III OSK 2014/24

III OSK 2014/24 - Wyrok NSA
Data orzeczenia
2026-02-06
orzeczenie prawomocne
Data wpływu
2024-07-19
Sąd
Naczelny Sąd Administracyjny
Sędziowie
Arkadiusz Windak
Sławomir Wojciechowski /sprawozdawca/
Wojciech Jakimowicz /przewodniczący/
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne
Ochrona danych osobowych
Sygn. powiązane
II SA/Wa 757/23 - Wyrok WSA w Warszawie z 2023-11-23
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Oddalono skargę kasacyjną
Powołane przepisy
Dz.U. 2024 poz 935
art. 184
Ustawa z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (t. j.)
Dz.U.UE.L 2016 nr 119 poz 1 art. 5 ust.1 lit. a, art. 5 ust. 1 lit. b, art. 5 ust.2, art.6 ust. 1lit. f, art. 13
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z  przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE
Sentencja
Naczelny Sąd Administracyjny w składzie: Przewodniczący: sędzia NSA Wojciech Jakimowicz Sędziowie: sędzia NSA Sławomir Wojciechowski (sprawozdawca) sędzia del. WSA Arkadiusz Windak po rozpoznaniu w dniu 6 lutego 2026 r. na posiedzeniu niejawnym w Izbie Ogólnoadministracyjnej skargi kasacyjnej [...] Spółki z ograniczoną odpowiedzialnością z siedzibą w [...] od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 23 listopada 2023 r., sygn. akt II SA/Wa 757/23 w sprawie ze skargi [...] Spółki z ograniczoną odpowiedzialnością z siedzibą w [...] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia 7 lutego 2023 r., nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę kasacyjną.
Uzasadnienie
Wyrokiem z dnia 23 listopada 2023 r., sygn. akt II SA/Wa 757/23, Wojewódzki Sąd Administracyjny w Warszawie, po rozpoznaniu na rozprawie, sprawy ze skargi [...] Spółki z ograniczoną odpowiedzialnością z siedzibą w [...] (dalej także jako: "Spółka", "skarżąca", "skarżąca kasacyjnie") na decyzję Prezesa Urzędu Ochrony Danych Osobowych (dalej także jako: "Prezes UODO", "PUODO", "organ", "organ nadzorczy") z dnia 7 lutego 2023 r., nr [...] w przedmiocie przetwarzania danych osobowych: oddalił skargę.
Stan faktyczny sprawy przedstawia się w sposób następujący:
Dnia 21 lipca 2020 r. do Urzędu Ochrony Danych Osobowych wpłynęła skarga L.G. na nieprawidłowości w procesie przetwarzania jego danych osobowych polegające na nagrywaniu jego wizerunku za pomocą systemu monitoringu znajdującego się na nieruchomości należącej do Nadleśnictwa [...] przez spółkę [...] sp. z o.o. z siedzibą w [...].
W treści przedmiotowej skargi L.G. wskazał, iż wraz z małżonką są współwłaścicielami działek gruntu o nr ewidencyjnych [...] oraz [...] w miejscowości [...], na których to działkach prowadzona jest działalność gospodarcza pod firmą [...]. Wnoszący skargę podniósł, że w dniu 30 listopada 2018 r. zaobserwował, iż na granicy w/w działek, fizycznie na gruncie Lasów Państwowych Nadleśnictwa [...], na drzewie są posadowione dwie kamery przemysłowe skierowane polem zasięgu swojego nagrywania na należące do niego działki gruntu, na których jest prowadzona wspomniana wyżej działalność gospodarcza. Wnoszący skargę wskazał, że zwrócił się do Nadleśnictwa [...] z wnioskiem o wyjaśnienie. Wnoszący skargę zauważył, że w piśmie z dnia 20 grudnia 2018 r. Nadleśnictwo poinformowało, że grunt, na którym znajdują się sporne kamery, został wydzierżawiony spółce [...] sp. z o.o. W tej sytuacji, jak podniósł L.G., pismem z dnia 7 stycznia 2019 r. wezwał spółkę [...] sp. z o.o. do zaniechania naruszeń i złożenia oświadczenia w związku z naruszeniem dóbr osobistych, zarzucając jednocześnie skarżącej spółce, że nigdy nie był przez nią informowany o rejestracji obrazu za pośrednictwem kamer, a także że spółka ta nie zamieściła informacji zewnętrznej wskazującej na odbywającą się rejestrację wideo. Wnoszący skargę poinformował ponadto organ nadzorczy, że w odpowiedzi na powyższe wezwanie skarżąca spółki wskazała, że monitoring został zamontowany w celu monitorowania ujęć wody eksploatowanych przez spółkę, co jest konieczne ze względów bezpieczeństwa produkcji. Przy czym, skarżący zauważył w tym miejscu, że kamery zostały zamontowane w ten sposób, iż swoim zasięgiem rejestracji nie obejmują ująć wody, lecz prywatny teren wnoszącego skargę. Jednocześnie, wnoszący skargę poinformował organ nadzorczy, że Nadleśnictwo nakazało skarżącej spółce demontaż kamer oraz przewodów do dnia 31 października 2019 r., lecz – jak wskazał L.G. – kamery nadal nie zostały zdemontowane. Wskazując na powyższe, wnoszący skargę zażądał od Prezesa UODO, aby nakazał skarżącej spółce usunięcie danych osobowych zgromadzonych przez nią oraz by nakazał tej spółce zaprzestanie dalszego przetwarzania danych osobowych wnoszącego skargę.
Następnie, dnia 24 lipca 2020 r. do Urzędu Ochrony Danych Osobowych wpłynęło pismo L.G., A.K., K.K., R.G., J.G., R.W., L.S., M.K., D.R., P.S., M.D. oraz W.S. z dnia 21 lipca 2020 r., w którym osoby te wskazały na nieprawidłowości w procesie przetwarzania ich danych osobowych polegające na nagrywaniu ich wizerunku za pomocą systemu monitoringu znajdującego się na nieruchomości należącej do Nadleśnictwa [...] przez skarżącą spółkę. W uzasadnieniu tego pisma wnoszący skargę podnieśli, że skarżąca spółka bezpodstawnie przetwarza ich dane osobowe, w postaci co najmniej ich wizerunku, poprzez stosowanie monitoringu wizyjnego, którego zapis obejmuje obszar należącej do L.G. prywatnej działki, na terenie której regularnie osoby te przebywają, bez poinformowania ich o tym fakcie, a także bez uzyskania ich zgody. W konsekwencji wnoszący skargę zażądali nakazania spółce [...] sp. z o.o. usunięcia ich danych osobowych zgromadzonych w wyżej opisany sposób.
W związku z wniesionymi skargami, Prezes Urzędu Ochrony Danych Osobowych przeprowadził postępowanie wyjaśniające, w celu zgromadzenia odpowiedniego materiału dowodowego i ustalenia stanu faktycznego koniecznego do wydania stosownego rozstrzygnięcia nadzorczego.
W toku przeprowadzonego postępowania organ nadzorczy ustalił, że na działkach nr [...] i nr [...], znajdujących się w obrębie ewidencyjny [...], stanowiących współwłasność M.G. i L.G., ten ostatni prowadzi działalność gospodarczą pod firmą [...]. Z ustaleń organu nadzorczego wynikało ponadto, że na ww. działkach regularnie przebywają osoby wskazane w skargach (pismach) z dnia 21 lipca 2020 r.
Z ustaleń organu nadzorczego poczynionych na podstawie rozporządzenia Nr 23/2014 Dyrektora Regionalnego Zarządu Gospodarki Wodnej w [...] z dnia 17 listopada 2014 r. wynikało, że w skład działek wchodzących w skład strefy ochronnej ujęcia wody Nr [...] w miejscowości [...] wchodzą m. in. działki [...] i [...] z obrębu [...].
Prezes UODO ustalił ponadto, że Państwowe Gospodarstwo Leśne Lasy Państwowe – Nadleśnictwo [...] z siedzibą w [...] oraz skarżąca spółka zawarły w dniu 1 września 2014 r. umowę dzierżawy gruntów Skarbu Państwa stanowiących działki nr [...], nr [...], nr [...], nr [...] oraz nr [...] w obrębie [...]. Ustalono ponadto, że pismem z dnia 16 października 2019 r. Nadleśnictwo [...] nakazało spółce demontaż kamer monitoringu oraz przewodów prowadzących do nich zamontowanych na działce nr [...] obręb [...], a skierowanych na kopalnię żwiru zlokalizowaną na działce nr [...] obręb [...], gdyż zlokalizowane są poza terenem dzierżawionym przez spółkę.
Decyzją z dnia 7 lutego 2023 r., nr [...], Prezes Urzędu Ochrony Danych Osobowych, działając na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego (tekst jednolity Dz. U. z 2022 r., poz. 2000 ze zm.; dalej jako: "k.p.a.") oraz art. 7 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (tekst jednolity Dz. U. z 2019 r., poz. 1781; dalej także jako: "u.o.d.o.") oraz art. 5 ust 1 lit. a i lit. b, art. 5 ust. 2, art. 6 ust. 1, art. 13 ust. 1 i 2 oraz art. 58 ust. 2 lit. b i lit. d rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z dnia 4 maja 2016 r., s. 1, Dz. Urz. UE L 127 z dnia 23 maja 2018 r., s. 2 oraz Dz. Urz. UE L 74 z 4 marca 2021, s. 35; dalej także jako: "RODO"), po przeprowadzeniu postępowania administracyjnego zainicjowanego skargami: L.G., A.K., K.K., R.G., J.G., R.W., L.S., M.K., D.R., P.S., M.D. oraz W.S. (dalej także: "uczestnicy postępowania"), dotyczącymi nieprawidłowości w procesie przetwarzania ich danych osobowych polegających na nagrywaniu ich wizerunku za pomocą systemu monitoringu znajdującego się na nieruchomości należącej do Nadleśnictwa [...] przez spółkę [...] sp. z o.o. z siedzibą w [...]:
1) nakazał [...] sp. z o.o. z siedzibą w [...] zaprzestanie przetwarzania za pomocą monitoringu wizyjnego danych osobowych: L.G., A.K., K.K., R.G., J.G., R.W., L.S., M.K., D.R., P.S., M.D. oraz W.S. (dane adresowe uczestników szczegółowo określone w decyzji), przy użyciu kamer, które swoim zasięgiem obejmują działki o nr [...] i nr [...], położone w obrębie ewidencyjnym [...];
2) udzielił upomnienia [...] sp. z o.o. z siedzibą w [...] za naruszenie art. 5 ust. 1 lit. a i lit. b, art. 5 ust. 2, art. 6 ust. 1 oraz 13 ust. 1 i 2 RODO w procesie przetwarzania danych osobowych L.G., A.K., K.K., R.G., J.G., R.W., L.S., M.K., D.R., P.S., M.D. oraz W.S., realizowanym przy wykorzystaniu systemu monitoringu wizyjnego znajdującego się na działce nr [...], położonej w obrębie ewidencyjnym [...] obejmującego swoim zasięgiem działki o nr [...] i nr [...], położone w obrębie ewidencyjnym [...].
W uzasadnieniu decyzji Prezes UODO stwierdził, że w przypadku przetwarzania danych osobowych za pomocą monitoringu istotne jest przede wszystkich poinformowanie o nazwie, adresie i danych kontaktowych administratora danych, celu stosowanego monitoringu, obszarze, w którym monitoring jest stosowany, sposobie nagrywania (o ile dane są zapisywane), a także – w zależności od powyższego – okresie przechowywania danych oraz sposobie wykorzystania danych zgromadzonych za pomocą monitoringu. Ponadto, według organu nadzorczego, administrator danych zobowiązany jest do podania informacji o prawie do żądania od administratora dostępu do danych osobowych dotyczących osoby, której dane dotyczą, ich sprostowania, usunięcia lub ograniczenia przetwarzania lub o prawie do wniesienia sprzeciwu wobec przetwarzania.
Prezes UODO stwierdził, że z zebranego w sprawie materiału dowodowego wynika, iż system monitoringu prowadzonego przez skarżącą spółkę zlokalizowany jest na działce nr [...] obręb [...], będącej własnością Nadleśnictwa [...], a skierowany jest na działki nr [...] i nr [...] obręb [...], będące własnością m.in. L.G. Organ nadzorczy wskazał ponadto, że z materiału dowodowego sprawy wynika również, iż skarżąca spółka jest właścicielem ujęcia wody (m.in. studni A2). Organ nadzorczy podniósł, że na wniosek skarżącej spółki ustanowiono strefę ochronną tego ujęcia, która uregulowana została rozporządzeniem Dyrektora Regionalnego Zarządu Gospodarki Wodnej w [...]. W skład wspomnianej strefy wchodzą m.in. działki nr [...] i nr [...] należące do L.G. Organ nadzorczy zauważył, że system monitoringu skarżącej spółki wyposażony jest w rejestrator umożliwiający ciągłe nagrywanie i przechowywanie danych osobowych przez okres 10 dni. Organ nadzorczy wskazał, że opisane skonfigurowanie systemu monitoringu pozwala na ciągłą (nieprzerwaną) obserwację ww. przestrzeni, czego skutkiem jest przetwarzanie danych osobowych osób przebywających na tym terenie, a tym samym przetwarzanie danych osobowych osób, które wniosły skargę do Prezesa UODO, a które to osoby regularnie z niego korzystają. Organ nadzorczy podniósł, że monitoring ten rozciąga się na przestrzeń, w której znajdować się mogą osoby postronne, mające prawo do zachowania swojej anonimowości.
W tej sytuacji, Prezes UODO uznał, że nie można zatem zgodzić się ze stwierdzeniem skarżącej spółki, iż monitoring skierowany na działki nr [...] i nr [...] jest monitoringiem środowiska przyrodniczego, skoro teren ten stanowi prywatną własność L.G., na którym przebywa zarówno L.G., w szczególności prowadząc tam działalność gospodarczą w formie kopalni kruszywa naturalnego, jak również pozostałe osoby, które wniosły do organu nadzorczego skargę, a które - zgodnie z ich oświadczeniem - również regularnie przebywają na terenie wspomnianej żwirowni.
W konsekwencji, Prezes UODO stwierdził, że nie dał wiary oświadczeniu skarżącej spółki, jakoby nie przetwarzała ona danych osobowych wskazanych powyżej osób.
Skargę do Wojewódzkiego Sądu Administracyjnego w Warszawie na powyższą decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia 7 lutego 2023 r. wniosła skarżąca Spółka zaskarżając ją w całości i wnosząc o uznanie spornej decyzji za nieważną w odniesieniu do pkt 1 tej decyzji, bądź też – gdyby sąd nie uznał powyższego za uzasadnione – o uchylenie zaskarżonej decyzji w całości, a także o zasądzenie od organu nadzorczego na rzecz strony skarżącej zwrotu kosztów postępowania, w tym kosztów zastępstwa procesowego według norm przepisanych.
W uzasadnieniu skargi strona skarżąca zauważyła na wstępie, że monitoring został założony w celu monitorowania obszaru ujęcia wody, zabezpieczenia wody przed skażeniem i szeroko pojętej ochrony ujęcia. Skarżąca spółka wskazała, iż korzysta z ww. ujęcia wody w celach produkcyjnych (produkcja wód mineralnych oraz napojów). Wobec powyższego, strona skarżąca podniosła, że prowadzi ciągły monitoring zagospodarowania terenu i jego zmian, w tym pod kątem identyfikacji potencjalnych oraz realnych zagrożeń, np. wylewania ścieków bytowych i przemysłowych do wód i gruntu, a także nielegalnego składowania odpadów. Spółka wskazała też, iż z analizy ryzyka dla ujęcia wody wynika, że szczególnie problematycznym obszarem dla bezpieczeństwa funkcjonowania ujęcia są tereny eksploatacji kruszyw, a zatem działalność prowadzona na działkach objętych ochroną pośrednią przez L.G., a także tereny rolne wokoło wyrobisk. Strona skarżąca podkreśliła, że w ostatnim czasie doszło zarówno do działań związanych z nielegalnym pogłębianiem wyrobisk, jak również składowaniem odpadów. W tej sytuacji, skarżąca spółka stwierdziła, że sporny monitoring służy wyłącznie do celów ochrony ujęcia wody, zaś dane z monitoringu są trwale usuwane po 10 dniach. Ponadto, skarżąca spółka przypomniała, że w piśmie z dnia 30 października 2020 r. wyraźnie wskazała, iż nie przetwarza danych osobowych osób, o których wspomniał Prezes UODO w piśmie z dnia 20 października 2020 r., tj. osób wskazanych w zaskarżonej decyzji.
W odpowiedzi na skargę Prezes Urzędu Ochrony Danych Osobowych wniósł o jej oddalenie, podtrzymując swoje dotychczasowe stanowisko wyrażone w uzasadnieniu zaskarżonej decyzji.
Wyrokiem z dnia 23 listopada 2023 r., sygn. akt II SA/Wa 757/23, Wojewódzki Sąd Administracyjny w Warszawie oddalił skargę i zważył, co następuje:
Sąd pierwszej instancji uznał, że Prezes UODO, wydając sporną decyzję administracyjną z dnia 7 lutego 2023 r., nie dopuścił się naruszenia zarówno wiążących Polskę przepisów prawa europejskiego, jak również stosownych regulacji prawa krajowego, w stopniu mającym istotny wpływ na końcowy wynik sprawy zakończonej wydaniem decyzji Prezesa Urzędu Ochrony Danych Osobowych z dnia 7 lutego 2023 r.
Prezes UODO, wydając w dniu 7 lutego 2023 r. sporne rozstrzygnięcie, nie dopuścił się – mogącego mieć jakikolwiek istotny wpływ na wynik sprawy – naruszenia przepisów procedury administracyjnej, a w szczególności art. 7 k.p.a., art. 77 § 1 k.p.a., art. 80 k.p.a., a także art. 107 § 3 k.p.a. w związku z art. 7 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych, albowiem wyjaśnił wszystkie okoliczności istotne dla prawidłowego i pełnego rozstrzygnięcia sprawy, a także dokonał właściwej oceny zebranego w sprawie materiału dowodowego, przeprowadzając jednocześnie ową ocenę w kontekście właściwie zastosowanych przepisów prawa materialnego.
Dalej uznał, że na podstawie prawidłowo ustalonego stanu faktycznego organ nadzorczy zasadnie przyjął, że skarżąca spółka, dopuszczając się kwestionowanego procesu przetwarzania danych osobowych przy wykorzystaniu urządzeń służących do monitoringu wizyjnego, nie realizowała tego przetwarzana w sposób legalny, tj. na podstawie którejkolwiek z przesłanek określonych w art. 6 ust. 1 RODO, a także z poszanowaniem zasad sformułowanych w art. 5 ust. 1 lit. a i lit. b oraz art. 5 ust. 2 RODO. W ocenie Sądu, Prezes UODO prawidłowo uznał bowiem, że skarżąca spółka nie wykazała w toku postępowania wyjaśniającego przeprowadzonego przed organem nadzorczym, iż dysponuje podstawą prawną do prowadzenia kwestionowanego procesu przetwarzania danych, a także nie udowodniła, iż sporny proces przetwarzania danych realizowany był w sposób przejrzysty dla osób, których dane dotyczą, a więc by dopełniony został zarówno obowiązek informacyjny wobec tych osób, jak również, by teren objęty monitorowaniem został w dostateczny sposób oznakowany.
W tej sytuacji, Sąd stwierdził, że organ nadzorczy w sposób prawidłowy nakazał skarżącej spółce, jako administratorowi danych, zaprzestania przetwarzania za pomocą monitoringu wizyjnego danych konkretnie określonych w treści decyzji osób oraz w sposób szczegółowo opisany w sentencji spornego rozstrzygnięcia.
Ponadto uznał, że w konsekwencji stwierdzonych istotnych naruszeń przepisów RODO, organ nadzorczy słusznie udzielił skarżącej spółce upomnienia za naruszenie tych regulacji.
Stwierdził dalej, że stosując w analizowanej sprawie powyższe uprawnienia naprawcze, Prezes UODO działał zgodnie z art. 58 ust. 2 lit. b i d RODO, albowiem słusznie przyjął, iż zastosowanie – obok nakazu zaprzestania przetwarzania danych – również upomnienia będzie w tej sprawie wystarczające przy uwzględnieniu charakteru, wagi oraz czasu trwania naruszenia, a także innych istotnych okoliczności związanych z zachowaniem administratora danych. Natomiast w uzasadnieniu zaskarżonej decyzji Prezesa UODO z dnia 7 lutego 2023 r. wyjaśnione zostały w sposób dostatecznie jasny i przekonywujący motywy jej podjęcia, zaś przytoczona w tym zakresie argumentacja jest wyczerpująca i w pełni odnosząca się do stanowiska strony skarżącej podniesionego w toku postępowania wyjaśniającego.
Dalej, Sąd pierwszej instancji nie zgodził się przede wszystkim z postawionym przez stronę skarżącą zarzutem zaniechania przez organ nadzorczy dokonania należytego wyjaśnienia stanu faktycznego sprawy i jednocześnie pobieżnego przeprowadzenia postępowania dowodowego w sprawie i tym samym zgromadzenia rzekomo niepełnego materiału dowodowego i przeprowadzenia jego dowolnej i subiektywnej oceny. Wskazał, że nie ulega wątpliwości, że postępowanie w sprawie naruszenia przepisów o ochronie danych jest jednym z postępowań administracyjnych przed Prezesem Urzędu Ochrony Danych Osobowych. O takim jego charakterze rozstrzyga art. 7 ust. 1 ustawy o ochronie danych osobowych, który postępowanie z rozdziału 7 kwalifikuje jako administracyjne i przewiduje w sprawach w niej nieuregulowanych stosowanie do tego postępowania Kodeksu postępowania administracyjnego. Warto przy tym zauważyć, że ustawodawca w art. 7 ust. 1 cyt. ustawy nie przewiduje stosowania odpowiedniego, oznacza to zatem stosowanie przepisów ogólnej procedury administracyjnej wprost, z modyfikacjami wynikającymi z regulacji ustawy o ochronie danych osobowych.
Zdaniem Sądu nie ulegało wątpliwości, że związanie rygorami procedury administracyjnej oznacza, iż Prezes UODO jest obowiązany m.in. do przestrzegania zasady pogłębiania zaufania obywateli do organów praworządnego państwa (art. 8 § 1 k.p.a.). W tej sytuacji, organ nadzorczy, uwzględniając powyższą zasadę, zobowiązany jest przede wszystkim dokładnie wyjaśnić okoliczności sprawy, konkretnie ustosunkować się do żądań i twierdzeń strony skarżącej oraz uwzględnić w decyzji zarówno interes społeczny, jak i słuszny interes strony skarżącej. Organ nadzorczy jest ponadto obowiązany w sposób wyczerpujący zebrać i ocenić cały materiał dowodowy (art. 7, art. 77 § 1 i art. 80 k.p.a.) oraz uzasadnić swoje rozstrzygnięcie według wymagań określonych w przepisie art. 107 § 3 k.p.a.
Mając na względzie powyższe, Sąd pierwszej instancji uznał, że zebrany w sprawie materiał dowodowy jest wyczerpujący i został poddany przez organ nadzorczy wszechstronnemu i wnikliwemu rozpatrzeniu, w wyniku czego doszło do prawidłowego ustalenia stanu faktycznego sprawy.
Prezes Urzędu Ochrony Danych Osobowych, przeprowadzając wspomniane postępowanie wyjaśniające, dokonał wszelkich niezbędnych ocen, przy uwzględnieniu całokształtu zgromadzonego w sprawie materiału dowodowego oraz w kontekście odpowiednio zastosowanych przepisów prawa, w tym przede wszystkim przepisów RODO oraz ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych.
Warto jednocześnie zauważyć, że Prezes UODO, przeprowadzając sporne postępowanie wyjaśniające wykorzystał wszelkie niezbędne instrumenty prawne, jakie dawała mu ustawa o ochronie danych osobowych i uzasadniając swoje stanowisko w decyzji z dnia 7 lutego 2023 r., w sposób klarowny przedstawił argumentację dotyczącą zasadności zastosowania wobec skarżącej spółki, jako administratora danych, uprawnienia naprawczego w postaci nakazania zaprzestania przetwarzania danych osobowych oraz upomnienia.
Nie ulega wątpliwości, że zasadniczym przedmiotem sporu pomiędzy skarżącą spółką a Prezesem UODO jest przede wszystkim ocena zasadności przyjęcia przez organ nadzorczy, iż skarżąca spółka dopuściła się przetwarzania danych szczegółowo wskazanych w treści decyzji osób, które – w skierowanych do organu nadzorczego skargach – podważały prawidłowość owego przetwarzania.
Wskazać należy, że obraz osoby zarejestrowany przez kamerę stanowi dane osobowe, w rozumieniu art. 4 pkt 1 RODO, jeżeli pozwala na jej zidentyfikowanie bezpośrednio lub pośrednio. Zautomatyzowany monitoring wizyjny określonego obszaru za pomocą środków optycznych lub audiowizualnych umożliwia zbieranie, utrwalenie i przechowywanie informacji związanych z obrazem, dotyczących wszystkich osób wchodzących na obszar monitorowany, które można zidentyfikować na podstawie ich wyglądu lub innych cech szczególnych. Zbieranie i przechowanie informacji o osobach fizycznych, które można bezpośrednio lub pośrednio zidentyfikować na podstawie czynników określających m.in. ich fizyczną tożsamość, stanowi natomiast przetwarzanie danych osobowych.
Sąd pierwszej instancji stwierdził, że skoro z materiału dowodowego zgromadzonego w toku postępowania wyjaśniającego wynika, iż osoby fizyczne, które wniosły skargę do organu nadzorczego, przebywają regularnie na terenie żwirowni (zgodnie z ich oświadczeniami), zaś kamery użytkowane przez skarżącą spółkę skierowane są na kopalnię żwiru zlokalizowaną na działce nr [...] obręb [...], natomiast jednocześnie skarżąca spółka nie przedstawiła żadnych dowodów ani na nieprzetwarzanie danych osobowych w drodze prowadzonego monitoringu, ani też na usunięcie kamer monitoringu, to Prezes UODO zasadnie przyjął, iż strona skarżąca przetwarza sporne dane osobowe. Nie ulega wątpliwości, że z materiału zgromadzonego przez organ nadzorczy wynika, że system monitoringu zlokalizowany na działce nr [...] obręb [...], będącej własnością Nadleśnictwa [...], a skierowany na działki nr [...] i nr [...] obręb [...], będące własnością m. in. L.G., rozciąga się na przestrzeń, w której znajdować się mogą wspomniane wyżej osoby, co w konsekwencji oznacza, że dochodzi do przetwarzania danych osobowych tych osób. Skoro skonfigurowanie systemu monitoringu pozwala na ciągłą (nieprzerwaną) obserwację wspomnianej wyżej przestrzeni, to - według Sądu - stwierdzić trzeba, że dochodzi do przetwarzania danych osób przebywających na tym terenie, a tym samym uznać należy, że - wbrew zarzutom strony skarżącej – organ nadzorczy wykazał, że przetwarzano dane osób, które regularnie pojawiały się na terenie żwirowni prowadzonej przez L.G.
W tej sytuacji, w ocenie Sądu pierwszej instancji, nie można zgodzić się ze stwierdzeniem skarżącej spółki, jakoby monitoring skierowany na działki nr [...] i nr [...] jest monitoringiem jedynie środowiska przyrodniczego, skoro teren ten stanowi prywatną własność L.G., na którym prowadzi on działalność gospodarczą w formie kopalni kruszywa naturalnego, na terenie której z kolei – poza właścicielem tego przedsiębiorstwa – przebywają regularnie pozostałe osoby, które jednoznacznie oświadczyły w toku postępowania, że taki stan rzeczy ma miejsce w analizowanej sprawie.
Ponadto, stwierdzić należy, że niezasadny jest również zarzutu nieważności zaskarżonej decyzji z powodu jej rzekomej niewykonalności z uwagi na trudności identyfikacyjne dotyczące wskazanych powyżej osób.
Jednocześnie, Sąd pierwszej instancji nie dał wiary zapewnieniom strony skarżącej, jakoby zdjęła ona kamery monitoringu obejmujące swoim zasięgiem działki o nr [...] i nr [...], położone w obrębie ewidencyjnym [...]. Warto jedynie zauważyć, że argument ten skarżąca spółka zaprezentowała dopiero na etapie skargi skierowanej do Sądu. Co więcej, jak słusznie zwrócił uwagę organ nadzorczy w odpowiedzi na skargę, z materiału dowodowego będącego podstawą wydania zaskarżonego rozstrzygnięcia, w tym w szczególności z pisma Nadleśnictwa [...] z dnia 24 stycznia 2020 r. skierowanego do skarżącej spółki, wynika jednoznacznie, iż kamery nie zostały zdemontowane, co Nadleśnictwo [...] miało potwierdzić podczas oględzin w terenie przeprowadzonych w dniu 22 stycznia 2020 r.
W konsekwencji, mając na względzie fakt, iż w postępowaniu wyjaśniającym prowadzonym przez organ nadzorczy obowiązuje zasada, że ciężar dowodu spoczywa również na tym, kto z określonego faktu wyprowadza skutki prawne, Sąd uznał, iż w ustalonych okolicznościach faktycznych analizowanej sprawy nie ulega wątpliwości, że skarżąca spółka przetwarzała dane osobowe wspomnianych wyżej osób za pomocą monitoringu wizyjnego.
W tej sytuacji, stwierdzić należy, że organ nadzorczy w pełni trafnie ustalił zatem, że do przetwarzania danych osobowych uczestników postępowania przez skarżącą spółkę za pomocą przedmiotowego monitoringu wizyjnego znajdują zastosowanie przepisy RODO.
A zatem, uznać należy, że trafnie dostrzeżono w uzasadnieniu zaskarżonej decyzji, iż RODO wiąże przetwarzanie danych z przestrzeganiem zasad określonych w art. 5 RODO, które mają charakter podstawowy w odniesieniu do całej regulacji.
Sąd pierwszej instancji uznał, że – wbrew zarzutom skarżącej spółki – organ nadzorczy trafnie uznał w zaskarżonej decyzji, że u podstaw pozyskiwania danych osobowych przez spółkę nie leży żadna z przesłanek określonych w art. 6 ust. 1 RODO warunkujących legalne przetwarzanie danych pochodzących z monitoringu wizyjnego, a w szczególności prawidłowo przyjął, że za przesłankę tę nie może zostać uznany wskazany art. 6 ust. 1 lit. f RODO w postaci niezbędności przetwarzania danych osobowych do celów wynikających z prawnie uzasadnionego interesu realizowanego przez spółkę, jako administratora, jakim - w ocenie skarżącej – miałaby być konieczność ochrony źródeł pozyskiwania wód przed niebezpieczeństwem skażenia w oparciu o wykonane przez spółkę analizy ryzyka dla ujęcia.
Owszem, strona skarżąca zasadnie zwracała uwagę, iż teren monitorowany wchodzi w skład ustanowionej na wniosek spółki strefy ochronnej ujęcia wody nr [...] w miejscowości [...], które skarżąca spółka eksploatuje, zaś prowadzona przez L.G. działalność na monitorowanych działkach polegająca na wydobywaniu kruszyw naturalnych piasku i żwiru uznana została za potencjalne źródło zanieczyszczenia wód podziemnych i zagrożenia dla ich jakości w przyszłości.
Niemniej, warto zauważyć, że w rozporządzeniu nr 23/2014 Dyrektora Regionalnego Zarządu Gospodarki Wodnej w [...] wydanym w dniu 17 listopada 2014 r., mając na względzie m. in. opisane wyżej zagrożenie, wprowadzono określone zakazy na terenie ochrony pośredniej mające na celu ochronę źródeł pozyskiwania wód przed niebezpieczeństwem skażenia (§ 3 ust. 1 pkt 1-19 ww. rozporządzenia).
Tym samym, Sąd pierwszej instancji uznał, że wobec istnienia innych rozwiązań mających na celu ochronę źródeł pozyskiwania wód przed niebezpieczeństwem skażenia, nie można uznać by prowadzenie przez skarżącą spółkę monitoringu było niezbędne dla ww. celu i uzasadniało przetwarzanie danych osobowych wspomnianych wyżej osób fizycznych
Wobec powyższego, art. 6 ust. 1 lit. f RODO nie może zostać uznany za podstawę prawną legalizującą przetwarzanie przez skarżąca spółkę spornych danych osobowych za pomocą monitoringu.
Nie sposób przychylić się do stanowiska skarżącej spółki, że miała uzasadniony interes w montażu i wykorzystywaniu monitoringu, nie tylko ze względu na samą spółkę, obowiązek dbania o ujęcia wody, ale też szeroko rozumiane dobro środowiska naturalnego i bezpieczeństwo żywności.
Po pierwsze, uznać należy, że dbaniu o ujęcie wody i dobro środowiska naturalnego służą wspomniane już wyżej zakazy i nakazy ustanowione przez Dyrektora RZGW na terenie ochronnym.
Ponadto, powołane przepisy nie przewidują instalacji monitoringu w celu ochrony ujęcia wody przez właściciela ujęcia wody.
Jednocześnie, skarżąca spółka w niniejszym postępowaniu nie wykazała, że stosowanie monitoringu wizyjnego obejmującego swym zasięgiem działki L.G. było działaniem koniecznym do zapewnienia jakościowej ochrony wód podziemnych przed niebezpieczeństwem skarżenia.
W toku postępowania zakończonego zaskarżoną decyzją, skarżący nie wykazał zatem ani, że prawnie uzasadniony interes, na który się powołał ma wymiar realny, ani że stanowi on kwestię bieżącą.
Należy podkreślić, że monitoring wizyjny jest jedną w najbardziej inwazyjnych form ingerencji w podstawowe prawa i wolności osoby, której dane dotyczą i powinien być wybierany wyłącznie, gdy zawiodły inne alternatywne środki bezpieczeństwa, które w mniejszym stopniu ingerują w podstawowe prawa lub wolności innych osób.
Trudno uznać również, że sporne przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na skarżącej spółce (art. 6 ust. 1 lit. c RODO), gdyż brak jest takiego obowiązku w obowiązujących przepisach prawa. W ocenie Sądu, powoływany przez stronę skarżącą art. 133 ust. 3 i 4 Prawa wodnego statuuje obowiązek przeprowadzania analizy ryzyka m. in. w oparciu o analizę identyfikacji źródeł zagrożenia wynikających ze sposobu zagospodarowania terenu, a nie obowiązek stałego monitorowania zagospodarowania terenu w celu dokonywania tej analizy. Według Sądu, kwestionowane przetwarzanie danych osobowych nie jest także niezbędne do wykonania zadania realizowanego w interesie publicznym (art. 6 ust. 1 lit. e RODO).
Warto ponadto podkreślić, że z ustalonego stanu faktycznego wynika jednocześnie, że teren objęty monitoringiem nie został oznakowany. Nie wiadomo zatem jaki jest zakres tego monitoringu, ani kto jest administratorem danych osobowych przetwarzanych za pomocą tego systemu. Tym samym, brak jest jakichkolwiek informacji dla osób przemieszczających się po ww. terenie, że znajdują się w strefie objętej monitoringiem wizyjnym, co może wywołać u tych osób poczucie, że ich dane są wykorzystywane w nieznanym im celu, a ich życie prywatne podlega stałemu nadzorowi.
Należy jednocześnie zauważyć, iż skarżąca spółka nie wykazała w toku niniejszego postępowania, by poinformowała uczestników postępowania o prowadzonym monitoringu. W sprawie brak jest zatem dowodów na to, by obowiązek informacyjny, o którym mowa w art. 13 ust. 1 i 2 RODO został przez nią spełniony.
Mając na względzie powyższą analizę Sądu pierwszej instancji, należy stwierdzić, że organ nadzorczy prawidłowo ustalił, iż skarżąca spółka przetwarzała dane osobowe uczestników postępowania z naruszeniem art. 5 ust. 1 lit. a i lit. b, art. 5 ust. 2 i art. 6 ust. 1, a także art. 13 ust. 1 i ust. 2 RODO.
W toku postępowania administracyjnego skarżąca spółka nie wykazała bowiem, że przetwarzała dane osobowe uczestników w oparciu o przesłankę legalizującą określoną w art. 6 ust. 1 RODO, a zatem, że przetwarzanie jest zgodne z prawem. Strona skarżąca nie dopełniła także obowiązku informacyjnego określonego w art. 13 ust. 1 i ust. 2 RODO, a przetwarzanie przez nią danych osobowych uczestników postępowania - w celu zapewnienia bezpieczeństwa użytkowanego ujęcia wody - naruszało również zasadę przejrzystości i ograniczenia celu.
W tych okolicznościach, stwierdzić należy, że Prezes UODO był uprawniony do skorzystania z uprawnień naprawczych przewidzianych w art. 58 ust. 2 lit. b i lit. d RODO i w pierwszym rzędzie nakazał skarżącej spółce zaprzestanie przetwarzania za pomocą monitoringu wizyjnego danych osobowych uczestników przy użyciu kamer, które swoim zasięgiem obejmują działki nr [...] oraz nr [...], położone w obrębie ewidencyjnym [...]. Organ nadzorczy prawidłowo udzielił również upomnienia za naruszenie art. 5 ust. 1 lit. a i lit. b, art. 5 ust. 2, art. 6 ust. 1 oraz art. 13 ust. 1 i ust. 2 RODO.
Zdaniem Sądu pierwszej instancji, stwierdzić należy również, że Prezes UODO, wydając sporną decyzję z dnia 7 lutego 2023 r., uzasadnił w sposób klarowny, dlaczego przyjął, że wystarczające będzie udzielenie administratorowi danych upomnienia, a nie zastosowanie administracyjnej kary pieniężnej.
Skargę kasacyjną od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie wywiodła, reprezentowana przez zawodowego pełnomocnika w osobie radcy prawnego, skarżąca Spółka zaskarżając go w całości i zarzucając zaskarżonemu orzeczeniu:
1) nieważność decyzji na podstawie art. 156 § 1 ust. 5 Kodeksu postępowania administracyjnego (dalej jako: "KPA") w związku z brakiem możliwości jej wykonania w przedmiocie pkt 1) tj. nakazu zaprzestania przetwarzania danych osobowych osób wskazanych w decyzji wobec braku ich przetwarzania w związku ze zdjęciem kamery jak i niemożności identyfikacji przez Spółkę osób wskazanych decyzji;
2) naruszenie art. 6 KPA oraz art. 7 KPA w zw. z art. 77 KPA w zw. z art. 80 KPA poprzez:
a. brak wyjaśnienia całego stanu faktycznego i oceny całego materiału dowodowego, w tym przez brak ustalenia, czy rzeczywiście dochodziło do przetwarzania danych osobowych osób wskazanych w Decyzji, w szczególności wobec oświadczenia Spółki, iż danych takich nie przetwarza,
b. wzięcia pod uwagę istotnych dla Spółki faktów takich jak konieczność ochrony jej interesów ekonomicznych jak i też samego ujęcia wody, a co za tym idzie ochrony jakościowej wód podziemnych, które to okoliczności wskazują na istnienie przesłanki legitymizującej stosowanie monitoringu wizyjnego i ewentualne przetwarzanie w ten sposób danych osobowych – nie uwzględnił racjonalnych argumentów i wyjaśnień spółki, które miały istotny wpływ na wynik sprawy;
c. ustalenie wbrew doświadczeniu życiowemu i zasadom logicznego wnioskowania, iż ustanowienie zakazów i nakazów na podstawie art. 53 ust. 1 Prawa wodnego w zw. z art. 130 Prawa wodnego oraz § 2 ust. 1 i § 3 ust. 1 Rozporządzenia 23/2014 z dnia 17 listopada 2014 Dyrektora Regionalnego Zarządu Gospodarki Wodnej w [...] (dalej: Rozporządzenie) jest wystarczające do zapewnienia ochrony ujęcia wody pitnej oraz i spełnienia obowiązków dbania o to ujęcie i jego bezpieczeństwo przez Spółkę;
3) naruszenie prawa materialnego art. 6 ust. 1 lit f. RODO przez błędną jego wykładnię i stwierdzenie, iż w niniejszej sprawie nie zachodzą prawnie uzasadnione interesy Spółki w stosowaniu monitoringu wizyjnego ujęcia wody, a co za tym idzie niezastosowanie tej podstawy prawnej;
4) naruszenie prawa materialnego art. 5 ust. 1 lit a i b. art. 5 ust. 2 RODO i art. 13 RODO przez jego niewłaściwe zastosowanie wobec braku ustalenia dokonywania przetwarzania danych osobowych osób wskazanych w decyzji przez Spółkę;
5) naruszenie art. 107 § 3 KPA poprzez niewskazanie w uzasadnieniu decyzji elementów, o których mowa w powyższym przepisie, w szczególności poprzez brak wskazania faktów, które organ uznał za udowodnione oraz przyczyn, z powodu których innym dowodom odmówił wiarygodności i mocy dowodowej.
Wskazując na powyższe zarzuty kasacyjne skarżąca Spółka wniosła o uchylenie zaskarżonego wyroku w całości i rozpoznanie niniejszej skargi kasacyjnej (na podstawie art. 188 p.p.s.a.); ewentualnie, jeżeli Sąd nie uzna, że istota sprawy jest dostatecznie wyjaśniona, to uchylenie zaskarżonego wyroku w całości i przekazanie sprawy do ponownego rozpoznania Sądowi I instancji (na podstawie art. 185 § 1 p.p.s.a.) oraz zasądzenie od organu na rzecz Spółki kosztów postępowania, w tym kosztów zastępstwa procesowego według norm przepisanych. Ponadto skarżąca kasacyjnie Spółka oświadczyła, że zrzeka się rozprawy w niniejszej sprawie.
W uzasadnieniu przedstawiono argumentację przemawiającą za zasadnością skargi kasacyjnej.
W odpowiedzi na skargę kasacyjną Prezes UODO wniósł o oddalenie skargi kasacyjnej
Naczelny Sąd Administracyjny zważył, co następuje:
Skarga kasacyjna nie zasługuje na uwzględnienie.
Stosownie do art. 183 § 1 p.p.s.a., Naczelny Sąd Administracyjny rozpoznaje sprawę w granicach skargi kasacyjnej, bierze jednak z urzędu pod rozwagę przesłanki uzasadniające nieważność postępowania wymienione w art. 183 § 2 p.p.s.a. Granice skargi kasacyjnej są wyznaczone przez zakres zaskarżenia orzeczenia sądu pierwszej instancji oraz podniesione i poddane konkretyzacji podstawy kasacyjne.
Zgodnie z treścią art. 174 p.p.s.a., skargę kasacyjną można oprzeć na następujących podstawach: 1) naruszeniu prawa materialnego przez błędną jego wykładnię lub niewłaściwe zastosowanie; 2) naruszeniu przepisów postępowania, jeżeli uchybienie to mogło mieć istotny wpływ na wynik sprawy.
Powyższe ustawowe podstawy kasacyjne wymagają od skarżącego kasacyjnie konkretyzacji poprzez sformułowanie tzw. zarzutów kasacyjnych. Oznacza to, że jeżeli – tak jak w rozpoznawanej sprawie – nie zachodzi nieważność postępowania zakres postępowania kasacyjnego wyznacza strona wnosząca skargę kasacyjną przez przytoczenie podstaw kasacyjnych i ich uzasadnienie.
Jak już wyżej wskazano z przytoczonych przepisów wynika, że wywołane skargą kasacyjną postępowanie przed Naczelnym Sądem Administracyjnym podlega zasadzie dyspozycyjności i nie polega na ponownym rozpoznaniu sprawy w jej całokształcie, lecz ogranicza się do rozpatrzenia poszczególnych zarzutów przedstawionych w skardze kasacyjnej w ramach wskazanych podstaw kasacyjnych. Istotą tego postępowania jest bowiem weryfikacja zgodności z prawem orzeczenia wojewódzkiego sądu administracyjnego oraz postępowania, które doprowadziło do jego wydania.
Rozpatrzenie zarzutów skargi kasacyjnej należy poprzedzić pewną uwagą wstępną. Skarga kasacyjna jest wysoce sformalizowanym środkiem zaskarżenia i musi odpowiadać wymogom określonym w art. 174 i art. 176 p.p.s.a. Obowiązkiem strony składającej środek odwoławczy jest takie zredagowanie podstaw kasacyjnych i zarzutów skargi, a także ich uzasadnienia, aby nie budziły one wątpliwości interpretacyjnych (wyrok Naczelnego Sądu Administracyjnego z 19 lutego 2009 r., sygn. akt II OSK 1688/07 – orzeczenia sądów administracyjnych są dostępne w bazie internetowej na stronie NSA: orzeczenia.nsa.gov.pl). Wprawdzie nie dochodzi do automatycznego dyskwalifikowania skarg kasacyjnych w sytuacji, gdy zarzuty kasacyjne nie w pełni spełniają wymogi konstrukcyjne określone w art. 176 p.p.s.a. (por. uchwała Naczelnego Sądu Administracyjnego z 26 października 2009 r., sygn. akt I OPS 10/09), jednakże Naczelny Sąd Administracyjny nie ma obowiązku, ani prawa samodzielnie poszukiwać wzorca kontroli kasacyjnej, czy też domniemywać intencji strony, tudzież konkretyzować zarzuty kasacyjne sformułowane przez stronę postępowania, w tym domyślać się i uzupełniać przedstawioną w rozpoznawanym środku prawnym argumentację. Dlatego też do Naczelnego Sądu Administracyjnego nie należy wyciąganie z treści uzasadnienia skargi kasacyjnej przytoczonych tam zarzutów i wiązanie ich z powołanymi tam przepisami w celu uzupełnienia przytoczonej w petitum skargi kasacyjnej podstawy kasacyjnej (wyrok Naczelnego Sądu Administracyjnego z 13 listopada 2007 r., sygn. akt I FSK 1448/06). Do autora skargi kasacyjnej należy zatem wskazanie konkretnych przepisów prawa materialnego lub przepisów postępowania, które w jego ocenie naruszył Sąd pierwszej instancji, a w przypadku kiedy przepis składa się z wielu jednostek redakcyjnych wskazanie konkretnej jednostki redakcyjnej, której naruszenie zarzuca strona skarżąca kasacyjnie i precyzyjne wyjaśnienie, na czym polegało ich niewłaściwe zastosowanie lub błędna interpretacja, w odniesieniu do prawa materialnego, bądź wykazanie istotnego wpływu naruszenia prawa procesowego na rozstrzygnięcie sprawy przez Sąd pierwszej instancji. Oznacza to, że związanie sądu kasacyjnego zarzutami podniesionymi w skardze kasacyjnej oznacza zatem, że sąd ten – co do zasady – nie ma kompetencji do kontroli legalności postępowania pierwszoinstancyjnego poza granicami zaskarżenia.
W skardze kasacyjnej zarzucono zarówno naruszenie prawa materialnego, jak i naruszenie przepisów postępowania. W sytuacji gdy skarga kasacyjna zarzuca naruszenie prawa materialnego oraz naruszenie przepisów postępowania, co do zasady w pierwszej kolejności rozpoznaniu podlegają zarzuty naruszenia przepisów postępowania (por. wyrok NSA z dnia 27 czerwca 2012 r., II GSK 819/11, LEX nr 1217424; wyrok NSA z dnia 26 marca 2010 r., II FSK 1842/08, LEX nr 596025; wyrok NSA z dnia 4 czerwca 2014 r., II GSK 402/13, LEX nr 1488113; wyrok NSA z dnia 17 lutego 2023 r., II GSK 1458/19; wyrok NSA z dnia 1 marca 2023 r., I FSK 375/20). Dopiero bowiem po przesądzeniu, że stan faktyczny przyjęty przez sąd w zaskarżonym wyroku jest prawidłowy, albo nie został dostatecznie podważony, można przejść do skontrolowania procesu subsumcji danego stanu faktycznego pod zastosowany przez sąd pierwszej instancji przepis prawa materialnego. Dla uznania za usprawiedliwioną podstawę kasacyjną z art. 174 pkt 2 p.p.s.a. nie wystarcza samo wskazanie naruszenia przepisów postępowania, ale nadto wymagane jest, aby skarżący wykazał, że następstwa stwierdzonych wadliwości postępowania były tego rodzaju lub skali, iż kształtowały one lub współkształtowały treść kwestionowanego w sprawie orzeczenia (por. wyrok NSA z dnia 5 maja 2004 r., FSK 6/04, LEX nr 129933; wyrok NSA z dnia 26 lutego 2014 r., II GSK 1868/12, LEX nr 1495116; wyrok NSA z dnia 29 listopada 2022 r., I OSK 931/22).
W ramach pierwszego zarzutu skargi kasacyjnej strona skarżąca wskazuje na naruszenie "art. 156 § 1 ust. 5 Kodeksu postępowania administracyjnego", polegające na braku możliwości wykonania decyzji w przedmiocie pkt 1), tj. nakazu zaprzestania przetwarzania danych osobowych osób wskazanych w decyzji wobec braku ich przetwarzania w związku ze zdjęciem kamery jak i niemożności identyfikacji przez skarżącą Spółkę osób wskazanych decyzji.
Przede wszystkim wskazać należy, że przedmiotowy zarzut został sformułowany w sposób niestaranny, zaś od zawodowego (profesjonalnego) pełnomocnika w osobie radcy prawnego lub adwokata szczególnie wymaga się poprawności również w zakresie normatywnej stylizacji skargi kasacyjnej. Wymóg skutecznie wniesionej skargi kasacyjnej jest spełniony, gdy wskazuje ona jaki naruszono konkretny przepis, z podaniem numeru konkretnej jednostki redakcyjnej aktu prawnego. Tylko tak sprecyzowany zarzut pozwala ustalić granice zaskarżenia (vide: postanowienie SN z 7 kwietnia 1997 r., III CKN 29/97, OSNC 1997 nr 6-7, poz. 96; wyrok NSA z 29 stycznia 2008 r., I OSK 2034/06, CBOSA; postanowienie NSA z 10 maja 2011 r., II OSK 2520/10, CBOSA). Dla uporządkowania zarzutu skargi kasacyjnej wskazać należy, że kasator zarzucił w sposób następujący naruszenie "art. 156 § 1 ust. 5 Kodeksu postępowania administracyjnego", zaś przedmiotowy przepis prawa nie zawiera jednostki redakcyjnej aktu prawnego w postaci ustępów (ust.), a składa się z artykułu (art. 156), paragrafów (§ 1 i § 2) i następnie mniejszej jednostki, jak punkty (pkt 1 – pkt 7). W konsekwencji podniesiony zarzut co do zasady nie pozwala na jego prawidłowe rozpoznanie, bowiem wskazana podstawa prawna zarzutu skargi kasacyjnej została błędnie wskazania i w rezultacie taka podstawa prawna nie istnieje. W uzasadnieniu skargi kasacyjnej również nie zostało sprecyzowane, jakie prawidłowe jednostki redakcyjne zostały przez Sąd pierwszej instancji naruszone, a zatem tak sformułowany zarzut uchyla się spod kontroli Naczelnego Sądu Administracyjnego. Powyższe sformułowanie zarzutu kasacyjnego wiąże sąd odwoławczy, zaś związanie Naczelnego Sądu Administracyjnego granicami skargi kasacyjnej polega na tym, że jest on władny badać naruszenie jedynie tych przepisów, które zostały wyraźnie wskazane przez stronę skarżącą i nie może we własnym zakresie konkretyzować zarzutów skargi kasacyjnej, uściślać ich ani w inny sposób korygować (por. wyrok NSA z 17 listopada 2023 r., I GSK 831/20, CBOSA).
Niezależnie od powyższego wskazać również należy, że przedmiotowy zarzut i tak nie zasługiwałby na uwzględnienie jako bezzasadny. Zgodnie z art. 156 § 1 pkt 5 k.p.a., organ administracji publicznej stwierdza nieważność decyzji, która była niewykonalna w dniu jej wydania i jej niewykonalność ma charakter trwały. W założeniu chodzić tu może tylko o decyzję nakazującą sprowadzenie, w sposób dowolny lub w trybie przymusowym, określonego stanu rzeczywistości społecznej, zgodnego z jej treścią – słowem, o decyzję podlegającą wykonaniu (Tadeusz Kiełkowski [w:] Hanna Knysiak-Sudyka (red.), Kodeks postępowania administracyjnego. Komentarz, wyd. III, opublikowano: WKP 2023, teza 14). Przez niewykonalność decyzji mającą charakter trwały rozumie się taką decyzję, której adresat jest na stałe pozbawiony możliwości czynienia użytku z ustanowionych w niej praw lub trwale pozbawiony możliwości wykonywania obowiązków (K. Glibowski [w:] Kodeks postępowania administracyjnego. Komentarz pod red. M. Wierzbowskiego i A. Wiktorowskiej, Wydawnictwo C.H. Beck, Warszawa 2011, str. 915, teza 92). Dalej, nie wnikając w pojęcie "trwałej niewykonalności decyzji" należy stwierdzić, że pkt 1) sentencji zaskarżonej decyzji nie nasuwa jakichkolwiek wątpliwości co do treści nałożonego na skarżącą obowiązku. Obliguje ją bowiem do zaprzestania przetwarzania danych osobowych za pomocą monitoringu wizyjnego danych osobowych uczestników przy użyciu kamer, które swoim zasięgiem obejmują działki o nr [...] i nr [...], położone w obrębie ewidencyjnym [...], co oznacza, że uczestnicy nie powinni być utrwalani przez kamery skarżącej Spółki w jakiejkolwiek formie czy postaci.
Ponadto, zdaniem Naczelnego Sądu Administracyjnego, nie można mówić o niewykonalności decyzji administracyjnej w rozumieniu art. 156 § 1 pkt 5 k.p.a., jeżeli wynikające z niej obowiązki mieszczą się w granicach prawa (wyrok NSA z 15 marca 2000 r., sygn. akt IV SA 144/98, niepublikowany), a taka okoliczność ma miejsce w niniejszej sprawie. W konsekwencji tak sformułowana decyzja nie jest decyzją niewykonalną w rozumieniu art. 156 § 1 pkt 5 k.p.a., tym samym podniesiony zarzut i tak nie może zatem odnieść zamierzonego skutku.
Odnosząc się do zarzutów z pkt 2 i 5 petitum skargi kasacyjnej, tj. "naruszenie art. 6 KPA oraz art. 7 KPA w zw. z art. 77 KPA w zw. z art. 80 KPA" i "naruszenie art. 107 § 3 KPA" wskazać należy, że istota przedmiotowych zarzutów sprowadza się do zakwestionowania oceny poprawności ustalenia stanu faktycznego w sprawie oraz poprawności uzasadnienia zaskarżonej decyzji administracyjnej. Przedmiotowe zarzuty skargi kasacyjne są sformułowane w sposób wadliwy. Wszystkie one zarzucają bowiem Sądowi pierwszej instancji wprost naruszenie przepisów kodeksu postępowania administracyjnego. Sądy wojewódzkie nie stosują jednak wprost przepisów kodeksu postępowania administracyjnego, a ich związanie tymi przepisami sprowadza się do obowiązku sformułowania oceny prawnej, czy proces podjęcia decyzji stosowania prawa przez organ administracji był prawidłowy. Nie budzi wątpliwości, że sformułowanie tej oceny wymaga odpowiedzi na szereg pytań, takich samych jak te, na które musi odpowiedzieć organ administracji bezpośrednio stosujący te przepisy. Tym niemniej to nie wojewódzki sąd administracyjny stosuje te przepisy, lecz posługuje się nimi jedynie, jako matrycą porównawczą, w celu ustalenia, czy postępowanie organu w tym zakresie jest zgodne z ustalonym porządkiem prawnym. Zatem uchybienie przez Sąd przepisom regulującym postępowanie organów administracji publicznej ma charakter pośredni i wynikać może jedynie z uchybienia przez Sąd pierwszej instancji przepisom p.p.s.a. Oznacza to, że procedując wojewódzki sąd administracyjny nie stosuje wprost przepisów prawa procesowego (k.p.a.) czy prawa materialnego, nie może też aktywnie sam podejmować czynności zmierzających do wyjaśnienia stanu faktycznego. Sąd administracyjny nie jest zobowiązany, jak oczekuje tego strona skarżąca kasacyjnie do czynienia własnych ustaleń w zakresie stanu faktycznego sprawy, bowiem zastępowałby w tym zakresie organ i postępowanie sądowoadministracyjne kwalifikowałoby się jako rodzaj trzeciej instancji w tym postępowaniu, co z punktu widzenia zakresu kognicji sądów administracyjnych jest niedopuszczalne. Uprawnienia wojewódzkich sądów administracyjnych co do zasady mają jedynie charakter kasacyjny. Stąd też Sąd kontroluje jedynie, czy to organy administracji publicznej prowadząc postępowanie uczyniły zadość przepisom prawa wyznaczającym zasady ich procedowania.
Niezależnie od powyższego wskazać należy, że stosownie art. 77 § 1 k.p.a., na organie administracji publicznej spoczywa obowiązek zebrania w sposób wyczerpujący całego materiału dowodowego sprawy niezbędnego do jej wyjaśnienia. Postępowanie wyjaśniające prowadzone przez organ administracji publicznej powinno być zakończone po zbadaniu wszystkich okoliczności faktycznych istotnych dla danej sprawy, których zakres określają przepisy prawa materialnego mające zastosowanie w sprawie. Z kolei w uzasadnieniu decyzji organ powinien m.in. wskazać dowody, na których się oparł oraz przyczyny, z powodu których innym dowodom odmówił wiarygodności i mocy dowodowej (art. 107 § 3 k.p.a.). Zgodnie z ogólnymi zasadami postępowania administracyjnego, organy administracji stoją na straży praworządności i podejmują kroki niezbędne do dokładnego ustalenia stanu faktycznego oraz do załatwienia sprawy, mając na względzie interes społeczny i słuszny interes obywateli (art. 7 k.p.a.). Organy administracji publicznej są również zobowiązane w sposób wyczerpujący zebrać i rozpatrzyć cały materiał dowodowy (art. 77 § 1 k.p.a.) i dopiero na podstawie całokształtu materiału dowodowego ocenić, czy dana okoliczność została udowodniona (art. 80 k.p.a.).
Rozpatrzenie całego materiału dowodowego w niniejszej sprawie było związane z zasadą swobodnej oceny dowodów, która była dokonana zgodnie z normami prawa procesowego oraz z zachowaniem reguł tej oceny. Dokonując kontroli legalności zaskarżonej decyzji poprzez analizę dokumentów zawartych w aktach administracyjnych, Wojewódzki Sąd Administracyjny w Warszawie zasadnie nie dopatrzył się tego rodzaju uchybień, które musiałyby skutkować wyeliminowaniem z obrotu prawnego kwestionowanego rozstrzygnięcia. Po wnikliwej analizie materiału sprawy i procedur poprzedzających wydanie zaskarżonej decyzji, trafnie stwierdził, że organ prowadzący kontrolowane postępowanie wypełnił zawarty w art. 6 i art. 7 k.p.a. nakaz dokładnego wyjaśnienia stanu faktycznego sprawy, oraz określony w przepisie art. 77 § 1 k.p.a. obowiązek zebrania i rozpatrzenia w sposób wyczerpujący materiału dowodowego. Przyjęta w sprawie faktyczna podstawa rozstrzygnięć ustalona została z uwzględnieniem wymogów wynikających z przepisów art. 7, art. 77 § 1 i art. 80 k.p.a. Organ ustalił wszystkie istotne do załatwienia sprawy okoliczności faktyczne i prawne, a zgromadzony w sprawie materiał dowodowy ma walor kompletności, zaś jego ocena nie nosi znamion dowolności. Na gruncie reguł i norm procesowych wyprowadził logicznie uprawnione i merytorycznie trafne wnioski.
Ponadto zarzut naruszenia przez Sąd pierwszej instancji "art. 6 KPA oraz art. 7 KPA w zw. z art. 77 KPA w zw. z art. 80 KPA" co do zasady został on podniesiony już wcześniej w skardze, do którego Wojewódzki Sąd Administracyjny w Warszawie trafnie się odniósł, że: "(...) zebrany w sprawie materiał dowodowy jest wyczerpujący i został poddany przez organ nadzorczy wszechstronnemu i wnikliwemu rozpatrzeniu, w wyniku czego doszło do prawidłowego ustalenia stanu faktycznego sprawy. Prezes Urzędu Ochrony Danych Osobowych, przeprowadzając wspomniane postępowanie wyjaśniające, dokonał wszelkich niezbędnych ocen, przy uwzględnieniu całokształtu zgromadzonego w sprawie materiału dowodowego oraz w kontekście odpowiednio zastosowanych przepisów prawa, w tym przede wszystkim przepisów RODO oraz ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych. Warto jednocześnie zauważyć, że Prezes UODO, przeprowadzając sporne postępowanie wyjaśniające wykorzystał wszelkie niezbędne instrumenty prawne, jakie dawała mu ustawa o ochronie danych osobowych i uzasadniając swoje stanowisko w decyzji z dnia 7 lutego 2023 r., w sposób klarowny przedstawił argumentację dotyczącą zasadności zastosowania wobec skarżącej spółki, jako administratora danych, uprawnienia naprawczego w postaci nakazania zaprzestania przetwarzania danych osobowych oraz upomnienia. Sąd uznał w tej sytuacji, że całkowicie niezrozumiały jest zarzut strony skarżącej, jakoby organ nadzorczy nie podjął wszelkich możliwych czynności niezbędnych do wyjaśnienia stanu faktycznego, pomimo, że – jak sugeruje skarżąca spółka – organ nadzorczy posiadał wszelkie dane umożliwiające z urzędu podjęcie takich czynności" (str. 27 – 28 uzasadnienia zaskarżonego wyroku). W tych okolicznościach zgodzić należy się z Sądem pierwszej instancji, który w całości podzielił ustalenia organu i wyrażoną przez niego ocenę prawną stanu faktycznego. Naczelny Sąd Administracyjny w całości podziela ocenę Sądu pierwszej instancji w tym zakresie.
Natomiast odnosząc się do zarzutu naruszenia "art. 107 § 3 KPA", zdaniem Naczelnego Sądu Administracyjnego, decyzja organu została obszernie i wnikliwie uzasadniona, zgodnie z wymogami z art. 107 § 3 k.p.a., przy realizacji zasady przekonywania zawartej w art. 11 k.p.a. Zatem skoro wyrok Sądu pierwszej instancji akceptował poprawne ustalenia, to nie mógł naruszyć przepisów wskazanych w zarzutach kasacyjnych. Przypomnienia wymaga, że zgodnie z art. 107 § 3 k.p.a., uzasadnienie faktyczne decyzji powinno w szczególności zawierać wskazanie faktów, które organ uznał za udowodnione, dowodów, na których się oparł, oraz przyczyn, z powodu których innym dowodom odmówił wiarygodności i mocy dowodowej, zaś uzasadnienie prawne – wyjaśnienie podstawy prawnej decyzji, z przytoczeniem przepisów prawa. Naczelny Sąd Administracyjny w wyroku z 24 kwietnia 2018 r. (sygn. akt I OSK 1351/16, LEX nr 2499032) podkreślił, że do naruszenia art. 107 § 3 k.p.a. dochodzi wtedy, gdy uzasadnienie decyzji nie zawiera wszystkich elementów, wymienionych w tym przepisie albo gdy mimo formalnej poprawności jego treść – ze względu np. na ogólnikowość stwierdzeń i argumentów – nie pozwala na skontrolowanie poprawności rozstrzygnięcia sprawy, a tym samym czyni w stopniu istotnym wątpliwym poprawność przeprowadzenia postępowania wyjaśniającego w sprawie. W analizowanej sprawie wskazane uchybienia nie zaistniały.
Mając na uwadze powyższe Naczelny Sąd Administracyjny pragnie dostrzec, że autor skargi kasacyjnej nie zakwestionował w sposób skuteczny ustaleń stanu faktycznego, na których oparto skarżone rozstrzygnięcie. Zarzuty naruszenia przepisów postępowania służą m.in. kwestionowaniu ustaleń i ocen w zakresie stanu faktycznego sprawy, co oznacza, że brak zarzutów naruszenia przepisów postępowania czy też ich nieskuteczność powoduje, że Naczelny Sąd Administracyjny w procesie kontroli instancyjnej przyjmuje, jako niezakwestionowany punkt odniesienia, stan faktyczny i jego ocenę przyjęte przez Sąd pierwszej instancji.
Nieskuteczne okazały się również zarzuty naruszenia prawa materialnego podniesione w pkt 3 i 4 petitum skargi kasacyjnej, tj. naruszenie przez Sąd pierwszej instancji "art. 6 ust. 1 lit. f RODO (...), a co za tym idzie niezastosowanie tej podstawy prawnej" oraz "art. 5 ust. 1 lit. a i b, art. 5 ust. 2 RODO i art. 13 RODO".
O nieskuteczności zarzutu naruszenia "art. 6 ust. 1 lit. f RODO" przemawia jego wadliwa konstrukcja. W orzecznictwie Naczelnego Sądu Administracyjnego prezentowane jest stanowisko, zgodnie z którym nie jest dopuszczalne w świetle brzmienia art. 174 p.p.s.a. formułowanie zarzutu skargi kasacyjnej jako naruszenie przepisu prawa "poprzez jego niezastosowanie" czy "pominięcie" (por. wyrok NSA z dnia 3 grudnia 2008 r., I OSK 1807/07, LEX nr 525973; wyrok NSA z dnia 14 maja 2007 r., I OSK 1247/06, LEX nr 342527; wyrok NSA z dnia 28 marca 2007 r., I OSK 31/07, LEX nr 327781; postanowienie NSA z dnia 2 marca 2012 r., I OSK 294/12, LEX nr 1136684).
Abstrahując od powyższego nadmienić należy, że z pisemnego uzasadnienia zaskarżonego wyroku wynika, że Sąd pierwszej instancji prowadził analizę kilku podstaw przetwarzania danych osobowych w postaci monitoringu wizyjnego ujęcia wody, a to przepisów art. 6 ust. 1 RODO. Wskazać należy, że administrator przetwarzający dane osobowe musi legitymizować się przynajmniej jedną z przesłanek legalizujących przetwarzanie danych określonych w art. 6 ust. 1 lit. od "a" do "f" RODO. Interpretacja całości uzasadnienia pozwala przyjąć, iż Sąd pierwszej instancji uznał, ze art. 6 ust. 1 lit. f RODO nie może zostać uznany za podstawę prawną legalizującą przetwarzania przez skarżącą Spółkę spornych danych osobowych za pomocą monitoringu. Naczelny Sąd Administracyjny podziela stanowisko Sądu pierwszej instancji.
Zastosowanie art. 6 ust. 1 lit. f RODO jest uzasadnione, gdy łącznie spełnione są następujące przesłanki:
1) po stronie administratora istnieją cele, dla osiągnięcia których przetwarzanie danych osobowych jest niezbędne;
2) cele te wynikają z "prawnie uzasadnionych interesów" realizowanych przez administratora;
3) "prawnie uzasadnione interesy" realizowane przez administratora mają charakter nadrzędny wobec interesów lub podstawowych praw i wolności osoby, której dotyczą przetwarzane dane (por. wyrok NSA z 5 lutego 2025 r., sygn. akt III OSK 6553/21).
Poprzez cel, dla osiągnięcia którego przetwarzanie danych osobowych jest niezbędne, należy rozumieć stan rzeczy, układ rzeczywistości, do którego dąży administrator poprzez przetwarzanie danych osobowych. "Niezbędność" przetwarzania danych osobowych do osiągnięcia obranego przez administratora celu sprowadza się do ustalenia, że bez tego przetwarzania nie da się go zrealizować. Chodzi więc o wykazanie logicznie uzasadnionego i weryfikowalnego związku przyczynowo-skutkowego pomiędzy przetwarzaniem danych osobowych a realizacją stanu rzeczy, do którego dąży administrator. Związek ten musi wskazywać na niezbędność przetwarzania danych osobowych. Na gruncie semantyki języka polskiego "niezbędne" jest to, bez czego nie możemy się obejść. Wyrażenie to odróżnić należy od innego dość zbliżonego w pierwszych intuicjach semantycznych wyrażenia jakim jest słowo "konieczne", czyli to, czego nie możemy uniknąć, choćbyśmy tego nie potrzebowali i nie chcieli. Ustalenie "niezbędności" przetwarzania danych osobowych dla celów administratora musi opierać się na przesłankach konkretnych, uwzględniających możliwie najszersze spektrum uwarunkowań jego realizacji (por. wyrok NSA z 20 lutego 2024 r., sygn. akt III OSK 2700/22). Przetwarzanie danych osobowych na podstawie art. 6 ust. 1 lit. f RODO wymaga od administratora wykazania, że jest to "niezbędne", a zatem i "konieczne" z uwagi na charakter celu, okoliczności faktyczne i prawne jego realizacji oraz relacje podmiotowe pomiędzy administratorem a osobą, której te dane dotyczą. Zgodnie z zasadą rozliczalności (art. 5 ust. 2 RODO) administrator będzie musiał wykazać, że zarówno zakres, jak i sposób przetwarzania danych osobowych jest adekwatny do obranego przez niego celu i warunków jego realizacji – zasada ograniczonego celu przetwarzania (art. 5 ust. 1 lit. b RODO) i przetwarzanie jest zgodne z prawem, rzetelne i w sposób przejrzysty dla osoby, której dane dotyczą (art. 5 ust. 1 lit. a RODO).
Kolejnym warunkiem przetwarzania danych osobowych na podstawie art. 6 ust. 1 lit. f RODO jest ustalenie, że cel, dla osiągnięcia którego przetwarzanie to jest niezbędne "wynika z prawnie uzasadnionych interesów realizowanych przez administratora (lub przez stronę trzecią)". Desygnatami "prawnie uzasadnionych interesów administratora" nie są wyłącznie te interesy, które ściśle wiążą się z realizacją praw i obowiązków wynikających z przepisów prawa, a zatem interesy prawne sensu stricto. Takie wąskie rozumienie tego pojęcia prowadziłoby bowiem do częściowego zdublowania przesłanki przetwarzania danych osobowych z art. 6 ust. 1 lit. f z przesłanką określoną w art. 6 ust. 1 lit. c RODO. Art. 6 ust. 1 lit. c RODO legitymizuje przetwarzanie danych osobowych, jeżeli "jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze". Prawnie uzasadniony interes administratora należy więc rozumieć jako interes prawnie dopuszczony, niesprzeczny z porządkiem prawnym, czyli interes mieszczący się w ramach porządku prawnego.
Do prawnie uzasadnionych interesów administratora danych osobowych prawodawca unijny odwołał się w motywie 47 preambuły RODO, w którym stwierdził, że "taki prawnie uzasadniony interes może istnieć na przykład w przypadkach, gdy zachodzi istotny i odpowiedni rodzaj powiązania między osobą, której dane dotyczą, a administratorem, na przykład gdy osoba, której dane dotyczą, jest klientem administratora lub działa na jego rzecz. Aby stwierdzić istnienie prawnie uzasadnionego interesu, należałoby w każdym przypadku przeprowadzić dokładną ocenę, w tym ocenę tego, czy w czasie i w kontekście, w którym zbierane są dane osobowe, osoba, której dane dotyczą, ma rozsądne przesłanki by spodziewać się, że może nastąpić przetwarzanie danych w tym celu."
Treść motywu 47 preambuły RODO nie wskazuje więc konkretnie, jakie warunki powinny zostać spełnione, aby można było stwierdzić, że administrator przetwarza dane osobowe zgodnie ze swoimi prawnie uzasadnionymi interesami. Podano jedynie przykładowo, iż może chodzić o szczególnego rodzaju relację pomiędzy administratorem a osobą, której dane są przetwarzane. W każdym konkretnym układzie należy rozstrzygnąć, czy treść i charakter tej relacji w sposób rozsądny uzasadnia takie przetwarzanie w określonym zakresie i czasie.
Naczelny Sąd Administracyjny stoi na stanowisku, iż na gruncie rozpoznawanej sprawy, w tym całokształtu jej okoliczności faktycznych "prawnie uzasadnione interesy" realizowane przez administratora danych osobowych nie mają charakteru nadrzędnego wobec interesów lub podstawowych praw i wolności osoby, której dotyczy ich przetwarzane. Dane osobowe są częścią życia prywatnego jednostki, które podlega ochronie prawnej gwarantowanej przepisem art. 47 Konstytucji RP. Elementem tego prawa jest wolność decydowania o zakresie "upublicznienia" swojego życia prywatnego przez zainteresowaną jednostkę. Zagwarantowana bowiem w art. 51 Konstytucji RP autonomia informacyjna jednostki oznacza prawo do samodzielnego decydowania o ujawnianiu innym informacji dotyczących swojej osoby (na temat autonomii informacyjnej vide P. Litwiński, Zasada autonomii informacyjnej w orzecznictwie Trybunału Konstytucyjnego a stosowanie przepisów o ochronie danych osobowych [w:] Ochrona danych osobowych w Polsce z perspektywy dziesięciolecia, red. P. Fajgielski, Lublin 2008, s. 169–184).
Wizerunek jest elementem fizycznym osoby fizycznej będącej częścią jej tożsamości i stanowi informację o osobie fizycznej umożliwiając jej identyfikacje. Jest zatem bez wątpienia informacją, o której stanowi przepis art. 4 pkt 1 RODO. Posługiwanie się danymi osobowymi dotyczącymi innej osoby, w tym w szczególności jej wizerunkiem wkracza w przyznaną jej kompetencję do decydowania o swoim życiu osobistym (por. J. Barta, P. Fajgielski, R. Markiewicz, Ochrona danych osobowych. Komentarz, Warszawa 2015, s. 260–261). Przepis art. 6 ust. 1 lit. f RODO umożliwia wkroczenie w sferę podstawowych praw i wolności jednostki, lecz tylko wtedy, gdy prawnie uzasadnione interesy" realizowane przez administratora mają charakter nadrzędny wobec interesów lub podstawowych praw i wolności osoby, której dotyczą przetwarzane dane.
Prawo do prywatności, mające swe wyraźne umocowanie w przepisach art. 47 i 51 Konstytucji RP, jest częścią szerszej kategorii pojęciowej jaką jest wolność człowieka, o której stanowią przepisy art. 31 ust. 1 – 3 Konstytucji RP. Wolność człowieka jest zaś elementem konstrukcji najbardziej rudymentarnej jaką jest przyrodzona i niezbywalna godność człowieka, deklaratywnie wprowadzona do polskiego porządku konstytucyjnego mocą normy art. 30 Konstytucji. O ile sama godność człowieka jest wartością nienaruszalną i najwyższą, wokół której zbudowany został cały porządek konstytucyjny Rzeczypospolitej Polskiej (vide K. Complak, Uwagi o godności człowieka oraz jej ochrona w świetle Konstytucji, Przegląd Sądowy 1998, nr 5, s. 43), o tyle wolność człowieka jako jeden z jej aspektów może podlegać pewnym ograniczeniom, które nie mogą naruszać istoty tej wolności. Ograniczenia te muszą jednak posiadać wyraźną podstawę ustawową i spełniać wymogi materialne wynikające z art. 31 ust. 3 Konstytucji RP.
Naczelny Sąd Administracyjny stanął na stanowisku, iż interpretacja tych przepisów prowadzi do wniosku, że dla osiągnięcia celu w postaci monitorowania strefy ochronnej ujęcia wody nie jest niezbędne przetwarzanie danych osobowych w drodze rejestracji obrazu z monitoringu wizyjnego. Ocena przesłanki niezbędność, o której mowa w art. 6 ust. 1 lit. f RODO – jako cechy czegoś, co jest nieodzowne, konieczne, bez czego nie da się obejść, co musi istnieć lub być zrobione, bo bez tego coś nie może funkcjonować, co jest potrzebne do życia, utrzymania, działania, osiągnięcia założonego celu – musi być dokonana na gruncie okoliczności faktycznych skonkretyzowanej sprawy sądowoadministracyjnej oraz stanu otoczenia administracji publicznej konkretyzowanego temporalnie i przestrzennie. Elementy faktyczne tej sprawy dotyczą monitorowania strefy ochronnej ujęcia wody i trudno zgodzić się ze skarżącą Spółką, że monitoring skierowany na działki nr [...] i nr [...] jest monitoringiem jedynie środowiska przyrodniczego, skoro teren ten stanowi prywatną własność L.G., na którym prowadzi on działalność gospodarczą w formie kopalni kruszywa naturalnego, na terenie której z kolei – poza właścicielem tego przedsiębiorstwa – przebywają regularnie pozostałe osoby, które jednoznacznie oświadczyły w toku postępowania, że taki stan rzeczy ma miejsce w analizowanej sprawie. Przedmiotowe przetwarzanie danych osobowych nie może odbywać się na podstawie podstawy legalizującej przetwarzanie danych osobowych wyrażonej w art. 6 ust. 1 lit f RODO, nawet jeśli jest to niezbędne, czyli nieodzowne dla realizacji celów w postaci ochrony ujęcia wody, gdyż wolność jednostki i jej prawo do prywatności są nadrzędne względem prawnie uzasadnionych interesów administratora danych osobowych. W istniejących realiach technicznych współczesnego świata istnieją alternatywne, względem rejestracji obrazu z monitoringu wizyjnego, sposoby ochrony pośredniej i bezpośredniej ujęcia wody. Uwzględniając zatem aktualny stan rozwoju cywilizacyjnego, dostępne i obowiązujące regulacje prawne w przedmiocie ochrony wód oraz powszechnie dostępne możliwości techniczne, jak i racjonalność kosztów skorzystania z nich Naczelny Sąd Administracyjny stanął na stanowisku, iż przetwarzanie danych osobowych przez rejestrację obrazu z monitoringu wizyjnego nie jest "niezbędnym" w rozumieniu art. 6 ust. 1 lit. f RODO sposobem do osiągnięcia celów wynikających z prawnie uzasadnionych interesów skarżącej Spółki (patrz: wyrok NSA z dnia 14 stycznia 2024 r., sygn. akt III OSK 147/23, CBOSA).
Ponadto, nawet gdyby przyjąć spełnienie przesłanki "niezbędności", ważenie podstawowego konstytucyjnego prawa jednostki do ochrony swojej prywatności z uzasadnionym interesem administratora prowadzi do wniosku, iż prywatność osoby będąca emanacją jej wolności, a w ten sposób wyrazem godności człowieka, jest wartością istotniejszą niż prawnie uzasadnione interesy administratora. Skarżąca Spółka nie miała uzasadnionego interesu w montażu i wykorzystywaniu monitoringu, nie tylko ze względu na samą spółkę, obowiązek dbania o ujęcia wody, ale też szeroko rozumiane dobro środowiska naturalnego i bezpieczeństwo żywności. Wskazać należy, że w rozporządzeniu nr 23/2014 Dyrektora Regionalnego Zarządu Gospodarki Wodnej w [...] wydanym w dniu 17 listopada 2014 r. wprowadzono określone zakazy na terenie ochrony pośredniej mające na celu ochronę źródeł pozyskiwania wód przed niebezpieczeństwem skażenia. Dodatkowe środki ochrony, które zastosowała skarżąca Spółka w postaci monitoringu wizyjnego nie uzasadniają ograniczanie wolności człowieka. Swoboda jednostki, brak obserwacji i rejestracji jej wizerunku i zachowań są wartościami nadrzędnymi względem prawnie uzasadnionych interesów administratora danych osobowych, gdyż zapewniają sferę wolności jednostki. Zapewniają jej komfort i swobodę zachowania, a w ten sposób stwarzają warunki do realizacji naturalnej dla osoby ludzkiej wolności. Wolność osoby ludzkiej jest jej przymiotem, a zarazem jej potrzebą, która może być ograniczana wyłącznie w sytuacjach niebanalnych. Ograniczanie wolności człowieka wymaga rygorystycznego dochowania wymogów proporcjonalności, które w rozpoznawanej sprawie w sposób skrajny nie zostały zachowane. Dla realizacji celu zastosowano bowiem środki ograniczające prawa i wolności definiujące istotę osoby ludzkiej (patrz: wyrok NSA z dnia 14 stycznia 2024 r., sygn. akt III OSK 147/23, CBOSA).
Nieskuteczny okazał się również zarzut naruszenia prawa materialnego, na podstawie którego strona skarżąca kasacyjnie podnosi naruszenia "art. 5 ust. 1 lit. a i b, art. 5 ust. 2 RODO i art. 13 RODO" wobec braku ustalenia dokonywania przetwarzania danych osobowych osób wskazanych w decyzji przez Spółkę. O nieskuteczności omawianego zarzutu świadczy jego treść, która ewidentnie wskazuje na to, że strona skarżąca kasacyjnie kwestionuje ustalenia i oceny w zakresie stanu faktycznego sprawy. W związku z tym należy podkreślić, że zgodnie z ugruntowanymi poglądami prezentowanymi w orzecznictwie Naczelnego Sądu Administracyjnego niedopuszczalne jest zastępowanie zarzutu naruszenia przepisów postępowania, zarzutem naruszenia prawa materialnego i za jego pomocą kwestionowanie ustaleń faktycznych. Próba zwalczenia ustaleń faktycznych poczynionych przez sąd pierwszej instancji nie może nastąpić przez zarzut naruszenia prawa materialnego (zob. wyrok NSA z dnia 29 stycznia 2013 r., I OSK 2747/12, LEX nr 1269660; wyrok NSA z dnia 6 marca 2013 r., II GSK 2327/11, LEX nr 1340137). Ocena zarzutu naruszenia prawa materialnego może być dokonana wyłącznie na podstawie konkretnego stanu faktycznego, nie zaś na podstawie stanu faktycznego, który skarżący uznaje za prawidłowy (zob. wyrok NSA z dnia 6 marca 2013 r., II GSK 2328/11, LEX nr 1340138; wyrok NSA z dnia 14 lutego 2013 r., II GSK 2173/11, LEX nr 1358369). Jeżeli strona skarżąca kasacyjnie uważa, że ustalenia faktyczne są błędne, to zarzut naruszenia prawa materialnego poprzez błędne zastosowanie jest co najmniej przedwczesny, zaś zarzut naruszenia prawa przez błędną jego wykładnię – niezasadny. Zarzut naruszenia prawa materialnego nie może opierać się na wadliwym (kwestionowanym przez stronę) ustaleniu faktu (zob. wyrok NSA z dnia 13 marca 2013 r., II GSK 2391/11, LEX nr 1296051).
W związku z tym za pozbawione podstaw uznać należy zarzuty naruszenia prawa materialnego, których istota wiąże się z próbą uchylenia się przez administratora danych osobowych za naruszenie zasad ich przetwarzania. Dlatego przedmiotowe zarzuty naruszenia prawa materialnego nie mogły odnieść zamierzonego skutku.
Jak wskazano na wstępie, przytoczone w skardze kasacyjnej przyczyny wadliwości prawnej zaskarżonego wyroku determinują zakres kontroli dokonywanej przez sąd drugiej instancji, który w odróżnieniu od sądu pierwszej instancji nie bada całokształtu sprawy, lecz tylko weryfikuje zasadność zarzutów podniesionych we wniesionym środku odwoławczym. W rekapitulacji przedstawionych argumentów należało więc stwierdzić, że zarzuty skargi kasacyjnej nie podważają zgodności z prawem zaskarżonego wyroku, albowiem nie zostały oparte na usprawiedliwionych podstawach.
Skoro więc podniesione w skardze kasacyjnej zarzuty okazały się nieskuteczne, Naczelny Sąd Administracyjny nie miał podstaw do jej uwzględnienia, co z kolei skutkowało oddaleniem skargi kasacyjnej w oparciu o art. 184 p.p.s.a.
Sprawa niniejsza podlegała rozpoznaniu na posiedzeniu niejawnym, ponieważ strona wnosząca skargę kasacyjną zrzekła się rozprawy, a strona przeciwna po doręczeniu skargi kasacyjnej nie zażądała, stosownie do art. 182 § 2 p.p.s.a., przeprowadzenia rozprawy.