III OSK 1854/22

III OSK 1854/22 - Wyrok NSA
Data orzeczenia
2025-10-10
orzeczenie prawomocne
Data wpływu
2022-07-28
Sąd
Naczelny Sąd Administracyjny
Sędziowie
Mariusz Kotulski /sprawozdawca/
Olga Żurawska - Matusiak
Wojciech Jakimowicz /przewodniczący/
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne
Inne
Sygn. powiązane
I OSK 748/25 - Wyrok NSA z 2025-10-16
II SA/Wa 116/24 - Wyrok WSA w Warszawie z 2024-06-18
II SA/Wa 3253/21 - Wyrok WSA w Warszawie z 2022-03-29
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Oddalono skargę kasacyjną
Powołane przepisy
Dz.U. 2024 poz 935
art.133 §1, art.134 §1, art.135, art.145 §1 pkt 1 lit. c, art.141 §4
Ustawa z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (t. j.)
Dz.U. 2022 poz 2000
art.107 §1 i 3, art.7, art.10. art.77. art.78, art.80, art.107, art.105
Ustawa z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego - t.j.
Sentencja
Naczelny Sąd Administracyjny w składzie: Przewodniczący: Sędzia NSA Wojciech Jakimowicz Sędziowie: Sędzia NSA Olga Żurawska-Matusiak Sędzia del. WSA Mariusz Kotulski (spr.) Protokolant: asystent sędziego Aleksandra Kraus po rozpoznaniu w dniu 10 października 2025 r. na rozprawie w Izbie Ogólnoadministracyjnej skargi kasacyjnej A. P. od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 29 marca 2022 r. sygn. akt II SA/Wa 3253/21 w sprawie ze skargi A. P. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] lipca 2021 r., nr [...] w przedmiocie umorzenia postępowania oddala skargę kasacyjną.
Uzasadnienie
Wojewódzki Sąd Administracyjny w Warszawie wyrokiem z dnia 29 marca 2022 r. sygn. akt II SA/Wa 3253/21 oddalił skargę A. P. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia 9 lipca 2021 r. nr ZSZZS.440.181.2019.OR.130818,130820 w przedmiocie umorzenia postępowania.
Wyrok zapadł w następującym stanie faktycznym i prawnym sprawy.
W dniu 27 listopada 2018 r. (data wpływu do organu) A. P. (dalej: "wnioskodawczyni", "skarżąca") wniosła do Prezesa Urzędu Ochrony Danych Osobowych (dalej: "Prezes UODO", "organ") skargę na nieprawidłowości w procesie przetwarzania jej danych osobowych przez Centrum Medyczne "Żelazna" Sp. z o.o. z siedzibą w Warszawie przy ul. Żelaznej 90 (dalej: "Centrum Medyczne", "Spółka"), polegające na ich udostępnieniu osobom trzecim.
W treści złożonej skargi wnioskodawczyni podniosła, że w jej imieniu nieustalona osoba złożyła z jej adresu e-mail wniosek do Państwowej Inspekcji Pracy (dalej: "PIP") o wszczęcie postępowania kontrolnego wobec spółki, wykorzystując jej dane osobowe przechowywane i przetwarzane przez spółkę, w związku z pozostawaniem przez skarżącą w stosunku pracy ze spółką oraz świadczeniem przez spółkę na jej rzecz świadczeń zdrowotnych. Wniosek do PIP zawierał dane osobowe skarżącej takie jak: imię i nazwisko oraz adres zamieszkania. W ocenie skarżącej doszło do naruszenia poufności jej danych osobowych, polegające na nieuprawnionym ujawnieniu jej danych osobowych osobie nieupoważnionej, co skutkowało kradzieżą jej tożsamości. Osoba nieupoważniona podszyła się pod skarżącą składając wniosek do PIP, co naraziło ją na utratę dobrego imienia w miejscu pracy. Wnioskodawczyni wniosła o nakazanie Centrum Medycznemu usunięcia uchybień w procesie przetwarzania danych osobowych, poprzez ograniczenie przetwarzania jej danych do czasu wyjaśnienia okoliczności, w jakich doszło do naruszenia poufności i wdrożenia odpowiednich procedur, mających na celu zapobieganiu takim incydentom w przyszłości. Ponadto wniosła o nałożenie administracyjnej kary pieniężnej na administratora.
Prezes Urzędu Ochrony Danych Osobowych decyzją z dnia 9 lipca 2021 r. nr ZSZZS.440.181.2019.OR.130818,130820, na podstawie art. 105 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2021 r. poz. 735, zwana dalej "k.p.a.") w zw. z art. 7 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781, zwana dalej: "u.o.d.o.") na podstawie art. 58 ust. 2 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z 04.05.2016, str. 1, ze zm., zwane dalej: RODO), umorzył postępowanie.
W uzasadnieniu organ ustalił, że skarżąca była pracownikiem Spółki do 31 października 2018 r. oraz pacjentką korzystającą z usług medycznych Centrum Medycznego. Do Okręgowego Inspektora Pracy w Warszawie wpłynęło za pośrednictwem poczty elektronicznej pismo (skarga) dotycząca rzekomych nieprawidłowości mających miejsce na Oddziale [...] Centrum Medycznego. W ww. piśmie (skardze) podane były dane osobowe skarżącej w zakresie jej imienia, nazwiska oraz adresu zamieszkania.
Spółka oświadczyła, że nie posiada wiedzy o żadnych zdarzeniach, które mogłyby skłonić ją do wniosku, że doszło do wycieku danych osobowych jej pracowników czy pacjentów, które następnie mogło doprowadzić do sytuacji, opisanej w skardze wnioskodawczyni. Spółka wdrożyła środki techniczne oraz organizacyjne w celu zapewnienia właściwego zabezpieczenia przetwarzanych danych osobowych, w tym danych skarżącej, w szczególności: każda osoba przed przystąpieniem do pracy przy przetwarzaniu danych osobowych przechodzi szkolenie z zakresu przepisów dotyczących ochrony danych osobowych, a osoby zatrudnione przy przetwarzaniu danych osobowych zostają pisemnie zobowiązane do zachowania ich w tajemnicy. Ponadto przetwarzanie danych osobowych dokonywane jest w warunkach zabezpieczających dane przed dostępem osób nieupoważnionych - w wydzielonych i przeznaczonych do tego pomieszczeniach i przez osoby posiadające właściwe upoważnienia, zgodnie z obowiązującą procedurą nadawania uprawnień. Pomieszczenia, w których przechowywane są dane osobowe, wyposażono w odpowiednie zabezpieczenia - szafy zamykane na klucz, dostęp na karty dostępu.
Dostęp do danych elektronicznych mają wyłącznie pracownicy o nadanych uprawnieniach, zgodnie z przyznanym zakresem, zatwierdzonym przez Zarząd. Zalogowanie się do systemu informatycznego wymaga podania nazwy użytkownika i hasła; stosowane są mechanizmy wymuszające okresową zmianę haseł dostępu do systemu służącego do przetwarzania danych. Dostęp do danych osobowych skarżącej w zakresie jej imienia, nazwiska i adresu zamieszkania w zakresie dokumentacji pracowniczej mieli upoważnieni pracownicy (Zarząd, pracownicy Działu Zarządzania Zasobami Ludzkimi, pracownicy Sekcji Informatyki, Asystentka Zarządu), uprawnione organy kontrolne oraz podmioty uprawnione na podstawie umowy powierzenia danych (firmy obsługujące system informatyczny w zakresie objęcia nadzorem autorskim modułów oprogramowania aplikacyjnego Infomedica). Natomiast w zakresie dokumentacji medycznej byli to: upoważnieni pracownicy (personel medyczny, personel Działu Dokumentacji i Statystyki Medycznej, pracownicy rejestracji Przychodni Specjalistycznej [...], pracownicy Sekcji Informatyki), podmioty uprawnione na podstawie umowy powierzenia danych (firmy obsługujące system informatyczny w zakresie objęcia nadzorem autorskim modułów oprogramowania aplikacyjnego AMMS) oraz uprawnione organy kontrolne.
Spółka nie wyklucza, że wnioskodawczyni pracując dłuższy czas w Centrum Medycznym (od 16 marca 2012 r. do 31 października 2018 r.) weszła w bliższe relacje ze współpracownikami, którzy poprzez to mogli być w posiadaniu jej danych. Złożenie e-skargi do Okręgowego Inspektoratu Pracy nie wymaga uwierzytelnienia podanych danych.
Prokuratura Rejonowa Warszawa-Wola w Warszawie prowadzi wszczęte w dniu 31 stycznia 2019 r. postępowanie przygotowawcze z zawiadomienia skarżącej w sprawie podszycia się pod nią w skardze przesłanej za pośrednictwem sieci internet w dniu 25 września 2018 r. do Okręgowej Inspekcji Pracy przy ul. Płockiej 11/13 w Warszawie, na warunki pracy na Oddziale [...] w Centrum Medycznym [...], w celu wyrządzenia ww. szkody osobistej i majątkowej, tj. o czyn z art. 190a § 2 Kodeksu karnego. Dotychczas nie ustalono sprawcy. Prokuratura nie dysponuje wiedzą w zakresie źródła pozyskania danych osobowych wnioskodawczyni.
Na powyższą decyzję skarżąca wniosła skargę do Wojewódzkiego Sądu Administracyjnego w Warszawie.
W odpowiedzi na skargę organ wniósł o jej oddalenie, podnosząc argumentację tożsamą z zaprezentowaną w zaskarżonej decyzji.
Wojewódzki Sąd Administracyjny w Warszawie w powołanym wyżej wyroku oddalił skargę A. P. uznając, że zaskarżona decyzja została wydana zgodnie z prawem.
Uzasadniając swoje stanowisko Sąd I instancji wskazał, że Prezes UODO prawidłowo ustawił stan faktyczny niniejszej sprawy, a w konsekwencji zaistniały przesłanki umorzenia postępowania, opisane w art. 105 § 1 k.p.a.
W rozpoznawanej sprawie Sąd podzielił konkluzję organu, że skarżąca w żaden sposób nie uprawdopodobniła swoich twierdzeń, iż osoba nieuprawniona wysłała z jej adresu e-mail skargę do PIP, w szczególności, że można przypisać jakiekolwiek naruszenie w tym zakresie Spółce, lub że Centrum Medyczne udostępniła jej dane osobowe osobom nieupoważnionym. Skarżąca nie przedstawiła również żadnych dowodów ani materiałów, które dałyby podstawę do zakwestionowania oświadczenia Spółki, pozyskanego w toku postępowania administracyjnego. Wyjaśnienia Centrum Medycznego w sprawie były stanowcze i konsekwentne, a podejrzenia skarżącej nie poparte żadnymi dowodami ani przekonującymi argumentami. Również w toczącym się postępowaniu karnym z zawiadomienia skarżącej nie wykryto nieuprawnionego dostępu do danych skarżącej, za który odpowiedzialność ponosiłaby Spółka. Sąd nie miał wątpliwości co do prawdziwości oraz prawidłowości zgromadzonego w sprawie materiału dowodowego, którego analiza oraz ocena nie potwierdziła stawianych przez skarżącą zarzutów.
W ocenie Sądu w toku prowadzonego postępowania administracyjnego nie doszło do naruszenia powoływanych w skardze art. 7, art. 77 i art. 80 ani 107 k.p.a., poprzez niewyjaśnienie w sposób dokładny stanu faktycznego sprawy oraz wydanie decyzji w oparciu o niekompletny materiał dowodowy. Organ przeprowadził wymagane prawem postępowanie, wystarczające dla ustalenia okoliczności mających podstawowe znaczenie dla rozstrzygnięcia sprawy.
Sąd I instancji stwierdził, że nie świadczy o wadliwości wydanej decyzji to, że skarżąca jej nie akceptuje i się z nią nie zgadza. Logiczne powiązanie ustalonych faktów i okoliczności sprawy doprowadziło organ do trafnego wniosku, że postępowanie w sprawie jest bezprzedmiotowe. W szczególności brak logicznych podstaw do obciążania Spółki odpowiedzialnością za wysłanie skargi do PIP z adresu e-mail skarżącej (z jej danymi osobowymi).
Skargę kasacyjną od tego wyroku wniosła A. P., zaskarżając wyrok w całości i zarzucając mu naruszenie przepisów postępowania, które miało istotny wpływ na jego wynik, to jest:
1. naruszenie przepisu art. 133 § 1 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2022 r. poz. 329, dalej: "p.p.s.a.") poprzez dokonanie przez Wojewódzki Sąd Administracyjny w Warszawie ustaleń faktycznych w sprzeczności z materiałem dowodowym zgromadzonym w aktach sprawy, poprzez stwierdzenie, że wniosek o wszczęcie postępowania kontrolnego do PIP został wysłany w imieniu skarżącej z jej adresu e-mail, co stoi w sprzeczności w szczególności z treścią inicjującej postępowanie administracyjne skargi A. P. wniesionej do Prezesa Urzędu Ochrony Danych Osobowych, a także ustaleniami postępowania karnego prowadzonego przez Prokuraturę Rejonową Warszawa-Wola w Warszawie,
2. naruszenie art. 134 § 1 p.p.s.a. w zw. z art. 135 p.p.s.a. oraz art. 145 § 1 pkt 1 c p.p.s.a., polegające na nie zastosowaniu się do obowiązku usunięcia naruszeń prawa, do których doszło w granicach sprawy, której dotyczyła skarga i zasady niezwiązania Sądu granicami skargi, poprzez nieuwzględnienie obrazy przepisów:
- art. 107 § 1 i 3 k.p.a. poprzez pominięcie w uzasadnieniu decyzji Prezesa Urzędu Ochrony Danych Osobowych argumentacji uzasadniającej nieuwzględnienie zgłoszonego w terminie wniosku dowodowego (dowody z materiałów zgromadzonych w postępowaniu przygotowawczym nadzorowanym przez Prokuraturę Rejonową dla Warszawy-Woli w Warszawie),
- art. 7, 10, 77, 78, 80 w zw. z art. 107 k.p.a., poprzez nieuzasadnione w żaden sposób pominięcie zgłoszonych w terminie przez stronę wniosków dowodowych i wydania decyzji w oparciu o niekompletny materiał dowodowy,
- art. 7 i 77 k.p.a. poprzez nie przeprowadzenie z urzędu niezbędnego postępowania dowodowego w sprawie,
- art. 105 k.p.a., poprzez uchylenie się organu od merytorycznego rozstrzygnięcia w sytuacji, kiedy w sprawie nie zachodzi przesłanka "bezprzedmiotowości"
i nie uchylenie w związku z tym zaskarżonej decyzji,
3. art. 145 § 1 pkt 1 lit. c p.p.s.a. w zw. z art. 105 k.p.a. poprzez nieuchylenie zaskarżonej decyzji i uznanie, że w sprawie zachodzi przesłanka "bezprzedmiotowości",
4. naruszenie art. 141 § 4 p.p.s.a., poprzez pominięcie w uzasadnieniu wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie argumentów uzasadniających nieuwzględnienie zarzutów podniesionych przez skarżącą w skardze na decyzję Prezesa Urzędu Ochrony Danych Osobowych nr ZSZZS.440.181.2019.0R.130818 z dnia 9 lipca 2021 r., co uniemożliwia merytoryczną kontrolę instancyjną postępowania sądowoadministracyjnego, szczególnie w zakresie zastosowania przesłanki bezprzedmiotowości oraz pominięcia przez organ bez uzasadnienia zgłoszonego przez skarżącą w terminie wniosku dowodowego o dopuszczenie dowodów z materiałów zgromadzonych w aktach postępowania prowadzonego przez Prokuraturę Rejonową Warszawa-Wola w Warszawie (sygn. PR 4 Ds 386.2020).
Mając powyższe na uwadze skarżący kasacyjnie wniósł o uchylenie zaskarżonego wyroku w całości i przekazanie w całości sprawy do ponownego rozpoznania Wojewódzkiemu Sądowi Administracyjnemu w Warszawie, a także zasądzenie zwrotu kosztów procesu według norm przepisanych.
Powyższe zarzuty rozwinięto w uzasadnieniu skargi kasacyjnej.
Pismem uzupełniającym skargę kasacyjną z dnia 8 lipca 2022 r. skarżąca kasacyjnie wniosła o rozpoznanie skargi kasacyjnej na rozprawie.
Odpowiedzi na skargę kasacyjną nie wniesiono.
Naczelny Sąd Administracyjny zważył, co następuje:
Zgodnie z art. 183 § 1 p.p.s.a. Naczelny Sąd Administracyjny przy rozpatrywaniu sprawy na skutek wniesienia skargi kasacyjnej związany jest granicami tej skargi, a z urzędu bierze pod rozwagę tylko nieważność postępowania w wypadkach określonych w § 2, z których żaden w rozpoznawanej sprawie nie zachodzi. Oznacza to, że przytoczone w skardze kasacyjnej przyczyny wadliwości prawnej zaskarżonego orzeczenia determinują zakres kontroli dokonywanej przez Naczelny Sąd Administracyjny. Sąd ten, w odróżnieniu od wojewódzkiego sądu administracyjnego, nie bada całokształtu sprawy, lecz tylko weryfikuje zasadność zarzutów postawionych w skardze kasacyjnej.
Podstawy, na których można oprzeć skargę kasacyjną zostały określone w art. 174 p.p.s.a. Przepis art. 174 pkt 1 p.p.s.a. przewiduje dwie postacie naruszenia prawa materialnego, a mianowicie błędną jego wykładnię lub niewłaściwe zastosowanie. Przez błędną wykładnię należy rozumieć niewłaściwe zrekonstruowanie treści normy prawnej wynikającej z konkretnego przepisu, natomiast przez niewłaściwe zastosowanie, dokonanie wadliwej subsumcji przepisu do ustalonego stanu faktycznego. Również druga podstawa kasacyjna wymieniona w art. 174 pkt 2 p.p.s.a. – naruszenie przepisów postępowania – może przejawiać się w tych samych postaciach, co naruszenie prawa materialnego, przy czym w wypadku oparcia skargi kasacyjnej na tej podstawie skarżący powinien nadto wykazać istotny wpływ wytkniętego uchybienia na wynik sprawy.
Jako niezasadny ocenić należy zarzut naruszenia art. 133 p.p.s.a. Zgodnie z brzmieniem art. 133 § 1 p.p.s.a. "Sąd wydaje wyrok po zamknięciu rozprawy na podstawie akt sprawy (..)". Orzekanie "na podstawie akt sprawy" oznacza, że sąd w procesie kontroli sądowoadministracyjnej bierze pod uwagę okoliczności, które z akt tych wynikają. Podstawą orzekania przez sąd administracyjny jest zatem materiał dowodowy zgromadzony przez organ administracji publicznej w toku postępowania przed tym organem oraz przed sądem (uwzględniając treść art. 106 § 3 p.p.s.a.). Wskazany wyżej przepis mógłby zostać naruszony, gdyby sąd wyszedł poza ten materiał i dopuścił na przykład dowód z przesłuchania świadków. Obowiązek wydania wyroku na podstawie akt sprawy oznacza bowiem jedynie zakaz wyjścia poza materiał znajdujący się w aktach sprawy (por. wyrok NSA z dnia 7 marca 2013 r., II GSK 2374/11, LEX nr 1296049). Należy przy tym odróżnić poddanie sądowej kontroli działalności administracji publicznej na podstawie innego materiału niż akta sprawy od wydania wyroku na podstawie akt sprawy, z przyjęciem np. odmiennej oceny materiału dowodowego zawartego w tych aktach (por. wyrok NSA z dnia 5 kwietnia 2012 r., I OSK 1749/11, LEX nr 1145067). W ramach zarzutu art. 133 § 1 p.p.s.a. nie można skutecznie kwestionować dokonanej przez Sąd oceny dokumentów, o ile dokumenty te znajdują się w materiale zgromadzonym w aktach sprawy. Przepis art. 133 § 1 p.p.s.a. nie może służyć kwestionowaniu oceny materiału dowodowego, jak i ustaleń i oceny ustalonego w sprawie stanu faktycznego dokonanych przez sąd pierwszej instancji (por. wyrok NSA z dnia 9 listopada 2011 r., I OSK 1350/11, LEX nr 1149159; wyrok NSA z dnia 17 listopada 2011 r., II OSK 1609/10, LEX nr 1132105). Do naruszenia art. 133 § 1 p.p.s.a. dochodzi zatem wówczas, gdy sąd oddali skargę, mimo niekompletnych akt sprawy, gdy pominie istotną część tych akt, gdy przeprowadzi postępowanie dowodowe z naruszeniem przesłanek wskazanych w art. 106 § 3 p.p.s.a. oraz gdy oprze orzeczenie na własnych ustaleniach, tzn. dowodach lub faktach, nie znajdujących odzwierciedlenia w aktach sprawy, o ile nie znajduje to umocowania w art. 106 § 3 p.p.s.a. Z przepisu tego wynika więc nakaz wyprowadzania oceny prawnej na gruncie faktów i dowodów znajdujących odzwierciedlenie w aktach sprawy (por. wyrok NSA z dnia 26 maja 2010 r., I FSK 497/09, LEX nr 594014; wyrok NSA z dnia 19 października 2010 r., II OSK 1645/09, LEX nr 746707; wyrok NSA z dnia 5 czerwca 2012 r., II OSK 763/12, LEX nr 1219174). Sąd I instancji analizując i oceniając znajdujące się w aktach administracyjnych dokumenty nie mógł zatem naruszyć art. 133 § 1 p.p.s.a. Prawidłowość tej oceny nie może być skutecznie kwestionowana w drodze zarzutu naruszenia tego przepisu. Tymczasem sama treść tego zarzutu została sformułowana jako naruszenie ustaleń faktycznych. Co więcej sprzeczności w tym zakresie skarżąca kasacyjnie upatruje jedynie w stwierdzeniu Sądu I instancji, że "wniosek o wszczęcie postępowania kontrolnego do PIP został wysłany w imieniu skarżącej z jej adresu e-mail". Pomijając, że taka nieścisłość nie miała żadnego wpływu na wynik sprawy, to zwrócić należy uwagę, że stwierdzenie, iż wniosek do PIP "w jej imieniu nieustalona osoba złożyła z jej adresu e-mail", znalazło się w pierwszej części uzasadnienia zaskarżonego wyroku, a nie w drugiej wśród rozważań Sądu (gdzie wyraźnie zresztą stwierdził, że "z adresu e-mail skarżącej, z jej danymi osobowymi (imię i nazwisko oraz adres zamieszkania), został złożony wniosek do Państwowej Inspekcji Pracy o wszczęcie postępowania kontrolnego").
Podobnie brak podstaw do uwzględnienia zarzutu naruszenia art. 134 § 1 p.p.s.a. w zw. z art. 135 p.p.s.a. oraz art. 145 § 1 pkt 1 c p.p.s.a. Do naruszenia art. 134 § 1 p.p.s.a. mogłoby dojść gdyby sąd wyszedł poza granice tej sprawy lub gdyby nie dokonał kontroli decyzji w pełnym zakresie. Fakt, że Sąd I instancji oddalił skargę (zamiast ją uwzględnić jak żądała tego skarżąca kasacyjnie) nie oznacza, że uchybił temu przepisowi. To, że Sąd I instancji przyjął ustalenia Prezesa UODO, a w konsekwencji jego rozstrzygnięcie za prawidłowe i tym samym nie uwzględnił zarzutów skarżącej nie oznacza, iż naruszył powyższy przepis. Sąd I instancji rozpoznając skargę niewątpliwie orzekał w granicach sprawy, oceniając postępowanie w zakresie ochrony danych osobowych, a zatem nie orzekał w granicach (w znaczeniu podmiotowym i przedmiotowym) innej sprawy niż ta, w której została wniesiona skarga. Z uzasadnienia wyroku Sądu I instancji wynika, że Sąd ten analizował i oceniał prawidłowość rozpoznania skargi A. P. z dnia 27 listopada 2018 r.
Na uwzględnienie nie zasługują także zarzuty naruszenia powiązanych z tym przepisem art. 7, 10, 77, 78, 80, z art. 107 § 1 i 3 k.p.a. Po pierwsze zauważyć należy, że przez podstawę kasacyjną należy rozumieć konkretny przepis prawa, którego naruszenie przez Sąd pierwszej instancji zarzuca skarga kasacyjna. W odniesieniu do przepisu, który nie stanowi jednej zamkniętej całości, a składa się z ustępów, punktów i innych jednostek redakcyjnych, wymóg skutecznie wniesionej skargi kasacyjnej jest spełniony wówczas, gdy wskazuje ona konkretny przepis naruszony przez sąd pierwszej instancji, z podaniem numeru artykułu, ustępu, punktu i ewentualnie innej jednostki redakcyjnej przepisu (por. wyrok NSA z dnia 20 sierpnia 2008 r., II FSK 557/07; Lex nr 422065; wyrok NSA z dnia 7 marca 2014 r., II GSK 2019/12, LEX nr 1495144; wyrok NSA z dnia 28 czerwca 2013 r., II OSK 552/12, LEX nr 13562450; wyrok NSA z dnia 22 stycznia 2013 r., II GSK 1573/12, LEX nr 1354882; wyrok NSA z dnia 27 marca 2012 r., II GSK 218/11, LEX nr 1244607; wyrok NSA z dnia 8 marca 2012 r., II OSK 2496/10, LEX nr 1145608; wyrok NSA z dnia 14 lutego 2012 r., II OSK 2232/10, LEX nr 1138117). Warunek przytoczenia podstawy zaskarżenia i ich uzasadnienia nie jest spełniony, gdy skarga kasacyjna zawiera wywody zmuszające Sąd kasacyjny do domyślania się, który przepis skarżący miał na uwadze, podnosząc zarzut naruszenia prawa materialnego lub procesowego. Naruszony przez Sąd I instancji przepis musi być wyraźnie wskazany, gdyż w przeciwnym razie ocena zasadności skargi kasacyjnej nie jest możliwa. Naczelny Sąd Administracyjny jest związany granicami skargi kasacyjnej i nie ma w związku z tym kompetencji do dokonywania za wnoszącego skargę kasacyjną wyboru, który przepis prawa został naruszony i dlaczego. Stanowi to powinność autora skargi kasacyjnej, który jest profesjonalnym pełnomocnikiem strony (por. wyrok NSA z dnia 20 sierpnia 2008 r., II FSK 557/07; Lex nr 422065; wyrok NSA z dnia 6 lutego 2014 r., II GSK 1669/12, LEX nr 1450654; wyrok NSA z dnia 14 marca 2013 r., I OSK 1799/12, LEX nr 1295809; wyrok NSA z dnia 23 stycznia 2014 r., II OSK 1977/12, LEX nr 1502246). Tymczasem art. 10 k.p.a. dzieli się na trzy paragrafy, art. 77 k.p.a. na cztery paragrafy, a art. 78 k.p.a. na dwa paragrafy. Po drugie strona skarżąca kasacyjnie nie sprecyzowała postaci naruszenia tych przepisów tj. czy nastąpiło to przez błędną ich wykładnię czy też przez niewłaściwe ich zastosowanie. Wydaje się, że być może chodzi o niewłaściwe zastosowanie tych przepisów, lecz nie znalazło to swojego odzwierciedlenia w uzasadnieniu skargi kasacyjnej, gdzie jej autor ograniczył się do zacytowania kilku orzeczeń sądowych. Podkreślić także należy, że podnosząc zarzut naruszenia przepisów postępowania skarżąca kasacyjnie powinna nadto wykazać istotny wpływ wytkniętego uchybienia na wynik sprawy.
Strona skarżąca kasacyjnie nie wskazała ani w toku postępowania przed organem, ani w skardze do WSA w Warszawie, jak również w skardze kasacyjnej w jakim celu, na jaką okoliczność składała wniosek dowodowy o dopuszczenie materiałów zgromadzonych w postępowaniu przygotowawczym nadzorowanym przez Prokuraturę Rejonową dla Warszawy-Woli w Warszawie. Co więcej wniosek ten dotyczył całość akt postępowania (!) prowadzonego przez Prokuraturę, a nie konkretnych dokumentów (dowodów) zgromadzonych w tym postępowaniu. Zresztą jak wynika z pisma Prokuratury Rejonowej dla Warszawy-Woli w Warszawie z 7 czerwca 2021 r. organ ten nie dysponuje wiedzą w zakresie źródła pozyskania danych osobowych skarżącej. Skarżąca w żaden sposób nie podała, że dowody te prowadzić będą do wykazania, iż jej dane osobowe nadal są przetwarzane przez jej byłego pracodawcę lub też, że ich pozyskanie nastąpiło poprzez brak lub nienależyte ich zabezpieczenie przez Spółkę. Zaznaczyć przy tym należy, że postępowanie prowadzone przez Prezesa UODO nie służy ujawnieniu sprawcy kradzieży danych osobowych (tym powinny zająć się organy ścigania), lecz zapobieżeniu przetwarzania danych osobowych w sposób niezgodny z prawem, kontroli czy są one zabezpieczone przez stosowne procedury przed ich nieuprawnionym pozyskaniem przez osoby trzecie, a także jest ukierunkowane na wydanie decyzji przywracającej stan zgodny z prawem w tym zakresie. Wydanie takiej decyzji jest więc uzasadnione i potrzebne o tyle, o ile nieprawidłowości w procesie przetwarzania danych i ich zabezpieczeniu nadal istnieją. Podkreślić należy, że Prezes UODO nie kwestionował faktu, iż osoba podszywająca się pod skarżącą (wykorzystując jej dane osobowe) złożyła wniosek do PIP o wszczęcie postępowania kontrolnego u pracodawcy. Jednak postępowanie wyjaśniające nie wykazało w sposób jednoznaczny, że pozyskanie danych osobowych skarżącej przez osobę nieupoważnioną nastąpiło przez byłego pracodawcę lub ze zbioru danych osobowych będących jego w dyspozycji. Dopiero ustalenie osoby podszywającej się pod skarżącą umożliwiłoby ustalenie, czy dane osobowe skarżącej zostały pozyskane z zasobów byłego pracodawcy oraz ocenić prawidłowość zabezpieczenia dostępu do tych danych w świetle przepisów dotyczących ochrony danych osobowych. Jednocześnie informacje pozyskane od Spółki pozwalały stwierdzić, że wdrożone zostały przez nią środki techniczne oraz organizacyjne w celu zapewnienia właściwego zabezpieczenia przetwarzania danych osobowych, którymi dysponuje.
Odnośnie naruszenia art. 105 k.p.a. zauważyć należy, że umorzenie postępowania w całości albo części ma miejsce wtedy, gdy wystąpi trwała i nieusuwalna przeszkoda w kontynuacji postępowania, a więc wówczas, gdy brak jest przedmiotu postępowania administracyjnego. Przedmiotem tym jest sprawa administracyjna, toteż postępowanie to jest bezprzedmiotowe wówczas, gdy sprawa, która miała być załatwiona decyzją administracyjną nie miała tego charakteru przed datą wszczęcia postępowania lub utraciła ten charakter w jego toku (por. wyrok NSA z 20 maja 2025 r., sygn. akt II OSK 846/24). Zatem o bezprzedmiotowości postępowania można mówić, jeżeli w świetle prawa materialnego i ustalonego stanu faktycznego bezzasadne jest dalsze prowadzenie postępowania w związku z brakiem możliwości wydania decyzji pozytywnej lub negatywnej. A taka sytuacja wystąpiła w niniejszej sprawie
W konsekwencji nie są także zasadne zarzuty naruszenia art. 135 oraz art. 145 § 1 pkt 1 lit. c p.p.s.a. w zw. z art. 105 k.p.a. Po pierwsze art. 145 § 1 pkt 1 lit. c p.p.s.a. ma charakter wynikowy i jego zastosowanie przez sąd I instancji jest za każdym razem rezultatem uznania, że w sprawie zaistniało tego rodzaju naruszenie przepisów regulacji procesowej, która uzasadniałaby wyeliminowanie z obrotu prawnego zaskarżonego przejawu działania administracji publicznej. Po drugie Sąd I instancji nie stosował zarówno tego przepisu, jak i art. 135 p.p.s.a i nie sposób zarzucić mu naruszenie tych przepisów, gdyż podstawą wyrokowania był art. 151 p.p.s.a.
Niezasadny jest także zarzut naruszenia art. 141 § 4 p.p.s.a. Przepis ten określa elementy, jakie powinno zawierać uzasadnienie wyroku i ma charakter formalny. O naruszeniu tego przepisu można mówić w przypadku, gdy uzasadnienie wyroku nie spełnia określonych w nim warunków. W orzecznictwie przyjmuje się, że art. 141 § 4 p.p.s.a. może stanowić samodzielną podstawę kasacyjną wówczas, gdy uzasadnienie wyroku nie zawiera stanowiska co do stanu faktycznego przyjętego za podstawę rozstrzygnięcia (por. uchwała składu siedmiu sędziów NSA z dnia 15 lutego 2010 r. sygn. akt II FPS 9/09 ONSAiWSA 2010/3/39) bądź uniemożliwia dokonanie przez Naczelny Sąd Administracyjny kontroli instancyjnej zaskarżonego wyroku (por. wyroki NSA z dnia: 28 września 2010 r., sygn. akt I OSK 1605/09; 13 października 2010 r., sygn. akt II FSK 1479/09).
W niniejszej sprawie uzasadnienie zaskarżonego wyroku realizuje w pełni wymogi określone w art. 141 § 4 p.p.s.a. Przedstawiono w nim stan faktyczny sprawy, podano zarzuty sformułowane w skardze, stanowisko organu oraz wskazano podstawę prawną rozstrzygnięcia. Fakt, że strona skarżąca kasacyjnie nie zgadza się z zapadłym przed Sądem I instancji rozstrzygnięciem nie oznacza, iż został naruszony art. 141 § 4 p.p.s.a.
Skoro podniesione w skardze kasacyjnej zarzuty okazały się nieskuteczne, Naczelny Sąd Administracyjny nie miał podstaw do jej uwzględnienia, co skutkowało oddaleniem skargi kasacyjnej w oparciu o art. 184 p.p.s.a.