "każdy organ nadzorczy powinien być właściwy na terytorium swojego państwa członkowskiego do wykonywania uprawnień i wypełniania zadań powierzonych mu w myśl niniejszego rozporządzenia. (...) Powinno to dotyczyć rozpatrywania skarg wnoszonych przez osoby, których dane dotyczą, prowadzenia postępowań w sprawie stosowania niniejszego rozporządzenia oraz uświadamiania ryzyka, zasad, zabezpieczeń i praw związanych z przetwarzaniem danych osobowych. Podkreślił, że zgodnie z art. 55 ust. 1 RODO każdy organ nadzorczy jest właściwy do wypełniania zadań i wykonywania uprawnień powierzonych mu zgodnie z niniejszym rozporządzeniem na terytorium swojego państwa członkowskiego, natomiast do zadań organu nadzorczego należy prowadzenie postępowań w sprawie stosowania tego rozporządzenia (art. 57 ust. 1 lit. h RODO).
Prezes UODO zauważył, że art. 58 RODO określa uprawnienia organu nadzorczego. Przepisy art. 58 ust. 1, 2 i 3 RODO wyliczają uprawnienia przysługujące każdemu organowi nadzorczemu - uprawnienia do prowadzenia postępowań, uprawnienia naprawcze i do nakładania kar, uprawnienia do udzielania zezwoleń i uprawnienia doradcze oraz uprawnienia do zgłaszania naruszeń organom wymiaru sprawiedliwości oraz do udziału w postępowaniu sądowym. Ocena dokonywana przez Prezesa UODO w każdym przypadku służy zbadaniu zasadności skierowania pod adresem określonego podmiotu rozstrzygnięcia odpowiadającego dyspozycji art. 58 ust. 2 RODO służącego przywróceniu stanu zgodnego z prawem. W tej sprawie organ nadzorczy nie ma możliwości zastosowania przysługujących mu uprawnień naprawczych. Zdarzenia, których skarga dotyczy zakończyły się przed dniem 25 maja 2018 r., a postępowanie administracyjne w tej sprawie zostało zainicjowane po dniu 25 maja 2018 r., a zatem kwestionowane w skardze zdarzenia miały miejsce i zakończyły się w czasie gdy obowiązywały przepisy ustawy z dnia 29 sierpnia 1997 r., a postępowanie administracyjne przed organem nadzorczym zostało zainicjowane w czasie, gdy zaczęły obowiązywać przepisy ustawy z dnia 10 maja 2018 r. Do rozstrzygnięcia sprawy nie jest możliwe zastosowanie przepisów ustawy z dnia 29 sierpnia 1997 r. Artykuł 160 ust. 1 i 2 ustawy z dnia 10 maja 2018 r. stanowi, że jedynie postępowania wszczęte i niezakończone przed dniem wejścia w życie ustawy z dnia 10 maja 2018 r., są prowadzone przez Prezesa UODO, na podstawie ustawy z dnia 29 sierpnia 1997 r. Tym samym organ uznał, że nie ma możliwości prowadzenia postępowania administracyjnego w oparciu o przepisy ustawy z dnia 29 sierpnia 1997 r., gdyż postępowanie w sprawie zostało wszczęte po dniu wejścia w życie ustawy z dnia 10 maja 2018 r. Zdaniem organu, brak jest również podstawy do korzystania przez Prezesa UODO z uprawnień przewidzianych w ustawie z dnia 29 sierpnia 1997 r., w tym do oceny zgodności zachowania administratora z jej przepisami w przypadku, gdy skarżony proces przetwarzania nie był kontynuowany po 25 maja 2018 r. Podkreślił, że nie może dokonać oceny zgodności kwestionowanych w skardze działań administratora z przepisami RODO, ponieważ zdarzenie będące przedmiotem skargi ma charakter zakończony i nie było kontynuowane po 25 maja 2018 r. Organ zauważył przy tym, że brak jest obecnie przepisów kompetencyjnych uprawniających go do prowadzenia postępowania w przedmiocie oceny zgodności działania administratora z przepisami ustawy z dnia 29 sierpnia 1997 r.
Z powyższym postanowieniem nie zgodziła się skarżąca, wnosząc skargę do Wojewódzkiego Sądu Administracyjnego w Warszawie.
W odpowiedzi na skargę organ wniósł o jej oddalenie.
Powołanym na wstępie wyrokiem, Wojewódzki Sąd Administracyjny w Warszawie, na podstawie art. 151 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz.U. z 2019 r. poz. 2325 ze zm., dalej "P.p.s.a.") uznał, że skarga nie zasługuje na uwzględnienie.
Zdaniem WSA w Warszawie, istota sprawy sprowadza się do oceny czy organ w sposób wyczerpujący wyjaśnił brak istnienia podstaw do wszczęcia postępowania administracyjnego w postaci określonej w art. 61 § 1 k.p.a. "innej uzasadnionej przyczyny".
W tym zakresie Sąd I instancji podzielił stanowisko organu, że skarżąca wystąpiła z żądaniem, które nie mieści się w kompetencjach Prezesa UODO, a zatem zaistniała przesłanka odmowy wszczęcia postępowania z "innych uzasadnionych przyczyn". Jakkolwiek przyczyny te nie zostały skonkretyzowane w k.p.a., rozumie się przez nie takie, które w sposób oczywisty stanowią przeszkodę do wszczęcia i prowadzenia postępowania administracyjnego w danej sprawie, np. gdy w przepisach prawa brak jest podstawy materialnoprawnej do rozpatrzenia żądania w trybie administracyjnym, brak jest przedmiotu postępowania.
Jak bowiem wynika z akt sprawy, kwestionowane przez skarżącą przetwarzanie jej danych osobowych miało miejsce dnia 24 sierpnia 2017 r., tj. w okresie obowiązywania ustawy z dnia 29 sierpnia 1997 r. Przepisy tej ustawy określały zasady przetwarzania danych osobowych do dnia 24 maja 2018 r. Od dnia 25 maja 2018 r., obowiązują przepisy RODO oraz ustawy z dnia 10 maja 2018 r. Oznacza to, że opisane w treści skargi zdarzenie nie może być rozpatrywane w toku postępowania administracyjnego zmierzającego do wydania decyzji w oparciu o przepisy RODO. Proces przetwarzania danych osobowych rozpoczął się i zakończył przed 25 maja 2018 r., zaś art. 99 ust. 1 RODO, wprost wskazuje, że niniejsze rozporządzenie ma zastosowanie od dnia 25 maja 2018 r. W związku z tym, przepisy RODO mają zastosowanie wyłącznie w sprawach, w których skargę wniesiono od 25 maja 2018 r. i w tej dacie kwestionowany proces przetwarzania danych osobowych trwał. W art. 58 RODO określone są uprawnienia nadzorcze organu w tym uprawnienia naprawcze, których w niniejszej sprawie organ nie może zastosować. Zdarzenie, którego dotyczy skarga zakończyło się przed 25 maja 2018 r., a skarga została złożona dnia 10 sierpnia 2020 r., tj. w okresie obowiązywania ustawy z dnia 10 maja 2018 r. W niniejszej sprawie nie znalazł również zastosowania artykuł 160 ust. 1 i 2 ustawy z dnia 10 maja 2018 r., który stanowi, że jedynie postępowania, wszczęte i niezakończone przed dniem wejścia w życie niniejszej ustawy z dnia 10 maja 2018 r., tj. 25 maja 2018 r., są prowadzone przez Prezesa Urzędu Ochrony Danych Osobowych, na podstawie ustawy z dnia 29 sierpnia 1997 r. W niniejszej sprawie postępowanie zostało zainicjowane skargą z dnia 10 sierpnia 2020 r. dotyczącą zdarzenia z dnia 24 sierpnia 2017 r., a więc przepis powyższy nie ma zastosowania. Tak więc Prezes UODO może podejmować jedynie takie działania, które mieszczą się w posiadanych przez niego kompetencjach określonych w art. 58 ust. 2 RODO. Skoro więc skarżąca wystąpiła z żądaniem, które nie mieści się w kompetencjach przyznanych Prezesowi UODO, zatem zachodzi przesłanka odmowy wszczęcia postępowania z "innych uzasadnionych przyczyn".
W tym stanie rzeczy, w ocenie Sądu I instancji, organ nie dopuścił się naruszenia przepisu art. 61 a § 1 k.p.a. poprzez jego błędne zastosowanie, a działania organu znalazły oparcie w o art. 7, art. 8 § 1, art. 9 i art. 10 § 1 k.p.a., gdyż wyjaśniono istotne okoliczności sprawy. Ze złożonego przez skarżącą pisma i jego załączników wynika, iż kwestionowany przez nią proces przetwarzania danych osobowych został zakończony, a zdarzenia miały charakter jednorazowego udostępnienia i polegały na jednorazowym udostępnieniu tych danych podmiotom nieuprawnionym. Dokumentacja zawarta w aktach wskazuje, że jednorazowe i zakończone zdarzenia miały miejsce w 2017 r., to jest przed wejściem w życie przepisów RODO, podczas gdy skargę na naruszenie prawa do ochrony danych osobowych skarżąca złożyła do Prezesa UODO dopiero w sierpniu 2020 r.
W dniu 28 czerwca 2022 r. skargę kasacyjną na powyższy wyrok wywiodła skarżąca, wnosząc, na podstawie art. 267 Traktatu o funkcjonowaniu Unii Europejskiej (Dz. U. z 2004 r., Nr 90, poz. 864/2, dalej "TFUE"), o zwrócenie się z pytaniem prejudycjalnym do Trybunału Sprawiedliwości UE, w celu uzyskania odpowiedzi na pytanie, czy z art 58 RODO wynika, że organem posiadającym kompetencje do rozstrzygania spraw, które miały miejsce przed wejściem w życie RODO (tj. przed 25 maja 2018 r.), a co, do których skargi w zakresie naruszeń ochrony danych osobowych zostały wniesione po dacie 25 maja 2018 r., jest Prezes Urzędu Ochrony Danych Osobowych? lub uwzględnienie skargi oraz uchylenie w całości wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie i przekazanie sprawy do ponownego rozpoznania Sądowi I instancji oraz zasądzenie na rzecz pełnomocnika kosztów nieopłaconej pomocy prawnej udzielonej z urzędu w zakresie postępowania kasacyjnego i postępowania przed Sądem I instancji. Zaskarżonemu wyrokowi zarzucono naruszenie:
1. art. 145 § 1 pkt 1 i 3 P.p.s.a., poprzez oddalenie skargi, pomimo, że Prezes Urzędu Ochrony Danych Osobowych dopuścił się naruszeń procedury administracyjnej, w stopniu mającym istotny wpływ na wynik sprawy:
a) art. 7 k.p.a. w zw. z art. 32 oraz art. 8 Konstytucji RP, poprzez ich błędną wykładnię i oddalenie skargi bez dokładnego wyjaśnienia stanu faktycznego, podczas gdy pogłębiona analiza okoliczności sprawy, daje podstawy do uznania, że postanowienie Prezesa Urzędu Ochrony Danych Osobowych zostało wydane z pominięciem interesu społecznego i słusznego interesu obywateli, w sposób niezgodny z zasadami prawdy obiektywnej oraz przy nieuwzględnieniu nadrzędnych norm konstytucyjnych;
b) art. 8 i art. 107 § 3 k.p.a. w zw. z art. 2 Konstytucji RP, poprzez ich nieuwzględnienie przez Wojewódzki Sąd Administracyjny w Warszawie i uznanie, że uzasadnienie zaskarżonego postanowienia, było skonstruowane i wydane w sposób należyty, podczas gdy z uwagi na zawarte w nim ogólne stwierdzenia, uniemożliwiono realizację zasady pogłębiania zaufania obywateli do organów administracji publicznej oraz przeprowadzenie kontroli zaskarżonego postanowienia, a także naruszono prawo do równego traktowania;
c) art. 6 i art. 7b k.p.a. w zw. z art. 2, art. 31 i art. 51 Konstytucji RP, poprzez ich nieuwzględnienie przez Wojewódzki Sąd Administracyjny w Warszawie i uznanie, że postanowienie Prezesa Urzędu Ochrony Danych Osobowych zostało wydane w sposób zgodny z porządkiem prawnym, podczas gdy doszło do nienależytego wypełnienia obowiązku zapewnienia ochrony prawnej danych osobowych oraz naruszenia godności człowieka;
d) art. 9 i art. 107 § 3 k.p.a. w zw. z art. 45 Konstytucji RP, poprzez ich błędną wykładnię i uznanie, że uzasadnienie postanowienia Prezesa Urzędu Ochrony Danych Osobowych jest wyczerpujące, podczas gdy na gruncie niniejszej sprawy, doszło do nienależytego wypełnienia obowiązku wyczerpującego informowania stron o okolicznościach faktycznych i prawnych, które mogą mieć wpływ na ustalenie ich praw oraz obowiązków, w szczególności poprzez niewskazanie drogi prawnej, za pomocą której skarżąca mogłaby dochodzić swoich praw;
e) art. 7, art. 77 § 1, art. 80 i art. 107 § 3 k.p.a. w zw. z art. 175 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych w zw. z art. 8 ust. 1 Karta Praw Podstawowych Unii Europejskiej (Dz. U. UE. C. z 2007 r. Nr 303, str. 1 ze zm., dalej KPP) oraz art. 16 ust. 1 TFUE, a także art. 8 Konwencji o Ochronie Praw Człowieka i Podstawowych Wolności sporządzona w Rzymie dnia 4 listopada 1950 r., zmieniona następnie Protokołami nr 3, 5 i 8 oraz uzupełniona Protokołem nr 2 (Dz. U. z 1993 r. Nr 61, poz. 284 ze zm.), poprzez brak rozpatrzenia skargi co do istoty sprawy i uznanie, że brak jest obecnie przepisów kompetencyjnych uprawniających organ do prowadzenia postępowania w przedmiocie oceny zgodności działania administratora z przepisami ustawy z dnia 29 sierpnia 1997 r., naruszając tym samym, wypływające z Karty Praw Podstawowych oraz TFUE prawo każdej osoby do ochrony danych osobowych jej dotyczących, podczas gdy z wyżej wskazanych przepisów wynika, że ustawodawca wprowadzając RODO, nie uchylił regulacji dotyczących przetwarzania danych osobowych w celu rozpoznania, zapobiegania, wykrywania i zwalczania czynów zabronionych oraz prowadzenia postępowań w sprawach dotyczących tych czynów, prowadzenia postępowań w sprawach dotyczących tych czynów oraz wykonywania orzeczeń w nich wydanych, kar porządkowych i środków przymusu w zakresie określonym w przepisach stanowiących podstawę działania służb i organów uprawnionych do realizacji zadań w tym zakresie;
f) art. 5, art. 6 oraz 58 RODO w zw. z art. 175 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych, poprzez ich błędną wykładnię i uznanie, że nie istnieje organ posiadający kompetencje do prowadzenia postępowania w przedmiocie oceny zgodności działania administratora z przepisami ustawy z dnia 29 sierpnia 1997 r., pozbawiając tym samym skarżącą ochrony prawnej, podczas gdy z wyżej wymienionej podstawy prawnej, wynika, że organem właściwym w zakresie kontroli przetwarzania danych osobowych jest Prezes Urzędu Ochrony Danych Osobowych, który to, powinien czuwać nad tym, aby dane osobowe przetwarzane były w sposób zapewniający odpowiednie bezpieczeństwo danych osobowych, w tym ochronę przed niedozwolonym lub niezgodnym z prawem przetwarzaniem oraz przypadkową utratą, zniszczeniem lub uszkodzeniem, za pomocą odpowiednich środków technicznych lub organizacyjnych;
2. art. 141 P.p.s.a., poprzez uzasadnienie wyroku, w sposób niejasny, nielogiczny i niespójny z wydanym rozstrzygnięciem, z uwagi na wskazanie w uzasadnieniu wyroku, że art. 58 RODO nie przyznaje Prezesowi Urzędu Ochrony Danych Osobowych uprawnień naprawczych na gruncie niniejszej sprawy, a następnie oddalenie skargi, podczas gdy argumentacja przedstawiona w skardze, wskazuje na wydanie postanowienia przez Prezesa Urzędu Ochrony Danych Osobowych w sposób niezgodny z prawem, co skutkować powinno uwzględnieniem skargi.
W odpowiedzi na skargę kasacyjną Prezes Urzędu Ochrony Danych Osobowych wniósł o jej oddalenie jako niezasadnej.
Naczelny Sąd Administracyjny zaważył, co następuje:
Zgodnie z art. 183 § 1 P.p.s.a., Naczelny Sąd Administracyjny rozpoznając skargę kasacyjną, związany jest jej granicami. Z urzędu bierze pod rozwagę wyłącznie nieważność postępowania. W rozpoznawanej sprawie żadna z enumeratywnie wymienionych w art. 183 § 2 P.p.s.a. przesłanek nieważności postępowania nie zachodzi, stąd NSA rozpoznał skargę kasacyjną w jej granicach.
Na wstępie należy podnieść, że w ocenie Naczelnego Sądu Administracyjnego nie zaistniały na gruncie rozpatrywanej sprawy przesłanki do zawieszenia postępowania na podstawie art. 124 § 1 pkt 5 P.p.s.a i skierowania w trybie art. 267 TFUE pytania prejudycjalnego. W sprawie nie wystąpiły bowiem wątpliwości uzasadniające zwrócenie się do Trybunału Sprawiedliwości Unii Europejskiej z pytaniem w trybie prejudycjalnym, ponieważ zagadnienie stosowania przepisów o ochronie danych osobowych w okresie po wejściu w życie RODO może być rozpoznane na podstawie obowiązujących przepisów prawa krajowego i unijnego.
Odnosząc się do zarzutów skargi kasacyjnej wskazać należy, że niezasadny jest zarzut obrazy art. 141 P.p.s.a. poprzez sporządzenie uzasadnienia rozstrzygnięcia w sposób niejasny, nielogiczny i niespójny. Przypomnieć należy, że uzasadnienie wyroku jest aktem o doniosłym znaczeniu społecznym, a przede wszystkim procesowym pełniącym dwojaką funkcję. Z jednej strony ma charakter informacyjny względem stron postępowania sądowoadministracyjnego. Strona, chcąc skutecznie zaskarżyć wyrok Sądu I instancji musi poznać przyjęty przez ten sąd stan faktyczny sprawy oraz argumenty przemawiające za rozstrzygnięciem zawartym w zaskarżonym wyroku pozwalające na należyte wywiedzenie zarzutów skargi kasacyjnej. Z drugiej strony, uzasadnienie wyroku umożliwia Naczelnemu Sądowi Administracyjnemu ocenę zasadności przesłanek, na których oparto zaskarżone orzeczenie. Jest to niezbędne dla przeprowadzenia prawidłowej kontroli instancyjnej. Zatem do sytuacji, kiedy wadliwość uzasadnienia wyroku może stanowić usprawiedliwioną podstawę skargi kasacyjnej, należy zaliczyć tę, gdy to uzasadnienie nie pozwala na kontrolę kasacyjną orzeczenia. Sytuacja ta nie ma miejsca w rozpoznawanej sprawie, ponieważ uzasadnienie zaskarżonego wyroku zawiera wszystkie wymagane elementy, wyczerpująco wyjaśniające podstawy rozstrzygnięcia.
Również niezasadne są zarzuty naruszania przepisów postępowania administracyjnego, tj. art. 7, art. 8, art. 6, art. 7b, art. 9 i art. 107 § 3 k.p.a. w z w z art. 2, art. 31, art. 45 i art. 51 Konstytucji RP poprzez uznanie, że zaskarżone postanowienie jest zgodne z prawem. Wyjaśnić należy, że Sąd nie stosuje wprost przepisów regulujących postępowanie przed organami administracji publicznej, stąd też jego związanie tymi przepisami sprowadza się do obowiązku sformułowania oceny prawnej, czy proces podjęcia decyzji stosowania prawa przez organ administracji był prawidłowy. Nie budzi wątpliwości, że sformułowanie tej oceny wymaga odpowiedzi na szereg pytań, pytań takich samych jak te, na które musi odpowiedzieć organ administracji bezpośrednio stosujący te przepisy. To nie wojewódzki sąd administracyjny stosuje te przepisy, lecz posługuje się nimi jedynie jako matrycą porównawczą, w celu ustalenia czy postępowanie organu w tym zakresie jest zgodne z ustalonym porządkiem prawnym. I w uzasadnieniu kontrolowanego wyroku Sąd I instancji dał wyraz swojej argumentacji odnosząc się do całokształtu sprawy i zgromadzonego przez organy administracyjne materiału dowodowego. Uchybienie przez sąd przepisom regulującym postępowanie organów administracji publicznej ma charakter pośredni i wynikać może jedynie z uchybienia przez Sąd I instancji przepisom P.p.s.a. Oznacza to, że procedując wojewódzki sąd administracyjny nie stosuje przepisów k.p.a., lecz kontroluje, czy postępowanie organów odpowiadało tym przepisom. Wszystkie elementy stanu faktycznego powoływane przez pełnomocnika skarżącej zostały ustalone i udokumentowane w zgromadzonym materiale dowodowym oraz znalazły wyraz w uzasadnieniu zaskarżonego postanowienia. W tym kontekście podzielić należy stanowisko Sądu I instancji, że wyjaśniono wszystkie istotne dla sprawy okoliczności, a materiał dowodowy w sprawie został zgromadzony w sposób wyczerpujący.
Natomiast podstawowy problem w sprawie nie dotyczy wyjaśnienia jej stanu faktycznego, ale zastosowania przepisów prawa materialnego. W tym zakresie należy uznać za zasadne zarzuty obrazy art. 7, art. 77 § 1, art. 80 i art. 107 § 3 k.p.a. w zw. z art. 175 ustawy z dnia 10 maja 2018 r. w zw. z art. 8 ust. 1 Karty Praw Podstawowych Unii Europejskiej oraz art. 16 ust. 1 TFUE, art. 8 Konwencji o Ochronie Praw Człowieka i Podstawowych Wolności oraz art. 5, art. 6 oraz art. 58 RODO.
Przypomnieć należy, że spór dotyczy tego, czy organ – Prezes UODO jest uprawniony do wszczęcia postępowania dotyczącego naruszenia danych osobowych skarżącej, które miało miejsce w dniu 24 sierpnia 2017 r., a więc pod rządami ustawy o ochronie danych osobowych z dnia 29 sierpnia 1997 r., ale podanie o wszczęcie postępowania w tym zakresie zostało złożone w dniu 10 sierpnia 2020 r., tj. pod rządzami ustawy z dnia 10 maja 2018 r. i przepisów RODO. Zdaniem organu jak i Sądu I instancji w takiej sytuacji brak jest podstaw do wszczęcia postępowania, ponieważ proces przetwarzania danych osobowych rozpoczął się i zakończył przed dniem 25 maja 2018 r., a więc przed wejściem w życie RODO. Przepisy RODO jednoznacznie zaś określają, że ma ono zastosowanie od dnia 25 maja 2018 r., a więc dotyczy zdarzeń występujących po tej dacie. W zakresie zaś zdarzeń przed tą datą art. 160 ust. 1 i 2 ustawy z dnia 10 maja 2018 r. określa, że do postępowań wszczętych i niezakończonych przed dniem wejścia w życie RODO stosuje się przepisy dotychczasowe. Skoro zatem nie wszczęto pod rządami ustawy z dnia 29 sierpnia 1997 r. postępowania przed poprzednikiem Prezesa Urzędu Ochrony Danych Osobowych - Generalnym Inspektorem Ochrony Danych Osobowych postępowania w sprawie przetwarzania danych strony w dniu 24 sierpnia 2017 r. a RODO stosuje się dopiero do zdarzeń zaistniałych po jego wejściu w życie – to brak jest podstaw prawnych do podjęcia postępowania przez organ.
Pogląd taki jest nie do przyjęcia w świetle art. 16 ust. 1 TFUE, który jednoznacznie statuuje, że "każda osoba ma prawo do ochrony danych osobowych jej dotyczących". Prawo unijne zatem przyznaje osobom fizycznym zamieszkującym Wspólnotę prawo do ochrony ich danych osobowych niezależnie od tego w jakim okresie lub miejscu były one naruszone. Podobnie Konstytucja RP w art. 51 ust. 1 ustanawia zakaz dowolnego przetwarzania danych osobowych, ponieważ administrator takich danych zawsze jest zobowiązany do wykazania przepisu ustawy zezwalającej mu na takie czynności. Tymczasem przyjęcie stanowiska zaprezentowanego w zaskarżonym orzeczeniu oznaczałoby, że wbrew ww. przepisom Polacy, którzy uznają, że ich dane osobowe były przetwarzane niezgodnie z prawem przed wejściem w życie przepisów RODO, ale zgłoszą wniosek o wszczęcie postępowania w tej sprawie po wejściu w życie RODO, faktycznie znaleźliby się w swego rodzaju "pułapce prawnej", wobec odmowy ochrony ze strony narodowego organu ochrony. Takie stanowisko jest niedopuszczalne.
W sprawie istotnym jest wskazanie, że w ustawie o ochronie danych osobowych z 2018 r. zawarto regulację intertemporalną odnoszącą się do postępowań administracyjnych wszczętych i niezakończonych przed wejściem w życie przepisów tej ustawy. Stosownie do treści art. 160 ust. 2 ustawy z 10 maja 2018 r. postępowania wszczęte i niezakończone przed 25 maja 2018 r. prowadzi się na podstawie ustawy o ochronie danych osobowych z 1997 r., zgodnie z zasadami określonymi w k.p.a. Wykładnia tego przepisu wskazuje, że odnosi się on jedynie do postępowań już wszczętych przez organ. Określa on bowiem jedynie, że w postępowaniach wszczętych pod rządami poprzednio obowiązującej ustawy z 1997 r., które nie zostały prawomocnie zakończone do czasu uchylenia tej ustawy, należy stosować ten akt prawny i to zarówno w zakresie podejmowanych czynności proceduralnych, jak i materialnoprawnej oceny zdarzeń będących przedmiotem postępowania. Brak jest, jednakże przepisu przejściowego regulującego postępowania, które zostały wszczęte po wejściu w życie nowej ustawy, a dla których przesłanki faktyczne determinujące jego wszczęcie wystąpiły jeszcze przed wejściem w życie nowych przepisów. Ustawa o ochronie danych osobowych z 2018 r. nie wprowadza swego rodzaju prekluzji w możliwości zgłaszania wniosków o wszczęcie postępowania przez organ.
Podstawową zasadą znajdującą zastosowanie przy braku przepisów intertemporalnych - aprobowaną przez Trybunał Sprawiedliwości Unii Europejskiej - jest nakaz stosowania przepisów obowiązujących w momencie zakończenia zdarzeń, które miały miejsce przed wejściem w życie nowych przepisów, ale trwają jeszcze po ich wejściu w życie. Do zdarzeń natomiast, które zakończyły swój bieg przed wejściem w życie nowych przepisów, należy stosować przepisy w dotychczasowym brzmieniu (por. wyroki TSUE: w sprawie C - 201/04 z dnia 23 lutego 2006 r.; zob. również wyroki w sprawach połączonych C - 121/91 i C - 122/91 z dnia 6 lipca 1993 r. w sprawie C - 61/98 z dnia 7 września 1999 r. oraz w sprawie C - 251/00 z dnia 14 listopada 2002 r.). Zasada ta znajduje swoje odzwierciedlenie również w systemie prawa krajowego. W szczególności zasada demokratycznego państwa prawa i wynikająca z niej zasada niedziałania prawa wstecz (art. 2 Konstytucji RP) w związku z zasadą zaufania wyrażoną w art. 8 k.p.a. wskazują, że w przypadku braku ustanowienia przez ustawodawcę przepisu przejściowego do zdarzeń prawnych stosuje się przepisy obowiązujące w momencie ich zaistnienia.
W judykaturze podkreśla się fundamentalne znaczenie zasady niedziałania prawa wstecz jako jednej z podstawowych zasad prawa międzyczasowego. I tak np. w wyroku Naczelnego Sądu Administracyjnego z dnia 26 października 2017 r., sygn. akt II GSK 24/16, wskazano, że zasada lex retro non agit jest adresowana przede wszystkim do ustawodawcy i zakazuje mu stanowienia norm prawnych, które miałyby być stosowane do zdarzeń, sytuacji, które miały miejsce i zostały zakończone przed wejściem w życie tych norm. Zasada ta nie ma charakteru bezwzględnego, można od niej odstąpić, jednakże wyjątkowo, jeżeli przemawia za tym konieczność ochrony innych wartości konstytucyjnych niż bezpieczeństwo prawne i zaufanie obywateli do państwa zagrożone pogorszeniem ich sytuacji prawnej wskutek nałożenia na nich określonych obowiązków z mocą wsteczną. Dalej Naczelny Sąd Administracyjny wywiódł, że nawet jeżeli przyjąć, że zasadą ogólną jest bezpośrednie działanie prawa, to z samej tej zasady nie można wyprowadzać domniemania, że wobec braku konkretnej wypowiedzi ustawodawcy, przepis, zwłaszcza materialnoprawny może mieć zastosowanie z mocą wsteczną. Granice jego zastosowania w czasie wyznacza zasada lex retro non agit.
Z kolei w wyroku z dnia 6 stycznia 2010 r., sygn. akt II GSK 266/09, Naczelny Sąd Administracyjny wskazał, że w razie kolizji, czy w sprawie ma zastosowanie przepis dotychczasowy, czy nowy, przyjmuje się, że przepis dotychczasowy ma zastosowanie, jeżeli pod jego rządem powstał (zmienił się albo wygasł) stosunek prawny, którego treść została bezpośrednio wyznaczona przez ten przepis. Na tej podstawie sformułowana została ogólna zasada, w myśl której nowa ustawa nie może być stosowana przy ocenie tak pozytywnych, jak i negatywnych skutków zdarzeń prawnych, które nastąpiły przed jej wejściem w życie.
W okolicznościach niniejszej sprawy zdarzenia prawne będące przedmiotem oceny materialnoprawnej Prezesa UODO miały miejsce przed dniem 25 maja 2018 r., a więc w czasie, gdy obowiązywała ustawa o ochronie danych osobowych z 1997 r. To, czy istotnie doszło do nieprawidłowości w procesie przetwarzania danych osobowych, wymagało oceny organu przy zastosowaniu odpowiedniego przepisu prawa materialnego. O zastosowaniu starego czy nowego prawa powinien decydować zaś moment, w którym doszło do ocenianego zdarzenia, to jest udostępnienia danych osobowych. Jak zasadnie wskazał Naczelny Sąd Administracyjny w uzasadnieniu wyroków z dnia 15 stycznia 2021 r., sygn. akt III OSK 2892/21 i z dnia 21 marca 2025 r., sygn. akt III OSK 274/22, - problematyka intertemporalna w ustawie o ochronie danych osobowych z 2018 r. nie została uregulowana przez ustawodawcę w sposób wyczerpujący. Zakresem regulacji objęta została tylko kwestia postępowań wszczętych i niezakończonych przez Generalnego Inspektora Ochrony Danych Osobowych przed 25 maja 2018 r. Uwadze ustawodawcy umknęły zaś wszelkie inne kwestie prawa międzyczasowego. Brak jest przepisów odnoszących się do przypadków, gdy postępowania nie zostały jeszcze wszczęte, a zdarzenia objęte nimi miały miejsce przed 25 maja 2018 r. Nie rozstrzygnął on problemów stosunków prawnych lub faktów, które powstały lub wystąpiły pod rządami dawnego prawa i trwają po jego uchyleniu pod rządami nowego prawa, jak również stosunków prawnych lub faktów, które wystąpiły i zakończyły się pod rządami starego prawa, a postępowania administracyjne odnoszące się do nich zostały wszczęte dopiero po 25 maja 2018 r.
W ocenie Naczelnego Sądu Administracyjnego, z przepisu art. 160 ust. 2 ustawy o ochronie danych osobowych z 2018 r. wynika, że stare prawo znajduje dalsze zastosowanie do spraw wszczętych i nie zakończonych przed 25 maja 2018 r. W takich przypadkach wyłączną podstawą orzekania przez organ będą stanowić przepisy starego prawa. Do wszystkich pozostałych sytuacji stosowania prawa organ, w związku z treścią przepisów art. 2 i art. 7 Konstytucji RP oraz art. 6 k.p.a., obowiązany będzie zastosować nowe prawo, mimo że fakty prawne, które miałyby zostać rozstrzygnięte w drodze aktu stosowania prawa zaszły w czasie zanim weszło w życie nowe prawo.
Mając na uwadze powyższe zapatrywanie zasadną jest konstatacja, że zdarzenie stanowiące podstawę złożenia przez skarżącą kasacyjnie skargi do Prezesa UODO powinno podlegać ocenie według przepisów prawa materialnego obowiązujących w dniu, w którym dane zdarzenie miało miejsce. Postępowanie administracyjne w tym przedmiocie powinno być zaś prowadzone w oparciu o ustawę o ochronie danych osobowych z 2018 r. oraz RODO, gdyż stosowny wniosek skarżącej kasacyjnie wpłynął do organu w dniu 10 sierpnia 2020 r. Nie do pogodzenia z istotą wymiaru sprawiedliwości jest bowiem przyjęcie interpretacji przepisów w sposób, który prowadziłby do sytuacji, w której - z uwagi na brak przepisów intertemporalnych - obywatel pokrzywdzony naruszeniem przepisów o ochronie danych osobowych nie mógłby dochodzić swoich praw, a określony podmiot pozostawałby w istocie bezkarny, nawet pomimo oczywistego naruszenia przepisów o ochronie danych osobowych.
W konsekwencji Naczelny Sąd Administracyjny uznał, na podstawie art. 188 P.p.s.a., że skarga kasacyjna zasługuje na uwzględnienie i uchylił zaskarżony wyrok Sądu I instancji, a nadto, wobec uznania, że istota sprawy jest dostatecznie wyjaśniona, na podstawie art. 145 § 1 pkt 1 lit. a i c) P.p.s.a., uchylił zaskarżone postanowienie Prezesa UODO.
W sprawie Naczelny Sąd Administracyjny nie orzekł o przyznaniu pełnomocnikowi wnoszącemu skargę kasacyjną wynagrodzenia na zasadzie prawa pomocy, gdyż przepisy art. 209 i 210 P.p.s.a. mają zastosowanie tylko do kosztów postępowania pomiędzy stronami. Wynagrodzenie dla pełnomocnika ustanowionego z urzędu za wykonaną pomoc prawną, należne od Skarbu Państwa (art. 250 P.p.s.a.), przyznawane jest przez wojewódzki sąd administracyjny w postępowaniu określonym w przepisach art. 258 - 261 P.p.s.a.