III OSK 1863/21

III OSK 1863/21 - Wyrok NSA
Data orzeczenia
2023-03-10
orzeczenie prawomocne
Data wpływu
2021-01-04
Sąd
Naczelny Sąd Administracyjny
Sędziowie
Mariusz Kotulski /sprawozdawca/
Teresa Zyglewska /przewodniczący/
Wojciech Jakimowicz
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne
Ochrona danych osobowych
Sygn. powiązane
II SA/Wa 183/19 - Wyrok WSA w Warszawie z 2019-07-02
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Oddalono skargę kasacyjną
Powołane przepisy
Dz.U. 2018 poz 1302
art. 145 01671 pkt 1 lit. c, art. 50
Ustawa z dnia 30 sierpnia 2002 r.  Prawo o postępowaniu przed sądami administracyjnymi - tekst jednolity
Dz.U. 2018 poz 2096
art. 7, art. 77, art. 80
Ustawa z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego - tekst jedn.
Dz.U. 2016 poz 922
art. 18 ust. 1
Ustawa z dnia 29 sierpnia 1997 r. o ochronie danych osobowych - tekst jedn.
Sentencja
Naczelny Sąd Administracyjny w składzie: Przewodniczący: Sędzia NSA Teresa Zyglewska Sędziowie: Sędzia NSA Wojciech Jakimowicz Sędzia del. WSA Mariusz Kotulski (spr.) po rozpoznaniu w dniu 10 marca 2023 r. na posiedzeniu niejawnym w Izbie Ogólnoadministracyjnej skargi kasacyjnej K. O. od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 2 lipca 2019 r. sygn. akt II SA/Wa 183/19 w sprawie ze skargi K. O. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] listopada 2018 r. nr [...] w przedmiocie naruszenia danych osobowych oddala skargę kasacyjną.
Uzasadnienie
Wojewódzki Sąd Administracyjny w Warszawie wyrokiem z dnia 2 lipca 2019 r. sygn. akt II SA/Wa 183/19 w sprawie ze skargi K. O. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia 21 listopada 2018 r. nr ZSPU.440.615.2018.AŻ.II w przedmiocie naruszenia danych osobowych: uchylił zaskarżoną decyzję oraz poprzedzającą ją decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia 9 maja 2018 r. nr DOLiS-440-821/14/MM/I oraz umorzył postępowanie administracyjne w sprawie.
Wyrok zapadł w następującym stanie faktycznym i prawnym sprawy.
W związku wszczętym postępowaniem kontrolnym w kwietniu 2010 r. organ podatkowy na podstawie art. 13b ust. 2 ustawy o kontroli skarbowej dokonał czynności kontrolnych w [...] ([...]) dotyczących sprawdzenia transakcji zawartych przez K. O. w okresie od 1.01.2004. do 31.12.2008 r.
W związku z powyższym [...] udostępniło żądane informacje, a wraz z nimi przekazało do Urzędu Skarbowego również informacje, nieobjęte żądaniem organu podatkowego, dotyczące osób trzecich, zawierające pełne dane osobowe w tym tak istotne informacje jak adresy, nr telefonu, mail a nawet nazwisko panieńskie matki. Dodatkowo przekazano również dane będące tajemnicą handlową tych osób a mianowicie nazwę użytkownika czyli tzw. nick pod jakim mieli zarejestrowane konto na [...], pełną wartość dokonanych sprzedaży, w tym asortyment, cenę i ilość sprzedanego towaru oraz wysokość prowizji uiszczonych na rzecz [...]. Przekazano również informacje wykraczające ponad żądany okres a mianowicie żądanie dotyczyło transakcji w latach 2004-2008 natomiast [...] przekazało wszelkie informacje zarówno sprzed jak i po wnioskowanym terminie pomimo, że wezwanie dotyczyło konkretnej osoby o konkretnym adresie.
[...] przekazało informacje z następujących kont:
- konto "[...]" należące do zupełnie innej osoby oraz
- konto "[...]", należące do osoby, z którą połączyła skarżącego jedynie zbieżność nazwisk z wszystkimi innymi danymi rozbieżnymi tzn. głównie adresami, telefonem, mailem i nazwiskiem panieńskim matki.
Dodatkowo [...] udostępniło też zestaw transakcji oraz dane osobowe osób trzecich z konta
- "[...]" z okresu kiedy skarżący jeszcze nie był właścicielem tego konta
- oraz informacje wykraczające nawet poza zakres lat objętych zakresem kontroli.
Organ pismem z 4 lipca 2014 r. poinformował wnioskodawcę, że aby reprezentować inne osoby, których dane osobowe udostępniono, powinien dołączyć do akt sprawy oryginały lub urzędowo poświadczone odpisy pełnomocnictw, udzielonych mu przez każdą z osób.
W odpowiedzi z 15 lipca 2014 r. wnioskodawca wskazał, że nie jest jego zamiarem reprezentowanie innych osób, których dane zostały udostępnione przez [...].
[...] Spółka z o.o. (dalej: Spółka) w piśmie z dnia 13 marca 2014 r. wyjaśniła, że przetwarza przekazane do UKS dane osobowe użytkowników o loginach: "[...]", "[...]", "[...]", "[...]", "[...]", w zakresie imienia, nazwiska, adresu zamieszkania oraz historii transakcji i zmian danych osobowych w zbiorze o nazwie: "Zbiór korzystających ze stron internetowych [...]". Jako cel przetwarzania danych wskazano "prowadzenie serwisu aukcyjnego i wykonywanie obowiązków z tym związanych"; dane są przetwarzane na podstawie akceptacji przez użytkowników regulaminu oraz wyrażenia na to zgody w zakresie, celu i na opisanych w nim warunkach. Natomiast przekazanie niepełnych informacji do Urzędu Skarbowego naraża Spółkę na konsekwencje karno-skarbowe.
Generalny Inspektor Ochrony Danych Osobowych decyzją z 9 maja 2018 r., nr DOLiS-440-821/14/MM/I odmówił uwzględnienia skargi wnioskodawcy.
Skarżący złożył wniosek o ponowne rozpatrzenie sprawy.
Prezes Urzędu Ochrony Danych Osobowych decyzją z dnia 21 listopada 2018 r. nr ZSPU.440.615.2018.AŻ.II utrzymał decyzję w mocy.
K. O. złożył skargę z 20 grudnia 2018 r. do Wojewódzkiego Sądu Administracyjnego w Warszawie.
W odpowiedzi na skargę organ administracji wniósł o jej oddalenie, podtrzymując dotychczasową argumentację.
W trakcie rozprawy w dniu 2 lipca 2019 r. pełnomocnik skarżącego złożył załącznik do protokołu rozprawy (k. 71-73 a.s.), w którym podniósł brak weryfikacji prawdziwości twierdzeń Spółki, czy udostępniła ona rzeczywiście dane osobowe inne niż żądane przez organ kontroli skarbowej z uwagi na nieodpowiednio skonstruowany program raportujący, który później zmieniła uniemożliwiając dalsze naruszenia przy udostępnianiu danych osobowych. Skarżący miał wątpliwości, co do prawdziwości tych twierdzeń Spółki. Z posiadanych przezeń informacji wynika, że dana sprawa nie jest jedyną, gdzie - na skutek udostępnienia danych osobowych przez Spółkę - organy kontroli skarbowej wszczęły lub poszerzyły zakres prowadzonych przez siebie postępowań o dalsze okresy czy inne osoby, tylko dzięki informacjom uzyskanym od Spółki. Pełnomocnik zarzucił też brak wyraźnego wskazania w uzasadnieniu decyzji naruszenia przez Spółkę przepisów o ochronie danych osobowych. Wskazywał, że ocena nieprawidłowości działania tego podmiotu w uzasadnieniu skarżonego aktu mogłaby stanowić podstawę podważenia orzeczeń organów podatkowych.
Wojewódzki Sąd Administracyjny w Warszawie w powołanym wyżej wyroku wskazał, że złożona skarga była zasadna i zasługiwała na uwzględnienie, chociaż nei z przyczyn w niej podniesionych.
Uzasadniając swoje stanowisko Sąd I instancji wskazał, że trafnie organ skonstatował w uzasadnieniu zaskarżonego aktu, iż nastąpiło przekazanie zbyt szerokich danych (ponad żądanie) Urzędowi Skarbowemu. Było to jednak zdarzeniem o charakterze nieodwracalnym (czego także nie kwestionowano). Organ nie miał środków prawnych w celu odwrócenia negatywnych skutków czynności - przetworzenia danych poza dopuszczonym przepisami zakresem.
Zdaniem Sądu I instancji trafnie organ uznał, że skoro wnioskodawca nie był umocowany do reprezentowania osób trzecich, których dane ujawniono w toku kontroli, dotyczącej jego działalności, nie ma on legitymacji, aby żądać rozpoznawania sprawy ewentualnych nieprawidłowości w danym zakresie w ramach wszczęcia procedury administracyjnej, kończącej się wydaniem decyzji administracyjnej. Interesu w tym zakresie nie może wnioskodawca wywodzić wyłącznie z określonych okoliczności faktycznych.
Zdaniem Wojewódzkiego Sądu Administracyjnego w Warszawie organ nie naruszył - w zakresie wskazanym w skardze - przepisów postępowania, co do obowiązku właściwego jej wyjaśnienia w istotnych aspektach oraz uzasadnienia rozstrzygnięcia, gdy chodzi o brak przesłanek do wydania w sprawie decyzji naprawczej. Naruszono natomiast przepisy postępowania, zakreślające przesłanki umorzenie sprawy, wobec braku podstaw do wydanie decyzji co do meritum Nadto bezzasadnie zajęto w uzasadnieniu zaskarżonej decyzji stanowisko w kwestii nieprawidłowości, odnosząc się do stanów historycznych. Wyrażona zbędnie przez organ opinia w tej kwestii była z kolei przedmiotem polemiki w skardze.
Skargę kasacyjną od tego wyroku wniósł K. O., zaskarżając wyrok w całości i zarzucając mu naruszenie następujących przepisów:
1. art. 145 § 1 pkt 1 lit. c w zw. z art. 50 p.p.s.a. w zw. z art. 7, art. 77 i art. 80 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (zwaną dalej: "kpa") poprzez brak weryfikacji (przeprowadzenia stosownych dowodów), czy twierdzenie [...] sp. z o.o. ("[...]"), że [...]: (a) rzeczywiście udostępniło dane osobowe Skarżącego inne niż żądane przez organ kontroli skarbowej z uwagi na nieodpowiednio skonstruowany program raportujący, (b) rzeczywiście - po udostępnieniu danych osobowych skarżącego w dniu 29 kwietnia 2010 r. - zmieniło program raportujący dotyczący danych osobowych użytkowników [...] w sposób uniemożliwiający dalsze naruszenia danych osobowych skarżącego i innych osób, jest prawdziwe, tj.:
a) czy rzeczywiście fakt udostępnienia danych osobowych skarżącego w zakresie wykraczającym poza żądanie organu kontroli skarbowej było konsekwencją nieodpowiednio skonstruowanego programu raportującego, czy też w sprawie wystąpił np. "błąd ludzki";
b) czy rzeczywiście [...] w 2011 r. zmieniło program raportujący w sposób uniemożliwiający dalsze naruszenia danych osobowych skarżącego i innych osób; co w konsekwencji zdaniem skarżącego doprowadziło WSA do błędnego i niepopartego dowodami uznania, że udostępnienie danych skarżącego wykraczających poza żądanie organu kontroli skarbowej było skutkiem ograniczonego technicznie programu raportującego i że [...] - po dokonaniu tego udostępnienia - zmieniło program raportujący w sposób uniemożliwiający w przyszłości udostępnienie innym podmiotom danych osobowych, o które organy nie wnosiły, a w konsekwencji, że w niniejszej sprawie należało umorzyć postępowanie administracyjne z uwagi na brak stanu naruszenia przepisów w chwili wydawania decyzji administracyjnej przez Prezesa Urzędu Ochrony Danych Osobowych ("Organ");
2. art. 145 § 1 pkt 1 lit. c p.p.s.a. w zw. z art. 7, art. 77 i art. 80 k.p.a. poprzez brak uwzględnienia, że skarżący już w trakcie postępowania administracyjnego przed organem kwestionował prawdziwość twierdzeń [...], odnośnie udostępnienia danych skarżącego niewnioskowanych przez organ kontroli skarbowej wskutek błędnie skonstruowanego programu raportującego, oraz zaprzestania naruszeń przepisów o ochronie danych osobowych przez [...] (vide: pismo skarżącego z dnia 20 maja 2018 r. stanowiące wniosek o ponowne rozpoznanie sprawy), co mogło mieć istotny wpływ na wynik sprawy; zdaniem skarżącego organ winien przeprowadzić dalsze dowody, celem wyjaśnienia tych wątpliwości, brak takiego działania powoduje, że stanowisko WSA o zasadności umorzenia postępowania administracyjnego w niniejszej sprawie jest przedwczesne i nieuzasadnione;
3. art. 18 ust. 1 ustawy z dnia z dnia 29 sierpnia 1997 r . o ochronie danych osobowych (dalej: "ustawa") poprzez jego niezastosowanie, co zdaniem skarżącego doprowadziło do sytuacji, że pomimo iż w niniejszej sprawie nie wykazano, że na skutek działań [...] (rzekome zmodyfikowanie programu raportującego) ustała możliwość dalszych naruszeń prawa w zakresie udostępniania danych osobowych zdaniem WSA organ nie miał możliwości zastosowania żadnego z uprawnień wymieniowych w Ustawie, a zatem powinien był umorzyć postępowanie w sprawie.
Mając powyższe na uwadze skarżący kasacyjnie wniósł o uchylenie wyroku w całości i przekazanie sprawy do ponownego rozpoznania w całości Wojewódzkiemu Sądowi Administracyjnemu w Warszawie oraz rozpoznanie sprawy na rozprawie.
Powyższe zarzuty rozwinięto w uzasadnieniu skargi kasacyjnej.
W odpowiedzi na skargę kasacyjną Prezes Urzędu Ochrony Danych Osobowych wniósł o jej oddalenie.
Naczelny Sąd Administracyjny zważył, co następuje.
Na podstawie art. 15zzs4 ust. 3 w zw. z ust. 1 ustawy z dnia 2 marca 2020 r. o szczególnych rozwiązaniach związanych z zapobieganiem, przeciwdziałaniem i zwalczaniem COVID - 19, innych chorób zakaźnych oraz wywołanych nimi sytuacji kryzysowych (Dz. U. z 2021 r. poz. 2095 ze zm.) Przewodnicząca Wydziału III zarządzeniem z dnia 3 stycznia 2023 r. wyznaczyła posiedzenie niejawne w dniu 10 marca 2023 r.
Zgodnie z art. 183 § 1 p.p.s.a. Naczelny Sąd Administracyjny przy rozpatrywaniu sprawy na skutek wniesienia skargi kasacyjnej związany jest granicami tej skargi, a z urzędu bierze pod rozwagę tylko nieważność postępowania w wypadkach określonych w § 2, z których żaden w rozpoznawanej sprawie nie zachodzi. Oznacza to, że przytoczone w skardze kasacyjnej przyczyny wadliwości prawnej zaskarżonego orzeczenia determinują zakres kontroli dokonywanej przez Naczelny Sąd Administracyjny. Sąd ten, w odróżnieniu od wojewódzkiego sądu administracyjnego, nie bada całokształtu sprawy, lecz tylko weryfikuje zasadność zarzutów postawionych w skardze kasacyjnej.
Podstawy, na których można oprzeć skargę kasacyjną zostały określone w art.174 p.p.s.a. Przepis art. 174 pkt 1 p.p.s.a. przewiduje dwie postacie naruszenia prawa materialnego, a mianowicie błędną jego wykładnię lub niewłaściwe zastosowanie. Przez błędną wykładnię należy rozumieć niewłaściwe zrekonstruowanie treści normy prawnej wynikającej z konkretnego przepisu, natomiast przez niewłaściwe zastosowanie, dokonanie wadliwej subsumcji przepisu do ustalonego stanu faktycznego. Również druga podstawa kasacyjna wymieniona w art. 174 pkt 2 p.p.s.a. – naruszenie przepisów postępowania – może przejawiać się w tych samych postaciach, co naruszenie prawa materialnego, przy czym w wypadku oparcia skargi kasacyjnej na tej podstawie skarżący powinien nadto wykazać istotny wpływ wytkniętego uchybienia na wynik sprawy.
Skarga kasacyjna jest oczywiście bezzasadna.
Na wstępie stwierdzić należy, że na podstawie art. 145 § 1 pkt 1 lit. c oraz § 3 p.p.s.a. w zw. z art. 135 p.p.s.a. Sąd I instancji uchylił zaskarżoną decyzję oraz poprzedzającą ją decyzję wydaną w I instancji oraz umorzył postępowanie w sprawie. Nastąpiło to wskutek uznania, że kontrolowane postępowanie administracyjne było bezprzedmiotowe z przyczyn podmiotowych i przedmiotowych. Samo przekazanie przez Spółkę danych dotyczących transakcji skarżącego za okres objęty kontrolą Urzędu Skarbowego nie było kwestionowane. Z kolei przekazanie przez Spółkę zbyt szerokich danych dotyczących skarżącego (ponad żądanie Urzędu Skarbowego) było zdarzeniem o charakterze nieodwracalnym (co nie było kwestionowane), a organ nie miał środków prawnych w celu odwrócenia negatywnych skutków czynności - przetworzenia danych poza dopuszczonym przepisami zakresem. Jednocześnie skarżący nie był umocowany do reprezentowania w tym postępowaniu administracyjnym osób trzecich, których dane Spółka przekazała Urzędowi Skarbowemu wraz z danymi skarżącego w związku z kontrolą dotyczącą jego działalności. Zatem nie miał on legitymacji, aby żądać rozpoznawania sprawy ewentualnych nieprawidłowości dotyczących tych osób. Wyłącznie ewentualnie poszkodowani przypadkowym ujawnieniem swoich danych mogą żądać wszczęcia na swój wniosek stosownej procedury przed organem administracji. Dlatego też Sąd I instancji wskazał, że organ naruszył przepisy postępowania administracyjnego – art. 105 § 1 k.p.a., gdyż z powyższych względów powinien był on umorzyć postępowanie i po uchyleniu decyzji obu instancji umorzył postępowanie administracyjne na podstawie art. 145 § 3 p.p.s.a.
Tymczasem żaden z podniesionych w skardze kasacyjnej zarzutów nie odnosi się do naruszenia art. 145 § 3 p.p.s.a. oraz nie kwestionuje podstaw umorzenia postępowania administracyjnego przez Sąd I instancji. Tym samym skarżący kasacyjnie nie zakwestionował rozstrzygnięcia WSA w Warszawie, ani przyjętych przez Sąd ustaleń w tym zakresie. Skoro skarżący kasacyjnie nie zakwestionował rudymentarnego elementu zaskarżonego wyroku, który legł u jego podstaw, to nie sposób przejść do badania innych zarzutów bez uprzedniego skutecznego zdezawuowania podstaw umorzenia postępowania administracyjnego.
Tym samym zarzuty naruszenia art. 145 § 1 pkt 1 lit. c w zw. z art. 50 p.p.s.a. w zw. z art. 7, art. 77 i art. 80 k.p.a. uznać należy za nieuzasadnione. Nadto ustalenie przyczyn udostępnienia danych przez Spółkę - nieodpowiednio skonstruowany program raportujący oraz tego czy twierdzenie, iż program ten został zmieniony przez Spółkę w sposób uniemożliwiający dalsze naruszenia danych osobowych skarżącego i innych osób, jest prawdziwe pozostają bez wpływu na podstawy umorzenia postępowania administracyjnego w przedmiotowej sprawie.
Również zarzut naruszenia art. 18 ust. 1 ustawy z dnia z dnia 29 sierpnia 1997 r . o ochronie danych osobowych poprzez jego niezastosowanie nie zasługuje na uwzględnienie.
Przez podstawę kasacyjną należy rozumieć konkretny przepis prawa, którego naruszenie przez Sąd pierwszej instancji zarzuca skarga kasacyjna. W odniesieniu do przepisu, który nie stanowi jednej zamkniętej całości, a składa się z ustępów, punktów i innych jednostek redakcyjnych, wymóg skutecznie wniesionej skargi kasacyjnej jest spełniony wówczas, gdy wskazuje ona konkretny przepis naruszony przez sąd pierwszej instancji, z podaniem numeru artykułu, ustępu, punktu i ewentualnie innej jednostki redakcyjnej przepisu (por. wyrok NSA z dnia 20 sierpnia 2008 r., II FSK 557/07; Lex nr 422065; wyrok NSA z dnia 7 marca 2014 r., II GSK 2019/12, LEX nr 1495144; wyrok NSA z dnia 28 czerwca 2013 r., II OSK 552/12, LEX nr 13562450; wyrok NSA z dnia 22 stycznia 2013 r., II GSK 1573/12, LEX nr 1354882; wyrok NSA z dnia 27 marca 2012 r., II GSK 218/11, LEX nr 1244607; wyrok NSA z dnia 8 marca 2012 r., II OSK 2496/10, LEX nr 1145608; wyrok NSA z dnia 14 lutego 2012 r., II OSK 2232/10, LEX nr 1138117). Warunek przytoczenia podstawy zaskarżenia i ich uzasadnienia nie jest spełniony, gdy skarga kasacyjna zawiera wywody zmuszające Sąd kasacyjny do domyślania się, który przepis skarżący miał na uwadze, podnosząc zarzut naruszenia prawa materialnego lub procesowego. Naruszony przez Sąd I instancji przepis musi być wyraźnie wskazany, gdyż w przeciwnym razie ocena zasadności skargi kasacyjnej nie jest możliwa. Naczelny Sąd Administracyjny jest związany granicami skargi kasacyjnej i nie ma w związku z tym kompetencji do dokonywania za wnoszącego skargę kasacyjną wyboru, który przepis prawa został naruszony i dlaczego. Stanowi to powinność autora skargi kasacyjnej, który jest profesjonalnym pełnomocnikiem strony (por. wyrok NSA z dnia 20 sierpnia 2008 r., II FSK 557/07; Lex nr 422065; wyrok NSA z dnia 6 lutego 2014 r., II GSK 1669/12, LEX nr 1450654; wyrok NSA z dnia 14 marca 2013 r., I OSK 1799/12, LEX nr 1295809; wyrok NSA z dnia 23 stycznia 2014 r., II OSK 1977/12, LEX nr 1502246). Wskazany art. 18 ust. 1 ustawy z dnia z dnia 29 sierpnia 1997 r . o ochronie danych osobowych dzieli się na 6 punktów. Jedynie z treści uzasadnienia skargi kasacyjnej można się domyślać, że prawdopodobnie chodzi o art. 18 ust. 1 pkt 3 ustawy z dnia z dnia 29 sierpnia 1997 r . o ochronie danych osobowych.
Nadto, jak wskazuje sama treść zarzutu, przepis ten nie był stosowany przez Sąd I instancji. W orzecznictwie Naczelnego Sądu Administracyjnego prezentowane jest stanowisko, zgodnie z którym nie jest dopuszczalne w świetle brzmienia art. 174 Prawa o postępowaniu przed sądami administracyjnymi formułowanie zarzutu skargi kasacyjnej jako naruszenie przepisu prawa "poprzez jego niezastosowanie" czy "pominięcie" (por. wyrok NSA z dnia 3 grudnia 2008 r., I OSK 1807/07, LEX nr 525973; wyrok NSA z dnia 14 maja 2007 r., I OSK 1247/06, LEX nr 342527; wyrok NSA z dnia 28 marca 2007 r., I OSK 31/07, LEX nr 327781; postanowienie NSA z dnia 2 marca 2012 r., I OSK 294/12, LEX nr 1136684).
Z powyższych przyczyn Naczelny Sąd Administracyjny uznał skargę kasacyjną za pozbawioną usprawiedliwionych podstaw, co skutkowało jej oddaleniem na podstawie art. 184 p.p.s.a.